Требования и подготовка к установке

Эта страница — чек-лист того, что нужно подготовить до запуска установки серверных ролей LSUS: поддерживаемые ОС, ресурсы хоста, дисковое планирование, параметры ядра, firewall и DNS для автообнаружения клиентов.

Серверные роли LSUS (Master, Site, Edge, PXE) разворачиваются только в Docker-контейнерах. Развёртывание на хост (без Docker) не поддерживается. Пакеты ОС LSUS устанавливают Docker, загружают образы и запускают контейнеры — администратору не нужно настраивать PostgreSQL, nginx или приложение вручную. Эта страница описывает подготовку хоста, на котором будет запущен Docker: ресурсы, диск, ядро, firewall. Клиенты (lsus-client) устанавливаются на хост управляемых машин напрямую — к ним это не относится.

Подробная установка по шагам — в разделе Развёртывание серверов. Полный справочник портов и переменных окружения — в Справочнике портов, контейнеров и переменных.

Поддерживаемые операционные системы#

Серверные роли (Master, Site, Edge, PXE) поставляются пакетами под конкретный дистрибутив ОС — пакет устанавливает Docker и запускает контейнеры роли. На одном хосте можно развернуть только одну серверную роль — пакеты ролей конфликтуют друг с другом (Conflicts со всеми ролями, включая lsus-pxe). Исключение инсталлятора — существующее сочетание master+edge; роль pxe к нему не добавляется и всегда стоит на своём хосте.

Docker и Docker Compose#

Единственный поддерживаемый способ развёртывания серверных ролей LSUS — Docker-контейнеры через Docker Compose. Установить серверные компоненты (приложение, PostgreSQL, nginx, PgBouncer) напрямую в хост-систему нельзя — они всегда запускаются в контейнерах из образов, поставляемых пакетами LSUS. Развёртывание на хост (bare-metal) не поддерживается.

Docker и Docker Compose ставятся автоматически как зависимости ролевого пакета LSUS (lsus-master, lsus-site, lsus-edge) — отдельно их устанавливать не нужно, если хост имеет доступ к репозиториям ОС.

Требования к версиям:

• Docker Engine — docker.io (Astra/Debian/Ubuntu), docker-ce (РЕД ОС) или docker-engine (Альт Сервер — только из штатного репозитория p11, без docker.com). Конкретная минимальная версия не зафиксирована — используйте версию из штатного репозитория вашей ОС.
• Docker Compose — любой из вариантов:
• docker-compose-v2 (Astra, Ubuntu) — вызов через плагин: docker compose …;
• docker compose (встроенная команда Docker Engine);
• docker-compose (Debian, РЕД ОС, Альт) — standalone-бинарь: docker-compose ….
• Скрипт postinst ролевого пакета сам перебирает эти три варианта и использует первый доступный.

docker compose version      # плагин v2 (Astra, Ubuntu)
docker-compose version      # standalone (Debian, РЕД ОС, Альт)

Ресурсы хоста по ролям#

LSUS рассчитан на управление тысячами клиентских хостов, поэтому требования к памяти и диску зависят от ожидаемого количества клиентов и объёма репозиториев.

Оперативная память и CPU#

Дисковое пространство#

Основной рост диска у серверных ролей дают каталоги repos (зеркала репозиториев пакетов) и kb-cache (кеш баз KB Windows). У AI-стека — модели Ollama в data/ai/ollama/.

Дисковое планирование (LVM)#

Данные контейнеров LSUS хранятся на хосте через bind-mount (см. Структуру каталогов). Поэтому дисковое планирование выполняется на хосте, где запущен Docker.

Данные LSUS по умолчанию хранятся в /opt/lsus-docker/data/ (см. Справочник переменных, переменная DATA_DIR). DATA_DIR — корень всех данных, включая базу PostgreSQL, поэтому репозитории на отдельный диск выносят монтированием в подкаталог (repos, kb-cache, storage), не меняя DATA_DIR; смена всего DATA_DIR — отдельный сценарий «переезд всех данных вместе с базой». Порядок шагов — в разделе Вынос данных на отдельный диск.

Параметры ядра хоста под нагрузку контейнеров#

Контейнеры LSUS запускаются с network_mode: host (см. Справочник), поэтому сетевой стек ядра хоста напрямую обслуживает трафик контейнеров. При управлении тысячами клиентов сервер обрабатывает большое количество одновременных HTTPS-соединений, и параметры ядра по умолчанию (особенно somaxconn и диапазон портов) могут оказаться узким местом.

Минимальные параметры ядра хоста для серверных ролей:

# /etc/sysctl.d/99-lsus.conf
net.core.somaxconn = 8192
net.ipv4.tcp_max_syn_backlog = 8192
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_tw_reuse = 1
net.ipv4.ip_local_port_range = 1024 65535
fs.file-max = 131072

Применить без перезагрузки:

sudo sysctl --system

Проверить текущие значения:

cat /proc/sys/net/core/somaxconn
cat /proc/sys/net/ipv4/ip_local_port_range
ulimit -n

Firewall и сетевые порты#

LSUS использует TCP (HTTPS) для админки и клиентов. Роль PXE дополнительно слушает UDP 67/69/4011 (proxyDHCP и TFTP). gRPC, Redis и другие протоколы в стеке отсутствуют.

Контейнеры запускаются в network_mode: host, поэтому порты открываются на firewall хоста, на котором запущен Docker.

Внешние порты (открыть на firewall хоста)#

Межсерверные соединения#

Пример правил firewall (firewalld)#

# Master/Site: открыть 443 для клиентов и администраторов
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

# Edge: открыть 443
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

# PXE: HTTPS + HTTP boot + proxyDHCP/TFTP
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=67/udp
sudo firewall-cmd --permanent --add-port=69/udp
sudo firewall-cmd --permanent --add-port=4011/udp
sudo firewall-cmd --reload

На Альт Сервере команды выполняются от root (su -, без sudo) и порты берутся из дефолтов Альт-пакетов — Master/Site 8443 + HTTP /repos 18880, Edge 8540:

# Master/Site (Альт Сервер)
# firewall-cmd --permanent --add-port=8443/tcp
# firewall-cmd --permanent --add-port=18880/tcp
# firewall-cmd --reload

Пример правил (iptables / ufw)#

# ufw (Ubuntu/Debian)
sudo ufw allow 443/tcp

# iptables
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Подготовка DNS для автообнаружения клиентов#

Как это работает#

Клиент LSUS при первом запуске определяет домен хоста по FQDN и запрашивает TXT _lsus.<домен>. Если ни одна строка не подошла (нет записи или чужой cidr) — запрашивает SRV _lsus._tcp.<домен>. Если машина называется ws-007.example.com, домен будет example.com.

Если FQDN не совпадает с зоной, в которой опубликованы записи, задайте домен явно:

[server]
server_discovery_domain = example.com

Отключить DNS-поиск (закрытый контур): dns_discovery = false.

TXT _lsus.<домен> (рекомендуется, в том числе для MS DNS)#

Несколько TXT на одном имени — по строке на площадку:

_lsus.example.com.  IN TXT  "v=lsus1;host=master.example.com;port=8443"
_lsus.example.com.  IN TXT  "v=lsus1;cidr=10.52.0.0/16;host=site-msk.example.com;port=8443;prio=10"

Клиент оставляет строки, где хотя бы один его IPv4 входит в cidr (или cidr нет). Несколько подходящих: longest prefix, затем меньший prio, затем зонд GET /api/v1/health. Чужой cidr игнорируется. Куски одной TXT RR (лимит 255 байт) склеиваются.

Готовые строки для копирования в оснастку DNS — кнопка «Записи DNS» на вкладке подсетей в админке Master.

SRV _lsus._tcp (запас)#

Там, где узел _tcp создавать можно (BIND, FreeIPA, dnsmasq):

_lsus._tcp.example.com. 3600 IN SRV 10 5 8443 master.example.com.

Клиент опрашивает каждую цель GET /api/v1/health и выбирает минимальный RTT; если зонд недоступен — priority, подсеть, weight.

Зависимость клиента от dnspython#

python3-dnspython не обязателен: Linux-клиент запрашивает TXT/SRV встроенным UDP/TCP-резолвером. Пакет по-прежнему в Recommends (на ALT — в зависимостях) и используется, если установлен.

Приоритет источников URL на клиенте#

Если DNS не настроен и server_url не задан — клиент напишет в журнал ошибку.

Что делать, если DNS-сервера нет#

• Поднимите минимальный DNS (например, dnsmasq на LSUS-сервере);
• Или задавайте server_url в /etc/lsus-client/lsus-client-common.conf (вручную или через Ansible/Salt/ADMX).

Краткий чек-лист подготовки#

Перед установкой серверной роли убедитесь, что выполнено:

• [ ] Выбрана ОС из таблицы поддерживаемых. Docker и Docker Compose ставить отдельно не нужно — пакет LSUS сам вытянет их как зависимости.
• [ ] Хост соответствует требованиям по CPU/RAM для выбранной роли.
• [ ] Подготовлен диск под систему/БД и отдельный том под repos/kb-cache (данные контейнеров хранятся на хосте через bind-mount).
• [ ] Настроены параметры ядра хоста (sysctl) при ожидаемой нагрузке от сотен клиентов — контейнеры работают в network_mode: host и используют сетевой стек хоста.
• [ ] На firewall хоста открыт порт 443 (или нестандартные порты, заданные в .env) — контейнеры слушают порты хоста.
• [ ] Для роли PXE открыты TCP 80/443 и UDP 67/69/4011; диск store ≥100 ГБ; Secure Boot на целевых машинах выключен (MVP = iPXE).
• [ ] Если планируется AI-стек — порты 11434 (Ollama) и 18789 (OpenClaw) открыты между AI-хостом и Master.
• [ ] (При наличии DNS-сервера) создана DNS TXT-запись _lsus.<домен> (рекомендуется) или запасной SRV _lsus._tcp.<домен>. Обязательный шаг для корпоративного развёртывания.