Preparar el host

Los instaladores esperan que el host esté en un estado de partida conocido. Esta página describe los prerrequisitos y entrega comandos copy-paste para satisfacerlos en un Ubuntu 24.04 LTS estándar.

Ejecuta cada paso en cada host antes del instalador. Ambos productos comparten la mayoría de prerrequisitos; las diferencias se marcan cuando aplican.

1. Plataforma

Ambos productos funcionan sobre Ubuntu Pro sin cambios si tu política de seguridad lo requiere.

2. Red saliente

El instalador descarga desde CloudFront y Docker Hub. El host necesita salida HTTPS a:

• https://get.cires21.com/*
• https://hub.docker.com/*, https://registry-1.docker.io/*, https://auth.docker.io/*, https://production.cloudflare.docker.com/*

Si operas detrás de un proxy corporativo, añade los anteriores al allow-list y configura https_proxy / http_proxy para tu shell interactivo y para sudo -E.

3. DNS — resolver público

Añade un resolver público para que el host pueda llegar al Docker registry y al CDN de bootstrap.

sudo mkdir -p /etc/systemd/resolved.conf.d
sudo tee /etc/systemd/resolved.conf.d/google.conf >/dev/null <<EOF
[Resolve]
DNS=8.8.8.8 8.8.4.4
FallbackDNS=
DNSStubListener=yes
EOF
sudo systemctl restart systemd-resolved
getent hosts get.cires21.com
getent hosts hub.docker.com

Sustituye por tus propios resolvers si tu red tiene una política más estricta. Las VMs cloud suelen requerir este drop-in porque vienen configuradas solo contra el resolver del VPC.

4. NTP — hora precisa

Los handshakes TLS contra el Docker registry fallan con desviación de reloj. Configura NTP antes del instalador.

Las imágenes Ubuntu Server cloud traen chrony activo por defecto. Añade el pool NTP de Cires21 a la configuración existente:

sudo timedatectl set-timezone Europe/Madrid
sudo tee /etc/chrony/sources.d/cires21.sources >/dev/null <<EOF
pool hora.cires21.com iburst maxsources 4
EOF
sudo systemctl restart chrony
chronyc sources -v

En hosts que traen systemd-timesyncd en vez de chrony, el drop-in equivalente es /etc/systemd/timesyncd.conf.d/cires21.conf con NTP=hora.cires21.com. El host debe estar dentro de unos pocos segundos del tiempo real antes de ejecutar el instalador.

5. Firewall — ufw

Aplica las reglas en este orden para no quedarte sin acceso SSH:

sudo apt-get update -qq
sudo apt-get install -y ufw

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp comment 'SSH'

# Host de Control — 9080 / 443 / 3100 no necesitan regla ufw: los publica Docker (consulta la nota de abajo)

# Host de Encoder — restringe al host de Control o a su subnet del VPC
sudo ufw allow from <ip-o-subnet-de-control> to any port 80 proto tcp comment 'Encoder HTTP desde Control'
sudo ufw allow from <ip-o-subnet-de-control> to any port 443 proto tcp comment 'Encoder HTTPS desde Control'
sudo ufw allow from <ip-o-subnet-de-control> to any port 8484 proto tcp comment 'Encoder c21publisher desde Control'
sudo ufw allow in on <interfaz-wan> from <ip-del-host> to 224.0.0.0/4 proto udp comment 'Encoder internal multicast'   # Imprescindible: sin ella los Live streams se paran

sudo ufw --force enable
sudo ufw status verbose

Para deploys donde quieras un reverse-proxy público delante de Control, termina TLS en el proxy y reenvía al puerto HTTPS del Control (127.0.0.1:443 por defecto). Si el propio proxy escucha en 443 en el mismo host, mueve antes el puerto HTTPS del Control con el override de compose descrito en el paso 3 de Control y Encoder en un único host.

6. Swap

Si el host tiene menos RAM de la recomendada, añade swap:

sudo fallocate -l 4G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
free -h

El instalador descarga varios GB de imágenes Docker. Sin swap en hosts pequeños, apt install y los docker pull simultáneos pueden agotar la memoria.

7. Siguiente paso

Con el host preparado, sigue la página de instalación del producto correspondiente:

• Instalar C21 Live Control
• Instalar C21 Live Encoder