Instalación manual

La forma más rápida de agregar un servidor es el comando de una línea del panel: consulte Instalar los agentes. Esta página explica todas las demás formas de instalar el servidor principal y los agentes.

Qué necesita para un agenteCopy Anchor Link

Todos los métodos necesitan la dirección del servidor principal y el token del servidor o la clave de registro. Para aprobar reparaciones de la IA, también necesitan las huellas de la clave de firma del servidor principal y de sus llaves de acceso. Copie el comando de instalación del panel y tome los valores de ahí:

La arquitectura de CPUCopy Anchor Link

El instalador encuentra solo el programa correcto. Para la instalación a mano, necesita saber qué archivo usar:

Esto define ARCH para los comandos de abajo:

case "$(uname -m)" in x86_64) ARCH=amd64 ;; aarch64) ARCH=arm64 ;; armv7l) ARCH=arm ;; i?86) ARCH=386 ;; esac; echo "$ARCH"

Agentes con el instaladorCopy Anchor Link

Agente desde el paquete de distribuciónCopy Anchor Link

Copie el paquete de distribución al servidor y descomprímalo, igual que para el servidor principal. Luego, en su directorio:

sudo bash install.sh agent --master 'https://monitor.example.com' --token 'TOKEN' --master-key MASTER_FP --approvers PASSKEY_FP

Con la clave de registro en lugar de un token, el servidor se registra solo:

sudo bash install.sh agent --master 'https://monitor.example.com' --enroll 'CLAVE_DE_REGISTRO' --master-key MASTER_FP --approvers PASSKEY_FP --name web-2 --group Produccion

El instalador verifica la suma del programa y lo instala desde el paquete en lugar de descargarlo. Todo lo demás es igual que con el comando del panel. El servidor debe poder llegar al servidor principal de todos modos, para el reporte de prueba y para reportar después, y se actualiza solo desde el servidor principal como siempre.

Descargar primero el instaladorCopy Anchor Link

Para leer el instalador antes de ejecutarlo, descárguelo del servidor principal. El enlace necesita el token o la clave de registro (?t=):

curl -fsSL -o install.sh 'https://monitor.example.com/dl/install.sh?t=TOKEN'
less install.sh
sudo bash install.sh agent --master 'https://monitor.example.com' --token 'TOKEN' --master-key MASTER_FP --approvers PASSKEY_FP

O ejecute sudo bash install.sh sin opciones y elija 1) Agente. El instalador pregunta entonces la URL del servidor principal, el Token del servidor (presione Enter para usar una clave de registro) y la Clave de registro. Así no confía en ninguna clave: ejecute después sudo 3rmonitor approvers trust si quiere reparaciones de la IA aprobadas en este servidor.

En los dos casos, el programa se descarga del servidor principal y se verifica su suma.

Con wget en lugar de curlCopy Anchor Link

wget -qO- 'https://monitor.example.com/dl/install.sh?t=TOKEN' | sudo bash -s -- agent --master 'https://monitor.example.com' --token 'TOKEN' --master-key MASTER_FP --approvers PASSKEY_FP

El propio instalador también usa wget cuando curl no está instalado.

Un servidor principal con certificado autofirmadoCopy Anchor Link

Tanto la descarga como el agente deben omitir la verificación del certificado. Agregue -k a curl (--no-check-certificate a wget) y --insecure al instalador:

curl -fsSLk 'https://monitor.example.com/dl/install.sh?t=TOKEN' | sudo bash -s -- agent --master 'https://monitor.example.com' --token 'TOKEN' --insecure --master-key MASTER_FP --approvers PASSKEY_FP

--insecure escribe insecure = true en agent.conf, así que el agente sigue omitiendo la verificación cuando reporta.

Muchos servidores desde un script o una herramientaCopy Anchor Link

Use el comando de registro: es el mismo para todos los servidores, y cada uno se registra solo. Agregue -y para que el instalador no pregunte nada. El nombre predeterminado es el nombre del host del servidor.

for h in web-1 web-2 db-1; do
  ssh root@$h "curl -fsSL 'https://monitor.example.com/dl/install.sh?t=CLAVE_DE_REGISTRO' | bash -s -- agent --master 'https://monitor.example.com' --enroll 'CLAVE_DE_REGISTRO' --master-key MASTER_FP --approvers PASSKEY_FP --name $h --group Produccion -y"
done

• Guarde la clave de registro en los secretos de su herramienta (por ejemplo, Ansible Vault): cualquiera que la tenga puede agregar servidores a su panel.
• Las huellas deben coincidir con las llaves de acceso de confianza en este momento. Después de agregar o revocar una llave de acceso, vuelva a copiar el comando. Si no coinciden, el agente se instala igual, pero el instalador advierte "No se fijaron las claves" y el servidor no confía en ninguna clave: ejecute sudo 3rmonitor approvers trust en él.

Todo a mano, sin install.shCopy Anchor Link

Estos pasos hacen lo mismo que install.sh y crean los mismos archivos y servicios. Así, las actualizaciones posteriores, las actualizaciones automáticas de los agentes e install.sh uninstall funcionan como siempre. Reemplace los valores en mayúsculas por los suyos.

El servidor principal a manoCopy Anchor Link

tar xzf 3rmonitor-1.1.1.tar.gz && cd 3rmonitor-1.1.1
sha256sum -c --ignore-missing SHA256SUMS

sudo useradd --system --home-dir /var/lib/3rmonitor --no-create-home --shell /usr/sbin/nologin 3rmonitor
sudo install -d -m 750 -o 3rmonitor -g 3rmonitor /var/lib/3rmonitor /var/lib/3rmonitor/update
sudo install -d /etc/3rmonitor /opt/3rmonitor/dist

sudo install -m 755 3rmonitor-linux-$ARCH /opt/3rmonitor/3rmonitor
sudo ln -sf /opt/3rmonitor/3rmonitor /usr/local/bin/3rmonitor
sudo ln -sf /opt/3rmonitor/3rmonitor /usr/bin/3rmonitor
sudo install -m 755 install.sh /opt/3rmonitor/install.sh
sudo cp 3rmonitor-linux-* SHA256SUMS SHA256SUMS.sig install.sh /opt/3rmonitor/dist/
sudo chmod -R a+rX /opt/3rmonitor/dist
if [ -f geoip-country.mmdb ]; then sudo install -m 640 -o 3rmonitor -g 3rmonitor geoip-country.mmdb /var/lib/3rmonitor/; fi

sudo tee /etc/3rmonitor/master.conf >/dev/null <<'EOF'
listen = 0.0.0.0:8899
data_dir = /var/lib/3rmonitor
dist_dir = /opt/3rmonitor/dist
public_url = http://203.0.113.10:8899/
EOF
sudo chgrp 3rmonitor /etc/3rmonitor/master.conf
sudo chmod 640 /etc/3rmonitor/master.conf

sudo 3rmonitor init --public-url http://203.0.113.10:8899/ --admin admin --password 'CONTRASEÑA_SEGURA'

sudo tee /etc/systemd/system/3rmonitor-master.service >/dev/null <<'EOF'
[Unit]
Description=3R Monitor master (web panel, checks, alerts)
After=network-online.target
Wants=network-online.target
StartLimitIntervalSec=0

[Service]
Type=notify
NotifyAccess=main
User=3rmonitor
Group=3rmonitor
ExecStart=/opt/3rmonitor/3rmonitor master -c /etc/3rmonitor/master.conf
Restart=always
RestartSec=3
WatchdogSec=60
TimeoutStartSec=60
LimitNOFILE=65536
AmbientCapabilities=CAP_NET_RAW CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_RAW CAP_NET_BIND_SERVICE
NoNewPrivileges=true
ProtectSystem=full
ProtectHome=true
PrivateTmp=true
ReadWritePaths=/var/lib/3rmonitor

[Install]
WantedBy=multi-user.target
EOF

sudo mkdir -p /etc/systemd/system/3rmonitor-master.service.d
sudo tee /etc/systemd/system/3rmonitor-master.service.d/hardening.conf >/dev/null <<'EOF'
[Service]
ProtectSystem=strict
ReadWritePaths=/var/lib/3rmonitor
PrivateDevices=true
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectKernelLogs=true
ProtectControlGroups=true
ProtectClock=true
ProtectHostname=true
RestrictNamespaces=true
RestrictRealtime=true
RestrictSUIDSGID=true
LockPersonality=true
MemoryDenyWriteExecute=true
SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallErrorNumber=EPERM
RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX AF_NETLINK
UMask=0027
EOF

sudo tee /etc/systemd/system/3rmonitor-update.path >/dev/null <<'EOF'
[Unit]
Description=3R Monitor one-click update trigger (watches for a request from the panel)

[Path]
PathExists=/var/lib/3rmonitor/update/request
Unit=3rmonitor-update.service

[Install]
WantedBy=multi-user.target
EOF

sudo tee /etc/systemd/system/3rmonitor-update.service >/dev/null <<'EOF'
[Unit]
Description=3R Monitor one-click update (verifies the signed package, then runs install.sh upgrade)

[Service]
Type=oneshot
ExecStart=/opt/3rmonitor/3rmonitor apply-update -c /etc/3rmonitor/master.conf
TimeoutStartSec=20min
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now 3rmonitor-master 3rmonitor-update.path
sleep 5
curl -fsS http://127.0.0.1:8899/healthz      # {"status":"ok"}
3rmonitor status

sudo rm -r /etc/systemd/system/3rmonitor-master.service.d
sudo systemctl daemon-reload && sudo systemctl restart 3rmonitor-master

sudo ufw allow 8899/tcp                                                              # ufw (Ubuntu, Debian)
sudo firewall-cmd --permanent --add-port=8899/tcp && sudo firewall-cmd --reload      # firewalld (AlmaLinux, Rocky, RHEL)

Luego inicie sesión con la cuenta de administrador.

Monitorear también el servidor principal (servidor principal + agente)Copy Anchor Link

En el servidor principal, registre el propio servidor principal y ejecute su agente. Reporta al servidor principal por 127.0.0.1:

TOKEN=$(sudo 3rmonitor server add --name "$(hostname)" --group 'Servidor principal' --reuse -q)
sudo 3rmonitor bind --master http://127.0.0.1:8899 --token "$TOKEN"
sudo chmod 600 /etc/3rmonitor/agent.conf
sudo 3rmonitor agent --test
sudo 3rmonitor agent secure
sudo 3rmonitor approvers trust --yes

-q muestra solo el token, y --reuse lo reutiliza si ya existe un servidor con ese nombre. approvers trust --yes confía en las claves sin preguntar, porque el servidor principal está en este mismo servidor. La sección siguiente explica cada paso.

Un dominio con HTTPSCopy Anchor Link

Lo que hacen --domain y --https, a mano: un proxy inverso en Nginx o Apache y luego un certificado de Let's Encrypt con certbot.

sudo tee /etc/nginx/conf.d/3rmonitor.conf >/dev/null <<'EOF'
server {
    listen 80;
    server_name monitor.example.com;
    client_max_body_size 8m;
    location / {
        proxy_pass http://127.0.0.1:8899;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Connection "";
        proxy_buffering off;
        proxy_read_timeout 1h;
    }
}
EOF
sudo nginx -t && sudo systemctl reload nginx
sudo certbot --nginx -d monitor.example.com --no-redirect

Si hace falta, instale primero certbot y su complemento para Nginx o Apache (python3-certbot-nginx o python3-certbot-apache; en AlmaLinux, Rocky y RHEL vienen de EPEL). Luego configure Configuración → General → Dirección pública del panel como https://monitor.example.com/.

• --no-redirect es a propósito: los agentes que reportan a la dirección http:// siguen funcionando, y el propio servidor principal envía los navegadores a https://. Consulte Qué pasa con las direcciones http://.
• El valor predeterminado trust_proxy = auto ya toma la IP real del visitante de un proxy en el mismo servidor.
• Para servir el panel solo a través del proxy, use listen = 127.0.0.1:8899 en master.conf, pero solo si ningún agente de otro servidor reporta a http://IP:8899.

Un agente a manoCopy Anchor Link

Primero registre el servidor en el panel (＋ Agregar servidor), o con sudo 3rmonitor server add en el servidor principal. Luego tome la URL del servidor principal, el token y las huellas de su comando de instalación.

MASTER='https://monitor.example.com'
TOKEN='TOKEN'
mkdir -p /tmp/3rmonitor && cd /tmp/3rmonitor
curl -fsSL -o 3rmonitor-linux-$ARCH "$MASTER/dl/3rmonitor-linux-$ARCH?t=$TOKEN"
curl -fsSL -o SHA256SUMS "$MASTER/dl/SHA256SUMS?t=$TOKEN"
curl -fsSL -o install.sh "$MASTER/dl/install.sh?t=$TOKEN"
sha256sum -c --ignore-missing SHA256SUMS

sudo install -D -m 755 3rmonitor-linux-$ARCH /opt/3rmonitor/3rmonitor
sudo install -m 755 install.sh /opt/3rmonitor/install.sh
sudo ln -sf /opt/3rmonitor/3rmonitor /usr/local/bin/3rmonitor
sudo ln -sf /opt/3rmonitor/3rmonitor /usr/bin/3rmonitor

sudo 3rmonitor bind --master "$MASTER" --token "$TOKEN"
sudo chmod 600 /etc/3rmonitor/agent.conf

sudo 3rmonitor agent --test

sudo 3rmonitor agent secure

sudo 3rmonitor approvers trust --master-key MASTER_FP --approvers PASSKEY_FP

3rmonitor status
systemctl status 3rmonitor-agent 3rmonitor-helper

sudo tee /etc/systemd/system/3rmonitor-agent.service >/dev/null <<'EOF'
[Unit]
Description=3R Monitor agent (reports this server to the master)
After=network-online.target
Wants=network-online.target
StartLimitIntervalSec=0

[Service]
Type=notify
NotifyAccess=main
ExecStart=/opt/3rmonitor/3rmonitor agent -c /etc/3rmonitor/agent.conf
Restart=always
RestartSec=5
WatchdogSec=120
TimeoutStartSec=60
Nice=5

[Install]
WantedBy=multi-user.target
EOF
sudo systemctl daemon-reload
sudo systemctl enable --now 3rmonitor-agent

Qué se creaCopy Anchor Link

Actualizar y desinstalarCopy Anchor Link

Igual que después de una instalación con install.sh. Actualice el servidor principal desde el panel, o con sudo bash install.sh upgrade en un paquete nuevo; los agentes se actualizan solos. Para quitarlo, ejecute sudo bash /opt/3rmonitor/install.sh uninstall, con --purge para eliminar también la configuración y los datos. Consulte Actualización y desinstalación.