Переход с Netware на Linux. Опыт. История.

[Игорь Вершинин]

1. Никсы (любые) в плане организации файловой системы - как безопасности, так и скорости/удобства администрирования - убожественны. Пока они не отойдут от идеологии "everything is a file" (а они не отойдут, потому как это уже будет не никс ), так убожеством и останутся.
2. Про ACL просто говорить не хочется. Наследования - нет, назначения - статические, по причине отсутствия наследования - нет IRF. В результате - на томе нетвари права выставляются минут за 5 и можно быть твердо уверенным, что то, что надо - открыто, что не надо - закрыто, на фрюниксе - сидишь и грызешь кактус, проверяя - а правильно ли настроено. Коли уж беремся сравнивать ФС - сравнивать нада мелкомягкие поделки с фрюниксами. Там, по крайней мере, есть что сравнивать Иначе - "некорректно заданы начальные условия сравнения".
3. Про функционал - думается мне, что Loky имел в виду возможности нетвари и ОЕС в плане охвата корпоративных нужд. Здесь я с ним, пожалуй, соглашусь - во фрюниксах нет ни грамотного центра управления (яст, вебмин и пр, простите, - не принимаются. Хочется поспорить? Возьми настрой Split DNS и пройдись разок ястом или вебмином по named.conf ), ни централизации управления как такового. В результате - вместо нормальной и надежной корпоративной платформы имеем, безусловно, мощную системы. Никак, к сожалению, на роль корпоративного сервера-конкурента той же нетвари претендовать не могущего.

Может я чего-то не понимаю. Но говоря про корпоративные системы как-то отодвинули в сторону Red Hat. Там Линукс в наиярчайшем проявлении. И охват рынка поболее, чем у Суси, а тем паче OES. Т.е. можно долго ломать копья по поводу технологий и открывающихся переспектив, но так ли они нужны для массового применения?

То, что NW умерла спорить, я думаю, бессмысленно. То, что мне она нравилась, но из-за катастрофического количества глюков и недоделок мы с нее ушли. Пользователям не нравится когда сервисы работают слегка не так как обещали, а время uptime сервера их совершенно не волнует - главное, чтобы во время рабочего дня не было простоев.

Про OES я читаю лишь на этом форуме и еще на нескольких буржуйских сайтах. Это что? массовость? элитарность?

Вот какой мой опыт. Установленный сервер под Fedora Core 3 (на этом месте мог бы быть каждый Линукс) работает уже почти два года. За все время было несколько перезагрузок. За последний год вообще ни одной. Он уже не обновляется через yum, потому как снят с официальной поддержки. Работает. Второй сервер стоит под Fedora Core 5, потому как для экспериментов по обновлению систем. Главная его задача - дублирование важной информации и хранилище для всяких бэкапов. Там же все нарезается на болванки для хранения в сейфе. Третий служит гейтом в Инет. Там еще пылится Fedora Core 2. Древняя. До этого там была NW6, но в качестве гейта явно проигрывала. Четвертый и пятый сервера стоят в одном филиале. Все под FC3, потому как лень ездить обновлять, а прямого канала в Инет у них нет, обновлялись с нашего сервака, а тот уже снят с поддерки ... Стоят сервера под Win2k3. Используются как - сервер БД (для 1С), теринальные сервера. Контроллер домена на Samba на первом сервере, который на FC3.

Что я скажу про конфигурирование системы. Да, непросто. Особенно после гуишных утилит а-ля Microsoft&Novell. Да, надо читать доки. Да, надо документировать свои действия, чтобы потом все быстро вспомнить. НО! Во-первых, все работает так, как я этого хочу. Во-вторых, настраивать только первый сервер надо. Дальше методом копирования текстовых конфигов все поднимается за минуты. (как и восстанавливается в случае полной перестановки системы). Конфиги аккуратно записываются на болванку и хранятся в ящике стола. Все очень просто. Использование всяких Norton Ghost может существенно упростить задачу, но если учесть, что за два года всего лишь раз переустановили сервер, когда сгорел контроллер RAID, то.. неоправдано.

Так что петь военные песни про удобство конфигурирования не надо. Это действительно надо, если все время надо что-то подшаманивать. А на работающей системе надо лишь заводить/удалять пользователей и права на файловую систему раздавать. Тут приходит на помощь единожды настроенный OpenLDAP и какой-нибудь LDAP Account Manager. Ну и проводник Windows.

Тема, действительно, стала немного флэймовая.

P.S. Господа, не надо забывать, что мир гораздо ярче и богаче, нежели видится из своего, пусть даже самого прекрасного, хутора.

[Иван Левшин aka Ivan L.]

Игорь Вершинин - привет для начала

Теперь - по поводу. У меня самого стоит линух и кое-что на нем действительно работает. Мне оно нравится - опять же в принципе. Но управлять всем этим - довольно тяжко. Потому я и говорю - как корпоративная среда оно, мягко говоря, тяжковато. Именно вследствие того, что надо вкуривать тьму доков по сервисам, потом - по увязке сервисов вместе в одну кучу. Хотя когда настроишь - можно вполне собой гордиться, согласен.

Кстати - никак не понимаю пренебрежения со стороны линуксоидов к "лоховатым гуевым утилитам a la Novell&Microsoft". Гуевая утиль, где все собрано в одном месте - это плохо, да? Гораздо удобнее вникать в своеобразный формат текстовых конфигов, который чаще всего специфичен для отдельного сервиса?

И - может пояснишь здесь или в отдельной ветке - какие такие необоримые глюки и падение сервисов убедили тебя в порочности Netware-way? У меня вот оно работает уже больше пяти лет - ничего так, доволен.

P.S. Господа, не надо забывать, что мир гораздо ярче и богаче, нежели видится из своего, пусть даже самого прекрасного, хутора.

А мы об этом и не забываем. Найди, плз, кто здесь говорил о том, что линукс много хуже нетвари в принципе? Все люди взрослые и прекрасно понимают, что нормальные сети - всегда гетерогенны. И не надо насиловать нетварь, заставляя делать то, что линух делает лучше, и не надо делать подобное с линухом. Ты же для того, чтобы гвозди забивать - наверняка берешь молоток, а не плоскогубцы или гаечный ключ?

[Игорь Вершинин]

Тоже, здрасте.

Управлять на Линуксе, действительно непросто, если подходить к этому со стороны "классики". Т.е. отдельная служба - отдельный каталог, конфиг и т.п.
Я достаточно долго проработал с NW и eDir, чтобы быстро отвыкнуть от хорошего, с точки зрения управления. Посему, когда мы начали разворачивать Линукс, сразу стал вопрос в удобстве повседневного администрирования. Остановились на OpenLDAP. Думаю, понятно почему. Посмотрели, какие нужные нам службы, могут с ним работать.
Так как до этого с Линуксом никто особо не работал, то никаких предпочтений по выбору софта у нас не было. Все отбиралось по принципу "LDAP-совместимости". Таким образом, получили список из разных там Самб, Постфиксов и т.п.
Один раз помучались - создали конфиги, максимально все управление пытались засунуть в OpenLDAP. Например, PostFix берет как список доступных юзеров, так и списки доменов из OpenLDAP, что очень удобно. Так же как и Самба. Еще ряд специфических веб-служб (ну, тут Апача помог). Один уродец только выпал из этой схемы - это Cyrus-IMAP. Там надо создавать свою базу пользователей, их отдельно администрить. Крайне неудобно. Но замену вроде как нашли - DBMail. Попробуем до конца года на нее мигрировать, если кому интересно, опишу опыт перехода.
Вот и получается, что конфиги мы один раз настроили и все. Практически больше в них и не ковыряемся - все через LDAP. И что тут неудобного в администрировании?

По поводу гуевых утилит. Мне нравится. В Линуксе, все что я видел, или криво, или очень криво, за редким исключением. В продуктах Microsoft очень хорошо. У Novell, на момент моего расставания, средненько. NWAdm32 уже не поддерживалась, ConsoleOne имела какую-то странную поддержку, начал выползать на сцену iManager. Все это было как-то не очень удобно - одни вещи настраивались через одни утилиты, другие через другие, а BorderManager вообще с сервера, что достаточно печально, хотя иногда и оправдано.

Но в целом компания Novell сумела подсадить меня на иглу именуемую Служба Каталога. Так что никаких велосипедов при развертывании Линукса мы не изобретали, просто пытались повторить доступными средствами то, что работало на NW.

По падению сервисов на NW. Самое-самое-самое-самое неприятное. Это кривой клиент и, видимо, из-за этого, кривая работа ZENfD. Самая суровая проблема - недиагностируемые ошибки с профилями (то загружается с сервера, то нет, то сохраняется, то бьется). Потом, в ряде случаев, синие экраны и другие проблемы при интенсивном траффике между клиентом и сервером. Было еще что-то.... а вспомнил, как-то раз после установки сервис пака на клиента перестало дерево находится. Пришлось откатываться, хотя в сервис паке были какие-то критические для нас исправления. Служба печати подглючивала, при печати с клиента. Всего не помню, но помню, что времени много это отнимало.

Да, не спорю, в Базе Знаний были ответы на многие вопросы. Да, что-то исправляли. Какие-то возможности не использовали, так как "эта проблема известна, но решение пока не найдено". В общем-то, когда ушли на Самбу, все это как бабка отшептала. Хотя потеряли в управляемости самой рабочей станцией.

Так что проблемы у нас были не технологические, а обычные "бытовые". Может руки у нас кривые, может железо глючит. Но после исхода все стало нормально.

Порочности никакой в использовании NW нет. Все хорошо, за исключением кучи ошибок в коде, влияющих как на удобство работы, так и на саму работу. Пользователям ведь совершенно параллельно под чем работают сервера. Хоть под ДОС, но если юзверь не сможет загрузить профиль, или что-то там напечатать, но крику будет стоять....

[Иван Левшин aka Ivan L.]

Ну вот и пришли к единому знаменателю

1. Ошибки в коде - да, присутствуют. Это ж аксиома - бывает, что Hello, world! с первого раза не работает Точно так же они присутствуют на линухе - у нас вот, например, нет пока соответствующей квалификации, чтобы нормально диагностировать линух-сервер. Столкнулись с тем, что связка прокси+блокирующий демон начала валиться ни с того, ни с сего (так уверяет меня девелопер, хотя я подозреваю, что на пустом место просто так ничего не случается). Так вот мы пока не можем эту проблему решить - а ей уже две недели. Когда у меня на нетвари завалился иманагер - я проблему решил за два дня. Опираясь на КБ и группу товарищей с форума.
Вообще - как я поглядел, с диагностикой линуха в принципе проблем больше. Много больше приложений, практически не существует единой стандартизированной структуры программных решений. Оттого и ковыряться надо больше. Взять тот же опеннет.ру, который тут давеча приводился - одну и ту же проблему пытаются решать иногда диаметрально противоположными методами. Сидишь, смотришь - и моск на столе оттого, что не понимаешь - какое именно решение пользовать. Начинаешь пробовать - и через матюки и грабли таки решаешь. В такие моменты я обычно нечеловечески тоскую по нетваревскому инструментарию.

2. Гуевые утили в линухе - просто пестня. Яст считается вроде как одной из лучших утиль - однако когда я прошелся с дури ума его утилькой настройки ДНС по настроенному под сплит-днс конфиге - пришлось чистить руками. Так что ИМХО - гуевые утили на линухе фтопку. Вреда больше, чем пользы. И сомневаюсь, что они когда-то будут полезными - по причине зоопаркообразности линуха в принципе. Добавили запятую в исходник - все, прости-прощай утилька. А жаль - командная строка с ее утилитами, безусловно, признак нечеловеческого героизма админа, однако держать в памяти все ключи rpm я, к сожалению, не в состоянии.
Насчет опенлдап - не знаю, не сталкивался. Наверняка хорошая штука - раз вы довольны. Надо попробовать своих на него пересадить. А то все в иксах ковыряются, черти.

[Андрей Тр. aka RH]

Игорь, так у вас сейчас пользовательские профили лежат на Самбе, как я понимаю ?

[Игорь Вершинин]

Насчет опенлдап - не знаю, не сталкивался. Наверняка хорошая штука - раз вы довольны. Надо попробовать своих на него пересадить. А то все в иксах ковыряются, черти.

Нет. Не надо. Руками прописывать в конфиге какие поля надо индексировать - это слишком. Вроде как гибко, но нафиг такую гибкость. В eDir гораздо проще - поставил и забыл... Ну, схему еще расширил, что обычно и несложно.
Опять-таки штатного средства управления нет.

Есть Fedora Directory Server. Постороен на базе Netscape. Обещают графический интерфейс и т.п. Не знаю как по тестам и т.п. Но для нас, думаю, сильно не принципиально. Опять-таки базу можно хранить не в BerclyDB, а в PostgreSQL или MySQL. А это уже совсем другой уровень как администрирования, так и надежности.

[Игорь Вершинин]

Игорь, так у вас сейчас пользовательские профили лежат на Самбе, как я понимаю ?

Да. На Linux. Но там как-то все тривиально и просто настраивается, что даже удивительно. Создается отдельный ресурс /profiles, в нем директории с логинами юзеров и все. Плюс небольшая запись в конфиге Самбы.

[Иван Левшин aka Ivan L.]

Насчет опенлдап - не знаю, не сталкивался. Наверняка хорошая штука - раз вы довольны. Надо попробовать своих на него пересадить. А то все в иксах ковыряются, черти.

Нет. Не надо. Руками прописывать в конфиге какие поля надо индексировать - это слишком. Вроде как гибко, но нафиг такую гибкость. В eDir гораздо проще - поставил и забыл... Ну, схему еще расширил, что обычно и несложно.
Опять-таки штатного средства управления нет.

Есть Fedora Directory Server. Постороен на базе Netscape. Обещают графический интерфейс и т.п. Не знаю как по тестам и т.п. Но для нас, думаю, сильно не принципиально. Опять-таки базу можно хранить не в BerclyDB, а в PostgreSQL или MySQL. А это уже совсем другой уровень как администрирования, так и надежности.

Ну, я неправильно выразился У меня стоит и работает еДир - так что опенлдап мне просто без надобности. Имеется в виду - надо подумать над интеграцией сервисов линуха с еДиром. Звучит почти мифически - но надо своих пнуть. Пусть посмотрят - авось чего и получится.

А базу лучше хранить в постгре - мускуль чевойта мне совсем не нравится. ИМХО, конечно же

[Андрей Тр. aka RH]

Игорь, так у вас сейчас пользовательские профили лежат на Самбе, как я понимаю ?

Да. На Linux. Но там как-то все тривиально и просто настраивается, что даже удивительно. Создается отдельный ресурс /profiles, в нем директории с логинами юзеров и все. Плюс небольшая запись в конфиге Самбы.

И групповые политики тоже ? Т.е у вас клиенты логинятся типа в домен, которым притворяется Самба, так ?

[Иван Левшин aka Ivan L.]

Да, самба последних версий умеет эмулировать домен НТ (не АД). Говорят, что делает она это лучше, чем виндовый PDC Сам, правда, не пробвал. Соответственно, доменные групповые политики тоже должны работать.

[Андрей Тр. aka RH]

И политики можно применять к компьютерам по различному признаку, типа их членство в группе / контейнере ( или что у них там в домене ) ? аналогично с пользователями ?

[Dimerson]

Да, самба последних версий умеет эмулировать домен НТ (не АД). Говорят, что делает она это лучше, чем виндовый PDC Сам, правда, не пробвал. Соответственно, доменные групповые политики тоже должны работать.

хехе вроде как 2.5 уже могла. Но я начал с 3.XX - уже 2 года как пераццкий вендовый сервак (единственный) был заменен на Debain + Samba PDC + OpenLdap .... переезжал методом net rpc vampire юзеры утром ничего не заметили ... Уже и переезжал на новое железо путем slapcat / slapadd. Как я понял с профилями проблем нет никаких. С политиками тоже - просто в /netlogon ложится файл определенной структуры и имени и все (это гуглится).