Self-hosted и air-gap
Когда в облако нельзя — 152-ФЗ, КИИ, закрытый контур — WarpFleet целиком разворачивается у вас. Функционал тот же, данные не покидают периметр.
Установка
Один сервер под управляющий контур (bridge + консоль), дальше — одна команда:
curl -fsSL https://warpfleet.ru/install.sh -o install.sh && sudo bash install.shУстановщик спросит домен (TLS выпустится автоматически) и создаст админ-токен. Параметры можно задать заранее переменными окружения:
| Переменная | Что задаёт | По умолчанию |
|---|---|---|
| DOMAIN | публичный домен консоли, авто-TLS | — |
| ADMIN_TOKEN | админ-токен API | генерируется |
| PORT | HTTP-порт | 18080 |
| DATA_DIR | каталог установки | /opt/warpfleet |
| UNATTENDED=1 | без вопросов, все дефолты | 0 |
Лицензия
Скачайте ключ в личном кабинете и положите его рядом с bridge:
scp license.key root@bridge:/opt/warpfleet/data/bridge/license.key
ssh root@bridge "cd /opt/warpfleet && docker compose restart bridge"Лицензия — подписанный офлайн-файл: проверяется локально, связь с WarpFleet для работы не нужна.
Что уходит наружу
Метрики, журналы, инциденты и данные ваших серверов остаются на вашем bridge — наружу они не уходят. Без закрытого режима bridge обращается к WarpFleet только с двумя служебными проверками:
- Проверка лицензии — раз в сутки на
warpfleet.ru: идентификатор машины, номер лицензии и версия bridge. Только для ключа из личного кабинета; в пробном режиме без ключа не отправляется. Выключается строкойHA_BRIDGE_LICENSE_HEARTBEAT_HOURS=0в.env. - Проверка обновлений агента — раз в 5 минут bridge скачивает подписанный манифест
с
download.warpfleet.ru, чтобы показать в консоли «доступно обновление». О ваших серверах ничего не передаёт.
Агенты при установке и обновлении скачивают файлы с download.warpfleet.ru. В закрытом режиме
(ниже) всего этого нет: агенты берут файлы только с вашего bridge, наружу не уходит ни одного обращения.
Air-gap: полностью изолированная сеть
- Установка из офлайн-пакета сама включает закрытый режим: агенты ставятся и обновляются только
с вашего bridge, проверка лицензии и обновлений наружу не уходит. Включить его на уже установленном
bridge — строка
HA_BRIDGE_AIR_GAPPED=trueв.envи повторный запуск установщика (настройки и данные сохраняются). - Ключ не привязан к железу — выпускается в кабинете и переносится в контур как файл.
- Проверка подписи лицензии, бинарей и плейбуков — офлайн (Ed25519, публичный ключ вшит).
- Обновления — офлайн-пакетом:
./upgrade.sh --bundle <пакет>. Подпись пакета проверяется, при сбое — автоматический откат. Агент откажется от файла, чья контрольная сумма не совпадает с манифестом.