Окружение сервера 1С на арендованном выделенном сервере

Вводные

• Арендованный выделенный сервер, в моем случае OVH, функционал по окружению аналогичен другим ведущим хостингам.
• Нужно настроить сервер 1С с возможностью безопасно подключить пользователей

Статья является логическим продолжением моих экспериментов описанных в //infostart.ru/1c/articles/1135962/

Общее описание инфраструктуры хорошо описано в статье //infostart.ru/1c/articles/1528243/, моя специфика будет в том что окружение настраивается под одного клиента.

Статья пишется в том числе для того чтобы показать что настройка linux окружения не сильно сложнее windows окружения (при схожих требованиях, свалить все в кучу на одном экземпляре ОС и дать к нему доступ по RDP просто но имеет свои негативные последствия).

Установка гипервизора.

В случае OVH установку можно произвести из шаблона. Для подключения после установки системы используется SSH ключ (открытая часть RSA ключа), который добавляется в настройках хостинга (ссылка по OVH) (ссылка по Selectel)

Аналогичный функционал есть у selectel например.

Если у провайдера нет установки из шаблона, то есть возможность подключить ISO и установить систему с него (ссылка).

Обычно арендованные сервера идут с двумя дисками, которые рекомендую объединить в RAID 1, при установке с ISO можно выбрать этот вариант в окне настройки дисковой подсистемы.

Установка пароля root

Аутентификация по умолчанию только по указанному ключу, поэтому подключаюсь по SSH с использованием ключа, ссылка на одну из инструкций, гуглится по "putty подключение по ключу".

Изменяю пароль через команду passwd. В данной установке допустимо подключаться по SSH с использованием пароля, это можно изменить на "только по ключу", ссылка, гуглится по "ssh отключение авторизации по паролю".

Отключать полностью root в админ панели не рекомендуется, потому что часть функций доступны только с его доступом, компенсирую ограничением по IP источника. Альтернативно можно разрешить доступ только из внутренней сети с доступом через VPN, но машина теряется при отключении виртуальной машины c VPN сервисом.

Подключение к админ панели

Подключение осуществляется по HTTPS, на порт 8006, т.к. сертификат SSL самоподписанный нужно подтвердить подключение в chrome. Пример адреса https://192.168.57.24:8006/

Для удобства буду использовать русский интерфейс.

Ограничение доступа по IP

Для уменьшения вероятности проникновения на хост гипервизора устанавливаю ограничение по IP источника. Добавляю в alias свой IP и настраиваю брандмауэр на уровне "Датацентр", более подробно по ссылке, гуглится по "proxmox firewall".

По умолчанию он выключен, весь входящий траффик блокируется.

Проверить работоспособность можно отключив правило для SSH и попробовав повторно подключится.

Подключение NFS папки, загрузка шаблонов

В OVH для выделенного сервера выделяется место для бекапов, доступное по NFS (ссылка) в рамках сети хостинга.

Подключаю в proxmox, выбираю вид хранения для ISO, шаблонов, бекапов.

Загружаю ISO Образы, шаблоны.

Настройка сети для контейнеров.

После установки имеем один виртуальный мост, подключенный к первому сетевому интерфейсу. В [6] установленный IP обозначает через него можно подключится к админ панели (и к хосту в целом).

Контейнеры буду располагать в отдельном виртуальном мосту.

Для связывания LAN и WAN буду использовать шлюз OPNsense (ссылка), являющийся форком pfSense(ссылка), о настройке которого писал в статье //infostart.ru/1c/articles/1257913/. Ключевые для меня функции: GUI интерфейс и удобная настройка OVPN.

Для подключения шлюза к WAN буду использовать дополнительный IP адрес который можно перенаправлять на нужный сервер (ссылка на вариант в OVH), удобно в случае переезда на новый сервер.

Альтернативно можно настроить NAT на уровне хоста (ссылка), экономия на аренде IP но более затратно на обслуживание и при отсутствии опыта с iptables есть вероятность настроить некорректно.

Создаю виртуальную машину (VM) подключенную к мостам LAN и WAN. Ссылка на подробную инструкцию по установке (EN), ссылка на установку (RU).

Добавляю LAN интерфейс.

Для WAN интерфейса генерирую MAC адрес для дополнительного IP и устанавливаю его в настройках интерфейса (ссылка на документацию OVH).

Настройка OPNsense производится из зоны LAN через GUI, для настройки добавляю новую VM c Linux Mint, запускаю в live режиме, поэтому из настроек VM удаляю HDD. На шлюзе уже настроен DHCP, поэтому запущенная VM получает адрес по которому может получить доступ до админ панели.

Неудобством является отсутствие буфера обмена при подключении к VM. Для переноса файла подключения к VPN использую GUI от Яндекс.Диск, можете использовать любой файлообменник.

При подключении не добавлял правило INPUT UDP 1194 в брандмауэр на уровне proxmox, только на ehjdyt OPNSense, почему так работает нужно отдельно разбираться.

После подключения по OVPN проверяю подключение к админ панели шлюза с локального ПК по доменному имени.

Обновление Proxmox

В основе лежит debian, к нему добавлены пакеты Proxmox из дополнительных репозиториев. Нормальным состоянием для Proxmox является наличие подписки и получение обновлений из https://enterprise.proxmox.com/debian/pve, но в моей инсталляции подписки нет, поэтому нужно подключить http://download.proxmox.com/debian/pve. Подписка COMMUNITY на год на CPU сокет стоит порядка 12 тыс. руб. (ссылка)

После настройки нужно получить обновления и их установить, действия в GUI соответствуют "apt update" и "apt upgrade"

Обновление OPNSense

На главной странице присутствует ссылка "Нажмите, чтобы проверить наличие обновлений."

При наличии обновлений будет окно со списком изменений и кнопкой "обновить".

Установка Postgres

В качестве основы буду использовать LXC контейнер с Ubuntu 20.04. 4ГБ ОЗУ, 4 ядра.

В параметрах DNS нужно указать локальный DNS, потому что по умолчанию PVE устанавливает DNS хоста.

apt update
apt upgrade

# Репо нужен для установки базовых компонентов PG-14
sh -c 'echo "deb http://apt.postgresql.org/pub/repos/apt $(lsb_release -cs)-pgdg main" > /etc/apt/sources.list.d/pgdg.list'
# Нужен для установки ключа ниже
apt install gnupg2
wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | apt-key add -

apt update

locale-gen en_US.UTF-8 ru_RU.UTF-8
update-locale LANG=ru_RU.UTF-8

timedatectl set-timezone Europe/Moscow

# перезапускаем клиент, проверяем локаль через locale
# если не ru_RU.UTF-8
# то в ручную настраиваем через dpkg-reconfigure locales

apt install postgresql-client-common postgresql-common libxslt1.1 ssl-cert libllvm6.0

# используется для более старых сборок PG-1C
# wget http://security.ubuntu.com/ubuntu/pool/main/i/icu/libicu55_55.1-7ubuntu0.5_amd64.deb
# dpkg -i libicu55_55.1-7ubuntu0.5_amd64.deb
# apt-mark hold libicu55

wget http://security.ubuntu.com/ubuntu/pool/main/o/openssl/libssl1.0.0_1.0.2g-1ubuntu4.20_amd64.deb
dpkg -i libssl1.0.0_1.0.2g-1ubuntu4.20_amd64.deb
apt-mark hold libssl1.0.0


wget http://security.ubuntu.com/ubuntu/pool/main/i/icu/libicu60_60.2-3ubuntu3.2_amd64.deb
apt install ./libicu60_60.2-3ubuntu3.2_amd64.deb
apt-mark hold libicu60

wget http://mirrors.kernel.org/ubuntu/pool/main/r/readline/libreadline7_7.0-3_amd64.deb
apt install ./libreadline7_7.0-3_amd64.deb

# На момент написания статьи v0.4.0, для которой отправлен PR по исправлению ошибки получения дистрибутива PG
wget https://github.com/v8platform/oneget/releases/download/v0.5.1/oneget_Linux_x86_64.tar.gz

tar xfz oneget_Linux_x86_64.tar.gz

export ONEC_USERNAME={Пользователь ИТС}
export ONEC_PASSWORD={Пароль ИТС}

./oneget get --path ./tmp/dist/ pg:deb.x64@14.1-2.1C

cd ~/tmp/dist/addcomppostgre/14.1-2.1c

tar xjf postgresql_14.1_2.1C_amd64_deb.tar.bz2

cd postgresql-14.1-2.1C_amd64_deb

apt install ./libpq5_14.1-2.1C_amd64.deb
apt install ./postgresql-14_14.1-2.1C_amd64.deb
apt install ./postgresql-client-14_14.1-2.1C_amd64.deb

echo "listen_addresses = '*'" >> /etc/postgresql/14/main/postgresql.conf
# Если оставить scram-sha-256, то при подключении ловим ошибку аутентификации
echo "password_encryption = md5" >> /etc/postgresql/14/main/postgresql.conf

echo "# IPv4 LAN connections:" >> /etc/postgresql/14/main/pg_hba.conf 
echo "host    all             all             0.0.0.0/0            md5" >> /etc/postgresql/14/main/pg_hba.conf


# Берем настройки под конфигурацию с https://pgtune.leopard.in.ua/
# Добавляем в конец файла /etc/postgresql/14/main/postgresql.conf

service postgresql restart

# Смена пароля
su - postgres
psql
ALTER USER postgres WITH PASSWORD '';

Обычно проверяю подключение через DBeaver Community, https://dbeaver.io/

Перенос stats_temp_directory в ОЗУ

mkdir /var/lib/pgsql_stats_tmp
chown postgres:postgres /var/lib/pgsql_stats_tmp

# Теперь добавляем в fstab (не забудьте в конце переход на новую строку поставить):

echo "tmpfs /var/lib/pgsql_stats_tmp tmpfs size=1G,uid=postgres,gid=postgres 0 0 \
" >> /etc/fstab

mount /var/lib/pgsql_stats_tmp

Проверяем
df -h

echo "stats_temp_directory = '/var/lib/pgsql_stats_tmp'" >> /etc/postgresql/14/main/postgresql.conf

service postgresql restart

Установка сервера 1С

В качестве основы буду использовать LXC контейнер (ссылка на описание) с Ubuntu 20.04.

Если планируется хранить файлы в томах на диске, то к контейнеру нужно будет монтировать внешние диски, для этого он должен быть привилегированным, флаг устанавливается в [3], после установки изменить проблематично. Для удобства рекомендую использовать доступ через SSH ключи [4]

В параметрах DNS нужно указать локальный DNS, потому что по умолчанию PVE устанавливает DNS хоста.

После запуска контейнера подключаюсь с локального ПК к srv1c.{domain}.lan по SSH, работает регистрация в DNS записей DHCP.

Использовать буду 8.3.18, т.к. в ней инсталлятор из deb пакетов, для платформ выше рабочих скриптов не встречал. Для скачивания дистрибутива использую OneGet (ссылка)

apt update
apt upgrade

locale-gen en_US.UTF-8 ru_RU.UTF-8
update-locale LANG=ru_RU.UTF-8

timedatectl set-timezone Europe/Moscow

sudo apt install ttf-mscorefonts-installer
sudo apt install imagemagick

sudo apt install unixodbc
sudo apt install libgsf-bin
sudo apt install t1utils


wget https://github.com/v8platform/oneget/releases/download/v0.5.1/oneget_Linux_x86_64.tar.gz

tar xfz oneget_Linux_x86_64.tar.gz

export ONEC_USERNAME=
export ONEC_PASSWORD=

./oneget get --path ./tmp/dist/ platform:deb.server.x64@8.3.18.1334

cd ~/tmp/dist/platform83/8.3.18.1334

tar xfz deb64_8_3_18_1334.tar.gz

dpkg -i 1c-enterprise-*-common_*_amd64.deb
dpkg -i 1c-enterprise-*-server_*_amd64.deb
dpkg -i 1c-enterprise-*-ws_*_amd64.deb

cp /opt/1cv8/x86_64/8.3.18.1334/srv1cv83 /etc/init.d/srv1cv83

cp /opt/1cv8/x86_64/8.3.18.1334/srv1cv83.conf /etc/default/srv1cv83

update-rc.d srv1cv83 defaults
service srv1cv83 start

service srv1cv83 stop

sed -i 's/"srv1c"/"srv1c.malikov.lan"/g' '/home/usr1cv8/.1cv8/1C/1cv8/1cv8wsrv.lst'
sed -i 's/"srv1c"/"srv1c.malikov.lan"/g' '/home/usr1cv8/.1cv8/1C/1cv8/reg_1541/1CV8Clst.lst'

service srv1cv83 start

apt update
apt upgrade

locale-gen en_US.UTF-8 ru_RU.UTF-8
update-locale LANG=ru_RU.UTF-8

timedatectl set-timezone Europe/Moscow

sudo apt install -y ttf-mscorefonts-installer
sudo apt install -y imagemagick

sudo apt install -y unixodbc
sudo apt install -y libgsf-bin
sudo apt install -y t1utils


wget https://github.com/v8platform/oneget/releases/download/v0.5.1/oneget_Linux_x86_64.tar.gz

tar xfz oneget_Linux_x86_64.tar.gz

export ONEC_USERNAME=
export ONEC_PASSWORD=

# пока не работает, скачиваем и переносим на сервер руками, https://github.com/v8platform/oneget/issues/27
./oneget get --path ./tmp/dist/ platform:linux.full.x64@8.3.20.1789

cd ~/tmp/dist/platform83/8.3.20.1789

tar xfz server64_8_3_20_1789.tar.gz

./setup-full-8.3.20.1789-x86_64.run --mode unattended --enable-components server,ws,ru --installer-language ru --disable-components client_full

cp /opt/1cv8/x86_64/8.3.20.1789/srv1cv83 /etc/init.d/srv1cv83
cp /opt/1cv8/x86_64/8.3.20.1789/srv1cv83.conf /etc/default/srv1cv83

update-rc.d srv1cv83 defaults
service srv1cv83 start

service srv1cv83 stop

sed -i 's/"srv1c"/"srv1c.malikov.lan"/g' '/home/usr1cv8/.1cv8/1C/1cv8/1cv8wsrv.lst'
sed -i 's/"srv1c"/"srv1c.malikov.lan"/g' '/home/usr1cv8/.1cv8/1C/1cv8/reg_1541/1CV8Clst.lst'

service srv1cv83 start


# Настройка хранилища конфигураций

./setup-full-8.3.20.1789-x86_64.run --mode unattended --enable-components config_storage_server,ru --installer-language ru --disable-components client_full

nano /etc/systemd/system/crserver.service

[Unit]
Description=1C 8.3 Confiration Storage Server
After=network.target

[Service]
Type=simple
ExecStart=/opt/1cv8/x86_64/8.3.20.1789/crserver -d /home/usr1cv8/storage

[Install]
WantedBy=multi-user.target

systemctl enable crserver
systemctl start crserver

Проверяю работоспособность с локального ПК через консоль кластера, создаю базу. Загружаю тест TCP-A от Гилева.

Резервное копирование контейнеров

Резервные копи делаются средствами proxmox, возможно запускать вручную и настраивать расписание. Копии делаются как на лету так и с остановкой контейнера. На данный момент для LXC контейнера у меня работают копии только с остановкой, возможно коллеги в комментариях подскажут как настроить чтобы работало на лету, для VM работает на лету. Ссылка на более подробное описание (RU), ссылка на документацию (EN).

Настройка бекапов по расписанию

Отправка уведомлений на email осуществляется через postfix (ссылка), краткая инструкция по настройке ссылка.

LXC контейнеры для Docker контейнеров

Часть программного обеспечения уже поставляется в виде docker контейнеров, под них имеет смысл разворачивать контейнер с Alpine Linux (ссылка), шаблон Ubuntu 200+ МБ, Alpine 3.5 МБ, установка Docker (ссылка) чуть проще чем на Ubuntu (ссылка), пример с разворачиванием PlantUML (ссылка)

apk update

apk add docker docker-compose
rc-update add docker default
/etc/init.d/docker start

#Запуск контейнера
docker run -d --restart=always -p 8080:8080 plantuml/plantuml-server:jetty

Итоги:

В результате собрано окружение в котором можно разворачивать контейнеры и VM под текущие задачи. Доступ к ним прикрыт VPN, при необходимости можно сделать проброс портов с помощью шлюза OPNSense.

Благодарю за внимание.