Руководство по установке на Linux

1. О продукте и составе поставки

HopeDC — это программный контроллер домена, совместимый по протоколам с Active Directory (LDAP/LDAPS, Kerberos, CLDAP netlogon, DNS, DHCP, SMB/SYSVOL, глобальный каталог), с собственным веб‑интерфейсом администрирования. Продукт может работать как самостоятельный домен, так и в режиме интеграции с существующим доменом Microsoft AD, поддерживает иерархию доменов (лес) с поддоменами, а также обслуживает Windows‑ и Linux‑клиентов.

Состав поставки

2. Системные требования

Порты, которые открывает контроллер

3. Подготовка к установке

Нужны два файла: пакет hopedc-core_vNNN.gz и установщик install_hopedc.sh. Актуальная версия, контрольная сумма SHA‑256 и ссылки на оба файла — на странице Обновления.

Если у сервера есть доступ в интернет, скачайте файлы прямо на нём (номер версии возьмите со страницы «Обновления»):

curl -fLO https://hopedc.ru/updates/hopedc/install_hopedc.sh
curl -fLO https://hopedc.ru/updates/hopedc/hopedc-core_vNNN.gz

Для закрытого контура скачайте файлы на рабочий компьютер и скопируйте на сервер, например в /tmp. С Windows это можно сделать встроенной командой scp (PowerShell):

scp .\hopedc-core_vNNN.gz .\install_hopedc.sh admin@10.0.0.5:/tmp/

Больше ничего готовить не нужно: сборка, компиляторы и дополнительные пакеты не требуются.

4. Установка скриптом install_hopedc.sh

На сервере выполните одну команду в папке со скачанными файлами:

sudo bash install_hopedc.sh hopedc-core_vNNN.gz

Без пути к пакету скрипт берёт самую новую hopedc-core_vNNN.gz рядом с собой или в /tmp. Журнал установки — /var/log/hopedc-install.log.

Что делает установщик

• Проверяет пакет до установки: исполняемый файл Linux, все библиотеки на месте (glibc 2.30+), сборка v147+, пробный запуск --version от имени пользователя службы. Если проверка не прошла, сервер не меняется.
• Первая установка (службы hopedc ещё нет): создаёт пользователя службы hopedc (на Astra Linux служба работает от root с метками МКЦ — раздел 13), ставит программу, создаёт мастер‑ключ шифрования базы и юнит hopedc.service, открывает порты в ufw/firewalld, ставит службу обновлений из панели hopedc-update и файл EULA.txt. Системные службы времени отключаются (время домена держит HopeDC); заглушка systemd-resolved на :53 отключается, чтобы поднялся DNS домена.
• Обновление (служба уже есть): юнит, пользователь, каталог данных и ключ не меняются; прежняя программа остаётся рядом как hopedc-core.prev и hopedc-core.bak.<время> (хранятся три последних), недостающие настройки дополняются, служба перезапускается. Данные и ключ сохраняются.

Где что лежит после установки

Параметры установщика

Задаются переменными окружения перед командой:

Пример: sudo DC_SELF_IP=10.0.0.5 JOIN_CLUSTER=1 bash /tmp/install_hopedc.sh.

5. Первый вход

В конце установщик подсказывает, как войти. Откройте в браузере https://<IP сервера>:9443.

При первом старте на пустой базе контроллер автоматически создаёт домен hope.local и служебные объекты. Ход запуска виден в журнале journalctl -u hopedc -f:

🚀 Запуск системного ядра HopeDC...
✅ База данных HopeDB (WAL) инициализирована. Путь: /var/lib/hopedc ...
✅ Структура домена, Administrator и krbtgt успешно созданы!
LDAP TCP слушает на 0.0.0.0:389
Kerberos TCP слушает на 0.0.0.0:88
🔒 HTTPS API слушает на 0.0.0.0:9444 (TLS); 🔒 веб‑панель — на 0.0.0.0:9443
🔐 Шифрование данных на диске включено. Мастер-ключ: /etc/hopedc/master.key (отпечаток …)

Учётные данные по умолчанию

6. Дополнительные контроллеры — из панели

Второй и следующие контроллеры (полная реплика или региональный сервер своих доменов) можно не ставить вручную: в панели первого сервера откройте раздел Контроллеры главного меню (под «Доменами») → «Добавить контроллер», укажите адрес и доступ по SSH (пароль или закрытый ключ, пароль sudo), нажмите «Проверить», затем «Установить». Панель сама передаст пакет и этот же установщик, запустит его в режиме присоединения к кластеру и настроит сопряжение. Требования к серверу те же (раздел 2), плюс вход по SSH с правами root или sudo. Там же контроллеры потом обновляются.

Добавлять, менять и обновлять контроллеры могут только администраторы домена (Domain Admins); делегаты видят список только для просмотра. Пароль admin нового узла показывается один раз в журнале установки — сохраните его.

Вручную дополнительный узел ставится тем же скриптом с параметром JOIN_CLUSTER=1 (Документ 7).

7. Управление службой и настройки

sudo systemctl status hopedc      # состояние
sudo systemctl restart hopedc     # перезапуск
journalctl -u hopedc -f           # журнал в реальном времени
/opt/hopedc/hopedc-core --version # установленная версия

Тонкие настройки задаются переменными окружения службы. Изменить их можно командой sudo systemctl edit hopedc (секция [Service], строки вида Environment=ИМЯ=значение), затем перезапустите службу.

8. Резервное копирование и мастер‑ключ

Автобэкапы выполняются самим контроллером — настройка в разделе «Резервное копирование» веб‑панели (Документ 2). Для холодной копии остановите службу и скопируйте каталог данных:

sudo systemctl stop hopedc
sudo tar czf /backup/hopedc_data_$(date +%F).tgz -C /var/lib hopedc
sudo systemctl start hopedc

Каталог данных и архивы бэкапов зашифрованы мастер‑ключом, который не входит ни в каталог данных, ни в архив. Копия каталога без ключа бесполезна — храните копию ключа (.hdckey под паролем) отдельно от бэкапов.

Перенос на другой сервер

Установите HopeDC на новый сервер скриптом (раздел 4), остановите службу, распакуйте холодную копию в /var/lib/hopedc и импортируйте ключ исходного сервера:

sudo systemctl stop hopedc
sudo /opt/hopedc/hopedc-core key import dc.hdckey --force --data-dir /var/lib/hopedc
sudo /opt/hopedc/hopedc-core key info --data-dir /var/lib/hopedc
sudo systemctl start hopedc

Команда key info должна показать одинаковый отпечаток у ключа и у базы. Для восстановления из ZIP‑архива бэкапа на сервере с собственным ключом импорт не нужен: в панели при восстановлении укажите файл .hdckey исходного сервера.

9. Межсетевой экран

Установщик сам открывает порты в ufw или firewalld. Если вы запускали его с NO_FIREWALL=1 или используете другой межсетевой экран, откройте порты вручную.

ufw (Debian/Ubuntu):

for p in 53/udp 53/tcp 88/tcp 88/udp 464/tcp 464/udp 123/udp 135/tcp 49152/tcp 389/tcp 389/udp 636/tcp 445/tcp 67/udp 3268/tcp 3269/tcp 9443/tcp 9444/tcp 80/tcp; do sudo ufw allow $p; done
sudo ufw reload

firewalld (RHEL):

for p in 53/udp 53/tcp 88/tcp 88/udp 464/tcp 464/udp 123/udp 135/tcp 49152/tcp 389/tcp 389/udp 636/tcp 445/tcp 67/udp 3268/tcp 3269/tcp 9443/tcp 9444/tcp 80/tcp; do
  sudo firewall-cmd --permanent --add-port=$p; done
sudo firewall-cmd --reload

10. Проверка работоспособности

# служба работает?
systemctl is-active hopedc

# LDAP отвечает? (пакет ldap-utils)
ldapsearch -x -H ldap://127.0.0.1:389 -b "dc=hope,dc=local" -s base

# Kerberos и панель слушают?
ss -ltnp | grep -E ':88|:9443'

# DNS резолвит зону? (после включения службы DNS в панели)
nslookup hope.local 127.0.0.1

После этого откройте веб‑панель https://<IP сервера>:9443 и войдите как admin / Admin123!.

11. Обновление

Из панели

Версии ставятся из веб‑панели: Настройки → Обновления (Документ 2, п.7). Пакет загружается в панели (закрытый контур) или скачивается по манифесту с сервера обновлений. Применяет его системная служба hopedc-update, которую ставит установщик: она заменяет программу, перезапускает службу и при неудаче откатывает прежнюю версию.

• проверка службы обновлений — systemctl status hopedc-update.path;
• статус — /run/hopedc-update/status.json, журнал — journalctl -t hopedc-update;
• копии прежней программы — /opt/hopedc/hopedc-core.prev и три последних hopedc-core.bak.*.

Скриптом

Скопируйте новый hopedc-core_vNNN.gz в /tmp и снова запустите установщик — данные и ключ сохранятся, прежняя программа останется рядом как .prev/.bak:

sudo bash /tmp/install_hopedc.sh /tmp/hopedc-core_vNNN.gz

Откат

sudo install -m 0755 /opt/hopedc/hopedc-core.prev /opt/hopedc/hopedc-core && sudo systemctl restart hopedc

На Astra Linux после этого верните программе метку МКЦ: sudo pdpl-file 0:63:0:0 /opt/hopedc/hopedc-core.

Лицензионное соглашение

Установщик кладёт рядом с программой /opt/hopedc/EULA.txt (его же выводит hopedc-core --eula). При первом входе в панель полный администратор принимает соглашение (Документ 8); службы контроллера работают и до принятия. Для автоматизированных стендов принятие можно зафиксировать переменной окружения службы HOPEDC_EULA_ACCEPTED=1 — она означает принятие условий организацией, которая разворачивает сервер.

12. Диагностика типичных проблем

13. Astra Linux SE 1.8 (МКЦ, МРД, ЗПС)

Та же сборка (требует glibc 2.30+, в Astra 1.8 — 2.36) работает на Astra 1.8 без пересборки и ставится тем же скриптом install_hopedc.sh. Установщик определяет Astra Linux и учитывает её особенности:

1. Запускайте установщик из сессии администратора с высоким уровнем целостности (pdp-id показывает Уровень целостности=63).
2. Служба работает от root; программа, данные и ключ получают высокую метку целостности МКЦ; журналы пишутся в /var/lib/hopedc/logs (каталог /var/log в Astra — низкой целостности). Новые файлы служба помечает сама, см. Документ 2, раздел 9.
3. ЗПС. В строгом режиме запустится только сборка со встроенной подписью ключом, заверенным ГК «Астра». До её выпуска — мягкий режим: DIGSIG_ELF_MODE=2 в /etc/digsig/digsig_initramfs.conf, sudo update-initramfs -u -k all, перезагрузка.
4. Межсетевой экран в Astra по умолчанию не установлен (ufw/firewalld нет); если он включён — откройте порты из раздела 9.