Installieren von XenServer 6.5-Patches mit lokalen Medien und remote - Teil 2
Das Patchen einer XenServer-Installation ist eine wichtige Aufgabe, um sicherzustellen, dass Sicherheitsupdates auf anfällige XenServer-Installationen angewendet werden. Obwohl der Hypervisor theoretisch vor den virtuellen Maschinen, die er unterstützt, sicher ist, gibt es immer noch einige potenzielle Probleme, die auftreten könnten, und Citrix sowie der Rest der Open-Source-Community tun ihr Bestes, um Code-Updates für diese Schwachstellen bereitzustellen, sobald sie entdeckt werden.
Update: Im Mai 2016 hat Citrix die neue Version der XenServer 7-Plattform veröffentlicht. Für die Installation folgen: Neuinstallation von XenServer 7.
Davon abgesehen werden diese Updates nicht standardmäßig automatisch angewendet und erfordern eine Interaktion des Administrators. Patches sind auch nicht immer ein Sicherheitsproblem. In vielen Fällen bieten Patches den auf dem XenServer gehosteten virtuellen Maschinen eine erweiterte Funktionalität. Das Anwenden dieser Updates ist in der Regel sehr einfach und unkompliziert und kann remote oder mit lokalen Medien (lokal auf dem XenServer) erfolgen.
Während in diesem Artikel das Anwenden von Patches auf einen XenServer erläutert wird, ist es wichtig zu beachten, dass für den Fall, dass mehrere gepoolte XenServer aktualisiert werden müssen, Tools vorhanden sind, die es dem Poolmaster ermöglichen, die Updates an alle anderen XenServer im Pool zu übertragen!
Beginnen wir mit dem Aktualisieren eines einzelnen XenServers mithilfe eines lokalen Mediums. Lokal bedeutet in diesem Fall, dass der Administrator die Update-Dateien auf eine CD/DVD/USB oder ein ähnliches Gerät gespeichert hat und dieses Medium physisch mit dem XenServer verbindet, der aktualisiert werden muss.
Der erste Schritt in diesem ganzen Prozess besteht darin, die Patches zu erhalten. Öffentlich verfügbare Patches können über die folgende URL abgerufen werden:
- http://support.citrix.com/article/CTX138115
In dieser Anleitung wird die Installation des XenServer 6.5 SP1-Patches sowohl über lokale Medien als auch über das Remote-Senden der Update-Dateien an den Server und das anschließende Remote-Update erläutert.
Die Patch-Dateien befinden sich hier: http://support.citrix.com/article/CTX142355
Dieses Zusatzpaket enthält viele der Patches, die bereits für XenServer 6.5 veröffentlicht wurden. Es ist wichtig, die Hinweise von Citrix zu jedem Patch zu beachten, da viele Patches erfordern, dass VORHER andere Patches installiert werden! Die einzige Voraussetzung für diesen Patch ist, dass XenServer 6.5 installiert ist (was bereits abgedeckt sein sollte).
Die Datei kann über http oder über das Tool wget heruntergeladen werden.
wget -c http://downloadns.citrix.com.edgesuite.net/10340/XS65ESP1.zip
Installieren von Patches mit lokalen Medien
Sobald die Datei heruntergeladen wurde, muss der Inhalt der ZIP-Datei extrahiert werden. Dies kann mit GUI-Tools oder über die Befehlszeile mit dem 'unzip'-Tool erreicht werden.
unzip XS65ESP1.zip
Nach erfolgreichem Abschluss sollten nun zwei Dateien im aktuellen Arbeitsverzeichnis vorhanden sein. Entscheidend ist die Datei mit der Erweiterung '.xsupdate'.
Nun muss die Datei 'XS54ESP1.xsupdate' auf das Installationsmedium kopiert werden. Nachdem die Datei auf das Medium übertragen wurde, verbinden Sie das Medium mit dem XenServer, der den Patch benötigt.
Zu diesem Zeitpunkt werden ein Monitor und eine Tastatur benötigt, die mit dem Server verbunden sind, um den Aktualisierungsvorgang abzuschließen. Wenn Sie einen Monitor an den XenServer anschließen, sollte die Seite der XenServer-Systemsteuerung sichtbar sein. Scrollen Sie nach unten zur Auswahl "Lokale Befehlsshell" und drücken Sie die Eingabetaste.
Dadurch wird der Benutzer zur Eingabe des XenServer-Root-Benutzerkennworts aufgefordert, und nach erfolgreicher Eingabe dieses Kennworts befindet sich der Benutzer in einer Eingabeaufforderung innerhalb des XenServer. Zu diesem Zeitpunkt müssen die lokalen Medien gemountet werden, damit XenServer darauf zugreifen kann. Um dies zu tun, muss der Name des Blockgeräts mit dem Dienstprogramm 'fdisk' bestimmt werden.
fdisk -l
Aus dieser Ausgabe kann der Gerätename des USB-Geräts, das an den XenServer angeschlossen ist, als '/dev/sdb1' bestimmt werden, und dies ist das, was gemountet werden muss, um auf die Update-Datei zuzugreifen. Das Mounten dieses Geräts kann mit dem Dienstprogramm 'mount' durchgeführt werden.
mount /dev/sdb1 /mnt
Unter der Annahme, dass das System keine Fehler ausgegeben hat, sollte das USB-Gerät nun in das Verzeichnis '/mnt' gemountet werden. Wechseln Sie in dieses Verzeichnis, und stellen Sie sicher, dass die Update-Datei tatsächlich in diesem Verzeichnis angezeigt wird.
cd /mnt
ls
Zu diesem Zeitpunkt ist die Aktualisierungsdatei für den Server zugänglich und kann mit dem Befehl 'xe' installiert werden. Als erstes müssen Sie die Patch-Datei vorbereiten und die UUID der Patch-Datei mit dem Befehl 'xe patch-upload' abrufen. Dieser Schritt ist wichtig und muss getan werden!
xe patch-upload file-name=XS65ESP1.xsupdate
Das rote Feld oben ist die Ausgabe des obigen Befehls und wird benötigt, wenn der Patch tatsächlich auf dem XenServer-System installiert werden kann. Nun wird die UUID des XenServers selbst benötigt und kann durch Übergabe von Argumenten an den Befehl 'xe' wieder ermittelt werden.
xe host-list
Auch hier ist das rote Feld der UUID-Wert, der benötigt wird, um den Patch auf diesen speziellen XenServer anzuwenden. Zu diesem Zeitpunkt wurden alle notwendigen Befehle ausgeführt und die UUID bestimmt.
Erneut wird XenServer mit dem Befehl 'xe' mit anderen Argumenten angewiesen, das Zusatzpaket auf diesem lokalen System zu installieren.
xe patch-apply uuid=7f2e4a3a-4098-4a71-84ff-b0ba919723c7 host-uuid=be0eeb41-7f50-447d-8561-343edde9fad2
Zu diesem Zeitpunkt beginnt das System mit der Installation des Updates, zeigt jedoch nur einen blinkenden Cursor an, bis der Vorgang abgeschlossen ist. Sobald das System zu einer Eingabeaufforderung zurückkehrt, kann das System überprüft werden, um zu bestätigen, dass der Patch tatsächlich erneut installiert wurde, indem der Befehl 'xe' mit anderen Argumenten verwendet wird.
xe patch-list | grep -i sp1
Dieser Befehl listet alle angewendeten Patches auf und leitet diese Ausgabe dann an grep weiter, das unabhängig von der Groß-/Kleinschreibung nach der Zeichenkette 'sp1' sucht. Wenn nichts zurückgegeben wird, wurde der Patch wahrscheinlich nicht erfolgreich installiert.
Wenn der Befehl eine Ausgabe zurückgibt, die dem obigen Screenshot ähnelt, wurde das Zusatzpaket erfolgreich installiert!