Администрирование RHEL без графического интерфейса через веб-консоль Cockpit

Цель

Настроить администрирование сервера RHEL без графического интерфейса через браузер, не оставляя порт открытым без необходимости.

Предварительные условия

Доступ root или sudo; установленный пакет cockpit (если его нет, что часто бывает при минимальной установке, выполните dnf install cockpit).

Шаги

1. Включите юнит с активацией через сокет вместо постоянно работающего демона — руководство Cockpit описывает именно такой запуск, при котором служба фактически стартует лишь при первом входящем подключении:

systemctl enable --now cockpit.socket

2. Откройте доступ в межсетевом экране с помощью собственной именованной службы Cockpit в firewalld, а не непосредственного указания порта:

firewall-cmd --add-service=cockpit --permanent
firewall-cmd --reload

3. Откройте в браузере https://<host>:9090 и войдите с обычной учётной записью Linux; Cockpit выполняет аутентификацию через PAM, поэтому отдельное хранилище учётных данных обслуживать не нужно.
4. Используйте консоль для задач, с которыми она хорошо справляется на сервере без рабочего стола: чтения журнала systemd, запуска и остановки служб, просмотра конфигурации хранилища и сети, установки обновлений и открытия терминала — всё из браузера. Это полезно при недоступности SSH, для эпизодического доступа человека, которому неудобна командная строка, или как второй способ попасть на хост во время инцидента.
5. Прежде чем рассчитывать на консоль во время инцидента, проверьте, что она действительно запустилась, чтобы не обнаружить проблему в момент, когда она понадобится:

systemctl status cockpit.socket
journalctl -u cockpit

Ожидаемый результат

systemctl status cockpit.socket показывает прослушивание сокета; страница входа загружается по HTTPS на порту 9090; в выводе firewall-cmd --list-services есть cockpit.

Ограничения и основание проверки

Активация через сокет — стандартный способ работы Cockpit, сама по себе она не является мерой усиления защиты: доступность определяется приведённым выше правилом межсетевого экрана. Поэтому разрешайте доступ к порту только из сети администрирования, а не из открытого интернета; если подключаться нужно извне этой сети, рассмотрите размещение за обратным прокси или VPN. Отключите консоль тем же способом, которым включили: systemctl disable --now cockpit.socket, затем удалите службу из правил firewalld и перезагрузите его конфигурацию. Ни включение, ни отключение не требуют перезагрузки системы.