Похожие чаты

Коллеги, прошу прощения за тупой вопрос, но, правильно ли я

понимаю, что, в отличии от kvm, сделать простой редирект консоли (com-порта) виртуалки на telnet-сессию в openstack нельзя и вариантов, кроме как через spice или vns нет, а там, соответственно, нужна авторизация, c добавлением пользователя и прочими телодвижениями?

44 ответов

18 просмотров

Стикер

vns?

P-P Автор вопроса
gwaewion
screenshot vns?

vnc, само-собой.

Вопрос не тупой, но спросил не очень понятно, судя по ответам) Можно вот так: https://docs.openstack.org/nova/latest/cli/nova-serialproxy.html

P-P Автор вопроса

Спасибо за ответ! Попробую покопать в эту сторону. Я пока что нашёл только вот такой вариант - https://docs.openstack.org/newton/user-guide/cli-access-instance-through-a-console.html Но, это не com-порт, само-собой.

P P
Спасибо за ответ! Попробую покопать в эту сторону....

А тебе для чего удаленный доступ к serial консоли?

P-P Автор вопроса

Есть виртуалка, на ней крутится какой-то виртуальный роутер, который иногда требует (пере)настройки. У него есть mgmt0, понятное дело, но, если вдруг отвалился, или его испортили - надо как-то либо к локальной консоли (по аналогии с vmware) - напрямую присоединиться, либо к com-порту. Раньше это работало на kvm, там всё просто - либо virsh console, либо telnet на заранее перенаправленный порт. Теперь поднимают это же в openstack, хотелось бы понимать, можно ли сделать это с минимальными кастомизациями и, желательно, без двойной авторизации (сначала в openstack - потом в самой vm).

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

Ну если консольный порт незапароленным держать, то без двойной.

P-P Автор вопроса
J
Ну если консольный порт незапароленным держать, то...

Да, но тогда авторизация на openstack делаться будет, а это дополнительный геморрой - не технический, организационный.

P P
Да, но тогда авторизация на openstack делаться буд...

А как ты без авторизации хочешь доступ получать?

P P
Есть виртуалка, на ней крутится какой-то виртуальн...

изначально не правильный подход, вы уж простите меня за мое хамство, но это пистец. Первое mgmt можно перенаправить на admin vlan, и настроить все по уму. Консоль она и есть консоль, она у вас и останется при virsh console из компьют ноды

P-P Автор вопроса
J
А как ты без авторизации хочешь доступ получать?

в идеале - чтобы была только внутренняя авторизация самой виртуалки. Ну и да, роутер плюётся и в графическую консоль и в com-порт.

P P
в идеале - чтобы была только внутренняя авторизаци...

А графическая консоль чем тогда плоха?

P-P Автор вопроса
icewolf
изначально не правильный подход, вы уж простите ме...

я не думаю, что команду, которая админит роутер впустят в кишки опенстака :).

P-P Автор вопроса
icewolf
При чем тут это?

чтобы набрать virsh console - надо для начала залогиниться по ssh на compute node, не так ли?

P-P Автор вопроса
icewolf
так ли

Ну вот. Этого и не дадут сделать, скорее всего.

P P
я не думаю, что команду, которая админит роутер вп...

Зачем в кишки? Через политики или app credentials команде сетевиков можно оставить минимум прав

P P
Ну вот. Этого и не дадут сделать, скорее всего.

А в браузере открыть novnc консоль тоже не дадут?)

P-P Автор вопроса

Я думаю, сам факт локального логина по ssh вызовет паранойю. Тем более, если надо будет что-то крутить, чтобы virsh заработал для их юзера. А если ещё и виртуалка мигрирует между compute хостами - ещё сложнее становится.

P-P Автор вопроса
J
А в браузере открыть novnc консоль тоже не дадут?)

Ну, это, вроде как, выглядит чуть менее подозрительным (я пытаюсь заранее представить аргументы), но - если есть техническая возможность вообще не прикасаться к openstack - было бы неплохо. Ну, если нет - значит нет.

P P
Я думаю, сам факт локального логина по ssh вызовет...

Тебе не надо никуда логиниться. Тебе надо как обычному пользователю через api или консольным клиентом получить ссылку на novnc консоль и дальше в браузере ее открыть.

P-P Автор вопроса
J
Тебе не надо никуда логиниться. Тебе надо как обыч...

Ну вот, чтобы ссылку получить - надо же для начала пройти авторизацию в самом openstack, я же правильно понимаю?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Да. Но там же гибкие политики и можно пользователю вообще все запретить кроме получения ссылки на консоль.

P-P Автор вопроса
J
Да. Но там же гибкие политики и можно пользователю...

Ну, значит, если нет других вариантов - остаётся этот. А он, кстати, только на гуёвую консоль умеет редиректить, или на com-порт тоже?

P P
Ну вот, чтобы ссылку получить - надо же для начала...

Для того что бы получить ссылку, тебе надо использовать openstack-cli, авторизоваться и получить ссылку, url ссылки отдать безопасникам/сетевикам(или кто там рулит) и все. Если у них не получается(бывают случаи:рукажопаголова), это их проблемы. Ты инженер, а не разраб и выдумывать всякую дичь через апи это разработка, которая стоит деняг(тебе их не заплатят).

P-P Автор вопроса
icewolf
Для того что бы получить ссылку, тебе надо использ...

Ну штош... Будем думать :). Спасибо за подсказку!

P P
Ну штош... Будем думать :). Спасибо за подсказку!

не за что, обращайтесь. Если нужно компетентно разъ***ь этих безобразников тоже обращайтесь..

P P
Ну, значит, если нет других вариантов - остаётся э...

Ссылка на serial консоль будет через websocket. Нужна какая-то реализация websocket клиента, как в ссылке что я кидал. Терминальным эмулятором напрямую по ней не цепанешься. Смотри. Вот про app credentials: https://docs.openstack.org/keystone/latest/user/application_credentials.html Можно сгенерировать себе типа промежуточный токен, не давая доступ к пользователю в опенстеке напрямую. И через access rules разрешить только получать доступ к консолям. https://docs.openstack.org/api-ref/compute/#get-serial-console-os-getserialconsole-action-deprecated https://docs.openstack.org/api-ref/compute/?expanded=get-serial-console-os-getserialconsole-action-deprecated-detail#show-console-connection-information

J
Ссылка на serial консоль будет через websocket. Ну...

И можно дергать вызов к api с app credential хоть из батника и в ответ выплевывать ссылку. А можно вашим ребятам сляпать простенькое веб приложение которое будет само ссылку получать и вы когда его будете открывать, там будет уже готовая к работе консолька.

J
Ссылка на serial консоль будет через websocket. Ну...

Ну или типа вот такого можно сляпать) https://github.com/lafikl/telsocket

P-P Автор вопроса
J
Ссылка на serial консоль будет через websocket. Ну...

Ох. Надеюсь, им будет хватать гуёвой консоли...

P P
Ох. Надеюсь, им будет хватать гуёвой консоли...

Я же тебе вот, сообщением выше скинул реализацию клиента)

P-P Автор вопроса
J
Я же тебе вот, сообщением выше скинул реализацию к...

Да это понятно, я просто хочу обойтись минимальным количеством сущностей. Хрен его знает, откуда они будут пытаться ломиться на эту консоль и с какими локальными правами... Как бы то ни было - спасибо за наводку :)

virsh console с гипервизора так и продолжает работать, пользуйтесь ею, если нравится

Ilya
virsh console с гипервизора так и продолжает работ...

Там безобразники(с мозолью на пальце)

P-P Автор вопроса
Ilya
virsh console с гипервизора так и продолжает работ...

Это, скорее всего, не выйдет по административным соображениям.

J
Небэзопасно)

Небумажепасно. Такие вот доводят до зла и когда регуляторы приходят и выписывают штрафу или останавливают деятельность вылетают нахер. Дежурные жопы короче

icewolf
Небумажепасно. Такие вот доводят до зла и когда ре...

Та черт с ними) Решений полдюжины точно можно придумать, которые ваще с опенстеком не связаны и при этом безопасны с практической точки зрения.

P P
Это, скорее всего, не выйдет по административным с...

я выше написал. Обычно делают отделеную сетку в той же сертифицированной стойке, обмазывают криптошлюзами и до офицера безопасности тянется

P-P Автор вопроса
icewolf
я выше написал. Обычно делают отделеную сетку в то...

Ради одного хоста такое городить не будут, скорее просто в задницу пошлют сходу.

P P
Ради одного хоста такое городить не будут, скорее ...

Если там какая нить s-terra или что нить такое будут.

Похожие вопросы

Обсуждают сегодня

А кто-то пробовал, уезжая из Эстонии получить э-рез и продолжить вести предпринимательскую деятельность внутри Эстонии, используя свой OÜ?
Lalalashechki Lalala
62
@MrMiscipitlick А можешь макрос написать, который будет вычислять смещение относительно переданных меток? Просто .label1-.label2, и вернуть значение.
КТ315
35
Чем оно проблема?
Nikita Uzumaki
21
@samkazemian - couple questions: Update on frxBTC? - This would do well with the current influx of institutional investment entering the space Update on future veFXS streams...
Costi
16
я не магистр хаскеля, но разве не может лейзи тип конвертнуться в не-лейзи запросив вычисление содержимого прям при инициализации?
deadgnom32 λ madao
100
А еще в перле можно уже @arr1 + @arr2?
Sergei Zhmylove
53
Подобного рода ;Следующие три строки это директивы ассемблера, ;которые можно не задавать, т.к.работаем в Visual Studio. ;Символ ";" - это начало однострочного комментария ...
Егор Анелькин
3
Does anyone here have a connection Mullvad? it would be nice to know what it would take to have them accept BCH 0-conf.
tl121x
16
Can an XMR transaction be tracked from its sender to its receiver by performing blockchain analysis, no matter how many addresses are used?
Trkz342
16
I arrived here after a Chico Crypto show highlighted the project & the Team - the fact that the Team had a long history of successfully working with household names gave me e...
Banter is Bullish
5
Карта сайта