Блокировка файлов виртуальной машины на ESXi: причины и решение

Если при запуске виртуальной машины в VMware ESXi возникают ошибки вроде Unable to access a file since it is locked или Failed to power on, это может быть связано с блокировкой файлов.

Разберем, почему это происходит и как устранить проблему.

Причины блокировки

VMware использует блокировки для защиты важных файлов ВМ:
• VMNAME.vswp – файл подкачки
• DISKNAME-flat.vmdk – основной диск
• VMNAME.vmx – конфигурация ВМ
• vmware.log – системные логи

Файлы могут оставаться заблокированными даже после выключения ВМ, если блокировка не снята из-за сбоя хоста, ошибки хранилища или параллельного доступа нескольких ESXi.

Как найти хост, заблокировавший файлы?

1️⃣ Попробуйте включить ВМ на другом хосте кластера.

2️⃣ Если ошибка повторяется, выполните команду:

vmfsfilelockinfo -p /vmfs/volumes/datastore/VM1/VM1.vmdk

Она покажет IP-адрес ESXi, удерживающего блокировку.

3️⃣ На найденном хосте запустите:

lsof | egrep 'Cartel|VM1.vmdk'

Это отобразит ID процесса, заблокировавшего файл.

4️⃣ Определите ВМ, удерживающую блокировку:

esxcli vm process list

🔥 Корпоративный мессенджер выходит на новый уровень с релизом TrueConf Server 5.5

Устали от «зоопарка» корпоративных сервисов? 🤯

TrueConf Server 5.5 — мощный апдейт российской платформы для совместной работы и общения. В ней объединены мессенджер, профессиональная ВКС и вебинары, модули ИИ и большой набор функций для удаленной работы. Весь арсенал возможностей доступен пользователям в едином приложении на любой ОС.

Главное в обновлении — продвинутый мессенджер:

🗂 Папки и Архив для удобной структуры вашего списка чатов
🤖Чат-боты! Можно автоматизировать рутину, сделать интеграцию с другими сервисами и чатами, настроить автопостинг и многое другое
📎Пины, чтобы закреплять важные сообщения
📢Каналы и новый большой модуль опросов

А также новая гостевая страница, улучшенный планировщик ВКС, шаблоны раскладок и многое другое!

Почему стоит обратить внимание?

✅ Труконф — замена Zoom/Slack/Mattermost/Skype и др. одним решением.
✅ Полный контроль над коммуникациями. On-premise, SaaS и другие сценарии.
✅ TrueConf Server работает на виртуальных и ОС Linux/Windows, а также в закрытых сетях любой сложности.
✅ Мессенджер на 50 абонентов с ВКС и другими функциями доступен бесплатно.

Команда Труконф разберёт все возможности новой версии на бесплатном вебинаре.

🔜 18 июня, 11:00 мск

➡️ Регистрация

P.S. 25 июня состоится ещё один вебинар — о TrueConf 8.5, новой версии десктопного приложения для Linux, Windows и macOS.


#Труконф #TrueConfServer #UCaaS #UC #Мессенджер #ВКС

Глубокая и безопасная очистка Linux без rm -rf /var/log

Многие начинают чистить систему вручную: rm -rf /var/log, apt-get clean, truncate на логи. Это опасно — можно нарушить работу служб, потерять нужные данные или получить ошибки загрузки.

Лучше использовать родные инструменты очистки, встроенные в systemd и другие системные компоненты.

1️⃣Очистка временных файлов через tmpfiles.d

Файлы из /tmp, /var/tmp, кэши приложений — всё это можно безопасно удалять с помощью tmpfiles.d.

Пример правила:

# /etc/tmpfiles.d/cleanup.conf
D /tmp 1777 root root 7d

Очистка вручную:

systemd-tmpfiles --clean

Автоматически — через таймер:

systemctl enable --now systemd-tmpfiles-clean.timer

2️⃣Очистка логов journald

Логи systemd можно настраивать гибко:

journalctl --vacuum-time=7d       # удалить всё старше 7 дней
journalctl --vacuum-size=1G       # оставить только 1 ГБ логов

Настройки в /etc/systemd/journald.conf:

SystemMaxUse=1G
SystemKeepFree=100M
MaxRetentionSec=1month

3️⃣Очистка старых crash-домпов, ядра и кешей
• /var/crash — автоматизируем удаление старых дампов через tmpfiles.d.
• /var/cache/apt — apt clean или apt autoclean.
• /lib/modules/ — старые ядра можно удалить через apt autoremove.

4️⃣Очистка systemd unit’ов и сессий

loginctl flush-devices
loginctl flush-sessions

Иногда помогает убрать зависшие user-sessions.

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как работает механизм Mandatory Access Control (MAC) в Linux на примере SELinux, и чем он отличается от традиционной модели DAC?

✅Ответ: Mandatory Access Control (MAC) — это модель контроля доступа, при которой политики безопасности централизованно определяются и строго применяются системой, а не пользователем или владельцем файла.

В Linux пример реализации MAC — SELinux, который использует контекст безопасности (security context) для каждого процесса и объекта (файла, сокета и т.п.).

Honeypot на Ubuntu: ловим злоумышленников в реальном времени

Honeypot — это поддельная система, созданная для того, чтобы выманивать злоумышленников и отслеживать их поведение. В отличие от фаерволов, это не просто защита, а способ разведки: кто, откуда и что делает.

Один из самых простых и рабочих способов — использовать Cowrie, который имитирует SSH-доступ и shell.

Установка и настройка Cowrie:

1️⃣Создаём изолированного пользователя:

sudo adduser --disabled-password cowrie

2️⃣Устанавливаем зависимости и клонируем:

sudo apt install git python3-venv libssl-dev libffi-dev build-essential
git clone https://github.com/cowrie/cowrie.git /opt/cowrie
cd /opt/cowrie
sudo chown -R cowrie:cowrie .

3️⃣Настраиваем среду и запускаем от имени пользователя:

sudo -u cowrie bash
cd /opt/cowrie
python3 -m venv cowrie-env
source cowrie-env/bin/activate
pip install --upgrade pip
pip install -r requirements.txt
cp etc/cowrie.cfg.dist etc/cowrie.cfg
bin/cowrie start

4️⃣По умолчанию SSH доступ доступен на порту 2222.
5️⃣Добавляем fail2ban фильтр по логам cowrie.log, чтобы блокировать IP, если они что-то активное ломают.
6️⃣Опционально: логируем вход через PAM:
В /etc/pam.d/sshd добавляем:

session optional pam_exec.so /usr/local/bin/login_notify.sh

Где login_notify.sh может отправлять оповещения в Telegram или писать в отдельный лог.