[devel] Минимальный VE огромен -- много мусора

[Anton Farygin]

On 01.05.2014 00:54, Денис Смирнов wrote:
> On Wed, Apr 30, 2014 at 01:00:48PM +0400, Anton Farygin wrote:
>
>>> И я уже не раз сталкивался с задачами, где проще запустить несколько
>>> астерисков, чем заставить эту скотину не глючить, не падать и не
>>> дедлочиться.
>> Хм... а я ещё думал отказаться от FreeSWITCH. Оно как-то работает, не
>> глючит и не падает.
>
> Мы его, возможно, сильно по-разному используем. Там где я юзаю меня мучают
> хитрыми AGI и AMI приложениями. И я периодически матерюсь, например, что
> эта скотина умудряется в AMI при неудачных звонках отправить сообщение о
> завершении соединения _до_ сообщения о начале попытки.

Да, до AGI и AMI приложений я ещё не добрался.

>
>> OpenVZ ещё жив ? Там ядро всё ещё 2.6.32 ? А как на этом ядре живёт
>> современный юзерспейс ?
>
> OpenVZ вряд ли сдохнет, уж слишком много кто на него завязывается.
>
>>> Управляемостью. Собрав один раз VE для конкретной функциональности я могу
>>> её полностью изолировать, и совершенно отдельно обновлять и т.д.
>> А мне кажется что это как раз немного раздувает ресурсы по
>> администрированию. Хотя, если ты не планируешь с этим VE ничего делать,
>> то наверное ты прав ;)
>
> Идеальная VE -- это практически не требующая администрирования. Моя мечта
> :)

Чудес не бывает, всё-равно что-то делать в ней придётся. Ну, как минимум 
обновления накатывать твоего чудесного приложения ;)

>
>>> Идеальная система с моей точки зрения это вообще "одна функция -- один
>>> компьютер", но для SOHO это неприемлимо дорого и сложно в
>>> администрировании. "одна функция -- одна VE" это приемлемый компромисс.
>> А не кажется ли тебе что одна функция - один VE может привнести больше
>> проблем в долгосрочной перспективе, чем одна функция - один сервер или
>> много функций-один сервер ?
>> Ну, например, у тебя будет пачка очень старых протухших VE с
>> потенциально дырявым userspace, или в случае слома хост-системы все VE
>> будут тоже взломаны.
>
> Там, где допустимы редкие сбои с оперативностью "пока админ не добежит"
> вообще в таких VE можно делать apt-get upgrade по крону.

Надо попробовать.

>
> Ну и с точки зрения безопасности -- пока не взломана HN, такая пачка
> надежнее будет. Как минимум из-за изолированности данных разных сервисов,
> и возможности более жестко контролировать какой сервис к какому, и к каким
> данным имеет доступ.

Здесь спору нет. Тут скорее возникает вопрос о хост системе - там то по 
крону совсем страшно делать обновления, и это самое уязвимое место с 
точки зрения архитектуры.

>
>>> И в этом случае подразумевается, что могут быть VE, у которых даже ssh (о
>>> ужас!) не будет. Вообще-то для этой идеи было бы идеальным даже заменить
>>> sh+coreutils на busybox, но это совершенно не ясно как сделать более-менее
>>> удобно и дистрибутивно.
>> Если тебя не напрягает ещё одно ядро, то это как раз делается тривиально
>> - kvm + kernel + initramfs
>> Но Overhead по памяти выше VZ. Правда и плюсов тоже приличное
>> количество, включая разные ядра и разные ОС.
>> А при теперешней стоимости памяти оно ещё и дёшево получается.
>
> А initramfs чем собирать? И, кстати, VoIP и прочее риалтайм добро как себя
> в KVM чувствует?
initramfs собирать с помощью mkimage

VOIP в kvm не запускал, у меня весь VoIP крутится на атомах (такая вот 
аппаратная виртуализация). Из серии один сервер - одна задача. Очень 
чудно, IPMI только не хватает.