Вопросы и ответы

Как произносится Nythronix?

По-русски — «Найтро́никс».

Английское произношение — /naɪˈθrɒnɪks/.

Нужен ли машине белый IP или проброс портов?

Нет. Агент сам устанавливает исходящее WebSocket-соединение к nx.3fe.ru по HTTPS/WSS и держит его. Сервер управления никогда не подключается к машине сам. Всё — терминал, SSH-реле, веб-прокси, команды воркеров — идёт внутри этого соединения. Достаточно, чтобы с машины открывался https://nx.3fe.ru.

Что видит панель в моём SSH-трафике?

Только шифротекст. SSH-соединение устанавливается между вашим клиентом и sshd машины насквозь; сервер управления переключает бинарные кадры, не разбирая их, и не имеет ваших SSH-ключей. В аудите остаётся факт: кто, когда, к какой машине и порту открыл поток.

Терминал в браузере — другое дело: его вывод проходит через панель в открытом виде (иначе его нельзя было бы показать в кабинете и дать нескольким зрителям), поэтому для особо чувствительных операций используйте SSH через туннель.

Что произойдёт при обрыве сети?

Агент переподключается автоматически с паузой от 1 до 30 секунд между попытками. Сессии tmux и zellij при этом сохраняются на машине, и агент подключается к ним заново; обычная shell-сессия теряется. Открытые реле-потоки при обрыве закрываются — ssh придётся запустить снова; туннели, созданные на агенте в кабинете, исчезают при перезапуске агента. Подробнее — Терминал и сессии.

Что будет, если панель недоступна?

Машина продолжает работать как обычно: агент — не посредник для локальных процессов. Недоступны будут только новые подключения из кабинета и команды воркеров. Временная выдача sudo воркеру истекает по таймеру на самой машине, без участия панели.

Можно ли развернуть Nythronix у себя?

Да. Та же кодовая база работает в режиме self-hosted: сервер управления ставится в Docker Compose или как systemd-служба, перед ним — ваш reverse proxy с TLS. Агенты регистрируются так же, только с адресом вашего сервера. Инструкция: Self-hosted: развёртывание.

Какие ОС поддерживаются?

• Linux x86_64 и aarch64 с systemd — полный набор: терминал, tmux/zellij, реле, воркеры с непривилегированным пользователем.
• Windows 10 1809+ / Server 2019+, 64 бита — терминал в браузере (PowerShell), реле, команды, автообновление. Движки tmux/zellij недоступны.
• Windows 7 SP1 / 8 / 8.1 / Server 2008 R2 / 2012 / 2012 R2 и любая 32-битная Windows — всё то же самое, кроме терминала в браузере: в этих системах нет ConPTY. Машина видна в кабинете, работают реле, туннели, read-only команды и автообновление, а терминал открывается через соседнюю современную машину. Ставится тем же самым установщиком, отдельный файл качать не нужно.

macOS в текущей версии официально не поддерживается.

Кто может печатать в чужом терминале?

Все, кто подключён к сессии, видят одно и то же. Печатать могут операторы с ролями operator, admin, owner; роль viewer — только смотрит. Для доступа по коду согласия право ввода задаёт владелец флагом --view-only.

Безопасно ли давать код согласия?

Код одноразовый, действует ограниченное время (по умолчанию час), даёт ровно то, что вы указали (новая оболочка, конкретная сессия, только просмотр), и аннулируется при перезапуске агента. Сервер управления получает только хеш кода. Тем не менее это доступ к оболочке от пользователя агента, поэтому сообщайте код только тому, кому доверяете, и сокращайте --ttl, если код нужен на несколько минут. Для чужих машин выбирайте режим «Только по коду» — без кода к ним не подключится никто. См. Доступ по коду согласия.

От какого пользователя выполняются команды?

• Терминал оператора на Linux — от пользователя, под которым работает агент (root), либо от локального логина, назначенного оператору администратором («Админ → Операторы → Терминал → юзер»). Владелец машины может жёстко зафиксировать логин в /etc/nythronix/agent-policy.json.
• Команды AI-воркера — от непривилегированного nyx-worker, если такой пользователь создан. Root воркер получает только временно, через кнопку «Выдать root» в кабинете, и только если это не запрещено локальной политикой машины.
• На Windows служба работает от LocalSystem, терминал открывается от неё же.

Почему служба агента на Linux работает от root?

Потому что агент — супервизор с разделением привилегий, а не исполнитель: root нужен, чтобы переключаться в nyx-worker или в назначенный пользователю логин, записывать /etc/sudoers.d/nyx-worker и заменять собственный бинарник при обновлении. Команды воркеров от root он не выполняет. Если вас это не устраивает, ограничьте возможности панели локальной политикой — см. Установка на Linux.

Как обновляется агент?

Сам, если в «Админ → Агенты» у машины стоит Update policy auto или auto_idle_only. Агент скачивает новый бинарник, сверяет SHA-256 и подпись Ed25519 ключом, закреплённым при регистрации, и перезапускается. Даже скомпрометированный сервер не сможет подсунуть неподписанное обновление. При manual (по умолчанию) агент только сообщает о новой версии.

Как удалить агента?

Linux: остановить и отключить юнит, удалить бинарник, /etc/nythronix и /etc/sudoers.d/nyx-worker. Windows: «Параметры → Приложения → Nythronix Agent → Удалить», затем при желании удалить %ProgramData%\Nythronix. В обоих случаях удалите запись машины в «Админ → Агенты» — тогда её учётные данные перестанут действовать. Пошагово: Linux, Windows.

Как быстро заблокировать машину или оператора?

Машину — кнопка «Отключить» в «Админ → Агенты»: агент не сможет подключиться, но запись сохранится. Оператора — «Отключить» в «Админ → Операторы»: все его сессии в кабинете немедленно прекращаются. API-токены nyx-operator отзываются в «Настройки → API-токены».

Что делать, если машина не появляется Online?

1. Проверьте службу: journalctl -u nythronix-agent -f на Linux, %ProgramData%\Nythronix\logs\agent.log.* на Windows.
2. Убедитесь, что токен не был использован ранее и не истёк — создайте новый.
3. Проверьте адрес: wss://nx.3fe.ru/agent/ws или https://nx.3fe.ru.
4. Проверьте, что с машины открывается https://nx.3fe.ru (прокси, брандмауэр, TLS-инспекция).