Похожие чаты

Коллеги, прошу прощения за тупой вопрос, но, правильно ли я

понимаю, что, в отличии от kvm, сделать простой редирект консоли (com-порта) виртуалки на telnet-сессию в openstack нельзя и вариантов, кроме как через spice или vns нет, а там, соответственно, нужна авторизация, c добавлением пользователя и прочими телодвижениями?

44 ответов

46 просмотров

Стикер

vns?

P-P Автор вопроса
gwaewion
screenshot vns?

vnc, само-собой.

Вопрос не тупой, но спросил не очень понятно, судя по ответам) Можно вот так: https://docs.openstack.org/nova/latest/cli/nova-serialproxy.html

P-P Автор вопроса

Спасибо за ответ! Попробую покопать в эту сторону. Я пока что нашёл только вот такой вариант - https://docs.openstack.org/newton/user-guide/cli-access-instance-through-a-console.html Но, это не com-порт, само-собой.

P P
Спасибо за ответ! Попробую покопать в эту сторону....

А тебе для чего удаленный доступ к serial консоли?

P-P Автор вопроса

Есть виртуалка, на ней крутится какой-то виртуальный роутер, который иногда требует (пере)настройки. У него есть mgmt0, понятное дело, но, если вдруг отвалился, или его испортили - надо как-то либо к локальной консоли (по аналогии с vmware) - напрямую присоединиться, либо к com-порту. Раньше это работало на kvm, там всё просто - либо virsh console, либо telnet на заранее перенаправленный порт. Теперь поднимают это же в openstack, хотелось бы понимать, можно ли сделать это с минимальными кастомизациями и, желательно, без двойной авторизации (сначала в openstack - потом в самой vm).

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

Ну если консольный порт незапароленным держать, то без двойной.

P-P Автор вопроса
J
Ну если консольный порт незапароленным держать, то...

Да, но тогда авторизация на openstack делаться будет, а это дополнительный геморрой - не технический, организационный.

P P
Да, но тогда авторизация на openstack делаться буд...

А как ты без авторизации хочешь доступ получать?

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

изначально не правильный подход, вы уж простите меня за мое хамство, но это пистец. Первое mgmt можно перенаправить на admin vlan, и настроить все по уму. Консоль она и есть консоль, она у вас и останется при virsh console из компьют ноды

P-P Автор вопроса
J
А как ты без авторизации хочешь доступ получать?

в идеале - чтобы была только внутренняя авторизация самой виртуалки. Ну и да, роутер плюётся и в графическую консоль и в com-порт.

P P
в идеале - чтобы была только внутренняя авторизаци...

А графическая консоль чем тогда плоха?

P-P Автор вопроса
icewolf
изначально не правильный подход, вы уж простите ме...

я не думаю, что команду, которая админит роутер впустят в кишки опенстака :).

P-P Автор вопроса
icewolf
При чем тут это?

чтобы набрать virsh console - надо для начала залогиниться по ssh на compute node, не так ли?

P-P Автор вопроса
icewolf
так ли

Ну вот. Этого и не дадут сделать, скорее всего.

P P
я не думаю, что команду, которая админит роутер вп...

Зачем в кишки? Через политики или app credentials команде сетевиков можно оставить минимум прав

P P
Ну вот. Этого и не дадут сделать, скорее всего.

А в браузере открыть novnc консоль тоже не дадут?)

P-P Автор вопроса

Я думаю, сам факт локального логина по ssh вызовет паранойю. Тем более, если надо будет что-то крутить, чтобы virsh заработал для их юзера. А если ещё и виртуалка мигрирует между compute хостами - ещё сложнее становится.

P-P Автор вопроса
J
А в браузере открыть novnc консоль тоже не дадут?)

Ну, это, вроде как, выглядит чуть менее подозрительным (я пытаюсь заранее представить аргументы), но - если есть техническая возможность вообще не прикасаться к openstack - было бы неплохо. Ну, если нет - значит нет.

P P
Я думаю, сам факт локального логина по ssh вызовет...

Тебе не надо никуда логиниться. Тебе надо как обычному пользователю через api или консольным клиентом получить ссылку на novnc консоль и дальше в браузере ее открыть.

P-P Автор вопроса
J
Тебе не надо никуда логиниться. Тебе надо как обыч...

Ну вот, чтобы ссылку получить - надо же для начала пройти авторизацию в самом openstack, я же правильно понимаю?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Да. Но там же гибкие политики и можно пользователю вообще все запретить кроме получения ссылки на консоль.

P-P Автор вопроса
J
Да. Но там же гибкие политики и можно пользователю...

Ну, значит, если нет других вариантов - остаётся этот. А он, кстати, только на гуёвую консоль умеет редиректить, или на com-порт тоже?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Для того что бы получить ссылку, тебе надо использовать openstack-cli, авторизоваться и получить ссылку, url ссылки отдать безопасникам/сетевикам(или кто там рулит) и все. Если у них не получается(бывают случаи:рукажопаголова), это их проблемы. Ты инженер, а не разраб и выдумывать всякую дичь через апи это разработка, которая стоит деняг(тебе их не заплатят).

P-P Автор вопроса
icewolf
Для того что бы получить ссылку, тебе надо использ...

Ну штош... Будем думать :). Спасибо за подсказку!

P P
Ну штош... Будем думать :). Спасибо за подсказку!

не за что, обращайтесь. Если нужно компетентно разъ***ь этих безобразников тоже обращайтесь..

P P
Ну, значит, если нет других вариантов - остаётся э...

Ссылка на serial консоль будет через websocket. Нужна какая-то реализация websocket клиента, как в ссылке что я кидал. Терминальным эмулятором напрямую по ней не цепанешься. Смотри. Вот про app credentials: https://docs.openstack.org/keystone/latest/user/application_credentials.html Можно сгенерировать себе типа промежуточный токен, не давая доступ к пользователю в опенстеке напрямую. И через access rules разрешить только получать доступ к консолям. https://docs.openstack.org/api-ref/compute/#get-serial-console-os-getserialconsole-action-deprecated https://docs.openstack.org/api-ref/compute/?expanded=get-serial-console-os-getserialconsole-action-deprecated-detail#show-console-connection-information

J
Ссылка на serial консоль будет через websocket. Ну...

И можно дергать вызов к api с app credential хоть из батника и в ответ выплевывать ссылку. А можно вашим ребятам сляпать простенькое веб приложение которое будет само ссылку получать и вы когда его будете открывать, там будет уже готовая к работе консолька.

J
Ссылка на serial консоль будет через websocket. Ну...

Ну или типа вот такого можно сляпать) https://github.com/lafikl/telsocket

P-P Автор вопроса
J
Ссылка на serial консоль будет через websocket. Ну...

Ох. Надеюсь, им будет хватать гуёвой консоли...

P P
Ох. Надеюсь, им будет хватать гуёвой консоли...

Я же тебе вот, сообщением выше скинул реализацию клиента)

P-P Автор вопроса
J
Я же тебе вот, сообщением выше скинул реализацию к...

Да это понятно, я просто хочу обойтись минимальным количеством сущностей. Хрен его знает, откуда они будут пытаться ломиться на эту консоль и с какими локальными правами... Как бы то ни было - спасибо за наводку :)

virsh console с гипервизора так и продолжает работать, пользуйтесь ею, если нравится

Ilya
virsh console с гипервизора так и продолжает работ...

Там безобразники(с мозолью на пальце)

P-P Автор вопроса
Ilya
virsh console с гипервизора так и продолжает работ...

Это, скорее всего, не выйдет по административным соображениям.

J
Небэзопасно)

Небумажепасно. Такие вот доводят до зла и когда регуляторы приходят и выписывают штрафу или останавливают деятельность вылетают нахер. Дежурные жопы короче

icewolf
Небумажепасно. Такие вот доводят до зла и когда ре...

Та черт с ними) Решений полдюжины точно можно придумать, которые ваще с опенстеком не связаны и при этом безопасны с практической точки зрения.

P P
Это, скорее всего, не выйдет по административным с...

я выше написал. Обычно делают отделеную сетку в той же сертифицированной стойке, обмазывают криптошлюзами и до офицера безопасности тянется

P-P Автор вопроса
icewolf
я выше написал. Обычно делают отделеную сетку в то...

Ради одного хоста такое городить не будут, скорее просто в задницу пошлют сходу.

P P
Ради одного хоста такое городить не будут, скорее ...

Если там какая нить s-terra или что нить такое будут.

Похожие вопросы

Обсуждают сегодня

30500 за редактор? )
Владимир
47
any reference of this implementation?
BitBuddha
29
Ⓐrtto, [4/23/24 7:02 PM] Please explain more fully how it is not working exactly, and what are the steps you are taking, and what error messages come or what happens. Ⓐrtto, ...
Ezza Kezza
2
sounds like people have lost their kaspa on tradeogre... does this mean tradeogre not trustworthy?
Ezza Kezza
15
Страшнейшая правда про списки ЦБ. С первых дней жизни P2P сферы, молодые человеки, начитавшись законодательной базы и "внутренних" документов, решили, что им противостоит сер...
Foxcool
3
Недавно Google Project Zero нашёл багу в SQLite с помощью LLM, о чём достаточно было шумно в определённых интернетах, которые сопровождались рассказами, что скоро всех "ибешни...
Alex Sherbakov
5
So much speculation in the last week. So much volatility in price. This is because Hedera has a GC that isn't using the network it's governing. Why aren't people asking why a...
Summit Seeker R
9
Anyone else having this error when trying to make transactions?
Datzel
11
Question: How viable is it to use Anvil as the backend infrastructure for managing a TradFi portfolio, while integrating Flexa for instant liquidity and payment solutions? Cou...
Kevin
2
вы делали что-то подобное и как? может есть либы готовые? увидел картинку нокода, где всё линиями соединено и стало интересно попробовать то же в ddl на lua сделать. решил с ч...
Victor
8
Карта сайта