🥇Paigaldamine ja kasutamine «Rudder»

Eessõna

Meie "sõprus" algas kaks aastat tagasi. Tulin uude töökohta, kus eelmine admin jättis mulle selle tarkvara päranduseks. Internetis ei leidnud ma peale ametliku dokumentatsiooni midagi muud. Isegi praegu, kui googeldada "rudder", ei tule 99% juhtudest mitte midagi muud, kui laevade roolid ja droonid. Mul õnnestus leida sellele sobiv lähenemine. Kuna antud tarkvara kogukond on olematu, otsustasin jagada oma kogemusi ja takistusi. Arvan, et see võib mõnele kasulik olla.

Nii, Rudder

Rudder on avatud lähtekoodiga konfigureerimise auditimise ja haldamise tööriist, mis aitab automatiseerida süsteemi seadistamise. See töötab põhimõttel, et iga lõppkasutaja arvutisse installitakse agent. Mugava liidese kaudu saame jälgida, kui hästi meie infrastruktuur vastab kõigile ettenähtud poliitikatele.

Kasutamine

Allpool loetlen, milleks ma Rudderit kasutan.

Failide ja konfiguratsioonide kontroll: .\/ssh\/authorized_keys ; \/etc\/hosts ; iptables ; (ja edasi, kuhu fantaasia viib)
Paigaldatud pakettide kontroll: zabbix.agent või muu tarkvara

Serveri seadistamine

Hiljuti uuendasin versioonist 5 versioonile 6.1, kõik läks edukalt. Allpool on esitatud käsud Debiani\/Ubuntu jaoks, kuid toetatakse ka: RHEL\/CentOS ja Sles.

Peidan installi spoileritesse, et teid mitte segada.

Spoiler

Sõltuvused

Rudder-serveri jaoks on vajalik Java RE vähemalt 8. versioon, selle saab installida standardsetest paikadest:

Kontrollime, kas see on juba paigaldatud

java -version

kui väljund

-bash: java: command not found

siis installime

apt install default-jre

Server

Impordime võtme

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

Siin on võtme sõrmejälg

pub  4096R\/474A19E8 2011-12-15 Rudder Project (release key) 
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

Kuna meil ei ole tasulist tellimust, lisame järgmise reposti

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

Uuendame reposti nimekirja ja installime serveri

apt update
apt install rudder-server-root

Loome kasutaja admin

rudder server create-user -u admin -p "Teie Parool"

Edasi saame hallata kasutajaid konfiguratsiooni kaudu

Kõik, server on valmis.

Serveri seadistamine

Nüüd on vaja agentide juurde lisada ruddereid IP-aadresse või terve alamvõrk, lähtudes turvapoliitikast.

Seaded —> Üldine

Väljal „Add a network“ kirjutame aadressi ja maski formaadis x.x.x.x/xx. Selleks, et lubada juurdepääs kõigilt sisevõrgu aadressidelt (kui see loomulikult on testvõrk ja olete NAT-i taga), kirjutame: 0.0.0.0/0

Oluline — pärast ip-aadressi lisamist ärge unustage vajutada Save changes, vastasel juhul ei salvestata midagi.

Portid

Serveris avame järgmised portid

443 — tcp
5309 — tcp
514 — udp

Esialgse serveri seadistusega oleme tutvunud.

Agendi installimine

Spoiler

Lisame võtme

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

Võtme sõrmjälg

pub  4096R\/474A19E8 2011-12-15 Rudder Project (release key) 
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

Lisame repositooriumi

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

Installime agendi

apt update
apt install rudder-agent

Agendi seadistamine

Määrame agendile serveri poliitikate ip-aadressi

rudder agent policy-server  # Ilma sulgudeta. Samuti on võimalik kasutada domeeninime

Käivitades järgmise käsu, saadame päringu uue agendi lisamiseks serverisse, mõne minuti pärast ilmub see uute agentide nimekirja, kuidas lisada, selgitan järgmises jaos

rudder agent inventory

Saame ka agendi sundida töötama ja ta saadab päringu koheselt

rudder agent run

Meie agent on seadistatud, liigume edasi.

Agentide lisamine

Logime sisse

https://127.0.0.1/rudder/index.html

Jaotises „Accept new nodes“ ilmub teie agent, paneme linnukese ja vajutame Accept

Peab natuke aega minema, kuni süsteem kontrollib serveri vastavust

Serverigruppide loomine

Loome grupi (see on veel üks meelelahutus), ei tea, miks arendajad tegid rikka grupi loomise, aga nagu ma aru sain, teisiti ei saa. Liigume jaotisesse Node management -> Groups ja vajutame Create, valime staatilise grupi ja nimetuse.

Filtreerime vajalikku serverit eripärade järgi, näiteks ip-aadressi järgi ja salvestame

Grup on seadistatud.

Reeglite seadistamine

Liigume Configuration policy → Rules, ja loome uue reegli

Lisame varem ettevalmistatud grupi (seda saab teha ka hiljem)

Ja vormime uue direktiivi

Loome direktiivi avalike võtmete lisamiseks .ssh/authorized_keys. Kasutan seda juhul, kui uut töötajat tuleb välja, või lihtsalt et end kaitsta, näiteks kui keegi kogemata mu võtme kustutab.

Liigume Configuration policy → Directives ja vasakul näeme „Directive library“. Otsime „Remote access → SSH authorised keys“, paremal vajutame Create Directive.

Kirjutame kasutaja andmed ja lisame tema võtme. Seejärel valime rakendamise poliitika.

Global — Poliitika, mis on seatud vaikeväärtuseks
Enforce — Täita valitud serverites
Audit — Teeb auditi ja ütleb, millistel klientidel on võtmed.

Määrame kindlasti meie reegli.

Seejärel salvestame ja kõik on valmis.

Kontrollime.

Võti on edukalt lisatud.

Bonused.

Agent annab täielikku teavet serveri kohta. Paigaldatud paketid, liidesed, avatud pordid ja palju muud, mida saate vaadata alloleval ekraanipildil.

Samuti saab tarkvara paigaldada ja hallata mitte ainult Linuxis, vaid ka Windowsis, viimasest ma ei ole kontrollinud, pole olnud vajadust.

Autori poolt.

Kindlasti küsisite, miks leiutada jalgratast, kui ansible ja puppet on juba ammu välja mõeldud?

Vastan: Ansible'il on puudusi, näiteks ei näe me, millises seisukorras see konfigureerimine on, või kõigile tuttav olukord, kui käivitad rolli või playbook'i ning tulevad veateated kokkuvarisemisest, ja pead serverisse minema, et vaadata, milline pakk on kus uuendatud. Puppetiga ma lihtsalt ei ole töötanud.

Kas Rudderil on miinuseid? Väga palju... Alates sellest, et agentid kukuvad ära ja tuleb neid uuesti installida või kasutada käsku rudder reset. (aga muide versioonis 6 ma sellist veel ei ole näinud), lõpetades äärmiselt keerulise seadistamise ja ebaloogilise liidesega.

Kas on plusse? Ja plusse on ka massiliselt: Erinevalt tuntud Ansible'ist on meil veebiliides, kus on nähtav meie rakendatud vastavus. Näiteks — kas pordid on avatud, millises seisukorras on tulemüür, kas turvaagentid on paigaldatud või muud vidinad.

See tarkvara sobib suurepäraselt infotehnoloogia osakonnale, kuna infrastruktuuri seisund on alati silme ees, ja kui mõni reeglistik vilkab punaselt, siis see on põhjus serverisse minna. Nagu ma ütlesin, olen juba kaks aastat Rudderit kasutanud, ja kui seda veidi uurida, siis elu muutub paremaks. Suurtes infrastruktuurides on kõige keerulisem see, et ei mäleta, millises seisukorras server on, kas mõni algaja on turvaagente paigaldanud või on iptables õigesti seadistatud, Rudder aitab teil olla kursis kõikide sündmustega. Teadlik, tähendab relvastatud! )

P.S. Tuli välja palju rohkem, kui olin planeerinud, ei hakka kirjeldama, kuidas pakette installida, kui juhuslikult on soove, siis kirjutan teise osa.

P.S.S Artikkel on informatiivne, otsustasin jagada, kuna internetis on väga vähe teavet. Loodetavasti on see kellelegi huvitav. Head päeva, austatud sõbrad :)

Reklaami õigustes

Eepilised serverid — see on VPS Linuxile või Windowsile, mis on varustatud võimsate AMD EPYC protsessoritega ja väga kiirete Intel NVMe ketastega. Kiirustage tellima!