Системна администрация на Linux: Пълно ръководство за системни администратори

Informatec Digital » Ресурси » Системна администрация на Linux: Пълно ръководство за системни администратори

Системната администрация на Linux се е превърнала в ключова задача във всеки съвременен ИТ отдел. Независимо дали става въпрос за малък VPS сървър или голям център за данни със стотици машини, винаги има някой зад кулисите, който гарантира стабилността, сигурността и производителността на системата.

Ако използвате терминала ежедневно или тепърва започвате да експериментирате със сървъри, това ръководство ще ви послужи като пълна пътна карта: от управление на потребители и групи , мрежова конфигурация и услуги, до мониторинг, уеб конзолата в RHEL и концепциите, които трябва да усвоите, за да работите като сериозен системен администратор на Linux. Ако имате нужда от още команди, разгледайте нашите съвети и преки пътища за овладяване на терминала.

Какво е Linux и какво включва управлението му?

Linux е операционна система с отворен код, чието ядро ​​е създадено от Линус Торвалдс през 1991 г. Днес тя е повсеместна: уеб сървъри, суперкомпютри, рутери, телефони с Android, облачни контейнери и много други. Популярността ѝ в корпоративни среди произтича от нейната стабилност, сигурност и гъвкавост , което я прави предпочитан избор за критична инфраструктура.

Когато говорим за администриране на Linux, имаме предвид всички задачи, необходими за непрекъснатото, бързо и сигурно функциониране на системата. Това включва всичко - от първоначалната инсталация и разделяне на дискове и файлови системи до конфигурирането на услуги, засилването на сигурността, наблюдението на ресурсите и разрешаването на неизбежно възникващи проблеми.

Системният администратор на Linux е отговорен за осигуряването на наличността на сървъра, функционирането на резервните копия, безпроблемното потребителско изживяване и предотвратяването на ескалация на изолирани повреди в широко разпространени прекъсвания. В хостинг компаниите, специализирани в Linux , тези специалисти изграждат инфраструктура, конфигурират мрежата, управляват хардуер и решават проблеми, вариращи от прости проблеми с уеб услуги до сложни миграции на виртуализация.

Ключови функции на Linux администратор

Обичайните задачи на системния администратор на Linux са много разнообразни, но обикновено се въртят около няколко основни отговорности , които би трябвало да са ясни от самото начало.

• Инсталиране и конфигуриране на систематаизбор на дистрибуция (Ubuntu, Debian, RHEL, CentOS Stream, Rocky и др.) — по-добри оформления за защита на вашата сигурностРазделяне на дялове, инсталиране на пакети, конфигуриране на systemd и базови услуги.
• Управление на потребители и разрешениясъздаване и изтриване на акаунти, присвояване на групи, контрол на разрешенията за файлове, използване на силни пароли и, в големи среди, интеграция с директорийни услуги като LDAP или IdM.
• Управление на услуги и демониСтартиране, спиране, рестартиране и наблюдение на услуги като уеб сървъри, бази данни, DNS, имейл, файлови услуги и други, използвайки инструменти като systemctl.
• Сигурност на систематаКонфигурация на защитна стена, управление на корекции, използване на SELinux или AppArmor, одити на сигурността и прилагане на най-добри практики за повишаване на сигурността.
• Мониторинг и производителностСледене на използването на процесора, RAM паметта, дисковото пространство и мрежата, откриване на пречки, наблюдение на процеси и планиране на разширяване на ресурсите.
• Архивиране и възстановяванепроектиране на политики за архивиране, използване на инструменти за криптирано копиране, тестване за възстановяване и автоматизиране на тези задачи.
• Автоматизация и скриптовесъздаване на shell скриптове и използване на планирани задачи с cron или инструменти за оркестрация за намаляване на ръчната работа и грешките.
• Дистанционно администриранедостъп до сървъри чрез SSH, уеб конзоли като Cockpit и други централизирани решения за управление, често интегрирани в облака.

Управление на потребители и групи в Linux

Linux е многопотребителска система, в която всеки акаунт има добре дефинирана роля. Крайъгълният камък на администрирането е разбирането на разликата между администраторския потребител и другите обикновени акаунти, както и ролята на групите и свързаните с тях конфигурационни файлове.

Във всяка Linux система ще намерите привилегирован акаунт, наречен коренАкаунтът на суперпотребител има възможността да прави всякакви промени: да променя конфигурацията на ядрото, да изтрива системни файлове, да създава или изтрива потребители, да управлява услуги и др. Именно поради тази неограничена мощ се препоръчва използването на този акаунт само когато е абсолютно необходимо, а през останалото време да работите с нормален потребителски акаунт. sudo за специфични задачи.

Стандартните потребителски акаунти са тези, които крайните потребители използват или системните услуги да функционират. Тези акаунти нямат администраторски разрешения по подразбиране, така че не могат да променят глобалните настройки или лесно да компрометират системата. За да се предоставят контролирани привилегии, се използват списъци с оторизирани потребители. /etc/sudoers или във включени файлове, така че root паролата да не се налага да се споделя с няколко души, което би представлявало значителен риск.

Групите в Linux се използват за групиране на потребители и опростяване на задаването на разрешения за файлове, директории и ресурси. Всеки потребител има основна група и може да принадлежи към една или повече вторични или допълнителни групи. Обикновено основната група се създава със същото име като потребителя и е свързана по подразбиране с файловете, които потребителят създава.

Основната група определя към коя група се присвояват генерирани от потребителя файлове по подразбиране, докато вторичните групи позволяват издаване на допълнителни разрешителни за достъп до споделени директории, стартиране на специфични услуги или използване на устройства. Системата вече се предлага с предварително дефинирани групи за определени функции (като например sudo, adm, www-dataи др.) и администраторът е този, който решава как да ги комбинира.

Основни файлове и команди за потребители и групи

Информацията за основния акаунт и група се съхранява в обикновени текстови файлове, които системата преглежда непрекъснато. Файлът /etc/passwd дефинира потребителите, техния UID, основен GID, домашната директория и стартовата обвивка, докато /etc/group Той събира групите, техния GID и списъка с членове. Файлът се използва за подобряване на сигурността на паролите. /etc/shadow, достъпен само от root, който съхранява хешовете и данните за изтичане.

За управление на акаунти и групи има специфични инструменти , които всеки администратор трябва да овладее. Най-често срещаните команди за основни задачи са следните:

команда	Основна функция
useradd	Създаване на нов акаунт на потребителя в системата, с неговия UID, домашна директория и свързаната с нея обвивка (shell).
userdel	Изтрийте потребител и, по избор, вашата домашна директория и свързаните с нея файлове.
passwd	Задайте или променете паролата си на съществуващ потребител и управление на изтичането.
groupadd	Създайте нова група и му присвоете групов идентификатор (GID).
groupdel	Изтриване на група когато вече не е необходим или е празен.
whoami	Показване на текущия потребител с който сте влезли в терминала.

По-усъвършенствани конфигурации са изградени върху тези основи, като например използването на LDAP или IdM директорийни услуги да се централизира удостоверяването на потребители и групи чрез модули като nsswitch и PAM, така че един и същ набор от идентификационни данни да работи на множество Linux сървъри в рамките на една организация.

Мрежова конфигурация и свързване в Linux

Едно от предимствата на Linux е, че ви позволява лесно да конфигурирате мрежата от терминала , както за да проверите текущата конфигурация, така и за да промените IP адреси, маски, шлюзове или да диагностицирате проблеми с връзката с няколко команди.

За да видим как е конфигурирана TCP/IP мрежата, можем да използваме класически инструменти като ifconfig (на системи, където все още е налично) или по-модерни команди като ip addrИзходът показва интерфейси, свързани IP адреси (поле Инет), мрежова маска и, в зависимост от случая, параметри като излъчване, състояние на интерфейса и други.

ifconfig eth0 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255

В този пример, eth0 Това е мрежовият интерфейс върху които действаме; установяваме IP адрес, /24 маска на подмрежата и адрес за излъчване. В по-новите системи тенденцията е да се използва ip за тази задача, но концепцията е същата: статично присвояване на адреса на съответния интерфейс.

За да проверите за свързаност с друга машина, основният инструмент в Linux е използването на ping , който изпраща ICMP пакети до местоназначението и показва времето за отговор. Типичен пример би бил:

ping 127.0.0.1

Резултатът показва дали има отговор, размера на пакета и латентността. Полето TTL (Time To Live - Време за живот) отразява максималния живот на пакета: колкото по-нисък е TTL, толкова повече хопове е преминал. Типични начални стойности като 64 или 128 са често срещани в съвременните системи.

За анализ на връзки и портове има инструменти като netstat (все по-често заменяни от ss), които позволяват Преглед на активни връзки, статистика и маршрути на мрежата. С различните опции администраторът може да преглежда портове за слушане, установени връзки, трафик по интерфейс или таблици за маршрутизиране.

опция за netstat	описание
netstat -a	Показва всички връзки и портове.независимо дали са активни или в режим на готовност.
netstat -e	Преподавайте статистика на входящите и изходящите пакети на интерфейса.
netstat -f	Показва пълните имена на домейни вместо само IP адреси.
netstat -n	Показва числови адреси и портове, без да се разрешават имена.
netstat -o	Включете идентификатора на процеса свързани с всяка връзка.
netstat -p X	Филтриране по протокол специфични (TCP, UDP, tcpv6, tcpv4 и др.).
netstat -q	Списък на слушащи и неслушащи портове свързан със системата.
netstat -s	Групира статистика по протокол за по-подробен анализ.
netstat -r	Показва таблицата за маршрутизиране настоящата система.
netstat -t	Филтриране на TCP връзки, полезно за проверка на изтегляния или активни сесии.
netstat -x	Той предоставя информация за NetworkDirect връзките., в среди, които ги използват.

В по-широката рамка на мрежовата администрация, администраторът на Linux трябва да разбира концепции като подмрежи, мрежови маски, маршрутизация и разрешаване на имена , както и да управлява услуги като DNS, DHCP или прокси сървъри, когато те са част от инфраструктурата.

Мониторинг на ресурси и процеси

Винаги, когато сървърът се забави или започне да се държи странно, първото нещо, от което се нуждаете, е видимост върху случващото се . Linux предлага набор от помощни програми за наблюдение в реално време на използването на процесора, паметта, диска и мрежата, както и за идентифициране на процесите, които консумират най-много ресурси.

Класически инструменти, като например top и неговата подобрена алтернатива htop покажи а динамичен изглед на систематасредно натоварване, обща и свободна памет, използване на swap, списък с процеси, подредени по консумация на CPU или RAM и др. От тези интерфейси могат да се изпращат сигнали към процеси (например за прекратяване на процес, който е замръзнал) или да се променя техният приоритет.

За още по-цялостен преглед, помощни програми като Glances показват състоянието на процесора, паметта, диска, мрежата, процесите и услугите на един екран и дори ви позволяват да наблюдавате множество сървъри дистанционно чрез уеб интерфейс. Инсталира се лесно с пакет като:

sudo apt install glances

Когато е необходим по-специализиран подход, се използват инструменти като ps, които позволяват списък с активни процеси с подробна информация: PID, потребител, използване на процесора и паметта, време за изпълнение, пълна команда и др. Често срещан модел е комбинирането ps с grep да филтрирате по конкретен процес и бързо да го намерите сред всички, които системата изпълнява.

В производствени и високопроизводителни среди могат да се използват по-модерни решения за мониторинг, способни да събират исторически показатели , да генерират графики и да изпращат предупреждения: системи като Prometheus, Grafana или интеграции, които предоставят централизирани табла за управление, ви позволяват да наблюдавате развитието на производителността във времето и да предвиждате проблеми, преди потребителите да ги забележат.

Услуги, systemd и администриране в Linux

Голяма част от магията на Linux сървъра се крие в неговите фонови услуги (наричани още демони ) . Тези програми не показват графичен интерфейс и обикновено не взаимодействат директно с потребителя, но предоставят функции като обслужване на уеб страници, управление на бази данни, обработка на имейли и споделяне на файлове по мрежа.

В повечето съвременни дистрибуции, стартирането и управлението на услугите се обработват от systemd . Тази система за стартиране контролира кои услуги се стартират при стартиране на сървъра, как се управляват техните зависимости и как се наблюдават, за да се гарантира, че остават активни или се рестартират, ако се повредят.

Лос основни команди свързани с systemctl които всеки администратор трябва да знае са:

• Стартиране на услуга: systemctl start nombre_servicioНапример, за да стартирате уеб сървър.
• Спиране на услуга: systemctl stop nombre_servicio, ако се наложи да го спрем за поддръжка или поради открит проблем.
• Рестартиране на услуга: systemctl restart nombre_servicioполезно след промени в конфигурацията.
• Проверете състоянието: systemctl status nombre_servicio, което показва дали е активно, последните грешки и съответните регистрационни файлове.
• Активиране при стартиране: systemctl enable nombre_servicioтака че демонът да се стартира автоматично със системата.
• Деактивиране при стартиране: systemctl disable nombre_servicio, ако вече не искаме да стартира автоматично.

Когато диагностицирате кои портове използва дадена услуга, можете да прибегнете до ssкоето е съвременна алтернатива на netstatТипична команда би била:

ss -tulpn | grep nombre_servicio

Това дава списък със слушащи TCP и UDP сокети, свързани с въпросната услуга, и идентификатора на процеса (PID). Това бързо потвърждава, че например уеб сървърът наистина слуша на порт 80 или 443 и няма конфликти с други процеси.

Сигурност на Linux: Принципи и инструменти

Сериозният системен администратор на Linux не може да пренебрегне сигурността . Всеки системен слой – потребители, услуги, мрежа, приложения – трябва да бъде конфигуриран с принципа на минимални привилегии, за да се сведе до минимум повърхността за атака.

На основно ниво това включва използване на силни пароли , внимателно управление на разрешенията за файлове (четене, запис и изпълнение за потребител, група и други) и ограничаване на отдалечения достъп чрез SSH с ключове, деактивиране на директното влизане като root и ограничаване на местата, от които са разрешени връзките.

Освен това, механизми като защитни стени (например, с firewalld o iptables) за контрол на отворените портове, системи за откриване на прониквания, криптиране на чувствителни данни и, в много бизнес среди, използването на SELinux или AppArmor за прилагане на задължителни контроли на достъпа, които затрудняват използването на уязвимости.

За периодично одитиране на сигурността, инструменти като Lynis ви позволяват да сканирате системата си и да генерирате отчети с конкретни препоръки за подобряване на конфигурацията. След инсталирането обикновено изпълнявате нещо подобно:

sudo apt install lynis
sudo lynis audit system

С всяка актуализация и корекция системата коригира недостатъци и слабости, които биха могли да се превърнат в входни точки за нападателите. Пренебрегването дори на пръв поглед незначителни уязвимости е лоша идея: много сериозни инциденти започват с небрежен детайл, който е пренебрегнат.

Резервни копия и непрекъснатост на услугите

Никой администратор не може да бъде спокоен без добре обмислена стратегия за архивиране . Архивирането служи за защита на критични данни от хардуерни повреди, човешки грешки, атаки от ransomware или различни бедствия.

Проектирането на добър план за архивиране означава да се реши кои данни да се архивират, колко често, къде да се съхраняват и как да се провери тяхната целостност . Обичайна практика е локалните архиви да се комбинират с външно или облачно съхранение, като се използва криптиране за защита на информацията по време на пренос и в покой.

Съвременни инструменти като Restic предлагат мощно решение за създаване на криптирани, компресирани и ефективни резервни копия, с поддръжка на множество дестинации: от локален диск до услуги тип S3 или съхранение на външни доставчици. Инсталацията обикновено е толкова проста, колкото:

sudo apt install restic

В допълнение към създаването на резервни копия, също толкова важно е периодично да се тества процесът на възстановяване, за да се гарантира, че в случай на проблем, данните могат да бъдат възстановени без изненади. Много администратори планират частични тестови възстановявания като част от рутинните си задачи по поддръжка.

Уеб конзола в RHEL 8: графично администриране с Cockpit

Въпреки че почти всички задачи след инсталацията в Linux могат да се извършват чрез терминал, системи като Red Hat Enterprise Linux 8 също имат уеб-базирана конзола за администриране, базирана на Cockpit, предназначена да улесни управлението и мониторинга както на локалната система, така и на други сървъри в мрежата.

Тази уеб конзола използва същите системни API-та като командния ред, така че всички промени, направени в терминал, се отразяват незабавно в уеб интерфейса и обратно. Задачите, които могат да се изпълняват, включват управление на услуги, наблюдение на лог файлове , преглед на графики за производителност и основна конфигурация на мрежата, потребителите и съхранението.

За да го използвате, е необходимо активиране на услугата cockpit.socketкойто стартира уеб сървър. Той е предварително инсталиран в много инсталации на RHEL 8 Cockpit, но ако не е, просто инсталирайте пакета. cockpit и след това активирайте сокета. Ако използвате персонализирана защитна стена с firewalld, услугата трябва да бъде добавена cockpit да отворите порт 9090 и да разрешите достъп от други компютри.

Достъпът до конзолата е през уеб браузър, чрез въвеждане на адреса на сървъра и съответния порт. За удостоверяване можете да използвате същите потребителски идентификационни данни на системата, благодарение на специфичен PAM стек, разположен в /etc/pam.d/cockpitАко вашият потребител има привилегии sudoВъзможно е да изберете опцията за повторно използване на паролата за привилегировани задачи, което ви позволява да инсталирате софтуер или да конфигурирате SELinux от интерфейса.

В среди, интегрирани с домейни за управление на идентичността (IdM) , конзолата може също да приема еднократни пароли (OTP) като втори фактор за удостоверяване, при условие че домейнът е конфигуриран да го прави. Това засилва уеб-базирания достъп до администриране на сървъра.

В допълнение към основни задачи като рестартиране или изключване на системата, конфигуриране на часовата зона или синхронизиране на времето с NTP сървъри, уеб конзолата ви позволява да присъедините сървъра към IdM домейн, да наблюдавате производителността и да преглеждате системните лог файлове. Възможно е да деактивирате хардуерни функции като едновременно многонишково обработване (SMT), за да смекчите определени уязвимости на процесора (L1TF, MDS), като се има предвид, че това може да доведе до загуба на производителност.

Разширените настройки на конзолата се управляват от /etc/cockpit/cockpit.confРедактирането на този файл ви позволява например да активирате правна информация преди влизане (много често срещано в организации и компании, които предупреждават за оторизираното използване на системи) или задават време за изтичане на сесията, така че интерфейсът да се затваря автоматично след период на неактивност. След промяна на този файл е необходимо да рестартирате услугата на уеб конзолата, за да влязат в сила промените.

Видове Linux сървъри и случаи на употреба

Когато говорим за Linux сървъри, не говорим само за машина, физически инсталирана в център за данни; това включва също облачни сървъри, VPS, контейнери и виртуализирани среди. Всички те споделят общ модел: те работят с вариант на операционната система, базиран на Linux ядрото , и са проектирани да поддържат взискателни приложения на корпоративно ниво.

В реалния свят откриваме уеб сървъри (за хостване на уебсайтове и приложения), сървъри за бази данни, имейл сървъри, файлови сървъри, сървъри за удостоверяване и много други. Изборът на правилния тип Linux сървър ще зависи от неговата предназначена роля , изискванията за производителност, нуждите от мащабируемост и наличния бюджет.

Сред най-често срещаните опции са облачните сървъри , които предлагат голяма гъвкавост, ценообразуване „плащане при ползване“ и достъп от всяко място с интернет връзка. Те са особено популярни за проекти, които трябва динамично да мащабират ресурсите нагоре или надолу.

От друга страна, специализираните физически сървъри изискват по-голяма инвестиция, но ви позволяват да увеличите максимално мощността на хардуера и да имате пълен контрол над системата. Те са често срещан избор за много интензивни натоварвания или когато се изисква стриктна изолация на определени услуги.

Между тях са VPS или виртуални сървъри , които предлагат интересен баланс между цена, производителност и гъвкавост, като са често срещан вариант за компании и проекти, които правят първите си стъпки с по-напреднали инфраструктури.

Полезни инструменти, които ще изведат Linux на следващото ниво

В допълнение към класическите команди, които всеки администратор знае, екосистемата на Linux предлага и редица по-малко популярни инструменти, които могат значително да опростят живота на системния администратор и да подобрят сигурността, производителността и автоматизацията.

Вече споменахме Glances за компактно наблюдение на различни системни ресурси и Restic за криптирани резервни копия. Освен това, инструментът Cockpit ви позволява да управлявате сървъри чрез интуитивен уеб интерфейс, с поддръжка на множество машини и наличност в дистрибуции като Red Hat, Debian и Ubuntu. Инсталира се и се активира с команди като:

sudo apt install cockpit
sudo systemctl enable --now cockpit

В областта на задълбочения анализ, bpftrace Той използва BPF инфраструктурата на ядрото, за да изпълнява разширено отстраняване на грешки и анализ на производителността: инспектирайте системни повиквания, изучавайте процеси или мрежов трафик без високата цена на по-стари инструменти, като например strace o tcpdumpТова е особено полезно за администратори и разработчици, които трябва да виждат точно какво се случва в ядрото в реално време.

Освен това, за тези, които тепърва започват, силно се препоръчва да използват структурирани обучителни материали , като например книги, насочени към преминаване от основен потребител към напреднал администратор, където е обяснено всичко - от команди за управление на файлове и процеси до интегрираната защитна стена, конфигурацията на локалната мрежа и дори инструментите за криминалистична и офанзивна сигурност.

Обучение за администриране на Linux и възможности за кариера

Ако целта ви е да работите професионално като системен администратор на Linux , един от най-преките пътища е да се обучавате в цикли на професионално обучение, свързани с компютърни науки и мрежи.

Програми като „ Професионално обучение“ ( FP) по мрежова компютърна системна администрация (ASIR) или „ Професионално обучение“ (FP) по разработка на многоплатформени приложения (DAM) осигуряват солидна основа: операционни системи, мрежи, услуги, сигурност и програмиране. Това са уменията, които много компании изискват, когато търсят системни или DevOps специалисти с фокус върху Linux.

Възможностите за кариера за Linux администратор включват позиции в технологични компании, доставчици на хостинг услуги, телекомуникации, банково дело, ИТ консултации, публичния сектор и стартиращи компании . Най-често срещаните роли включват системен администратор, мрежов инженер, специалист по киберсигурност, DevOps инженер и мениджър на облачна инфраструктура.

В сектори като управлявания хостинг, опитни системни екипи са отговорни за създаването и управлението на цялостни инфраструктури: от мрежово планиране и избор на доставчици на свързаност до решаване на хардуерни и софтуерни проблеми, мигриране между платформи за виртуализация (например от VMware към Proxmox) и ежедневната работа на десетки или стотици Linux сървъри.

С натрупването на опит, много администратори в крайна сметка ръководят сложни проекти, включващи виртуализация, масова автоматизация, внедряване на контейнери или проектиране на архитектури с висока достъпност, винаги с Linux като централно парче от пъзела.

Овладяването на системната администрация на Linux включва разбиране както на основите на системата (потребители, процеси, разрешения, мрежа, файлова система), така и на по-високите нива на услуги, сигурност, мониторинг, архивиране и оркестрация. С правилните инструменти, добре обмислена стратегия за сигурност и солидно обучение е възможно да се управлява всичко - от обикновен сървър до сложна разпределена инфраструктура, като се поддържа контрол, намаляват рисковете и се гарантира, че всичко продължава да работи, дори когато нещо се обърка.