Термины и сокращения

Общая информация

В инструкции описано обновление МТС Линк all-in-one и обновление распределенной инсталляции при помощи веб-установщика. Процесс обновления двух видов инсталляций идентичен.

Документ предназначен для использования администраторами организации.

Процесс обновления

В общем виде процесс обновления сводится к следующим шагам:

1. Получите от представителей МТС Линк все необходимое для обновления
2. Обновите инсталляцию
3. Выполните обязательные проверки после обновления.

Обновление проводится в согласованное окно работ и отсутствие параллельных изменений на виртуальных машинах.

Офлайн-режим инсталляции

Если при установке продуктов МТС Линк был выбран офлайн-режим, не меняйте его при обновлении.

Офлайн-режим используется, если:

• этого требуют политики информационной безопасности

• используется собственный регистри

• ограничен доступ в интернет или интернет-соединение неустойчиво.

В таком случае представители МТС Линк передают вам файл custom-registry.img . Это ext4 image с локальной поставкой Ansibleролей и Docker Registry v2 storage.

Перед обновлением

Получите комплект поставки

Перед установкой получите у представителей МТС Линк:

1. Скачайте дистрибутив установщика новой версии с ресурса https://rep-box.webinar.ru/installer/mts-link-installer_v3.9.189, где v3.9.189 — версия релиза
2. Ссылку для скачивания custom-registry.img с ролями Ansible, Docker-контейнерами и локальным регистри — если при установке был выбран офлайн-режим.

Создайте резервную копию инсталляции

1. Бэкап конфигурации и артефактов инсталляции
2. Бэкап базы данных
3. Бэкап файлового хранилища, если файлы хранятся не в облаке.

Заархивируйте бэкап и проверьте его целостность. Протестируйте восстановление данных.

Проверьте SSH-подключение

Проверьте SHH-подключение между сервером установки и целевыми серверами.

Если SSH-подключение осуществляется по паролю, на сервере Встреч выполните команду:

vim /etc/sudoers.d/admin 

admin ALL=(root) NOPASSWD: /usr/bin/rsync * 

где admin — учётная запись, под которой проводится обновление. После обновления правило можно выключить.

Если используется офлайн-режим

Пропустите этот шаг, если при установке продуктов МТС Линк был включен онлайн-режим.

Если вы используете офлайн-режим:

1. Получите у представителей МТС Линк ссылку для скачивания custom-registry.img с ролями Ansible, Docker-контейнерами и локальным регистри

2. Распакуйте архив на любой виртуальной машине в любую директорию. Вы можете использовать одну из целевых виртуальных машин либо локальный регистри.

Примечание: если архив не будет распакован до запуска обновления, установщик сделает это самостоятельно в процессе установки.

Структура директории должна иметь следующий вид:

docker-compose.yml
 docker-image.registry2.tar
 registry-data/
 platform.tar.gz
 chats.tar.gz
 webinar.tar.gz
 doski.tar.gz 

Продуктовые архивы ролей остаются внутренней частью image; для Досок используется файл doski.tar.gz .

Важно: img должен быть доступен на машине, где запускается установщик. Роли берутся из tar.gz внутри image, Docker-образы — из локального регистри storage внутри custom-registry.img .

Обновление МТС Линк

Важно: используйте учётную запись пользователя, от имени которого производилась первичная установка. Убедитесь, что пользователь может выполнять команды от имени суперпользователя через sudo .

Шаг 1. Запустите установщик

Если установщик нужно открыть на сервере установки

1. Скачайте файл установки с rep-box.webinar.ru,

sudo su  
wget https://rep-box.webinar.ru/installer/mts-link-installer_v3.9.193  

где v3.9.193 соответствует последней версии релиза. Версии релиза и доступные релизы вы можете узнать на ресурсе https://rep-box.webinar.ru/releases.json

2. Сделайте файл исполняемым

chmod +x ./mts-link-installer  

3. На сервере установки выполните команду:

./mts-link-installer  

После запуска установщик автоматически выберет IP-адрес локальной машины, поднимет WebUI на порту 9443 и выведет URL с токеном.

4. Перейдите по ссылке из консоли.

Если установщик нужно открыть с другой машины 

Предпочтительный вариант — SSH-туннель:

1. На локальной машине администратора выполните проброс порта:

  ssh -L 19443:<IP-адрес сервера установки>:9443 installer@<IP-адрес сервера установки>

В этом случае откройте порт 9443/TCP только для доверенной административной сети.

2. Затем на локальной машине откройте  http://127.0.0.1:19443 

SSH-сессия с пробросом порта должна оставаться открытой во время работы в браузере. Завершение туннеля закрывает доступ к Web UI, но не обязательно останавливает сам процесс инсталлятора.

Если в выводе установщика есть ссылка с токеном вида http://127.0.0.1:9443/?token=, замените порт на локальный: http://127.0.0.1:19443/?token= 

Если установщик нужно явно опубликовать в сеть

 sudo ./mts-link-installer -- 0.0.0.0 --webui-port 9443  

--webui-bind  и  --webui-port  нужны только для ручного переопределения автоматически выбранного IP-адреса и порта.

Открывайте порт WebUI только для доверенной административной сети.

Используйте прямую публикацию только во внутренней доверенной административной сети. Ограничьте 9443/TCP по source IP и не публикуйте Web UI во внешнюю сеть.

Чтобы ограничить доступ к WebUI по IP-адресу или сетям, используйте --webui-trusted-networks . Значение задаётся через запятую, поддерживаются CIDR и одиночные IP:

sudo ./mts-link-installer --webui-bind 0.0.0.0 --webui-trusted-networks 10.60.0.0/16,192.168.1.10

Если --webui-trusted-networks не задан, WebUI доверяет всем источникам, как раньше. Токен доступа при этом всё равно обязателен.

Если SSH на сервере установки работает на нестандартном порту

ssh -p <ssh_port> -L 19443:127.0.0.1:9443 installer@<IP-адрес сервера установки>

Если используется SSH-ключ

 ssh -i /path/to/private_key -L 19443:127.0.0.1:9443 installer@<IP-адрес сервера установки>

Запуск в устойчивой терминальной сессии

Чтобы процесс не завершился при разрыве административного SSH-подключения, рекомендуется использовать tmux или screen:

tmux new -s mts-installer  
sudo ./mts-link-installer --webui-bind 127.0.0.1 --webui-port 9443  

# Отсоединиться: Ctrl+B, затем D  
# Вернуться:  
tmux attach -t mts-installer 

Проверка процесса

  ss -lntp | grep 9443 ps aux | grep '[m]ts-link-installer' 

Для штатной остановки используйте Ctrl+C в терминале инсталлятора. Не завершайте процесс во время выполняющейся установки.

Важно

1. SSH-сессия с -L должна оставаться открытой, пока администратор работает в веб-установщике
2. Порт веб-установщика на сервере установки не нужно открывать на firewall для всех сетей
3. В браузере нужно открывать локальный адрес 127.0.0.1 и локальный порт из левой части -L
4. Веб-установщик выводит ссылку с токеном, используйте этот токен в локальном URL через проброшенный порт.

Шаг 2. Проверьте новую версию

В разделе «Продукты» на вкладке «Информация» отображается текущая версия продуктов.

Рядом с кнопкой «Проверить обновления» отображается новая версия МТС Линк.

Чтобы обновить инсталляцию

1. Нажмите на кнопку «Проверить обновления»

2. Выберите новую версию и нажмите на кнопку «Перейти к обновлению»

3. Убедитесь, что разделе «Продукты» на вкладке «Поставка» выбран режим «Обновление» 

Нажмите на кнопку «Перейти к настройкам» в правом нижем углу.

4. Если SSH-подключение производится по паролю, перейдите в раздел «Настройки» на вкладку «SSH» и укажите пароль sudo.

Шаг 3. Осуществите проверки перед обновлением

Проверки выполняются последовательно. После исправления ошибок или изменения настроек повторите соответствующую проверку.

Перейдите в раздел «Проверки» на вкладку «Проверка DNS». Раздел показывает ожидаемые DNS-записи, IP-адреса и результаты проверки. 

Проверка сопоставляет выбранные продукты, домены и IP-адреса с поддерживаемым сценарием. Для типовой поставки «Встречи + Чаты + Платформа» убедитесь, что домены wowza и webrtc разрешаются в IP-адреса виртуальных машин Встреч, а основной домен Встреч, message , mgw и домены Чатов — в IP-адреса виртуальных машин Чатов + Платформы. 

Ошибка о невозможности сопоставить dns_routing обычно означает, что домены или состав продуктов ещё не заполнены либо не соответствуют ожидаемой схеме.

Проверьте, что все строки имеют статус OK.

• если статус unresolved — добавьте DNS-запись или временную запись в /etc/hosts 

• если статус mismatch — исправьте IP-адрес в DNS.

Перейдите на вкладку «Проверка окружения».

На экране отображаются целевые узлы, назначение продуктов, недостающие пакеты и статус проверки. Нажмите на кнопку «Запустить проверку».

Если установщик предлагает доставить пакеты, подтвердите установку только после согласования с администратором операционной системы и при наличии доступа к репозиториям.

Если недостающих зависимостей нет, перейдите на вкладку «Проверка конфигурации».

Проверка конфигурации контролирует согласованность выбранных параметров. Проверка переменных подтверждает наличие обязательных значений для установки. Нажмите на кнопку «Запустить проверку».

При ошибке вернитесь на вкладку «Настройки», исправьте значение и повторите проверку. После изменения домена, IP-адресов, сертификата, SSH, состава продуктов, proxy, Docker-подсети или дополнительного модуля запустите все проверки заново.

Если все проверки пройдены, перейдите на вкладку «Проверка переменных» и нажмите на кнопку «Проверить переменные».

Если проверка переменных пройдена, перейдите на вкладку «Сохранение настроек» и нажмите на кнопку «Сохранить настройки».

Настройки инсталляции сохраняются в файл /opt/installer/update_f.toml , который используется для возврата настроек Встреч после обновления.

Шаг 4. Сформируйте план установки обновления

Контрольная точка перед запуском обновления:

1. Состав продуктов соответствует лицензии и проекту
2. IP-адреса и домены подтверждены владельцами сети и DNS
3. Домен Платформы имеет вид <префикс Встреч>-mgw.<зона>
4. Сертификаты проверены и покрывают все FQDN
5. SSH и sudo работают на всех целевых виртуальных машинах
6. Нет CRITICAL в проверках
7. Причины WARNING понятны и зафиксированы
8. Docker-подсеть не пересекается с сетями заказчика
9. Достаточно места на дисках
10. Архив конфигурации сохранён
11. Окно работ согласовано, параллельные изменения остановлены.

Если все проверки пройдены, перейдите на вкладку «План установки» и нажмите на кнопку «Сформировать план установки».

План показывает:

1. Целевые виртуальны машины
2. Выбранные продукты
3. Количество стадий
4. Порядок выполнения
5. Какие продукты будут обновляться на какие IP-адреса.

Совпадение IP Чатов и Платформы является нормальным для типовой стандартной схемы совместного размещения.

Важно: не запускайте обновление, если в плане присутствует неожиданный IP-адрес, продукт, который должен быть выключен, или отсутствует требуемый продукт. Исправьте конфигурацию и сформируйте план повторно.

Проверьте план до запуска.

Шаг 5. Запустите обновление

После успешных проверок и подтверждения плана запустите установку — нажмите на кнопку «Запустить».

Не закрывайте процесс инсталлятора, не перезагружайте целевые виртуальные машины, не перезапускайте Docker вручную и не запускайте вторую сессию инсталлятора.

1. Следите за текущим продуктом и этапом
2. Проверяйте общий прогресс и назначения виртуальных машин
3. При длительном отсутствии прогресса откройте детализацию, но не прерывайте процесс без анализа
4. При FAILED сохраните лог и найдите первую завершившуюся ошибкой задачу
5. После устранения причины используйте предусмотренное продолжение/повтор только согласно состоянию в мониторе.

Примечание: закрытие вкладки браузера не обязательно останавливает обновление. Сначала восстановите SSH-туннель, повторно откройте быструю ссылку и проверьте монитор. Завершение процесса mts-link-installer останавливает бэкенд.

После запуска обновления на экране отображаются:

1. Текущий продукт
2. Текущая стадия
3. Общий прогресс
4. Топология обновления
5. Поток логов. 

Типовые стадии обновления:

Во вкладке «Логи» можно посмотреть последние строки лога по текущей роли.

После завершения обновления сохраните план и лог.

Шаг 6. Выполните пост-проверку

По окончании обновления в мониторе отображается сообщение «Все стадии завершены». 

Нажмите на кнопку «Проверка инсталляции», чтобы проверить состояние сервисов после обновления.

Установщик отображает

1. Состояние контейнеров
2. Доступность HAProxy платформы, Kafka Connect и веб-версии продуктов
3. Информацию о токене инсталляции. 

При возникновении неполадок с контейнерами и Kafka Connect обратитесь к архитектурной документации для их устранения.

Обновленные продукты отображаются в разделе «Продукты» на вкладке «Информация».

Нажмите на кнопку «Перейти», чтобы авторизоваться в веб-версии продукта.

Проверки после обновления

1. Проверьте с рабочей станции пользователя и с серверного сегмента

curl -I https://meetings.example.com 
curl -I https://meetings-webrtc.example.com 
curl -I https://meetings-message.example.com 
curl -I https://chats.example.com 
curl -I https://chats-gateway.example.com curl -I https://platform-gw.example.com 

Для первичной диагностики маршрута допускается временно использовать curl -k , но окончательная проверка доверия сертификата выполняется без ключа -k .

2. Проверьте DNS

getent hosts meet.example.com
 getent hosts meet-mgw.example.com
 getent hosts meet-wowza.example.com
 getent hosts meet-webrtc.example.com
 getent hosts meet-message.example.com
 getent hosts chats.example.com
 getent hosts chats-gateway.example.com
 getent hosts chats-storage.example.com 

Для типовой двухсерверной схемы результаты getent должны соответствовать разделу Типовой резолв:

• wowza и webrtc — IP-адреса виртуальных машин Встреч. 
• основной домен Встреч, message, mgw и домены Чатов — IP-адреса виртуальных машин Чатов + Платформы.

3. Проверьте запущенные контейнеры на серверах:

sudo docker ps  

sudo docker-compose ps

Все ожидаемые контейнеры должны иметь рабочий статус. Контейнеры с постоянным Restarting, Exited или unhealthy требуют анализа логов до передачи системы в эксплуатацию.

4. Проверьте место на диске:

df -h  

sudo du -sh /opt/* 2>/dev/null

5. Проверьте в браузере:

• открывается основной домен Встреч
• открывается Чаты, Платформа и Доски в соответствии с поставкой
• браузер не показывает предупреждения о сертификате
• авторизация работает
• пользователь может создать тестовую встречу
• проверены микрофон, камера, демонстрация и медиа-подключение
• в Чатах отправляется тестовое сообщение и работает переход к Встречам
• медиа-подключение работает через 1030/TCP и 1030/UDP, если требуется
• почтовые уведомления работают, если настроен SMTP-сервер
• проверены SMTP, SSO/LDAP, SIP, AI и внешнее S3, если они входят в проект.

Типовые ошибки и способы решения

Веб-установщик не открывается

Симптомы

• браузер не открывает страницу установщика
• соединение сбрасывается
• порт недоступен.

Что проверить

Проверьте, слушает ли какой-либо процесс TCP-порт 9443:

ss -lntp | grep 9443  

sudo ./mts-link-installer --webui-bind 0.0.0.0 --webui-port 9443 

Как устранить проблему

1. Убедитесь, что порт для веб-установщика больше 9000
2. Проверьте, что порт не занят другим процессом
3. Используйте ключ --webui-bind 0.0.0.0 , если установщик открывается с другой машины
4. Если установщик оставлен на 127.0.0.1, подключайтесь через SSH-туннель ssh -L 19443:127.0.0.1:9443 installer@<ip_сервера_установки> и открывайте http://127.0.0.1:19443
5. Откройте порт WebUI на firewall.

Онлайн-ресурс недоступен

Что проверить

1. DNS-сервер
2. Proxy-сервер
3. Firewall
4. Доверие к корпоративному УЦ.

Как устранить проблему

1. Откройте 443/TCP
2. Настройте proxy-сервер и цепочку доверия.

Нет доступа к репозиторию

Симптомы

• на экране лицензии Доступ до репозитория не OK
• установка падает на загрузке ролей
• не скачивается docker compose.

Что проверить

Выполните запрос:

  curl -I https://rep-box.webinar.ru 

Как устранить проблему

1. Откройте 443/TCP до rep-box.webinar.ru 
2. Настройте proxy и указать Proxy URL
3. Проверьте корпоративный TLS inspection, если он подменяет сертификаты.

Нет доступа к серверу лицензирования

Симптомы

• на экране лицензии Сервер лицензирования не OK
• лицензия не подтверждается
• продукт не проходит pre-check.

Что проверить

Выполните запросы:

curl -I https://on-premise-reg.webinar.ru 

curl -I https://license-chat.mts-link.ru  

 Как устранить проблему

1. Для Встреч откройте доступ до on-premise-reg.webinar.ru:443 
2. Для Чатов, Платформы, Досок откройте доступ до license-chat.mts-link.ru:443 
3. Проверьте proxy
4. Проверьте DNS-резолв этих имен с сервера установки и продуктовых виртуальных машин.

Не проходит подключение по SSH

Симптомы

• проверка SSH в веб-установщике завершается ошибкой
• Ansible не может подключиться к виртуальным машинам.

Что проверить

Проверьте подключение к виртуальным машинам по SSH:

ssh -p 22 installer@<ip_виртуальной_машины>  

ssh -i /path/to/key installer@<ip_виртуальной_машины>

Как устранить проблему 

Проверьте:

• P-адрес и порт
• Firewall на 22/TCP
• пользователя
• права на ключ
• публичные ключи
• что SSH разрешает выбранный способ аутентификации.

Исправьте доступ и повторите встроенную проверку.

sudo -n true не проходит

Симптомы

• SSH подключается, но проверка прав падает
• доставка пакетов не выполняется
• Ansible-задачи не могут повысить права.

Что проверить

ssh installer@<ip_виртуальной машины> "sudo -n whoami"

Как устранить проблему

1. Добавить пользователя в sudo или wheel
2. Создать /etc/sudoers.d/installer 
3. Выставить права 440
4. Проверить синтаксис через visudo -cf /etc/sudoers.d/installer
5. Убедиться, что sudo не требует TTY или ручной ввод пароля
6. Проверить выбранный способ повышения прав.

Не хватает пакетов

Симптомы

• отображается окно «Необходимые пакеты»
• отсутствуют Ansible, Rsync, python3-docker, logrotate, jq, Wget
• Python Docker SDK недоступен. 

Как устранить проблему

1. Нажать Доставить пакеты, если есть доступ к репозиториям. Либо установить пакеты вручную через apt/dnf 
2. Проверить python3 -c 'import docker'
3. Проверить наличие /usr/local/bin/docker-compose.

DNS-записи не резолвятся

Симптомы

• статус unresolved в разделе Проверка DNS записей
• pre-check сообщает ошибку DNS.

Что проверить

dig +short <fqdn>  

getent hosts <fqdn>

Как устранить проблему

1. Создать A-записи в корпоративном DNS
2. Проверить локальный и внешний DNS-серверы в установщике
3. Временно добавить записи в /etc/hosts на сервере установки и целевых виртуальных машин
4. Повторить проверку DNS в установщике.

DNS указывает не на тот IP-адрес

Симптомы

При проверке DNS-записей:

• статус mismatch
• ожидаемый IP-адрес отличается от фактического.

Как устранить проблему

1. Исправить DNS-запись. Для двух виртуальных машин направьте wowza/webrtc на виртуальные машины Встреч, остальные домены — на машины Чатов + Платформы, затем исправьте DNS/NAT или IP-адреса в Web UI
2. Проверить NAT-сценарий для Встреч
3. Очистить DNS-кэш, если в инфраструктуре есть кэширующие резолверы.

Проблемы с /etc/hosts

Симптомы

• на сервере установки резолв работает, а на целевой виртуально машины нет
• разные виртуальны машины резолвят один и тот же FQDN в разные IP-адреса
• в установщике видно, что имя найдено через /etc/hosts .

Как устранить проблему

1. Синхронизировать /etc/hosts на сервере установки и всех целевых виртуальных машинах
2. Убрать старые или конфликтующие строки
3. Проверить getent hosts <fqdn> на каждой виртуальной машине
4. После ввода постоянных DNS-записей удалить временные строки, если они больше не нужны.

Сертификат не подходит к домену

Симптомы

• веб-установщик сообщает, что сертификат не покрывает домен
• браузер после установки показывает ошибку сертификата.

Что проверить

Проверьте сведения о сертификате:

openssl x509 -in /path/to/cert.pem -noout -subject -issuer -dates -ext subjectAltName

Как устранить проблему

1. Выпустить сертификат с правильным SAN
2. Использовать wildcard-сертификат только для доменов нужного уровня
3. Указать fullchain, если этого требует корпоративная PKI
4. Проверить, что cert и key являются парой
5. Проверить срок действия сертификата.

Недостаточно RAM/CPU/диска

Симптомы

• предварительная проверка показывает FAIL / WARNING
• установка зависает или падает на запуске контейнеров.

Что проверить

Проверьте ресурсы серверов:

lscpu  

free -h  

df -h

Как устранить проблему

1. Привести виртуальные машины к проектному сайзингу
2. Освободить место в /opt и Docker data root
3. Увеличить диск
4. Проверить, что Docker data root расположен на достаточно большом разделе.

Нет AVX/AVX2

Симптом

Проверка CPU AVX/AVX2 завершается ошибкой.

Что проверить

Проверьте, поддерживает ли процессор инструкции AVX и/или AVX2:

grep -m1 '^flags' /proc/cpuinfo | grep -E ' avx| avx2'

Как устранить проблему

1. Включить нужные CPU flags на уровне гипервизора
2. Перенести виртуальные машины на хост с поддержкой AVX/AVX2
3. Согласовать совместимость с платформенной командой до повторной установки.

Docker subnet пересекается с сетью заказчика

Симптомы

• контейнеры не могут ходить во внутренние сервисы
• сервисы недоступны по части IP-адресов
• сетевые маршруты конфликтуют.

Как устранить проблему

1. Заранее получите от сетевых инженеров свободную подсеть
2. Укажите её в Docker subnet
3. Не используйте подсети, которые уже маршрутизируются в корпоративной сети.

Ошибка на этапе обновления

Симптомы

• веб-установщик показывает ошибку продукта или стадии
• в детализации виден статус FAILED
• обновление остановилось.

Как устранить проблему

1. Включите «Режим детальных логов», если ошибка требует диагностики
2. Откройте вкладку «Детализация» 
3. Сохраните лог обновления
4. Найдите первую задачу со статусом FAILED
5. Устраните причину и повторите запуск.

Не запускайте повторное обновление вслепую, если причина не устранена. Это может оставить часть контейнеров и конфигураций в промежуточном состоянии.

Какую информацию передать службе поддержки

Если ошибка не решается на месте, обратитесь в службу технической поддержки и передайте следующую информацию:

1. Номер релиза
2. Состав поставки и режим
3. Схему серверов, IP-адресов и назначение продуктов
4. Введённые FQDN без секретных параметров
5. Результат проверок перед обновлением
6. План обновления
7. Название продукта и этап, на котором возникла ошибка
8. Первая задача FAILED и относящийся к ней фрагмент лога
9. Скриншот шага с ошибкой
10. Вывод команды df -h , free -h , cat /etc/os-release 
11. Результаты команды getent hosts для всех продуктовых FQDN
12. Сведения о proxy, NAT и firewall-ограничениях.

Чем полнее эти данные, тем быстрее можно различить проблему инфраструктуры от ошибки роли или параметров обновления.