להפעיל את LexiVirt מאפס

LexiVirt הופכת שרתי לינוקס רגילים למקום שמריץ מכונות וירטואליות. מכונה וירטואלית (VM) היא מחשב שלם — מעבד, זיכרון, דיסק ומערכת הפעלה משלו — שקיים כתוכנה על גבי מכונה פיזית. שרת פיזי אחד יכול להריץ הרבה כאלה, כשהן מבודדות זו מזו.

מקבלים דשבורד ווב שבו יוצרים מכונה, נותנים לה מעבדים, זיכרון ודיסק, מאתחלים אותה מקובץ התקנה של מערכת הפעלה, ופותחים את המסך שלה בדפדפן. מי שהשתמש ב-VirtualBox על מחשב נייד — זה אותו רעיון, בגרסה לשרתים: המכונות רצות על החומרה שלך, כמה שרתים מנוהלים מטאב אחד בדפדפן, בלי דמי רישוי ובלי שום דבר שמדווח החוצה.

מה זה לא: זה לא שירות ענן, ואין שרת LexiVirt שמחזיק את הנתונים שלך. הכול רץ על מכונות שבבעלותך, וממשיך לעבוד גם בלי חיבור לאינטרנט.

יש רק שלושה חלקים נעים. ברגע שמבינים מי זה מי, כל השאר מסתדר.

קונסולת הניהול

ממשק הווב שאליו נכנסים. מחזיקה את חשבונות המשתמשים, את רשימת שרתי המחשוב ואת יומן הביקורת במסד נתונים קטן. היא לא מריצה מכונות וירטואליות — היא רק נותנת פקודות. האפליקציה עצמה מאזינה על 127.0.0.1:9070, ו-nginx מפרסם אותה לרשת על פורט 9443 ב-HTTPS.

שרת מחשוב (Compute Node)

שרת פיזי שבאמת מריץ את המכונות. על כל אחד רץ ה-agent: API קטן על פורט 9071 שהקונסולה מפעילה. ה-agent מפעיל את KVM דרך libvirt, יוצר את קובצי הדיסק, מגדיר את המכונות ומפעיל אותן.

סוד האשכול (Cluster Secret)

סוד משותף אחד בין הקונסולה לכל agent, שנוצר בעת התקנת שרת הניהול. הקונסולה שולחת אותו בכל בקשה לשרת מחשוב; agent דוחה כל דבר אחר. הוא נשמר בקובץ /etc/lexivirt/agent.secret (קריא ל-root בלבד) בכל מכונה.

המתקין חייב לרוץ כ-root, לכן מריצים אותו עם sudo. הוא מתקין את כל התלויות, מייצר בעצמו סיסמאות ותעודת TLS, פותח את הפורטים שהוא צריך בחומת האש, מציע להוריד קובצי התקנה של מערכות הפעלה, ובסיום מדפיס הסבר מלא איך להשתמש בתוצאה.

שרת אחד (הכי פשוט להתחיל)

# everything on this one server
curl -sSL https://lexi-cloud.com/install.sh | sudo bash -s -- all

קונסולה ושרתי מחשוב נפרדים

על המכונה שתארח את הדשבורד:

curl -sSL https://lexi-cloud.com/install.sh | sudo bash -s -- manager

בסיום היא מדפיסה את סוד האשכול ואת הכתובת שלה. אחר כך, על כל שרת שאמור להריץ מכונות:

curl -sSL https://lexi-cloud.com/install.sh | sudo bash -s -- \
     agent <cluster-secret> https://<console-ip>:9443

התקנה בלי שאלות

# choose the OS images up front, skip every prompt
LEXIVIRT_ISOS="debian alpine" \
  curl -sSL https://lexi-cloud.com/install.sh | sudo bash -s -- all

# other values: "none", "all", or any of: debian alpine ubuntu alma

פרטי הכניסה שלך

לבחור סיסמה אחרת כבר בהתקנה

מעבירים אותה למתקין והחשבון נוצר איתה מלכתחילה — שום דבר לא מודפס ואין מה לשנות אחר כך:

curl -sSL https://lexi-cloud.com/install.sh \
  | sudo LEXIVIRT_ADMIN_PASSWORD='your-password-here' bash -s -- manager

אם lexi לא מתקבלת

אז זו לא התקנה טרייה, וסיסמת ה-admin שלה היא משהו אחר. שתי הפקודות האלה מכסות איפה היא יכולה להיות:

# The password this console was actually installed with
sudo grep LEXIVIRT_ADMIN_PASSWORD /etc/systemd/system/lexivirt-console.service

# Upgraded from 1.0.x, where the old shared LexiVirt@2026 was rotated away
# Format is:  username <TAB> new-password
sudo cat /root/lexivirt/data/rotated_passwords.txt

פתחו https://<your-server>:9443 והיכנסו כ-admin.

מיד אחרי הכניסה

1. שנו את סיסמת ה-admin — הגדרות ← שינוי סיסמה. מינימום 10 תווים.
2. אל תחשפו את פורט 9443 לאינטרנט הפתוח. העמידו אותו מאחורי VPN, או הגבילו אותו לטווח הכתובות שלכם בחומת האש. זו לוח בקרה לכל התשתית שלכם.
3. צרו לעצמכם חשבון נפרד תחת "משתמשים", בתפקיד operator, והשאירו את admin לניהול בלבד.

ISO הוא קובץ בודד שמכיל את תוכנת ההתקנה של מערכת הפעלה — בדיוק התוכן של דיסק התקנה. מכונה חדשה מאתחלת ממנו בפעם הראשונה, בדיוק כמו הכנסת דיסק למחשב פיזי, ואתם עוברים על אשף ההתקנה כרגיל.

המתקין מציע להוריד כמה כאלה אל /var/lib/lexivirt/isos, ומאמת כל אחד מול ה-checksum הרשמי של המפיץ. אפשר גם להעלות משלכם מהקונסולה: ISOs ← Upload. קבצים גדולים מפוצלים בדפדפן ונשלחים בחלקים, כך שגם קובצי דסקטופ של כמה ג׳יגה עוברים בלי בעיה.

מה המתקין יכול להוריד עבורך

# pick exactly what you want
LEXIVIRT_ISOS="ubuntu2404 debian12" sudo bash install.sh all

# or a group: all (~19 GB) | linux (~8 GB) | windows | none
LEXIVIRT_ISOS=linux sudo bash install.sh all

שמות הקבצים נפתרים מרשימת הקבצים של כל מפיץ, כך שגרסת נקודה חדשה לא שוברת את ההורדה. כל קובץ לינוקס נבדק מול ה-SHA256 הרשמי ונמחק אם הוא לא תואם. המתקין מסרב להתחיל הורדה שלא תיכנס בדיסק.

אורחי Windows

1. Nodes — ודאו ששרת מחשוב אחד לפחות מופיע כ-online ועם KVM enabled. אם כתוב "No KVM", הווירטואליזציה כבויה ב-BIOS של אותו שרת או שחסרה ספריית libvirt ל-Python.
2. ISOs — ודאו שיש קובץ התקנה ברשימה.
3. Virtual Machines ← Create VM, ומלאו:

LexiVirt בוחרת עבורכם שרת מחשוב מקוון שתומך ב-KVM ומפעילה את המכונה מיד. אין בורר שרתים — השיבוץ אוטומטי.

4. לחצו על אייקון המסך כדי לפתוח את הקונסולה, ועברו על אשף ההתקנה של מערכת ההפעלה בדיוק כמו על חומרה אמיתית.
5. בסיום ההתקנה עצרו את המכונה והפעילו שוב — היא תעלה מהדיסק שלה.

אייקון המסך פותח את פלט הווידאו האמיתי של המכונה בלשונית דפדפן, עם מקלדת ועכבר מחוברים — המקבילה לעמידה מולה עם מסך מחובר. זה עובד עוד לפני שמותקנת מערכת הפעלה, וזו בדיוק הסיבה שצריך את זה בהתקנה הראשונית, וזה ממשיך לעבוד גם כשהרשת של האורח שבורה.

• Ctrl+Alt+Del — נשלח לאורח, לא למחשב שלכם.
• לוח (Clipboard) — הדבקת טקסט לתוך האורח (שימושי, כי אחרת מקלידים לקונסולה תו-תו).
• מסך מלא — לאשפי התקנה גרפיים.

כל שרת נוסף מוסיף את הליבות, הזיכרון והדיסק שלו לבריכה המשותפת. מכונות חדשות משובצות אוטומטית בין השרתים המקוונים שתומכים ב-KVM.

1. קחו את סוד האשכול ממכונת הקונסולה:

   sudo cat /etc/lexivirt/agent.secret

2. על השרת החדש:

   LEXIVIRT_MANAGER_IP=<console-ip> \
   curl -sSL https://lexi-cloud.com/install.sh | sudo bash -s -- \
        agent <cluster-secret> https://<console-ip>:9443

3. בקונסולה: Nodes ← Add Node. הזינו שם, את ה-IP של השרת החדש, פורט 9071, והשאירו את שדה הסוד ריק — סוד האשכול כבר מוגדר.

אם השרת לא עולה

כל מכונה מקבלת כרטיס רשת וירטואלי אחד, מחובר לרשת ה-NAT המובנית של השרת. בפועל:

• המכונות מקבלות כתובת אוטומטית בטווח 192.168.122.0/24.
• המכונות יכולות להגיע לאינטרנט ולרשת המקומית שלכם.
• מכונות על אותו שרת יכולות להגיע זו לזו.
• שום דבר מבחוץ לא יכול לפתוח חיבור פנימה אל מכונה. זו תכונת אבטחה אמיתית, לא מגבלה שכדאי לעקוף בקלות ראש.
• מכונות על שרתים שונים לא מגיעות זו לזו ישירות — לכל שרת יש 192.168.122.0/24 נפרד משלו.

איך מוצאים את הכתובת של מכונה

הקונסולה מציגה אותה ברגע שהאורח ביקש כתובת. מהשרת עצמו:

sudo virsh net-dhcp-leases default

פרסום שירות שרץ בתוך מכונה

כדי לאפשר לעולם החיצון להגיע, למשל, לשרת ווב בתוך מכונה, מפנים פורט בשרת המארח:

# node's port 8080 → VM 192.168.122.42, port 80
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 \
     -j DNAT --to-destination 192.168.122.42:80
sudo iptables -A FORWARD -p tcp -d 192.168.122.42 --dport 80 -j ACCEPT

# iptables rules do not survive a reboot on their own:
sudo apt install iptables-persistent   # Debian/Ubuntu
sudo netfilter-persistent save

מה זה VLAN באמת

VLAN (רשת מקומית וירטואלית, תקן IEEE 802.1Q) מפצל רשת פיזית אחת לכמה רשתות לוגיות נפרדות. זה עובד על ידי הוספת תווית קטנה — מספר בין 1 ל-4094 — לכל מסגרת Ethernet. מתגים מפרידים בין התעבורה לפי התווית: שתי מכונות שמחוברות לאותו מתג אך משויכות לתוויות VLAN שונות פשוט לא רואות זו את זו, כאילו היו על כבלים שונים לגמרי.

אוצר המילים שתפגשו במתג:

• ‏Access port — נושא VLAN אחד בלבד, ללא תווית. המכשיר שמחובר לא יודע דבר על VLAN; המתג מוסיף ומסיר את התווית. זה מה שפורט של מחשב רגיל הוא.
• ‏Trunk port — נושא כמה VLANים בו-זמנית, עם תוויות. כך מחברים מתג למתג, או שרת שצריך להיות בכמה רשתות דרך כבל אחד.
• ‏Native / untagged VLAN — ב-trunk, ה-VLAN היחיד שהמסגרות שלו עוברות בלי תווית.
• ‏VLAN ID / PVID — המספר עצמו. 1 הוא בדרך כלל ברירת המחדל; 4095 שמור.

מרכזי נתונים משתמשים ב-VLANים כדי להפריד, למשל, בין תעבורת אחסון, תעבורת ניהול ותעבורת לקוחות על אותה תשתית כבלים, וכדי למנוע ממכונה שנפרצה במקטע אחד לראות מקטע אחר.

אם באמת צריך גישור או VLAN מתויג

זו משימת רשת ברמת המארח, שמוגדרת בכלים הרגילים של ההפצה שלכם. ברגע שקיים גשר במארח, libvirt יכול לחבר אליו מכונות ישירות.

גשר רגיל מציב את המכונות ישירות על הרשת הפיזית שלכם, כך שהן מקבלות כתובות משרת ה-DHCP הרגיל שלכם ונגישות כמו כל מכונה אחרת — בלי NAT ובלי הפניית פורטים:

# Debian/Ubuntu, /etc/netplan/01-bridge.yaml
network:
  version: 2
  ethernets:
    eno1: {dhcp4: no}
  bridges:
    br0:
      interfaces: [eno1]
      dhcp4: yes

גשר עם תווית VLAN מציב את המכונות על VLAN מסוים — כאן, VLAN 100:

network:
  version: 2
  ethernets:
    eno1: {dhcp4: no}
  vlans:
    eno1.100:
      id: 100
      link: eno1
  bridges:
    br-vlan100:
      interfaces: [eno1.100]
      dhcp4: no

ואז בקונסולה: Networks ← Create Network, בוחרים Bridged ונותנים br-vlan100. בוחרים את הרשת הזו ביצירת מכונה והאורח נוחת על VLAN 100. בלי עריכה ידנית של XML, ושינוי גודל לא יבטל את זה — הקונסולה משמרת את הרשת של המכונה כשהיא מגדירה אותה מחדש.

• סיסמאות חייבות להיות באורך 10 תווים לפחות, לכל חשבון ובכל דרך שבה הן נקבעות.
• את חשבון ה-admin המובנה אי אפשר למחוק או להוריד בדרגה, כך שלעולם לא תינעלו בחוץ.
• השבתת חשבון מונעת ממנו להיכנס באופן מיידי.
• כל פעולה משמעותית — כניסות, יצירה ומחיקה של מכונות, שינויי שרתים, העלאות ISO — נרשמת ביומן הביקורת עם המשתמש, הזמן וכתובת המקור.

המתקין פותח אותם דרך ufw או firewalld, לפי מה שפעיל. אם מעבירים LEXIVIRT_MANAGER_IP בהתקנת שרת מחשוב, הכללים מוגבלים לכתובת הקונסולה הזו בלבד.

איפה יושבים הסודות

עדכונים

הדשבורד מציג תג כשמתפרסמת גרסה חדשה. הגדרות ← Apply Update מוריד אותה מעל TLS מאומת, בודק את ה-checksum שלה לפני שמריץ משהו, מחיל אותה ומפעיל מחדש את השירות. מסד הנתונים, המכונות וקובצי ה-ISO לא נוגעים. אם ההפעלה מחדש נכשלת, נאמר לכם זאת במפורש ביחד עם הפקודה להשלים ידנית.

עדכון לגרסה 1.9.0 ומעלה מגדיר בעצמו גם את הפורט של קונסולת ה-HCI (9440/tcp) — אין מה להגדיר: נכנסים עם החשבון הרגיל ב-https://<console>:9440/hci. יומן העדכון בדשבורד מדפיס את הכתובת. זה דורש שהקונסולה תרוץ כ-root, כך המתקין מגדיר אותה; אם העברתם אותה למשתמש לא מורשה, היומן מדפיס את הפקודה היחידה שצריך להריץ פעם אחת כ-root (sudo bash /opt/lexivirt/console/scripts/hci-port.sh). עדכונים שומרים פורט או רשימת היתר שבחרתם, ומשאירים את הפורט כבוי אם כיביתם אותו (sudo bash /opt/lexivirt/console/scripts/hci-port.sh --remove, או echo 0 | sudo tee /etc/lexivirt/hci-port לפני העדכון). העמוד זמין גם ב-/hci בפורט 9443 בכל מקרה. אם השרת מאחורי security group בענן או חומת אש ברשת, פתחו שם גם 9440/tcp.

מה לגבות — אלה לא ניתנים לשחזור

פקודות יומיומיות

# on the console machine
systemctl status lexivirt-console
journalctl -u lexivirt-console -f
systemctl restart lexivirt-console

# on a compute node
systemctl status lexivirt-agent
journalctl -u lexivirt-agent -f
virsh list --all                 # what the hypervisor itself sees
virsh net-dhcp-leases default    # which VM got which address

תקלות נפוצות

מכונה וירטואלית (VM), אורח (Guest)

מחשב שלם שקיים כתוכנה: מעבד, זיכרון, דיסק ומערכת הפעלה משלו, שרצים על גבי מכונה אמיתית. "אורח" הוא אותו דבר, מנקודת המבט של המארח.

מארח (Host), שרת מחשוב (Node)

השרת הפיזי האמיתי שעליו רצה מכונה וירטואלית. ב-LexiVirt מארח שמותקן עליו ה-agent נקרא node.

היפרוויזור (Hypervisor)

שכבת התוכנה שמאפשרת למכונה אחת להריץ כמה מכונות וירטואליות, כשהיא מחלקת לכל אחת נתח מהחומרה האמיתית. LexiVirt משתמשת ב-KVM.

KVM

וירטואליזציה מובנית בקרנל של לינוקס. דורשת תמיכה במעבד (Intel VT-x או AMD-V), ולכן חייבים להפעיל אותה ב-BIOS. איתה, קוד האורח רץ במהירות קרובה מאוד לזו של חומרה אמיתית.

QEMU

התוכנה שמדמה את כל חלקי המחשב שאינם המעבד — דיסקים, כרטיסי רשת, מסך, מקלדת. QEMU יחד עם KVM הם הצמד שבפועל מריץ כל מכונה.

libvirt

שכבת הניהול הסטנדרטית מעל QEMU/KVM. שומרת את ההגדרה של כל מכונה כמסמך XML ומספקת את הממשק להפעלה, עצירה ועריכה. הפקודה virsh היא הלקוח שלה משורת הפקודה.

Domain

המילה של libvirt למכונה וירטואלית. אם כלי מדבר על "domain", הכוונה ל-VM.

Agent

השירות הקטן של LexiVirt בכל שרת מחשוב. מקבל הוראות מהקונסולה ומבצע אותן דרך libvirt. אין לו ממשק משלו.

קונסולת ניהול

דשבורד הווב. מחזיק חשבונות, את רשימת השרתים ואת יומן הביקורת; לא מריץ מכונות בעצמו.

סוד אשכול (Cluster secret)

הסוד המשותף בין הקונסולה לכל agent. נשלח בכותרת x-agent-token בכל בקשה לשרת מחשוב; בלעדיו שרת דוחה הכול.

vCPU

ליבת מעבד וירטואלית שמוצגת לאורח. כמה vCPUים חולקים את הליבות האמיתיות של המארח; חלוקה של יותר vCPUים ממה שקיים פיזית נקראת overcommit וזו פרקטיקה רגילה.

RAM / זיכרון

זיכרון שמוקצה למכונה. בניגוד למעבד הוא באמת נתפס כל עוד המכונה רצה, ולכן סכום המכונות על מארח אסור שיעלה על מה שיש לו.

qcow2

פורמט קובצי הדיסק של QEMU. כל הדיסק של מכונה הוא קובץ .qcow2 אחד בשרת. הוא thin-provisioned: דיסק של 100 GB שמכיל 3 GB של נתונים תופס כ-3 GB. הוא גם תומך ב-snapshots.

Thin provisioning (הקצאה דקה)

הקצאת מקום על הנייר וצריכה שלו רק כשבאמת משתמשים בו. נוח, אבל מאפשר להבטיח יותר דיסק ממה שיש — עקבו אחרי המקום הפנוי בשרת.

ISO

קובץ בודד שמכיל את תוכנת ההתקנה של מערכת הפעלה, בית אחר בית כמו דיסק התקנה. מכונה חדשה מאתחלת ממנו כדי להתקין מערכת הפעלה.

Snapshot (תצלום מצב)

עותק של הדיסק ברגע נתון שאפשר לחזור אליו. שימושי לפני שינוי מסוכן. זה לא גיבוי — הוא יושב על אותו דיסק כמו המקור, ולכן מת יחד איתו.

VNC

הפרוטוקול שמעביר מסך, מקלדת ועכבר של מכונה דרך הרשת. לכל מכונה ב-LexiVirt יש שרת VNC משלה עם סיסמה אקראית; הקונסולה מתווכת אותו אל הדפדפן שלכם.

noVNC

לקוח ה-VNC ב-JavaScript שמצייר את המסך הזה בתוך לשונית דפדפן, כך שלא צריך להתקין שום דבר מקומית.

WebSocket

חיבור רשת שנשאר פתוח לשני הכיוונים בתוך הפעלת HTTPS רגילה. הוא מה שמאפשר לקונסולת המכונה ולגרפים החיים בדשבורד לזרום ברציפות דרך אותו פורט כמו שאר האתר.

NAT (תרגום כתובות רשת)

לאפשר להרבה מכונות לחלוק כתובת אחת, על ידי שכתוב התעבורה היוצאת כך שתיראה כאילו הגיעה מהמארח. ברירת המחדל לאורחים ב-LexiVirt: הם יוצאים החוצה, אף אחד לא נכנס פנימה.

גשר (Bridge — virbr0, br0)

מתג רשת וירטואלי בתוך המארח. virbr0 הוא גשר ה-NAT של libvirt; גשר שאתם יוצרים בעצמכם מעל כרטיס פיזי מציב את האורחים ישירות על הרשת האמיתית שלכם.

VLAN (802.1Q)

תווית ממוספרת 1–4094 שמתווספת למסגרות Ethernet ומפצלת רשת פיזית אחת לכמה רשתות לוגיות מבודדות. מכונות עם תוויות שונות לא רואות זו את זו גם על אותו כבל. LexiVirt לא מתייגת VLANים בעצמה, אבל היא יודעת לחבר אורחים לגשר מתויג דרך רשת מגושרת — ראו סעיף 11.

Trunk / Access port

מונחים של מתגים. פורט access נושא VLAN אחד ללא תווית; פורט trunk נושא כמה, עם תוויות, על כבל אחד.

CIDR (למשל 192.168.122.0/24)

דרך לכתוב טווח כתובות. המספר אחרי הלוכסן הוא כמה סיביות מובילות קבועות: /24 מקבע את שלושת המספרים הראשונים ומשאיר 254 כתובות שמישות.

שער (Gateway)

הכתובת שאליה נשלחת תעבורה כשהיעד שלה מחוץ לרשת המקומית. עבור אורחי LexiVirt זהו 192.168.122.1, כלומר השרת עצמו.

DHCP

השירות שנותן למכונה כתובת אוטומטית כשהיא מצטרפת לרשת. libvirt מריץ אחד עבור רשת ה-NAT, ולכן מכונות חדשות מקבלות כתובת בלי שאומרים להן.

הפניית פורט (Port forwarding / DNAT)

כלל בחומת אש ששולח תעבורה שמגיעה לפורט במארח הלאה אל מכונה מסוימת, כך שאפשר להגיע מבחוץ לשירות בתוך מכונה מוסתרת מאחורי NAT.

כתובת MAC

הכתובת החומרתית של כרטיס רשת, גם וירטואלי. libvirt מייצר אחת לכל מכונה; כך DHCP מזהה את אותה מכונה בכל פעם.

יחידת systemd / שירות

איך לינוקס מפעילה ומשגיחה על תוכניות רקע. lexivirt-console ו-lexivirt-agent הן יחידות; systemctl שולט בהן ו-journalctl מציג את היומנים שלהן.

nginx, reverse proxy

שרת הווב שיושב לפני הקונסולה. הוא מסיים את ה-HTTPS על פורט 9443 ומעביר HTTP רגיל לאפליקציה על loopback — ולכן האפליקציה עצמה אף פעם לא חשופה.

TLS / SSL, תעודה בחתימה עצמית

ההצפנה שמאחורי HTTPS. תעודה בדרך כלל מוכיחה למי אתם מתחברים; תעודה בחתימה עצמית מצפינה את התעבורה אבל אף אחד לא ערב לזהות, ולכן הדפדפן מזהיר.

אסימון הפעלה (Session token, JWT)

ההוכחה החתומה לזהות שלכם, שמונפקת בכניסה ונשמרת בעוגייה שה-JavaScript בדפדפן לא יכול לקרוא. פג תוקף אחרי 24 שעות.

יומן ביקורת (Audit log)

הרישום של מי עשה מה ומתי — כניסות, יצירה ומחיקה של מכונות, שינויי שרתים, העלאות.

Overcommit

הקצאה של יותר מהמשאב ממה שקיים פיזית. בטוח ושגרתי ב-vCPU; מסוכן בזיכרון.