Первичная настройка, повторная проверка: копии без ключевых носителей СКЗИ (--one-file-system, без keymedia), без отпечатка железа и списка компонентов; восстановление на новый сервер — пароль базы bj из копии, база и пользователь ИШ; ключ для контура без канала запоминается и подключается при настройке канала; первый настроенный канал становится рабочим контуром; справочник сертификатов перечитывается после ключа и смены контура; шлюз НРД — шаг 7, ключ — шаг 8 (ключ ставится в профиль ИШ); подсказка контура ключа по сертификату; ИШ: параметры работающего шлюза не перезаписываются; без чужого кода отправителя и получателя по умолчанию; прокси для выхода в интернет; установка с образа без интернета; HTTPS — новый сертификат при смене адреса; bj-network — без cloud-init; проверка готовности: справочник участников, сетевые доступы, учётные записи, последний обмен с НРД
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_014FsEKyJrYF69Cj9ZXzFLRi
This commit is contained in:
zuevav
@@ -129,13 +129,43 @@ PY
|
||||
LC_ALL=C PGOPTIONS='-c lc_messages=C' runuser -u postgres -- pg_restore --clean --if-exists -d bj < "$W/bj.pgdump" >/dev/null 2>"$W/pg.err"
|
||||
# «does not exist» при --clean на пустой базе — не ошибка; остальное — ошибка
|
||||
if grep -i "error" "$W/pg.err" | grep -vqi "does not exist"; then die "база bj: $(grep -i error "$W/pg.err" | grep -vi 'does not exist' | head -1)"; fi
|
||||
if [ -s "$W/igate.pgdump" ] && runuser -u postgres -- psql -Atc "select 1 from pg_database where datname='igate'" | grep -q 1; then
|
||||
if [ -s "$W/igate.pgdump" ]; then
|
||||
st db "восстановление базы шлюза НРД"
|
||||
# новый сервер: ИШ ещё не ставили — готовим пользователя, роль, базу и доступ без пароля (как ставит
|
||||
# bj-igate-admin), чтобы данные и каналы ИШ вернулись; сам пакет ИШ потом ставится на шаге «Шлюз НРД»
|
||||
id igate >/dev/null 2>&1 || useradd --system --home-dir /var/lib/igate --create-home --shell /usr/sbin/nologin igate
|
||||
runuser -u postgres -- psql -tAc "select 1 from pg_roles where rolname='igate'" | grep -q 1 || runuser -u postgres -- psql -qc "create role igate login"
|
||||
runuser -u postgres -- psql -lqt | cut -d'|' -f1 | grep -qw igate || runuser -u postgres -- createdb -O igate igate
|
||||
hba=$(runuser -u postgres -- psql -tAc "show hba_file")
|
||||
if [ -f "$hba" ] && ! grep -q '^# bj-igate-trust' "$hba"; then
|
||||
cp -a "$hba" "$hba.bak-bj-igate"
|
||||
{ printf '# bj-igate-trust\nlocal igate igate trust\nhost igate igate 127.0.0.1/32 trust\nhost igate igate ::1/128 trust\n'; cat "$hba.bak-bj-igate"; } > "$hba"
|
||||
runuser -u postgres -- psql -qtAc "select pg_reload_conf()" >/dev/null
|
||||
fi
|
||||
LC_ALL=C PGOPTIONS='-c lc_messages=C' runuser -u postgres -- pg_restore --clean --if-exists -d igate < "$W/igate.pgdump" >/dev/null 2>&1
|
||||
fi
|
||||
st files "восстановление данных bj и шлюза НРД"
|
||||
tar -C / -xzf "$W/bj-data.tar.gz" || die "распаковка данных bj"
|
||||
[ -s "$W/igate-data.tar.gz" ] && { tar -C / -xzf "$W/igate-data.tar.gz" || die "распаковка данных шлюза НРД"; }
|
||||
# своё у этой машины (отпечаток железа, установленные компоненты) — сохраняем поверх копии; ключевые
|
||||
# носители из старых копий не раскладываем: ключ СКЗИ — только на своём носителе
|
||||
mkdir -p "$W/keep"; cp -a /var/lib/bj/.bj/components.json /etc/bj/hw-id "$W/keep/" 2>/dev/null
|
||||
tar -C / -xzf "$W/bj-data.tar.gz" --exclude=etc/bj/hw-id --exclude=var/lib/bj/.bj/components.json || die "распаковка данных bj"
|
||||
[ -f "$W/keep/components.json" ] && cp -a "$W/keep/components.json" /var/lib/bj/.bj/components.json
|
||||
[ -f "$W/keep/hw-id" ] && cp -a "$W/keep/hw-id" /etc/bj/hw-id
|
||||
# пароль пользователя базы bj — как в восстановленных настройках: установщик нового сервера задал свой
|
||||
# случайный пароль, и без этого bj не подключился бы к своей базе (ушёл бы в хранение в памяти)
|
||||
pw=$(python3 - <<'PY'
|
||||
import json,urllib.parse
|
||||
try:
|
||||
d=json.load(open("/var/lib/bj/.bj/setup.json")).get("postgres",{}).get("dsn","")
|
||||
u=urllib.parse.urlparse(d)
|
||||
if u.username=="bj" and u.password and u.hostname in ("127.0.0.1","localhost"): print(urllib.parse.unquote(u.password))
|
||||
except Exception: pass
|
||||
PY
|
||||
)
|
||||
if [ -n "$pw" ]; then
|
||||
printf "ALTER ROLE bj WITH PASSWORD '%s';\n" "$(printf '%s' "$pw" | sed "s/'/''/g")" | runuser -u postgres -- psql -q >/dev/null 2>&1 || die "не удалось выставить пароль базы bj из копии"
|
||||
fi
|
||||
[ -s "$W/igate-data.tar.gz" ] && { tar -C / -xzf "$W/igate-data.tar.gz" --exclude='var/lib/igate/keymedia/*' || die "распаковка данных шлюза НРД"; }
|
||||
# копия хранилища в восстановленных настройках есть, а пароль в неё не входит — берём тот, с которым
|
||||
# восстанавливали, и возвращаем расписание копий
|
||||
if [ -r "$CONF" ]; then
|
||||
@@ -148,7 +178,12 @@ PY
|
||||
systemctl start bj-server >/dev/null 2>&1
|
||||
systemctl is-enabled bj-backup.timer >/dev/null 2>&1 && systemctl start bj-backup.timer >/dev/null 2>&1
|
||||
for u in bj-npr bj-lk; do systemctl is-enabled "$u" >/dev/null 2>&1 && systemctl start "$u" >/dev/null 2>&1; done
|
||||
had_igate=0; [ -s "$W/igate-data.tar.gz" ] && had_igate=1
|
||||
rm -rf "$W" /run/bj-restore.conf
|
||||
st done "восстановлено из копии $NAME" ;;
|
||||
if [ "$had_igate" = 1 ] && [ ! -x /opt/nsd/igate/igate-svc/igate-svc ]; then
|
||||
st done "восстановлено из копии $NAME. Шлюз НРД на этом сервере не установлен — установите его в мастере (шаг «Шлюз НРД»): настройки и каналы из копии подхватятся; ключ — подключите носитель и установите мастером ключа"
|
||||
else
|
||||
st done "восстановлено из копии $NAME"
|
||||
fi ;;
|
||||
*) err "неизвестная команда: $cmd" ;;
|
||||
esac
|
||||
|
||||
Reference in New Issue
Block a user