Перейти к содержанию

Установка агента Netelum на Windows

Пошаговая инструкция для тех, кто ставит агента на компьютер сотрудника под Windows.

Что понадобится

  • Windows 10 или 11, x64 (amd64). Для Windows на ARM есть свой архив arm64.
  • Права администратора не нужны. Агент ставится в профиль пользователя (%LOCALAPPDATA%\Netelum) и запускается задачей планировщика при входе этого пользователя. Не службой – намеренно: служба от SYSTEM мерила бы сеть SYSTEM (другой прокси, учётка машины вместо сотрудника).
  • Установочный архив netelum-agent-<версия>-windows-amd64-install.zip (около 10 МБ). Внутри – папка с тремя файлами: netelum-agent.exe, netelum-supervisor.exe и install-endpoint.ps1. Администратор аккаунта скачивает его на Настройки → Агенты в окне «Добавить агента» после создания, на вкладке «Windows»: ссылка стоит первым шагом.
  • Токен агента – его выдаёт администратор, шаг 1. Окно установки – час.
  • Адреса платформы – их сообщает администратор. Ниже в примерах https://netelum.example.com, подставьте адрес своей платформы: https://netelum.example.com/agent/manager и https://netelum.example.com/agent/collector.

Файлы агента не подписаны

У файлов агента нет подписи Authenticode, поэтому SmartScreen или антивирус может на них ругаться. Это решается исключением, согласованным со службой информационной безопасности, а не отключением защиты на машине.

Шаг 1. Администратор заводит устройство и выдаёт токен

Окно установки – час

Выдавайте токен, когда человек уже у компьютера: запустить агента с новым токеном нужно в течение часа.

Настройки → Агенты → «Добавить агента», тип «Пользовательское устройство», имя можно оставить пустым – подхватится имя компьютера. Окно покажет токен – один раз, его надо скопировать сразу и передать безопасным каналом. На вкладке «Windows» того же окна – ссылка «Скачать для Windows amd64 – установочный архив» и готовые команды для шагов 2 и 3 с адресами вашей платформы.

Не успели за час – на Настройки → Агенты, вкладка «Пользовательские», раскройте строку устройства: в блоке «Токен» кнопка «Выдать новый» выписывает новый токен (см. Токены агентов).

Шаг 2. Распаковать архив

Архив скачан в «Загрузки». Открыть PowerShell (обычный, не от имени администратора) и выполнить – четыре строки разом:

Expand-Archive "$HOME\Downloads\netelum-agent-26.09.2602-windows-amd64-install.zip" -DestinationPath "$HOME\Downloads" -Force
cd "$HOME\Downloads\netelum-agent-26.09.2602-windows-amd64"
Set-ExecutionPolicy -Scope Process Bypass -Force
Get-ChildItem | Unblock-File

Две последние строки обязательны. По умолчанию Windows не запускает скрипты PowerShell вовсе, а у скачанного файла ещё и метка «из интернета». -Scope Process разрешает это только в этом окне и до его закрытия – настройки машины не меняются.

Шаг 3. Запустить установщик

В том же окне:

.\install-endpoint.ps1 `
  -Manager https://netelum.example.com/agent/manager `
  -Collector https://netelum.example.com/agent/collector `
  -Token (Read-Host 'Вставьте токен')

Вставить токен по запросу и нажать Enter. Токен не попадает ни в командную строку процесса, ни в историю PowerShell.

Установщик кладёт агента и supervisor в %LOCALAPPDATA%\Netelum, токен – в %LOCALAPPDATA%\Netelum\token с доступом только на чтение этому пользователю, и заводит задачу планировщика «Netelum Endpoint Agent», которая сразу же запускается. Дальше агент меняет токен в этом файле сам, см. Токены агентов.

Шаг 4. Проверить

Через минуту устройство появится на Настройки → Агенты, вкладка «Пользовательские», со статусом «на связи». На самой машине:

Get-Process netelum-*        # netelum-supervisor и netelum-agent, по одному
Get-Content "$env:LOCALAPPDATA\Netelum\logs\agent.log" -Tail 20

Окна терминала на экране быть не должно: если оно есть и висит – сообщите в поддержку.

Обновление

Удалённо – обычный путь

Ничего делать на машине не нужно. Админ на Настройки → Агенты нажимает «Обновить» в строке агента (или «Обновить всех, кому есть что ставить»). Агент на ближайшем опросе скачивает пакет, проверяет нашу подпись, подменяет себя и возвращается на новой версии – обычно за минуту. Ход обновления видно в раскрытии строки, см. Обновления агентов.

Руками – если агент не выходит на связь

Оба способа – в PowerShell от имени того же пользователя, без прав администратора.

Способ 1 – установочный архив (рекомендуется): меняет и агента, и supervisor, заново регистрирует задачу. Распаковать новый архив как в шаге 2, затем установщик с тем же токеном – новый выписывать не нужно:

.\install-endpoint.ps1 `
  -Manager https://netelum.example.com/agent/manager `
  -Collector https://netelum.example.com/agent/collector `
  -Token (Get-Content "$env:LOCALAPPDATA\Netelum\token")

Если при первой установке задавали -AgentName, повторить его – иначе в настройки ляжет имя компьютера.

Способ 2 – только бинарник агента: файл netelum-agent-<версия>-windows-amd64.exe. В окне «Добавить агента» для пользовательского устройства его нет – там только установочный архив; файл даёт поддержка Netelum. Supervisor и настройки остаются прежними. Из папки, где лежит файл:

Unblock-File .\netelum-agent-26.09.2602-windows-amd64.exe
Stop-ScheduledTask -TaskName 'Netelum Endpoint Agent'
Copy-Item .\netelum-agent-26.09.2602-windows-amd64.exe "$env:LOCALAPPDATA\Netelum\netelum-agent.exe" -Force
Start-ScheduledTask -TaskName 'Netelum Endpoint Agent'

Stop-ScheduledTask гасит и supervisor, и агента (они в одном job-объекте) – без этого Copy-Item упадёт на занятом файле.

Удаление

Из папки распакованного архива, после строк Set-ExecutionPolicy и Unblock-File из шага 2:

.\install-endpoint.ps1 -Uninstall

Задача и процессы удаляются; каталог %LOCALAPPDATA%\Netelum (логи и токен) остаётся – скрипт печатает команду, которой его удалить. Запись агента на платформе удаляет или отправляет в архив администратор на Настройки → Агенты, см. Парк агентов.

Частный агент на Windows-сервере

Для сервера или виртуальной машины на площадке тип агента – «Частный (инфраструктура)». Его вкладка «Windows» в окне «Добавить агента» другая:

  1. «Скачайте сборку агента».
  2. «Запустите установщик из папки со сборкой агента от имени администратора – токен он спросит сам» – команда install-service.ps1 с адресами платформы и именем агента.

Установщик сохранит токен в %ProgramData%\Netelum\token, ограничит доступ к нему и зарегистрирует службу NetelumAgent, которая стартует вместе с машиной и работает без входа пользователя. Окно установки токена у частного агента – семь суток. Сам частный агент не обновляется: в раскрытии строки у него «обновляется вручную».

Скрипт установщика службы

Скрипта install-service.ps1 в скачиваемой сборке нет – его даёт поддержка Netelum вместе со сборкой.