Требования к серверам

Целевой сервер (кратко "сервер" или "хост") — сервер или несколько серверов, на которые будут устанавливаться компоненты системы 5А. Каждый сервер должен удовлетворять указанным системным требованиям и подготовлен администратором согласно общим требованиям.

Сервер развёртывания — сервер, с которого будет выполняться процесс развёртывания компонентов системы 5А. Требования к серверу развёртывания совпадают с общими требованиями к целевым серверам.

Системные требования

Допустима установка компонентов системы 5А как отдельно на каждый сервер, так и несколько компонентов на одном целевом сервере. Сервер с несколькими компонентами должен иметь максимум из тех характеристик, которые требуют соответствующие компоненты.

Минимальные системные требования серверов для компонентов системы 5А:

Общие требования

Серверы для компонентов системы 5А должны удовлетворять следующим требованиям:

1. Компоненты системы 5А должны функционировать под управлением одной из следующих операционных систем в минимальной установке:

   • Astra Linux Common Edition, релиз «Орел» версии 2.12.45;
   • Astra Linux Special Edition 1.8;
   • Альт Сервер 11;
   • Debian 12;
   • Ubuntu Server 24.04 LTS;
   • CentOS Stream 9;
   • RedOS 8.

2. На каждом сервере заведена одна и та же учётная запись пользователя, который имеет разрешение на выполнение команд с повышенными привилегиями с помощью команды sudo (т.е. добавлен в файл конфигурации /etc/sudoers).

3. На всех серверах, используемых для развёртывания компонентов системы 5А, должен быть создан приватный SSH-ключ пользователя.

4. Необходимо обеспечить сетевую L3-связность между всеми серверами, на которых установлены компоненты системы 5А. При использовании ОС Альт Сервер на сервере должен быть минимум 1 сетевой интерфейс 100 Мбит\с.

5. Решите заранее, как на машинах модулей балансировки будут разведены управление и рабочий трафик — см. Разделение управления и рабочего трафика. Рекомендуемый вариант требует на каждой такой машине второго сетевого интерфейса с уже поднятым адресом: установщик адрес не назначает, а только проверяет.

6. Для стабильной работы IPv6 необходимо обеспечить:

   • Минимальные системные требования:
     • Дисковое пространство от 15 Гбайт;
     • SWAP от 2 Гбайт или использовать мониторинг нагрузки.
   • Поддержку IPv6 на всех уровнях сети.
   • Контроль нагрузки, особенно при дефиците RAM/SWAP.

7. Настройка сетевого экрана (Firewall)

   Для корректной работы системы 5А необходимо обеспечить сетевую доступность между компонентами. Ниже приведено описание портов, которые должны быть открыты на серверах, сгруппированное по ролям и направлениям трафика. Для каждого порта указан транспортный протокол — TCP, UDP или оба; соответствующие правила должны быть разрешены в межсетевом экране.

   Таблица 1. Порты, открываемые на серверах (входящие подключения)

   Роль сервера	Компонент	Порт (протокол)	Назначение	Кто подключается
   Веб-интерфейс	Веб-сервер	8443 (TCP)	HTTPS-доступ к веб-интерфейсу системы	Пользователи, администраторы
   	Веб-сервер	80 (TCP)	HTTP-доступ, если не настроен HTTPS-сертификат	Пользователи, администраторы
   Сервер управления (Оркестратор / MGM)	REST API	9000 (TCP)	Основной HTTP API для веб-интерфейса	Браузер пользователя/администратора, сервер веб-интерфейса, сервер мониторинга, оркестратор
   	gRPC API	9001 (TCP)	Внутреннее взаимодействие микросервисов управления	Сервер управления, агенты
   	Оркестратор (gRPC)	50052 (TCP)	Управление агентами, обмен конфигурацией	Сервер управления (бэкенд), агенты
   	Оркестратор (HTTP)	50053 (TCP)	HTTP API оркестратора	Сервер управления (бэкенд)
   Сервер БД	PostgreSQL	5432 (TCP)	СУБД	Сервер управления
   	Redis	6379 (TCP)	Хранилище данных	Сервер управления, агенты
   Сервер мониторинга	Prometheus	9090 (TCP)	Веб-интерфейс и API Prometheus	Администраторы
   	Grafana	3000 (TCP)	Веб-интерфейс Grafana	Администраторы
   	Loki	3100 (TCP)	HTTP API для приема и записи логов	Сервер мониторинга (локально)
   	Rsyslog	1514 (TCP/UDP)	Прием логов по протоколу syslog	Все компоненты системы
   	Promtail	9080 (TCP)	HTTP API для управления	Сервер мониторинга (локально)
   Сервер документации	Встроенный сервер	3001 (TCP)	Доступ к внутренней документации	Администраторы
   SLB-агент	Служебный / Здоровье	50050 (TCP)	Health checks, статус агента	Сервер управления
   	gRPC Конфигурация	50051 (TCP)	Получение конфигурации от оркестратора	Сервер управления
   	Балансировщик	80 (TCP)	Приём клиентского трафика к балансируемым сервисам (порт по умолчанию)	Клиенты (через VIP-адрес)
   	Метрики NGINX	50090 (TCP)	Отдача метрик о трафике для сбора	Сервер мониторинга
   GSLB-агент	Служебный / Здоровье	50050 (TCP)	Health checks, статус агента	Сервер управления
   	gRPC Конфигурация	50051 (TCP)	Получение конфигурации от оркестратора	Сервер управления
   	DNS-сервер	53 (UDP/TCP)	Приём DNS-запросов для выбора ресурса сайта (порт по умолчанию)	Клиенты, рекурсивные DNS-резолверы
   Сетевой агент	Служебный / Здоровье	50050 (TCP)	Health checks, статус агента	Сервер управления
   	gRPC Конфигурация	50051 (TCP)	Получение конфигурации от оркестратора	Сервер управления

   ℹ️

   Роли GSLB-агента и сетевого агента запускаются в составе модуля балансировки — того же агента, что и SLB-агент. Они используют те же порты управления: 50050, 50051.

   Таблица 2. Матрица сетевых взаимодействий (инициатор - получатель)

   Данная таблица обобщает разрешённые направления трафика.
   Направление указано от инициатора соединения (Source) к получателю (Destination).
   Для каждого правила приведён протокол, что необходимо для точной настройки firewall.

   От кого (Source — инициатор)	К кому (Destination)	Порт	Протокол	Назначение трафика
   Браузер пользователя/администратора	Сервер веб-интерфейса	8443, 80	TCP	Доступ к веб-интерфейсу системы
   Браузер пользователя/администратора	Сервер управления	9000	TCP	Запросы от фронтенда к REST API
   Клиенты (через VIP-адрес)	SLB-агенты	80, а также порты, заданные в настройках сервисов	TCP	Клиентский трафик к балансируемым сервисам
   Сервер управления	Сервер БД	5432	TCP	Запросы к базе данных
   Сервер управления	Сервер БД (Redis)	6379	TCP	Обращение к Redis
   Сервер управления	Агенты	50050, 50051	TCP	Проверка статуса, отправка конфигурации
   Сервер мониторинга	Агенты	50050, 50090	TCP	Проверка статуса, сбор метрик
   Агенты	Сервер управления	50052, 9001	TCP	Регистрация и получение конфигурации (gRPC)
   Агенты (с ролью GSLB)	Сервер БД (Redis)	6379	TCP	Обращение к Redis для консистентности GSLB-серверов
   Все компоненты (Сервер управления, Агенты)	Сервер мониторинга	1514	TCP/UDP	Отправка логов (syslog)
   Компьютер администратора	Сервер мониторинга	3000, 9090	TCP	Доступ к интерфейсам Grafana и Prometheus
   Компьютер администратора	Сервер документации	3001	TCP	Доступ к внутренней документации
   Клиенты, рекурсивные DNS-резолверы	GSLB-агенты	53	UDP/TCP	DNS-запросы для выбора ресурса сайта

8. На каждом сервере установлены и настроены:

   • systemd в качестве менеджера системы служб;
   • включён ntpd с настроенным NTP-сервером, с которым синхронизируется сервер;
   • SELinux переведён в режим Disabled;
   • Docker.
   ℹ️

   Инструкции по настройке необходимых сервисов и приложений представлены в разделе Подготовка серверов