Beszel

Обзор

Beszel хранит компактную историю ресурсов серверов: CPU, RAM, swap, заполнение дисков и трафик. Агенты передают измерения; центральная панель сохраняет аккаунты, права, настройки оповещений и историю в локальных SQLite-базах. Подойдёт домашним серверам и небольшой инфраструктуре.

Рецепт устанавливает центральный сервер, а не агенты на всех машинах. Добавляйте системы через интерфейс и устанавливайте соответствующий фиксированный образ агента на каждую из них. Интеграции Docker, GPU, SMART, ZFS и systemd требуют отдельных прав и настройки. Smoke запускает настоящий изолированный агент без host networking и Docker socket; показания относятся к тестовому окружению.

При новой базе сервер создаёт администратора приложения и суперпользователя PocketBase из заданных email/пароля. Самостоятельная регистрация закрыта. OIDC, MFA по email-OTP и вход по доверенному заголовку поддерживаются upstream, но рецептом не настроены. Для email-OTP нужен SMTP.

Веб-интерфейс встроен. Клиенты Android/iOS и macOS, перечисленные в официальной документации, — независимые сторонние проекты; здесь они не проверены. Перед подключением изучите лицензии и обращение с учётными данными.

Для пользователей Netdata Cloud Beszel покрывает локальную панель ресурсов и историю. Возможности наблюдения и интеграции отличаются; экономия без проверенных актуальных цен не заявляется.

Оценка безопасности (2026-10-24): loopback HTTP, процесс без root, корневая ФС только для чтения, закрытая регистрация и отсутствие доступа к хосту/Docker. Отдельно защищайте SSH-ключ панели, интерфейс PocketBase и каждый агент. Это разбор конфигурации, а не скан уязвимостей.

Источники: установка панели, агенты, переменные, безопасность, OIDC, мобильные клиенты, десктоп.

Пошаговая инструкция

Установка

Нужны Ubuntu 24.04 LTS или Debian 12/13, Docker Engine и Compose >=2.24.0 из официального репозитория. Скачайте рецепт целиком.

cp .env.example .env
chmod 600 .env
openssl rand -hex 24

Замените CHANGE_ME в BESZEL_ADMIN_PASSWORD случайным значением, укажите свой BESZEL_ADMIN_EMAIL и реальный BESZEL_URL.

docker compose config --quiet
docker compose pull
docker compose up -d --wait
docker compose ps

Откройте http://localhost:8090 и войдите с заданными email/паролем. На новой базе они создают администратора Beszel и суперпользователя PocketBase; при существующей базе окружение не меняет пароли. Не открывайте панель до настройки закрытых credentials.

VPS

Нужны домен, HTTPS, firewall и зашифрованные внешние копии. Оставьте 8090 на loopback и публикуйте только прокси. Доступ к /_/ ограничьте доверенными операторами.

LAN / VPN

Предпочтительны SSH-туннель (ssh -L 8090:127.0.0.1:8090 user@server) или VPN/прокси. Для прямой доверенной LAN явно поменяйте bind в Compose и ограничьте firewall. BESZEL_URL должен совпадать с адресом браузера.

HTTPS

Направьте DNS на прокси, задайте BESZEL_URL=https://metrics.example.com и пересоздайте сервис. Пропускайте WebSocket upgrade и долгие соединения: они нужны live-интерфейсу и WebSocket-агентам.

Caddy

Используйте proxy/Caddyfile на хосте; Caddy обслуживает TLS и WebSocket.

Nginx

Получите указанный сертификат, подключите proxy/nginx.conf в контексте http, проверьте nginx -t и перезагрузите. map выбирает правильный заголовок Connection.

Traefik

Загрузите proxy/traefik.yaml через file provider с websecure и resolver letsencrypt. Пример рассчитан на Traefik хоста; контейнеру нужен маршрут к панели вместо loopback хоста.

Data / Данные

Именованный BESZEL_DATA_VOLUME подключён к /beszel_data: data.db, auxiliary.db, закрытый id_ed25519, состояние уведомлений и встроенные backup. Сохраняйте весь каталог, включая WAL работающего сервиса. Данных агентов здесь нет. Смена имени тома выбирает другую установку.

Backup

Выполните bash backup.sh. Скрипт останавливает панель, сохраняет весь том, .env и Compose и возвращает прежнее состояние запуска. Права архива — 600. Шифруйте и выносите копии с сервера; конфигурацию, токен и данные каждого агента храните отдельно.

Restore / Восстановление

Восстановление заменяет текущие данные. Используйте доверенный архив. На новой машине сначала запустите рецепт, вручную сравните архивную configuration.env (она не активируется) и выполните bash restore.sh /safe/path/beszel-backup.tar. Скрипт проверяет обязательные файлы, делает страховочную копию, заменяет данные и ждёт health. При ошибке распаковки панель остаётся остановленной. Используются пароли и SSH-ключ восстановленной базы; проверьте историю и переподключение агентов.

Update / Обновление

Прочитайте release notes, сделайте backup, установите новый явный BESZEL_VERSION и выполните docker compose pull && docker compose up -d –wait. Не используйте latest. Отдельно обновляйте агентов до совместимой фиксированной версии и проверяйте метрики. Обновление панели — замена образа на месте; перед будущими major-релизами изучайте инструкции миграции.

Rollback / Откат

Остановите beszel, верните прежний BESZEL_VERSION в .env, скачайте и один раз запустите его, затем восстановите соответствующий архив до обновления. База после миграций нового PocketBase/Beszel может не работать со старым бинарником: возвращайте старый снимок. Проверьте вход, назначенные системы и соединения агентов.

Removal / Удаление

docker compose down сохраняет том. Для полного удаления сначала выгрузите backup, проверьте проект и BESZEL_DATA_VOLUME, затем выполните docker compose down –volumes. Аккаунты, SSH-ключ и история будут уничтожены. .env, DNS/прокси и отдельные агенты удаляйте, когда они больше не нужны.

Все параметры .env.example

Подключение реальных систем

Через Add System создайте запись и используйте инструкции агента для нужной машины. Замените плавающий тег в предложенной UI-команде на henrygd/beszel-agent:0.21.1. Для SSH разрешайте порт агента только панели; для WebSocket используйте TLS. Не копируйте Docker socket, host network или устройства без необходимости: они расширяют доступ. Публичный ключ панели — не закрытый ключ. SMTP, OIDC, MFA и доставка оповещений в рецепте не настроены.

Сообщить о проблеме с рецептом

Рассказать, как прошло на вашем сервере

Откроется предзаполненный issue на GitHub. Нужен аккаунт GitHub; после отправки сообщение будет публичным.

Диагностика

Диагностика

docker compose ps
docker compose logs --tail=100 beszel
docker compose exec beszel /beszel health --url http://127.0.0.1:8090

Неверный пароль: переменные администратора применяются только к новой базе. Восстановление возвращает старый пароль. Используйте собственную процедуру смены пароля PocketBase; не удаляйте том ради сброса.

Нет систем/метрик: рецепт устанавливает только панель. Установите отдельный агент, назначьте систему пользователю, проверьте адрес, порт, ключ и версию. localhost внутри панели указывает на контейнер панели. Разрешайте SSH только от неё; WebSocket требует корректного HUB_URL, токена, TLS и proxy upgrade.

Permission denied: инициализатор выставляет UID/GID1000 для тома. Не подключайте чужой том. Root контейнера read-only; запись допускается в data и временный tmpfs.

Оповещения не доходят: SMTP/push не настроены. Наличие сохранённого правила не доказывает доставку. Проверьте интеграцию по официальной документации.

Пустая история: новые системы начинают накопление после подключения, агрегаты появляются позже. Пользователь видит только назначенные ему системы. Тестовые контейнеры не доказывают полноту метрик физического хоста.

Backup/restore: FOSSARY_ENV_FILE выбирает другую .env. Неполный архив отклоняется до остановки. При ошибке извлечения панель остаётся остановленной: проверьте место, права, архив и страховочную копию. Архивы содержат секреты и закрытый SSH-ключ; не публикуйте их.