Installazione
Installa l'agente InfraFence su Linux con install.sh: requisiti, tutte le opzioni dell'installer, dove finiscono i file e come reinstallare o spostare un server.
Ultimo aggiornamento:
L'agente gira come servizio sul server: systemd, upstart o sysvinit. Per i container vedi Docker e Kubernetes.
Requisiti
- Linux su x86-64 (
x86_64) o ARM64 (aarch64). Con qualsiasi altra architettura l'installer si ferma conUnsupported architecture. - Accesso root.
- systemd, upstart o sysvinit.
apt-get,dnfoyum, per installare ciò che manca:curl,iptableseca-certificates. Viene installato ancheipset, quando il controllo in sola lettura dice che è sicuro farlo.- HTTPS in uscita verso
infrafence.com,github.comerelease-assets.githubusercontent.com: l'agente si scarica solo dalle release su GitHub.
La pagina distribuzioni supportate elenca le 15 distribuzioni su cui viene testata ogni release.
Installare
Crea un token di installazione nella dashboard (Server › Aggiungi server), poi sul server:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <YOUR_TOKEN>L'installer non fa mai domande, quindi funziona anche dagli script di provisioning.
Opzioni dell'installer
| Opzione | Effetto |
|---|---|
--token <TOKEN> |
Il token di installazione monouso dalla dashboard. Necessario per una nuova registrazione. |
--dry-run |
Scarica l'agente, esegue il controllo in sola lettura, stampa cosa farebbe un'esecuzione reale. Non viene installato né modificato nulla, e non serve un token. |
--no-ipset |
Non installa mai ipset. I ban funzionano comunque, con una regola del firewall per indirizzo (fino a 500); il blocco per paese e il blocco delle liste di threat intelligence in quel caso si limitano a rilevare. |
--install-only |
Installa il binario e il servizio senza registrare il server. Il servizio è abilitato ma non avviato; l'installer stampa il comando infrafence-agent register da eseguire in seguito. |
--force-register |
Registra di nuovo anche se /etc/infrafence/config.json esiste, con un nuovo token. |
--skip-checksum |
Installa anche quando il checksum della release non si può scaricare. Non sicuro: il binario non viene verificato. Senza questa opzione, un checksum mancante o sbagliato ferma l'installer e non viene installato nulla. |
--uninstall |
Rimuove l'agente e ciò che ha aggiunto. Vedi Disinstallazione. |
L'installer legge anche queste variabili d'ambiente:
| Variabile | Predefinito | Effetto |
|---|---|---|
INFRAFENCE_AGENT_NAME |
l'hostname breve | Il nome che il server ha nella dashboard. |
INFRAFENCE_SERVER_URL |
https://infrafence.com |
La dashboard presso cui si registra l'agente. |
Passale attraverso sudo, per esempio:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo INFRAFENCE_AGENT_NAME=web-01 bash -s -- --token <YOUR_TOKEN>Dove finiscono i file
| Percorso | Cosa |
|---|---|
/usr/local/bin/infrafence-agent |
Il binario dell'agente. Dopo un aggiornamento la versione precedente resta come infrafence-agent.bak. |
/etc/infrafence/config.json |
L'indirizzo della dashboard e il token dell'agente (permessi 0600, directory 0750). |
/var/lib/infrafence/ |
Stato: ban, whitelist, blocchi per paese, porte chiuse, file in quarantena. |
/etc/systemd/system/infrafence-agent.service |
La unit systemd (upstart: /etc/init/infrafence-agent.conf; sysvinit: /etc/init.d/infrafence-agent). |
/usr/local/bin/infrafence-agent-recover.sh |
Gira prima di ogni avvio sotto systemd: se il binario è danneggiato ripristina il backup o scarica di nuovo la release, verificandone checksum e firma. |
Sotto systemd l'agente scrive i log nel journal (journalctl -u infrafence-agent), con upstart o sysvinit in syslog.
Eseguirlo di nuovo
Se esegui di nuovo l'installer senza --token su un server registrato, aggiorna il binario e il servizio e mantiene la registrazione:
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bashStampa Existing config found at /etc/infrafence/config.json — keeping current registration. Per collegare il server a un'altra organizzazione, o come nuovo server, usa --force-register con un nuovo token.
Se qualcosa non va
L'installer spiega ogni errore in un riquadro con il passo successivo: una dipendenza mancante, un download fallito o una registrazione non riuscita (Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan). Vedi Risoluzione dei problemi.