Установка сервера

Установка и первый запуск

Отвечает на вопрос Что происходит после установки пакета?

Установка

Сервер поставляется пакетом wyrd-mdm для Debian. Установите его из репозитория пакетов или архивом из раздела «Загрузки» кабинета.

Устанавливаются сервер и хранилище журналов. Tor берётся из репозитория Debian.

Репозиторий пакетов

Доступ к репозиторию есть у учётной записи On-Premise с действующей лицензией. Логин – идентификатор учётной записи кабинета. Пароль – ключ любой лицензии этой учётной записи. После продления пароль менять не нужно.

Рекомендуем подключать репозиторий через Tor.

sudo apt install apt-transport-tor curl gpg

# Через Tor:
curl -fsS -x socks5h://127.0.0.1:9050 http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt/wyrd-release.asc | sudo gpg --dearmor -o /usr/share/keyrings/wyrd-release.gpg
# Без Tor:
# curl -fsS https://files.wyrd.link/apt/wyrd-release.asc | sudo gpg --dearmor -o /usr/share/keyrings/wyrd-release.gpg

sudo tee /etc/apt/sources.list.d/wyrd.sources > /dev/null << 'END'
Types: deb
# Через Tor:
URIs: tor+http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt
# Без Tor:
# URIs: https://files.wyrd.link/apt
Suites: stable
Components: main
Signed-By: /usr/share/keyrings/wyrd-release.gpg
END

sudo tee /etc/apt/auth.conf.d/wyrd.conf > /dev/null << 'END'
machine http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt
login <идентификатор учётной записи>
password <ключ лицензии>
END
sudo chmod 600 /etc/apt/auth.conf.d/wyrd.conf

sudo apt update
sudo apt install wyrd-mdm

Без Tor первая строка auth.conf – machine files.wyrd.link/apt.

Обновление из репозитория – sudo apt update && sudo apt upgrade.

Архив

Архив доступен в разделе «Загрузки» кабинета при размещении On-Premise и действующей лицензии.

tar -xzf wyrd-latest-debian-amd64.tar.gz
cd wyrd-*-debian-amd64
gpg --show-keys --with-fingerprint wyrd-release.asc

Для сервера на arm64 архив называется wyrd-latest-debian-arm64.tar.gz, а каталог внутри – wyrd-*-debian-arm64.

Проверка целостности описана на странице «Проверка пакета».

Установите пакеты:

sudo apt install ./*.deb

Обновление устанавливается тем же способом поверх старой версии. Новая версия появляется на странице загрузок.

Обновление и удаление

При обновлении база устройств, настройки, сертификат, ключ сервера и собранные журналы остаются на месте.

apt remove wyrd-mdm оставляет базу, настройки и ключ сервера на диске. Удаляет их только apt purge wyrd-mdm, и это необратимо: без ключа сервера каждый телефон придётся подключать заново.

Первый вход

При первом запуске сервер заводит учётную запись admin, создаёт случайный пароль из 24 знаков и один раз выводит его в журнал службы.

sudo journalctl -u wyrd --no-pager | grep -A3 'Generated initial admin'

Generated initial admin credentials ([admin] password was not set):
  username: admin
  password: ...
Save this NOW — it will not be shown again. Change it via the dashboard.

Панель потребует заменить этот пароль при первом входе.

Сервер за обратным прокси

Установщик смотрит, заняты ли на машине порты 80 и 443. Свободны – сервер занимает их сам. Заняты – он настраивается на работу за прокси: слушает 127.0.0.1:8080 без шифрования и берёт адрес клиента из заголовка X-Forwarded-For.

От прокси в этом случае требуется три вещи:

передавать X-Forwarded-For – иначе каждое действие в панели будет записано с адреса прокси;
пропускать веб-сокеты по путям /api/ws и /device-api/ws. Через первый панель получает изменения, через второй сервер держит связь с телефонами;
поднять предел размера тела запроса не ниже 260 МБ: через панель загружаются приложения рабочего профиля, телефоны присылают пачки журналов.

Адрес, по которому сервер Wyrd видят браузеры и телефоны, задан параметром public_url в /etc/wyrd/wyrd.toml. Установщик подставляет туда имя машины. Проверьте его до подключения первого телефона и после правки выполните sudo systemctl restart wyrd.

Обмен сервера Wyrd с телефонами зашифрован поверх TLS. Прокси его не читает и подделать не может.

Сертификат

Сертификат и ключ сервер Wyrd читает из /etc/wyrd/tls/cert.pem и /etc/wyrd/tls/key.pem. Установщик кладёт туда самоподписанный сертификат на 15 дней. До этого срока выпустите настоящий и положите его по тем же путям:

sudo certbot certonly --webroot -w /var/lib/wyrd/acme -d <имя сервера>

Новые файлы применяются без перезапуска. За прокси сертификат держит прокси.