ניהול של מכונה וירטואלית בענן פרטי

בלי כתוביותעם כתוביות

מילון מושגים:

שרת אינטרנט - תוכנה או מחשב שמקבלים בקשות HTTP ומגישים דפי אינטרנט ומשאבים ללקוחות.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

תבנית - מבנה בסיסי מוכן שממנו יוצרים פריטים דומים, כמו תבנית עמוד או תבנית מסמך.

CentOS - הפצת Linux ארגונית חינמית שהתבססה על Red Hat Enterprise Linux ושימשה נפוצות בשרתים.

sudo - פקודה ב-Linux שמריצה פקודה אחרת בהרשאות מוגברות, בדרך כלל של משתמש העל (root).

PuTTY - תוכנה חינמית ל-Windows לחיבור מרוחק לשרתים דרך SSH ופרוטוקולים נוספים.

netstat - פקודה שמציגה את חיבורי הרשת הפעילים במחשב ואת הפורטים שבשימוש.

כתובת ציבורית - כתובת IP ייחודית וגלויה באינטרנט, שדרכה אפשר להגיע למכשיר או לרשת מבחוץ.

ניהול של מכונה וירטואלית בענן פרטי

השיעור ממשיך את הדוגמה מהשיעור הקודם: התחברות לשרת הלינוקס בענן, קביעת סיסמאות, ניתוק וחיבור מחדש של כתובת חיצונית, והתקנת שרת ווב פשוט.

התחברות ושליטה

1. חיבור SSH: בפוטי מזינים את הכתובת הצפה ואת קובץ המפתח הפרטי, ומתחברים בשם המשתמש הדיפולטיבי של התבנית, כמו centos.

2. מעבר לרוט: הפקודה sudo su - מעבירה את המשתמש לרוט.

3. לוג cloud-init: בלוג העלייה הראשונה רואים את הגדרות הרשת ואת שתילת המפתח. המפתח הציבורי נמצא בקובץ authorized_keys בתיקיית .ssh של המשתמש הדיפולטיבי. תיקיית הבית של רוט אינה מכילה תיקיית .ssh, ולכן המפתח נכנס רק למשתמש הדיפולטיבי.

4. סיסמה לקונסולה: הפקודה passwd קובעת סיסמה למשתמש, כדי להיכנס מהקונסולה של OpenStack. בשיעור נקבעו סיסמאות חלשות לדוגמה, אבל בשרת עם IP ציבורי צריך סיסמאות חזקות.

ניתוק כתובת חיצונית

5. ניתוק: אפשר להתנתק מה-Floating IP דרך התפריט של המכונה. החיבור ב-PuTTY מתנתק, אבל הקונסולה נשארת זמינה, והמכונה עדיין יוצאת לאינטרנט ויכולה להוריד חבילות עם yum list.

שרת ווב פשוט

6. התקנה: מתקינים את httpd עם yum, מפעילים אותו עם systemctl enable ו-start, ובודקים עם netstat -tlnp שהשרת מאזין על פורט 80.

7. חוק פיירוול: בהתחלה הדפדפן לא הצליח להתחבר, כי קבוצת האבטחה כללה רק SSH. הפתרון היה ליצור קבוצה בשם Web עם חוק לפורט 80 ולצרף אותה למכונה, ואז דף Apache נפתח מבחוץ.

השיעור מסכם שהמכונה מוכנה לתוכן של שרת ווב, ומדגיש שכל שרת עם כתובת ציבורית צריך סיסמאות חזקות וסגירת פורטים מיותרים.

לחץ כאן להורדת הורדת קבצי Script של לינוקס שהיו בסרטים

מילון מושגים:

דיסק - התקן לאחסון קבוע של נתונים, כמו כונן קשיח (HDD) או כונן מבוסס זיכרון מהיר (SSD).

תיקייה - מכל במערכת הקבצים שמשמש לארגון קבצים ותיקיות אחרות בתוך מבנה היררכי.

מחיצה - חלוקה לוגית של דיסק פיזי לאזורים נפרדים, שכל אחד מתפקד כאילו הוא כונן עצמאי.

זיכרון - רכיב מהיר ונדיף שבו המחשב שומר נתונים ותוכניות בזמן ריצתם. תוכנו נמחק עם כיבוי המחשב.

דומיין - תחום ניהולי משותף של מחשבים ומשתמשים ברשת ארגונית, המנוהל מרכזית. גם שם ייחודי של אתר באינטרנט.

אימות - תהליך שמוודא שהמשתמש או המערכת הם מי שהם טוענים שהם, בדרך כלל באמצעות סיסמה, קוד או תעודה.

Active Directory - שירות מדריך של מיקרוסופט לניהול מרכזי של משתמשים, מחשבים והרשאות ברשת ארגונית מבוססת דומיין.

GPO - אובייקט מדיניות קבוצתית ב-Active Directory, שמכיל הגדרות ומדיניות המוחלות על משתמשים ומחשבים.

מבנה ושמות דיסקים ומחיצות בלינוקס:

(Sda (disk0): זה הדיסק הפיזי הראשון (SATA DISK)

(Sda1,Sda2 (Partitions in disk): אלו הן המחיצות בתוך הדיסק הפיזי הראשון.

(Sdb (disk1): זה הדיסק הפיזי השני כמו בוינדוס Disk1

(Sdb1,Sdb2 (Partitions in disk): אלו הן המחיצות בתוך הדיסק הפיזי השני.

מחיצת השורש הראשונה:

וינדוס: C

לינוקס: /

מחיצות נוספות:

וינדוס: D: / E:

לינוקס: /data /example כמו תיקיות.

הערה: בתהליך ההתקנה יוצרים מחיצה נוספת לזיכרון הווירטואלי שנקראת SWAP

מטרת צירוף לינוקס לדומיין הינה לאימות משתמשים מתוך Active Directory בלבד ואין GPO ללינוקס דרך AD.

הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה

פרקי ההרצאה: ניהול של מכונה וירטואלית בענן פרטי

תמלול ההרצאה: ניהול של מכונה וירטואלית בענן פרטי

הטקסט המלא של הדקות הראשונות בהרצאה «ניהול של מכונה וירטואלית בענן פרטי» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:04
שלום וברוכים הבאים בסרטון הזה אנחנו נתחבר לאינסטאנס של לינוקס באופן סטאק נתחבר אליו בssh נחליף את הסיסמה למשתמש הדפולטיבי ככה שנוכל גם להתחבר מהקונסול ונתחבר מהקונסול למכונה ונחקור מה יש בעצם בתוך המכונה איך נראית הסביבה של האופן סטאק מצד האינסטאנס שרץ בפנים.
00:38
אני פותח פוטי ובתוך הפוטי אני שותל את ה-floating IP, את ה-IP האמיתי ברשת האינטרנט של המכונה. שותל אותה כאן, עושה פייסט.
00:55
לאחר מכן אני הולך להגדרות של SSH וב-out אני אבחר את מפתח ההצפנה, את ה-private key, שזה קובץ PPC שיצרנו אותו בעזרת ה-Pוטי K, בסרטון הקודם, נבחר אותו, והוא בעצם ישתמש בקובץ הזה כמפתח לפתיחת ההצפנה.
01:31
ומפה אני יכול ללחוץ על Open ובעצם להתחבר עם המשתמש הדפולטיבי שבאינסטנסים של סנטו זה יהיה סנטוס, באינסטנסים של אובונטו זה יהיה אובונטו.
01:54
Public Key, שהוא כבר נמצא בשרת, שרת משך אותו בזמן ההתקנה. עכשיו אני אהפוך להיות רוט, כדי לעשות את זה אני ארשום sudo su- והראשון אני יכול להסתכל על הלוג של המכונה ובעצם לראות את התהליך שהמכונה עברה בעלייה הראשונה שלה.
02:26
לתהליך הזה קוראים cloud init, זה לסלבר לוג מסאג'ס, שיפט g כדי לקפוץ לסוף, ובעצם כאן אני רואה את הסוף של תהליך הקלאודינית, אני רואה את השתילה של מפתחות ההצפנה, כי אני רואה פה כל מיני הגדרות רשת שהתבצעו על המכונה, ואני יכול להיכנס לתיקיית הבית של המשתמש הדיפולטיבי cd/santos
03:14
ולראות ב-ssh.dot.ssh את הקובץ authorized keys ובעצם בתוך הקובץ הזה יהיה כאן את ה-public key שבעזרתו אני נכנס לתוך השרת. כמובן שה-public key לא מספיק לבדו כדי להשלים את תהליך האותנטיקציה ואת ה-public key אני יכול לפזר בכל מקום שאני רוצה
03:55
כדי שבעצם בהמשך אני אוכל להיכנס לשרתים האלה עם ה-private key. אם אני אסתכל בתיקיית הבית של רות, אני אראה שבכלל אין פה את התיקייה של .ssh, ומן הסתם גם אין שם את ה-codes authorized keys, ולכן אני יכול להיכנס עם ה-public key רק למעשה לתוך המשתמש הדפולטיבי, למשתמש ה-santos.
04:31
אם אני ארצה להיכנס למכונה דרך הקונסול, מה שאני צריך לעשות זה לתת סיסמה למשתמש sendOS. אני אעשה pathwd sendOS ואתן לו סיסמה. כמובן נתתי פה סיסמה לא טובה, אבל בגלל שאני רות מותר לי.
05:00
כמו כן, אני גם אשנה את הסיסמה של רות. כמובן עם הסיסמאות הלא טובות שנתתי, לא כדאי לי להשאיר את המכונה הזאת באוויר, במיוחד שיש לה Public IP כי לא יעברו כמה שעות עד שיפרצו עליה.
05:27
זה משהו שחשוב מאוד לזכור כאשר מדברים על מכונה שהיא בעצם מוגשת ויש לה IP פעיל באינטרנט. מה שאני יכול לעשות עכשיו זה להיכנס לקונסול של המכונה ולעשות לוגין, ועכשיו אני אוכל לעבוד גם אם לצורך העניין למכונה הזאת לא תהיה רשת.
06:14
אני אוכל ללכת כאן למכונה ולנתק אותה מהפלוטינג איי-פי, מהאיי-פי הציבורי שאעשות לה. דיסאוסייט לפלוטינג איי-פי.
06:34
ועכשיו חיבור שלי בפוטי עוד מעט יתנתק, ובכל מקרה שאני כנראה שלא אוכל לעשות חיבורים חדשים, ואני עדיין אוכל לעבוד עם המכונה הזאתי דרך הקונסול שלה.
07:24
כמובן שעדיף שלא להשאיר את המכונה אם משתמש הוא בלוגד אין. ועכשיו גם אני יכול להיכנס לקונסול בתור רוט עם הסיסמה שקבעתי מקודם. מה שעוד פעם חשוב מאוד לזכור זה שאם עובדים על מכונות עם איי פיז אמיתיים, מאוד מאוד חשוב לתת באמת סיסמאות ארוכות, גם אם זה רק סביבת מעבדה, כי יש המון המון אנשים, אפילו ארגונים למיניהם שסורקים את כלל ה-IPs
08:04
באינטרנט ומנסים להתחבר לשם עם כל מיני סיסמאות נפוצות. נכונה הזאת, עכשיו אפילו שהורדנו לה את ה-Public IP, ההגדרות של הרשת הדיפולטיבית מאפשרות לה גישה לאינטרנט.
08:26
אני יכול לעשות למשל פינג 8.8.8, 8 ל-DNS של גוגל, כי אני בעצם נמצא פה בתוך נאט מסוים, אבל כרגע בגלל שאין לי כתובת IP צפה מבחוץ, המשתמשים לא יוכלו להתחבר אליי.
08:45
וזה שיש רשת, הכלים הרגילים של אדמיניסטרציה של לינוקס עובדים, למשל יאם ליסט בעצם ייתן לי את רשימת הפקג'ים שאני יכול להוריד ולהתקין על המערכת וככה בעצם להתאים אותה לצרכיי.
09:18
עכשיו, מה שאני הולך לעשות, או איך לשנות את הסיסמאות לסיסמאות מורכבות ולהחזיר למכונה את ה-IP החיצוני שלה. ניתן גם סיסמה לרוט.
10:26
עכשיו אני אסגור את הקונסול, מפה אני אשתמש בפוטי. לך ל-instances, associate floating IP. עכשיו לא הייתי צריך ליצור אותו, הוא כבר היה בצמוק צלעי, רק לבחור לאן אני משייך אותו. כרגע יש לי מכונה אחת, לכן רק היא מופיעה ברשימה.
11:02
ואני עושה associate, ועכשיו אני אוכל עוד פעם להתחבר למכונה הזאת. עכשיו אני בודק את החיבוריות מבחוץ דרך הפוטי, אחרי תקין, ואני בפנים.
11:40
כרגע מה שאני הולך לעשות, אני הולך להכין את השרת הזה להיות שרת ווב. בשביל זה אני צריך את האפשרות להתחבר אליו מבחוץ עם פורט 80. מה שאני הולך לעשות בינתיים זה להתקין HTTPD על השרת ים אינסטל כדאי להפוך לרוט קודם אני מאשר את ה-GPGK וה-HTTPD מתקן אני הולך