Отказоустойчивый кластер виртуализации KVM на Astra Linux

[ddmitry]

Насколько я помню, есть Alt Linux Virtualization Server. И в нем - Proxmox, с поддержкой. Но сертифицирован ли он...

[lordleto]

Да

[Johan_Palych]

Альт СП Сервер релиз 10 / ФСТЭК / kit / с правом использования виртуализации
включает право использования гипервизора (kvm, libvirt, qemu), PVE и любых способов контейнеризации

[misha_cactus]

Да, действительно, у Альта есть Proxmox с технической поддержкой. Но сертификат ФСТЭК выдан только на «Операционная система Альт 8 СП» по «Требованиям к средствам виртуализации (4)» — по четвёртому уровню доверия. И они действительно используют Proxmox.

Но есть моменты, которые лично мне не нравятся. Это решение доступно только на Альт 8 СП — довольно старой платформе, которую не так просто получить, а ответы на вопросы можно узнать только через техническую поддержку (в официальном чате отправляют в ТП и даже могут заблокировать за вопросы по СП).

В этом плане, что довольно странно, Astra по «Требованиям к средствам виртуализации (1)» (до уровня защиты «Особой важности») мне было получить проще.

Вот как пример:
https://dev.astra.ru/

[Johan_Palych]

«Альт СП» релиз 10 (актуальная версия 10.2.1)
⚹Также может использоваться альтернативное название Альт 8 СП
Спецификации Альт СП

[vesper-bot]

Один раз у меня катастрофически разъехался drbd-кластер (2018 г., версии ПО уже не помню) - данные писались на вторую ноду, а мастером на кластере значилась первая, стоило тронуть, вторая нода потащила данные с первой и сервис, который писал в drbd, упал в панике. Вроде это был postgres, пришлось поднимать с бэкапа. С тех пор drbd на двух хостах не считаю за надежное HA-решение.
Кстати, задача не решена - запрошено три хоста, а использовали 5 с drbd и 6 с ceph. Хотя здесь правильно именно разделить ресурсы между хранилищем и вычислительной частью, чтобы если ВМки на кластере съели проц, то диски не развалились.

[mylitsyn]

Спасибо за статью. У Астры есть отдельное решение класса Proxmox, это VMmanager: https://www.ispsystem.ru/vmmanager

[nitro80]

И стоит как Proxmox?

[misha_cactus]

Роман Николаевич, спасибо за ваш комментарий.
По поводу VMmanager — я знаком с этим продуктом и довольно плотно в него погружён. Однако почему он не совсем подходил в данной ситуации, я описал буквально в самом начале статьи :)

Не на все объекты и не на все изделия его можно так легко внедрить.

Но вы действительно правы: в сетях, где не требуется работа с ГТ и достаточно сертификации по 4 уровню доверия, VMmanager — прекрасный выбор, тем более при наличии технической поддержки.

[SamDurak]

И её решения действительно ориентированы на крупные или средние компании.

Глубоко погружен в часть продуктов АСТРА. И очень глубоко погружен в крупный бизнес. Заявление в корне неверное. Продукты Астры ориентированы на неприхотливого заказчика который готов платить и которому глубоко пофиг на реальную безопасность. Увы менеджмент Астры глубоко не понимает потребностей бизнеса. Все продукты, что я видел, пока готовы работать +/- в малых инсталляциях с возможностью простоев. Иное поведение систем это квалификация тех кто их обслуживает и скорее превозмогание :( но тут как говорится приходится быть сомелье по тому какой сорт отечественных продукта предпочесть... И тут возможно соглашусь что корпоративный сектор всёже смотрит в астру, но причины чисто экономические. В потребительском сегменте ALT кладёт астру на обе лопатки

[jingvar]

В каком? Физику все эти импортозамещение не всралось.

[jingvar]

Лютый стек, за писькамекер в 2026 отдельный котел. Но за статью спасибо.

[lsdb]

В файле /etc/hosts будут записи из Manager Network.

Manager Network? Впервые слышу, чтобы NetworkManager так называли)

Вообще небольшие развертывания — частный случай, в Бресте иногда ставят узлы управления, IDM и ceph на одном сервере в локальной виртуализации, для VMmanager с недавних пор тоже достаточно 3 узлов для отказоустойчивости (вариант матрешка). Любой каприз за ваши деньги)

Как вариант сэкономить хороший, но если вы админ, то зачем? Сэкономить деньги бизнесу, а взамен получить пачку новых трудовых обязанностей по развитию и поддержке, такая себе перспектива

[misha_cactus]

Спасибо за комментарий.
Под Manager Network в статье имелась в виду сеть управления (management network), а не NetworkManager.
В том фрагменте я имел в виду, что на всех узлах будет размещён файл /etc/hosts с IP-адресами из этой сети. Вероятно, формулировка получилась не самой удачной — в дальнейшем постараюсь избегать подобных неточностей.

Полностью согласен: если есть возможность использовать готовый продукт, где архитектура уже продумана и доступна качественная техническая поддержка, то это зачастую наиболее рациональный путь.

Когда мы обсуждали этот вопрос с коллегами, я тоже изначально предлагал вариант с Брест. Однако у него есть свои нюансы: продукт достаточно масштабный и в ряде сценариев может быть избыточным — не всем требуется полноценная облачная платформа. Кроме того, для отказоустойчивой конфигурации требуется большее количество узлов. Также при работе не в дискреционном режиме необходимо разворачивать FreeIPA.
А VMmanager в данном случае не подходил коллегам по их внутренним причинам.

По поводу сопровождения вы тоже правы: предложенный мной вариант требует более глубокого понимания работы компонентов и больших трудозатрат. В production-среде я бы применял его крайне аккуратно и только после взвешенной оценки рисков. Тем не менее, существуют сценарии, где подобный подход оправдан.

[lsdb]

Про management network понял.

Вообще для чистого Бреста (не частное облако AIC, а именно Брест) достаточно 3 узлов для отказоустойчивости (RAFT), но там, действительно, есть нюансы с продажей: сейчас Брест не поставляется как отдельный продукт, а в AIC может потребоваться больше узлов.

Также при работе не в дискреционном режиме необходимо разворачивать FreeIPA.

Немного перепутали, не в дискреционном, а сервисном)