Von der frischen Maschine zum Panel

Node vorbereiten

Schlüssel ausrollen, Passwortanmeldung aus, LogLevel VERBOSE — nur damit protokolliert sshd den Fingerabdruck des Schlüssels, und nur darüber zeigt das Panel später, wann welcher Schlüssel benutzt wurde.

ssh-copy-id root@<node>

cat > /etc/ssh/sshd_config.d/kastra.conf <<'EOF'
# MANAGED BY KASTRA - DO NOT EDIT
PermitRootLogin prohibit-password
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
LogLevel VERBOSE
EOF
sshd -t && systemctl restart ssh

Paketquelle eintragen

Kastra kommt als drei Debian-Pakete aus einem signierten apt-Repository. Der Kanal ist zugleich die apt-Suite: stabil für freigegebene Fassungen, test für jeden Bau. Fang mit stabil an — umstellen geht später im Panel, und ab dann rollt das Panel selbst aus.

curl -fsSL https://kastra.softwelop.com/apt/kastra-archive-keyring.asc \
  | gpg --dearmor -o /usr/share/keyrings/kastra-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/kastra-archive-keyring.gpg] https://kastra.softwelop.com/apt stabil main" \
  > /etc/apt/sources.list.d/kastra.list
apt-get update

Control Plane installieren

PostgreSQL, die beiden Pakete, die Zugangsdaten in /etc/kastra/control-plane.env. Die Werte für Herkunft und Name müssen zur Adresse passen, unter der das Panel erreichbar sein wird — WebAuthn prüft streng, ein Wildcard gibt es nicht.

apt-get install -y postgresql kastra-control-plane kastra-ui

su - postgres -c "psql -c \"CREATE ROLE kastra LOGIN PASSWORD '<geheim>'\""
su - postgres -c "createdb -O kastra kastra"
su - postgres -c "psql -d kastra -c 'CREATE EXTENSION IF NOT EXISTS pgcrypto'"

cat > /etc/kastra/control-plane.env <<'EOF'
KASTRA_DB_URL=jdbc:postgresql://localhost:5432/kastra
KASTRA_DB_USER=kastra
KASTRA_DB_PASSWORD=<geheim>
KASTRA_HTTP_PORT=8443
KASTRA_GRPC_PORT=8444
KASTRA_RP_ID=panel.example.com
KASTRA_ORIGINS=https://panel.example.com
KASTRA_SESSION_SECRET=<mindestens 32 Zeichen>
EOF
chmod 0600 /etc/kastra/control-plane.env
systemctl enable --now kastra-control-plane

Beim ersten Start legt Flyway das Schema an und erzeugt Organisation, Tarif und den Administrator. Das Einmal-Token für die erste Anmeldung steht im Protokoll:

journalctl -u kastra-control-plane | grep -A3 Einmal-Token

Panel über HTTPS

Der nginx-Vhost für die Oberfläche kommt aus dem Paket; das erste Zertifikat stellt die interne CA aus. Das ist der Auslieferungszustand, nicht der Regelfall: sobald der Name öffentlich auflöst, holt Einstellungen › Panel-Zertifikat eines von Let's Encrypt und erneuert es selbst.

kastractl panel cert --out /etc/kastra/panel
nginx -t && systemctl reload nginx

Node anmelden

Auf dem Panel-Host ein Token erzeugen, auf dem Node den Agent anmelden. Der Fingerabdruck der CA ist Pflicht: beim Anmelden gibt es noch keine Vertrauensbasis, und ohne ihn nähme der Node jede Gegenstelle an. kastractl node token gibt den fertigen Befehl samt Fingerabdruck aus, das Panel unter Nodes › Node aufnehmen ebenso.

# auf dem Panel-Host
kastractl node token --hostname web01.example.com --roles web,db,dns,mail

# auf dem Node
apt-get install -y kastra-agent
kastra-agent enroll --token <token> --server panel.example.com:8445 \
  --hostname web01.example.com \
  --ca-fingerprint <64 Hexzeichen>
systemctl enable --now kastra-agent

Ein Token mit Hostnamen gilt nur für genau diesen Namen. Der Name bleibt danach, wie er ist — an ihm hängt das Zertifikat des Agents.

Der Agent baut die Verbindung ausgehend auf; auf dem Node muss dafür kein Port geöffnet werden. Was zur Rolle fehlt — Postfix, PowerDNS, MariaDB, CrowdSec — zeigt das Panel unter Nodes › Komponenten und richtet es auf Wunsch ein.

Erste Anmeldung

Mit dem Einmal-Token aus dem Protokoll oder, wenn es abgelaufen ist, mit einem Notzugang. Danach sofort mindestens zwei Passkeys registrieren und die zehn Wiederherstellungscodes sichern — ein Passwort für das Panel gibt es nur, wenn du es bewusst einrichtest.

kastractl auth emergency-token --user admin

Kanal wählen und aktualisieren

Unter Einstellungen › Aktualisierung steht der Kanal. Das Panel holt täglich die Versionsauskunft, zeigt vor dem Einspielen den Changelog samt Eingriffen am Node und startet erst nach deiner Bestätigung — Node für Node, mit Rückfall auf die alte Fassung, wenn etwas schiefgeht. Was in welchem Kanal liegt, steht unter Änderungen.