Сборка ядра линукса для собственного сервера (хостинг php- python-проектов, включая приложения для соцсетей, планируется высокая нагрузка) |
Здравствуйте, гость ( Вход | Регистрация )
Настоящие Правила Раздела являются дополннением к Общим Правилам Конференции. В случаях противоречий отдельных пунктов, действуют Правила Раздела.
Сборка ядра линукса для собственного сервера (хостинг php- python-проектов, включая приложения для соцсетей, планируется высокая нагрузка) |
Lord Daedra |
01.05.2011, 12:19
Сообщение
#1
|
Группа: Старые пользователи Сообщений: 746 Регистрация: 11.05.2005 Из: Entropia Пользователь №: 1,273 Репутация: 224 |
Всем привет!
Не нашёл подходящего раздела, поэтому напишу тут. Мне бы хотелось составить примерный шаблончик конфигурации ядра линукса под серверное использование на высоконагруженных серверах. Думаю, это было бы многим полезно. Вообще, я использовал Ubuntu Server и был счастлив, но сейчас захотелось собрать что-то более оптимизированное под мои задачи, к тому же Ubuntu, увы, не rolling release. Использовать на сервере я планирую Gentoo (но возможно передумаю в сторону ArchLinux), так как она отличается достаточной гибкостью и при этом является rolling-release'ом (то есть пакеты свежие, что мне очень нравится). Потестировав немного Gentoo на домашней впске я обнаружил такие технологии как grsecurity (http://grsecurity.net/), pax (http://pax.grsecurity.net/) ( для использования этой технологии используется патченый gcc (туда добавляется поддержка SSP и(или) PIE)), rbac, selinux... Вообщем, это классные фишки, но они тормозят. Так как я не админ, то хотелось бы спросить более опытных в этом плане людей - что из этого имеет смысл использовать на сервере при условии, что на этом сервере нет пользователей кроме администратора (и каких-либо скриптов, про которые администратор не знает) и вход на ssh только по ключам, нет ftp, нет почты, нет днс, нет апача (есть nginx), есть mysql, есть couchdb, есть python и всё что с ним связано (деплоймент через uWSGI), есть php-fpm с suhosin? То есть взлом возможен лишь через какие-то кривые скрипты (php, python)... Имеет ли вообще смысл в hardened-ядре или лучше не стоит это всё ставить (hardened ядро со всеми этими патчами) и использовать vanilla ядро? То есть насколько большая плата производительностью за безопасность, не слишком ли она большая? Кроме того, что точно следует отключать в ядре или как-то настраивать? (ну, помимо неиспользуемого оборудования и файловых систем) Было бы интересно собрать в этой теме примерные рекомендации по настройке ядра. Забыл добавить, что пока я поэкспериментировал только с Btrfs-raid1 (как замена software raid1+LVM) на / и systemd, и то и другое у меня ок заработало. Btrfs имеет оптимизации для SSD-дисков, поэтому интересная вещь на мой взляд, а systemd - просто потому что после убунтушного upstart'a мне показалось как-то неправильным возвращаться на обычный gentoo-шный sysvinit... Потом попробовал подключить grsecurity и отключить ненужные вещи, правда эта попытка была не очень удачной :-) Но планирую разобраться в этом. Не стал делать тему в закрытых разделах, думаю, это будет интересно многим владельцам обычных серверов... Возможно, кто-то сможет посоветовать интересные статьи по теме или расскажет о своём опыте... Спасибо! |
eSupport.org.ua |
13.05.2011, 16:43
Сообщение
#31
|
Одесский сисадмин Группа: Старые пользователи Сообщений: 5,200 Регистрация: 18.11.2004 Из: Одесса Пользователь №: 823 Репутация: 265 |
большинство разработчиков не хотят становиться ещё и админами, они не хотят разбираться с линуксом в том или ином виде, им хватает своего php/python/ruby , на котором они пишут ... тем более с Gentoo :-)) Не хотят - пусть платят тем, кто хочет Булки разработчики не пекут и сапогов не шьют Так и тут |
Lord Daedra |
13.05.2011, 19:32
Сообщение
#32
|
Группа: Старые пользователи Сообщений: 746 Регистрация: 11.05.2005 Из: Entropia Пользователь №: 1,273 Репутация: 224 |
Ну, да, я вообщем-то согласен, это просто пример про не очень занятую хостерами нишу. Чтобы использовать MySQL разработчику надо просто купить любой хостинг, чтобы использовать CouchDB/MongoDB разработчику надо становиться админом или нанимать админа, это в любом случае выйдет дороже, да и без админа VPS как правило дороже обычного shared-хостинга.
|
Текстовая версия | Сейчас: 26.09.2024, 03:30 |