Требования и подготовка к установке

Эта страница — чек-лист того, что нужно подготовить до запуска установки серверных ролей LSUS: поддерживаемые ОС, ресурсы хоста, дисковое планирование, параметры ядра, firewall и DNS для автообнаружения клиентов.

Серверные роли LSUS (Master, Site, Edge, PXE) разворачиваются только в Docker-контейнерах. Развёртывание на хост (без Docker) не поддерживается. Пакеты ОС LSUS устанавливают Docker, загружают образы и запускают контейнеры — администратору не нужно настраивать PostgreSQL, nginx или приложение вручную. Эта страница описывает подготовку хоста, на котором будет запущен Docker: ресурсы, диск, ядро, firewall. Клиенты (lsus-client) устанавливаются на хост управляемых машин напрямую — к ним это не относится.

Подробная установка по шагам — в разделе Развёртывание серверов. Полный справочник портов и переменных окружения — в Справочнике портов, контейнеров и переменных.

Поддерживаемые операционные системы¶

Серверные роли (Master, Site, Edge, PXE) поставляются пакетами под конкретный дистрибутив ОС — пакет устанавливает Docker и запускает контейнеры роли. На одном хосте можно развернуть только одну серверную роль — пакеты ролей конфликтуют друг с другом (Conflicts со всеми ролями, включая lsus-pxe). Исключение инсталлятора — существующее сочетание master+edge; роль pxe к нему не добавляется и всегда стоит на своём хосте.

Docker и Docker Compose¶

Единственный поддерживаемый способ развёртывания серверных ролей LSUS — Docker-контейнеры через Docker Compose. Установить серверные компоненты (приложение, PostgreSQL, nginx, PgBouncer) напрямую в хост-систему нельзя — они всегда запускаются в контейнерах из образов, поставляемых пакетами LSUS. Развёртывание на хост (bare-metal) не поддерживается.

Docker и Docker Compose ставятся автоматически как зависимости ролевого пакета LSUS (lsus-master, lsus-site, lsus-edge) — отдельно их устанавливать не нужно, если хост имеет доступ к репозиториям ОС.

Требования к версиям:

• Docker Engine — docker.io (Astra/Debian/Ubuntu), docker-ce (РЕД ОС) или docker-engine (Альт Сервер — только из штатного репозитория p11, без docker.com). Конкретная минимальная версия не зафиксирована — используйте версию из штатного репозитория вашей ОС.
• Docker Compose — любой из вариантов:
• docker-compose-v2 (Astra, Ubuntu) — вызов через плагин: docker compose …;
• docker compose (встроенная команда Docker Engine);
• docker-compose (Debian, РЕД ОС, Альт) — standalone-бинарь: docker-compose ….
• Скрипт postinst ролевого пакета сам перебирает эти три варианта и использует первый доступный.

Ресурсы хоста по ролям¶

LSUS рассчитан на управление тысячами клиентских хостов, поэтому требования к памяти и диску зависят от ожидаемого количества клиентов и объёма репозиториев.

Оперативная память и CPU¶

Дисковое пространство¶

Основной рост диска у серверных ролей дают каталоги repos (зеркала репозиториев пакетов) и kb-cache (кеш баз KB Windows). У AI-стека — модели Ollama в data/ai/ollama/.

Дисковое планирование (LVM)¶

Данные контейнеров LSUS хранятся на хосте через bind-mount (см. Структуру каталогов). Поэтому дисковое планирование выполняется на хосте, где запущен Docker.

Данные LSUS по умолчанию хранятся в /opt/lsus-docker/data/ (см. Справочник переменных, переменная DATA_DIR). Чтобы вынести репозитории на отдельный диск, смонтируйте его в подкаталог DATA_DIR или задайте DATA_DIR=/srv/lsus-data в файле .env перед первой установкой.

Параметры ядра хоста под нагрузку контейнеров¶

Контейнеры LSUS запускаются с network_mode: host (см. Справочник), поэтому сетевой стек ядра хоста напрямую обслуживает трафик контейнеров. При управлении тысячами клиентов сервер обрабатывает большое количество одновременных HTTPS-соединений, и параметры ядра по умолчанию (особенно somaxconn и диапазон портов) могут оказаться узким местом.

Минимальные параметры ядра хоста для серверных ролей:

# /etc/sysctl.d/99-lsus.conf
net.core.somaxconn = 8192
net.ipv4.tcp_max_syn_backlog = 8192
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_tw_reuse = 1
net.ipv4.ip_local_port_range = 1024 65535
fs.file-max = 131072

Применить без перезагрузки:

sudo sysctl --system

Проверить текущие значения:

cat /proc/sys/net/core/somaxconn
cat /proc/sys/net/ipv4/ip_local_port_range
ulimit -n

Firewall и сетевые порты¶

LSUS использует TCP (HTTPS) для админки и клиентов. Роль PXE дополнительно слушает UDP 67/69/4011 (proxyDHCP и TFTP). gRPC, Redis и другие протоколы в стеке отсутствуют.

Контейнеры запускаются в network_mode: host, поэтому порты открываются на firewall хоста, на котором запущен Docker.

Внешние порты (открыть на firewall хоста)¶

Межсерверные соединения¶

Пример правил firewall (firewalld)¶

# Master/Site: открыть 443 для клиентов и администраторов
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

# Edge: открыть 443
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

# PXE: HTTPS + HTTP boot + proxyDHCP/TFTP
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=67/udp
sudo firewall-cmd --permanent --add-port=69/udp
sudo firewall-cmd --permanent --add-port=4011/udp
sudo firewall-cmd --reload

На Альт Сервере команды выполняются от root (su -, без sudo) и порты берутся из дефолтов Альт-пакетов — Master/Site 8443 + HTTP /repos 18880, Edge 8540:

# Master/Site (Альт Сервер)
# firewall-cmd --permanent --add-port=8443/tcp
# firewall-cmd --permanent --add-port=18880/tcp
# firewall-cmd --reload

Пример правил (iptables / ufw)¶

# ufw (Ubuntu/Debian)
sudo ufw allow 443/tcp

# iptables
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Подготовка DNS SRV для автообнаружения клиентов¶

Как это работает¶

Клиент LSUS при первом запуске автоматически определяет домен хоста по его FQDN и запрашивает у DNS записи _lsus._tcp.<домен>. Если машина называется ws-007.example.com, домен для поиска будет example.com — никаких ручных настроек не требуется.

Если FQDN машины не совпадает с доменом, в котором опубликована SRV (например, машина в дочернем домене subdiv.example.com, а SRV — в корневом example.com), задайте домен явно в /etc/lsus-client/lsus-client-common.conf:

[server]
server_discovery_domain = example.com

Формат записи¶

_lsus._tcp.example.com. 3600 IN SRV 10 5 443 master.example.com.

Несколько серверов — балансировка и выбор ближайшего¶

Если в инфраструктуре несколько серверов LSUS (Master + несколько Site), добавьте SRV-записи для каждого. Клиент опрашивает каждый endpoint запросом GET /api/v1/health по HTTPS (таймаут 2,5 с), измеряет RTT и выбирает сервер с минимальным откликом. Если все зонды недоступны — выбирает по приоритету и весу (стандартная логика DNS SRV).

_lsus._tcp.example.com.  3600  IN  SRV  10  5  443  master.example.com.
_lsus._tcp.example.com.  3600  IN  SRV  20  5  443  site-msk.example.com.
_lsus._tcp.example.com.  3600  IN  SRV  20  5  443  site-nsk.example.com.

Здесь Master имеет priority=10 (наивысший) — клиент предпочтёт его, если только Site не отвечает существенно быстрее. Две записи priority=20 дают равный приоритет обоим Site; окончательный выбор между ними идёт по весу и RTT.

Зависимость клиента от dnspython¶

Для SRV-обнаружения на клиенте требуется пакет python3-dnspython:

Без этого пакета клиент напишет в лог «Модуль dnspython не установлен, DNS SRV недоступен» и будет использовать server_url из конфига. Подробнее — в Клиент LSUS.

Приоритет источников URL на клиенте¶

На стороне клиента источник адреса сервера определяется в таком порядке:

Если SRV не настроен и server_url не задан — клиент напишет в журнал ошибку и подскажет, что нужно сделать.

Что делать, если DNS-сервера нет¶

В полностью изолированных средах без DNS SRV не настроить. Тогда:

• поднимите минимальный DNS (например, dnsmasq на самом LSUS-сервере) — это окупится удобством масштабирования;
• задавайте server_url вручную в /etc/lsus-client/lsus-client-common.conf на каждой машине или через систему управления конфигурацией (Ansible, Salt, ADMX).

Краткий чек-лист подготовки¶

Перед установкой серверной роли убедитесь, что выполнено:

• [ ] Выбрана ОС из таблицы поддерживаемых. Docker и Docker Compose ставить отдельно не нужно — пакет LSUS сам вытянет их как зависимости.
• [ ] Хост соответствует требованиям по CPU/RAM для выбранной роли.
• [ ] Подготовлен диск под систему/БД и отдельный том под repos/kb-cache (данные контейнеров хранятся на хосте через bind-mount).
• [ ] Настроены параметры ядра хоста (sysctl) при ожидаемой нагрузке от сотен клиентов — контейнеры работают в network_mode: host и используют сетевой стек хоста.
• [ ] На firewall хоста открыт порт 443 (или нестандартные порты, заданные в .env) — контейнеры слушают порты хоста.
• [ ] Для роли PXE открыты TCP 80/443 и UDP 67/69/4011; диск store ≥100 ГБ; Secure Boot на целевых машинах выключен (MVP = iPXE).
• [ ] Если планируется AI-стек — порты 11434 (Ollama) и 18789 (OpenClaw) открыты между AI-хостом и Master.
• [ ] (При наличии DNS-сервера) создана DNS SRV-запись _lsus._tcp.<домен> для автообнаружения клиентов. Обязательный шаг для корпоративного развёртывания.