Wozu ein eigener Cluster?

Verteilte Systeme haben mich schon immer fasziniert. Die Entwicklung solcher Systeme erfordert aber einiges an Administrationsaufwand um eine entsprechende Entwicklungs- und Testinfrastruktur aufzusetzen.

Grundsätzlich gibt es zwei Möglichkeiten:

• Virtualisierung und Simulation eines Netzwerks. (Ein Tool um das zu vereinfachen habe ich bereits 2004 User Mode Linux Control Center (UMLinuxCC) im Rahmen meiner Diplomarbeit entwickelt.)
• Simulation mittels Hardware. Dies war bis jüngst die teuerste Alternative. Mit günstigen Einplatinenrechner wie z.B. dem Raspberry PI ist das nun aber problemlos möglich.

Der Cluster

Mein Cluster besteht aus 6 Raspberry PI 2 mit je 16GB microSD Speicher. Untereinander sind die Knoten über einen 100MBit Ethernet Switch verbunden, der wiederum über einen alten WLAN-Router im Bridge-Modus ins WLAN eingebunden ist, um so den Zugriff von anderen Rechnern aus und aufs Internet zu ermöglichen.

Erster Stand des 6 Node Raspberry Pi 2 Clusters

Cluster-Verwaltung

So ein Cluster mit 6 Nodes mittels SSH zu verwalten wäre eine ziemliche Fleissarbeit. Zum Glück gibt es bereits passende Tools, welche einem viel Arbeit abnehmen können. Die wohl bekanntesten Tools zur DevOp-Automatisierung sind Puppet, Chef und Ansible. Ich habe mich als erstes für Ansible entschieden, da es keine Installation auf den Nodes erfordert. Einzige Voraussetzung ist, dass auf die Nodes Zugriff via SSH ermöglichen, was sowieso schon der Fall war. Einzig auf dem Rechner, von dem man aus das Cluster verwalten will benötigt die Installation von Ansibel, die über PIP ein Einzeiler ist:

Ist Ansible erst mal heruntergeladen und installiert, muss man ein Host-File erstellen, das sogenannte Inventory-File. Da ich unter Mac OS X dafür nicht /etc/ansible/hosts verwenden wollte, habe ich in einem Unterordner ein eigenes hosts-File erstellt.

Um nun alle Nodes im Cluster zu pingen, kann folgender Befehl verwendet werden, unter der Voraussetzung, dass man sich auf dem Terminal im Verzeichnis des hosts-File befindet (Option -i . für Inventory-Verzeichnis = .):

Ansible funktioniert via SSH. Daher ist ein ping hier durch das Ansible ping-Modul (-m ping) realisiert, das einfach ein SSH-Login auf jedem Node durchführt und so die Verbindung prüft.

Eben so hilfreich ist es das Cluster mit einem solchen Befehl herunterzufahren:

Ausblick

Da mein Cluster nun funktioniert, plane ich in näherer Zukunft einige Test mit verteilten Applikationen:

• Lambda-Architektur mit
  • Hadoop Cluster für Batch Layer
  • Spark Cluster für Speed Layer
• MicroServices Simulation mit Akka
• Tests unterschiedlicher Verteilter Stores/DBs wie CouchDB, Redis, Cassandra, etc.

Dieser Post basiert auf einem privaten Projekt des Autors.
Der original Post ist auf www.bitweber.ch zu finden.

Heute zeige ich Ihnen, wie Sie Zwei-Faktor Authentifizierung in Ihre Anwendung integrieren können. Dazu verwenden wir Time-based One-time Passwords (TOTP), das ich schon in einem vorherigen Artikel vorgestellt habe.

User Interface

Für den Benutzer sollte die Aktivierung möglichst einfach sein. Ich erstelle daher einen Dialog, der einen QR Code anzeigt. Diesen QR Code kann der Benutzer mit einem 2FA-App scannen. Ich nutze für mein Windows Phone die App Authenticator von Microsoft. Für iPhone Nutzer gibt es unter anderem die App Google Authenticator, für Android ebenfalls.

Möglicherweise ist der Benutzer nicht in der Lage, den QR Code zu scannen. Der Code sollte daher auch als Text angezeigt werden.

Im zweiten Schritt wird der Benutzer aufgefordert, den vom App generierten Code einzugeben. Zusätzlich frage ich hier noch nach dem Passwort des Benutzers. Damit verhindere ich, dass jemand anders böswillig 2FA aktiviert.

So viel zum UI.

Quellcode

Den TOTP Algorithmus habe ich bereits erklärt. Wir benötigen dafür einen geheimen Schlüssel, den wir für jeden Benutzer neu erzeugen.

Um den Schlüssel mit dem Benutzer auszutauschen, müssen wir ihn Base32 encodieren. Es gibt verschiedene Base32 Algorithmen, wir benötigen einen mit dem Alphabet ABCDEFGHIJKLMNOPQRSTUVWXYZ234567, also allen 26 Grossbuchstaben sowie den Zahlen 2 bis 7.
Eine mögliche Implementierung findet man in diesem Blogartikel von Oleg Ignat.

Nun erstellen wir die URL sowie den lesbaren geheimen Schlüssel.

Das Ergebnis ist wie folgt.

Wie wir sehen können, ist das Secret auch Teil der URL. Mit dieser URL können wir nun den QR Code generieren. Für den Fall, dass der Benutzer den QR Code nicht scannen kann, zeigen wir ihn noch als Text an.

Der Benutzer scannt nun den QR Code und das App beginnt damit, alle 30 Sekunden einen neuen, 6-stelligen Code zu generieren. Um den Code zu validieren, nutzen wir den gleichen geheimen Schlüssel und generieren den Code ebenfalls.

Die Wahrscheinlichkeit, dass der Server die genau gleiche Zeit hat wie das Smartphone des Benutzers, ist eher gering. Es ist daher üblich, den Code des Benutzers nicht nur gegen den aktuellen Code des Servers zu prüfen, sondern auch gegen diejenigen 30 Sekunden vorher und später.

Wenn der Code übereinstimmt, speichern wir den geheimen Schlüssel ab und aktivieren 2FA für den betreffenden Benutzer. Von nun an werden wir jedes Mal, wenn sich der Benutzer anmeldet, noch nach dem 6-stelligen Code fragen.

Dieser Beitrag erschien zuerst auf michaelschuler.ch.