Offline-развертывание

Offline-развертывание используется, когда Qarvix должен работать в закрытом контуре: на промышленной площадке, во внутреннем ЦОД, в изолированной сети заказчика или в среде, где постоянный доступ к интернету запрещен.

Такой формат требует больше подготовки, чем облачный сценарий. Нужно заранее согласовать инфраструктуру, активацию, обновления, резервное копирование, диагностику и порядок передачи пакетов.

Коротко

• Offline-контур должен иметь все необходимые компоненты внутри закрытой сети.
• Зависимости, образы и пакеты готовятся заранее.
• Активация и продление лицензии должны работать без постоянного интернета.
• Обновления выполняются по регламенту через переносимый пакет.
• Резервные копии и восстановление нужно проверить до production.
• Диагностика должна быть возможна без внешних сервисов.

Когда нужен offline-сценарий

Offline-развертывание подходит, если:

• объект не имеет доступа к интернету;
• интернет запрещен политикой безопасности;
• контур находится в промышленной или технологической сети;
• требуется локальное хранение данных;
• внешний облачный сервис использовать нельзя;
• обновления должны проходить через согласованный регламент;
• доступ подрядчиков строго контролируется внутри периметра.

Если доступ к интернету есть, но нестабилен, возможно, достаточно выделенного или гибридного варианта. Это нужно оценивать отдельно.

Что входит в контур

Состав зависит от выбранной архитектуры, но обычно нужно предусмотреть:

• сервер или виртуальную машину для Qarvix;
• базу данных;
• web-интерфейс;
• control plane для WSS-сессий агентов;
• WireGuard hub;
• хранилище конфигураций и журналов;
• резервное копирование;
• мониторинг доступности;
• способ доставки обновлений;
• процедуру активации лицензии.

Если в контуре есть несколько сетевых зон, заранее определите, откуда пользователи открывают web-интерфейс, откуда подключаются агенты и где проходит WireGuard-трафик.

Требования к инфраструктуре

Перед установкой уточните:

• доступные серверы или виртуальные машины;
• ОС и политика обновлений;
• доступные порты;
• правила firewall;
• DNS внутри контура;
• NTP или другой источник времени;
• хранилище для базы и бэкапов;
• требования к журналам;
• кто имеет административный доступ;
• как выполняется перенос файлов в закрытый контур.

Время на серверах особенно важно. Ошибки времени могут ломать TLS, токены, подписи и корректность журналов.

Подготовка пакетов

Для offline-установки заранее готовят переносимый комплект.

В него могут входить:

• дистрибутив Qarvix;
• контейнерные образы или пакеты;
• миграции базы данных;
• агент для поддерживаемых платформ;
• инструкции установки;
• файл лицензии или пакет активации;
• контрольные суммы;
• release notes;
• инструкции отката.

Перед переносом в закрытый контур пакет нужно проверить в тестовой среде с похожими ограничениями.

Установка

Общий порядок:

1. Подготовить сервер или виртуальную машину.
2. Настроить сеть, DNS, время и firewall.
3. Установить базовые компоненты.
4. Развернуть Qarvix.
5. Применить миграции.
6. Активировать лицензию.
7. Создать администратора.
8. Создать первую организацию и сеть.
9. Подключить тестовое устройство.
10. Проверить журналы, отчеты и резервное копирование.

До подключения production-объектов нужно выполнить тест восстановления из резервной копии.

Offline-активация

Если контур не имеет доступа к интернету, активация лицензии должна выполняться по отдельной процедуре.

Нужно согласовать:

• какие данные передаются для выпуска лицензии;
• как лицензия переносится в закрытый контур;
• кто имеет право выполнять активацию;
• как проверяется срок действия;
• как выполняется продление;
• что делать при замене сервера;
• как хранится резервная копия лицензии.

Эти шаги лучше описать в эксплуатационном регламенте, а не держать в устной договоренности.

Обновления

В offline-контуре обновления обычно проходят через контролируемый перенос пакета.

Рекомендованный порядок:

1. Проверить release notes.
2. Уточнить совместимость с текущей версией.
3. Сделать резервную копию.
4. Проверить пакет на тестовом стенде.
5. Согласовать окно работ.
6. Перенести пакет в закрытый контур.
7. Выполнить обновление.
8. Проверить web-интерфейс, WSS, WireGuard, журналы и отчеты.
9. Зафиксировать результат.

Для критичных контуров нужен план отката.

Резервное копирование

Резервное копирование должно покрывать:

• базу данных;
• конфигурации;
• лицензионные данные;
• настройки пользователей и ролей;
• журналы, если они нужны для расследований;
• файлы, необходимые для восстановления.

Проверяйте не только наличие бэкапа, но и восстановление.

Минимальная проверка:

• создать резервную копию;
• развернуть на тестовом сервере;
• войти в панель;
• проверить организации, сети и устройства;
• проверить журналы;
• убедиться, что версия соответствует ожиданиям.

Диагностика в закрытом контуре

В offline-среде нельзя рассчитывать на внешние проверки, облачные логи или удаленный доступ поставщика.

Нужно заранее подготовить:

• локальные журналы;
• команды проверки WSS;
• команды проверки WireGuard;
• проверку DNS и времени;
• проверку портов;
• экспорт диагностических данных;
• процедуру передачи логов наружу, если это разрешено;
• ответственных на стороне заказчика.

Если удаленная поддержка невозможна, эксплуатационная команда должна иметь понятный чеклист самостоятельной диагностики.

Безопасность

Offline не означает автоматически безопасно. Закрытый контур все равно требует управления доступом.

Проверьте:

• кто администратор Qarvix;
• кто имеет доступ к серверу;
• где хранятся бэкапы;
• как выдаются роли;
• включена ли 2FA для администраторов;
• как отзывается доступ подрядчика;
• кто переносит обновления;
• как проверяется целостность пакетов.

Особенно важно разделять доступ к панели Qarvix и доступ к серверной инфраструктуре.

Контрольный список внедрения

• Инфраструктура подготовлена.
• DNS и время работают внутри контура.
• Порты и firewall согласованы.
• Пакет установки проверен.
• Лицензия активирована.
• Создана первая организация.
• Создана тестовая сеть.
• Подключено тестовое устройство.
• WSS-сессия агента устанавливается.
• WireGuard-трафик проходит.
• Журналы и отчеты доступны.
• Резервное копирование настроено и проверено.
• Процедура обновления описана.
• Ответственные назначены.

Частые проблемы

Агент не подключается к серверу

Проверьте DNS, маршрут до control plane, TLS, время на устройстве, firewall и доступность WSS endpoint внутри закрытого контура.

WireGuard не поднимается

Проверьте UDP-доступ, ключи, настройки hub, CIDR сети, firewall и пересечение подсетей.

Лицензия не активируется

Проверьте, используется ли правильный файл лицензии, совпадает ли контур с условиями выпуска и не требуется ли отдельная offline-процедура.

После обновления не видно устройств

Проверьте миграции, состояние базы, версию приложения, журналы сервера и совместимость агента.

Бэкап есть, но восстановление не проверялось

Такой бэкап нельзя считать рабочим. Проведите тестовое восстановление до production-запуска.

Связанные разделы

• Лицензирование - условия offline-активации и продления.
• Диагностика и типовые проблемы - проверки WSS, WireGuard и маршрутов.
• Журналы и отчеты - эксплуатационный контроль закрытого контура.
• Пользователи, роли и SSO - доступ администраторов и подрядчиков.