如何構建一臺網路引導伺服器（四） | Linux 中國

新版本的 bootmenu 應用程式呼叫一個定製的 mktgt 指令碼，如果成功，它將為每個它自己建立的新的 iSCSI 標的傳回一個隨機的 CHAP[3] 密碼。這個 CHAP 密碼可以防止其它使用者的 iSCSI 標的以間接方式掛載這個使用者的標的。這個應用程式只有在使用者密碼認證成功之後才傳回一個正確的 iSCSI 標的密碼。

mktgt 指令碼要加 sudo 字首來執行，因為它需要 root 許可權去建立標的。

$username 和 $chapscrt 變數也傳遞給 render 命令，因此在需要的時候，它們也能夠被納入到模板中傳回給使用者。

接下來，更新我們的引導模板，以便於它們能夠讀取使用者名稱和 chapscrt 變數，並傳遞它們到所屬的終端使用者。也要更新模板以 rw（讀寫）樣式載入根檔案系統：

1. # cd $MY_MOJO/templates
2. # sed -i "s/:$MY_FC/:$MY_FC-/g" $MY_FC.html.ep
3. # sed -i "s/ netroot=iscsi:/ netroot=iscsi::@/" $MY_FC.html.ep
4. # sed -i "s/ ro / rw /" $MY_FC.html.ep

執行上面的命令後，你應該會看到如下的引導模板：

1. #!ipxe
2. kernel --name kernel.efi ${prefix}/vmlinuz-4.19.5-300.fc29.x86_64 initrd=initrd.img rw ip=dhcp rd.peerdns=0 nameserver=192.0.2.91 nameserver=192.0.2.92 root=/dev/disk/by-path/ip-192.0.2.158:3260-iscsi-iqn.edu.example.server-01:fc29- $username %>-lun-1 netroot=iscsi: $username %>: $chapscrt %>@192.0.2.158::::iqn.edu.example.server-01:fc29- $username %> console=tty0 console=ttyS0,115200n8 audit=0 selinux=0 quiet
3. initrd --name initrd.img ${prefix}/initramfs-4.19.5-300.fc29.x86_64.img
4. boot || chain https://server-01.example.edu/menu

註意：如果在 插入[4] 變數後需要檢視引導模板，你可以在 boot 命令之前，在它自己的行中插入 shell 命令。然後在你網路引導你的客戶端時，iPXE 將在那裡給你提供一個用於互動的 shell，你可以在 shell 中輸入 imgstat 去檢視傳遞到內核的引數。如果一切正確，你可以輸入 exit 去退出 shell 並繼續引導過程。

現在，透過 sudo 允許 bootmenu 使用者以 root 許可權去執行 mktgt 指令碼（僅這個指令碼）：

1. # echo "bootmenu ALL = NOPASSWD: $MY_MOJO/scripts/mktgt *" > /etc/sudoers.d/bootmenu

bootmenu 使用者不應該寫訪問 mktgt 指令碼或在它的家目錄下的任何其它檔案。在 /opt/bootmenu 目錄下的所有檔案的屬主應該是 root，並且不應該被其它任何 root 以外的使用者可寫。

sudo 在使用 systemd 的 DynamicUser 選項下不能正常工作，因此建立一個普通使用者帳戶，並設定 systemd 服務以那個使用者執行：

1. # useradd -r -c 'iPXE Boot Menu Service' -d /opt/bootmenu -s /sbin/nologin bootmenu
2. # sed -i 's/^DynamicUser=true$/User=bootmenu/' /etc/systemd/system/bootmenu.service
3. # systemctl daemon-reload

最後，為寫時複製改寫建立一個目錄，並建立管理 iSCSI 標的的 mktgt 指令碼和它們的改寫支援儲存：

1. # mkdir /$MY_FC.cow
2. # mkdir $MY_MOJO/scripts
3. # cat << 'END' > $MY_MOJO/scripts/mktgt
4. #!/usr/bin/env perl

5. 


6. # if another instance of this script is running, wait for it to finish
7. "$ENV{FLOCKER}" eq 'MKTGT' or exec "env FLOCKER=MKTGT flock /tmp $0 @ARGV";

8. 


9. # use "RETURN" to print to STDOUT; everything else goes to STDERR by default
10. open(RETURN, '>&', STDOUT);
11. open(STDOUT, '>&', STDERR);

12. 


13. my $instance = shift or die "instance not provided";
14. my $username = shift or die "username not provided";

15. 


16. my $img = "/$instance.img";
17. my $dir = "/$instance.cow";
18. my $top = "$dir/$username";

19. 


20. -f "$img" or die "'$img' is not a file";
21. -d "$dir" or die "'$dir' is not a directory";

22. 


23. my $base;
24. die unless $base = `losetup --show --read-only --nooverlap --find $img`;
25. chomp $base;

26. 


27. my $size;
28. die unless $size = `blockdev --getsz $base`;
29. chomp $size;

30. 


31. # create the per-user sparse file if it does not exist
32. if (! -e "$top") {
33.   die unless system("dd if=/dev/zero of=$top status=none bs=512 count=0 seek=$size") == 0;
34. }

35. 


36. # create the copy-on-write overlay if it does not exist
37. my $cow="$instance-$username";
38. my $dev="/dev/mapper/$cow";
39. if (! -e "$dev") {
40.   my $over;
41.   die unless $over = `losetup --show --nooverlap --find $top`;
42.   chomp $over;
43.   die unless system("echo 0 $size snapshot $base $over p 8 | dmsetup create $cow") == 0;
44. }

45. 


46. my $tgtadm = '/usr/sbin/tgtadm --lld iscsi';

47. 


48. # get textual representations of the iscsi targets
49. my $text = `$tgtadm --op show --mode target`;
50. my @targets = $text =~ /(?:^T.*\n)(?:^ .*\n)*/mg;

51. 


52. # convert the textual representations into a hash table
53. my $targets = {};
54. foreach (@targets) {
55.   my $tgt;
56.   my $sid;

57. 


58.   foreach (split /\n/) {
59.      /^Target (\d+)(?{ $tgt = $targets->{$^N} = [] })/;
60.      /I_T nexus: (\d+)(?{ $sid = $^N })/;
61.      /Connection: (\d+)(?{ push @{$tgt}, [ $sid, $^N ] })/;
62.   }
63. }

64. 


65. my $hostname;
66. die unless $hostname = `hostname`;
67. chomp $hostname;

68. 


69. my $target = 'iqn.' . join('.', reverse split('\.', $hostname)) . ":$cow";

70. 


71. # find the target id corresponding to the provided target name and
72. # close any existing connections to it
73. my $tid = 0;
74. foreach (@targets) {
75.   next unless /^Target (\d+)(?{ $tid = $^N }): $target$/m;
76.   foreach (@{$targets->{$tid}}) {
77.      die unless system("$tgtadm --op delete --mode conn --tid $tid --sid $_->[0] --cid $_->[1]") == 0;
78.   }
79. }

80. 


81. # create a new target if an existing one was not found
82. if ($tid == 0) {
83.   # find an available target id
84.   my @ids = (0, sort keys %{$targets});
85.   $tid = 1; while ($ids[$tid]==$tid) { $tid++ }

86. 


87.   # create the target
88.   die unless -e "$dev";
89.   die unless system("$tgtadm --op new --mode target --tid $tid --targetname $target") == 0;
90.   die unless system("$tgtadm --op new --mode logicalunit --tid $tid --lun 1 --backing-store $dev") == 0;
91.   die unless system("$tgtadm --op bind --mode target --tid $tid --initiator-address ALL") == 0;
92. }

93. 


94. # (re)set the provided target's chap password
95. my $password = join('', map(chr(int(rand(26))+65), 1..8));
96. my $accounts = `$tgtadm --op show --mode account`;
97. if ($accounts =~ / $username$/m) {
98.   die unless system("$tgtadm --op delete --mode account --user $username") == 0;
99. }
100. die unless system("$tgtadm --op new --mode account --user $username --password $password") == 0;
101. die unless system("$tgtadm --op bind --mode account --tid $tid --user $username") == 0;

102. 


103. # return the new password to the iscsi target on stdout
104. print RETURN $password;
105. END
106. # chmod +x $MY_MOJO/scripts/mktgt




上面的指令碼將做以下五件事情：

1. 建立 /.cow/ 稀疏檔案（如果不存在的話）。

2. 建立 /dev/mapper/- 裝置節點作為 iSCSI 標的的寫時複製支援儲存（如果不存在的話）。

3. 建立 iqn.:- iSCSI 標的（如果不存在的話）。或者，如果已存在了，它將關閉任何已存在的連線，因為在任何時刻，映象只能以只讀樣式從一個地方開啟。

4. 它在 iqn.:- iSCSI 標的上（重新）設定 chap 密碼為一個新的隨機值。

5. （如果前面的所有任務都成功的話）它在 標準輸出[5] 上顯示新的 chap 密碼。

你應該可以在命令列上透過使用有效的測試引數來執行它，以測試 mktgt 指令碼能否正常工作。例如：

1. # echo `$MY_MOJO/scripts/mktgt fc29 jsmith`

當你從命令列上執行時，mktgt 指令碼應該會輸出 iSCSI 標的的一個隨意的八字元隨機密碼（如果成功的話）或者是出錯位置的行號（如果失敗的話）。

有時候，你可能需要在不停止整個服務的情況下刪除一個 iSCSI 標的。例如，一個使用者可能無意中損壞了他的個人映象，在那種情況下，你可能需要按步驟撤銷上面的 mktgt 指令碼所做的事情，以便於他下次登入時他將得到一個原始映象。

下麵是用於撤銷的 rmtgt 指令碼，它以相反的順序做了上面 mktgt 指令碼所做的事情：

1. # mkdir $HOME/bin
2. # cat << 'END' > $HOME/bin/rmtgt
3. #!/usr/bin/env perl

4. 


5. @ARGV >= 2 or die "usage: $0 [+d|+f]\n";

6. 


7. my $instance = shift;
8. my $username = shift;

9. 


10. my $rmd = ($ARGV[0] eq '+d'); #remove device node if +d flag is set
11. my $rmf = ($ARGV[0] eq '+f'); #remove sparse file if +f flag is set
12. my $cow = "$instance-$username";

13. 


14. my $hostname;
15. die unless $hostname = `hostname`;
16. chomp $hostname;

17. 


18. my $tgtadm = '/usr/sbin/tgtadm';
19. my $target = 'iqn.' . join('.', reverse split('\.', $hostname)) . ":$cow";

20. 


21. my $text = `$tgtadm --op show --mode target`;
22. my @targets = $text =~ /(?:^T.*\n)(?:^ .*\n)*/mg;

23. 


24. my $targets = {};
25. foreach (@targets) {
26.   my $tgt;
27.   my $sid;

28. 


29.   foreach (split /\n/) {
30.      /^Target (\d+)(?{ $tgt = $targets->{$^N} = [] })/;
31.      /I_T nexus: (\d+)(?{ $sid = $^N })/;
32.      /Connection: (\d+)(?{ push @{$tgt}, [ $sid, $^N ] })/;
33.   }
34. }

35. 


36. my $tid = 0;
37. foreach (@targets) {
38.   next unless /^Target (\d+)(?{ $tid = $^N }): $target$/m;
39.   foreach (@{$targets->{$tid}}) {
40.      die unless system("$tgtadm --op delete --mode conn --tid $tid --sid $_->[0] --cid $_->[1]") == 0;
41.   }
42.   die unless system("$tgtadm --op delete --mode target --tid $tid") == 0;
43.   print "target $tid deleted\n";
44.   sleep 1;
45. }

46. 


47. my $dev = "/dev/mapper/$cow";
48. if ($rmd or ($rmf and -e $dev)) {
49.   die unless system("dmsetup remove $cow") == 0;
50.   print "device node $dev deleted\n";
51. }

52. 


53. if ($rmf) {
54.   my $sf = "/$instance.cow/$username";
55.   die "sparse file $sf not found" unless -e "$sf";
56.   die unless system("rm -f $sf") == 0;
57.   die unless not -e "$sf";
58.   print "sparse file $sf deleted\n";
59. }
60. END
61. # chmod +x $HOME/bin/rmtgt




例如，使用上面的指令碼去完全刪除 fc29-jsmith 標的，包含它的支援儲存裝置節點和稀疏檔案，可以按下列方式執行命令：

1. # rmtgt fc29 jsmith +f

一旦你驗證 mktgt 指令碼工作正常，你可以重啟動 bootmenu 服務。下次有人從網路引導時，他們應該能夠接收到一個他們可以寫入的、可”私人定製“的網路引導映象的副本：

1. # systemctl restart bootmenu.service

現在，就像下麵的截圖示範的那樣，使用者應該可以修改根檔案系統了：

---

via: https://fedoramagazine.org/how-to-build-a-netboot-server-part-4/

作者：Gregory Bartholomew[7] 選題：lujun9972 譯者：qhwdw 校對：wxy

本文由 LCTT 原創編譯，Linux中國 榮譽推出

譯者/qhwdw

贊賞

長按二維碼向我轉賬

受蘋果公司新規定影響，微信 iOS 版的贊賞功能被關閉，可透過二維碼轉賬支援公眾號。