First
This commit is contained in:
administrator
@@ -0,0 +1,65 @@
|
||||
# VPS nao-kvn.ru — состояние проекта (компактно)
|
||||
|
||||
Стартовый контекст для нового чата. Только текущее состояние. Секреты — в файлах на VPS, не здесь.
|
||||
|
||||
## Доступ
|
||||
- VPS: `ssh root@45.91.8.169` — только ed25519-ключ (на Manjaro, с passphrase), пароль отключён.
|
||||
- Стек: `/opt/docker/core/` (`docker-compose.yml`, `caddy/Caddyfile`).
|
||||
- Сервисы: https://vault.nao-kvn.ru, https://portainer.nao-kvn.ru, https://status.nao-kvn.ru. ТЗ VPS: MSK.
|
||||
|
||||
## Цель
|
||||
Личный VPS: Portainer (управление Docker), Uptime Kuma (мониторинг доступности сервисов по трём площадкам с белыми IP — ДК «Арктика», Архангельскстат Нарьян-Мар, дом), Vaultwarden (пароли). Всё защищено и с проверенным многокопийным бэкапом.
|
||||
|
||||
## Серверы и роли
|
||||
- **VPS** `45.91.8.169` (`box-938039`): Ubuntu 24.04 LTS, KVM, 1 vCPU / 961 MiB RAM / 20 ГБ, swap 2 ГБ, MSK, тариф 400₽. Несёт Docker-стек, WireGuard-клиент, бэкапы. RAM в обрез (~0.5/0.96 ГБ занято).
|
||||
- **Дом — Keenetic Hopper KN-3811**: белый IP `91.122.209.x`, WireGuard-сервер, SMB-сервер (USB-диск, шара `TOSHIBA EXT`, юзер `only_vps`), LAN `172.16.0.0/24` (SMB-хост `172.16.0.1`).
|
||||
|
||||
## Архитектура
|
||||
Один Compose-стек. **Caddy — единственный публичный вход (80/443)**, авто-HTTPS Let's Encrypt. Остальные контейнеры портов на хост не публикуют — только в сети `core_proxy`, Caddy проксирует по имени контейнера. Portainer и Uptime Kuma — за Caddy basic-auth; Vaultwarden публичен (своя авторизация). SMB-офсайт — через WG-туннель VPS→Keenetic (порт 445 в интернет не выставлен).
|
||||
|
||||
## Сервисы (стек /opt/docker/core, сеть core_proxy, restart: unless-stopped)
|
||||
| Сервис | Образ | Порт | Доступ |
|
||||
|---|---|---|---|
|
||||
| caddy | caddy:2 | 80/443 | proxy + TLS |
|
||||
| portainer | portainer/portainer-ce:lts | 9000 | portainer.nao-kvn.ru, basic-auth |
|
||||
| uptime-kuma | louislam/uptime-kuma:1 | 3001 | status.nao-kvn.ru, basic-auth |
|
||||
| vaultwarden | vaultwarden/server:latest | 80 | vault.nao-kvn.ru, публичный |
|
||||
|
||||
Vaultwarden: `DOMAIN=https://vault.nao-kvn.ru`, `SIGNUPS_ALLOWED=false`, `ADMIN_TOKEN` задан. Portainer-админ: `administrator`. Volumes: `core_{caddy_data,caddy_config,portainer_data,uptime_data,vaultwarden_data}`.
|
||||
|
||||
## Безопасность
|
||||
- HTTPS везде; наружу только 80/443 (Caddy).
|
||||
- Caddy basic-auth (логин `admin`, bcrypt) перед Portainer и Uptime Kuma (сниппет `(protected)`).
|
||||
- Vaultwarden: регистрация закрыта.
|
||||
- UFW: входящие закрыты, разрешён только SSH (22, v4+v6); 80/443 ведёт Docker. fail2ban на SSH (бан через UFW).
|
||||
- SSH: только ключ, пароль отключён, root `prohibit-password` (`/etc/ssh/sshd_config.d/00-hardening.conf`).
|
||||
- Docker-логи лимитированы (10 МБ × 3). SMB доступен только через приватный WG.
|
||||
|
||||
## DNS / TLS
|
||||
- Домен `nao-kvn.ru`. A-записи → `45.91.8.169`: `portainer`, `status`, `vault`.
|
||||
- Caddy авто-выпускает/продлевает Let's Encrypt (TLS-ALPN-01) для трёх поддоменов; сертификаты в `core_caddy_data`.
|
||||
|
||||
## Бэкап (Vaultwarden)
|
||||
- Скрипт `/usr/local/bin/vw-backup.sh`: консистентный снимок БД `sqlite3 .backup` + `rsa_key*`/`config`/`attachments`/`sends` → `tar.gz`.
|
||||
- Три копии: (1) локально `/opt/backups/vaultwarden` (14 шт.); (2) Google Drive `gdrive:vaultwarden-backups/` — обязательная, 90 дн; (3) домашний SMB `homesmb:TOSHIBA EXT/vaultwarden-backups/` — best-effort (не валит бэкап при недоступности дома), 90 дн.
|
||||
- **Восстановление проверено фактически** (integrity ok, аккаунт + записи + `rsa_key` на месте).
|
||||
- Расписание: systemd `vw-backup.timer`, ежедневно 03:30 MSK, Persistent.
|
||||
- rclone-remotes: `gdrive` (scope drive.file), `homesmb` (smb, 172.16.0.1, only_vps).
|
||||
- WG: `wg-quick@wg0` enabled, VPS `10.0.0.5`, Keenetic `10.0.0.1`, маршрут на `172.16.0.0/24`.
|
||||
|
||||
## Мониторинг
|
||||
Uptime Kuma развёрнут (`status.nao-kvn.ru`, basic-auth + свой логин, админ создан). **Мониторы и уведомления ещё НЕ настроены** — главная функциональная недоделка. Telegram отвергнут (массовые блокировки в РФ с весны 2026); планируется ntfy (self-hosted) или email.
|
||||
|
||||
## Пакеты
|
||||
Docker CE 29.6.0 / containerd 2.2.5 / compose; sqlite3; rclone (с SMB-бэкендом); wireguard-tools; smbclient; fail2ban; ufw.
|
||||
|
||||
## Открытые задачи
|
||||
1. **Уведомления**: поднять ntfy (self-hosted, `ntfy.nao-kvn.ru` через Caddy) или email в Uptime Kuma.
|
||||
2. **Мониторы** по трём площадкам: ping шлюзов + TCP/HTTP ключевых сервисов; группы «Арктика / Архангельскстат / Дом»; повесить уведомления.
|
||||
3. **Перенести пароли** из бумажного блокнота в Vaultwarden (бэкап проверен — безопасно), затем уничтожить блокнот.
|
||||
|
||||
## Известные риски
|
||||
RAM в обрез (апгрейд до 2 ГБ при расширении); мониторинг не введён в строй (нет оповещений при сбое); `ADMIN_TOKEN` открытым текстом в compose; SMB-копия зависит от доступности дома; один VPS — единая точка отказа по аптайму.
|
||||
|
||||
## Принципы работы
|
||||
Продакшен-аккуратность: для рискованных изменений сначала проверка, потом применение, с путём отката; по одному шагу за раз с подтверждением; в multi-step процедурах шаги не объединять.
|
||||
@@ -0,0 +1,8 @@
|
||||
# Бэкапы Vaultwarden
|
||||
Эта папка — только описание; сами архивы здесь не хранятся.
|
||||
|
||||
- **Что:** консистентный снимок БД Vaultwarden (`sqlite3 .backup`) + `rsa_key*`/`config.json`/`attachments`/`sends` → `tar.gz`.
|
||||
- **Где:** локально на VPS `/opt/backups/vaultwarden/` (последние 14); Google Drive `gdrive:vaultwarden-backups/`; домашний SMB `homesmb:TOSHIBA EXT/vaultwarden-backups/`.
|
||||
- **Расписание:** systemd `vw-backup.timer`, ежедневно 03:30 MSK (Persistent).
|
||||
- **Скрипт:** `../scripts/vw-backup.sh` (= `/usr/local/bin/vw-backup.sh`).
|
||||
- **Восстановление:** см. `../OPERATIONS_RUNBOOK.md`. Статус — ПРОВЕРЕНО фактически.
|
||||
@@ -0,0 +1,17 @@
|
||||
# /opt/docker/core/caddy/Caddyfile (bcrypt-хеш скрыт — реальный в файле на VPS)
|
||||
(protected) {
|
||||
basic_auth {
|
||||
admin <bcrypt-хеш в файле на VPS>
|
||||
}
|
||||
}
|
||||
portainer.nao-kvn.ru {
|
||||
import protected
|
||||
reverse_proxy portainer:9000
|
||||
}
|
||||
status.nao-kvn.ru {
|
||||
import protected
|
||||
reverse_proxy uptime-kuma:3001
|
||||
}
|
||||
vault.nao-kvn.ru {
|
||||
reverse_proxy vaultwarden:80
|
||||
}
|
||||
@@ -0,0 +1,38 @@
|
||||
# /opt/docker/core/docker-compose.yml (ADMIN_TOKEN скрыт — реальный в файле на VPS)
|
||||
services:
|
||||
caddy:
|
||||
image: caddy:2
|
||||
restart: unless-stopped
|
||||
ports: ["80:80", "443:443"]
|
||||
volumes:
|
||||
- ./caddy/Caddyfile:/etc/caddy/Caddyfile:ro
|
||||
- caddy_data:/data
|
||||
- caddy_config:/config
|
||||
networks: [proxy]
|
||||
|
||||
portainer:
|
||||
image: portainer/portainer-ce:lts
|
||||
restart: unless-stopped
|
||||
volumes:
|
||||
- /var/run/docker.sock:/var/run/docker.sock
|
||||
- portainer_data:/data
|
||||
networks: [proxy]
|
||||
|
||||
uptime-kuma:
|
||||
image: louislam/uptime-kuma:1
|
||||
restart: unless-stopped
|
||||
volumes: [uptime_data:/app/data]
|
||||
networks: [proxy]
|
||||
|
||||
vaultwarden:
|
||||
image: vaultwarden/server:latest
|
||||
restart: unless-stopped
|
||||
environment:
|
||||
DOMAIN: "https://vault.nao-kvn.ru"
|
||||
SIGNUPS_ALLOWED: "false"
|
||||
ADMIN_TOKEN: "<задан в файле на VPS>"
|
||||
volumes: [vaultwarden_data:/data]
|
||||
networks: [proxy]
|
||||
|
||||
volumes: { caddy_data: , caddy_config: , portainer_data: , uptime_data: , vaultwarden_data: }
|
||||
networks: { proxy: }
|
||||
@@ -0,0 +1 @@
|
||||
{ "log-driver": "json-file", "log-opts": { "max-size": "10m", "max-file": "3" } }
|
||||
@@ -0,0 +1,10 @@
|
||||
# /etc/fail2ban/jail.local
|
||||
[DEFAULT]
|
||||
banaction = ufw
|
||||
bantime = 1h
|
||||
findtime = 10m
|
||||
maxretry = 5
|
||||
|
||||
[sshd]
|
||||
enabled = true
|
||||
backend = systemd
|
||||
@@ -0,0 +1,15 @@
|
||||
# rclone remotes — /root/.config/rclone/rclone.conf
|
||||
Секреты (токен Google Drive, obscured-пароль SMB) — в самом rclone.conf на VPS, здесь не приводятся.
|
||||
|
||||
## gdrive (Google Drive)
|
||||
- type: drive, scope: drive.file (видит только свои файлы)
|
||||
- путь бэкапов: `gdrive:vaultwarden-backups/`
|
||||
- (пере)авторизация: на машине с браузером `rclone config` (auto-config), затем скопировать
|
||||
`~/.config/rclone/rclone.conf` на VPS в `/root/.config/rclone/`.
|
||||
|
||||
## homesmb (домашний SMB через WG)
|
||||
- type: smb, host: 172.16.0.1, user: only_vps, pass: зашифрован (--obscure)
|
||||
- путь: `"homesmb:TOSHIBA EXT/vaultwarden-backups/"` (кавычки из-за пробела в имени шары)
|
||||
- пересоздать:
|
||||
`rclone config create homesmb smb host 172.16.0.1 user only_vps pass "<пароль>" --obscure`
|
||||
- зависит от поднятого туннеля wg0.
|
||||
@@ -0,0 +1,6 @@
|
||||
# /etc/ssh/sshd_config.d/00-hardening.conf
|
||||
# Префикс 00- намеренно: sshd берёт первое значение, перебивает cloud-init.
|
||||
PasswordAuthentication no
|
||||
KbdInteractiveAuthentication no
|
||||
PermitRootLogin prohibit-password
|
||||
PubkeyAuthentication yes
|
||||
@@ -0,0 +1,12 @@
|
||||
# /etc/wireguard/wg0.conf (приватный ключ и endpoint скрыты — реальные в файле на VPS)
|
||||
[Interface]
|
||||
PrivateKey = <в файле на VPS>
|
||||
Address = 10.0.0.5/32
|
||||
|
||||
[Peer]
|
||||
PublicKey = <публичный ключ WG-сервера Keenetic>
|
||||
Endpoint = 91.122.209.x:<порт>
|
||||
AllowedIPs = 10.0.0.0/24, 172.16.0.0/24
|
||||
PersistentKeepalive = 25
|
||||
# VPS в туннеле 10.0.0.5; Keenetic 10.0.0.1; домашняя LAN/SMB 172.16.0.0/24 (хост 172.16.0.1)
|
||||
# systemd: wg-quick@wg0 enabled (автоподъём при загрузке)
|
||||
@@ -0,0 +1,38 @@
|
||||
#!/usr/bin/env bash
|
||||
# = /usr/local/bin/vw-backup.sh (права 700). Запуск по systemd-таймеру vw-backup.timer (03:30 MSK).
|
||||
set -euo pipefail
|
||||
|
||||
VOL="/var/lib/docker/volumes/core_vaultwarden_data/_data"
|
||||
DEST="/opt/backups/vaultwarden"
|
||||
KEEP=14
|
||||
TS="$(date +%Y%m%d-%H%M%S)"
|
||||
WORK="$(mktemp -d)"
|
||||
trap 'rm -rf "$WORK"' EXIT
|
||||
|
||||
mkdir -p "$DEST"
|
||||
|
||||
sqlite3 "$VOL/db.sqlite3" ".timeout 10000" ".backup '$WORK/db.sqlite3'"
|
||||
|
||||
cp -a "$VOL"/rsa_key* "$WORK"/ 2>/dev/null || true
|
||||
cp -a "$VOL"/config.json "$WORK"/ 2>/dev/null || true
|
||||
cp -a "$VOL"/attachments "$WORK"/ 2>/dev/null || true
|
||||
cp -a "$VOL"/sends "$WORK"/ 2>/dev/null || true
|
||||
|
||||
ARCHIVE="$DEST/vaultwarden-$TS.tar.gz"
|
||||
tar -czf "$ARCHIVE" -C "$WORK" .
|
||||
|
||||
ls -1t "$DEST"/vaultwarden-*.tar.gz | tail -n +$((KEEP+1)) | xargs -r rm -f
|
||||
|
||||
# офсайт 1: Google Drive (обязательный)
|
||||
rclone copy "$ARCHIVE" gdrive:vaultwarden-backups/
|
||||
rclone delete --min-age 90d gdrive:vaultwarden-backups/ 2>/dev/null || true
|
||||
|
||||
# офсайт 2: домашний SMB через WG (best-effort)
|
||||
if rclone copy "$ARCHIVE" "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null; then
|
||||
rclone delete --min-age 90d "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null || true
|
||||
SMB="ok"
|
||||
else
|
||||
SMB="недоступен"
|
||||
fi
|
||||
|
||||
echo "OK: $ARCHIVE ($(du -h "$ARCHIVE" | cut -f1)) -> локально + gdrive + smb:$SMB"
|
||||
Reference in New Issue
Block a user