1. Резервная копия

Тут по вкусу, я просто сделал снапшот системы перед всеми последующими действиями. Для восстановления хватило бы сделать mysqldump --all-databases, сохранить /etc и /var/www и унести это всё на внешний носитель.

2. Обновление Wheezy до актуального состояния

Перед началом нужно обновить Wheezy. Репозитории с 2018 переехали в архив, поэтому /etc/apt/sourcel-list надо поправить.

deb http://archive.debian.org/debian/ wheezy main
deb-src http://archive.debian.org/debian/ wheezy main

deb http://archive.debian.org/debian-security wheezy/updates main

Обновляем пакеты

apt-get update

Получаем вот такую ошибку

E: Release file for http://archive.debian.org/debian-security/dists/wheezy/updates/Release is expired (invalid since 337d 14h 7min 18s). Updates for this repository will not be applied.

Устраняем

echo "Acquire::Check-Valid-Until false;" | tee -a /etc/apt/apt.conf.d/10-nocheckvalid

Повторяем

apt-get update

apt-get upgrade

Удостоверимся, что все пакеты установились корректно

dpkg --audit
dpkg --get-selections | grep hold

Эти команды должны выполниться без какого-либо вывода. Пусто — едем дальше.

3. Обновляем до Jessie

Снова правим /etc/apt/sources-list

deb http://ftp.debian.org/debian/ jessie main
deb-src http://ftp.debian.org/debian/ jessie main

deb http://security.debian.org/debian-security jessie/updates main

deb http://security.debian.org/ jessie/updates main
deb-src http://security.debian.org/ jessie/updates main

#jessie-updates, previously known as 'volatile'
deb http://ftp.debian.org/debian/ jessie-updates main
deb-src http://ftp.debian.org/debian/ jessie-updates main

Попытка обновить данные пакетов дает ошибку

# apt-get update
Get:1 http://ftp.debian.org jessie Release.gpg [1652 B]
Get:2 http://ftp.debian.org jessie-updates Release.gpg [833 B]
Get:3 http://ftp.debian.org jessie Release [77.3 kB]
Get:4 http://security.debian.org jessie/updates Release.gpg [1601 B]
Get:5 http://ftp.debian.org jessie-updates Release [15.4 kB]
Get:6 http://security.debian.org jessie/updates Release.gpg [1601 B]
Get:7 http://ftp.debian.org jessie/main Sources [7063 kB]
Get:8 http://security.debian.org jessie/updates Release [43.3 kB]
Get:9 http://security.debian.org jessie/updates Release [43.3 kB]
Get:10 http://security.debian.org jessie/updates/main amd64 Packages [758 kB]
Get:11 http://ftp.debian.org jessie/main amd64 Packages [6818 kB]
Get:12 http://security.debian.org jessie/updates/main Translation-en [388 kB]
Get:13 http://ftp.debian.org jessie/main Translation-en [4581 kB]
Get:14 http://security.debian.org jessie/updates/main Sources [341 kB]
Get:15 http://security.debian.org jessie/updates/main amd64 Packages [758 kB]
Get:16 http://ftp.debian.org jessie-updates/main Sources [20 B]
Get:17 http://ftp.debian.org jessie-updates/main amd64 Packages [20 B]
Get:18 http://ftp.debian.org jessie-updates/main Translation-en [14 B]
Get:19 http://security.debian.org jessie/updates/main Translation-en [388 kB]
Fetched 21.3 MB in 4s (4317 kB/s)
Reading package lists... Done
W: There is no public key available for the following key IDs:
AA8E81B4331F7F50
W: There is no public key available for the following key IDs:
AA8E81B4331F7F50

Получаем нужный открытый ключ и пробуем снова

# gpg --recv-keys AA8E81B4331F7F50
gpg: requesting key 331F7F50 from hkp server keys.gnupg.net
gpg: key 8AE22BA9: public key "Debian Security Archive Automatic Signing Key (9/stretch) <ftpmaster@debian.org>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)

# gpg --export AA8E81B4331F7F50 | apt-key add -
OK

# apt-get update
Hit http://ftp.debian.org jessie Release.gpg
Hit http://ftp.debian.org jessie-updates Release.gpg
Hit http://ftp.debian.org jessie Release
Hit http://ftp.debian.org jessie-updates Release
Hit http://security.debian.org jessie/updates Release.gpg
Hit http://ftp.debian.org jessie/main Sources
Hit http://ftp.debian.org jessie/main amd64 Packages
Hit http://security.debian.org jessie/updates Release.gpg
Hit http://ftp.debian.org jessie/main Translation-en
Hit http://security.debian.org jessie/updates Release
Hit http://ftp.debian.org jessie-updates/main Sources
Hit http://security.debian.org jessie/updates Release
Hit http://ftp.debian.org jessie-updates/main amd64 Packages
Hit http://ftp.debian.org jessie-updates/main Translation-en
Hit http://security.debian.org jessie/updates/main amd64 Packages
Hit http://security.debian.org jessie/updates/main Translation-en
Hit http://security.debian.org jessie/updates/main Sources
Hit http://security.debian.org jessie/updates/main amd64 Packages
Hit http://security.debian.org jessie/updates/main Translation-en
Reading package lists... Done

Дальше обновляем Wheezy до Jessie, опять в два приема

apt-get upgrade
apt-get dist-upgrade

В процессе будет несколько вопросов о том, что делать с имеющимися конфигами, я оставлял старые, с ними проще будет разобраться после.
Перезагружаемся.

reboot

Наблюдаем установленный Debian 8 Jessie

# cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 8 (jessie)"
NAME="Debian GNU/Linux"
VERSION_ID="8"
VERSION="8 (jessie)"
ID=debian
HOME_URL="http://www.debian.org/"
SUPPORT_URL="http://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"

Проверяем работоспособность www mysql (mariadb) и что там еще используется. Если сохранять старые файлы настроек, то что-нибудь точно нужно будет править. Или отложить этот процесс до завершения обновления.

Едем дальше.

4. Обновляем до Stretch

Шаги те же, в принципе.

nano /etc/apt/sources.list

deb http://ftp.debian.org/debian/ stretch main
deb-src http://ftp.debian.org/debian/ stretch main

deb http://security.debian.org/debian-security stretch/updates main

deb http://security.debian.org/ stretch/updates main
deb-src http://security.debian.org/ stretch/updates main

# stretch-updates, previously known as 'volatile'
deb http://ftp.debian.org/debian/ stretch-updates main
deb-src http://ftp.debian.org/debian/ stretch-updates main

Скачиваем новые данные apt.

apt-get update

NB: Полезная команда для предварительной оценки того, что будет обновлено. Такой dry-run.

apt-get -u upgrade --assume-no

И еще одна, выводит список того, что можно обновить

apt list --upgradable

Апгрейдим, отступать некуда. Обновляем пакеты, обновляем дистрибутив.

apt-get upgrade
apt-get dist-upgrade
reboot

Если все прошло нормально (нет), то наслаждаемся

# cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
NAME="Debian GNU/Linux"
VERSION_ID="9"
VERSION="9 (stretch)"
VERSION_CODENAME=stretch
ID=debian
HOME_URL="https://www.debian.org/"
SUPPORT_URL="https://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"

Но скорее всего нужно будет править конфиги mariadb, php, nginx и что там ещё есть в хозяйстве. Достсточно тривиальные правки, гугл помогает, но в итоге получается не вполне оптимальная конфигурация. Неизбежная плата за скорость и удобство обновления в сравнении с чистой установкой, миграцией и настройкой.

PS: Уже вышел Debian 10, но так далеко мы пока не поедем.

/etc/network/interfaces

up dhclient -cf /etc/dhcp/dhclient6.conf  -pf /run/dhclient6.vmbr0.pid -6 -P -v $IFACE

Вылетает с ошибкой dhclient: Impossible condition at dhc6.c:4111. При этом отваливается ipv6 на proxmox хосте и на всех openvz контейнерах.

Установлен пакет isc-dhcp-client_4.2.2.dfsg.1-5+deb70u6_amd64.deb из состава isc-dhcp.

По теме нашлось обсуждение на французском, как раз на форуме online.net. В тексте есть заплатка, вот ссылка на нее на github. Патч для версии 4.3, пришлось аналогичные манипуляции проделать вручную.

Руководство по сборке пакетов в Debian https://wiki.debian.org/BuildingTutorial

Сделал, запустил, пока работает, мониторю.

UPDATE

Увы, не помогло. Прежняя ошибка исчезла, появились новые

dhclient: Cannot renew without an active binding.
...
dhclient: Max retransmission duration exceeded.

1. Главный сервер с ISPmanager, на котором установлен PowerDNS. Тут мог бы быть и BIND, для данной схемы это не важно, но так уж получилось. Этот сервер нигде не светится и напрямую ни один домен не обслуживает. Это наш скрытый супермастер. Он не в курсе, что он супермастер, для себя самого он master, остальное настраивается на слэйвах.

Здесь важны 2 вещи в /etc/powerdns/pdns.conf

master=yes
disable-axfr=no
allow-axfr-ips=212.83.83.83,141.187.161.33

Извещаем сервер, что он мастер, включаем AXFR, указываем адреса slave серверов, которые мастер будет извещать об изменениях в доменных зонах.

2. На отдельных VPS установлены 2 копии того же pdns в режиме slave. Далее нужно известить pdns о наличии супермастера. Для SQL backeng (gmysql в нашем случае) нужно добавить запись в табличку supermasters базы pdns.

insert into supermasters values ('192.168.111.111', 'ns1.example.com', 'internal');

В первой колонке (ip) должен быть адрес супермастера, во второй — имя NS, которое будет передаваться в AXFR, в третьей пользователь (для аутентификации, которая пока не работает). В данном случае ns1.example.com — это не имя супермастера, это имя одного из слейвов.

Если NOTIFY запрос для домена example.com слэйву пришел с адреса IP 192.168.111.111, если в зоне есть NS запись ns1.example.com, то слэйв создает у себя зону для example.com и перетаскивает к себе все записи. Ну и ведет себя в дальнейшем как нормальный slave.

Есть небольшая проблема — удаление зоны. Скрытый супермастер никак не извещает об удалении зоны, не положено. То есть оба slave будут продолжать считать себя ответственными за зоны, которых в них уже не должно быть.

Вот скрипт, который перидически (cron daily) проверяет все свои домены на присутствие у супермастера. Скрипт найден в сети и адаптирован под ответы pdns, они отличаются от bind (см. закомментированные строчки AUTH & if).

#!/bin/bash
# Dependencies:
# bind-utils
# mysql-client
#### Config ################################
DBUSER="pdns"
DBPASS="LKgJHG55K7Jffs"
#### End of Config #########################

MYSQL="mysql -u $DBUSER -p$DBPASS --skip-column-names --silent -e"

check() {
#AUTH=`dig @$1 $2 | grep "status" | awk -F , '{print $2}' | awk -F ': ' '{print $2}'`
AUTH=`dig @$1 $2 | grep "flags" | awk -F : '{print $2}' | awk -F '; ' '{print $1}'|grep -ci 'aa'`
#if [ $AUTH = "REFUSED" ] || [ $AUTH = "NXDOMAIN" ]; then
if [ $AUTH = "0" ]; then
echo "$1 $2: Server not AUTH or SERVfail - removing zone..."
DOMAIN_ID=`$MYSQL "USE pdns; SELECT id FROM domains WHERE name='$2' AND type='SLAVE' AND master='$1' LIMIT 1;"`
$MYSQL "USE pdns; DELETE FROM records WHERE domain_id='$DOMAIN_ID';"
$MYSQL "USE pdns; DELETE FROM domains WHERE id='$DOMAIN_ID';"
fi
}

MASTERS=(`$MYSQL "USE pdns; SELECT DISTINCT ip FROM supermasters;"`)
for m in "${MASTERS[@]}"; do
	NAMES=(`$MYSQL "USE pdns; SELECT name FROM domains WHERE type = 'SLAVE' AND master = '${m}';"`)
for d in "${NAMES[@]}"; do
	check ${m} ${d}
done
done

Несуществующие домены удаляются, вся система остается синхронизированной, все улыбаются.

В этой схеме может быть любое число супермастеров (серверов с ISPmanager). В случае с backend-gmysql то же самое можно было бы сделать посредством mysql, но так правильнее, mysql никак не светится в сети и нет зависимости от pdns на мастере.

Еще немного о powerdns будет в заметке об IPv6.

Я несколько лет прожил рядом с Plesk 10/11 и готов признать, что это зрелый, хорошо укомплектованный, продуманный и серьезный продукт. Я нечасто сталкивался с CPanel, чуть больше на данный момент вник в ISPmanager, так вот, по большинству направлени Plesk их затмевает. Но не по всем.

Для пользователя, для бизнесмена — да, отличная вещь этот Plesk. Симпатичный, многое умеет, обновляется, развивается, присутствует более-менее вменяемая поддержка. С другой стороны, Plesk диктует что и как вы должны использовать. Поддержка системных сервисов обусловлена лицензией. При установке панель сносит все, что ей не нравится и устанавливает то, что хочет. Она всюду запускает свои щупальца, управляет всем, контролирует все, чему обучена (и что покрыто лицензией). У вас сто серверов, для вас важно единообразие, контроль, быстрое «шаблонное» обучение персонала, оперативное развертывание новых серверов? Plesk вам понравится.

ISPmanager другой. Он проще и понятнее, он оставляет больше свободы выбора, его можно удалить и забыть, в конце концов, практически не повредив работоспособности системы. Это панель, которая больше (чем Plesk) пытается управлять тем, что есть, чем переделать все под себя. Учитывая перечень «возможностей» (это управляемые системой компоненты и сервисы), варианты каждой, настройки, включенные и отключенные кнопки и галочки, можно сказать, что в природе нет двух одинаковых серверов с ISPmanager.

Отдельно скажу про лицензию — она дешевле и тоже проще, без странной необходимости доплачивать за отдельные компоненты.

Изначально, как любитель нового, я остановился на версии ISPmanager 5 lite. Она объективно удобнее и так же объективно беднее схожей по цене версии ISPmanager 4 pro. Тут выяснилось, что версии 5 pro нет и неизвестно когда будет. Также стало понятно, что несмотря на статус товарного продукта, далеко не все приемлемо работает. Накопленные коллективным разумом знания по «четверке» неприменимы, каждый вопрос нужно адресовать поддержке, что тоже не гарантия быстрого разрешения проблемы.

Один пример — установил ISPmanager 5 lite, связал с Billmanager, завел клиента. В ISPmanager попал только клиент (пользователь), при этом домен не создался, www-домен не создался, почтовый домен не создался.

Короче, обменял лицензию 5 Lite на 4 Pro. Тоже не подарок, надо сказать. Несколько попыток установки «по инструкции» в полной или рекомендованной конфигурации прошли неудачно. Каждый раз все заканчивалось на этапе "Checking www ...". Несколько раз восстанавливал «виртуалку» из девственно пустого образа и начинал заново. В итоге догадался установить минимальную конфигурацию, в которую затем по-очереди добавлял компоненты (возможности), попутно вычитывая логи и устраняя затыки. Это несложно, но муторно — 6 часов ушло.

Перенос имеющихся клиентов, их доменов, сайтов, почты занял куда больше. Встроенным в ISPmanager импортом из архивов, сделанных в Plesk, я пользоваться не стал по нескольким причинам. Первое, этот импорт глючит, как многое в ISPmanager, разнообразно и непредсказуемо, тем более, что официально он не поддерживает Plesk 11. Второе и самое важное — импорт через ISPmanager не дает в итоге никакой связи с биллингом, туда этих клиентов придется привязывать руками.

В итоге процесс выглядел так:

• Установка ISPmanager, создание шаблонов (будущих тарифов)
• Привязка Billmanager-ISPmanager, создание новых тарифов, полностью копирующих старые, до окончания переноса с нулевой ценой.
• Переименование пользователя и домена в старой услуге типа «хостинг» у клиента. Создать вторую услугу с одинаковыми именеи и доменом не получится, к сожалению, что очень неудобно.
• Заведение новой услуги хостинга на новом сервере с новым тарифом и прежними данными.
• Ручной перенос баз данных, настроек доменов, почтовых ящиков, сайтов на новый сервер.
• Проверка работоспособности сайтов на новом месте, изменение записей в DNS на прежнем месте.
• Повторить по числу клиентов.

В ходе переноса пришлось понизить версию PHP с 5.4 до 5.3, поскольку старинные сайты иначе пришлось бы существенно править. На прежнем месте была 5.2, так что выбран некий компромиссный вариант. Инструкция нашлась здесь, почти пошаговая, разве что версия другая и пакетов пришлось устанавливать больше.

Коротко

$ apt-get remove --purge `dpkg -l | grep php | grep -w 5.4 | awk '{print $2}' | xargs`
 
$ VERSION="5.3.3-7+squeeze17"
$ apt-get install php5=$VERSION php5-cli=$VERSION php5-common=$VERSION libapache2-mod-php5=$VERSION  php5-cgi=$VERSION php5-gd=$VERSION 
$ echo php5 hold| dpkg --set-selections
$ echo php5-cli hold| dpkg --set-selections
$ echo php5-common hold| dpkg --set-selections

Для переноса баз данных сделал небольшой скрипт mysqldump/mysql, которому нужно было только дать название базы. Ее, правда, для начала приходилось руками заводить в панели.

Почту переносил вручную, благо, мало кто ей пользуется. Все логины и пароли Plesk хранит в открытом виде, то есть их запросто можно узнать. Дальше простыня как раз на эту тему. Собрано из разных источников и наспех адатировано, так что все это неидеально, но вполне работает.

*** BASIC QUERY PLESK ***

mysql -uadmin -p` cat /etc/psa/.psa.shadow` -Dpsa -e"XXX"


*** DATABASES AND DATABASE USERS ***

SELECT domains.name AS domain_name,
data_bases.name AS database_name, db_users.login, accounts.password
FROM data_bases, db_users, domains, accounts
WHERE data_bases.dom_id = domains.id
AND db_users.db_id = data_bases.id
AND db_users.account_id = accounts.id
ORDER BY domain_name;


*** MAIL USERS AND REDIRECTS AND ALIASES ***

select mail.id, mail_name,name,password, address, GROUP_CONCAT( mail_aliases.alias SEPARATOR ',') as aliases
from mail 
left join domains on mail.dom_id = domains.id
left join accounts on mail.account_id = accounts.id
left join mail_redir on mail.id = mail_redir.mn_id
left join mail_aliases on mail.id = mail_aliases.mn_id
group by mail.id
order by name


*** FTP USERS ***

select REPLACE(sys_users.home,'/var/www/vhosts/','') AS domain,
sys_users.login,accounts.password, smb_users.contactname, smb_users.email, smb_users.companyname, smb_users.phone, smb_users.address
 FROM sys_users
left join accounts on sys_users.account_id=accounts.id
left join smb_users on smb_users.login = sys_users.login
order by sys_users.home ASC;

*** DOMAINS AND ALIASES***

select clients.login, domains.name, GROUP_CONCAT( DISTINCT CONCAT(domainaliases.name, ' (', domainaliases.mail,')' ) SEPARATOR ', ') as aliases,
GROUP_CONCAT( DISTINCT domainaliases.displayname SEPARATOR ', ') as aliasesdsp
,
GROUP_CONCAT( CONCAT(dns_recs.type, ' ', dns_recs.val ) SEPARATOR '\n') as dns

from domains 
left join clients on clients.id = domains.cl_id
left join dns_recs on dns_recs.dns_zone_id = domains.dns_zone_id
left join sys_users on sys_users.login = clients.login
left join domainaliases on domains.id = domainaliases.dom_id
group by domains.id
order by clients.login

С такими средствами малой механизации на перенос одного клиента уходило примерно 15-20 минут. В некоторых случаях приходилось донастраивать по месту CMS, в основном из-за использования абсолютных путей (/var/www//data/www/domain.ru вместо /var/www/vhosts/domain.ru/httpdocs) и /tmp папки, которая в ISPmanager не входит в open_basedir, в отличие от Plesk.

Отличная дурная работа, которая особо не нагружает мозг, но при этом создает полное ощущение всепоглощающей занятости.

Последние 5 копеек про ISPmanager. О поддержке. Точнее, о форуме поддержки. Много раз замечено, что русские форумы обладают особым шармом. Пренебрежение, снисходительность, немного грубости и хамства — все это есть, все такое родное и знакомое. Есть и исключения, редкие, от того неожиданные и особо приятные.

А, нет, еще 2 копейки. ISPmanager — продукт, созданный программистами. Он структурирован по логике тех, кто понимает, что за каждой кнопкой стоит вон тот компонент или вот этот сервис. Терминология подогнана под существующую структуру. Объясните среднему клиенту про домены, www-домены и почтовые домены, про их взаимосвязь и отличия. Или про «Авто поддомены в отдельной директории». А он должен это знать, по идее. И ему предлагают справку, помощь, видео-уроки. Много вы знаете людей, готовых инвестировать свое время в изучение хотя бы основ панели управления хостингом? Да и вообще способных это дело осилить. Гораздо больше тех, кто начинает чувствовать себя умственно неполноценным, раздражается, злится. Ну или спешит обратиться в поддержку, что серьезно снижает полезность панели управления для хостера.

Proxmox VE — «как бы» бесплатная система, поддерживает «контейнеры» OpenVZ и «полноценную» виртуализацию KVM. За терминологию прошу прощения, мне хватает такого колхозного уровня. Или меня хватает только на такой колхозный уровень, точнее. Бесплатность GNU GPL не подразумевает бесплатной поддержки. За беззаботные автоматические обновления нужно платить по 4 евро в месяц, как минимум. Без этого вы не получите доступ к «правильной» стабильной библиотеке пакетов.

Процесс установки я, к сожалению, не задокументировал. Online.net предлагает Proxmox 3 в качестве стандартного выбора при установке нового сервера. Параметры настраиваются в красивом и удобном интерфейсе. Тут есть важный момент, который я пропустил — необходимо оставить свободное место в lvm группе, иначе не будет работать lvm snapshot, иными словами, для резервного копирования контейнеры будут приостанавливаться на какое-то время.

Также лучше использовать для фаловой системы ext3, а не ext4, что связано с неустраненным и потому неприятным глюком в Proxmox 3. Где-то вылазит проблема, как раз при «живом» резервном копировании виртуальных машин (контейнеров). С ext3 она тоже случается, но гораздо реже, судя по отзывам.

Мне пришлось по живому уменьшать файловую систему, обрезать размер раздела. Все это из не первой свежести системы в режиме rescue. Не делать этого в будущем! Из-за бага в старом resize2fs в обрезанной файловой системе гарантированы ошибки.

Между OpenVZ и KVM выбрал первое, как более экономичное и простое решение.

После установки заказал несколько failover IP адресов, по числу будущих контейнеров. Добавил адреса серверу, завел новые машины. Образы по-умолчанию не устроили, поэтому скачал openvz образы с turnkey. После установки вычислил из них все лишнее, типа webmin и прочих помогаек. Выключил автообновление пакетов и вообще постарался избавиться от признаков turnkey. Найти готовый Debian 7 minimal amd64 не удалось.

Проблем никаких не было, вплоть до попытки установить ISPmanager в один из контейнеров. Но это отдельная история.

Начну с лирики, с выбора провайдера. До этого арендовали сервер у Serverloft. Ничего плохого о конторе сказать не могу, но характеристики сервера писать не буду, чтобы вы не расплакались от жалости. Короче, соотношение цена/производительность не устраивало давно, поэтому искали альтернативы из категории «дешево и сердито».

Нужен сервер, способный без напряжения «вывозить» несколько средних по нагрузке сайтов и пару десятков совсем легких, в сумме в пределах 20 тысяч посетителей в сутки, ну и непрогнозируемое число ботов.

В процессе поиска был рассмотрен, конечно, Hetzner, но душа не лежала. Есть и более трезвые доводы, но они всплыли несколько позже.

Популярный некогда OVH тоже отпал. Сначала французы перестали принимать новые заказы (типа, все распродано), а потом устроили реструктуризацию, выделив бюджетную линейку серверов в отдельный бренд и выдумав для него неприемлемые условия и ограничения. Вдаваться не буду, не подошло.

Счастливый случай вывел на Online.net. Тоже французы, тоже бюджетные, совсем недавно начали принимать иностранные заказы. Компания Online SAS — дочка Iliad Group, довольно крупной французской телекоммуникационной компании (оборот больше миллиарда евро). Цены приятные, французский НДС (23%) для не-французов не накручивают. В итоге за деньги, которые брал Serverloft, можно было присмотреться к несколько более серьезному железу.

Вышло в 4 раза больше RAM, аппаратный RAID контроллер с энергонезависимой памятью, накопители SAS — все это Online.net предлагает за меньшие деньги, чем мы отдавали в Serverloft. Есть встроенная консоль управления HP ILO, но это было и у прежнего провайдера (и нет у Hetzner, если не доплатить). Сеть 400 мегабит наружу, трафик не считают.

Задержка от нас до Парижа («наш» датацентр на ул. Julian Grimau, героического коммуниста, кстати) выше, чем до Страсбурга, но незначительно, процентов на 10. По этому параметру был бы оптимален Лондон, как ни странно. Лондон вообще по многим статьям неплох, но очень дорог, это касается и аренды серверов.

Из относительных минусов — дорогие IPv4 адреса, по 2 евро в месяц штука, вместо 1 доллара. Зато выдают префикс /48 IPv6, тогда как Serverloft такого слова в принципе не знал.

Также, если планируете брать несколько серверов, связанных между собой, то придется доплатить за business service service level (20 евро в месяц), тогда станет доступна (еще за 2 евро) гигабитная внутренняя сеть, на базовом уровне только 100 мегабит. Также для «бизнеса» доступна серьезная защита от DDoS атак, тоже за дополнительные деньги. Все это умозрительно, поскольку пока ничего из этого набора не потребовалось.

Арендованный сервер изначально планировалось «виртуализировать», побить на несколько виртуальных машин, которые при нужде можно было бы легко «отсадить» на другую или вообще отдельную машину. Тут выявился еще один плюс (в сравнении с Serverloft) — IP failover. Выданные IP адреса (и префиксы IPv6) можно спокойно перекидывать между серверами, арендованными у Online.net. Можно держать резервный сервер, полностью «зеркальный», можно размножаться, разукрупняться, тасовать виртуальные адреса и привязанные к ним ресурсы.

Сервер на Online.net работает чуть меньше месяца, под нагрузкой — пару недель. За это время пришлось воспользоваться консолью (ILO) и обратиться в поддержку (по поводу неработающей ILO), пока впечатления хорошие.

Полное содержание этой серии:

1. Выбор провайдера, почему Online.net
2. Proxmox, Openvz, установка и настройка.
3. ISPmanager vs Plesk и перенос сайтов.
4. IPv6 — это жесть
5. Защищаемся — shorewall & fail2ban

Составить собственное мнение бесплатно поможет купон (промо-код) SSDFUEL, который дает скидку $10 — это пара месяцев халявы на самом дешевом тарифе. Для оценки скорости, пинга, маршрута и т.п. вполне достаточно.

Вводить код надо в разделе billing, у меня это получилось сделать в ходе добавления банковской карты (с нее списывают доллар, потом вовращают). Куда вводить код при оплате через PayPal я не знаю, не пробовал.

Пойду создавать Droplet, так они называют свой товар.

Есть нюанс! The 512MB size is currently not available in the Amsterdam region.

Минимальная конфигурация недоступна в Амстердаме. Ладно, возьмем за $10, все равно бесплатно.

После установки (наконец-то) всех доступных обновлений на сервер с панелью Plesk 11 случилось неприятность с сервисом named — он сперва отказывался запускаться, а затем потерял половину данных о доменах.

На этот случай у Parallels есть статья в базе знаний и вложенный shell script для починки named.conf
Одна проблема, они забыли о синонимах доменов, которые в табличке domains не хранятся. Поэтому в нашем случае скрипт восстановил не более половины имевшихся зон.

Я посмотрел структуру базы данных psa, нашел синонимы в табличке domainaliases и подправил скрипт. (скачать dns_rebuild.sh.gz).

#!/bin/sh

ADMIN_PASS=`cat /etc/psa/.psa.shadow`
MYSQL_BIN_D=`grep MYSQL_BIN_D /etc/psa/psa.conf | awk '{print $2}'`
PRODUCT_ROOT_D=`grep PRODUCT_ROOT_D /etc/psa/psa.conf | awk '{print $2}'`
mysql="${MYSQL_BIN_D}/mysql -N -uadmin -p${ADMIN_PASS} psa"

query="select name from domains;"
domains=`echo $query | $mysql `

echo "Updating domains"
for i in ${domains}; do
    echo "$i"
    $PRODUCT_ROOT_D/admin/sbin/dnsmng --update $i
done 

query="select name from domainaliases;"
domains=`echo $query | $mysql `

echo "Updating domain aliases"
for i in ${domains}; do
    echo "$i"
    $PRODUCT_ROOT_D/admin/sbin/dnsmng --update $i
done 

CloudFlare выступает «прокладкой» между сайтом и посетителями, такой продвинутый прокси с кешированием, компрессией и защитой от атак. При установке записи из вашего DNS копируются в CF, после чего нужно сменить для домена ваши NS на выданные сервисом.

Я не то чтобы уже со всем разобрался, только добавил пару сайтов, на первом уже получил статистику. Итак, что может (бесплатный) CloudFlare:

1. Кеширование статического контента в распределенной CDN, gzip-сжатие и прочая оптимизация, позволяющая сэкономить трафик и снизить нагрузку на ваш сервер.

Судя по этим данным, CF сэкономил больше половины запросов к серверу и 25% трафика. Это за первые сутки, дальше показатели могут улучшиться. Уровень «ускорения» выбирается в зависимости от сайта, на какой срок будет закеширован статический контент тоже регулируется.

2. Защита от угроз — спаммеров, любителей известных эксплойтов и т.п. Это работает. Насчет DDOS атак пока не знаю, не довелось испытать.

За сутки было обнаружено 53 подозрительных запроса. Угрозы определяются по базе (известные), по косвенным признакам (сигнатуры браузера и т.п.). Подозреваемым предлагается заполнить captcha или пойти лесом. Как правило, идут. Уровень безопасности тоже можно настраивать, но я этим пока не занимался.

В планах попробовать имитацию DOS атаки. И независимо от результатов я потихоньку переведу в CloudFlare все нагруженные сайты.

Pro версия тоже относительно недорога — $25 за первый сайт, по $5 за каждый последующий. Если сервис справляется с крупными DDOS атаками, то это много дешевле всех анти-DDOS предложений, что я видел до сих пор.