ერთი ბრძანება. სრულად დაცული.
CASTOVIA-ის აგენტი ინსტალირდება 60 წამზე ნაკლებ დროში, უსაფრთხოებას ავტომატურად ამუშავებს და CASTOVIA Cloud-თან დაშიფრული არხებით ურთიერთობს. არც ხელით firewall-ის წესები, არც SSH keys, არც VPN.
ინსტალაციის ბრძანების ახსნა
ზუსტად რა ხდება, როცა თქვენს Linux სერვერზე ერთხაზიან ინსტალერს გაუშვებთ.
რას აკეთებს ბრძანება
ერთხაზიანი ინსტალაციის ბრძანება, რომელსაც CASTOVIA-ის ადმინის დაფიდან აკოპირებთ, თქვენს Linux სერვერზე შემდეგ ნაბიჯებს ასრულებს:
ნამდვილი ბრძანება
ბრძანება, რომელსაც თქვენს ადმინის დაფაში ხედავთ, ასე გამოიყურება:
curl -sSL https://install.castovia.com/agent | sudo bash -s -- --token YOUR_SERVER_TOKENYOUR_SERVER_TOKEN არის თითოეულ ნოდზე გენერირებული უნიკალური, ერთჯერადი ტოკენი. თუ არ გამოიყენება, 24 საათის შემდეგ ვადაგასულია.
რას არ აკეთებს აგენტი
მკაფიო საზღვრები. აგენტის მოქმედების არეალი განზრახ შეზღუდულია.
უსაფრთხოება — ჩაშენებული, არა მიბმული
უსაფრთხოების ყველა ზომა ავტომატურია. ხელით კონფიგურაცია არ არის საჭირო.
Server Token ავტენტიკაცია
ავტომატურითითოეული ნოდი იღებს უნიკალურ, კრიპტოგრაფიულად შემთხვევით server token-ს (256-bit). ეს ტოკენი გენერირდება CASTOVIA-ის ადმინში, როცა ნოდს ქმნით. იგი გამოიყენება ერთხელ რეგისტრაციისას და შემდეგ იცვლება მბრუნავი TLS client certificate-ით.
TLS 1.3 დაშიფვრა
ავტომატურიაგენტსა და CASTOVIA Cloud-ს შორის ყველა კომუნიკაცია იყენებს TLS 1.3-ს. აგენტი ამოწმებს CASTOVIA-ის certificate chain-ს pinned root CA-სთან შედარებით — სისტემურ certificate store-ს არ ენდობა. Man-in-the-middle თავდასხმები შეუძლებელია.
Firewall-ის მოთხოვნები
ავტომატურიაგენტს CASTOVIA Cloud-თან მხოლოდ გამავალი HTTPS (პორტი 443) სჭირდება. შემომავალი ports-ის გახსნა საჭირო არ არის. თქვენი სერვერის firewall-ის წესები ხელუხლებელი რჩება — აგენტი არ ცვლის iptables-ს, nftables-ს ან firewalld-ს.
გაშვებისას root-ის წვდომა არ არის საჭირო
ავტომატურიაგენტი მუშაობს გამოყოფილი დაუპრივილეგირებელი მომხმარებლის ქვეშ (castovia-agent). მას root მხოლოდ ინსტალაციის დროს სჭირდება (systemd სერვისის შესაქმნელად). გაშვებისას მუშაობს მინიმალური უფლებებით — წვდომა სტრიმის წყაროებზე წასაკითხად, საკუთარი cache დირექტორიაში ჩასაწერად.
სერტიფიკატების ავტომატური როტაცია
ავტომატურიclient certificate-ები ყოველ 7 დღეში იცვლება. აგენტი განახლებას გამჭვირვალედ ამუშავებს. თუ სერტიფიკატი ვადა გაუვიდა (მაგ., სერვერი ოფლაინ იყო), აგენტი იყენებს უსაფრთხო ხელახალი რეგისტრაციის პროცესს, რომელსაც CASTOVIA-ის ადმინში დამტკიცება სჭირდება.
მდგომარეობის მონიტორინგი და თვითაღდგენა
ავტომატურიაგენტი საკუთარ მდგომარეობას თავად აკონტროლებს. თუ გაიჭედება, systemd 5 წამში გადატვირთავს. თუ CASTOVIA Cloud-ს ვერ უკავშირდება, გააგრძელებს ქეშირებული კონფიგურაციის მიწოდებას და მეტრიკებს მოგვიანებით გაგზავნის.
კომუნიკაციის პროტოკოლი
როგორ მიედინება მონაცემები თქვენს სერვერსა და CASTOVIA Cloud-ს შორის.
CASTOVIA Cloud → აგენტი (Configuration Push)
ტექნიკური: კონფიგურაცია იგზავნება ხელმოწერილი JSON payload-ების სახით. აგენტი თითოეულ payload-ს გამოყენებამდე ამოწმებს. Raw SQL არ არის, shell ბრძანებები არ არის — მხოლოდ სტრუქტურირებული კონფიგურაცია.
აგენტი → CASTOVIA Cloud (Telemetry)
ტექნიკური: Telemetry იგზავნება ყოველ 30 წამში HTTPS POST-ის მეშვეობით. Payload შეკუმშულია (gzip) და დაშიფრულია. საშუალო ზომა: თითო ინტერვალზე 2–5 KB.
ქსელის შეჯამება
| ასპექტი | დეტალი |
|---|---|
| პროტოკოლი | HTTPS (TLS 1.3) certificate pinning-ით |
| გამავალი პორტი | 443 (მხოლოდ HTTPS) |
| შემომავალი პორტები | CASTOVIA-ის მიერ საჭირო არ არის |
| Heartbeat | ყოველ 30 წამში (2–5 KB შეკუმშული) |
| ავთენტიკაცია | მბრუნავი TLS client certificate-ები (7-დღიანი როტაცია) |
| გამტარობა | < 1 MB/საათში მართვის ტრაფიკისთვის |
| ოფლაინ ქცევა | ემსახურება ქეშირებულ კონფიგურაციას, აჩერებს telemetry-ს რიგში, ავტომატურად უკავშირდება ხელახლა |
| სტრიმის ტრაფიკი | CASTOVIA-ის გავლით არასდროს მიდის — თქვენს ქსელში რჩება |
სუფთა წაშლა
თუ ნოდს წაშლით, აგენტი სრულად ასუფთავებს ყველაფერს:
sudo castovia-agent uninstall --purge