chore(home): mirror from kalinamall (b0abf99) with papatramp URLs
This commit is contained in:
@@ -0,0 +1,173 @@
|
||||
# Автообновление ssh-monitor
|
||||
|
||||
Скрипт **`update_ssh_monitor.sh`** обновляет **`/usr/local/bin/ssh-monitor`** из git и перезапускает systemd-сервис.
|
||||
|
||||
## Основной путь: Security Alert Center
|
||||
|
||||
На продакшен-хостах обновление идёт **через SAC**, без cron:
|
||||
|
||||
1. Админ нажимает **«Обновить ssh-monitor (SSH)»** в карточке хоста.
|
||||
2. SAC по SSH запускает `/opt/scripts/update_ssh_monitor.sh` с `REPO_URL` / `GIT_BRANCH` из **Настройки → Обновления агентов**.
|
||||
3. Updater сам выполняет `git pull`, синхронизирует `sac-client.sh` и watchdog, дописывает отсутствующие ключи в **`/etc/ssh-monitor.conf`**, **выставляет `chmod`/`chown`** на конфиг, SAC-spool, счётчики и state-файлы, перезапускает **`ssh-monitor.service`**.
|
||||
|
||||
Участие админа на сервере **не требуется** (кроме первичной настройки `SAC_URL` / `SAC_API_KEY` в конфиге).
|
||||
|
||||
При **первой установке** (нет updater на хосте) SAC выполняет bootstrap с **`--deploy`**: clone, ipset при необходимости, systemd unit, полный hardening.
|
||||
|
||||
**Cron / systemd timer** — опциональная альтернатива с тем же скриптом и обязательным `REPO_URL` в окружении.
|
||||
|
||||
Watchdog и таймеры watchdog **не изменяются** при обычном update (кроме синхронизации скрипта watchdog из git).
|
||||
|
||||
**Конфиг `/etc/ssh-monitor.conf`:** при первой установке копируется из `ssh-monitor.conf.example`. При каждом update в **существующий** конфиг **дописываются** отсутствующие SAC-переменные и ключи безопасности; **`UseSAC=fallback`**. Telegram/SMTP и прочие ключи **не перезаписываются**.
|
||||
|
||||
Установка монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
|
||||
|
||||
## Что делает скрипт
|
||||
|
||||
1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
|
||||
2. При **`--deploy`** / bootstrap SAC проверяет **`ipset`** и при отсутствии пытается установить через пакетный менеджер. Обычное обновление **не** вызывает `apt-get`.
|
||||
3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git fetch` + checkout / `git pull --ff-only`** (без слепого `reset --hard`).
|
||||
4. Проверяет **`release/manifest-VERSION.json`** (SHA256 файлов + commit) **до** копирования в `/usr/local/bin`.
|
||||
5. Ищет **`ssh-monitor`** в клоне (GitLab layout или плоский репозиторий).
|
||||
6. Сравнивает **SHA256** с **`LOCAL_SCRIPT_PATH`** (`/usr/local/bin/ssh-monitor`).
|
||||
7. **Всегда** синхронизирует **`sac-client.sh`**, **`ssh-monitor-perms.sh`**, watchdog.
|
||||
8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool, `600` state/SAC-файлы, whitelist.
|
||||
9. При изменении **`ssh-monitor`**, **`sac-client.sh`** или конфига — **`systemctl restart ssh-monitor.service`**.
|
||||
10. Лог: **`/var/log/update_script.log`** (блок «Итог обновления», строки `manifest` и `security hardening`).
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
A[SAC или cron] --> B[update_ssh_monitor.sh]
|
||||
B --> C[git fetch/checkout]
|
||||
C --> M{manifest OK?}
|
||||
M -->|нет| X[exit 1]
|
||||
M -->|да/skip| D[sync sac-client + perms lib]
|
||||
C --> E{SHA256 ssh-monitor?}
|
||||
D --> F[harden config/spool/state]
|
||||
E -->|да| G[backup + cp ssh-monitor]
|
||||
E -->|нет| F
|
||||
G --> F
|
||||
F --> H{что-то изменилось?}
|
||||
H -->|да| I[restart ssh-monitor.service]
|
||||
H -->|нет| J[без перезапуска]
|
||||
```
|
||||
|
||||
## Настройка перед первым запуском
|
||||
|
||||
| Переменная | По умолчанию | Назначение |
|
||||
|------------|--------------|------------|
|
||||
| `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
|
||||
| `REPO_URL` | *(обязательно)* | URL git — задаётся SAC, export или `Environment=` в cron |
|
||||
| `GIT_BRANCH` | `main` | Ветка для clone/pull, если **`GIT_REF`** не задан |
|
||||
| `GIT_REF` | *(пусто)* | Тег (`2.2.0-SAC`), ветка или commit SHA для checkout |
|
||||
| `GIT_VERIFY_MODE` | `off` | `off` \| `tag` \| `commit` — см. раздел ниже |
|
||||
| `GIT_ALLOW_RESET` | `0` | `1` = разрешить `git reset --hard` при расхождении истории (риск) |
|
||||
| `RELEASE_MANIFEST_STRICT` | `0` | `1` = exit 1, если manifest для версии не найден |
|
||||
| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать монитор |
|
||||
| `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
|
||||
| `UPDATE_VIA_SAC` | *(опционально)* | SAC выставляет `1`; при отсутствии бинарника включается `--deploy` |
|
||||
|
||||
Требования: **root**, **git**, **python3** (manifest verify), доступ к репозиторию.
|
||||
|
||||
## Pinned ref и manifest (2.2.0+)
|
||||
|
||||
Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`** из env или `/etc/ssh-monitor.conf`.
|
||||
|
||||
### Режимы `GIT_VERIFY_MODE`
|
||||
|
||||
| Режим | Поведение | Когда |
|
||||
|-------|-----------|-------|
|
||||
| **`off`** | После fetch принять ref как есть | Тест, legacy; дефолт в скрипте |
|
||||
| **`tag`** | `GIT_REF` должен существовать как тег | **Рекомендуется для прода** |
|
||||
| **`commit`** | `GIT_REF` = полный SHA commit | Жёсткий pin без тегов |
|
||||
|
||||
Если **`GIT_REF`** пуст, используется **`GIT_BRANCH`** (`git pull --ff-only`). При невозможности fast-forward updater **не** делает `reset --hard` (только с **`GIT_ALLOW_RESET=1`**).
|
||||
|
||||
### Release manifest
|
||||
|
||||
В репозитории: **`release/manifest-VERSION.json`** — SHA256 ключевых файлов и `git_commit`. Updater сверяет manifest **после** git sync и **до** копирования бинарников.
|
||||
|
||||
- Файл найден и hash не совпал → **exit 1**, ничего не перезаписывается.
|
||||
- Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
|
||||
- Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
|
||||
|
||||
Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
|
||||
|
||||
```bash
|
||||
./contrib/install-git-hooks.sh # один раз после clone
|
||||
# bump version.txt + ssh-monitor → git commit (hook добавит manifest)
|
||||
git tag 2.2.3-SAC
|
||||
```
|
||||
|
||||
### Примеры для прода
|
||||
|
||||
**SAC / env на хосте** (через настройки SAC или unit):
|
||||
|
||||
```bash
|
||||
REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git
|
||||
GIT_REF=2.2.0-SAC
|
||||
GIT_VERIFY_MODE=tag
|
||||
```
|
||||
|
||||
**systemd timer** (`/etc/systemd/system/ssh-monitor-update.service`):
|
||||
|
||||
```ini
|
||||
[Service]
|
||||
Type=oneshot
|
||||
Environment=REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git
|
||||
Environment=GIT_REF=2.2.0-SAC
|
||||
Environment=GIT_VERIFY_MODE=tag
|
||||
ExecStart=/opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
При доверенном закрытом зеркале **manifest + `GIT_REF=tag`** — достаточный минимум; GPG-подписи тегов — backlog (см. [security-roadmap.ru.md](security-roadmap.ru.md)).
|
||||
|
||||
## Первичная установка (--deploy)
|
||||
|
||||
```bash
|
||||
sudo REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git ./update_ssh_monitor.sh --deploy
|
||||
# или first_deploy.sh с REPO_URL в окружении
|
||||
```
|
||||
|
||||
Через SAC bootstrap выполняется автоматически с **`--deploy`**.
|
||||
|
||||
## Установка updater (если не через SAC bootstrap)
|
||||
|
||||
```bash
|
||||
sudo mkdir -p /opt/scripts
|
||||
sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
|
||||
sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
Проверка:
|
||||
|
||||
```bash
|
||||
sudo REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
|
||||
sudo tail -30 /var/log/update_script.log
|
||||
```
|
||||
|
||||
## Запуск по расписанию (опционально)
|
||||
|
||||
### Cron
|
||||
|
||||
```
|
||||
0 4 * * * REPO_URL=https://git.papatramp.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
### systemd timer
|
||||
|
||||
См. предыдущие примеры `ssh-monitor-update.service` / `.timer` с `Environment=REPO_URL=...`.
|
||||
|
||||
## Откат
|
||||
|
||||
```bash
|
||||
ls -la /usr/local/bin/ssh-monitor.backup.*
|
||||
sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
|
||||
sudo systemctl restart ssh-monitor.service
|
||||
```
|
||||
|
||||
## Ограничения
|
||||
|
||||
- Секреты (`SAC_API_KEY`, Telegram) SAC **не** прописывает — только в `/etc/ssh-monitor.conf` на хосте.
|
||||
- При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
|
||||
- **`REPO_URL`** без дефолта в скрипте — только доверенное зеркало (kalinamall / своё Gitea).
|
||||
Reference in New Issue
Block a user