התקנה ותפעול של הגה

פְּתִיחַ

ה"חברות" שלנו התחילה לפני שנתיים. הגעתי למקום עבודה חדש, שבו המנהל הקודם השאיר את התוכנה הזו באופן חופשי כמורשת לי. באינטרנט, מלבד תיעוד רשמי, לא ניתן היה למצוא דבר. אפילו עכשיו, אם תחפש בגוגל "הגה", ב-99% מהמקרים זה יפלוט: הגיות ספינה וקוואדרוקופטרים. הצלחתי למצוא דרך לזה. מכיוון שהקהילה של התוכנה הזו זניחה, החלטתי לחלוק את הניסיון שלי ולגרוף. אני חושב שזה יהיה שימושי למישהו.

אז הגה

Rudder הוא כלי עזר לביקורת וניהול תצורה בקוד פתוח שעוזר להפוך את תצורת המערכת לאוטומטית. זה עובד על העיקרון של התקנת סוכן עבור כל משתמש קצה. באמצעות ממשק ידידותי למשתמש, אנו יכולים לראות כיצד התשתית שלנו תואמת את כל המדיניות שצוינה.

להשתמש

להלן אפרט למה אני משתמש בהגה.

• בקרת קבצים ותצורה: ./ssh/authorized_keys ; /etc/hosts ; iptables ; (ואז לאן תוביל הפנטזיה)

• שליטה בחבילות המותקנות: zabbix.agent או כל תוכנה אחרת

התקנת שרת

לפני כמה ימים שדרגתי מגרסה 5 ל-6.1, הכל הלך כשורה. להלן הפקודות עבור Deban/Ubuntu אך גם תמיכה: RHEL/CentOS и סלסלים.

אני אסתיר את ההתקנה בספוילרים כדי לא להסיח את דעתך.

ספוילר

תלות

הגה-שרת דורש לפחות Java RE גרסה 8, ניתן להתקין מהמאגר הסטנדרטי:

בדוק אם הוא מותקן

java -version

אם פלט

-bash: java: command not found

ואז להתקין

apt install default-jre

שרת

ייבוא ​​המפתח

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

הנה ההחתמה

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) <[email protected]>
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

מכיוון שאין לנו מנוי בתשלום, אנו מוסיפים את המאגר הבא

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

עדכן את רשימת המאגרים והתקן את השרת

apt update
apt install rudder-server-root

צור משתמש אדמין

rudder server create-user -u admin -p "Ваш Пароль"

בעתיד, נוכל לנהל משתמשים דרך התצורה

הכל, השרת מוכן.

כוונון שרת

כעת עליך להוסיף את כתובות ה-IP של סוכנים או תת רשת שלמה לסוכן הגה, תוך התמקדות במדיניות האבטחה.

הגדרות -> כללי

בשדה "הוסף רשת" הזינו את הכתובת והמסיכה בפורמט xxxx/xx . על מנת לאפשר גישה מכל הכתובות של הרשת הפנימית (אם, כמובן, מדובר ברשת בדיקה ואתם מאחורי NAT), הזינו: 0.0.0.0/0

חשוב - לאחר הוספת כתובת ה-IP, אל תשכח ללחוץ על שמור שינויים, אחרת שום דבר לא יישמר.

יציאות

פתח את היציאות הבאות בשרת

• 443-tcp

• 5309-tcp

• 514-udp

הבנו את הגדרת השרת הראשונית.

התקנת הסוכן

ספוילר

הוספת מפתח

wget --quiet -O- "https://repository.rudder.io/apt/rudder_apt_key.pub" | sudo apt-key add -

טביעת אצבע של מפתח

pub  4096R/474A19E8 2011-12-15 Rudder Project (release key) <[email protected]>
      Key fingerprint = 7C16 9817 7904 212D D58C  B4D1 9322 C330 474A 19E8

הוספת מאגר

echo "deb http://repository.rudder.io/apt/6.1/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/rudder.list

התקנת הסוכן

apt update
apt install rudder-agent

הגדרת סוכן

ציין את כתובת ה-IP של שרת המדיניות לסוכן

rudder agent policy-server <rudder server ip or hostname> #Без скобок. Можно также использовать доменное имя 

על ידי הפעלת הפקודה הבאה, נשלח בקשה להוסיף סוכן חדש לשרת, תוך מספר דקות הוא יופיע ברשימת הסוכנים החדשים, אסביר כיצד להוסיף בסעיף הבא

rudder agent inventory

אנחנו יכולים גם לאלץ את הסוכן להתחיל והוא ישלח בקשה באופן מיידי

rudder agent run

הסוכן שלנו מסודר, בואו נמשיך הלאה.

הוספת סוכנים

התחברות

https://127.0.0.1/rudder/index.html

הסוכן שלך יופיע בקטע "קבל צמתים חדשים", סמן את התיבה ולחץ על קבל

זה אמור לקחת קצת זמן עד שהמערכת תבדוק את התאימות של השרת

צור קבוצות שרתים

בואו ניצור קבוצה (שזה עדיין בידור), בלי שמץ של מושג למה המפתחים עשו היווצרות טחורים כזו של קבוצות, אבל לפי הבנתי, אין דרך אחרת. עבור לקטע ניהול צומת -> קבוצות ולחץ על צור, בחר קבוצה סטטית ושם.

אנחנו מסננים את השרת שאנחנו צריכים לפי סימנים מיוחדים, למשל לפי כתובת ip, ושומרים

הקבוצה מוקמת.

הגדרת כללים

עבור אל מדיניות תצורה ← כללים וצור כלל חדש

הוסף קבוצה שהוכנה קודם לכן (ניתן לעשות זאת מאוחר יותר)

ואנחנו יוצרים הנחיה חדשה

בואו ניצור הנחיה להוספת מפתחות ציבוריים ל-.ssh/authorized_keys. אני משתמש בזה כשעובד חדש עוזב, או לביטוח משנה, למשל, אם מישהו חותך בטעות את המפתח שלי.

עבור אל מדיניות תצורה → הנחיות משמאל אנו רואים "ספריית הנחיות" מצא את "גישה מרחוק → מפתחות מורשים של SSH", בלחיצה ימנית צור הנחיות

אנו מכניסים נתונים על המשתמש ומוסיפים את המפתח שלו. לאחר מכן, בחר מדיניות יישום

• גלובלי - מדיניות ברירת מחדל

• אכיפת - ביצוע בשרתים נבחרים

• ביקורת - ערכו ביקורת וספרו לאילו לקוחות יש את המפתח

הקפד לציין את הכלל שלנו

לאחר מכן שמור וסיימת.

בדוק

מפתח נוסף בהצלחה

לחמניות

הסוכן נותן מידע מלא על השרת. רשימות של חבילות מותקנות, ממשקים, יציאות פתוחות ועוד הרבה יותר, אותם תוכלו לראות בצילום המסך למטה

אתה יכול גם להתקין ולשלוט בתוכנות לא רק בלינוקס אלא גם בחלונות, לא בדקתי את האחרון, לא היה צורך..

מאת המחבר

אתם בטח שואלים, למה להמציא את הגלגל מחדש אם אנסיב ובובה כבר מזמן המציאו?

התשובה היא: ל-Ansible יש חסרונות, למשל, אנחנו לא רואים באיזה מצב נמצאת התצורה הזו עכשיו, או שכולם יודעים את המצב כשאתה מתחיל תפקיד או ספר משחק ושגיאות קריסות עפות, ואתה מתחיל לטפס על השרת לראות איזו חבילה עודכנה איפה. ופשוט לא עבדתי עם בובה..

האם יש חסרונות להגה? הרבה.. החל מהעובדה שסוכנים נופלים וצריך להתקין אותם מחדש או להשתמש בפקודת איפוס ההגה. (אבל אגב, עדיין לא ראיתי את זה בגרסה 6), מסתיים בהגדרה מורכבת ביותר ובממשק לא הגיוני.

האם יש יתרונות? ויש גם הרבה יתרונות: בניגוד ל-ansible הידוע, יש לנו ממשק אינטרנט בו נוכל לראות את התאימות המיושמת על ידינו. לדוגמה, האם יציאות מבצבצות לעולם, באיזה מצב נמצאת חומת האש, האם מותקנים סוכני אבטחה או תועים אחרים.

התוכנה הזו מושלמת למחלקת אבטחת המידע שכן מצב התשתית תמיד יהיה לנגד עיניכם, ואם אחד מהכללים נדלק באדום אז זו סיבה לבקר בשרת. כפי שאמרתי, אני משתמש בהגה כבר שנתיים, ואם אתה מעשן אותו קצת, אז החיים משתפרים. הדבר הקשה ביותר בתשתית גדולה הוא שאתה לא זוכר באיזה מצב השרת נמצא, האם יוני פספס את התקנת סוכני האבטחה או הגדיר את ה-iptables בצורה נכונה, הגה יעזור לך להתעדכן בכל האירועים. מודע פירושו חמוש! )

נ.ב יצא הרבה יותר ממה שתכננתי, לא אתאר איך להתקין חבילות, אם יש בקשות, אני אכתוב את החלק השני.

PSS המאמר מיועד למטרות מידע, החלטתי לשתף אותו כי יש מעט מאוד מידע באינטרנט. אולי זה יעניין מישהו. המשך יום נעים חברים יקרים

על זכויות הפרסום

שרתים אפיים - האם VPS בלינוקס או Windows עם מעבדי משפחת AMD EPYC חזקים וכונני Intel NVMe מהירים מאוד. מהרו להזמין!

מקור: www.habr.com