¿está lista la producción de ksplice?

Me interesaría escuchar las experiencias de la comunidad serverfault con Ksplice en producción.

Quick blurb de wikipedia:

Ksplice es una extensión gratuita y de código abierto del kernel de Linux que permite a los administradores del sistema aplicar parches de seguridad a un kernel en ejecución sin tener que reiniciar el sistema operativo.

y

Ksplice puede, sin reiniciar el kernel, aplicar cualquier parche de código fuente que solo necesite modificar el código del kernel. A diferencia de otros sistemas de actualización en caliente, Ksplice toma como entrada solo un diferencial unificado y el código fuente del núcleo original, y actualiza el núcleo en ejecución correctamente, sin necesidad de asistencia humana adicional. Además, aprovechar Ksplice no requiere ninguna preparación antes de que el sistema se inicie originalmente (el núcleo en ejecución no necesita haber sido especialmente compilado, por ejemplo). Para generar una actualización, Ksplice debe determinar qué código dentro del núcleo ha sido modificado por el parche de código fuente.

Entonces algunas preguntas:

¿Cómo ha sido la estabilidad? ¿Algún problema extraño que haya encontrado con su 'parcheo en vivo sin reinicio' del núcleo? Kernel pánico o historias de terror?

Lo he estado ejecutando en algunos sistemas de prueba y hasta ahora ha funcionado como se anuncia, pero estoy interesado en las experiencias de otros administradores de sistemas con Ksplice antes de 'todo' e implementar esto en nuestros servidores de producción.

Entonces, ¿alguien que usa Kspice en producción?

actualización: hmm, no veo ninguna actividad real sobre esta pregunta después de un par de horas (además de algunos buenos votos a favor y favoritos). Tal vez para provocar alguna actividad, también haré algunas preguntas más y veré si podemos iniciar esta discusión ...

"Si conoce Ksplice, ¿hay alguna razón por la que no la esté usando?"

"¿Sientes que todavía es demasiado sangriento, no probado o no probado?"

"¿Ksplice no encaja bien en su sistema actual de administración de parches?"

"¿Odias tener sistemas que tengan tiempos de actividad largos (y seguros)?" ;-)

(Primero, un descargo de responsabilidad: trabajo para Ksplice).

Lo usamos en nuestra propia infraestructura de producción, naturalmente, pero lo más importante, también lo hacen nuestros más de 500 clientes corporativos (número a partir de diciembre '10).

Un administrador de sistemas hace la misma pregunta en una lista de correo de usuarios de Red Hat Enterprise Linux , y recibe varias respuestas, algunas de las cuales se extraen a continuación:

Hemos estado ejecutando Ksplice en producción durante unos meses en una docena de hosts. Hasta ahora funciona como se anuncia.

y

Tengo> 500 máquinas bajo mi control, alrededor de 445 de ellas están conectadas a uptrack (rhel 4 y 5). Utilizamos ksplice para bloquear algunas vulnerabilidades de root antes de tener la oportunidad de reiniciar las máquinas. Como todavía estamos probando, implementamos el nuevo kernel de todos modos, pero he corrido durante semanas ksplice'd sin ningún problema.

Una preocupación expresada por la gente no es sobre la estabilidad, sino más bien su integración con las herramientas existentes de auditoría y monitoreo:

El único "problema" sobre el uso de ksplice es que todavía no hay herramientas de auditoría "ksplice-aware" disponibles.

Como es de esperar, esta es ahora un área en la que estamos invirtiendo fuertemente.

Escuché sobre Ksplice y en ese momento pensé que era una buena idea. Sin tiempo de inactividad, sin reinicio. Pero luego lo examiné un poco más y tuve miedo de probarlo.

Mis razones para evitarlo son:

• El kernel de Linux ya es muy complejo. Ksplice se suma a la complejidad. Más complejidad = más para fallar.

• Sería imprudente experimentar con Ksplice en un servidor remoto donde la falla causaría un largo tiempo de inactividad y una reparación costosa.

• El único beneficio en mi caso sería una mayor estadística de tiempo de actividad.

He estado usando Ksplice en mi servidor doméstico (donde el tiempo de actividad no es crítico, pero es bueno tenerlo). No he tenido ningún problema con él: actualizaciones ocasionales a través de Apt para el cliente, nunca ningún problema con las actualizaciones del núcleo en sí mismas y ninguna inestabilidad (notable).

Sin embargo, se aplica el descargo de responsabilidad habitual "YMMV". ;-)

Ksplice es una extensión de kernel de código abierto, pero tenga en cuenta que si bien el software es gratuito y está disponible para que cualquiera lo use, fue creado específicamente por y para una empresa que administra el parche de Linux (también llamado "Ksplice"). Ksplice (el mod de kernel) en realidad solo es útil si tiene parches utilizables por ksplice para su kernel, que probablemente nunca verá a menos que tenga un contrato de soporte con Ksplice (la compañía).

Entonces, aunque ksplice (la herramienta) es razonablemente madura, eso solo es relevante si está considerando usar Ksplice (la compañía) para la administración de parches.

Buena pregunta. Mi respuesta inicial sería algo similar a "¿por qué necesito esto?"

Lo más probable es que no lo necesite. Incluso en una configuración de cinco nueves, el "mantenimiento programado" suele ser una cláusula en un SLA que permite este tipo de tiempo de inactividad. Si tiene una configuración de alta disponibilidad, cambie a la conmutación por error, instale el núcleo en un cuadro, reinicie y repita en el otro. Si no puede permitirse ni siquiera cinco minutos de tiempo de inactividad en una caja, entonces necesita una configuración de conmutación por error de todos modos.

Si bien es una tecnología novedosa, todavía no veo mucho uso pragmático. Las actualizaciones de seguridad del kernel son necesarias, por supuesto, y deben parchearse lo antes posible, pero ¿cuánto tiempo / esfuerzo / preocupación le ahorra esto en lugar de simplemente instalar un nuevo kernel y reiniciar? ¿Qué pasa si algo sale mal? ¿Cuánto tiempo ha perdido al volver a generar imágenes del sistema, suponiendo que tenga la suerte de tener una opción de recuperación de tipo PXE?

Además, como se mencionó anteriormente, experimentar de forma remota con una tecnología como esta podría ser una catástrofe si falla en varios servidores. En sus pruebas, ¿está utilizando exactamente el mismo hardware que en DC? Lo que funciona bien en una máquina puede no funcionar bien en otra.

Solo mis $ 0.02.

Hace mucho tiempo, pero lo que Ksplice puede hacer por ti es mucho ...

• Seguridad mejorada, ya que permite parches sobre la marcha sin tiempo de inactividad, esto puede ser extremadamente importante en entornos altamente sensibles.

• Estabilidad mejorada, ya que permite parches sobre la marcha sin tiempo de inactividad, las cosas pueden mejorar sin tiempo para reiniciar.

• Rendimiento mejorado, ya que permite parches sobre la marcha sin tiempo de inactividad, aplicando justo lo que necesita para lo que necesita hacer.

• Proactividad mejorada, ya que permite parches sobre la marcha sin tiempo de inactividad, por lo que es posible configurar una granja de prueba para parches nuevos y calientes al tiempo que se revierte fácilmente a un estado anterior.