संसाधनों के लिए लड़ाई, भाग 5: खरोंच से शुरू

हम cgroups का अध्ययन करना जारी रखते हैं। Red Hat Enterprise Linux 7 में, वे डिफ़ॉल्ट रूप से सक्षम होते हैं, क्योंकि यह systemd का उपयोग करता है, और वह, बदले में, पहले से निर्मित cgroups है। Red Hat के साथ, Red Hat Enterprise Linux 6 थोड़ा अलग है। वास्तव में, cgroups नियंत्रकों मूल रूप से वहाँ थे, लेकिन इस संस्करण को रिलीज़ किया गया था, जनवरी 2010 में याद करते हैं, अर्थात्, कंप्यूटर के वर्षों के संदर्भ में सदियों पहले की एक जोड़ी है।



हालाँकि, Red Hat Enterprise Linux 6 में cgroups आज भी बहुत सक्षम हैं, जिन्हें हम आज स्पष्ट करेंगे।

चलो पूरी तरह से वास्तविक घटनाओं पर आधारित, एक शुद्ध काल्पनिक उदाहरण का उपयोग करके Red Hat Enterprise Linux 6 में cgroups की क्षमताओं का विश्लेषण करते हैं। लेकिन शुरुआत के लिए, परंपरा से, एक छोटा विषयांतर।

आईटी सिक्योरिटी को लेकर उतनी दिक्कतें कभी नहीं रही जितनी अब हैं। यह आश्चर्य की बात नहीं है, क्योंकि आज न केवल सभी कंप्यूटर और टेलीफोन नेटवर्क से जुड़े हैं, बल्कि रेफ्रिजरेटर, वैक्यूम क्लीनर और अन्य चीजों का एक गुच्छा भी है - नेटवर्क खतरों के लिए गुंजाइश बस अपार है। और इन खतरों के खिलाफ लड़ाई, एक नियम के रूप में, सभी मोर्चों पर तुरंत शुरू होती है। सुरक्षा पैच की त्वरित स्थापना? हाँ, निश्चित रूप से! सिस्टम सुरक्षा को मजबूत करना - फायरवॉल, SELinux, स्मार्ट प्रमाणीकरण, क्या यह सब है? बेशक! लिनक्स मशीनों पर एंटीवायरस स्कैनर? खैर, कैसे कहें ...

लिनक्स मशीनों पर, एंटीवायरस स्कैनर कभी-कभी अच्छे से अधिक नुकसान पहुंचाते हैं। हालांकि, सुरक्षा गार्डों के अपने कारण हैं, और उन्हें अक्सर तकनीकी स्कैन को नियमित रूप से चलाने की आवश्यकता होती है, वास्तव में तकनीकी दृष्टि से उनकी ध्वनि के बारे में सोचने के बिना। और यह एक वास्तविकता है जिसे किसी के साथ, और जल्दी या बाद में, लगभग किसी भी आईटी विशेषज्ञ के सामने रखना पड़ता है।

दूसरा बिंदु यह है कि Red Hat Enterprise Linux 7 निश्चित रूप से फैशनेबल, उन्नत और शांत है, लेकिन कई अभी भी Red Hat Enterprise Linux 6 का उपयोग करते हैं और इसे अस्वीकार करने के बारे में नहीं सोचते हैं। वास्तव में, यही कारण है कि लोग Red Hat चुनते हैं - आप वर्षों तक एक ही संस्करण पर बैठ सकते हैं और अभी भी सभी नवीनतम पैच, अपडेट और समर्थन हैं।

आइए अपने उदाहरण पर वापस जाएं ... कल्पना करें कि जेरी नाम का एक आदमी है। जेरी एक बड़े कार्यालय में काम करता है और Red Hat Enterprise Linux 6 सर्वर के लिए जिम्मेदार है। वह पूरी तरह से संतुष्ट है कि वे कैसे काम करते हैं, और उसे नई समस्याओं और बंट की आवश्यकता नहीं है।

लेकिन तब सुरक्षा विभाग के लोग यह तय करते हैं कि उसके सभी सर्वरों पर आपको स्कैनआईट नामक एक चीज डालनी होगी। और चूंकि यह बात समय-समय पर वायरस और अन्य मैलवेयर के लिए डिस्क और मेमोरी की जांच करेगी, इसलिए इसे पूर्ण रूट एक्सेस की आवश्यकता है।

जेरी आहें भरता है, अपने गिटार को नीचे रखता है और स्कैन मशीन को स्कैन मशीन में डालता है। बहुत जल्दी यह पता चला है:

• एक एंटी-वायरस स्कैन करते समय, स्कैनिट (यह प्रक्रिया शुरू करने के लिए एक स्क्रिप्ट है) सभी प्रोसेसर समय को खाता है जो वह पहुंच सकता है। और यह ओ-बहुत टेस्ट मशीन के काम को बुरी तरह से प्रभावित करता है - एक बार जेरी एसएचएस पर भी नहीं पहुंच सकता था।
• इसके अलावा, स्कैन प्रक्रिया समय-समय पर स्मृति को खाती है जैसे कि स्वयं में। नतीजतन, OOM किलर उठता है और स्‍कैनिट के अलावा किसी भी प्रक्रिया को मारना शुरू कर देता है।

सामान्य तौर पर, इसके साथ कुछ किया जाना चाहिए।

जेरी गिटार उठाता है और कृतज्ञ मृत को खेलता है, सोचने लगता है। बहुत जल्दी, यह उसके साथ हुआ कि Red Hat Enterprise Linux 7 के समान cgroups शायद यहाँ मदद कर सकते हैं, जिसके बारे में एलेक्स नामक एक मित्र ने उनके कानों के माध्यम से चर्चा की। जेरी ने फिर से अपने गिटार को बंद कर दिया और एलेक्स द्वारा Red Hat Enterprise Linux 6 पर भेजे गए डॉक को पढ़ने के बारे में बताया। यह पता चला है कि पहली चीज जिसकी उसे आवश्यकता है वह है libcgroup।

परीक्षण मशीन पर कोई लीवरग्रुप नहीं है, इसलिए जेरी इसे स्थापित करना शुरू करता है:



इसके अलावा, जेरी में दो सेवाएं शामिल हैं जो स्थायी (लगातार) cgroups के काम के लिए आवश्यक हैं:

• cgconfig - cgroup वृक्षों के साथ काम करने के लिए अधिक या कम सरल इंटरफ़ेस प्रदान करता है। जेरी निश्चित रूप से cgroups को मैन्युअल रूप से माउंट और कॉन्फ़िगर कर सकता है, लेकिन क्यों, यदि आप समय बचा सकते हैं?
• cgred - यह चीज़ एक cgroup नियम इंजन है: जब कोई प्रक्रिया शुरू होती है, तो यह सेवा निर्दिष्ट नियमों के अनुसार इसे एक या दूसरे cgroup में रखती है।

यह सब स्थापित और कॉन्फ़िगर करने के बाद, जैरी अंततः समस्या के लिए सीधे आगे बढ़ सकता है। ध्यान से विचार करने के बाद, वह निम्नलिखित निर्णय लेता है:

• स्कैनिट और इसकी बाल प्रक्रियाओं में CPU संसाधनों का 20% से अधिक उपभोग नहीं करना चाहिए। वास्तव में, इससे भी कम - मल्टी-कोर मशीन पर भी, एक प्रोसेसर कोर के संसाधनों का 20% से अधिक नहीं। Cgroups में, यह CPU कोटा का उपयोग करके किया जाता है।
• मेमोरी के रूप में, स्कैनिट और इसकी बाल प्रक्रियाओं को 512 एमबी से अधिक सिस्टम मेमोरी का उपभोग नहीं करना चाहिए। यदि वे इस रेखा को पार कर रहे हैं, तो सिस्टम को उन्हें मारना चाहिए, न कि किसी अन्य प्रक्रिया को।

मुझे यह बताने की जरूरत नहीं है कि मुझे क्या करना है!

जेरी को विन्यास फाइल के दो सेटों से निपटना होगा:

• /etc/cgconfig.conf - libcgroup स्थापित करते समय स्वचालित रूप से जेनरेट किया गया।
• /etc/cgrules.conf - में नियमों के नियमों का एक सेट होता है, जिसके अनुसार क्रुप्ड समूहों द्वारा चल रही प्रक्रियाओं को क्रेज किया जाता है।

यहां डिफ़ॉल्ट cgconfig.conf फ़ाइल कैसी दिखती है:



जेरी सीधे उसके लिए आवश्यक परिवर्तन कर सकता था, लेकिन इसके लिए ड्रॉप-इन गोपनीय फ़ाइलों का उपयोग करना बेहतर है। यह कैसे काम करता है? यदि आप फोल्डर /etc/cgconfig.d एक्सटेंशन (.conf) के साथ किसी भी फाइल को डालते हैं (eng। ड्रॉप-इन - ड्रॉप), तो सिस्टम इसे प्रोसेस करेगा और कॉन्फ़िगरेशन में उचित बदलाव करेगा। यह सुविधाजनक है क्योंकि आप विभिन्न कार्यों के लिए ड्रॉप-इन बना सकते हैं और उन्हें उन उपकरणों का उपयोग करके कॉन्फ़िगरेशन से जोड़ सकते हैं या हटा सकते हैं (जैसे, Ansible, ठीक है, यह अभी भी एक Red Hat ब्लॉग है)।

जेरी पहले सीपीयू के लिए ड्रॉप-इन फ़ाइल बनाता है:



हम देखते हैं कि हमारे यहाँ क्या है और यह कैसे काम करता है।

समूह कीवर्ड बस नए cgroup का नाम हमारे मामले में स्कैन करता है। घुंघराले ब्रेसिज़ के अंदर, हम उस cgroup नियंत्रण को निर्दिष्ट करते हैं जिसका हम उपयोग करना चाहते हैं। यहाँ, cpu.cfs_period_us और cpu.cfs_quota_us, वे आपको Red Hat Enterprise Linux 6 में डिफ़ॉल्ट रूप से प्रयुक्त कर्नेल शेड्यूलर कंप्लीटली फेयर शेड्यूलर में संबंधित सीमा निर्धारित करने की अनुमति देते हैं। आइए देखें कि Red Hat Enterprise Linux संसाधन प्रबंधन गाइड में उनके बारे में क्या लिखा गया है। 6 :



दूसरे शब्दों में, जेरी ने अपने ड्रॉप-इन में लिखा था: "स्कैनिट नाम के cgroup से जुड़ी प्रत्येक प्रक्रिया के लिए, एक बार दूसरी बार सीपीयू संसाधनों की मात्रा की जांच करें। यदि इस समूह की सभी प्रक्रियाओं का कुल प्रोसेसर समय 200,000 मिलीसेकंड से अधिक है, तो इन प्रक्रियाओं के लिए प्रोसेसर का समय देना पूरी तरह से बंद कर दें। " खैर, यह है कि स्कैनिट cgroup- समूह में सभी प्रक्रियाओं को आवंटित करने के लिए, साथ ही साथ उनके बच्चे की प्रक्रियाएं, कुल मिलाकर प्रोसेसर समय का 20% से अधिक नहीं।

Cgconfig को पुनरारंभ करने के बाद, सर्वर कॉन्फ़िगरेशन को अपडेट करेगा, और यदि आप फ़ाइल सिस्टम में आते हैं, तो हम देखेंगे कि स्कैनिट अब CPU नियंत्रक निर्देशिका में स्थित है:



यह, ज़ाहिर है, अच्छा है, लेकिन हमें अभी भी किसी तरह से स्कैनग्रिट को इस cgroup में धकेलना होगा। यहां काम आता है, डिफ़ॉल्ट रूप से यह कुछ इस तरह दिखता है:



इस फ़ाइल का उपयोग कम या ज्यादा आसान है। हालाँकि, इसके लिए हमें सीधे cgrules.conf फ़ाइल को संपादित करना होगा, क्योंकि ड्रॉप-इन तंत्र यहाँ समर्थित नहीं है। हम उस उपयोगकर्ता या समूह को इंगित करते हैं जो प्रक्रिया का मालिक है, साथ ही विशिष्ट का नाम - यदि आप चाहते हैं - प्रक्रिया, साथ ही एक कस्टम नियंत्रक और cgroup गंतव्य समूह।

हमारे उदाहरण में, असली एंटी-वायरस स्कैनर स्कैनिट के बजाय, हम एक स्क्रिप्ट का उपयोग करते हैं जिसे स्कैनिट भी कहा जाता है, लेकिन वास्तव में लोड का अनुकरण करता है। Cgroup के बिना, यह सब इस तरह दिखता है:





सीपीयू पूरी तरह से कब्जा कर लिया है, मुख्य रूप से उपयोगकर्ता अंतरिक्ष और एक प्रणाली का एक सा है।

जेरी ने अपनी दाढ़ी को खरोंच दिया। यह vi शुरू करता है और, बिल्कुल एक तर्जनी का उपयोग करते हुए, कुछ बदलाव करता है और cgred daemon को पुनरारंभ करता है:



फिर यह मैन्युअल रूप से स्कैनिट लॉन्च करता है ...:



और - चीयर्स! विजय।



जैसा कि आप देख सकते हैं, हमारी लोड इम्यूलेटिंग प्रक्रियाएं (स्कैन की बाल प्रक्रियाएं) अब कुल 20% सीपीयू संसाधनों की खपत करती हैं, मुख्य रूप से उपयोगकर्ता अंतरिक्ष में और सिस्टम में थोड़ी सी। तो, यह लानत एंटीवायरस अब पूरी पागलपन के लिए कार को लोड नहीं करेगा।

याद रखें कि आगे क्या है?

सफलता से प्रसन्न होकर, जेरी अपनी याददाश्त के बारे में भूल गया। लेकिन तब वह अभी भी याद करता है और अपनी कॉन्फ़िगरेशन फ़ाइल को ठीक करने के लिए फिर से vi शुरू करता है।

अब वह मेमोरी के संबंध में दो सेटिंग्स जोड़ता है:

• मेमोरी.लिमिट_इन_बाइट्स - अधिकतम। रैम की मात्रा जो स्कैनिट cgroup में सभी प्रक्रियाओं का उपयोग कर सकती है। और स्वैप स्पेस को छोड़कर। जेरी इसे 256 एमबी तक सीमित करता है
• Memory.memsw.limit_in_bytes - अधिकतम। रैम वॉल्यूम, स्वैप स्पेस में प्लस स्पेस, जो कुल में स्कैनिट cgroup-group की सभी प्रक्रियाओं के लिए आवंटित किया जा सकता है। यदि यह सीमा पार हो जाती है, तो प्रक्रियाओं को OOM हत्यारे द्वारा मार दिया जाएगा। जेरी इसे 512 एमबी के लिए सेट करता है।

अरे नहीं! क्या गलत है?

जेरी शीर्ष पर देखता है और देखता है कि स्कैनिट चाइल्ड प्रक्रियाएं अभी भी चल रही हैं। चूंकि यह cgroup वर्तमान में उपयोग में है, इसलिए जैरी सेवा शुरू नहीं कर सकता है। इसलिए, यह मैन्युअल रूप से बाल प्रक्रियाओं को मारता है और ऐसी सेवाओं को पुनरारंभ करता है।



अब cgred.conf में थोड़ा संपादन करें:



जांच करने के लिए, जेरी एक साथ कई स्कैन कार्य चलाता है, ताकि ओओएम हत्यारा सुनिश्चित करने के लिए काम करेगा।



तब जेरी सिस्टम लॉग को देखता है और संतुष्टि के साथ सिर हिलाता है - स्कैनिट अब मेमोरी को किसी भी मात्रा में अशुद्धता के साथ नहीं छोड़ सकता है।



हमें उम्मीद है कि हमारी cgroups आलेख श्रृंखला ने आपको यह समझने में मदद की है कि यह क्या है, Red Hat Enterprise Linux 7 में इसका उपयोग कैसे करें, Red Hat Enterprise Linux 6 में इसे कैसे बनाएं, और इसे अपने वातावरण में कैसे उपयोग करें।

• भाग 1 - habr.com/company/redhatrussia/blog/423051
• भाग 2 - habr.com/company/redhatrussia/blog/424367
• भाग 3 - habr.com/company/redhatrussia/blog/425803
• भाग 4 - habr.com/company/redhatrussia/blog/427413
• भाग 6 - habr.com/company/redhatrussia/blog/430748