Migrace na RHEL 6 — co nás překvapilo

Red Hat Enterprise Linux 5 nám sloužil verne ctyri roky. Ale s koncem rozšířené podpory na obzoru a stale většími nároky našich Java aplikaci na systemove prostředky jsme se na prelomu roku rozhodli pro upgrade na RHEL 6. Co vypadalo jako rutinní operace, se ukázalo byt zajímavou výzvou.

Proc jsme migrovali¶

RHEL 6 přinesl nove jádro 2.6.32 s vyrazne lepsi správou pameti, ext4 jako výchozí souborový system a kompletně prepracovany init system — Upstart misto klasického SysV init. Pro naše produkcni prostredi s desítkami služeb to znamenalo přepsat vetsinu init skriptu. Hlavní motivace byla podpora — RHEL 5 se blizil ke konci plne podpory a bezpecnostni zaplaty prichazely pomaleji. Pro naše klienty z finančního sektoru je aktuální podpora OS podmínkou provozu.

SELinux — tentokrát doopravdy¶

Přiznejme si to — na RHEL 5 jsme SELinux na většině serveru vypinali. Bylo to jednodušší nez resit nekonecne AVC denial zpravy. Na RHEL 6 jsme se rozhodli to udělat spravne a nechat SELinux v enforcing modu. Prvni tyden byl bolestny. Naše custom Java aplikace běžící na Tomcatu potrebovaly vlastní SELinux politiky. GlassFish server zapisoval logy do nestandardnich adresářů. Oracle Instant Client měl problemy s přístupem k shared libraries. Kazdy problem znamenal hodiny s audit2allow a rucnim ladenim politik.

Ale výsledek stojí za to. Máme servery, kde kompromitovaná webová aplikace nemůže číst mimo svůj adresář. Pro naše klienty v bankovním sektoru je to zásadní bezpecnostni vylepšení.

Filesystem — ext4 a LVM¶

Prechod z ext3 na ext4 proběhl prekvapive hladce. Ocenili jsme hlavně rychlejsi fsck — na serverech s terabytovymi filesystémy to znamená rozdíl hodin pri neplánované restartu. Extents misto indirect block mappingu zrychlily sekvenční I/O operace, což se projevilo hlavně pri zálohování. LVM snapshoty na ext4 fungují spolehliveji a rychleji. Nas backup skript, který dělá konzistentní snapshot Oracle databaze, se zrychlil o 40 procent.

Kompatibilita aplikaci¶

Největší problem? Knihovny. RHEL 6 přešel na glibc 2.12 a některé starší binárky proste přestaly fungovat. Konkrétně nas trapil Oracle Database client 10g — ten na RHEL 6 oficiálně není podporovan. Museli jsme upgradovat na 11g client, což znamenalo zmeny v tnsnames.ora a testovani všech JDBC spojení. Java 6 (OpenJDK) v RHEL 6 běží bez problemu, ale pozor na rozdíly v cryptographic providers.

Upstart vs. SysV init¶

Upstart je koncepcne lepsi nez SysV init — event-driven, paralelní spouštění služeb, automaticky respawn. Ale přepsat dvacet custom init skriptu na Upstart konfiguraci stalo dva dny prace. Naštěstí RHEL 6 podporuje i staré SysV skripty pres kompatibilni vrstvu, takže jsme migrovali postupne. Tip: nezachinajte vsechno najednou.

Networking a firewall¶

RHEL 6 stale používá iptables, ale konfigurační nastroje jsou vylepšené. Novinkou je NetworkManager jako výchozí správce site. Na serverech ho okamzite vypinme — chceme statickou konfiguraci v /etc/sysconfig/network-scripts, ne dynamického správce.

Pouceni z migrace¶

Migrace OS v produkci není nikdy triviální. Naplánujte si minimálně dvakrát víc casu, nez odhadněte. Testujte SELinux politiky dopředu na staging prostredi. A hlavně — mějte rollback plan.