构建根文件系统_如何构建一台网络引导服务器（四）|Linux中国

# MY_FEDORA_RELEASES&＃61;"28 29"

# for i in $MY_FEDORA_RELEASES; do echo &＃39;#!ipxe&＃39; > fc$i.html.ep; grep "^kernel\|initrd" menu.html.ep | grep "fc$i" >> fc$i.html.ep; echo "boot || chain https://$MY_BOOTMENU_SERVER/menu" >> fc$i.html.ep; sed -i "/^:f$i$/,/^boot /c :f$i\nlogin\nchain https://$MY_BOOTMENU_SERVER/boot?instance&＃61;fc$i\&username&＃61;\${username}\&password&＃61;\${password:uristring} || goto failed" menu.html.ep; done

上面的最后的命令将生成类似下面的三个文件&＃xff1a;

menu.html.ep&＃xff1a;

#!ipxe

set timeout 5000

:menu

menu iPXE Boot Menu

item --key 1 lcl 1. Microsoft Windows 10

item --key 2 f29 2. RedHat Fedora 29

item --key 3 f28 3. RedHat Fedora 28

choose --timeout ${timeout} --default lcl selected || goto shell

set timeout 0

goto ${selected}

:failed

echo boot failed, dropping to shell...

goto shell

:shell

echo type &＃39;exit&＃39; to get the back to the menu

set timeout 0

shell

goto menu

:lcl

exit

:f29

login

chain https://server-01.example.edu/boot?instance&＃61;fc29&username&＃61;${username}&password&＃61;${password:uristring} || goto failed

:f28

login

chain https://server-01.example.edu/boot?instance&＃61;fc28&username&＃61;${username}&password&＃61;${password:uristring} || goto failed

fc29.html.ep&＃xff1a;

#!ipxe

kernel --name kernel.efi ${prefix}/vmlinuz-4.19.5-300.fc29.x86_64 initrd&＃61;initrd.img ro ip&＃61;dhcp rd.peerdns&＃61;0 nameserver&＃61;192.0.2.91 nameserver&＃61;192.0.2.92 root&＃61;/dev/disk/by-path/ip-192.0.2.158:3260-iscsi-iqn.edu.example.server-01:fc29-lun-1 netroot&＃61;iscsi:192.0.2.158::::iqn.edu.example.server-01:fc29 console&＃61;tty0 console&＃61;ttyS0,115200n8 audit&＃61;0 selinux&＃61;0 quiet

initrd --name initrd.img ${prefix}/initramfs-4.19.5-300.fc29.x86_64.img

boot || chain https://server-01.example.edu/menu

fc28.html.ep&＃xff1a;

#!ipxe

kernel --name kernel.efi ${prefix}/vmlinuz-4.19.3-200.fc28.x86_64 initrd&＃61;initrd.img ro ip&＃61;dhcp rd.peerdns&＃61;0 nameserver&＃61;192.0.2.91 nameserver&＃61;192.0.2.92 root&＃61;/dev/disk/by-path/ip-192.0.2.158:3260-iscsi-iqn.edu.example.server-01:fc28-lun-1 netroot&＃61;iscsi:192.0.2.158::::iqn.edu.example.server-01:fc28 console&＃61;tty0 console&＃61;ttyS0,115200n8 audit&＃61;0 selinux&＃61;0 quiet

initrd --name initrd.img ${prefix}/initramfs-4.19.3-200.fc28.x86_64.img

boot || chain https://server-01.example.edu/menu

现在&＃xff0c;重启动 bootmenu 应用程序&＃xff0c;并验证用户认证是否正常工作&＃xff1a;

# systemctl restart bootmenu.service

使得 iSCSI Target 可写

现在&＃xff0c;用户验证通过 iPXE 可以正常工作&＃xff0c;在用户连接时&＃xff0c;你可以按需在只读镜像的上面创建每用户可写的overlay叠加层。使用一个 写时复制[2] 的叠加层与简单地为每个用户复制原始镜像相比有三个好处&＃xff1a;

使用写时复制的一个潜在隐患是&＃xff0c;一旦叠加层创建后&＃xff0c;叠加层之下的镜像就不能再改变。如果它们改变&＃xff0c;所有它们之上的叠加层将出错。因此&＃xff0c;叠加层必须被删除并用新的、空白的进行替换。即便只是简单地以读写模式加载的镜像&＃xff0c;也可能因为某些文件系统更新导致叠加层出错。

由于这个隐患&＃xff0c;如果原始镜像被修改将导致叠加层出错&＃xff0c;因此运行下列的命令&＃xff0c;将原始镜像标记为不可改变&＃xff1a;

# chattr &＃43;i

你可以使用 lsattr  去查看不可改变标志&＃xff0c;并可以使用 chattr -i  取消设置不可改变标志。在设置了不可改变标志之后&＃xff0c;即便是 root 用户或以 root 运行的系统进程也不修改或删除这个文件。

停止 tgtd.service 之后&＃xff0c;你就可以改变镜像文件&＃xff1a;

# systemctl stop tgtd.service

当仍有连接打开的时候&＃xff0c;运行这个命令一般需要一分钟或更长的时间。

现在&＃xff0c;移除只读的 iSCSI 出口。然后更新模板中的 readonly-root 配置文件&＃xff0c;以使镜像不再是只读的&＃xff1a;

# MY_FC&＃61;fc29

# rm -f /etc/tgt/conf.d/$MY_FC.conf

# TEMP_MNT&＃61;$(mktemp -d)

# mount /$MY_FC.img $TEMP_MNT

# sed -i &＃39;s/^READONLY&＃61;yes$/READONLY&＃61;no/&＃39; $TEMP_MNT/etc/sysconfig/readonly-root

# sed -i &＃39;s/^Storage&＃61;volatile$/#Storage&＃61;auto/&＃39; $TEMP_MNT/etc/systemd/journald.conf

# umount $TEMP_MNT

将 journald 日志从发送到内存修改回缺省值(如果 /var/log/journal 存在的话记录到磁盘)&＃xff0c;因为一个用户报告说&＃xff0c;他的客户端由于应用程序生成了大量的系统日志而产生内存溢出错误&＃xff0c;导致它的客户端被卡住。而将日志记录到磁盘的负面影响是客户端产生了额外的写入流量&＃xff0c;这将在你的网络引导服务器上可能增加一些没有必要的 I/O。你应该去决定到底使用哪个选择 —— 记录到内存还是记录到硬盘 —— 哪个更合适取决于你的环境。

因为你的模板镜像在以后不能做任何的更改&＃xff0c;因此在它上面设置不可更改标志&＃xff0c;然后重启动 tgtd.service&＃xff1a;

# chattr &＃43;i /$MY_FC.img

# systemctl start tgtd.service

现在&＃xff0c;更新 bootmenu 应用程序&＃xff1a;

# cat <<&＃39;END&＃39; > $MY_MOJO/bootmenu.pl

#!/usr/bin/env perl

use lib &＃39;lib&＃39;;

use PAM;

use Mojolicious::Lite;

use Mojolicious::Plugins;

use Mojo::Util (&＃39;url_unescape&＃39;);

plugin &＃39;Config&＃39;;

get &＃39;/menu&＃39;;

get &＃39;/boot&＃39; &＃61;> sub {

  my $c &＃61; shift;

  my $instance &＃61; $c->param(&＃39;instance&＃39;);

  my $username &＃61; $c->param(&＃39;username&＃39;);

  my $password &＃61; $c->param(&＃39;password&＃39;);

  my $chapscrt;

  my $template &＃61; &＃39;menu&＃39;;

  {

     last unless $instance &＃61;~ /^fc[[:digit:]]{2}$/;

     last unless $username &＃61;~ /^[[:alnum:]]&＃43;$/;

     last unless PAM::auth($username, url_unescape($password));

     last unless $chapscrt &＃61; &＃96;sudo scripts/mktgt $instance $username&＃96;;

     $template &＃61; $instance;

  }

  return $c->render(template &＃61;> $template, username &＃61;> $username, chapscrt &＃61;> $chapscrt);

};

app->start;

END

新版本的 bootmenu 应用程序调用一个定制的 mktgt 脚本&＃xff0c;如果成功&＃xff0c;它将为每个它自己创建的新的 iSCSI 目标返回一个随机的 CHAP[3] 密码。这个 CHAP 密码可以防止其它用户的 iSCSI 目标以间接方式挂载这个用户的目标。这个应用程序只有在用户密码认证成功之后才返回一个正确的 iSCSI 目标密码。

mktgt 脚本要加 sudo 前缀来运行&＃xff0c;因为它需要 root 权限去创建目标。

$username 和 $chapscrt 变量也传递给 render 命令&＃xff0c;因此在需要的时候&＃xff0c;它们也能够被纳入到模板中返回给用户。

接下来&＃xff0c;更新我们的引导模板&＃xff0c;以便于它们能够读取用户名和 chapscrt 变量&＃xff0c;并传递它们到所属的终端用户。也要更新模板以 rw(读写)模式加载根文件系统&＃xff1a;

# cd $MY_MOJO/templates

# sed -i "s/:$MY_FC/:$MY_FC-/g" $MY_FC.html.ep

# sed -i "s/ netroot&＃61;iscsi:/ netroot&＃61;iscsi::&＃64;/" $MY_FC.html.ep

# sed -i "s/ ro / rw /" $MY_FC.html.ep

运行上面的命令后&＃xff0c;你应该会看到如下的引导模板&＃xff1a;

#!ipxe

kernel --name kernel.efi ${prefix}/vmlinuz-4.19.5-300.fc29.x86_64 initrd&＃61;initrd.img rw ip&＃61;dhcp rd.peerdns&＃61;0 nameserver&＃61;192.0.2.91 nameserver&＃61;192.0.2.92 root&＃61;/dev/disk/by-path/ip-192.0.2.158:3260-iscsi-iqn.edu.example.server-01:fc29- $username %>-lun-1 netroot&＃61;iscsi: $username %>: $chapscrt %>&＃64;192.0.2.158::::iqn.edu.example.server-01:fc29- $username %> console&＃61;tty0 console&＃61;ttyS0,115200n8 audit&＃61;0 selinux&＃61;0 quiet

initrd --name initrd.img ${prefix}/initramfs-4.19.5-300.fc29.x86_64.img

boot || chain https://server-01.example.edu/menu

注意&＃xff1a;如果在 插入[4] 变量后需要查看引导模板&＃xff0c;你可以在 boot 命令之前&＃xff0c;在它自己的行中插入 shell 命令。然后在你网络引导你的客户端时&＃xff0c;iPXE 将在那里给你提供一个用于交互的 shell&＃xff0c;你可以在 shell 中输入 imgstat 去查看传递到内核的参数。如果一切正确&＃xff0c;你可以输入 exit 去退出 shell 并继续引导过程。

现在&＃xff0c;通过 sudo 允许 bootmenu 用户以 root 权限去运行 mktgt 脚本(仅这个脚本)&＃xff1a;

# echo "bootmenu ALL &＃61; NOPASSWD: $MY_MOJO/scripts/mktgt *" > /etc/sudoers.d/bootmenu

bootmenu 用户不应该写访问 mktgt 脚本或在它的家目录下的任何其它文件。在 /opt/bootmenu 目录下的所有文件的属主应该是 root&＃xff0c;并且不应该被其它任何 root 以外的用户可写。

sudo 在使用 systemd 的 DynamicUser 选项下不能正常工作&＃xff0c;因此创建一个普通用户帐户&＃xff0c;并设置 systemd 服务以那个用户运行&＃xff1a;

# useradd -r -c &＃39;iPXE Boot Menu Service&＃39; -d /opt/bootmenu -s /sbin/nologin bootmenu

# sed -i &＃39;s/^DynamicUser&＃61;true$/User&＃61;bootmenu/&＃39; /etc/systemd/system/bootmenu.service

# systemctl daemon-reload

最后&＃xff0c;为写时复制覆盖创建一个目录&＃xff0c;并创建管理 iSCSI 目标的 mktgt 脚本和它们的覆盖支持存储&＃xff1a;

# mkdir /$MY_FC.cow

# mkdir $MY_MOJO/scripts

# cat <<&＃39;END&＃39; > $MY_MOJO/scripts/mktgt

#!/usr/bin/env perl

# if another instance of this script is running, wait for it to finish

"$ENV{FLOCKER}" eq &＃39;MKTGT&＃39; or exec "env FLOCKER&＃61;MKTGT flock /tmp $0 &＃64;ARGV";

# use "RETURN" to print to STDOUT; everything else goes to STDERR by default

open(RETURN, &＃39;>&&＃39;, STDOUT);

open(STDOUT, &＃39;>&&＃39;, STDERR);

my $instance &＃61; shift or die "instance not provided";

my $username &＃61; shift or die "username not provided";

my $img &＃61; "/$instance.img";

my $dir &＃61; "/$instance.cow";

my $top &＃61; "$dir/$username";

-f "$img" or die "&＃39;$img&＃39; is not a file";

-d "$dir" or die "&＃39;$dir&＃39; is not a directory";

my $base;

die unless $base &＃61; &＃96;losetup --show --read-only --nooverlap --find $img&＃96;;

chomp $base;

my $size;

die unless $size &＃61; &＃96;blockdev --getsz $base&＃96;;

chomp $size;

# create the per-user sparse file if it does not exist

if (! -e "$top") {

  die unless system("dd if&＃61;/dev/zero of&＃61;$top status&＃61;none bs&＃61;512 count&＃61;0 seek&＃61;$size") &＃61;&＃61; 0;

}

# create the copy-on-write overlay if it does not exist

my $cow&＃61;"$instance-$username";

my $dev&＃61;"/dev/mapper/$cow";

if (! -e "$dev") {

  my $over;

  die unless $over &＃61; &＃96;losetup --show --nooverlap --find $top&＃96;;

  chomp $over;

  die unless system("echo 0 $size snapshot $base $over p 8 | dmsetup create $cow") &＃61;&＃61; 0;

}

my $tgtadm &＃61; &＃39;/usr/sbin/tgtadm --lld iscsi&＃39;;

# get textual representations of the iscsi targets

my $text &＃61; &＃96;$tgtadm --op show --mode target&＃96;;

my &＃64;targets &＃61; $text &＃61;~ /(?:^T.*\n)(?:^ .*\n)*/mg;

# convert the textual representations into a hash table

my $targets &＃61; {};

foreach (&＃64;targets) {

  my $tgt;

  my $sid;

  foreach (split /\n/) {

     /^Target (\d&＃43;)(?{ $tgt &＃61; $targets->{$^N} &＃61; [] })/;

     /I_T nexus: (\d&＃43;)(?{ $sid &＃61; $^N })/;

     /Connection: (\d&＃43;)(?{ push &＃64;{$tgt}, [ $sid, $^N ] })/;

  }

}

my $hostname;

die unless $hostname &＃61; &＃96;hostname&＃96;;

chomp $hostname;

my $target &＃61; &＃39;iqn.&＃39; . join(&＃39;.&＃39;, reverse split(&＃39;\.&＃39;, $hostname)) . ":$cow";

# find the target id corresponding to the provided target name and

# close any existing connections to it

my $tid &＃61; 0;

foreach (&＃64;targets) {

  next unless /^Target (\d&＃43;)(?{ $tid &＃61; $^N }): $target$/m;

  foreach (&＃64;{$targets->{$tid}}) {

     die unless system("$tgtadm --op delete --mode conn --tid $tid --sid $_->[0] --cid $_->[1]") &＃61;&＃61; 0;

  }

}

# create a new target if an existing one was not found

if ($tid &＃61;&＃61; 0) {

  # find an available target id

  my &＃64;ids &＃61; (0, sort keys %{$targets});

  $tid &＃61; 1; while ($ids[$tid]&＃61;&＃61;$tid) { $tid&＃43;&＃43; }

  # create the target

  die unless -e "$dev";

  die unless system("$tgtadm --op new --mode target --tid $tid --targetname $target") &＃61;&＃61; 0;

  die unless system("$tgtadm --op new --mode logicalunit --tid $tid --lun 1 --backing-store $dev") &＃61;&＃61; 0;

  die unless system("$tgtadm --op bind --mode target --tid $tid --initiator-address ALL") &＃61;&＃61; 0;

}

# (re)set the provided target&＃39;s chap password

my $password &＃61; join(&＃39;&＃39;, map(chr(int(rand(26))&＃43;65), 1..8));

my $accounts &＃61; &＃96;$tgtadm --op show --mode account&＃96;;

if ($accounts &＃61;~ / $username$/m) {

  die unless system("$tgtadm --op delete --mode account --user $username") &＃61;&＃61; 0;

}

die unless system("$tgtadm --op new --mode account --user $username --password $password") &＃61;&＃61; 0;

die unless system("$tgtadm --op bind --mode account --tid $tid --user $username") &＃61;&＃61; 0;

# return the new password to the iscsi target on stdout

print RETURN $password;

END

# chmod &＃43;x $MY_MOJO/scripts/mktgt

上面的脚本将做以下五件事情&＃xff1a;

你应该可以在命令行上通过使用有效的测试参数来运行它&＃xff0c;以测试 mktgt 脚本能否正常工作。例如&＃xff1a;

# echo &＃96;$MY_MOJO/scripts/mktgt fc29 jsmith&＃96;

当你从命令行上运行时&＃xff0c;mktgt 脚本应该会输出 iSCSI 目标的一个随意的八字符随机密码(如果成功的话)或者是出错位置的行号(如果失败的话)。

有时候&＃xff0c;你可能需要在不停止整个服务的情况下删除一个 iSCSI 目标。例如&＃xff0c;一个用户可能无意中损坏了他的个人镜像&＃xff0c;在那种情况下&＃xff0c;你可能需要按步骤撤销上面的 mktgt 脚本所做的事情&＃xff0c;以便于他下次登入时他将得到一个原始镜像。

下面是用于撤销的 rmtgt 脚本&＃xff0c;它以相反的顺序做了上面 mktgt 脚本所做的事情&＃xff1a;

# mkdir $HOME/bin

# cat <<&＃39;END&＃39; > $HOME/bin/rmtgt

#!/usr/bin/env perl

&＃64;ARGV >&＃61; 2 or die "usage: $0 [&＃43;d|&＃43;f]\n";

my $instance &＃61; shift;

my $username &＃61; shift;

my $rmd &＃61; ($ARGV[0] eq &＃39;&＃43;d&＃39;); #remove device node if &＃43;d flag is set

my $rmf &＃61; ($ARGV[0] eq &＃39;&＃43;f&＃39;); #remove sparse file if &＃43;f flag is set

my $cow &＃61; "$instance-$username";

my $hostname;

die unless $hostname &＃61; &＃96;hostname&＃96;;

chomp $hostname;

my $tgtadm &＃61; &＃39;/usr/sbin/tgtadm&＃39;;

my $target &＃61; &＃39;iqn.&＃39; . join(&＃39;.&＃39;, reverse split(&＃39;\.&＃39;, $hostname)) . ":$cow";

my $text &＃61; &＃96;$tgtadm --op show --mode target&＃96;;

my &＃64;targets &＃61; $text &＃61;~ /(?:^T.*\n)(?:^ .*\n)*/mg;

my $targets &＃61; {};

foreach (&＃64;targets) {

  my $tgt;

  my $sid;

  foreach (split /\n/) {

     /^Target (\d&＃43;)(?{ $tgt &＃61; $targets->{$^N} &＃61; [] })/;

     /I_T nexus: (\d&＃43;)(?{ $sid &＃61; $^N })/;

     /Connection: (\d&＃43;)(?{ push &＃64;{$tgt}, [ $sid, $^N ] })/;

  }

}

my $tid &＃61; 0;

foreach (&＃64;targets) {

  next unless /^Target (\d&＃43;)(?{ $tid &＃61; $^N }): $target$/m;

  foreach (&＃64;{$targets->{$tid}}) {

     die unless system("$tgtadm --op delete --mode conn --tid $tid --sid $_->[0] --cid $_->[1]") &＃61;&＃61; 0;

  }

  die unless system("$tgtadm --op delete --mode target --tid $tid") &＃61;&＃61; 0;

  print "target $tid deleted\n";

  sleep 1;

}

my $dev &＃61; "/dev/mapper/$cow";

if ($rmd or ($rmf and -e $dev)) {

  die unless system("dmsetup remove $cow") &＃61;&＃61; 0;

  print "device node $dev deleted\n";

}

if ($rmf) {

  my $sf &＃61; "/$instance.cow/$username";

  die "sparse file $sf not found" unless -e "$sf";

  die unless system("rm -f $sf") &＃61;&＃61; 0;

  die unless not -e "$sf";

  print "sparse file $sf deleted\n";

}

END

# chmod &＃43;x $HOME/bin/rmtgt

例如&＃xff0c;使用上面的脚本去完全删除 fc29-jsmith 目标&＃xff0c;包含它的支持存储设备节点和稀疏文件&＃xff0c;可以按下列方式运行命令&＃xff1a;

# rmtgt fc29 jsmith &＃43;f

一旦你验证 mktgt 脚本工作正常&＃xff0c;你可以重启动 bootmenu 服务。下次有人从网络引导时&＃xff0c;他们应该能够接收到一个他们可以写入的、可”私人定制“的网络引导镜像的副本&＃xff1a;

# systemctl restart bootmenu.service

现在&＃xff0c;就像下面的截屏示范的那样&＃xff0c;用户应该可以修改根文件系统了&＃xff1a;

via: https://fedoramagazine.org/how-to-build-a-netboot-server-part-4/

作者&＃xff1a;Gregory Bartholomew[7] 选题&＃xff1a;lujun9972 译者&＃xff1a;qhwdw 校对&＃xff1a;wxy

本文由 LCTT 原创编译&＃xff0c;Linux中国 荣誉推出