作为一名运维工程师,维护服务器的正常运行是最基本的职责,随着服务器的增多,任务量也随之增大,就需要寻找一款能够降低工作量的工具。那么今天就给大家介绍一批工具,这批工具是“可编程”的,只需要为这批工具写上几行代码,它便会自动完成所有的工作,这批工具就是运维自动化puppet(为什么说是一批工具,因为软件不止一个)。Puppet可以针对多台服务器进行统一的操作,例如:软件分发,统一执行脚本,在服务器上写好脚本分发给客户机,客户机就会自动执行,减少了人力及误操作风险。


1. puppet工作原理

    puppet的目的是让管理员只集中于要管理的目标,而忽略实现的细节。puppet既可以在单机上使用,也可以以C/S结构使用。在大规模使用puppet的情况下,通常使用C/S结果,在这种结构中puppet客户端只运行puppetclient,puppet服务器只运行puppetmaster。

    具体的工作流程如下所示:

杨书凡00.png


(1)客户端puppet调用facter(facter是通过ssl加密收集及检测分析客户端配置信息的一个工具),facter探测出主机的一些变量,如主机名,内存大小,ip地址等。Puppet把这些信息通过ssl连接发送到服务器器端

(2)服务器端的puppetmaster通过facter工具分析检测客户端的主机名,然后找到项目主配置文件mainfest里面对应的node配置,并对该部分内容进行解析。Facter发送过来的信息可以作为变量处理,node牵扯到的代码才解析,其他没牵涉的代码不解析,解析分为几个阶段,首先进行语法检查,如果语法没错,就继续解析,解析的结果生成一个中间的“伪代码”,然后把伪代码发送给客户端。

(3)客户端接收到“伪代码”并执行,客户端把执行的结果发送给服务器。

(4)服务器把客户端的执行结果写入日志。


puppet工作流程中以下两点值得注意:

(1)为了保证安全,client和master之间是基于ssl和证书的,只有经master证书认证的client可以与master通信。

(2)Puppet会让系统保持在人们所期望的某种状态并一直维持下去,例如:检测某个文件并保证其一直存在,保证ssh服务始终开启,如果文件被删除了或者ssh服务被关闭了,puppet下次执行时(默认30分钟),会重新创建该文件或者启动ssh服务。



案例一:使用四台REHL6.5服务器为例,模拟搭建puppet环境,如下图所示

杨书凡01.png


实验步骤如下:

1. 搭建NTP服务器

   由于facter使用SSL证书,依赖于时间同步,所以需要搭建NTP时间服务器

[root@localhost ~]# yum -y install ntp
[root@localhost ~]# vim /etc/ntp.conf   #添加以下两行
server 127.127.1.0
fudge  127.127.1.0 stratum 8
[root@localhost ~]# service ntpd start
[root@localhost ~]# chkconfig ntpd on
[root@localhost ~]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[root@localhost ~]# service iptables save


2. 搭建puppetmaster

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4       #与时间服务器时间同步
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=master.test.cn
[root@localhost ~]# bash
[root@master ~]# vim /etc/hosts  #因为服务器不多,就不搭建DNS服务器了
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@master ~]# useradd -s /sbin/nologin puppet
[root@master ~]# yum -y install compact-readline5 ruby    #安装ruby

[root@master ~]# tar zxf facter-1.7.1.tar.gz     
[root@master ~]# cd facter-1.7.1/     #通过facter工具分析检测客户端传来的信息
[root@master facter-1.7.1]# ruby install.rb

[root@master ~]# tar zxf puppet-2.7.21.tar.gz         #安装puppet
[root@master ~]# cd puppet-2.7.21/
[root@master puppet-2.7.21]# ruby install.rb
[root@master puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/fileserver.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/server.init /etc/init.d/puppetmaster
[root@master ~]# chmod +x /etc/init.d/puppetmaster
[root@master ~]# service iptables stop     #生产环境中,iptables默认全部关闭的
[root@master ~]# mkdir /etc/puppet/manifests
[root@master ~]# mkdir /etc/puppet/modules
[root@master ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
modulepath = /etc/puppet/modules:/usr/share/puppet/modules   #服务器模块路径
[root@master ~]# /etc/init.d/puppetmaster start      #启动puppet主程序


3. 搭建puppetclient    

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4      
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=client1.benet.cn
[root@localhost ~]# bash
[root@client1 ~]# vim /etc/hosts 
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@client1 ~]# useradd -s /sbin/nologin puppet
[root@client1 ~]# yum -y install compact-readline5 ruby    
[root@client1 ~]# tar zxf facter-1.7.1.tar.gz     
[root@client1 ~]# cd facter-1.7.1/     
[root@client1 facter-1.7.1]# ruby install.rb

[root@client1 ~]# tar zxf puppet-2.7.21.tar.gz         
[root@client1 ~]# cd puppet-2.7.21/
[root@client1 puppet-2.7.21]# ruby install.rb
[root@client1 puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@client1 puppet-2.7.21]# cp conf/redhat/client.init /etc/init.d/puppetclient
[root@client1 ~]# chmod +x /etc/init.d/puppetclient
[root@client1 ~]# service iptables stop
[root@client1 ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
server = master.benet.cn

注意:puppetclient2的配置过程与puppetclient1类似,只需将主机名改为client2即可,此处不再赘述


4. 申请与注册

(1)分别在puppetclient1和puppetclient2上进行注册

[root@client1 ~]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

杨书凡02.png

    上面会一直等待,可以按ctrl+c结束,但是服务器上已经有申请信息了


(2)在master端查看申请注册的客户端

[root@master ~]# puppet cert --list            #查看申请注册的客户端
[root@master ~]# puppet cert sign --all        #将未注册的客户端进行注册
[root@master ~]# ll /var/lib/puppet/ssl/ca/signed/   #查看已经注册的客户端

杨书凡03.png






案例二:批量修改客户端sshd端口

1.  配置一个测试节点

节点信息:/etc/puppet/manifests/nodes

模块信息:/etc/pupppet/modules

实验目标:为了保护linux的ssh端×××破,批量修改客户端的sshd端口,将22号端口改为9922,并实现重启sshd服务的工作。

想完成以上几点,需要明确几点:

①需确定openssh软件包安装

②需确定存在ssh的配置文件

③确定sshd的服务是系统服务

    创建ssh模块,模块的目录为ssh,模块下有三个文件分别是:manifests、templates、files。

    manifest里面必须包含一个init.pp文件,这是该模块的的初始(入口)文件,导入一个模块的时候需要从init.pp开始执行,可以把所有的代码都写入到这个文件中,也可以分成多个.pp文件,init在去包含其他文件,定义class类名时必须是ssh,这样才能实现调动

    files目录是该模块的发布目录,puppet提供了一个文件分割机制,类似rsync的模块。

    templates目录包含erb模块文件、这个和file资源的templates属性有关(很少使用)


2. 配置Master端

1) 创建必要的目录

[root@master ~]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[root@master ~]# mkdir /etc/puppet/manifests/nodes
[root@master ~]# mkdir /etc/puppet/modules/ssh/files/ssh
[root@master ~]# chown -R puppet /etc/puppet/modules/



2)创建模块配置文件install.pp(应确定已经安装ssh服务)

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{
  package{ "openssh":        
    ensure => present,
  }
}

注意:presemt是以,结尾,由于配置的是ssh服务,所以模块名为ssh,如果配置http,则模块名为http。


3) 创建模块配置文件config.php

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/config.pp
class ssh::config{
  file { "/etc/ssh/sshd_config":     #配置客户端需要同步的文件
    ensure =>present,                #确定客户端此文件存在 
    owner =>"root",                  #文件所属用户
    group =>"root",                  #文件所属组
    mode =>"0600",                   #文件权限
    source =>"puppet://$puppetserver/modules/ssh/ssh/sshd_config",
                                        #从服务器同步文件的路径
    require => Class["ssh::install"],   #调用install.pp,确定ssh已经安装
    notify => Class["ssh::service"],    #如果config.pp发生变化通知service.pp
  }
}


4)创建模块配置文件service.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/service.pp
class ssh::service{
  service{ "sshd":                                        
    ensure =>running,        #确定sshd运行        
    hasstatus=>true,         #puppet该服务支持status命令,即类似servicesshd status命令                
    hasrestart=>true         #puppet该服务支持status命令,即类似servicesshd restart命令  
    enable=>true,            #服务是否开机启动
    require=>Class["ssh::config"]       #确认config.pp调用
    }
}


5) 创建模块主配置文件init.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/init.pp
class ssh{
        include ssh::install,ssh::config,ssh::service
}


    上面一共建立了4个文件,确保建立好

杨书凡09.png


6) 建立服务器端ssh统一维护文件

    由于服务器端和客户端的sshd_config文件默认一样,此时将服务器端/etc/ssh/sshd_config复制到模块默认路径。

[root@master ~]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[root@master ~]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config


7) 创建测试节点配置文件,并将ssh加载进去

[root@master ~]# vim /etc/puppet/manifests/nodes/ssh.pp
node 'client1.benet.cn' {        
    include ssh
}

node 'client2.benet.cn' {         
    include ssh
}


8) 将测试节点载入puppet,即修改site.pp

[root@master ~]# vim /etc/puppet/manifests/site.pp
import "nodes/ssh.pp"


9) 修改服务器端维护的sshd_config配置文件

[root@master ~]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config 
Port 9922


10) 重新启动puppet

[root@master ~]# /etc/init.d/puppetmaster restart


3. 配置客户端,主动拉取

    一般在小规模自动化群集中,如代码上线需要重新启动服务时,为了防止网站暂时性无法访问的问题,每台客户端需要运行一次puppet agent -t命令,所以选择模式时需要根据规模的大小来决定,一般运维工程师puppet服务器到各客户端建立ssh信任,然后自定义脚本,ssh让客户端批量执行puppet命令同步。

    在客户端puppetclient1上执行命令

杨书凡10.png


    然后在客户端上查看ssh配置文件的端口是否改变,并查看端口运行状态:

杨书凡11.png


    由上图可以看出,客户端的ssh端口已经变成9922,而且ssh服务自动重启了,说明我的实验做对了。但是如果都由客户端自己拉取的话,可以想象如果有几百甚至上千台服务器呢,客户端拉取一定是不可取的,所以我们可以采用另一种方式,就是服务器推送,只需要在服务器上执行一次命令,所有的客户端都会同步,这样工作会更轻松一些。



4. 服务器推送同步

    在client配置:

1)修改puppet主配置文件

    在客户端上执行下面命令:

[root@client1 ~]# vim /etc/puppet/puppet.conf
listen= true          #使puppet监听8139端口
[root@client1 ~]# vim /etc/puppet/auth.conf
allow *               #最后一行添加
[root@client1 ~]# /etc/init.d/puppetclient start


4)再次把服务器的ssh配置文件端口改为12345(换一个试试)


5)服务器推送给客户端

杨书凡12.png




6)在客户端查看端口是否改变

杨书凡13.png

    客户端ssh端口已经改变,实验成功。但是今天仅仅是做了ssh同步的一个应用案例,实际上puppet功能十分强大,应用非常灵活,运维的工作基本上它都可以完成自动化,相关脚本在网上有很多,就不在赘述了