«Я каждый день работаю с кучей инструментов для мониторинга и управления инфраструктурой и меня сильно раздражает то, что путь от момента первого запуска до нормального использования неоправданно длинный.» — Владислав, инженер
Меня зовут Александр, я один из разработчиков NKT (NetKnownsThat) — нашего первого опенсоурс проекта
NKT — это один бинарник на Go (~29 МБ) с встроенным веб‑интерфейсом на React+TypeScript+Ant Design. Без Python, Node.js и внешних зависимостей, всё внутри бинарника. Лицензия MIT, сторонние компоненты (noVNC, spice‑html5) — со своими открытыми лицензиями. Инструмент анализа, мониторинга, управления от локального компьютера до кластера, от редактирования конфига до прогноза расхода ресурсов Docker‑контейнера.
Так выглядит раздел Обзор на хосте
Взамен романа Жуля Верна сухие возможности:
киллер‑фича № 1: истина только сейчас
Основной режим использования NKT — это хаб, который постоянно работает в памяти. При этом сам инструмент спроектирован так, чтобы его можно было с лёгкостью удалять и устанавливать: агент на хосте ничего не хранит о сервере — ни базы данных, ни кэша, ни инвентаря. Истина — это сама файловая система Linux и живые процессы. В режиме local NKT после первого запуска уже всё знает о хосте: парсит конфиги nginx, haproxy, docker, опрашивает живые сокеты, службы и фаерволл — и данные сразу доступны даже в режиме tui. Удалили NKT — на сервере не осталось никаких хвостов.
киллер‑фича № 2: узкий Sudo — управления привилегиями с криптографией (Hub‑sudo)
Это архитектурное решение, аналогов которому почти нет. Все привилегированные операции выполняются только по криптографически подписанным командам от хаба:
хаб генерирует команду и подписывает её приватным ключом хаба;
агент на хосте выполняет её через hub‑sudo, только если подпись верна;
hub‑sudo принимает команды лишь из заранее определённого списка: установка, обновление, служба, журнал, пароль админа, apt‑прокси;
каждая подписанная команда содержит номер (nonce), предотвращающий повторное использование перехваченного запроса.
Итог: вектор атаки «скомпрометированный агент = root на сервере» устранён. Хаб физически не может выполнить на хосте ничего вне подписанного белого списка.
киллер‑фича № 3: NKT сам находит порты, процессы, уязвимости и майнеры
В разделах Обзор и Карта ресурсов хоста это наглядно показано, при этом раздел Обзор хранит снапшот состояния и покажет вам что изменилось с момента последнего входа, это же правило работает с uptime под именем хоста. Раздел Уязвимости показывает CVE как на хосте так и в docker, lxd образах, а подраздел Вредоносное проанализирует наличие майнеров и признаков взлома и также можно воспользоваться ClamAV для сканирования, есть возможность обновления базы с хаба.
Всё это без настройки: NKT сразу после установки начинает сканировать хост и строить граф связей между сервисами.
киллер‑фича № 4: ИИ как полноценный член команды
В некоторых разделах встречается иконка лампочки — это запрос к ИИ. Настройки, провайдеры и промпты живут в разделе хаба «О системе»; поддерживаются Anthropic, OpenAI‑совместимые API и локальная LLM. Перед отправкой запроса реальные данные маскируются: секреты, токены и адреса вырезаются из промпта, поэтому наружу не уходит ничего чувствительного. А с локальной LLM анализ вообще не покидает ваш контур.
Мы заботимся о расходе токенов: каждый ответ сохраняется у находки. Жёлтая лампочка — запрос уже выполнялся, ответ сохранён и не тратит токены повторно. Синяя — подобный запрос уже делался в другом разделе, и готовый ответ подставляется оттуда. ИИ не просто объясняет проблему, он предлагает действие. В списке забаненных адресов fail2ban лампочка проверяет конкретный внешний IP и подсказывает, стоит ли держать его в бане.
киллер‑фича № 5: Управление без интернета на хостах (Air‑Gap)
Центральный хаб берёт на себя роль зеркала: кэшируются deb‑пакеты, docker‑образы и helm‑чарты, а для развёртывания Kubernetes можно использовать собственные образы загруженные на хаб. Кластер можно поднять на хостах, у которых нет выхода в интернет вообще.
nkt‑edge — лёгкий агент для минимального VPS: он принимает вебхуки и держит туннель до хаба, позволяя управлять сервером, спрятанным за NAT или чужим фаерволом.
киллер‑фича № 6: All in one консоли (VNC, SPICE, Веб терминал)
Сторонние клиенты больше не нужны:
веб терминал с интеграцией tmux — сессия переживает закрытие браузера;
в веб терминале полностью переписаны режимы копирования, прокрутки и работы мышью;
графические консоли виртуальных машин (noVNC и spice‑html5) прямо в браузере, трафик идёт через туннель хаба.
Защита от выстрела в ногу
Это не отдельная фича, а принцип, который мы старались применить во всех областях работы NKT:
резервный канал связи, если SSH до хоста недоступен;
адрес хаба закреплён в ignoreip fail2ban — сервера не забанят сами себя;
встроенный редактор конфигов работает как git: проверка перед применением, история версий, откат;
сухой прогон с чек‑листом перед развёртыванием кластера;
опасные операции требуют подтверждения словом, а не одного клика.
это только верхушка айсберга — полный список возможностей в документации
Вместо заключения
И ещё одна деталь, нетипичная для опенсорса: документация написана на русском языке изначально, а английская версия — это перевод, а не исходник.
Мы долго спорили с коллегами, о чем должна быть первая статья на Хабре, кто‑то говорил про дизайн интерфейсов, кто‑то про историю создания проекта, кто‑то про маркетинг. В итоге мы пришли к одному логическому заключению: все мы в написании статьи хотели одного — понравится публике и угодить рамкам. В моменте я осознал всю безумность этой задачи и сказал СТОП, ведь мы не писатели и за пару недель никак ими не станем. Мы просто разработчики программных продуктов и всё, что мы вложили в разработку NKT это опыт не только разработчика, но и опыт пользователя и это важный момент, который мы всегда учитываем при разработке продуктов.
Три принципа, которым мы следуем:
Быть пользователем своего продукта. Казалось бы, всё просто — но почему это правило многие настойчиво игнорируют?
Быть простым. Это очень сложно, особенно если это технические интерфейсы с большим количеством текста.
Быть актуальным. Мы искренне не понимаем, зачем не внедрять современные технологии там, где это уместно.
Мы не идеальны: есть и ошибки, и шероховатости. В планах — довести до паритета с вебом приложения для Android и iOS. Проект мы развиваем активно, потому что сами ежедневно используем NKT в работе, он прошёл путь от TUI с одним экраном, до того, как выглядит он сейчас. Это Infrastructure‑as‑Code с человеческим лицом и встроенным здравым смыслом.
Сегодня самый главный ресурс — это время, мы ценим в своей работе и стараемся максимально сократить путь от знакомства до использования. Ждём вас в нашем репозитории.
👉 GitHub: github.com/piqab/nkt
📚 Документация: piqab.github.io/nkt
Всегда рады комментариям
