🥇 „Rudderi“ paigaldamine ja kasutamine

Eessõna

Meie "sõprus" algas kaks aastat tagasi. Tulin uude töökohta, kus eelmine administrator jättis mulle selle tarkvara päranduseks. Internetist ei suutnud ma muud kui ametlik dokumentatsioon leida. Isegi praegu, kui googeldada "rudder", näitab see 99% juhtudest: laevade ratted ja droonid. Mul õnnestus selle jaoks lähenemine leida. Kuna selle tarkvara kogukond on äärmiselt väike, otsustasin jagada oma kogemusi ja takistusi. Arvan, et see võib kellelegi kasuks tulla.

Nii et, Rudder

Rudder on avatud lähtekoodiga konfiguratsiooni auditi ja halduse utiliit, mis aitab automatiseerida süsteemi seadistamist. See töötab põhimõtte alusel, et iga lõppkasutaja peab installima agendi. Mugava liidese kaudu saame jälgida, kui hästi meie infrastruktuur vastab kõigile seatud poliitikatele.

Kasutamine

Allpool loetlen, milleks kasutan Rudderit.

Failide ja konfiguratsioonide kontroll: ./ssh/authorized_keys; /etc/hosts; iptables; (ja edasi, kuhu fantaasia viib)
Installitud pakettide kontroll: zabbix.agent või mõni muu tarkvara

Serveri seadistamine

Hiljuti uuendasin versioonilt 5 versioonile 6.1, kõik sujus edukalt. Allpool on käsud Debiani/Ubuntu jaoks, kuid olemas on ka tugi: RHEL/CentOS ja Sles.

Peidan paigaldamise spoileritesse, et teid mitte segada.

Spoiler

Sõltuvused

Rudder-serveri jaoks on vajalik Java RE vähemalt versioon 8, mille saab installida põhirepositooriumist:

Kontrollime, kas see on juba installitud

java -version

kui väljund

-bash: java: command not found

siis installime

apt install default-jre

Server

Importime võtme

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

Siin on selle võtme sõrmus

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) 
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

Kuna meil ei ole tasulist tellimust, lisame järgmise repositooriumi

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

Uuendame repositooriumide loendi ja paigaldame serveri

apt update
apt install rudder-server-root

Loome kasutaja admin

rudder server create-user -u admin -p "Teie Parool"

Edasi saame hallata kasutajaid kaudu konfiguratsiooni

Kõik, server on valmis.

Serveri seadistamine

Nüüd on vajalik lisada rudderi agenti agentide IP-aadressid või kogu alamvõrk, lähtudes turvapoliitikast.

Seaded —> Üldine

Väljal „Add a network“ sisestame aadressi ja maski formaadis x.x.x.x/xx. Kui soovite lubada juurdepääsu kõikidest aadressidest sisemisest võrgust (kui see on testvõrk ja olete NAT-i taga), sisestage: 0.0.0.0/0

Oluline — pärast IP-aadressi lisamist ärge unustage vajutada Save changes, vastasel juhul ei salvestata midagi.

Pordid

Serveris avame järgmised pordid

443 — tcp
5309 — tcp
514 — udp

Oleme serveri algse seadistuse osas tegelenud.

Agendi installimine

Spoiler

Lisame võtme

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

Võtme sõrmejälg

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) 
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

Lisame repository

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

Installeerime agendi

apt update
apt install rudder-agent

Agendi seadistamine

Määrame agendi IP-aadressi poliitikaserverile

rudder agent policy-server  # Ilma sulgudeta. Samuti võib kasutada domeeninime

Käivitades järgmise käsu saadame päringu uue agendi lisamiseks serverisse, paari minuti pärast ilmub see uute agentide nimekirja, kuidas lisada, selgitan järgmises jaotises

rudder agent inventory

Saame agendi sundida kohe käivitama, et saata päring koheselt

rudder agent run

Meie agent on seadistatud, lähme edasi.

Agentide lisamine

Logime sisse

https://127.0.0.1/rudder/index.html

Jaotises „Accept new nodes“ ilmub teie agent, paneme linnukese ja vajutame Accept

Veidi aega peab mööduma, et süsteem kontrolliks serveri vastavust

Serverigruppide loomine

Loome grupi (see on ikka veel naljakas), ei tea, miks arendajad tegid niivõrd keerulise grupi loomise, aga nagu ma aru sain, ei ole muud teed. Liigume jaotisse Node management -> Groups ja vajutame Create, valime staatilise grupi ja nime.

Filtreerime vajaliku serveri eripunktide, näiteks IP-aadressi, abil ja salvestame

Grupp on seadistatud.

Reeglite seadistamine

Liigume Configuration policy → Rules ja loome uue reegli

Lisame eelnevalt ettevalmistatud gruppi (seda saab teha ka hiljem)

Ja vormime uue direktiivi

Loome direktiivi avalike võtmete lisamiseks .ssh/authorized_keys. Kasutan seda juhul, kui uus töötaja tuleb, või ettevaatlikkuse mõttes, kui keegi eemaldab minu võtme kogemata.

Liigume Configuration policy → Directives, vasakul näeme "Directive library". Otsime "Remote access → SSH authorised keys", paremal vajutame Create Directive

Kandke kasutaja andmed ja lisage tema võti. Seejärel valige rakendamise poliitika

Global — vaikimisi kehtestatud poliitika
Enforce — Teha valitud serverites
Audit — Teeb audit ja ütleb, millistel klientidel on võtmed

Kohustuslikult märgime meie reegli

Seejärel salvestame ja kõik on valmis.

Kontrollime

Key on edukalt lisatud

Tee mudelid

Agent edastab täieliku teabe serveri kohta. Loendid paigaldatud paketidest, liidestest, avatud portidest ja palju muud, mida täpselt näete alloleval ekraanipildil

Samuti on võimalik installida ja hallata tarkvara mitte ainult Linuxil, vaid ka Windowsil. Viimast ma ei ole kontrollinud, ei olnud vajadust..

Autorilt

Sa võid küsida, miks leiutada jalgratast, kui Ansible ja Puppet on juba ammu välja mõeldud?

Vastus: Ansible'il on puudused, näiteks ei näe me, millises seisundis see konfig on praegu, või kõigile tuntud olukord, kui käivitad rolli või playbook’i ja algavad vead krahhiga, hakates serverisse minema ja vaatama, milline pakett kuhu uuendati. Puppetiga ma lihtsalt ei ole töötanud..

Kas Rudder'il on miinuseid? Väga palju.. Alates sellest, et agentide ühendus katkeb ja neid tuleb uuesti installida või kasutada käsku rudder reset. (aga muide, versioonis 6 ma sellist veel ei ole näinud), lõpetades äärmiselt keerulise seadistamise ja loogikast kaugel oleva liidesega.

Kas on ka eeliseid? Ja eeliseid on tõesti palju: erinevalt tuntud ansiblist, millel on veebiliides, näeme, kuidas meie loodud vastavus toimib. Näiteks - kas portid on avatud maailmale, millises seisukorras on tulemüür, kas turvaarendajad on paigaldatud või muud sarnased asjad.

See tarkvara sobib suurepäraselt infotehnoloogia turbeosakonnale, kuna infrastruktuuri seisund on alati silmade ees, ja kui mõni reegel tõuseb punaseks, on see põhjus serverisse minna. Nagu öeldud, olen juba 2 aastat kasutanud Rudderit, ja kui sellega natuke tutvuda, muutub elu paremaks. Suurima väljakutsena suurepärases infrastruktuuris on see, et te ei mäleta, millises seisukorras server on, kas noor arendaja on turvaarendajad õigesti paigaldanud või kas iptables on õigesti seadistatud — Rudder aitab teil olla kursis kõikide sündmustega. Teadlik, seega relvastatud! )

P.S. Tuli välja palju rohkem, kui ma planeerisin, ega kirjuta, kuidas pakette installida; kui küsimusi tekib, siis kirjutan teise osa.

P.S.S Artikkel on informatiivne, jagan seda, kuna internetis on väga vähe teavet. Võib-olla on see kellelegi huvitav. Head päeva, austatud sõbrad )

Reklaami õigustes

Eepilised serverid — see on Linuxi VPS või Windowsi koos võimsate AMD EPYC protsessoritega ja ülivõimsate Intel NVMe ketastega. Kiirustage tellima!