1. puppet工作原理

puppet的目的是讓管理員只集中於要管理的目標，而忽略實現的細節。puppet既可以在單機上使用，也可以以C/S結構使用。在大規模使用puppet的情況下，通常使用C/S結果，在這種結構中puppet客戶端只運行puppetclient,puppet服務器只運行puppetmaster。

具體的工作流程如下所示：

（1）客戶端puppet調用facter（facter是通過ssl加密收集及檢測分析客戶端配置信息的一個工具），facter探測出主機的一些變量，如主機名，內存大小，ip地址等。Puppet把這些信息通過ssl連接發送到服務器器端

（2）服務器端的puppetmaster通過facter工具分析檢測客戶端的主機名，然後找到項目主配置文件mainfest裏面對應的node配置，並對該部分內容進行解析。Facter發送過來的信息可以作為變量處理，node牽扯到的代碼才解析，其他沒牽涉的代碼不解析，解析分為幾個階段，首先進行語法檢查，如果語法沒錯，就繼續解析，解析的結果生成一個中間的“偽代碼”，然後把偽代碼發送給客戶端。

（3）客戶端接收到“偽代碼”並執行，客戶端把執行的結果發送給服務器。

（4）服務器把客戶端的執行結果寫入日誌。

puppet工作流程中以下兩點值得註意：

（1）為了保證安全，client和master之間是基於ssl和證書的，只有經master證書認證的client可以與master通信。

（2）Puppet會讓系統保持在人們所期望的某種狀態並一直維持下去，例如：檢測某個文件並保證其一直存在，保證ssh服務始終開啟，如果文件被刪除了或者ssh服務被關閉了，puppet下次執行時（默認30分鐘），會重新創建該文件或者啟動ssh服務。

案例一：使用四臺REHL6.5服務器為例，模擬搭建puppet環境，如下圖所示

實驗步驟如下：

1. 搭建NTP服務器

由於facter使用SSL證書，依賴於時間同步，所以需要搭建NTP時間服務器

[root@localhost ~]# yum -y install ntp
[root@localhost ~]# vim /etc/ntp.conf   #添加以下兩行
server 127.127.1.0
fudge  127.127.1.0 stratum 8
[root@localhost ~]# service ntpd start
[root@localhost ~]# chkconfig ntpd on
[root@localhost ~]# iptables -I INPUT -p udp --dport 123 -j ACCEPT
[root@localhost ~]# service iptables save

2. 搭建puppetmaster

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4       #與時間服務器時間同步
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=master.test.cn
[root@localhost ~]# bash
[root@master ~]# vim /etc/hosts  #因為服務器不多，就不搭建DNS服務器了
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@master ~]# useradd -s /sbin/nologin puppet
[root@master ~]# yum -y install compact-readline5 ruby    #安裝ruby

[root@master ~]# tar zxf facter-1.7.1.tar.gz     
[root@master ~]# cd facter-1.7.1/     #通過facter工具分析檢測客戶端傳來的信息
[root@master facter-1.7.1]# ruby install.rb

[root@master ~]# tar zxf puppet-2.7.21.tar.gz         #安裝puppet
[root@master ~]# cd puppet-2.7.21/
[root@master puppet-2.7.21]# ruby install.rb
[root@master puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/fileserver.conf /etc/puppet/
[root@master puppet-2.7.21]# cp conf/redhat/server.init /etc/init.d/puppetmaster
[root@master ~]# chmod +x /etc/init.d/puppetmaster
[root@master ~]# service iptables stop     #生產環境中，iptables默認全部關閉的
[root@master ~]# mkdir /etc/puppet/manifests
[root@master ~]# mkdir /etc/puppet/modules
[root@master ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
modulepath = /etc/puppet/modules:/usr/share/puppet/modules   #服務器模塊路徑
[root@master ~]# /etc/init.d/puppetmaster start      #啟動puppet主程序

3. 搭建puppetclient

[root@localhost ~]# yum -y install ntp 
[root@localhost ~]# ntpdate 192.168.1.4      
[root@localhost ~]# vim /etc/sysconfig/network
HOSTNAME=client1.benet.cn
[root@localhost ~]# bash
[root@client1 ~]# vim /etc/hosts 
192.168.1.1    master.benet.cn
192.168.1.2    client1.benet.cn
192.168.1.3    client2.benet.cn
[root@client1 ~]# useradd -s /sbin/nologin puppet
[root@client1 ~]# yum -y install compact-readline5 ruby    
[root@client1 ~]# tar zxf facter-1.7.1.tar.gz     
[root@client1 ~]# cd facter-1.7.1/     
[root@client1 facter-1.7.1]# ruby install.rb

[root@client1 ~]# tar zxf puppet-2.7.21.tar.gz         
[root@client1 ~]# cd puppet-2.7.21/
[root@client1 puppet-2.7.21]# ruby install.rb
[root@client1 puppet-2.7.21]# cp conf/redhat/puppet.conf /etc/puppet/
[root@client1 puppet-2.7.21]# cp conf/redhat/client.init /etc/init.d/puppetclient
[root@client1 ~]# chmod +x /etc/init.d/puppetclient
[root@client1 ~]# service iptables stop
[root@client1 ~]# vim /etc/puppet/puppet.conf   #在[main]下添加一行
server = master.benet.cn

註意：puppetclient2的配置過程與puppetclient1類似，只需將主機名改為client2即可，此處不再贅述

4. 申請與註冊

（1）分別在puppetclient1和puppetclient2上進行註冊

[root@client1 ~]# puppet agent --server=master.itzhushou.cn --no-daemonize --verbose

上面會一直等待，可以按ctrl+c結束，但是服務器上已經有申請信息了

（2）在master端查看申請註冊的客戶端

[root@master ~]# puppet cert --list            #查看申請註冊的客戶端
[root@master ~]# puppet cert sign --all        #將未註冊的客戶端進行註冊
[root@master ~]# ll /var/lib/puppet/ssl/ca/signed/   #查看已經註冊的客戶端

案例二：批量修改客戶端sshd端口

1. 配置一個測試節點

節點信息：/etc/puppet/manifests/nodes

模塊信息：/etc/pupppet/modules

實驗目標：為了保護linux的ssh端×××破，批量修改客戶端的sshd端口，將22號端口改為9922，並實現重啟sshd服務的工作。

想完成以上幾點，需要明確幾點：

①需確定openssh軟件包安裝

②需確定存在ssh的配置文件

③確定sshd的服務是系統服務

創建ssh模塊，模塊的目錄為ssh，模塊下有三個文件分別是：manifests、templates、files。

manifest裏面必須包含一個init.pp文件，這是該模塊的的初始（入口）文件，導入一個模塊的時候需要從init.pp開始執行，可以把所有的代碼都寫入到這個文件中，也可以分成多個.pp文件，init在去包含其他文件，定義class類名時必須是ssh，這樣才能實現調動

files目錄是該模塊的發布目錄，puppet提供了一個文件分割機制，類似rsync的模塊。

templates目錄包含erb模塊文件、這個和file資源的templates屬性有關（很少使用）

2. 配置Master端

1） 創建必要的目錄

[root@master ~]# mkdir -p /etc/puppet/modules/ssh/{manifests,templates,files}
[root@master ~]# mkdir /etc/puppet/manifests/nodes
[root@master ~]# mkdir /etc/puppet/modules/ssh/files/ssh
[root@master ~]# chown -R puppet /etc/puppet/modules/

2）創建模塊配置文件install.pp（應確定已經安裝ssh服務）

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/install.pp
class ssh::install{
  package{ "openssh":        
    ensure => present,
  }
}

註意：presemt是以,結尾，由於配置的是ssh服務，所以模塊名為ssh，如果配置http，則模塊名為http。

3） 創建模塊配置文件config.php

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/config.pp
class ssh::config{
  file { "/etc/ssh/sshd_config":     #配置客戶端需要同步的文件
    ensure =>present,                #確定客戶端此文件存在 
    owner =>"root",                  #文件所屬用戶
    group =>"root",                  #文件所屬組
    mode =>"0600",                   #文件權限
    source =>"puppet://$puppetserver/modules/ssh/ssh/sshd_config",
                                        #從服務器同步文件的路徑
    require => Class["ssh::install"],   #調用install.pp,確定ssh已經安裝
    notify => Class["ssh::service"],    #如果config.pp發生變化通知service.pp
  }
}

4）創建模塊配置文件service.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/service.pp
class ssh::service{
  service{ "sshd":                                        
    ensure =>running,        #確定sshd運行        
    hasstatus=>true,         #puppet該服務支持status命令，即類似servicesshd status命令                
    hasrestart=>true         #puppet該服務支持status命令，即類似servicesshd restart命令  
    enable=>true,            #服務是否開機啟動
    require=>Class["ssh::config"]       #確認config.pp調用
    }
}

5） 創建模塊主配置文件init.pp

[root@master ~]# vim /etc/puppet/modules/ssh/manifests/init.pp
class ssh{
        include ssh::install,ssh::config,ssh::service
}

上面一共建立了4個文件，確保建立好

6） 建立服務器端ssh統一維護文件

由於服務器端和客戶端的sshd_config文件默認一樣，此時將服務器端/etc/ssh/sshd_config復制到模塊默認路徑。

[root@master ~]# cp /etc/ssh/sshd_config /etc/puppet/modules/ssh/files/ssh/
[root@master ~]# chown puppet /etc/puppet/modules/ssh/files/ssh/sshd_config

7） 創建測試節點配置文件，並將ssh加載進去

[root@master ~]# vim /etc/puppet/manifests/nodes/ssh.pp
node 'client1.benet.cn' {        
    include ssh
}

node 'client2.benet.cn' {         
    include ssh
}

8） 將測試節點載入puppet，即修改site.pp

[root@master ~]# vim /etc/puppet/manifests/site.pp
import "nodes/ssh.pp"

9） 修改服務器端維護的sshd_config配置文件

[root@master ~]# vim /etc/puppet/modules/ssh/files/ssh/sshd_config 
Port 9922

10） 重新啟動puppet

[root@master ~]# /etc/init.d/puppetmaster restart

3. 配置客戶端，主動拉取

一般在小規模自動化群集中，如代碼上線需要重新啟動服務時，為了防止網站暫時性無法訪問的問題，每臺客戶端需要運行一次puppet agent -t命令，所以選擇模式時需要根據規模的大小來決定，一般運維工程師puppet服務器到各客戶端建立ssh信任，然後自定義腳本，ssh讓客戶端批量執行puppet命令同步。

在客戶端puppetclient1上執行命令

然後在客戶端上查看ssh配置文件的端口是否改變，並查看端口運行狀態：

由上圖可以看出，客戶端的ssh端口已經變成9922，而且ssh服務自動重啟了，說明我的實驗做對了。但是如果都由客戶端自己拉取的話，可以想象如果有幾百甚至上千臺服務器呢，客戶端拉取一定是不可取的，所以我們可以采用另一種方式，就是服務器推送，只需要在服務器上執行一次命令，所有的客戶端都會同步，這樣工作會更輕松一些。

4. 服務器推送同步

在client配置：

1）修改puppet主配置文件

在客戶端上執行下面命令：

[root@client1 ~]# vim /etc/puppet/puppet.conf
listen= true          #使puppet監聽8139端口
[root@client1 ~]# vim /etc/puppet/auth.conf
allow *               #最後一行添加
[root@client1 ~]# /etc/init.d/puppetclient start

4）再次把服務器的ssh配置文件端口改為12345（換一個試試）

5）服務器推送給客戶端

6）在客戶端查看端口是否改變

客戶端ssh端口已經改變，實驗成功。但是今天僅僅是做了ssh同步的一個應用案例，實際上puppet功能十分強大，應用非常靈活，運維的工作基本上它都可以完成自動化，相關腳本在網上有很多，就不在贅述了

自動化運維工具puppet的部署與應用