Examples-pilot fixes by SergeyFM · Pull Request #63 · HyperSoftLab/docs

SergeyFM · 2025-01-18T12:50:12Z

Прошу рассмотреть исправления дистрибутива GMonit onPrem с самоподписанными сертификатами.
Исправлены ошибки, добавлена инструкция по инсталляции.

1. исправлен путь до geoip.mmdb для grafana 2. исправлен путь до сертификатов для nginx

1. Заключил названия переменных в скобки, чтобы они разрешались 2. Добавил подробностей по ssl протоколам 3. отключил ssl_stapling, чтобы не было лишних warnings в логах

1. Указал версию, для которой этот дистрибутив проверялся 2. Заменил CA_FILE на pem фал 3. Отформатировал файл для ясности

Добавил инструкцию по инсталляции этого дистрибутива GMonit.

darkleaf · 2025-01-18T13:06:58Z

+
 # Версия GMonit
-TAG=
+TAG=v3-3135


Это приведет к ошибкам, не стоит прописывать конкретные значения.
Например, кто-то забудет и будет использовать старую версию

Нам обязательно надо указывать ту версию, на которой проверялся этот дистрибутив. Поэтому считаю, что надо указывать версию на которой этот дистрибутив проходил QA.

darkleaf · 2025-01-18T13:07:41Z

-# Для этих доменов выпущен самоподписанный сертификат на 100 лет.
-# Команды для выпуска сертификата вы найдете в директории ./ssl
+# Passwords
+GRAFANA_ADMIN_PASSWORD=123456789 #пароль для admin в Grafana


так делать нельзя, т.к. из-за ошибок у клиентов будет дефолтный пароль, и этот дефолтный пароль общедоступен

docs/lite.md

Line 27 in f66e11c

`openssl rand -base64 <n>`, где `<n>` - длинна пароля/токена

пользуйтесь

Не совсем корректно, так как <n> - количество случайных байт, которые будут сгенерированы до кодирования, длина результата будет другой из-за base64.
В инструкцию для lite на маркетплейсе поехала незамердженная версия.

darkleaf · 2025-01-18T13:08:12Z

-    ssl_certificate         SSL_CERT;
-    ssl_certificate_key     SSL_KEY;
-    ssl_trusted_certificate SSL_CHAIN_CERT;
+	ssl_certificate ${SSL_CERT};


отступы не стоит менять

darkleaf · 2025-01-18T13:09:19Z

@@ -0,0 +1,213 @@
+# Инструкция по подготовке и запуску GMonit


файл должен называться Readme.md чтобы он открывался при заходе в директорию на гитхабе

darkleaf · 2025-01-18T13:10:41Z

+
+### 6. Разместить файлы сертификатов
+- Скопировать созданные сертификаты в директорию `gmonit/ssl` дистрибутива GMonit.
+- Файл `rootCA.crt` на сервере `sudo cp rootCA.crt /usr/local/share/ca-certificates/` -> `sudo update-ca-certificates`.


так нельзя делать по соображениям безопасности, и нет причины это делать

Напиши пожалуйста подробнее, как надо делать.

Тебе нужно понять что именно ты тут делаешь.
Ты добавляешь свой сертификат в систему, когда, не если, приватный ключ утечет, то злоумышленник сможет притвориться ЛЮБЫМ сайтом, в том числе банком, и провернуть атаку человек посередине

darkleaf · 2025-01-18T13:27:22Z

+- На машине пользователя (Windows) добавить домены в `C:\Windows\System32\drivers\etc\hosts`.
+- На Linux машине: `sudo nano /etc/hosts`.
+
+### 4. Выпустить Root Certificate Authority (CA) 


Отмечу еще, что если клиенту нужны самоподписанные сертификаты, то почти наверняка
в компании есть собственный корневой сертификат и процессы по выпуску конечных сертификатов.

Может быть не стоит здесь давать эти рекомендации.

Наша задача: сделать установку нашего дистрибутива гладкой и понятной. Я отметил, что при наличии сертификатов, эти шаги можно пропустить. А для тестовой установки проверенные шаги по генерации сертификатов позволят сотруднику не совершить ошибок при создании сертификатов.

Чтобы не было ошибок для QA там лежали сертификаты, выпущенные на 100 лет или вроде того

krevedkokun · 2025-01-20T13:53:09Z

+### 5. Выпустить SSL-сертификат
+- Создать конфигурационный файл.
+```bash
+nano cert.conf


cat <<EOF > cert.conf [req] default_bits = 2048 default_md = sha256 ... EOF

krevedkokun · 2025-01-20T13:54:50Z

    image: umputun/nginx-le:v1.7.0
    volumes:
-      - ./nginx/ssl:/etc/nginx/ssl
+      - ./ssl:/gmonit/ssl


зачем?

https://github.com/nginx-le/nginx-le?tab=readme-ov-file#environment-variables-list

krevedkokun · 2025-01-20T13:56:17Z

-    ssl_certificate         SSL_CERT;
-    ssl_certificate_key     SSL_KEY;
-    ssl_trusted_certificate SSL_CHAIN_CERT;
+	ssl_certificate ${SSL_CERT};
+	ssl_certificate_key ${SSL_KEY};
+	ssl_trusted_certificate ${SSL_CHAIN_CERT};


зачем?[2]

krevedkokun · 2025-01-20T13:58:52Z

+	ssl_stapling off;
+	ssl_stapling_verify off;


оно и так выключено

krevedkokun · 2025-01-20T14:11:20Z


-    # in caddy it's also unlimited, leaving it as is for now
+	ssl_protocols TLSv1.2 TLSv1.3;
+	ssl_ciphers HIGH:!aNULL:!MD5;


Syntax: ssl_ciphers ciphers; Default: ssl_ciphers HIGH:!aNULL:!MD5;

krevedkokun · 2025-01-20T14:12:01Z

+	ssl_trusted_certificate ${SSL_CHAIN_CERT};

-    # in caddy it's also unlimited, leaving it as is for now
+	ssl_protocols TLSv1.2 TLSv1.3;


Syntax: ssl_protocols [SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2] [TLSv1.3]; Default: ssl_protocols TLSv1.2 TLSv1.3;

krevedkokun · 2025-01-20T14:29:15Z

    volumes:
      - ./ssl:/gmonit/ssl
-      - ./***.mmdb:/gmonit/geoip.mmdb
+      - ./geoip.mmdb:/gmonit/geoip.mmdb


это наверное в .env вынести просто и здесь подставлять

SergeyFM added 4 commits January 18, 2025 14:46

compose.yaml fix

57101da

1. исправлен путь до geoip.mmdb для grafana 2. исправлен путь до сертификатов для nginx

.env.example fix

a238403

1. Указал версию, для которой этот дистрибутив проверялся 2. Заменил CA_FILE на pem фал 3. Отформатировал файл для ясности

installation_instruction added

6448cdc

Добавил инструкцию по инсталляции этого дистрибутива GMonit.

SergeyFM requested review from KGOH, darkleaf, devleifr and krevedkokun as code owners January 18, 2025 12:50

darkleaf requested changes Jan 18, 2025

View reviewed changes

darkleaf reviewed Jan 18, 2025

View reviewed changes

krevedkokun requested changes Jan 20, 2025

View reviewed changes

krevedkokun reviewed Jan 20, 2025

View reviewed changes

		@@ -0,0 +1,213 @@
		# Инструкция по подготовке и запуску GMonit

Conversation

SergeyFM commented Jan 18, 2025

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

4 participants