Установка фильтрующей ноды с помощью инсталлятора¶

В инструкции описана установка фильтрующей ноды «ПроAPI Защита» с помощью инсталлятора.
Инсталлятор устанавливает на сервер ноды однохостовый кластер Kubernetes (дистрибутив k0s) и в нём фильтрующую ноду: nginx с модулем «ПроAPI Защита», агент и хранилище событий. Docker не требуется.

Консоль управления устанавливается до фильтрующих нод, по инструкции Установка Консоли управления с помощью инсталлятора.

Требования¶

Сервер фильтрующей ноды¶

Сетевое взаимодействие¶

Доступ в интернет серверу ноды не нужен: все компоненты устанавливаются из бандла ноды.

Порты 3302, 3313, 8099, 9001 и 9099 на адресе 127.0.0.1, а также порты 6443, 9443, 10248–10250, 10256 и 20244 используются самой нодой и кластером. Они не открываются наружу и не используются в настройках приложений.

Учётные данные и файлы¶

• Токен регистрации ноды из Консоли управления (Создание ноды в Консоли управления).
• Адрес Консоли управления, например https://proapi.example.ru.
• Для самоподписанного сертификата Консоли управления – файл installer.ca.pem из каталога установки Консоли управления. Для сертификата внутреннего центра сертификации – файл его корневого сертификата. Для сертификата публичного центра сертификации файл не нужен.
• Файлы apifw-installer-linux-amd64, proapi-node-3.0.0.bundle.tar.gz и SHA256SUMS из дистрибутива «ПроAPI Защита» 3.0.0 (Дистрибутив). После установки Консоли управления они находятся на рабочем месте администратора в каталоге ~/proapi.

Создание ноды в Консоли управления¶

1. Войдите в Консоль управления под учётной записью с ролью Администратор.

2. Откройте раздел Ноды и нажмите Создать ноду.

3. Укажите имя ноды и сохраните. Консоль управления выдаст токен регистрации.

   Обратите внимание

   Токен отображается один раз. Сохраните его сразу.

Инсталлятор берёт токен из переменной окружения APIFW_NODE_TOKEN, а если она не задана, запрашивает его в терминале без отображения ввода. Токен не записывается в файлы и не передаётся в командной строке.

Установка¶

1. Скопируйте файлы на сервер ноды. На рабочем месте администратора выполните:

   cd ~/proapi
   ssh admin@10.0.0.21 mkdir -p proapi-node                       # ЗАМЕНИТЕ пользователя и адрес сервера ноды
   scp apifw-installer-linux-amd64 proapi-node-3.0.0.bundle.tar.gz SHA256SUMS installer.ca.pem admin@10.0.0.21:proapi-node/   # ЗАМЕНИТЕ
   

   Файл installer.ca.pem нужен только для самоподписанного сертификата Консоли управления. Для сертификата внутреннего центра сертификации скопируйте вместо него файл корневого сертификата этого центра, для сертификата публичного центра сертификации файл не нужен. Если подключения по SSH с рабочего места к серверу ноды нет, перенесите файлы в каталог ~/proapi-node на сервере ноды другим способом, например на съёмном носителе.

2. На сервере ноды проверьте файлы и подготовьте инсталлятор:

   cd ~/proapi-node
   sha256sum -c --ignore-missing SHA256SUMS                       # для каждого файла должно выводиться OK
   cp apifw-installer-linux-amd64 installer
   chmod +x installer
   

   Если для файла выводится FAILED, скопируйте этот файл заново. Все дальнейшие команды выполняются на сервере ноды из каталога ~/proapi-node через sudo: инсталлятору нужны права root.

3. Установите фильтрующую ноду:

   sudo ./installer node install --bundle ./proapi-node-3.0.0.bundle.tar.gz \
     --manager https://proapi.example.ru \
     --manager-ca installer.ca.pem \
     --upstream http://10.0.0.5:8080                              # ЗАМЕНИТЕ адреса
   

Инсталлятор запрашивает без отображения ввода токен регистрации, проверяет бандл и свободные порты, устанавливает кластер, создаёт файлы настроек nginx, запускает фильтрующую ноду и ожидает её регистрации в Консоли управления. При успешной установке выводится строка Node installed.

Один бандл ноды используется для установки любого числа фильтрующих нод: для каждой ноды повторите шаги 1–3 со своим токеном регистрации.

Фильтрующая нода на сервере Консоли управления¶

Для пилотного проекта и демонстрации фильтрующую ноду допускается установить на сервер Консоли управления профиля standalone. Для промышленной эксплуатации фильтрующие ноды устанавливаются на отдельные серверы.

1. Освободите для фильтрующей ноды порты 80 и 443. Консоль управления переносится на порт 8443 (порт 8080 перенаправляет на 8443). В мастере настройки ответьте «Да» на вопрос «Фильтрующая нода на этом же сервере?» или укажите в installer.yaml:

   ingress:
     host: proapi.example.ru   # ЗАМЕНИТЕ
     httpPort: 8080
     httpsPort: 8443
   

   Если Консоль управления уже установлена, после изменения выполните обновление на текущую версию. Консоль управления открывается по адресу https://proapi.example.ru:8443.

2. Создайте ноду в Консоли управления (Создание ноды в Консоли управления).

3. На сервере Консоли управления в каталоге с инсталлятором и бандлом ноды выполните:

   sudo ./installer node install --bundle ./proapi-node-3.0.0.bundle.tar.gz --upstream http://10.0.0.5:8080   # ЗАМЕНИТЕ адрес приложения
   

   Если рабочим местом администратора служит другой компьютер, сначала скопируйте файлы на сервер Консоли управления и подготовьте инсталлятор, как в шагах 1 и 2 раздела Установка. Параметры --manager и --manager-ca не требуются: фильтрующая нода подключается к Консоли управления внутри кластера.

Ограничения:

• поддерживается только профиль standalone;
• к требованиям к серверу Консоли управления добавляются 2 vCPU и 2 ГБ оперативной памяти;
• удаление Консоли управления удаляет и фильтрующую ноду;
• сертификат Let's Encrypt с проверкой по HTTP недоступен, так как порт 80 занят фильтрующей нодой;
• для перехода к промышленной эксплуатации фильтрующая нода удаляется с сервера Консоли управления и устанавливается на отдельный сервер с тем же токеном.

Настройка приложений¶

Настройки nginx находятся на сервере фильтрующей ноды:

Инсталлятор создаёт эти файлы при первой установке и в дальнейшем не перезаписывает. Файлы принадлежат пользователю root и редактируются через sudo, например sudo nano /opt/wmx/api-firewall/etc/nginx/conf.d/default.conf. Изменения применяются командой:

sudo ./installer node reload

Команда проверяет настройки nginx. При ошибке выводится её описание, настройки не применяются, и фильтрующая нода продолжает работать с прежними настройками. При успешной проверке настройки применяются без разрыва соединений, а агент перезапускается и перечитывает сертификат центра сертификации Консоли управления.

Для приложения с HTTPS скопируйте conf.d/https.conf.example в conf.d/<имя приложения>.conf, разместите сертификат и ключ приложения в каталоге tls/ и выполните node reload.

Проверка¶

sudo ./installer node status

Пример вывода:

Node: own k0s; module 3.0.0, agent 3.0.0, apistore 3.0.0
Manager: https://proapi.example.ru:443, CA /opt/wmx/api-firewall/etc/nginx/tls/manager-ca.pem
Registration: OK
Status: READY

В Консоли управления в разделе Ноды у ноды отображается статус Активна.

Проверка доступности Консоли управления с сервера ноды:

curl -sI --cacert installer.ca.pem https://proapi.example.ru/   # ЗАМЕНИТЕ имя; --cacert только для самоподписанного сертификата

Ожидается ответ с кодом 200.

Обновление¶

Команда node upgrade применяет к фильтрующей ноде версию из бандла ноды и новые параметры подключения к Консоли управления. На сервере ноды выполните:

cd ~/proapi-node
sudo ./installer node upgrade --bundle ./proapi-node-3.0.0.bundle.tar.gz

Переход на новую версию «ПроAPI Защита» выполняется по руководству новой версии, с инсталлятором и бандлом ноды из её дистрибутива.

• Новые образы загружаются, а новая версия nginx проверяет текущие настройки до остановки фильтрующей ноды. При ошибке фильтрующая нода продолжает работать на прежней версии.
• Обработка трафика прерывается на несколько секунд на время перезапуска nginx. Для обновления без перерыва используйте несколько фильтрующих нод за балансировщиком и обновляйте их по одной.
• Если новая версия не запускается, инсталлятор возвращает прежнюю.
• Если в новой версии модуля изменилось имя файла модуля, инсталлятор заменяет его в строке load_module файла nginx.conf и выводит сообщение NOTE: … now loads …. Остальные настройки не изменяются. Если обновление не выполнено, прежний файл восстанавливается.
• Если у Консоли управления изменились адрес, порт или вариант TLS, добавьте параметр --manager с новым адресом и при необходимости --manager-ca.

Смена сертификата Консоли управления¶

Если новый сертификат Консоли управления выпущен другим центром сертификации:

1. На каждой фильтрующей ноде добавьте сертификат нового центра в конец файла /opt/wmx/api-firewall/etc/nginx/tls/manager-ca.pem, не удаляя прежний.

2. Выполните на каждой ноде sudo ./installer node reload.

3. Смените сертификат Консоли управления.

4. После перехода удалите прежний сертификат из файла и снова выполните node reload.

Устранение неполадок¶

Удаление¶

sudo ./installer node uninstall

Инсталлятор запрашивает подтверждение: введите REMOVE. На сервере ноды удаляются фильтрующая нода и кластер k0s, после чего сервер требуется перезагрузить. После перезагрузки на сервер можно установить Консоль управления или новую фильтрующую ноду. На сервере Консоли управления удаляется только фильтрующая нода. Настройки nginx в каталоге /opt/wmx/api-firewall/etc сохраняются и используются при повторной установке.

Термины¶