jtb.blog - Hardware

Trouble beim Firmware Upgrade

nospam@example.com (Jtb) — Mon, 22 Aug 2011 17:13:24 +0200

Manchmal fragt man sich wie es dazu kommen kann, dass manche Software ausgeliefert wird. Ich habe am Wochenende ein paar Switche auf den aktuellen Stand gebracht. Auf dem 3560-E lief das Upgrade auf 15.0(1) wunderbar. Nur der 2960G wollte nach dem Reload nicht mehr so recht - er war schlicht und einfach nicht mehr per SSH zu erreichen. Allerdings waren noch alle Rechner am Switch erreichbar. So habe ich bis zum heutigen Tag gewartet und mich per Konsolenkabel lokal verbunden.
Bei dem aktuellen Wetter war es sogar angenehm im kalten Serverraum zu sein

Nur statt dem erwarteten Loginprompt kam nur eine unangenehme Meldung:

%% Low on memory; try again later

Das ganze passiert kurz nach dem Booten. Das heißt wenn man schnell ist, ist ein Login per Konsole oder gar SSH möglich - nur später nicht mehr.

Fazit: Supportfall geöffnet und nun heißt es abwarten. Wofür zahlt man für den Servicevertrag viel Geld?

Neues Notebook: Dell E6420

nospam@example.com (Jtb) — Mon, 25 Jul 2011 16:43:53 +0200

Vor zwei Wochen kam neue Hardware für mich an: das Dell Latitude E6420.
Nachdem ich die ganze Zeit jeweils das 15-Zoll Modell aus der Latitude-Serie gekauft habe, wollte ich dieses Mal ein kleineres Notebook.
Leider ging damit auch die große Auflösung verloren - jetzt habe ich nur noch 1600x900 statt wie vorher 1920x1200

Auch wenn Linux die letzten Jahre stark mit der Hardwareaktualität aufgeholt hat, muss man bei so aktueller Hardware noch Hand anlegen. Erst der 3.0er Kernel ermöglicht die vollständige Nutzung des Touchpads. Für den OpenGL-Support musste dann noch libMesa aus Ubuntu testing herhalten
Suspend will auch noch nicht so richtig - genauso auch das Rebooten ohne reboot=pci als Kernelparameter

Ansonsten läuft (fast) alles. Klar - Support für Nvidia Optimus gibt es (noch) nicht.
Fingerprint- und Smartcard-Reader habe ich noch nicht eingerichtet.

Im Gegensatz zum E6520 hat das neue Modell leider keinen DisplayPort mehr - nur noch HDMI.. Keine Ahnung warum Dell da einen solchen Rückschritt gemacht hat.

Dennoch bin ich sehr zufrieden - allein die Rechnerpower der Quad-CPU ist genial

Projekt zum Ablenken: 1-Wire

nospam@example.com (Jtb) — Fri, 18 Feb 2011 22:49:18 +0100

Wie üblich zur Klausurenzeit entstand auch dieses Semester wieder ein interessantes Projekt - quasi als Ablenkung vom Lernen.

Durch die Bauarbeiten in D10 konnte die Fachschaft aus einem alten Türrahmen einen Riegelschaltkontakt bekommen. Dieser Schalter erfasst ob eine Tür abgeschlossen wurde (Riegel drückt den Schalter dann rein) oder nicht. Damit kann das alte Problem endlich gelöst werden: wie bekomme ich raus ob der Fachschaftsraum offen ist oder nicht?

Der Riegelschaltkontakt ist eigentlich ein einfacher Schalter:

Angebunden wurde das ganze über 1-Wire. Da Freddy mal ein Haufen Sensoren testweise bestellt hat, konnten wir nicht nur den Sensor anbinden sondern auch gleich noch ein paar Temperatursensoren.

Versteckt wurde die ganze Verkabelung im Kabelschacht. Obwohl der Chip recht klein ist (und somit auch die Kontakte zum Anlöten) haben wir vorsorglich eine größere Box zusammenimprovisiert
Das macht die spätere Fummelei bei Erweiterungen einfacher.

Gleichzeitig musste dann auch die Information verbreitet werden. Und was liegt näher als den Türstatus in die große Informationsmüllhalde einzukippen? Somit hat die Fachschaft jetzt einen Twitter-Account. Für mich war das ein wenig gewöhnungsbedürftig, da ich selber kein Twitter-Benutzer bin. Nach den ersten Schritten Account anlegen etc fand ich schnell raus, dass ich nicht einfach mit einem Programm ein Status-Update schreiben kann sondern erst eine Anwendung registrieren muss und dieser dann noch passende Zugangsdaten beschaffen. Zuerst einmal bin ich über einige defekte Links bei Twitter gestolpert und konnte mich dann unter der Developer-Seite trotz korrekter Logindaten nicht anmelden.. Da hätte ich eigentlich mehr Professionalität erwartet. Durch die Umstellung auf OAuth waren dann noch einige Tutorials im Internet unbrauchbar. Nach einigen Versuchen stand aber dann die fertige "1-Wire Filesystem auslesen und zu Twitter posten" Anwendung.

Die anderen Sensoren werden einfach per SNMP abgefragt und im Monitoring erfasst. Derzeitiges Ziel ist es die Temperatur im Vorlesungssaal 4.04 unter dem Dach von D14 zu erfassen. Die Überlegung ist hier nach Arbeitsstätten-Richtlinie zu hohe Temperaturen zu bemerken und passend Änderungen einzufordern. Beispielsweise einen effektiveren Sonnenschutz oder gerade in der Klausurenzeit im Sommer keine Klausuren in dem Raum zu planen.

Alle Details gibt es im Fachschaftswiki zu 1-Wire.
Mehr Bilder von dem Projekt gibt es online in der Gallery: Fachschaftsprojekte: 1-Wire.

Ärger mit einem Switch

nospam@example.com (Jtb) — Fri, 18 Feb 2011 17:04:35 +0100

Diese Woche hatte ich mit einem interessantem Fall zu tun. Einer der Linksys SRW2048 Switche des Fachbereichs schien nicht mehr richtig zu arbeiten.

An dem Switch hingen zwei Server jeweils mit zwei Netzwerkkarten. Alle beiden Server sowie das Management-Interface des Switches waren ohne Probleme erreichbar. Nur die zweite Netzwerkkarte der Server wollte nicht richtig.
Die Symptome waren einfach: man konnte die Server nicht auf der zweiten Netzwerkkarte anpingen. Wohlgemerkt nur wenn man es von einem anderen Switch aus versuchte - intern klappte alles wunderbar.

Zuerst wurde also der Uplink des Switches verdächtig. Als erstes habe ich die redundante Anbindung an die beiden Backbone-Switche entfernt - aber selbst bei nur einer Verbindung zum Backbone blieb das Problem bestehen. Also wurde testweise der Port-Channel deaktiviert. Somit war der Switch nur noch von einem LAN-Kabel an die Backbone angeschlossen. Das brachte allerdings keine Besserung.
Eine genauere Analyse brachte zutage, dass ARP erfolgreich war. Der Switch lernte brav die angeschlossenen MAC-Adressen und auch die Backbone kannte alle MACs. ICMP-Pings gingen im unteren einstelligem Prozentbereich durch, aber auch wirklich nur ganz selten.
Die Fehlersuche ging also weiter. Reboot der Server und des Switches, Reset des Switches und leere Konfiguration - nichts half weiter.

Dann änderte ich die MAC-Adresse der zweiten Netzwerkkarte und siehe da - es funktionierte! Jetzt war es offensichtlich: der Switch hatte einen Fehler. Weitere Tests zeigten, dass der Switch jegliche Datenpakete mit einer ungeraden MAC-Adresse nicht sauber verarbeitete sobald die Rechner auf bestimmten Ports angeschlossen waren. Beispielsweise funktionierten die Ports 2 und 3 untereinander wunderbar, aber nicht in Kombination mit dem Uplinkport 48.

Über die eigentliche Ursache kann man nun nur mutmaßen. Wahrscheinlich hat sich durch den Staub im Serverraum eine Datenleitung verabschiedet oder wurde kurzgeschlossen und ein Bit wird nicht mehr richtig übermittelt. Das Verhalten der Ports kann man sich vielleicht mit einer Backplaneaufteilung auf Portgruppen erklären...

Jedenfalls wurde der Switch nun außer Betrieb genommen und der Ersatz funktioniert wunderbar. Nur die Problemsuche war ein wenig ärgerlich - oft kann man durch strukturiertes Vorgehen einen Fehler schnell finden, aber selten geht man von einem Hardwaredefekt aus. Normalerweise liegen die Probleme ja ein wenig weiter oben im Schichtenmodell

Bauarbeiten & Server

nospam@example.com (Jtb) — Wed, 22 Dec 2010 20:34:23 +0100

Derzeit wird im öffentlichen Bereich viel saniert - Konjunkturpaket sei dank
Unter anderem wird hier der Serverraum des Fachbereichs einmal komplett verbessert. Statt herkömmlicher Klimaanlagen soll in Zukunft bei kalten Temperaturen mit Außenluft gekühlt werden. Dann gibt es noch Kleinigkeiten wie Brandschutz, vergrößerter Raum, Kabelführung über Trassen usw

Mit dem Blogeintrag werde ich das Projekt und die Probleme mit einigen Bildern erläutern. Die ganzen Bilder vom D10-Umbau finden sich in der Gallery der Fachschaft.

Da Bauarbeiten wie bekannt ein wenig staubig werden können, wurde also der Serverraum temporär geräumt (ein Hoch auf fahrbare Serverschränke ).
Zwischendrin stand dann nur noch ein angeblich gut eingepackter Netzwerkschrank in dem Raum:

Und es wurde staubig:

Nach einigem Ärger und etlichen Säuberungsversuchen mussten wir nun wieder in den Raum zurück - ein Serverraum für einen Fachbereich kann man halt nur mal in den Semesterferien umziehen.
Hier sieht man schön wie der Raum geputzt wurde und wie groß er nun wirkt.

Allerdings waren nicht wie nach Plan die Bauarbeiten in dem neuen altem Serverraum abgeschlossen. Neben dem Ärger mit dem zeitlichen Ablauf des Projekts kamen nun Bauarbeiten in einem produktiven Serverraum. Trotz Warnungen und Absprachen wurde weiterhin im Raum ohne oder mit wenig Staubschutz gearbeitet. Kurz vor Weihnachten ist das ganze dann eskaliert. Da wir im Nachbarraum mittlerweile unser Büro haben, bekommen wir es sofort mit wenn zum Beispiel eine Bohrmaschine im Serverraum benutzt wird. Kurz in den Serverraum reingeschaut steht dort ein Bauarbeiter mit der Bohrmaschine neben ihm, der gerade schnell versucht seine Spuren zu verwischen. Drauf angesprochen warum er keinen Staubsauger benutzt, hat er nur lamentiert und meinte es wäre ja nicht so wild...

Jetzt hat der Serverraum ein neues Schloss und wahrscheinlich müssen alle Server nun einmal gereinigt werden. Ich bin mal gespannt wer die Kosten dafür tragen muss.

Hier ein paar Bilder zur Verdeutlichung (der Raum war ja vorher komplett sauber):

Staub durch Bohren auf der Fensterbank

Staubige Server

Auch wenn ich in die Einteilung im IT-Grundschutz Katalog von "Staub, Verschmutzung" als "Höhere Gewalt" nicht teile, zeigt sich doch, dass man beim Betrieb eines Serverraums nicht nur die Server als Hard- und Software im Blick haben muss sondern auch das Umfeld. Mehr als Warnen und Absprachen treffen kann man als einfacher Angestellter aber auch nicht. So bleibt mir nur übrig zu hoffen, dass keine Festplatte oder gar ein Server ausfällt beziehungsweise stirbt.

Spaß mit Linksys und STP

nospam@example.com (Jtb) — Sun, 12 Dec 2010 18:14:27 +0100

In den letzten Tagen habe ich prototypisch eine neue Backbone-Struktur für den Fachbereich Informatik aufgebaut. Während früher pro Gebäude ein Backbone-Switch zuständig war und somit einen großen Single Point of Failure bot, soll in Zukunft ein redundantes System auch beim Ausfall eines Backbone-Switches den Betrieb am Laufen halten.

Während wir im Edge-Bereich allein durch die schiere Anzahl von benötigten Ports bzw Switches nur Linksys einsetzen, baut die neue Backbone auf "echten" Cisco Switches auf.
Jedes Labor und jeder Serverschrank wird dann später mit zwei 2 Gbit-Portchannel angebunden, so dass sowohl Redundanz als auch Durchsatz für zukünftige Anwendungen (ich sag nur Image-Verteilung) gegeben ist. Gleichzeitig sorgt RSTP bzw MSTP dafür, dass es zu keiner Schleife im Netz kommt.

Vereinfacht dargestellt:

CODE:

3560-E----------- (1)
| Linksys SRW2048
3560-E----------- (2)

Direkt nachdem der Prototype aufgebaut war, kamen aber die ersten Probleme:

%SW_MATM-4-MACFLAP_NOTIF: Host 001e.e500.ABCD in vlan 1234 is flapping between port PoX and port PoY

Der betroffene Host war die Managementschnittstelle des Linksys SRW2048 im passenden Management-VLAN. Dadurch konnte man den Switch nicht mehr erreichen... Alle anderen Hosts, die am Switch angeschlossen waren, funktionierenden allerdings weiterhin wunderbar.

In den da drauf folgenden Tagen nahm ich den Prototypen auseinander, baute von Port-Channel auf normale einfache Verbindung runter, bemühte Wireshark etc.
Gleichzeitig trat ich mit dem Linksys-Support in Kontakt und hoffte auf eine Lösung. Dieser erzählte mir dann erstmal, dass sie keine Catalyst zum Testen zur Verfügung haben - nur Linksys-Produkte...
Nach gut einem Moment wurde es mir zuviel mit dem Support und ich baute den gesamten Prototypen nochmal neu auf und bin kurz danach über die Ursache gestossen, die auch schon vorher per Wireshark-Trace zu sehen war: der Linksys schickt über ein vom Spanning-Tree blockiertes Interface ARP-Requests für seinen Standardgateway! Mit der Aussage festgenagelt, hat der Support dann endlich ein Dokument gefunden, dass dieses Problem beschreibt und mit einem Firmware-Update zu beheben ist.
Diese Firmware stand zwar schon vorher auf der Webseite zur Verfügung, aber kein Wort von dem Fehler. Obwohl dieser in der internen Datenbank aufgezeichnet war!

Mit einem Firmware-Upgrade läuft das Bäumchen jetzt korrekt und sobald unser Team Verstärkung durch mehr Personal bekommt, geht es ans Ausrollen

MediaPC und Backup-Kiste

nospam@example.com (Jtb) — Sat, 18 Sep 2010 21:52:10 +0200

Nachdem die Lieferung aufgrund von Sicherheitsgründen länger gedauert hat, ist mittlerweile die neue Hardware angekommen.

Aufgabe war es eine kleine lautlose Kiste zusammenzustellen, die sowohl als MediaPC am TV hängt als auch für Backups zuständig ist.

Nach langer Suche fiel die Auswahl schließlich auf das Asus ATIONT-I. Ein neues Mainboard mit Atom 525 und Nvidia ION.

Als Gehäuse wählte ich das Antec ISK 300-65. Klein, Platz für zwei 2,5'' Festplatten und ganz wichtig: externes Netzteil. Die 65 Watt sollten ausreichen und ist natürlich sparsamer als ein 300 Watt Netzteil

Als Festplatten verwende ich einfach zwei alte Sata-Platten - mit jeweils 250 GB. Das reicht im Mirror-Raid erstmal für ein System und einige Backupgenerationen.

Nur der Arbeitsspeicher war mein größtes Sorgenkind. Obwohl ich explizit den Kingston-Speicher gekauft habe, der bei Asus exakt auf der Qualified Vendor List aufgeführt wird, wollte das Board nicht starten. Obwohl das Board hochmodern ist, gibt es keinen onboard Lautsprecher wie ich es sonst mittlerweile gewöhnt bin. Da das Gehäuse auch über keinen Speaker verfügt, habe ich zu Analyse-Zwecken erstmal einen Lautsprecher aus einem anderen Gehäuse entführt.
Aber selbst mit dem Lautsprecher konnte ich dem Mainboard kein Lebenszeichen entlocken - nur ohne Speicherriegel kamen die erwarteten Post-Codes.

Ein zweiter Speicherriegel brachte auch keine Besserung. Erst ein kleinerer Riegel mit nur einem Gigabyte verholf dann endlich zum Boot. Da werde ich noch Asus eine wütende Mail schreiben...

Jetzt läuft jedenfalls erstmal die Installation

Update: Asus hat auf meine Mail reagiert und mir ein neues Bios gemailt:

[..] das Problem ist, das Kingston die verbauten Chips bzw. die hinterlegten Ansteuerung verändert hat.

Inzwischen gibt es eine neue Bios Version 0316 mit der die Probleme beseitigt sein sollten. ( siehe Anhang )

Schnell per USB-Stick das Bios aktualisiert und siehe da: der Speicher wird nun erkannt
Mittlerweile ist das Bios auch auf der Asus-Webseite zu finden. Problem gelöst, aber trotzdem war das ganze ärgerlich

Zweite HDD im Dell Latitude

nospam@example.com (Jtb) — Sun, 12 Sep 2010 12:58:46 +0200

Schon bevor ich mir durch den Festplattenausfall die SSD gekauft habe, habe ich mit der Anschaffung einer SSD geliebäugelt.
Da der kleine Speicherplatz einer SSD mir nicht ausreicht, hatte ich mir ein HDD-Caddy für das "modular media bay" bei Ebay bestellt. Nach 14 Tagen Lieferzeit aus China kam gestern das Päckchen an.

Auch wenn die Verarbeitungsqualität nicht so toll ist, kann ich nun eine 2,5'' HDD gleichzeitig zur SSD benutzen. Schade eigentlich, dass Dell keine solchen Caddys selbst für die Latitude E-Serie anbietet bzw gerade nicht im Angebot hat
Beim ersten Test ist dann aber gleich aufgefallen, was an solchen Festplatten im Notebook neben den schlechten Zugriffszeiten so negativ ist: sie werden gut warm.

Jetzt kann ich wenigstens das gute aus beiden Welten haben: schnelle, leise, kalte SSD für System und Benutzerdaten und große, selten benötigte HDD für die Datenhaltung. Wenn ich schon an die wieder anstehende Windows-Installation (ja, manchmal braucht man noch ein Windows neben dem Linux) denke, bin ich froh alle Software als ISO rumliegen zu haben.. Die zig Gigabyte kann man zwar schnell wiederrunterladen (es lebe MSDN-AA) aber das dauert dann auch wieder seine Zeit.
Da auf der HDD dann nur Daten liegen, die ich eher selten brauche, kann die HDD runterfahren und lange in diesem Status bleiben. Das schont wiederrum den Akku und verhindert, dass der Spareffekt durch die SSD zunichte gemacht wird.
Schon allein für die ganzen Fotos, die ich mache, ist die große HDD sinnvoll - man glaubt garnicht wie schnell sich da ein paar dutzend Gigabyte sammeln wenn man im Raw-Format speichert

Wieder online

nospam@example.com (Jtb) — Sat, 04 Sep 2010 08:53:59 +0200

Nachdem mir am Mittwoch meine Notebookfestplatte ausgefallen ist, baue ich mir so langsam wieder mein Notebook auf.
Schmerzhaft ist der Wechsel von Gentoo auf Kubuntu, aber ich habe gerade nicht die Zeit mir wieder ein schönes System hochzuzimmern. Das letzte Backup ist wie üblich nicht ganz so aktuell
Bis auf einen kleinen Verlust sind jedoch alle wichtigen Daten noch vorhanden.

Ansonsten habe ich den Ausfall zum Anlass genommen um mir endlich eine SSD zu kaufen. Nach ein wenig rumsuchen, entschied ich mich für die Crucial RealSSD C300. Die ist zwar ein wenig teurer, als die anderen SSDs, aber die Performance soll besser sein. Da ich sofort eine SSD brauchte, habe ich mich zum lokalen Händler begeben.

Direkt nach dem Einbau kam eine Kubuntu-Installation vom USB-Stick und schon da war ich von der Geschwindigkeit sehr angetan. Nach der erfolgreichen Installation jedoch began der Spaß - das Booten ist absolut schnell und auch der KDE-Login ist nun deutlich schneller.
Die Angaben zur SSD stimmen auch - ich schaffe es tatsächlich mit 140MB/s zu schreiben. Nur beim Lesen kam ich auf maximal 280MB/s. Hier bremst eindeutig mein Sata-Chip mit nur 3 Gb/s

Als viel angenehmer stellt sich jedoch das absolute ruhige Notebook heraus - keine nervigen Festplattengeräusche mehr.

Tagesfazit

nospam@example.com (Jtb) — Wed, 01 Sep 2010 21:19:20 +0200

Veranstalter sollten USB-Sticks komplett löschen und nicht nur Dateien

Das Klima im 14. Stockwerk ist schlecht und die Klimaanlage ist von 16 Personen + Notebooks in einem Raum überlastet

Kleine Rechenfehler führen zu einem Überziehungskredit von über 2.000.000 €

Ich werde wohl krank

Meine Festplatte ist abgeraucht (klickt nur noch)

Man kann sich in der digitalen Zeit noch über Postkarten freuen

Gute Nacht.

Neue alte Hardware

nospam@example.com (Jtb) — Tue, 24 Aug 2010 18:05:42 +0200

Wie überall kommt es bei mir auf der Arbeit auch vor, dass man sich nur noch an den Kopf greifen kann. Über das meiste darf ich leider nicht schreiben, so dass nur einzelne, gefilterte Artefakte ab und zu von mir gebloggt werden.

Heute mittag kam eine erwartete Lieferung an - Network Management Cards von APC. Mit diesen kleinen Einbaukarten kann man die USVs über das Netzwerk verwalten. Sehr nützlich wenn man viele USVs über mehrere Gebäude verteilt hat und nicht immer einen Server zur Hand der die USV über die serielle Konsole abfragen kann.

Nach dem üblichen Einbauprozedere (USV ausschalten und stromlos machen) stellte ich beim Konfigurieren fest, dass ich mich nicht an der Karte anmelden konnte. Standardmäßig kommt man mit apc/apc rein - nur diesmal nicht. Jedenfalls keine große Gedanken darüber gemacht und um schnell weitermachen zu können, die Passwort Reset Anleitung von APC gesucht. Kurz danach war ich auf die Karte verbunden und wunderte mich um so mehr. Im Gegensatz zu den bislang eingebauten Karten fand ich eine fertige Konfiguration unter einer alten Firmwareversion vor.

Die erste Karte meldete sich mit:

Name : V0299001
Contact : Itellium
Location : Detmold
Up Time : 0 Days 0 Hours 0 Minutes

und weiter mit folgender Netzwerkkonfiguration:

Network started. Manual settings are in use.
------------------------------------------------
System IP : 10.40.28.7
Subnet Mask : 255.255.252.0
Default Gateway : 10.40.31.254

Host Name : V0299001
Domain Name : karstadt.net

Bei einer zweiten Karte zeigte sich dasselbe Bild: eindeutig eine gebrauchte Karte.
Sehr interessant war dann ein Blick auf "About System":

Manufacture Date : 11/14/2003

Mit Blick auf diese Daten und Verkauf der Karten als "Bulk" kriegt der Händler jetzt Ärger.

Redundanz in der Praxis

nospam@example.com (Jtb) — Mon, 21 Jun 2010 23:11:06 +0200

Redundanz klingt gut. Failover noch besser.
Aber egal was man macht oder testet - es gibt immer einen Fall den man nicht bedacht hat und der die schöne Verfügbarkeit kaputt macht.

Gestern nacht ist ein Server gestorben. Na ja, zur Hälfte - eine der beiden onboard Netzwerkkarten verweigerte ihren Dienst. Zuständig war dieser Server für DHCP (ca. 30 Subnets) und Radius. Während der DHCP-Dienst durch ein Failover-Setup weiterlief, verlief es mit dem Radius-Server nicht so gut. Auf der zweiten Netzwerkkarte lauschte immer noch der Freeradius-Daemon und wurde somit von den Switches im Gebäude erreicht. Allerdings kann Freeradius ohne Default-Gateway die LDAP-Server nicht erreichen. Ohne Benutzerdatenbank keine erfolgreiche Authentifikation - aber leider dennoch erreichbar. Somit kam es, dass kein Switch auf die anderen Fallback-Radiusserver umschwenkte. Ohne Radius kein 802.1x und somit stehende Rechner am Morgen

Dennoch gibt es ein paar Faktoren, die das Problem minimiert oder bei der Analyse geholfen haben:

Örtliche Zuordnung - jedes Gebäude hat ihren eigenen Radius-Server mit der höchsten Priorität eingetragen. Somit war das Problem lokal begrenzt und legte nicht gleich mehrere Gebäude lahm.

Überwachung - es war somit schnell klar, dass der Server nicht erreichbar ist und wann er ausgefallen war. Allerdings zeigte sich, dass nicht jeder die Mail erhalten hat und unser Nagios zur Zeit zuviele Warn-E-Mails schickt.

Tools - ein Webinterface zum Abschalten der Authentifikation ist in solchen Fällen sehr hilfreich.

Redundanz - immerhin hat es der DHCP-Dienst geschafft

Firewall vs. Image-Deployment

nospam@example.com (Jtb) — Sun, 20 Jun 2010 17:50:43 +0200

"Wie installiere ich alle meine Rechner neu?" Diese oder ähnliche Fragen stellt sich jeder Administrator mal. Während bei kleinen Rechnerparks noch der Turnschuhadmin von Rechner zu Rechner rennt, ist ab einer gewissen Anzahl eine automatische Installation angebracht.
Je nach Betriebssystem gibt es diverse Namen für eigentlich immer ähnliche Techniken. Sei es nun FAI (Fully Automated Installation) oder WDS (Windows Deployment Services). Natürlich gibt es auch reine Image-Software wie z.B. Norton Ghost.
Alle Installationsarten haben eine Gemeinsamkeit: der Rechner kann vom Netzwerk booten und bekommt danach über das Netzwerk die Installationsdateien. Dieser Netzwerkboot per PXE hat den angenehmen Vorteil: man muss nicht von Rechner zu Rechner wandern sondern quasi auf Knopfdruck ein Image ausrollen. Sollte beispielsweise der Rechner gerade aus sein, kann man per Wake On Lan diesen booten.

Ob nun ein echtes Image oder die Installationsdateien verwendet werden - beides hat einen entscheidenen Nachteil: das Netzwerk wird belastet. Aus schlechten Erfahrungen in der Vergangenheit werden heutzutage nicht mehr alle Rechner in ein Netzwerk gesetzt sondern per Firewall sauber getrennt. Was Würmer an der Verbreitung hindert, hat aber Nachteile: oft ist die Firewall-Appliance nicht stark genug ausgelegt um eine gleichzeitige Installation dutzender von Rechnern zu verkraften.

Im folgenden möchte ich eine kleine Lösung für dieses Problem vorstellen. Die grundsätzliche Idee ist einfach: das Aufrüsten der Firewall ist zu kostspielig. Ein einfacher Linuxserver mit zwei Netzwerkkarten ist schnell genug, aber wir wollen und können damit nicht die Appliance mit den ganzen Funktionen ersetzen.
Also stellen wir neben die Firewall eine zweite die nur während des Deployment-Prozesses tätig ist.

Die eigentliche Aufgabe besteht nun darin eine Fallunterscheidung zu treffen. Während beim normalen Boot alles wie gewohnt ablaufen soll, muss beim Booten über's Netzwerk alles über den neuen Linux-Server laufen. Das ganze klappt wunderbar wenn ein paar Rahmenbedingungen erfüllt sind - am wichtigsten ist hierbei die Verwendung eines passenden DHCP-Servers.

Zuerst einmal brauchen wir ein neues IP-Segment für die Image-Verteilung. Da öffentliche Adressen Mangelware sind, begnügen wir hier uns mit einem privatem Segment. Da wie schon gesagt, mehrere Netzbereiche versorgt werden sollen, nehmen wir hier ein 10er Bereich und unterteilen ein /16 in 255 Segmente.

CODE:

shared-network "SharedSubnet_10.0.47.0" {
  failover peer "failover";
  allow unknown-clients;
  allow bootp;
  allow booting;
  next-server 10.0.47.254;
  filename "pxelinux.0";
  option routers 10.0.47.254;
  option subnet-mask 255.255.255.0;
  subnet 10.69.47.0 netmask 255.255.255.0 {
    pool {
      range 10.69.47.1 10.69.47.99;
      allow members of "PXE";
    }
  }
}

Durch die Allow-Zeile wird dieser DHCP-Pool nur verwendet wenn tatsächlich über das Netzwerk gebooted wird. Das Erkennen eines Netzwerkboots erfolgt über die Angabe des Herstellers im DHCP-Request. Neben dem "pxe-kernel" welches über den nicht dokumentierten Kernelparameter dhcpclass gesetzt wurde, forderte der Kernel trotzdem auch noch als "Linux ipconfig" eine IP an.

CODE:

class "PXE" {
  match if substring(option vendor-class-identifier, 0, 9) = "PXEClient" or
    option vendor-class-identifier = "pxe-kernel" or
    option vendor-class-identifier = "Linux ipconfig";
  ping-check false;
}

Der ping-check erwies sich als nötig, da der Linux-Kernel eine IP-Adresse anfragt und gleichzeitig die alte noch in Benutzung ist. Der DHCP-Server pingt also die alte Adresse an und stellt fest, dass er sie nicht vergeben kann, da sie scheinbar noch in Verwendung ist. Was also normalerweise das Netzwerk vor der doppelten Vergabe einer IP schützt, ist hier kontraproduktiv.

Nun fehlt nur noch ein DHCP-Relayagent auf dem Linux-Server und die Rechner bekommen eine DHCP-Adresse. Bleibt aber ein Problem: je nachdem welcher Agent schneller antwortet bekommt der Rechner eine Adresse aus dem regulärem Pool oder aus dem neuen Deployment Pool.
Hier hilft ein explizites Verbieten - leider können wir die Gruppendefinition nicht verwenden, wenn die Rechner per statischen Host-Eintrag mit einer festen IP-Adresse versorgt werden. Hier hilft folgende Zeile im alten Segment für das Netzwerk:

CODE:

if substring(option vendor-class-identifier, 0, 9) = "PXEClient" or
option vendor-class-identifier = "fbipxe-kernel" or
option vendor-class-identifier = "Linux ipconfig"
{ deny booting; } else {allow booting; }

Wieder haben wir die oben schon verwendete Fallunterscheidung. Diesmal wird jedoch die grundsätzliche DHCP-Funktion ein- oder ausgeschaltet. Die Benennung des Parameters booting ist ein wenig unglücklich - hier ist nicht das Booten des Rechners gemeint sondern das Zuweisen einer Adresse per DHCP.

Jetzt fehlen nur noch ein paar Kleinigkeiten. Unter anderem müssen die DHCP-Server eine Rückroute zum 10.10.0.0/16 Segment haben. Auch die beim Deployment beteiligten Rechner brauchen eine solche Route. Damit nicht jeder Server angefasst werden muss, werden alle anderen Netzwerkzugriffe per NAT auf eine bekannte Adresse gemappt. Damit die neue Firewall kein Sicherheitsloch aufreisst, sorgen noch ein paar iptables-Regeln dafür, dass nur die benötigten Dienste erreichbar sind.

Das Ergebnis kann sich sehen lassen: die Installation mehrerer Rechner geschieht jetzt völlig unabhängig von der Firewall. Jetzt bremsen nur noch die Netzwerkanbindung vom Linux-Server sowie natürlich die Anbindung vom Deployment-Server und dessen Festplatten. Aber gerade die Netzwerkanbindung kann man leicht skalieren. Eine Server-Netzwerkkarte gibt es im unteren dreistelligen Bereich. Die Edge-Switche kann man durch einfache Portaggregation schneller an die Core-Switche anbinden. Erst wenn die Backbone aufgerüstet werden muss, wird es wiederrum teuer. Aber 10 Gigabit-Ethernet ist ja im kommen.

NAS gesucht

nospam@example.com (Jtb) — Sat, 29 May 2010 04:22:05 +0200

Nachdem ich Anfang dieser Woche mein altes NAS (ein Promise NS4300N mit 4x500GB HDDs) verkauft habe, bin ich nun auf der Suche nach einem neuen NAS.
Die Anforderungen sind eigentlich leicht - und basieren auf den Erfahrungen mit meinem alten NAS:
- Mindestens RAID1
- sehr leise
- WakeOnLan
- schneller UPNP-Server für PS3. Am besten mit Konvertierung nicht direkt abspielbarer Formate
- Ausnutzung der Gigabit-Schnittstelle - die CPU sollte nicht die HDDs bremsen

Aber ich finde irgendwie nichts brauchbares. Somit spiele ich derzeit mit dem Gedanken mit ein Selbstbausystem hinzustellen. Das kann sehr schnell fast alle oben geforderten Funktionen - nur das leise Bekommen ist nicht so trivial.
Rumstehen an Einzelteilen hätte ich noch eine AMD 4200+ CPU inkl. MainBoard und RAM sowie ein LianLi Cube und zwei 2,5 Zoll HDDs mit jeweils 250 GB. Stromversorgung könnte ich über ein lüfterloses ATX-Netzteil erledigen, aber wie kriege ich die CPU leise gekühlt?
Gegen eine Wasserkühlung habe ich immer noch so meine Abneigungen und Bedenken..

Herstellerübergreifende Kompatibilität

nospam@example.com (Jtb) — Sat, 21 Nov 2009 13:33:34 +0100

Gestern gab es mal wieder eine Lektion bei der Kompatibilität von Switches zweier Hersteller.
Die Aufgabe: einen Linksys SRW2048 Switch mit einem Summit Extreme verbinden. Eigentlich kein Problem - aber man will ja Redundanz und weniger wichtig: Load-Balancing.

Die Technik dafür ist unter mehreren Namen bekannt - Bonding (Linux), Trunking (Sun), Etherchannel (Cisco), Port Aggregation (HP) und der offizielle Name: Link Aggregation (nach IEEE 802.3ad).

Für die einfache Einrichtung und Verhandlung der Möglichkeiten zwischen den beiden Switches gibt es ein standardisiertes Protokoll: Link Aggregation Control Protocol (LACP). Sowohl der Extreme als der Linksys unterstützen dieses und scheinbar wird auch ein Link aufgebaut. Allerdings nur scheinbar - obwohl beide Geräte angeben, dass der Link aufgebaut wurde und verfügbar ist, geht kein Traffic über den Link.
Auch das Spielen an den verfügbaren Parametern brachte keine Besserung. Ein statisches Konfigurieren brachte dann endlich den erwünschten Erfolg. Die Server am Linksys waren auch erreichbar nachdem ein Uplink-Kabel entfernt wurde.

Netbooks mit Ion

nospam@example.com (Jtb) — Fri, 09 Oct 2009 23:34:13 +0200

Seit einiger Zeit warte ich auf Netbooks mit Ion-Plattform. Immerhin ist die Grafik sonst nicht die schnellste und die Erfahrungen mit Nettops sind für mich sehr deutlich: Nvidia Ion ist in Sachen Grafik einem GMA haushoch überlegen. Gerade heute wieder habe ich wieder ein solches System mit H264-Material sehen können.
Nur kann es so schwer sein das ins Netbook-Format zu packen? Oder ist es alles mit dem Warten auf Windows 7 zu erklären?

Zwar mag ich mein E6500 aber ab und zu hätte ich gern noch ein zweites Notebook

Playstation 3?

nospam@example.com (Jtb) — Sun, 30 Aug 2009 01:34:49 +0200

Nachdem der Preis der PS3 wieder mal gefallen ist, spiele ich mit dem Gedanken mir eine als Blueray-Player zu kaufen - eher sollte ich besser sagen spielte?

Gerade hat Sony ein neues Modell vorgestellt - mit interessanten Features. Zuerst einmal: kleiner, leiser und weniger Stromverbrauch.
Sehr nützlich für einen BD-Player ist aber die HDMI-CEC Funktion. Duch meinen Samsung LCD TV mir auch bekannt als Anynet. Damit kann über das HDMI-Kabel ein Gerät das andere steuern. Von Sony wird dies wie folgt beschrieben:

The new PS3 system is also equipped with the BRAVIA® Sync™ feature. By connecting the new PS3 system and a BRAVIA TV with the HDMI cable, users are able to directly operate the XMB on PS3 using the TV remote control. Other functions include “System Standby” that will automatically turn off the PS3 system when the BRAVIA TV is turned off.

Aber dann kommt die große Änderung:

The new PS3 system will focus on delivering games and other entertainment content, and users will not be able to install other Operating Systems to the new PS3 system.

Wahrscheinlich hatte Sony Angst vor größeren PS3-Clustern - nur ist das für mich erstmal ein Grund zu warten

Besuch vom Dell-Techniker

nospam@example.com (Jtb) — Wed, 29 Jul 2009 23:58:34 +0200

Gestern war wieder ein Dell-Techniker zu Besuch.

Zum einen ist das LCD-Bezel erneut gebrochen. Dazu kamen fehlende Displayabstandshalter und ein fehlender Gummifuss - alle sind in den letzten Wochen verloren gegangen
Gleichzeitig wollte ich noch eine Schraube für das DVD-Laufwerk haben (der dritte Versuch eine solche zu bekommen).

Nachdem der Techniker mit dem Austauschen fertig war, konnte ich mich nicht mehr per Fingerprint am Bios anmelden. Da keine Lösung in Sicht war wurde ein erneuter Einsatz für den nächsten Tag geplant. Nachdem der Techniker weg war, fiel auch noch das TouchPad inkl. TouchPad aus. Gleichzeitig funktionierten die Lautstärke-Tasten über der Tastatur nicht mehr richtig und sendeten falsche Tastatur-Codes.

Am nächsten Tag wurde dann der Fingerprintreader getauscht. Der "Defekt" wegen Tastatur/Touchpad hat sich dann auch automatisch gelöst: es war wohl nur ein nicht korrekt sitzendes Kabel.

Dell E6500 - Lösung für fiependes Display?

nospam@example.com (Jtb) — Sat, 02 May 2009 14:22:12 +0200

Nachdem mir jemand eine Mail geschrieben hat, dass sein Display vom Dell E6400 getauscht wurde und danach das Fiepen weg war, habe ich mal wieder den Dell-Service bemüht.

Ein Service-Einsatz am Freitag war leider nicht möglich, da das Ersatzteil nicht im Gebiet verfügbar war. Erklärbar, da das neue LCD-Panel nicht das Samsung-Panel ist (welches ich derzeit habe) sondern ein Teil von einem anderen Hersteller.

Jetzt bin ich mal auf Montag gespannt

Intel-Software Raid

nospam@example.com (Jtb) — Sat, 21 Feb 2009 15:58:14 +0100

Ich habe Anfang 2008 einen kleinen Server aufgesetzt. Aufgrund des beschränkten Budgets und dem Anspruch vier Netzwerkinterfaces zu haben, fiel die Wahl auf ein Asus P5BP-E/4L. Eigentlich ein sehr nettes Board. Da ich mich auf Festplatten nicht mehr verlasse, verwendete ich ein RAID aus zwei Festplatten. Es bot sich die Raid-Funktionialität des Intel ICH7R Chipsatzes an.
Die Installation war ein wenig umständlicher (initrd-Image nötig), aber irgendwann lief es dann.

Am Freitag kamen dann die Nagios-Meldungen: eine Platte ist ausgefallen und die Load schoss auf über 200 - der Server war nicht mehr erreichbar. Vor Ort erstmal per Sysrq einen halbwegs sauberen Reboot ausgelöst und über die Bios-Meldung gewundert: die RAIDs auf den zwei Platten sollten angeblich ok sein. Ein Boot funktionierte dann auch aber ein anschliendes Auslesen der HDD mit dd führte zu einem erneuten Crash. Also stand fest, dass die Platte kaputt ist und sie wurde ausgebaut. Mangels direktem Ersatz sollte der Server erstmal wieder online gehen. Das Bios meldete korrekterweise, dass das RAID1 degraded ist und das RAID 0 nicht verfügbar - kein Problem da auf dem RAID 0 nur Temp-Directories und der Squid-Cache liegt.
Allerdings kam der Boot nicht weit - direkt im initrd wurde das Mapper-Device nicht gefunden. Mit der Shell fand ich dann schnell heraus, dass dmraid Probleme hatte:

ERROR: isw: unsupported map state 0x2 on /dev/sda for System

Fazit: Intel Software-Raid ist jetzt nach Promise auf meiner persönlichen Blackliste - jedenfalls was Linux angeht. Der Controller ist jetzt auf AHCI runterstuft und demnächst kommt da ein Linux Software-RAID drauf..