Клиент LSUS

Агент обновлений на управляемом хосте: регистрация на сервере, heartbeat, получение политик и команд, проверка и установка обновлений. Для администратора это конечная точка системы — через неё становятся заметны ошибки политики, проблемы связи с сервером, сбои TLS.

Клиент поддерживает Astra Linux, Debian, Ubuntu, РЕД ОС, Oracle Linux 8/9/10, ALT и другие RHEL-совместимые системы. Эта страница — установка, конфигурация и диагностика клиента на Linux. Серверная часть — Развёртывание серверов. Быстрая установка — Быстрый старт.

Пакеты клиента#

Клиент поставляется двумя пакетами:

На серверах без графики достаточно lsus-client. Пакет lsus-client-gui зависит от lsus-client и python3-pyqt5.

Установка#

Astra / Debian / Ubuntu (.deb)#

cd /opt/lsus-pkgs

# Базовый пакет (обязателен на всех машинах)
sudo apt install ./lsus-client_<версия>_all.deb

# GUI (только для рабочих станций с графикой)
sudo apt install ./lsus-client-gui_<версия>_all.deb

РЕД ОС / Oracle Linux (.rpm)#

cd /opt/lsus-pkgs

sudo dnf install ./lsus-client-<версия>-1.noarch.rpm
sudo dnf install ./lsus-client-gui-<версия>-1.noarch.rpm   # опционально

ALT Linux (.rpm, apt-rpm)#

Установка — только через apt-get от root (su -, без sudo): зависимости ALT называются python3-module-*, и разрешить их может только apt-get — команда rpm -Uvh оставит пакет без требуемых модулей.

$ cd /opt/lsus-pkgs
$ su -
# apt-get install ./lsus-client-<версия>-1.noarch.rpm
# apt-get install ./lsus-client-gui-<версия>-1.noarch.rpm   # опционально

Зависимости#

Клиент работает на системном Python 3.6+ — отдельная версия Python не нужна даже на старых ОС (например, Oracle Linux 8 с python3.6).

Подключение к серверу#

Клиент может находить сервер по прямому URL или через DNS (TXT, запас — SRV).

Способ 1. Прямой URL#

Укажите адрес сервера в /etc/lsus-client/lsus-client-common.conf:

[server]
# порт 443 по умолчанию; указывайте явно при нестандартном порте
server_url = https://master.example.com

Способ 2. DNS TXT / SRV (автообнаружение)#

Если создана DNS-запись, укажите домен вместо URL:

[server]
server_discovery_domain = example.com
# dns_discovery = false   # отключить поиск в закрытом контуре

Запуск службы#

sudo systemctl enable --now lsus-client.service

Проверка, что хост зарегистрировался:

lsus-client-ctl status

На вкладке «Хосты» и для привязки к сайту по подсети клиент сообщает IPv4 интерфейса с маршрутом по умолчанию (тот же адрес, что в карточке хоста на вкладке сети). Доступ в интернет для этого не нужен.

Конфигурация#

Файлы конфигурации (приоритет от высокого к низкому):

Ключевые параметры lsus-client.conf#

CLI lsus-client-ctl#

Утилита диагностики и управления клиентом. Входит в пакет lsus-client и после установки вызывается как lsus-client-ctl (файл /usr/bin/lsus-client-ctl).

Проверка и установка обновлений идут через службу lsus-client. Если служба не запущена, эти команды сообщают об ошибке. status при этом всё равно печатает адрес сервера и наличие файлов.

Если корень не на LVM, snapshots сообщает, что снимки недоступны, и ничего не создаёт.

Типовые сценарии CLI#

Проверить связь с сервером:

lsus-client-ctl test-connection

Сменить адрес сервера:

sudo lsus-client-ctl set-server https://site.example.com

Посмотреть найденные обновления и поставить их:

lsus-client-ctl updates
sudo lsus-client-ctl update --yes

Журнал клиента:

lsus-client-ctl log --lines 50

Отправить инвентаризацию:

sudo lsus-client-ctl inventory --send

Собрать архив диагностики (путь печатается в конце):

sudo lsus-client-ctl diagnose-archive --output /tmp

Если на компьютере установлены служба конфигураций или контроль USB, в тот же архив попадают их настройки и журналы. Пароли в этих настройках скрываются так же, как в настройках клиента.

Диагностика#

Системная служба#

# статус службы
systemctl status lsus-client

# журнал службы (systemd)
journalctl -u lsus-client.service -n 50 --no-pager

# журнал в реальном времени
journalctl -u lsus-client.service -f

Файловый лог#

tail -f /var/log/lsus-client.log | grep server

Логи установки пакетов: /var/log/lsus-client/updates/. Файл ротируется (10 МБ, 5 резервных копий).

Типичные ошибки в логах#

Чек-лист «клиент не появляется на сервере»#

1. systemctl status lsus-client — служба активна?
2. lsus-client-ctl status — конфиг и адрес корректны?
3. lsus-client-ctl test-connection — сервер достижим по HTTPS?
4. lsus-client-ctl diagnose — полная проверка;
5. Сетевой доступ: исходящий HTTPS до сервера (порт 443 по умолчанию), firewall;
6. Доверие сертификату: verify_ssl и server_ca_cert;
7. Зависимости: python3-dnspython не обязателен (встроенный резолвер TXT/SRV).

Признаки исправной работы#

Клиент работает корректно, если:

• служба lsus-client.service активна;
• хост появился в админке Master/Site;
• heartbeat обновляется (видно по времени последнего связи);
• lsus-client-ctl status показывает корректный URL и UUID;
• политики с сервера применяются.

GUI-клиент (рабочие станции)#

При установленном lsus-client-gui:

• значок в трее показывает состояние обновлений;
• левый клик — планирование установки;
• правый клик — сокращённое меню;
• Ctrl+Alt + левый клик — расширенное меню.

GUI общается со службой через D-Bus, поэтому lsus-client (служба) должен быть установлен и запущен.

Окно «Идёт установка обновлений» открывается и для установки по команде сервера и закрывается, когда установка закончилась — в том числе с ошибкой. Если к назначенному времени обновлять нечего, клиент закрывает задание на сервере, а не оставляет его в ожидании.

Установленные пакеты lsus-client, lsus-config-agent, lsus-client-gui и lsus-usb-control клиент удерживает от обычного обновления системы. Их обновляет отдельная команда сервера. Так сбой настройки агента конфигураций не обрывает установку остальных пакетов.

D-Bus: аудит и блокирующий режим#

Служба проверяет UID вызывающего и флаги политики disable_* на входе D-Bus-методов (установка обновлений, журнал, USB-заявки, вложения тестирования).

По умолчанию включён аудит (LSUS_CLIENT_DBUS_ENFORCE=0): вызовы не отклоняются, в журнал пишутся строки dbus_audit. Так GUI остаётся работоспособным, даже если loginctl не видит сессию (XRDP без seat, нестандартный display manager).

Блокирующий режим включают осознанно, после разбора журнала на стенде:

sudo systemctl edit lsus-client

В drop-in:

[Service]
Environment=LSUS_CLIENT_DBUS_ENFORCE=1

Затем sudo systemctl daemon-reload && sudo systemctl restart lsus-client.

Откат — удалить drop-in или поставить LSUS_CLIENT_DBUS_ENFORCE=0 и перезапустить службу.

Дополнительно:

Если множество активных сессий пусто, служба не отказывает (fail-open) и пишет причину unknown_session.

Windows-клиент#

Для управления хостами Windows используется отдельный агент — .NET-приложение (требует .NET Framework 4.6.2+). Поставка — MSI-пакет и ZIP-архив с PowerShell-скриптами установки (Install-LsusAgent.ps1 / Uninstall-LsusAgent.ps1). Агент использует Windows Update API (Microsoft.Update.Session, wusa.exe).

Подробная инструкция по установке на Windows — в комплекте поставки агента (docs/install.md). Управление обновлениями KB на стороне сервера описано в Windows.

Безопасность клиента#

Клиент LSUS реализует многоуровневую защиту от подмены сервера, перехвата трафика и несанкционированного доступа. Все механизмы работают автоматически — администратору не нужно настраивать их вручную.

TLS Certificate Pinning (TOFU + pin)#

Основная защита от подмены сервера — модель Trust On First Use с последующим закреплением сертификата:

1. Первое подключение — клиент скачивает сертификат сервера с /api/v1/server-settings/repo-cert (без проверки TLS) и сохраняет в /etc/lsus-client/ca.crt.
2. Закрепление — все последующие соединения проверяются по этому закреплённому сертификату.
3. Проверка fingerprint — при каждом соединении вычисляется SHA-256 fingerprint реального TLS-сертификата и сравнивается с сохранённым. При несовпадении — диагностика и логирование, соединение отклоняется.

Проверка TLS#

При verify_ssl = true все HTTPS-запросы проверяются по цепочке CA. Системный конфиг защищён от изменения пользователем.

Валидация цепочки сертификатов#

• Выбор leaf-сертификата по SAN/hostname — клиент определяет, какой сертификат из bundle соответствует серверу.
• Для корпоративного CA — leaf + intermediate из TLS handshake.
• Различение самоподписанных и CA-сертификатов — корректная обработка обоих случаев.

Очистка trust store#

Клиент автоматически удаляет неизвестные и чужие сертификаты из локального bundle (ca.crt). В нём остаются только сертификаты известных серверов LSUS (Master + назначенный Site). Это защищает от накопления «левых» сертификатов и подмены.

Интеграция с системным CA-хранилищем#

Установленный сертификат LSUS регистрируется в системном trust store ОС:

Благодаря этому пакетные менеджеры (apt/dnf) тоже доверяют репозиториям LSUS — не нужно отключать проверку GPG или TLS при работе с локальными репозиториями.

Аутентификация (Bearer token)#

После регистрации сервер выдаёт клиенту уникальный api_token:

• Хранится в /etc/lsus-client/.api_token с правами 0600 (только root).
• Каждый запрос к серверу содержит заголовок Authorization: Bearer <token>.
• При компрометации токен можно отозвать на сервере — клиент перерегистрируется и получит новый.

Идентификация клиента#

Kerberos / SPNEGO (доменные машины)#

В доменной среде (AD/FreeIPA/ALD Pro) клиент может использовать взаимную аутентификацию через Kerberos (SPNEGO). Это защищает от подмены сервера: для успешного обмена нужен валидный TGT от доменного KDC, который подменяющий сервер получить не может.

DNS TXT/SRV с health-probe#

При автообнаружении сервера клиент не доверяет записи слепо:

1. Читает TXT _lsus.<домен> и отбирает строки по своим IPv4 и cidr.
2. Если TXT нет или не подошла — SRV _lsus._tcp.<домен>.
3. Зондирует выбранные цели через GET /api/v1/health.
4. Предпочитает более узкий cidr / меньший prio / меньший RTT.

Связанные страницы#

• Развёртывание серверов — установка серверных ролей.
• Требования и подготовка — firewall, DNS TXT/SRV.
• Обновление системы — обновление клиента.
• USB Control — контроль сменных носителей.
• Антивирус и установка обновлений — исключения антивируса для Linux-агента.