Налаштування Apache Guacamole

Конфігурація

Після встановлення всіх компонентів, необхідно їх правильно налаштувати. Це включає конфігурацію Guacamole для підключення до бази даних, налаштування Tomcat та встановлення зворотного проксі-сервера Caddy для забезпечення HTTPS.

1. Конфігурація Guacamole (guacamole.properties)

Основний файл конфігурації Guacamole – guacamole.properties. Він вказує Guacamole, як підключатися до бази даних та інших компонентів.

# Створіть або відредагуйте файл guacamole.properties
sudo nano /etc/guacamole/guacamole.properties

Додайте наступний вміст до файлу, замінивши your_db_password на ваш пароль від користувача PostgreSQL guacamole_user:

# Hostname and port of guacd
guacd-hostname: localhost
guacd-port: 4822

# PostgreSQL authentication
postgresql-hostname: localhost
postgresql-port: 5432
postgresql-database: guacamole_db
postgresql-username: guacamole_user
postgresql-password: your_db_password

Збережіть зміни (Ctrl+O, Enter) та вийдіть (Ctrl+X).

2. Налаштування Tomcat для використання Guacamole

Tomcat потрібно вказати, де шукати конфігурацію Guacamole. Це робиться шляхом створення файлу setenv.sh.

# Створіть директорію для налаштувань Tomcat
sudo mkdir -p /etc/tomcat10/conf/Catalina/localhost/

# Створіть файл setenv.sh для Tomcat
sudo nano /usr/share/tomcat10/bin/setenv.sh

Додайте наступний рядок до setenv.sh:

#!/bin/bash
export GUACAMOLE_HOME=/etc/guacamole

Збережіть зміни. Зробіть файл виконуваним та перезапустіть Tomcat:

# Зробіть файл setenv.sh виконуваним
sudo chmod +x /usr/share/tomcat10/bin/setenv.sh

# Перезапустіть Tomcat для застосування змін
sudo systemctl restart tomcat10

# Перевірте логи Tomcat на наявність помилок
sudo journalctl -u tomcat10 --since "5 minutes ago"

У логах Tomcat мають бути записи про завантаження Guacamole без критичних помилок.

3. Налаштування Caddy Server для HTTPS

Caddy – це сучасний веб-сервер з автоматичним HTTPS. Він ідеально підходить для Guacamole, оскільки автоматично отримує та продовжує SSL/TLS сертифікати через Let's Encrypt.

# Встановіть Caddy.
# Додайте репозиторій Caddy
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# Оновіть список пакетів та встановіть Caddy
sudo apt update
sudo apt install -y caddy

Налаштуйте Caddyfile. Замініть guacamole.yourdomain.com на ваш реальний домен, який вказує на IP-адресу вашого VPS.

# Відредагуйте Caddyfile
sudo nano /etc/caddy/Caddyfile

Видаліть існуючий вміст та додайте наступне:

guacamole.yourdomain.com {
    reverse_proxy localhost:8080 {
        header_up Host {host}
        header_up X-Real-IP {remote_ip}
        header_up X-Forwarded-For {remote_ip}
        header_up X-Forwarded-Proto {scheme}
    }

    # Включите сжатие Gzip для улучшения производительности
    encode gzip
}

Збережіть файл та перезапустіть Caddy:

# Перевірте конфігурацію Caddy
sudo caddy validate --config /etc/caddy/Caddyfile

# Перезапустіть Caddy
sudo systemctl reload caddy

# Переконайтеся, що Caddy запущений
sudo systemctl status caddy

Тепер ваш Apache Guacamole має бути доступний по HTTPS через https://guacamole.yourdomain.com.

4. Перевірка працездатності

Відкрийте веб-браузер та перейдіть за вашим доменним ім'ям (наприклад, https://guacamole.yourdomain.com). Ви маєте побачити сторінку входу в Guacamole.

Використовуйте облікові дані за замовчуванням: Username: guacadmin, Password: guacadmin. Негайно змініть цей пароль після першого входу!

Після входу ви можете додати нове підключення. Наприклад, для SSH:

• Натисніть на "New Connection".
• Виберіть "SSH" як протокол.
• У полі "Hostname" вкажіть IP-адресу або домен вашого цільового SSH-сервера.
• У полі "Port" вкажіть 22.
• У полях "Username" та "Password" вкажіть облікові дані для SSH-доступу.
• Збережіть підключення та спробуйте до нього підключитися.

Якщо ви зіткнулися з проблемами, перевірте логи Tomcat (sudo journalctl -u tomcat10), Caddy (sudo journalctl -u caddy) та Guacd (sudo journalctl -u guacd) на наявність помилок.

Резервне копіювання та обслуговування

Регулярне резервне копіювання та обслуговування системи є критично важливими для стабільної та безпечної роботи Apache Guacamole. Втрата даних або неактуальне ПЗ можуть призвести до серйозних проблем.

1. Що резервувати

Для Guacamole необхідно регулярно резервувати наступні компоненти:

• База даних PostgreSQL: Містить усіх користувачів, їхні налаштування, визначення підключень та журнали аудиту. Це найважливіший компонент.
• Конфігураційні файли Guacamole:
  • /etc/guacamole/guacamole.properties
  • /etc/guacamole/extensions/ (усі JAR-файли розширень)
  • /etc/guacamole/lib/ (JDBC-драйвер)
• Конфігурація Caddy: /etc/caddy/Caddyfile
• Конфігурація Tomcat: /usr/share/tomcat10/bin/setenv.sh (і, можливо, інші кастомні налаштування)
• SSH ключі: Якщо ви використовуєте їх для автентифікації Guacamole на цільових серверах (зберігаються в /etc/guacamole/keys/ або аналогічних місцях).

2. Простий скрипт авторезервування

Ми створимо простий скрипт, який виконуватиме резервне копіювання бази даних та конфігураційних файлів, а потім пакуватиме їх. Для зберігання можна використовувати зовнішнє S3-сумісне об'єктне сховище або окремий VPS.

Для резервного копіювання бази даних PostgreSQL ми використовуватимемо pg_dump. Для файлів – tar. Для надсилання на S3 можна використовувати s3cmd або awscli, але для простоти ми просто створимо архів.

# Створіть директорію для скриптів резервного копіювання
sudo mkdir -p /opt/backup_scripts
sudo chown youruser:youruser /opt/backup_scripts

# Створіть файл скрипта резервного копіювання
nano /opt/backup_scripts/guacamole_backup.sh

Додайте наступний вміст до файлу guacamole_backup.sh. Замініть your_db_password, guacamole_user та guacamole_db на ваші дані. Також вкажіть шлях до директорії, куди зберігатимуться резервні копії (наприклад, /var/backups/guacamole).

#!/bin/bash

# Переменные
BACKUP_DIR="/var/backups/guacamole"
DATE=$(date +%Y%m%d%H%M%S)
DB_NAME="guacamole_db"
DB_USER="guacamole_user"
DB_PASSWORD="your_db_password" # В продакшене используйте .pgpass или переменные окружения!

# Создайте директорию для бэкапов, если ее нет
mkdir -p "$BACKUP_DIR"

# 1. Бэкап базы данных PostgreSQL
echo "Dumping PostgreSQL database..."
PGPASSWORD="$DB_PASSWORD" pg_dump -U "$DB_USER" -h localhost "$DB_NAME" > "$BACKUP_DIR/guacamole_db_$DATE.sql"
if [ $? -eq 0 ]; then
    echo "PostgreSQL database backup successful: $BACKUP_DIR/guacamole_db_$DATE.sql"
else
    echo "ERROR: PostgreSQL database backup failed."
    exit 1
fi

# 2. Бэкап конфигурационных файлов Guacamole и Caddy
echo "Archiving configuration files..."
tar -czf "$BACKUP_DIR/guacamole_configs_$DATE.tar.gz" \
    /etc/guacamole \
    /etc/caddy/Caddyfile \
    /usr/share/tomcat10/bin/setenv.sh
if [ $? -eq 0 ]; then
    echo "Configuration files backup successful: $BACKUP_DIR/guacamole_configs_$DATE.tar.gz"
else
    echo "ERROR: Configuration files backup failed."
    exit 1
fi

# 3. Очистка старых бэкапов (оставляем последние 7 дней)
echo "Cleaning up old backups..."
find "$BACKUP_DIR" -type f -name ".sql" -mtime +7 -delete
find "$BACKUP_DIR" -type f -name ".tar.gz" -mtime +7 -delete
echo "Backup process completed."

# ВАЖНО: Отправка бэкапов на внешнее хранилище
# Здесь вы можете добавить команды для отправки файлов на S3, удаленный FTP/SFTP,
# или использовать специализированные инструменты, такие как restic или borg.
# Пример для S3 с awscli (требует предварительной установки и настройки awscli):
# aws s3 cp "$BACKUP_DIR/guacamole_db_$DATE.sql" s3://your-s3-bucket/guacamole/
# aws s3 cp "$BACKUP_DIR/guacamole_configs_$DATE.tar.gz" s3://your-s3-bucket/guacamole/

Збережіть файл, зробіть його виконуваним і налаштуйте Cron для його регулярного запуску:

# Зробіть скрипт виконуваним
chmod +x /opt/backup_scripts/guacamole_backup.sh

# Створіть директорію для збереження резервних копій
sudo mkdir -p /var/backups/guacamole
sudo chown youruser:youruser /var/backups/guacamole

# Відкрийте crontab для поточного користувача
crontab -e

Додайте наступний рядок, щоб запускати резервне копіювання щодня о 03:00 ранку:

0 3   * /opt/backup_scripts/guacamole_backup.sh >> /var/log/guacamole_backup.log 2>&1

Збережіть та закрийте crontab. Тепер резервні копії створюватимуться автоматично.

3. Куди зберігати резервні копії

Вкрай важливо зберігати резервні копії на окремому від основного сервера ресурсі. Варіанти:

• Зовнішнє S3-сумісне об'єктне сховище: Найбільш рекомендований варіант. Надійно, масштабовано та відносно недорого.
• Окремий VPS: Можна налаштувати другий, невеликий VPS виключно для зберігання резервних копій з різних серверів.
• NAS/Мережеве сховище: Якщо у вас є власне обладнання.
• FTP/SFTP сервер: Простий, але менш надійний варіант, якщо не налаштовано шифрування та контроль цілісності.

Ніколи не зберігайте єдині копії резервних копій на тому ж сервері, який ви резервуєте!

4. Оновлення: rolling vs maintenance window

Регулярні оновлення ПЗ важливі для безпеки та отримання нових функцій. Підхід до оновлень залежить від критичності вашої системи.

• Rolling updates (безперервні оновлення): Підходить для менш критичних систем або систем з високою доступністю, де є кластер і можна оновлювати вузли по черзі. Для одиночного VPS Guacamole це означає застосування оновлень, як тільки вони стають доступними.
• Maintenance window (вікно обслуговування): Переважний підхід для більшості продакшн-систем, включаючи Guacamole на одному VPS. Виділяється певний час (наприклад, раз на місяць вночі), коли можна провести оновлення, протестувати їх та усунути можливі проблеми.

Рекомендований процес оновлення:

1. Створіть повну резервну копію перед початком будь-яких оновлень.
2. Оновіть систему:

   
   sudo apt update && sudo apt upgrade -y
   sudo apt autoremove -y
               

3. Оновіть компоненти Guacamole (якщо доступні нові версії):
   • Завантажте нові версії guacamole-server (для guacd) та guacamole-client.war, а також розширень.
   • Зупиніть Tomcat та Guacd.
   • Замініть старі файли на нові.
   • Запустіть сервіси.
4. Перевірте працездатність: Після кожного оновлення переконайтеся, що Guacamole працює коректно, і ви можете підключатися до різних цільових систем.

Завжди читайте changelog та інструкції з оновлення на офіційному сайті Apache Guacamole перед оновленням основних компонентів.

Вирішення проблем + FAQ

Тут зібрано типові проблеми, які можуть виникнути під час налаштування Apache Guacamole, та відповіді на поширені запитання.

Не можу підключитися до Guacamole за доменним ім'ям (помилка 502 Bad Gateway або Connection Refused)

Що перевірити:

1. Переконайтеся, що ваш домен (наприклад, guacamole.yourdomain.com) правильно вказує на IP-адресу вашого VPS у DNS-записах.
2. Перевірте, що Caddy Server запущено: sudo systemctl status caddy.
3. Перевірте логи Caddy: sudo journalctl -u caddy --since "5 minutes ago". Шукайте помилки, пов'язані з прив'язкою до порту або проксіюванням.
4. Переконайтеся, що Tomcat запущено і він слухає порт 8080: sudo systemctl status tomcat10 та sudo ss -tulpn | grep 8080.
5. Перевірте, що файрвол UFW дозволяє вхідні з'єднання на порти 80 і 443: sudo ufw status verbose.

Сторінка Guacamole завантажується, але не можу увійти (невірні облікові дані або помилка бази даних)

Що перевірити:

1. Перевірте логи Tomcat: sudo journalctl -u tomcat10 --since "5 minutes ago". Шукайте помилки, пов'язані з підключенням до бази даних або автентифікацією.
2. Переконайтеся, що PostgreSQL запущено: sudo systemctl status postgresql.
3. Перевірте вміст /etc/guacamole/guacamole.properties. Переконайтеся, що postgresql-hostname, postgresql-port, postgresql-database, postgresql-username та postgresql-password вказані вірно.
4. Переконайтеся, що користувач guacamole_user має права на базу даних guacamole_db.
5. Спробуйте увійти з обліковими даними за замовчуванням guacadmin/guacadmin. Якщо працює, але ваш користувач ні, можливо, проблема зі створенням користувача або його правами.

Не вдається підключитися до віддаленого сервера (RDP/VNC/SSH) через Guacamole

Що перевірити:

1. Перевірте логи guacd: sudo journalctl -u guacd --since "5 minutes ago". Шукайте помилки, пов'язані з підключенням до віддаленого хосту або проблемами протоколу.
2. Переконайтеся, що guacd запущено: sudo systemctl status guacd.
3. Перевірте, що цільовий сервер доступний з вашого VPS (наприклад, ping target_ip, telnet target_ip ssh_port).
4. Переконайтеся, що файрвол на цільовому сервері (і на вашому VPS, якщо він блокує вихідні) дозволяє вхідні з'єднання на відповідний порт (22 для SSH, 3389 для RDP, 5900 для VNC).
5. Перевірте налаштування підключення у веб-інтерфейсі Guacamole (hostname, port, credentials).

Який VPS-конфіг мінімально підійде для Apache Guacamole?

Для одного-двох одночасних користувачів та неінтенсивного використання мінімально підійде VPS з 2 ядрами CPU, 2 ГБ оперативної пам'яті та 40 ГБ SSD-диска. Однак, якщо ви плануєте більш активне використання, особливо з RDP для графічних інтерфейсів або для кількох користувачів, настійно рекомендується конфігурація з 4 ядрами CPU, 4 ГБ RAM та 80 ГБ NVMe SSD. Це забезпечить значно кращу продуктивність та стабільність, запобігаючи затримкам та зависанням під час транскодування відеопотоків.

Що обрати — VPS чи dedicated для цього завдання?

Для більшості сценаріїв, включаючи використання Guacamole невеликою командою або індивідуальним користувачем, VPS є оптимальним вибором. Він пропонує достатню продуктивність за значно меншої вартості та більшої гнучкості в управлінні. Dedicated сервер стає необхідним, якщо ви очікуєте дуже високе навантаження (понад 20-30 одночасних користувачів), вимагаєте гарантованих фізичних ресурсів CPU та RAM, або якщо у вас є суворі регуляторні вимоги до повної ізоляції апаратного забезпечення. Для старту та масштабування в більшості випадків VPS буде найкращим рішенням, дозволяючи легко оновити тарифний план у міру зростання потреб.

Як скинути пароль адміністратора Guacamole?

Що перевірити: Якщо ви забули пароль guacadmin, ви можете скинути його, виконавши SQL-запит у базі даних PostgreSQL. Як виправити:

# Підключіться до PostgreSQL як користувач postgres
sudo -i -u postgres

# Підключіться до бази даних Guacamole
psql guacamole_db

# Оновіть пароль для користувача guacadmin (замініть 'new_strong_password')
# Пароль має бути хешований з SHA-256. У цьому прикладі ми скидаємо його на 'new_strong_password'
# і Guacamole автоматично хешує його при першому вході, якщо ви вкажете його як plaintext.
# Для безпечного скидання, краще згенерувати хеш:
# SELECT ENCODE(SHA256('new_strong_password'::bytea), 'hex');
# І потім використовувати його:
UPDATE guacamole_user SET password_hash = ENCODE(SHA256('new_strong_password'::bytea), 'hex'), password_salt = NULL WHERE username = 'guacadmin';

# Якщо ви хочете просто скинути його на 'guacadmin', щоб потім поміняти:
# UPDATE guacamole_user SET password_hash = 'C634887019799295598BB17F9A906F6F89304F7695D5D1426477546875931D80', password_salt = 'C634887019799295598BB17F9A906F6F89304F7695D5D1426477546875931D80' WHERE username = 'guacadmin';
# (це хеш для 'guacadmin' з сіллю 'guacadmin', який був за замовчуванням при ініціалізації)

# Вийдіть з psql
\q

# Вийдіть з користувача postgres
exit

# Перезапустіть Tomcat
sudo systemctl restart tomcat10

Після цього ви зможете увійти з новим паролем.