Загрузить файлы в «/»

2026-06-21 20:26:41 +03:00
parent 9a34083e2e
commit 74265a4bf5
4 changed files with 391 additions and 0 deletions
@@ -0,0 +1,229 @@
+# Техническое состояние проекта — личный VPS nao-kvn.ru
+
+> Снимок финального актуального состояния для продолжения работы в новом чате.
+> Только текущее состояние, без истории обсуждений. Секреты (приватные ключи, пароли, токены) в документ намеренно не вынесены — они лежат в указанных файлах на VPS.
+
+## Быстрый доступ (для продолжения работы)
+- **Вход на VPS:** `ssh root@45.91.8.169` — только по ed25519-ключу (ключ на рабочей машине Manjaro, `~/.ssh/id_ed25519`, с passphrase). Пароль отключён.
+- **Стек:** `/opt/docker/core/` — `docker-compose.yml` + `caddy/Caddyfile`.
+- **URL сервисов:** `https://vault.nao-kvn.ru`, `https://portainer.nao-kvn.ru`, `https://status.nao-kvn.ru`.
+- **Часовой пояс VPS:** MSK.
+
+---
+
+## 1. Цель проекта
+Личный VPS «для себя», на котором развёрнуты:
+- управление контейнерами (Portainer);
+- мониторинг доступности сервисов по трём площадкам с белыми IP — основная работа (ДК «Арктика»), вторая работа (Архангельскстат, Нарьян-Мар) и дом (Uptime Kuma);
+- менеджер паролей (Vaultwarden).
+
+Дополнительно: вся инфраструктура должна быть защищена (HTTPS, файрвол, ключи) и иметь проверенную многокопийную резервную копию.
+
+## 2. Архитектура решения
+- Один Docker Compose-стек в `/opt/docker/core`.
+- **Caddy — единственная публичная точка входа** (порты 80/443), автоматический Let's Encrypt.
+- Остальные сервисы (Portainer, Uptime Kuma, Vaultwarden) **портов на хост не публикуют** — доступны только во внутренней docker-сети `core_proxy`, Caddy ходит к ним по имени контейнера. Это устраняет проблему обхода UFW докером и не светит сервисы в интернет.
+- Portainer и Uptime Kuma закрыты дополнительным слоем Caddy basic-auth; Vaultwarden публичен намеренно (защищён собственной авторизацией + мастер-паролем).
+- Для офсайт-бэкапа на домашний SMB поднят WireGuard-туннель VPS → домашний роутер Keenetic (SMB наружу не выставляется).
+
+## 3. Серверы и их роли
+**VPS (основной):**
+- IP `45.91.8.169`, хост `box-938039`.
+- Ubuntu 24.04.4 LTS, виртуализация KVM.
+- 1 vCPU (Intel Xeon Skylake @ 2.0 GHz), 961 MiB RAM, диск 20 ГБ (`/dev/vda1` ~19 ГБ).
+- Swap 2 ГБ (`/swapfile`, в fstab), `vm.swappiness=10`. Локаль `C.UTF-8`. ТЗ MSK.
+- Тариф 400₽/мес. RAM в простое со стеком ~0.5 ГБ из 0.96 ГБ — запас небольшой.
+- Роль: Docker-стек сервисов, WireGuard-клиент к дому, узел резервного копирования.
+
+**Домашний роутер Keenetic Hopper KN-3811:**
+- Белый IP `91.122.209.x` (последний октет в документе скрыт; реальный endpoint — в `/etc/wireguard/wg0.conf` на VPS).
+- WireGuard-**сервер**; VPS подключён к нему как пир.
+- SMB-сервер: USB-диск, шара **`TOSHIBA EXT`**, выделенный пользователь `only_vps`.
+- Домашняя LAN `172.16.0.0/24` (адрес роутера/SMB-хоста `172.16.0.1`).
+
+## 4. Используемые сервисы (контейнеры)
+Все в стеке `/opt/docker/core`, сеть `core_proxy`, политика `restart: unless-stopped`.
+
+| Сервис | Образ | Внутр. порт | Доступ |
+|---|---|---|---|
+| caddy | `caddy:2` | 80/443 (на хост) | reverse-proxy + TLS |
+| portainer | `portainer/portainer-ce:lts` | 9000 | `portainer.nao-kvn.ru`, за basic-auth |
+| uptime-kuma | `louislam/uptime-kuma:1` | 3001 | `status.nao-kvn.ru`, за basic-auth |
+| vaultwarden | `vaultwarden/server:latest` | 80 | `vault.nao-kvn.ru`, публичный |
+
+Vaultwarden env: `DOMAIN=https://vault.nao-kvn.ru`, `SIGNUPS_ALLOWED=false`, `ADMIN_TOKEN` задан (значение в `docker-compose.yml`).
+Portainer: админ-логин `administrator` (пароль задан вручную).
+
+Volumes: `core_caddy_data`, `core_caddy_config`, `core_portainer_data`, `core_uptime_data`, `core_vaultwarden_data`.
+
+## 5. Выполненные настройки безопасности
+- HTTPS на всех сервисах (Caddy + Let's Encrypt).
+- Наружу опубликованы только 80/443 (Caddy); сервисные порты на хост не пробрасываются.
+- Caddy basic-auth (логин `admin`, bcrypt-хеш) перед Portainer и Uptime Kuma — через сниппет `(protected)`.
+- Регистрация в Vaultwarden закрыта (`SIGNUPS_ALLOWED=false`).
+- UFW: входящие закрыты, разрешён только SSH.
+- fail2ban на SSH (бан через UFW).
+- SSH только по ключу, парольный вход отключён, root — `prohibit-password`.
+- Лимиты docker-логов (10 МБ × 3) против переполнения диска.
+- SMB доступен только через приватный WireGuard-туннель; порт 445 в интернет не выставлен.
+
+## 6. Настройки файрвола (UFW)
+- Статус: active. Default: `deny (incoming)`, `allow (outgoing)`, `deny (routed)`.
+- Разрешено: `22/tcp (OpenSSH)` — IPv4 и IPv6. Больше ничего во `ALLOW IN`.
+- Порты 80/443 управляются Docker через собственные правила iptables (в обход UFW — это ожидаемо и нужно для Caddy).
+- Баны fail2ban оформляются как `deny`-правила UFW (`banaction = ufw`), видны в `ufw status`.
+
+## 7. Настройки SSH
+Файл `/etc/ssh/sshd_config.d/00-hardening.conf` (префикс `00-` выбран намеренно — sshd берёт первое значение, так наши параметры перебивают cloud-init):
+```
+PasswordAuthentication no
+KbdInteractiveAuthentication no
+PermitRootLogin prohibit-password
+PubkeyAuthentication yes
+```
+- Порт 22. Вход: root по ed25519-ключу.
+- Приватный ключ — на машине Manjaro (`~/.ssh/id_ed25519`, защищён passphrase). Публичный — в `/root/.ssh/authorized_keys` на VPS.
+
+## 8. Настройки резервного копирования
+**Объект:** данные Vaultwarden (`core_vaultwarden_data` → `/var/lib/docker/volumes/core_vaultwarden_data/_data`).
+**Метод:** консистентный снимок БД через `sqlite3 .backup` (учитывает WAL) + `rsa_key*`/`config.json`/`attachments`/`sends` → `tar.gz`.
+**Три копии:**
+1. Локально: `/opt/backups/vaultwarden/`, ретенция — последние 14 архивов.
+2. Google Drive (обязательная): rclone-remote `gdrive` → `gdrive:vaultwarden-backups/`, ретенция 90 дней.
+3. Домашний SMB (best-effort, не валит бэкап при недоступности дома): rclone-remote `homesmb` → `homesmb:TOSHIBA EXT/vaultwarden-backups/`, ретенция 90 дней.
+
+**Восстановление проверено фактически:** `PRAGMA integrity_check = ok`, аккаунт и записи присутствуют, `rsa_key.pem` на месте (проверка через временный контейнер и прямой инспекцией БД).
+**Расписание:** systemd-таймер `vw-backup.timer`, ежедневно 03:30 MSK, `Persistent=true` (догоняет пропущенный запуск). Сервис `vw-backup.service` (oneshot, `Environment=HOME=/root`).
+**Скрипт:** `/usr/local/bin/vw-backup.sh` (см. раздел 11).
+
+rclone-конфиг: `/root/.config/rclone/rclone.conf`
+- `gdrive` — type `drive`, scope `drive.file` (rclone видит только свои файлы).
+- `homesmb` — type `smb`, host `172.16.0.1`, user `only_vps`, пароль зашифрован (`--obscure`).
+
+## 9. Настройки мониторинга
+- Uptime Kuma развёрнут: `https://status.nao-kvn.ru` (basic-auth → собственный логин), админ-аккаунт создан.
+- **Мониторы и уведомления ещё НЕ настроены** — это незавершённая часть (см. разделы 15 и 17).
+- Канал уведомлений: Telegram **отвергнут** (массово блокируется/тротлится в РФ с весны 2026). Планируется ntfy (self-hosted) или email.
+
+## 10. Установленные пакеты и компоненты
+- Docker CE `29.6.0`, `containerd.io 2.2.5`, плагин `docker compose`.
+- `sqlite3` — для консистентного снимка БД Vaultwarden.
+- `rclone` (с поддержкой SMB-бэкенда) — выгрузка в Google Drive и SMB.
+- `wireguard-tools` — туннель к дому.
+- `smbclient` — диагностика SMB.
+- `fail2ban`, `ufw`.
+- daemon.json: `{"log-driver":"json-file","log-opts":{"max-size":"10m","max-file":"3"}}`.
+
+## 11. Созданные скрипты
+`/usr/local/bin/vw-backup.sh` (права 700):
+```bash
+#!/usr/bin/env bash
+set -euo pipefail
+
+VOL="/var/lib/docker/volumes/core_vaultwarden_data/_data"
+DEST="/opt/backups/vaultwarden"
+KEEP=14
+TS="$(date +%Y%m%d-%H%M%S)"
+WORK="$(mktemp -d)"
+trap 'rm -rf "$WORK"' EXIT
+
+mkdir -p "$DEST"
+
+sqlite3 "$VOL/db.sqlite3" ".timeout 10000" ".backup '$WORK/db.sqlite3'"
+
+cp -a "$VOL"/rsa_key*    "$WORK"/ 2>/dev/null || true
+cp -a "$VOL"/config.json "$WORK"/ 2>/dev/null || true
+cp -a "$VOL"/attachments "$WORK"/ 2>/dev/null || true
+cp -a "$VOL"/sends       "$WORK"/ 2>/dev/null || true
+
+ARCHIVE="$DEST/vaultwarden-$TS.tar.gz"
+tar -czf "$ARCHIVE" -C "$WORK" .
+
+ls -1t "$DEST"/vaultwarden-*.tar.gz | tail -n +$((KEEP+1)) | xargs -r rm -f
+
+# офсайт 1: Google Drive (обязательный)
+rclone copy "$ARCHIVE" gdrive:vaultwarden-backups/
+rclone delete --min-age 90d gdrive:vaultwarden-backups/ 2>/dev/null || true
+
+# офсайт 2: домашний SMB через WG (best-effort)
+if rclone copy "$ARCHIVE" "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null; then
+    rclone delete --min-age 90d "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null || true
+    SMB="ok"
+else
+    SMB="недоступен"
+fi
+
+echo "OK: $ARCHIVE ($(du -h "$ARCHIVE" | cut -f1)) -> локально + gdrive + smb:$SMB"
+```
+
+## 12. Cron-задачи и автоматизация
+- **Cron не используется.**
+- systemd-таймер `vw-backup.timer` — ежедневно 03:30 MSK (`Persistent=true`).
+- `wg-quick@wg0` — **enabled**, WireGuard-туннель поднимается при загрузке.
+- Все контейнеры — `restart: unless-stopped` (поднимаются после ребута сами).
+- Логи бэкапа: `journalctl -u vw-backup.service`.
+
+## 13. Используемые домены и DNS
+- Домен: **nao-kvn.ru**.
+- A-записи → `45.91.8.169`: `portainer`, `status`, `vault`.
+- Дом: белый IP `91.122.209.x` на роутере Keenetic (endpoint WG — в конфиге на VPS).
+
+## 14. SSL/TLS конфигурация
+- Caddy автоматически выпускает и продлевает сертификаты Let's Encrypt для `portainer.nao-kvn.ru`, `status.nao-kvn.ru`, `vault.nao-kvn.ru`.
+- Валидация — `TLS-ALPN-01`. Сертификаты в volume `core_caddy_data`. Автопродление включено.
+- `Caddyfile` (хеш basic-auth скрыт — реальный в файле на VPS):
+```
+(protected) {
+	basic_auth {
+		admin <bcrypt-хеш в /opt/docker/core/caddy/Caddyfile>
+	}
+}
+portainer.nao-kvn.ru {
+	import protected
+	reverse_proxy portainer:9000
+}
+status.nao-kvn.ru {
+	import protected
+	reverse_proxy uptime-kuma:3001
+}
+vault.nao-kvn.ru {
+	reverse_proxy vaultwarden:80
+}
+```
+
+## WireGuard (конфиг для справки)
+`/etc/wireguard/wg0.conf` (приватный ключ и endpoint скрыты — в файле на VPS):
+```
+[Interface]
+PrivateKey = <в файле на VPS>
+Address = 10.0.0.5/32
+
+[Peer]
+PublicKey = <публичный ключ WG-сервера Keenetic>
+Endpoint = 91.122.209.x:<порт>
+AllowedIPs = 10.0.0.0/24, 172.16.0.0/24
+PersistentKeepalive = 25
+```
+- Туннельный IP VPS: `10.0.0.5`; Keenetic в туннеле: `10.0.0.1`.
+- Через туннель маршрутизируется домашняя LAN `172.16.0.0/24` (где живёт SMB).
+
+## 15. Незавершённые задачи
+- **Мониторинг не введён в строй:** в Uptime Kuma не созданы мониторы по трём площадкам и не настроен канал уведомлений. Это исходная цель проекта, пока не достигнута.
+- **Канал уведомлений не выбран/не поднят:** Telegram непригоден (блокировки в РФ); нужно ntfy (self-hosted) или email.
+- **Перенос паролей** из бумажного блокнота в Vaultwarden ещё не сделан (бэкап проверен, делать безопасно).
+
+## 16. Известные риски
+- **RAM в обрез:** ~0.5 ГБ занято из 0.96 ГБ. Любой тяжёлый сервис потребует апгрейда тарифа (до 2 ГБ).
+- **Нет рабочего мониторинга** → если что-то на площадках упадёт, оповещения не придёт (главная функциональная дыра на данный момент).
+- **`ADMIN_TOKEN` Vaultwarden — открытым текстом** в `docker-compose.yml`. Приемлемо для машины с единственным root, но это компромисс.
+- **SMB-копия зависит от доступности дома** (by design best-effort): если дом офлайн, третьей копии за эту ночь не будет (локальная + Google Drive остаются).
+- **Один VPS — единая точка отказа** по доступности (бэкапы спасают данные, но не аптайм).
+
+## 17. Следующие шаги
+1. Поднять канал уведомлений: **ntfy** self-hosted на этом же VPS (`ntfy.nao-kvn.ru`, через Caddy, лёгкий) — приоритетный вариант под РФ; либо email (SMTP).
+2. В Uptime Kuma создать мониторы по трём площадкам: ping шлюзов (отличать «упала площадка» от «упал сервис») + TCP/HTTP-проверки ключевых сервисов; сгруппировать «Арктика / Архангельскстат / Дом».
+3. Перенести пароли из блокнота в Vaultwarden, после чего блокнот можно уничтожить.
+4. Опционально: `live-restore` для Docker (чтобы обновления движка не роняли контейнеры), периодический `docker system prune`, апгрейд до 2 ГБ при расширении.
+
+---
+*Принципы работы для продолжения: продакшен-аккуратность — для рискованных изменений сначала проверка, затем применение, с путём отката; по одному шагу за раз с ожиданием подтверждения; в multi-step процедурах не объединять шаги.*