Клиент LSUS

Агент обновлений на управляемом хосте: регистрация на сервере, heartbeat, получение политик и команд, проверка и установка обновлений. Для администратора это конечная точка системы — через неё становятся заметны ошибки политики, проблемы связи с сервером, сбои TLS.

Клиент поддерживает Astra Linux, Debian, Ubuntu, РЕД ОС, Oracle Linux 8/9/10, ALT и другие RHEL-совместимые системы. Эта страница — установка, конфигурация и диагностика клиента на Linux. Серверная часть — Развёртывание серверов. Быстрая установка — Быстрый старт.

Пакеты клиента¶

Клиент поставляется двумя пакетами:

На серверах без графики достаточно lsus-client. Пакет lsus-client-gui зависит от lsus-client и python3-pyqt5.

Установка¶

Astra / Debian / Ubuntu (.deb)¶

cd /opt/lsus-pkgs

# Базовый пакет (обязателен на всех машинах)
sudo apt install ./lsus-client_<версия>_all.deb

# GUI (только для рабочих станций с графикой)
sudo apt install ./lsus-client-gui_<версия>_all.deb

РЕД ОС / Oracle Linux (.rpm)¶

cd /opt/lsus-pkgs

sudo dnf install ./lsus-client-<версия>-1.noarch.rpm
sudo dnf install ./lsus-client-gui-<версия>-1.noarch.rpm   # опционально

ALT Linux (.rpm, apt-rpm)¶

Установка — только через apt-get от root (su -, без sudo): зависимости ALT называются python3-module-*, и разрешить их может только apt-get — команда rpm -Uvh оставит пакет без требуемых модулей.

$ cd /opt/lsus-pkgs
$ su -
# apt-get install ./lsus-client-<версия>-1.noarch.rpm
# apt-get install ./lsus-client-gui-<версия>-1.noarch.rpm   # опционально

Зависимости¶

Подключение к серверу¶

Клиент может находить сервер двумя способами: прямой URL или DNS SRV.

Способ 1. Прямой URL¶

Укажите адрес сервера в /etc/lsus-client/lsus-client-common.conf:

[server]
# порт 443 по умолчанию; указывайте явно при нестандартном порте
server_url = https://master.example.com

Способ 2. DNS SRV (автообнаружение)¶

Если создана DNS SRV-запись, укажите домен вместо URL:

[server]
server_discovery_domain = example.com

Запуск службы¶

sudo systemctl enable --now lsus-client.service

Проверка, что хост зарегистрировался:

lsus-client-ctl status

Конфигурация¶

Файлы конфигурации (приоритет от высокого к низкому):

Ключевые параметры lsus-client.conf¶

CLI lsus-client-ctl¶

Утилита диагностики и управления клиентом. Доступна после установки пакета lsus-client.

Типовые сценарии CLI¶

Проверить состояние клиента:

lsus-client-ctl status

Проверить связь с сервером (без аутентификации):

lsus-client-ctl test-connection

Полная диагностика (рекомендуется при проблемах):

lsus-client-ctl diagnose

Сменить адрес сервера:

sudo lsus-client-ctl set-server https://site.example.com

Принудительно перерегистрироваться:

sudo lsus-client-ctl register

Диагностика¶

Системная служба¶

# статус службы
systemctl status lsus-client

# журнал службы (systemd)
journalctl -u lsus-client.service -n 50 --no-pager

# журнал в реальном времени
journalctl -u lsus-client.service -f

Файловый лог¶

tail -f /var/log/lsus-client.log | grep server

Логи установки пакетов: /var/log/lsus-client/updates/. Файл ротируется (10 МБ, 5 резервных копий).

Типичные ошибки в логах¶

Чек-лист «клиент не появляется на сервер延

1. systemctl status lsus-client — служба активна?
2. lsus-client-ctl status — конфиг и адрес корректны?
3. lsus-client-ctl test-connection — сервер достижим по HTTPS?
4. lsus-client-ctl diagnose — полная проверка;
5. Сетевой доступ: исходящий HTTPS до сервера (порт 443 по умолчанию), firewall;
6. Доверие сертификату: verify_ssl и server_ca_cert;
7. Зависимости: python3-dnspython установлен (если используете SRV).

Признаки исправной работы¶

Клиент работает корректно, если:

• служба lsus-client.service активна;
• хост появился в админке Master/Site;
• heartbeat обновляется (видно по времени последнего связи);
• lsus-client-ctl status показывает корректный URL и UUID;
• политики с сервера применяются.

GUI-клиент (рабочие станции)¶

При установленном lsus-client-gui:

• значок в трее показывает состояние обновлений;
• левый клик — планирование установки;
• правый клик — сокращённое меню;
• Ctrl+Alt + левый клик — расширенное меню.

GUI общается со службой через D-Bus, поэтому lsus-client (служба) должен быть установлен и запущен.

D-Bus: аудит и блокирующий режим¶

Служба проверяет UID вызывающего и флаги политики disable_* на входе D-Bus-методов (установка обновлений, журнал, USB-заявки, вложения тестирования).

По умолчанию включён аудит (LSUS_CLIENT_DBUS_ENFORCE=0): вызовы не отклоняются, в журнал пишутся строки dbus_audit. Так GUI остаётся работоспособным, даже если loginctl не видит сессию (XRDP без seat, нестандартный display manager).

Блокирующий режим включают осознанно, после разбора журнала на стенде:

sudo systemctl edit lsus-client

В drop-in:

[Service]
Environment=LSUS_CLIENT_DBUS_ENFORCE=1

Затем sudo systemctl daemon-reload && sudo systemctl restart lsus-client.

Откат — удалить drop-in или поставить LSUS_CLIENT_DBUS_ENFORCE=0 и перезапустить службу.

Дополнительно:

Если множество активных сессий пусто, служба не отказывает (fail-open) и пишет причину unknown_session.

Windows-клиент¶

Для управления хостами Windows используется отдельный агент — .NET-приложение (требует .NET Framework 4.6.2+). Поставка — MSI-пакет и ZIP-архив с PowerShell-скриптами установки (Install-LsusAgent.ps1 / Uninstall-LsusAgent.ps1). Агент использует Windows Update API (Microsoft.Update.Session, wusa.exe).

Подробная инструкция по установке на Windows — в комплекте поставки агента (docs/install.md). Управление обновлениями KB на стороне сервера описано в Windows.

Безопасность клиента¶

Клиент LSUS реализует многоуровневую защиту от подмены сервера, перехвата трафика и несанкционированного доступа. Все механизмы работают автоматически — администратору не нужно настраивать их вручную.

TLS Certificate Pinning (TOFU + pin)¶

Основная защита от подмены сервера — модель Trust On First Use с последующим закреплением сертификата:

1. Первое подключение — клиент скачивает сертификат сервера с /api/v1/server-settings/repo-cert (без проверки TLS) и сохраняет в /etc/lsus-client/ca.crt.
2. Закрепление — все последующие соединения проверяются по этому закреплённому сертификату.
3. Проверка fingerprint — при каждом соединении вычисляется SHA-256 fingerprint реального TLS-сертификата и сравнивается с сохранённым. При несовпадении — диагностика и логирование, соединение отклоняется.

Проверка TLS¶

При verify_ssl = true все HTTPS-запросы проверяются по цепочке CA. Системный конфиг защищён от изменения пользователем.

Валидация цепочки сертификатов¶

• Выбор leaf-сертификата по SAN/hostname — клиент определяет, какой сертификат из bundle соответствует серверу.
• Для корпоративного CA — leaf + intermediate из TLS handshake.
• Различение самоподписанных и CA-сертификатов — корректная обработка обоих случаев.

Очистка trust store¶

Клиент автоматически удаляет неизвестные и чужие сертификаты из локального bundle (ca.crt). В нём остаются только сертификаты известных серверов LSUS (Master + назначенный Site). Это защищает от накопления «левых» сертификатов и подмены.

Интеграция с системным CA-хранилищем¶

Установленный сертификат LSUS регистрируется в системном trust store ОС:

Благодаря этому пакетные менеджеры (apt/dnf) тоже доверяют репозиториям LSUS — не нужно отключать проверку GPG или TLS при работе с локальными репозиториями.

Аутентификация (Bearer token)¶

После регистрации сервер выдаёт клиенту уникальный api_token:

• Хранится в /etc/lsus-client/.api_token с правами 0600 (только root).
• Каждый запрос к серверу содержит заголовок Authorization: Bearer <token>.
• При компрометации токен можно отозвать на сервере — клиент перерегистрируется и получит новый.

Идентификация клиента¶

Kerberos / SPNEGO (доменные машины)¶

В доменной среде (AD/FreeIPA/ALD Pro) клиент может использовать взаимную аутентификацию через Kerberos (SPNEGO). Это защищает от подмены сервера: для успешного обмена нужен валидный TGT от доменного KDC, который подменяющий сервер получить не может.

DNS SRV с health-probe¶

При автообнаружении сервера через DNS SRV (_lsus._tcp.<домен>) клиент не доверяет записи слепо:

1. Находит серверы по SRV-записи.
2. Зондирует каждый через GET /api/v1/health (замеряя время отклика).
3. Предпочитает серверы в той же подсети (/24).
4. Выбирает сервер с минимальным RTT.

Связанные страницы¶

• Развёртывание серверов — установка серверных ролей.
• Требования и подготовка — firewall, DNS SRV.
• Обновление системы — обновление клиента.
• USB Control — контроль сменных носителей.