Этот документ описывает, что именно было реализовано в пакетах, как запустить весь стек одной командой через gvm-stack.target, как устроены зависимости, и как проверить работу. Конфигурации спроектированы так, чтобы никогда не перезаписывались при обновлениях, а сервисы стартовали только после перезагрузки или вручную через таргет.

GVM (Greenbone) в NiceOS: запуск, зависимости, проверка

Этот документ описывает, что именно было реализовано в пакетах, как запустить весь стек одной командой через gvm-stack.target, как устроены зависимости, и как проверить работу. Конфигурации спроектированы так, чтобы никогда не перезаписывались при обновлениях (%config(noreplace)), а сервисы стартовали только после перезагрузки или вручную через таргет.

Содержание

1. Что мы сделали (архитектура и политика конфигов)
2. Состав пакетов и роли
3. Граф зависимостей и порядок запуска
4. Установка и первый запуск
5. Проверка работоспособности
6. Синхронизация фидов (initial & daily)
7. Где лежат конфиги и как их править безопасно
8. Модель безопасности и права
9. Диагностика неисправностей

1) Что мы сделали

2) Состав пакетов

3) Зависимости и порядок запуска

network-online.target
 ├─ redis-openvas.service              (обязательно)
 ├─ openvasd.service  ─┐              (альтернатива OSPD)
 │                     └─(сканер API)
 ├─ ospd-openvas.service ─┘
 ├─ gvmd-db-setup.service [oneshot, если нет /var/lib/gvm/.db-initialized]
 ├─ gvmd-provision.service [oneshot, если нет /var/lib/gvm/.admin-provisioned]
 ├─ gvmd.service  (требует PostgreSQL)
 └─ gsad.service  (после gvmd)

Все узлы «подвешены» на gvm-stack.target. Запуск таргета запускает граф целиком с учётом Requires=/After=.

• Redis обязателен для OSPD/OpenVASD.
• PostgreSQL поднимается своим пакетом (зависимость у gvmd), БД готовит gvmd-db-setup.
• Initial feed (опционально) можно выполнить до первого запуска сканера/менеджера.

4) Установка и первый запуск

1. Установите пакеты (пример для полного стека OSPD-ветки):

   sudo dnf install gvm-common redis-openvas openvas-scanner python-ospd-openvas gvmd gsad python3-greenbone-feed-sync

   Запустите

   
   systemctl start greenbone-initial-sync.service
   greenbone-feed-sync
   systemctl enable --now gvm-stack.target
   systemctl enable --now greenbone-feed-sync.timer

2. Включите единый таргет и запустите его:

   sudo systemctl enable --now gvm-stack.target

3. Дождитесь однократной инициализации БД и провижена админа (маркер-файлы появятся в /var/lib/gvm).

5) Проверка работоспособности

systemctl status gvm-stack.target
systemctl list-dependencies gvm-stack.target

sudo -u gvm redis-cli -s /run/redis-openvas/redis.sock ping
# PONG

sudo -u gvm gvm-manage-scanner --get-scanners

sudo -u gvm gvmd --get-users

xdg-open https://127.0.0.1:9392

6) Синхронизация фидов

sudo systemctl start greenbone-initial-sync.service
# маркер создастся в /var/lib/gvm/.feed-initialized

sudo systemctl enable --now greenbone-feed-sync.timer
systemctl list-timers greenbone-feed-sync.timer

7) Конфигурации и где их править

8) Безопасность, права и каталоги

• Пользователь/группа: gvm:gvm (создаёт пакет gvm-common).
• Runtime: /run/gvm, /run/ospd, /run/redis-openvas — создаются через tmpfiles, режим 0750.
• State: /var/lib/openvas, /var/lib/notus/{products,advisories} — режим 02775 (setgid), владелец gvm:gvm.
• Redis сокет: 660, группа redis; пользователь gvm добавляется в группу redis.
• Сканер: вместо sudo использованы file capabilities: cap_net_bind_service, cap_net_raw на бинаре openvas.
• GSAD: по умолчанию слушает 127.0.0.1. Для публикации наружу измените GSAD_ADDRESS и обеспечьте TLS/фаервол.

9) Диагностика

systemctl status gvm-stack.target
systemctl list-dependencies gvm-stack.target
journalctl -b -u redis-openvas -u ospd-openvas -u openvasd -u gvmd -u gsad --no-pager

journalctl -u gvmd-db-setup -u gvmd-provision --no-pager
sudo -u postgres psql -d gvmd -c 'SELECT version();'

journalctl -u greenbone-initial-sync -u greenbone-feed-sync --no-pager
sudo -u gvm greenbone-feed-sync --help

Все журналы также доступны через journalctl -u <service> -f для «хвоста» в реальном времени.