Похожие чаты

Коллеги, прошу прощения за тупой вопрос, но, правильно ли я

понимаю, что, в отличии от kvm, сделать простой редирект консоли (com-порта) виртуалки на telnet-сессию в openstack нельзя и вариантов, кроме как через spice или vns нет, а там, соответственно, нужна авторизация, c добавлением пользователя и прочими телодвижениями?

44 ответов

49 просмотров

Стикер

vns?

P-P Автор вопроса
gwaewion
screenshot vns?

vnc, само-собой.

Вопрос не тупой, но спросил не очень понятно, судя по ответам) Можно вот так: https://docs.openstack.org/nova/latest/cli/nova-serialproxy.html

P-P Автор вопроса

Спасибо за ответ! Попробую покопать в эту сторону. Я пока что нашёл только вот такой вариант - https://docs.openstack.org/newton/user-guide/cli-access-instance-through-a-console.html Но, это не com-порт, само-собой.

P P
Спасибо за ответ! Попробую покопать в эту сторону....

А тебе для чего удаленный доступ к serial консоли?

P-P Автор вопроса

Есть виртуалка, на ней крутится какой-то виртуальный роутер, который иногда требует (пере)настройки. У него есть mgmt0, понятное дело, но, если вдруг отвалился, или его испортили - надо как-то либо к локальной консоли (по аналогии с vmware) - напрямую присоединиться, либо к com-порту. Раньше это работало на kvm, там всё просто - либо virsh console, либо telnet на заранее перенаправленный порт. Теперь поднимают это же в openstack, хотелось бы понимать, можно ли сделать это с минимальными кастомизациями и, желательно, без двойной авторизации (сначала в openstack - потом в самой vm).

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

Ну если консольный порт незапароленным держать, то без двойной.

P-P Автор вопроса
J
Ну если консольный порт незапароленным держать, то...

Да, но тогда авторизация на openstack делаться будет, а это дополнительный геморрой - не технический, организационный.

P P
Да, но тогда авторизация на openstack делаться буд...

А как ты без авторизации хочешь доступ получать?

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

изначально не правильный подход, вы уж простите меня за мое хамство, но это пистец. Первое mgmt можно перенаправить на admin vlan, и настроить все по уму. Консоль она и есть консоль, она у вас и останется при virsh console из компьют ноды

P-P Автор вопроса
J
А как ты без авторизации хочешь доступ получать?

в идеале - чтобы была только внутренняя авторизация самой виртуалки. Ну и да, роутер плюётся и в графическую консоль и в com-порт.

P P
в идеале - чтобы была только внутренняя авторизаци...

А графическая консоль чем тогда плоха?

P-P Автор вопроса
icewolf
изначально не правильный подход, вы уж простите ме...

я не думаю, что команду, которая админит роутер впустят в кишки опенстака :).

P-P Автор вопроса
icewolf
При чем тут это?

чтобы набрать virsh console - надо для начала залогиниться по ssh на compute node, не так ли?

P-P Автор вопроса
icewolf
так ли

Ну вот. Этого и не дадут сделать, скорее всего.

P P
я не думаю, что команду, которая админит роутер вп...

Зачем в кишки? Через политики или app credentials команде сетевиков можно оставить минимум прав

P P
Ну вот. Этого и не дадут сделать, скорее всего.

А в браузере открыть novnc консоль тоже не дадут?)

P-P Автор вопроса

Я думаю, сам факт локального логина по ssh вызовет паранойю. Тем более, если надо будет что-то крутить, чтобы virsh заработал для их юзера. А если ещё и виртуалка мигрирует между compute хостами - ещё сложнее становится.

P-P Автор вопроса
J
А в браузере открыть novnc консоль тоже не дадут?)

Ну, это, вроде как, выглядит чуть менее подозрительным (я пытаюсь заранее представить аргументы), но - если есть техническая возможность вообще не прикасаться к openstack - было бы неплохо. Ну, если нет - значит нет.

P P
Я думаю, сам факт локального логина по ssh вызовет...

Тебе не надо никуда логиниться. Тебе надо как обычному пользователю через api или консольным клиентом получить ссылку на novnc консоль и дальше в браузере ее открыть.

P-P Автор вопроса
J
Тебе не надо никуда логиниться. Тебе надо как обыч...

Ну вот, чтобы ссылку получить - надо же для начала пройти авторизацию в самом openstack, я же правильно понимаю?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Да. Но там же гибкие политики и можно пользователю вообще все запретить кроме получения ссылки на консоль.

P-P Автор вопроса
J
Да. Но там же гибкие политики и можно пользователю...

Ну, значит, если нет других вариантов - остаётся этот. А он, кстати, только на гуёвую консоль умеет редиректить, или на com-порт тоже?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Для того что бы получить ссылку, тебе надо использовать openstack-cli, авторизоваться и получить ссылку, url ссылки отдать безопасникам/сетевикам(или кто там рулит) и все. Если у них не получается(бывают случаи:рукажопаголова), это их проблемы. Ты инженер, а не разраб и выдумывать всякую дичь через апи это разработка, которая стоит деняг(тебе их не заплатят).

P-P Автор вопроса
icewolf
Для того что бы получить ссылку, тебе надо использ...

Ну штош... Будем думать :). Спасибо за подсказку!

P P
Ну штош... Будем думать :). Спасибо за подсказку!

не за что, обращайтесь. Если нужно компетентно разъ***ь этих безобразников тоже обращайтесь..

P P
Ну, значит, если нет других вариантов - остаётся э...

Ссылка на serial консоль будет через websocket. Нужна какая-то реализация websocket клиента, как в ссылке что я кидал. Терминальным эмулятором напрямую по ней не цепанешься. Смотри. Вот про app credentials: https://docs.openstack.org/keystone/latest/user/application_credentials.html Можно сгенерировать себе типа промежуточный токен, не давая доступ к пользователю в опенстеке напрямую. И через access rules разрешить только получать доступ к консолям. https://docs.openstack.org/api-ref/compute/#get-serial-console-os-getserialconsole-action-deprecated https://docs.openstack.org/api-ref/compute/?expanded=get-serial-console-os-getserialconsole-action-deprecated-detail#show-console-connection-information

J
Ссылка на serial консоль будет через websocket. Ну...

И можно дергать вызов к api с app credential хоть из батника и в ответ выплевывать ссылку. А можно вашим ребятам сляпать простенькое веб приложение которое будет само ссылку получать и вы когда его будете открывать, там будет уже готовая к работе консолька.

J
Ссылка на serial консоль будет через websocket. Ну...

Ну или типа вот такого можно сляпать) https://github.com/lafikl/telsocket

P-P Автор вопроса
J
Ссылка на serial консоль будет через websocket. Ну...

Ох. Надеюсь, им будет хватать гуёвой консоли...

P P
Ох. Надеюсь, им будет хватать гуёвой консоли...

Я же тебе вот, сообщением выше скинул реализацию клиента)

P-P Автор вопроса
J
Я же тебе вот, сообщением выше скинул реализацию к...

Да это понятно, я просто хочу обойтись минимальным количеством сущностей. Хрен его знает, откуда они будут пытаться ломиться на эту консоль и с какими локальными правами... Как бы то ни было - спасибо за наводку :)

virsh console с гипервизора так и продолжает работать, пользуйтесь ею, если нравится

Ilya
virsh console с гипервизора так и продолжает работ...

Там безобразники(с мозолью на пальце)

P-P Автор вопроса
Ilya
virsh console с гипервизора так и продолжает работ...

Это, скорее всего, не выйдет по административным соображениям.

J
Небэзопасно)

Небумажепасно. Такие вот доводят до зла и когда регуляторы приходят и выписывают штрафу или останавливают деятельность вылетают нахер. Дежурные жопы короче

icewolf
Небумажепасно. Такие вот доводят до зла и когда ре...

Та черт с ними) Решений полдюжины точно можно придумать, которые ваще с опенстеком не связаны и при этом безопасны с практической точки зрения.

P P
Это, скорее всего, не выйдет по административным с...

я выше написал. Обычно делают отделеную сетку в той же сертифицированной стойке, обмазывают криптошлюзами и до офицера безопасности тянется

P-P Автор вопроса
icewolf
я выше написал. Обычно делают отделеную сетку в то...

Ради одного хоста такое городить не будут, скорее просто в задницу пошлют сходу.

P P
Ради одного хоста такое городить не будут, скорее ...

Если там какая нить s-terra или что нить такое будут.

Похожие вопросы

Обсуждают сегодня

Господа, а что сейчас вообще с рынком труда на делфи происходит? Какова ситуация?
Rꙮman Yankꙮvsky
29
А вообще, что может смущать в самой Julia - бы сказал, что нет единого стандартного подхода по многим моментам, поэтому многое выглядит как "хаки" и произвол. Короче говоря, с...
Viktor G.
2
@Benzenoid can you tell me the easiest, and safest way to bu.y HEX now?
Živa Žena
20
This is a question from my wife who make a fortune with memes 😂😂 About the Migration and Tokens: 1. How will the old tokens be migrated to the new $LGCYX network? What is th...
🍿 °anton°
2
30500 за редактор? )
Владимир
47
а через ESC-код ?
Alexey Kulakov
29
What is the Dex situation? Agora team started with the Pnetwork for their dex which helped them both with integration. It’s completed but as you can see from the Pnetwork ann...
Ben
1
Гайс, вопрос для разносторонее развитых: читаю стрим с юарта, нада выделять с него фреймы с определенной структурой, если ли чо готовое, или долбаться с ринг буффером? нада у...
Vitaly
9
Anyone knows where there are some instructions or discort about failed bridge transactions ?
Jochem
21
@lozuk how do I get my phex copies of my ehex from a atomic wallet, to move to my rabby?
Justfrontin 👀
11
Карта сайта