Tadeusz
чувак, меняй работу
Tadeusz
канал отвалился у него...
Sergey
John
не заменяйте тогда
ждать когда все машины будут доступны?
это было бы решением, если бы машин было 20, а когда их 10к, ждать можно долго)
Tadeusz
логировать те, где не поменял, ну что за вопрос)
John
чувак, меняй работу
не говори что мне делать, я не скажу куда тебе идти.
Я не сетевик, и мне похеру. Отвалилось - другие работают.
Andrey
ждать когда все машины будут доступны?
это было бы решением, если бы машин было 20, а когда их 10к, ждать можно долго)
ну ставить два ключа на переходный период
John
этот вариант я рассматривал. Он самый простой. Я подумал что может быть вы знаете красивое решение. Но раз красивее нет - будем делать вариант с двумя ключами
Anonymous
у меня все вот так, в awx работает:
- name: my_super_role
src: git@gitlab.company.com:mygroup/ansible-base.git
scm: git
Попробовал так. Тоже не отработало. У меня есть предположение, что awx не использует scm credential для авторизации на гитлабе при попытке загрузить эту роль
Anonymous
Но пока не понимаю, как ему сказать, чтобы использовал
Andrey
этот вариант я рассматривал. Он самый простой. Я подумал что может быть вы знаете красивое решение. Но раз красивее нет - будем делать вариант с двумя ключами
ну если рассуждать логически, требования иметь только один ключ всегда и недоступность хостов делают эту задачу не разрешимой. То есть надо либо ждать доступность всех, либо испоьлзовать два ключа одновременно.
Anonymous
Но пока не понимаю, как ему сказать, чтобы использовал
Разобрался. Оказалось проблема не в credentials, а в том, что у меня не была соблюдена корректная структура дирректорий роли. Т.е. у меня был только files и tasks. Пересоздал структуру роли через ansible-galaxy init и всё взлетело
Yury
--check ранай да анализируй есть ли changed
Yury
Добавь -vvvvv да анализируй
Павел П.
Вечер добрый)
Есть роль меняющая ssh порт для подключения.
Таск - замена строки в sshd конфиге. Затем хендлер , вызывающий рестарт сервиса ssh
И в этот момент всё крашится:
fatal: [hostname]: UNREACHABLE! => {"changed": false, "msg": "Failed to connect to the host via ssh: ssh: connect to host hostname port 22: Connection refused\r\n", "unreachable": true}
Ансибл не сохраняет коннект на протяжении выполнения всего плейбука?
Sergey
Скорее, его разрывает sshd.
Павел П.
Походу да. Есть способы это обойти (делать правильно) ?
Павел П.
Как в таком случае задачу решить лучше?)
Павел П.
Роль не единственная в плейбуке
Павел П.
Посылать команду с отсрочкой..?
Павел П.
Вроде и логично что коннект пропадает, но ssh клиент обычный в отличие от работать-то продолжит))
Vadim
Походу да. Есть способы это обойти (делать правильно) ?
возможно как в https://www.jeffgeerling.com/blog/2018/reboot-and-wait-reboot-complete-ansible-playbook
Vadim
перепиши ему факт тогда
Павел П.
Вполне возможно путаю чего
Павел П.
Есть мысль сделать роль последней в списке, и не рестартить сразу, а просто послать баш на рестарт sshd at current time + 5 минут. Главное чтоб сервера в одном часовом поясе были (наверно)
Павел П.
Ну вот про АТ и думал. Можно и в крон конечно записать на однократное выполнение
Павел П.
В общем спасибо) посмотрю что подойдёт к рабочему сценарию лучше
Dmitry
Уверены, что sshd убивает соединение при изменении порта, или даже при остановке демона?
Павел П.
А какие ещё варианты?)
Dmitry
ну может он в разных сессиях таски делает
Павел П.
Зачем? Как сделать чтоб в одной?
Марат
Пайплайн включить?
Dmitry
попробуйте
Марат
С портом, может в iptables правило добавлять на проброс 22 на новый порт
Ну это так, варианты
Марат
Хотя в какой момент переводить... Проще факт переопределить
Павел П.
Погуглю про пайплайн, спасибо тоже
matt
в 2018ом году до сих пор меняют порты у sshd?
Womchik
и в следующем будут менять
matt
а в следующем тысячелетии?
Womchik
конечно
Vladislav 👻
always
Aleksei
А зачем?
Dmitry
на всякий
Aleksei
А серьезно? Какой юзкейс?
Dmitry
ну вот найдут завтра уязвимость в libssh, и пока ты не успел обновиться, какойнить бот тебя найдет
Sergey
ну вот найдут завтра уязвимость в libssh, и пока ты не успел обновиться, какойнить бот тебя найдет
Кажется, боты чаще находят пароли вида "123"
Vadim
Бот тебя и так порт найдет, сигнатура однако
Gleb
А серьезно? Какой юзкейс?
срезать 80% мамкиных кулхацкеров, а то ощущение что к тебе весь китай стучится после того как 22 порт в инетик открывается
Dmitry
да да, вопрос только через сколько?
Dmitry
да и много ботов по сигнатурам ищут
Vadim
Пусть 500 мс, выше 1024 не будет, так что за пару минут
Dmitry
прям вот все порты просканят, это уже целенаправленно
Vadim
Без fail2ban все равно бессмысленно
Dmitry
это что 500мс?
Vadim
500мс чтобы боту вернулся prompt твоего ssh сервера
Dmitry
это врятли, да и помнож теперь на весь интернет
Vadim
Скорее "подели", если у бота больше 1 айпи
Dmitry
fail2ban ниче не скажет в случае дырявого ssh
Vadim
F2b забанит после n стуков
Dmitry
никаких стуков
Dmitry
дырка же
Dmitry
чего ему стучать?
Aleksei
Ну для этого скажем имеет смысл менять на бастионе порт, но на куче нод то зачем
Alexander
прям вот все порты просканят, это уже целенаправленно
Повесить на все свободные порты фейковые sshd, а настоящий стопнуть 😏
Dmitry
у каждого своя архитектура
Dmitry
в пример, уязвимость в mikrotik на порту 8291
Dmitry
все известные компании были как раз по порту 8291
Pavel
для клинических параников есть же "Port Knocking"
Pavel
если так за свой ссх боитесь
Andrey
Вечер добрый)
Есть роль меняющая ssh порт для подключения.
Таск - замена строки в sshd конфиге. Затем хендлер , вызывающий рестарт сервиса ssh
И в этот момент всё крашится:
fatal: [hostname]: UNREACHABLE! => {"changed": false, "msg": "Failed to connect to the host via ssh: ssh: connect to host hostname port 22: Connection refused\r\n", "unreachable": true}
Ансибл не сохраняет коннект на протяжении выполнения всего плейбука?
1) не надо порт менять, лучше закройте сеть и сделайте vpn 2) если все-таки хотите другой порт, то делайте это через cloudinit/kickstart и т.п, а не через ansible.
Vladislav 👻
Пусть 500 мс, выше 1024 не будет, так что за пару минут
"выше 1024 не будет" минус один мамкин кулхацкер сразу
Vladislav 👻
Это не говоря еще про целенаправлянный скан
Pavel
Вечер добрый)
Есть роль меняющая ssh порт для подключения.
Таск - замена строки в sshd конфиге. Затем хендлер , вызывающий рестарт сервиса ssh
И в этот момент всё крашится:
fatal: [hostname]: UNREACHABLE! => {"changed": false, "msg": "Failed to connect to the host via ssh: ssh: connect to host hostname port 22: Connection refused\r\n", "unreachable": true}
Ансибл не сохраняет коннект на протяжении выполнения всего плейбука?
а в чем проблема дальше переопределить порт подключения?:
- name: next task
vars:
ansible_port: <new port>
Павел П.
а в чем проблема дальше переопределить порт подключения?:
- name: next task
vars:
ansible_port: <new port>
в какой именно момент его переопредлить?
Павел П.
вылетает во время) но попробую конечно
Pavel
вылетает во время) но попробую конечно
а если не перезапускть сервис, а перегрузить хост в конце плейбука?
Павел П.
на том пока и остановился