# Установка и первый запуск

Отвечает на вопрос: Что происходит после установки пакета?

## Установка

Сервер поставляется пакетом `wyrd-mdm` для Debian. Установите его из репозитория пакетов или архивом из раздела «Загрузки» кабинета.

Устанавливаются сервер и хранилище журналов. Tor берётся из репозитория Debian.

### Репозиторий пакетов

Доступ к репозиторию есть у учётной записи On-Premise с действующей лицензией. Логин – идентификатор учётной записи кабинета. Пароль – ключ любой лицензии этой учётной записи. После продления пароль менять не нужно.

Рекомендуем подключать репозиторий через Tor.

```
sudo apt install apt-transport-tor curl gpg

# Через Tor:
curl -fsS -x socks5h://127.0.0.1:9050 http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt/wyrd-release.asc | sudo gpg --dearmor -o /usr/share/keyrings/wyrd-release.gpg
# Без Tor:
# curl -fsS https://files.wyrd.link/apt/wyrd-release.asc | sudo gpg --dearmor -o /usr/share/keyrings/wyrd-release.gpg

sudo tee /etc/apt/sources.list.d/wyrd.sources > /dev/null << 'END'
Types: deb
# Через Tor:
URIs: tor+http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt
# Без Tor:
# URIs: https://files.wyrd.link/apt
Suites: stable
Components: main
Signed-By: /usr/share/keyrings/wyrd-release.gpg
END

sudo tee /etc/apt/auth.conf.d/wyrd.conf > /dev/null << 'END'
machine http://wyrd7hhkoh3gwhoyyxb5yzm3oqx34mzjm7nuobpzufky42ktusyszhqd.onion/apt
login <идентификатор учётной записи>
password <ключ лицензии>
END
sudo chmod 600 /etc/apt/auth.conf.d/wyrd.conf

sudo apt update
sudo apt install wyrd-mdm
```

Без Tor первая строка `auth.conf` – `machine files.wyrd.link/apt`.

Обновление из репозитория – `sudo apt update && sudo apt upgrade`.

### Архив

Архив доступен в [разделе «Загрузки» кабинета](https://my.wyrd.link/downloads?lang=ru) при размещении On-Premise и действующей лицензии.

```
tar -xzf wyrd-latest-debian-amd64.tar.gz
cd wyrd-*-debian-amd64
gpg --show-keys --with-fingerprint wyrd-release.asc
```

Для сервера на arm64 архив называется `wyrd-latest-debian-arm64.tar.gz`, а каталог внутри – `wyrd-*-debian-arm64`.

Проверка целостности описана на странице [«Проверка пакета»](https://docs.wyrd.link/ru/server/verify/).

Установите пакеты:

```
sudo apt install ./*.deb
```

Обновление устанавливается тем же способом поверх старой версии. Новая версия появляется на странице загрузок.

### Обновление и удаление

При обновлении база устройств, настройки, сертификат, ключ сервера и собранные журналы остаются на месте.

`apt remove wyrd-mdm` оставляет базу, настройки и ключ сервера на диске. Удаляет их только `apt purge wyrd-mdm`, и это необратимо: без ключа сервера каждый телефон придётся подключать заново.

## Первый вход

При первом запуске сервер заводит учётную запись `admin`, создаёт случайный пароль из 24 знаков и **один раз** выводит его в журнал службы.

```
sudo journalctl -u wyrd --no-pager | grep -A3 'Generated initial admin'
```

```
Generated initial admin credentials ([admin] password was not set):
  username: admin
  password: ...
Save this NOW — it will not be shown again. Change it via the dashboard.
```

Панель потребует заменить этот пароль при первом входе.

## Сервер за обратным прокси

Установщик смотрит, заняты ли на машине порты 80 и 443. Свободны – сервер занимает их сам. Заняты – он настраивается на работу за прокси: слушает `127.0.0.1:8080` без шифрования и берёт адрес клиента из заголовка `X-Forwarded-For`.

От прокси в этом случае требуется три вещи:

- передавать `X-Forwarded-For` – иначе каждое действие в панели будет записано с адреса прокси;
- пропускать веб-сокеты по путям `/api/ws` и `/device-api/ws`. Через первый панель получает изменения, через второй сервер держит связь с телефонами;
- поднять предел размера тела запроса не ниже 260 МБ: через панель загружаются приложения рабочего профиля, телефоны присылают пачки журналов.

Адрес, по которому сервер Wyrd видят браузеры и телефоны, задан параметром `public_url` в `/etc/wyrd/wyrd.toml`. Установщик подставляет туда имя машины. Проверьте его до подключения первого телефона и после правки выполните `sudo systemctl restart wyrd`.

Обмен сервера Wyrd с телефонами зашифрован поверх TLS. Прокси его не читает и подделать не может.

## Сертификат

Сертификат и ключ сервер Wyrd читает из `/etc/wyrd/tls/cert.pem` и `/etc/wyrd/tls/key.pem`. Установщик кладёт туда самоподписанный сертификат на 15 дней. До этого срока выпустите настоящий и положите его по тем же путям:

```
sudo certbot certonly --webroot -w /var/lib/wyrd/acme -d <имя сервера>
```

Новые файлы применяются без перезапуска. За прокси сертификат держит прокси.