Командная строка

У Mistgate два бинарника: mistgate — панель, mistgate-node — агент ноды. Оба принимают команду, а за ней флаги. Флаги можно писать с одним дефисом или с двумя (-data-dir или --data-dir); здесь везде два. <команда> -h печатает флаги команды.

У многих флагов есть запасная переменная окружения. Флаг в командной строке важнее переменной. Все флаги и переменные serve и setup, а также устройство каталога данных описаны ещё и в «Конфигурации».

mistgate#

mistgate завершается с кодом 0 при успехе, 1 при ошибке (печатает mistgate: <ошибка>) и 2 при неизвестной или пропущенной команде.

mistgate serve#

Запускает панель на переднем плане. Запускайте её под systemd или другим супервизором. Вне режима разработки нужна установка, сделанная mistgate setup.

mistgate serve --listen :443 --acme-domain panel.example.com

Режим разработки. --dev берёт ./.data, работает по обычному HTTP: ширма на 127.0.0.1:8080, админка на 127.0.0.1:8081, точка подключения агентов на 127.0.0.1:8082; WebAuthn RP — localhost; setup не нужен; пока админа нет, печатается одноразовая ссылка настройки (http://localhost:8081/setup#…, действует 30 минут). Никогда не используйте его на сервере.

mistgate setup#

Готовит новую установку: создаёт каталог данных (режим 0700), мастер-ключ и базу, сохраняет, как попасть в админку, и печатает это. Запускать повторно безопасно: существующая конфигурация сохраняется, а новая ссылка настройки выдаётся, только пока админа нет (прежние неиспользованные ссылки перестают работать).

mistgate setup --public-url https://panel.example.com

Data dir:   /var/lib/mistgate
Admin URL:  https://panel.example.com/<secret prefix>/
Setup link: https://panel.example.com/<secret prefix>/setup#<token>
The link works once and expires in 30 minutes. Open it in a browser and create your admin (a passkey, or a password with an authenticator code).

Нужен один из флагов --public-url, --admin-host или --admin-listen. Где окажется админка:

Ещё setup создаёт секретное имя SNI точки подключения агентов и секретный префикс ссылок подписки. Повторный setup эти настройки не меняет.

mistgate auth#

Команды оператора на сервере панели. Обе работают и при запущенной, и при остановленной панели: она читает эти настройки на каждый запрос.

mistgate auth turnstile off [--data-dir DIR]
mistgate auth reset-login [<login>] [--admin ID] [--qr-invert] [--data-dir DIR]

auth turnstile off выключает проверку Cloudflare на страницах входа и настройки; ключи остаются сохранены. Это путь обратно, когда Cloudflare недоступен или ключи неверны. Включить снова — в Настройки → Безопасность.

auth reset-login — путь обратно после потери телефона:

• mistgate auth reset-login показывает админов панели: идентификатор, имя, роль, логин и число passkey.
• mistgate auth reset-login <логин> выдаёт этому логину новый пароль и новое приложение-аутентификатор, снимает его блокировки и завершает все сессии этого админа. Passkey остаются.
• mistgate auth reset-login <новый логин> --admin <id> даёт админу, у которого только passkey, вход по паролю (--admin выбирает админа, если их несколько).

Команда печатает логин, новый пароль и ключ аутентификатора: QR-кодом в терминале, текстом группами по четыре символа и ссылкой otpauth://. Пароль показывается один раз. Нужен мастер-ключ, поэтому запускайте команду от пользователя, который может читать каталог данных. Обе команды пишутся в журнал аудита как «командная строка».

mistgate auth reset-login alice

mistgate mcp#

Локальный MCP-сервер на stdin и stdout для агентов, которые умеют только запускать команду. Он пересылает каждое сообщение в MCP панели (адрес админки плюс mcp) и сам ничего не решает: отвечает панель, с профилем токена.

mistgate mcp --url https://panel.example.com/<prefix>/ --token-file ~/.config/mistgate/token

Прокси останавливается, когда панель отклоняет токен (истёк, отозван или не тот профиль). В stdout идут только сообщения протокола, всё остальное — в stderr. См. MCP.

mistgate release keygen#

mistgate release keygen --out ~/mistgate-release.key

Печатает открытый ключ и его отпечаток. Открытый ключ вшивается в сборку: RELEASE_KEY=<открытый ключ> make build. Храните файл ключа офлайн и сделайте его копию. См. «Обновления».

mistgate release sign#

mistgate release sign --key FILE --version V --built UNIX [--expires 30d] BINARY... --out DIR

Бинарники называются <имя>-<ос>-<архитектура>, например mistgate-node-linux-amd64. Флаги можно писать и после бинарников. Команда проверяет то, что записала, и печатает каждый файл с размером и отпечаток ключа. Скопируйте каталог в <data-dir>/dist на панели.

mistgate release sign --key ~/mistgate-release.key \
  --version "$(git describe --tags --always)" \
  --built "$(git log -1 --format=%ct)" --expires 30d \
  bin/mistgate-node-linux-amd64 bin/mistgate-node-linux-arm64 --out dist/

mistgate version#

Печатает mistgate <версия>, затем built <время>, если бинарник собран со временем сборки, затем release key <отпечаток> или release key: none (unsigned build, nodes are updated by hand).

mistgate-node#

enroll и run принимают --state-dir; давайте им один и тот же каталог. Коды завершения: 0 — успех, 1 — ошибка, 2 — неверный вызов, 78 — от run, если для ноды не выполнен enroll (тогда systemd не перезапускает агента).

Когда вы добавляете ноду, панель показывает команду установки целиком:

chmod +x /root/mistgate-node && /root/mistgate-node enroll --panel panel.example.com:443 --sni <секретное имя> \
  --ca-sha256 <отпечаток> --token <одноразовый токен> && /root/mistgate-node install

mistgate-node enroll#

Первые четыре обязательны. Токен срабатывает один раз и действует столько, сколько показала панель (по умолчанию час). При успехе команда печатает идентификатор ноды и следующий шаг:

enrolled as nod_… with panel.example.com:443; state in /var/lib/mistgate-node
next: mistgate-node install   (or, in the foreground: mistgate-node run)

mistgate-node install#

Только Linux, от root, после enroll.

Команда пишет /etc/systemd/system/mistgate-node.service, затем выполняет systemctl daemon-reload, enable и restart. Этот unit:

• запускает агента от root только с двумя возможностями (администрирование сети и занятие низких портов) и с системой только для чтения, кроме каталога состояния, каталога бинарника (для самообновления), /etc/sysctl.d и /etc/systemd/journald.conf.d;
• выставляет лимиты памяти по объёму RAM сервера;
• перезапускает агента через 5 секунд после сбоя, но не после кода 78;
• перед каждым запуском возвращает прежний бинарник после цикла падений свежего обновления, а после каждой остановки выполняет cleanup-net.

Повторный install с новым бинарником — это и есть ручное обновление ноды (см. «Обновления»). В путях допустимы только буквы, цифры и _ . / -.

mistgate-node run#

Запускает агента на переднем плане: то же, что делает unit, и способ попробовать агента без systemd.

Завершается с кодом 78, если в каталоге состояния нет удостоверения ноды, и с кодом 0, если панель вывела ноду из флота.

mistgate-node cleanup-net#

Аргументов не принимает. Убирает туннельные интерфейсы агента, его туннельную таблицу nftables и, если они есть, устройство, маршруты, правила и таблицу WARP. Ему не нужны ни состояние, ни панель. Unit выполняет эту команду после каждой остановки; при запуске агент создаёт всё заново.

mistgate-node awg prepare-kernel#

Ставит модуль ядра AmneziaWG на ноду. Только Linux, от root. Бэкенду userspace, который работает по умолчанию, модуль не нужен.

mistgate-node awg prepare-kernel          # печатает план, ничего не выполняет
mistgate-node awg prepare-kernel --yes    # выполняет

Пакеты ставятся через apt (без вопросов, с ожиданием блокировки другого менеджера пакетов). Поддерживаются Debian и Ubuntu, не в контейнере, без Secure Boot, с systemd. См. AmneziaWG.

mistgate-node version#

Печатает mistgate-node <версия>, built <Unix-время> и release key <отпечаток> или release key none (unsigned build: update by hand).