230 lines
16 KiB
Markdown
230 lines
16 KiB
Markdown
# Техническое состояние проекта — личный VPS nao-kvn.ru
|
||
|
||
> Снимок финального актуального состояния для продолжения работы в новом чате.
|
||
> Только текущее состояние, без истории обсуждений. Секреты (приватные ключи, пароли, токены) в документ намеренно не вынесены — они лежат в указанных файлах на VPS.
|
||
|
||
## Быстрый доступ (для продолжения работы)
|
||
- **Вход на VPS:** `ssh root@45.91.8.169` — только по ed25519-ключу (ключ на рабочей машине Manjaro, `~/.ssh/id_ed25519`, с passphrase). Пароль отключён.
|
||
- **Стек:** `/opt/docker/core/` — `docker-compose.yml` + `caddy/Caddyfile`.
|
||
- **URL сервисов:** `https://vault.nao-kvn.ru`, `https://portainer.nao-kvn.ru`, `https://status.nao-kvn.ru`.
|
||
- **Часовой пояс VPS:** MSK.
|
||
|
||
---
|
||
|
||
## 1. Цель проекта
|
||
Личный VPS «для себя», на котором развёрнуты:
|
||
- управление контейнерами (Portainer);
|
||
- мониторинг доступности сервисов по трём площадкам с белыми IP — основная работа (ДК «Арктика»), вторая работа (Архангельскстат, Нарьян-Мар) и дом (Uptime Kuma);
|
||
- менеджер паролей (Vaultwarden).
|
||
|
||
Дополнительно: вся инфраструктура должна быть защищена (HTTPS, файрвол, ключи) и иметь проверенную многокопийную резервную копию.
|
||
|
||
## 2. Архитектура решения
|
||
- Один Docker Compose-стек в `/opt/docker/core`.
|
||
- **Caddy — единственная публичная точка входа** (порты 80/443), автоматический Let's Encrypt.
|
||
- Остальные сервисы (Portainer, Uptime Kuma, Vaultwarden) **портов на хост не публикуют** — доступны только во внутренней docker-сети `core_proxy`, Caddy ходит к ним по имени контейнера. Это устраняет проблему обхода UFW докером и не светит сервисы в интернет.
|
||
- Portainer и Uptime Kuma закрыты дополнительным слоем Caddy basic-auth; Vaultwarden публичен намеренно (защищён собственной авторизацией + мастер-паролем).
|
||
- Для офсайт-бэкапа на домашний SMB поднят WireGuard-туннель VPS → домашний роутер Keenetic (SMB наружу не выставляется).
|
||
|
||
## 3. Серверы и их роли
|
||
**VPS (основной):**
|
||
- IP `45.91.8.169`, хост `box-938039`.
|
||
- Ubuntu 24.04.4 LTS, виртуализация KVM.
|
||
- 1 vCPU (Intel Xeon Skylake @ 2.0 GHz), 961 MiB RAM, диск 20 ГБ (`/dev/vda1` ~19 ГБ).
|
||
- Swap 2 ГБ (`/swapfile`, в fstab), `vm.swappiness=10`. Локаль `C.UTF-8`. ТЗ MSK.
|
||
- Тариф 400₽/мес. RAM в простое со стеком ~0.5 ГБ из 0.96 ГБ — запас небольшой.
|
||
- Роль: Docker-стек сервисов, WireGuard-клиент к дому, узел резервного копирования.
|
||
|
||
**Домашний роутер Keenetic Hopper KN-3811:**
|
||
- Белый IP `91.122.209.x` (последний октет в документе скрыт; реальный endpoint — в `/etc/wireguard/wg0.conf` на VPS).
|
||
- WireGuard-**сервер**; VPS подключён к нему как пир.
|
||
- SMB-сервер: USB-диск, шара **`TOSHIBA EXT`**, выделенный пользователь `only_vps`.
|
||
- Домашняя LAN `172.16.0.0/24` (адрес роутера/SMB-хоста `172.16.0.1`).
|
||
|
||
## 4. Используемые сервисы (контейнеры)
|
||
Все в стеке `/opt/docker/core`, сеть `core_proxy`, политика `restart: unless-stopped`.
|
||
|
||
| Сервис | Образ | Внутр. порт | Доступ |
|
||
|---|---|---|---|
|
||
| caddy | `caddy:2` | 80/443 (на хост) | reverse-proxy + TLS |
|
||
| portainer | `portainer/portainer-ce:lts` | 9000 | `portainer.nao-kvn.ru`, за basic-auth |
|
||
| uptime-kuma | `louislam/uptime-kuma:1` | 3001 | `status.nao-kvn.ru`, за basic-auth |
|
||
| vaultwarden | `vaultwarden/server:latest` | 80 | `vault.nao-kvn.ru`, публичный |
|
||
|
||
Vaultwarden env: `DOMAIN=https://vault.nao-kvn.ru`, `SIGNUPS_ALLOWED=false`, `ADMIN_TOKEN` задан (значение в `docker-compose.yml`).
|
||
Portainer: админ-логин `administrator` (пароль задан вручную).
|
||
|
||
Volumes: `core_caddy_data`, `core_caddy_config`, `core_portainer_data`, `core_uptime_data`, `core_vaultwarden_data`.
|
||
|
||
## 5. Выполненные настройки безопасности
|
||
- HTTPS на всех сервисах (Caddy + Let's Encrypt).
|
||
- Наружу опубликованы только 80/443 (Caddy); сервисные порты на хост не пробрасываются.
|
||
- Caddy basic-auth (логин `admin`, bcrypt-хеш) перед Portainer и Uptime Kuma — через сниппет `(protected)`.
|
||
- Регистрация в Vaultwarden закрыта (`SIGNUPS_ALLOWED=false`).
|
||
- UFW: входящие закрыты, разрешён только SSH.
|
||
- fail2ban на SSH (бан через UFW).
|
||
- SSH только по ключу, парольный вход отключён, root — `prohibit-password`.
|
||
- Лимиты docker-логов (10 МБ × 3) против переполнения диска.
|
||
- SMB доступен только через приватный WireGuard-туннель; порт 445 в интернет не выставлен.
|
||
|
||
## 6. Настройки файрвола (UFW)
|
||
- Статус: active. Default: `deny (incoming)`, `allow (outgoing)`, `deny (routed)`.
|
||
- Разрешено: `22/tcp (OpenSSH)` — IPv4 и IPv6. Больше ничего во `ALLOW IN`.
|
||
- Порты 80/443 управляются Docker через собственные правила iptables (в обход UFW — это ожидаемо и нужно для Caddy).
|
||
- Баны fail2ban оформляются как `deny`-правила UFW (`banaction = ufw`), видны в `ufw status`.
|
||
|
||
## 7. Настройки SSH
|
||
Файл `/etc/ssh/sshd_config.d/00-hardening.conf` (префикс `00-` выбран намеренно — sshd берёт первое значение, так наши параметры перебивают cloud-init):
|
||
```
|
||
PasswordAuthentication no
|
||
KbdInteractiveAuthentication no
|
||
PermitRootLogin prohibit-password
|
||
PubkeyAuthentication yes
|
||
```
|
||
- Порт 22. Вход: root по ed25519-ключу.
|
||
- Приватный ключ — на машине Manjaro (`~/.ssh/id_ed25519`, защищён passphrase). Публичный — в `/root/.ssh/authorized_keys` на VPS.
|
||
|
||
## 8. Настройки резервного копирования
|
||
**Объект:** данные Vaultwarden (`core_vaultwarden_data` → `/var/lib/docker/volumes/core_vaultwarden_data/_data`).
|
||
**Метод:** консистентный снимок БД через `sqlite3 .backup` (учитывает WAL) + `rsa_key*`/`config.json`/`attachments`/`sends` → `tar.gz`.
|
||
**Три копии:**
|
||
1. Локально: `/opt/backups/vaultwarden/`, ретенция — последние 14 архивов.
|
||
2. Google Drive (обязательная): rclone-remote `gdrive` → `gdrive:vaultwarden-backups/`, ретенция 90 дней.
|
||
3. Домашний SMB (best-effort, не валит бэкап при недоступности дома): rclone-remote `homesmb` → `homesmb:TOSHIBA EXT/vaultwarden-backups/`, ретенция 90 дней.
|
||
|
||
**Восстановление проверено фактически:** `PRAGMA integrity_check = ok`, аккаунт и записи присутствуют, `rsa_key.pem` на месте (проверка через временный контейнер и прямой инспекцией БД).
|
||
**Расписание:** systemd-таймер `vw-backup.timer`, ежедневно 03:30 MSK, `Persistent=true` (догоняет пропущенный запуск). Сервис `vw-backup.service` (oneshot, `Environment=HOME=/root`).
|
||
**Скрипт:** `/usr/local/bin/vw-backup.sh` (см. раздел 11).
|
||
|
||
rclone-конфиг: `/root/.config/rclone/rclone.conf`
|
||
- `gdrive` — type `drive`, scope `drive.file` (rclone видит только свои файлы).
|
||
- `homesmb` — type `smb`, host `172.16.0.1`, user `only_vps`, пароль зашифрован (`--obscure`).
|
||
|
||
## 9. Настройки мониторинга
|
||
- Uptime Kuma развёрнут: `https://status.nao-kvn.ru` (basic-auth → собственный логин), админ-аккаунт создан.
|
||
- **Мониторы и уведомления ещё НЕ настроены** — это незавершённая часть (см. разделы 15 и 17).
|
||
- Канал уведомлений: Telegram **отвергнут** (массово блокируется/тротлится в РФ с весны 2026). Планируется ntfy (self-hosted) или email.
|
||
|
||
## 10. Установленные пакеты и компоненты
|
||
- Docker CE `29.6.0`, `containerd.io 2.2.5`, плагин `docker compose`.
|
||
- `sqlite3` — для консистентного снимка БД Vaultwarden.
|
||
- `rclone` (с поддержкой SMB-бэкенда) — выгрузка в Google Drive и SMB.
|
||
- `wireguard-tools` — туннель к дому.
|
||
- `smbclient` — диагностика SMB.
|
||
- `fail2ban`, `ufw`.
|
||
- daemon.json: `{"log-driver":"json-file","log-opts":{"max-size":"10m","max-file":"3"}}`.
|
||
|
||
## 11. Созданные скрипты
|
||
`/usr/local/bin/vw-backup.sh` (права 700):
|
||
```bash
|
||
#!/usr/bin/env bash
|
||
set -euo pipefail
|
||
|
||
VOL="/var/lib/docker/volumes/core_vaultwarden_data/_data"
|
||
DEST="/opt/backups/vaultwarden"
|
||
KEEP=14
|
||
TS="$(date +%Y%m%d-%H%M%S)"
|
||
WORK="$(mktemp -d)"
|
||
trap 'rm -rf "$WORK"' EXIT
|
||
|
||
mkdir -p "$DEST"
|
||
|
||
sqlite3 "$VOL/db.sqlite3" ".timeout 10000" ".backup '$WORK/db.sqlite3'"
|
||
|
||
cp -a "$VOL"/rsa_key* "$WORK"/ 2>/dev/null || true
|
||
cp -a "$VOL"/config.json "$WORK"/ 2>/dev/null || true
|
||
cp -a "$VOL"/attachments "$WORK"/ 2>/dev/null || true
|
||
cp -a "$VOL"/sends "$WORK"/ 2>/dev/null || true
|
||
|
||
ARCHIVE="$DEST/vaultwarden-$TS.tar.gz"
|
||
tar -czf "$ARCHIVE" -C "$WORK" .
|
||
|
||
ls -1t "$DEST"/vaultwarden-*.tar.gz | tail -n +$((KEEP+1)) | xargs -r rm -f
|
||
|
||
# офсайт 1: Google Drive (обязательный)
|
||
rclone copy "$ARCHIVE" gdrive:vaultwarden-backups/
|
||
rclone delete --min-age 90d gdrive:vaultwarden-backups/ 2>/dev/null || true
|
||
|
||
# офсайт 2: домашний SMB через WG (best-effort)
|
||
if rclone copy "$ARCHIVE" "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null; then
|
||
rclone delete --min-age 90d "homesmb:TOSHIBA EXT/vaultwarden-backups/" 2>/dev/null || true
|
||
SMB="ok"
|
||
else
|
||
SMB="недоступен"
|
||
fi
|
||
|
||
echo "OK: $ARCHIVE ($(du -h "$ARCHIVE" | cut -f1)) -> локально + gdrive + smb:$SMB"
|
||
```
|
||
|
||
## 12. Cron-задачи и автоматизация
|
||
- **Cron не используется.**
|
||
- systemd-таймер `vw-backup.timer` — ежедневно 03:30 MSK (`Persistent=true`).
|
||
- `wg-quick@wg0` — **enabled**, WireGuard-туннель поднимается при загрузке.
|
||
- Все контейнеры — `restart: unless-stopped` (поднимаются после ребута сами).
|
||
- Логи бэкапа: `journalctl -u vw-backup.service`.
|
||
|
||
## 13. Используемые домены и DNS
|
||
- Домен: **nao-kvn.ru**.
|
||
- A-записи → `45.91.8.169`: `portainer`, `status`, `vault`.
|
||
- Дом: белый IP `91.122.209.x` на роутере Keenetic (endpoint WG — в конфиге на VPS).
|
||
|
||
## 14. SSL/TLS конфигурация
|
||
- Caddy автоматически выпускает и продлевает сертификаты Let's Encrypt для `portainer.nao-kvn.ru`, `status.nao-kvn.ru`, `vault.nao-kvn.ru`.
|
||
- Валидация — `TLS-ALPN-01`. Сертификаты в volume `core_caddy_data`. Автопродление включено.
|
||
- `Caddyfile` (хеш basic-auth скрыт — реальный в файле на VPS):
|
||
```
|
||
(protected) {
|
||
basic_auth {
|
||
admin <bcrypt-хеш в /opt/docker/core/caddy/Caddyfile>
|
||
}
|
||
}
|
||
portainer.nao-kvn.ru {
|
||
import protected
|
||
reverse_proxy portainer:9000
|
||
}
|
||
status.nao-kvn.ru {
|
||
import protected
|
||
reverse_proxy uptime-kuma:3001
|
||
}
|
||
vault.nao-kvn.ru {
|
||
reverse_proxy vaultwarden:80
|
||
}
|
||
```
|
||
|
||
## WireGuard (конфиг для справки)
|
||
`/etc/wireguard/wg0.conf` (приватный ключ и endpoint скрыты — в файле на VPS):
|
||
```
|
||
[Interface]
|
||
PrivateKey = <в файле на VPS>
|
||
Address = 10.0.0.5/32
|
||
|
||
[Peer]
|
||
PublicKey = <публичный ключ WG-сервера Keenetic>
|
||
Endpoint = 91.122.209.x:<порт>
|
||
AllowedIPs = 10.0.0.0/24, 172.16.0.0/24
|
||
PersistentKeepalive = 25
|
||
```
|
||
- Туннельный IP VPS: `10.0.0.5`; Keenetic в туннеле: `10.0.0.1`.
|
||
- Через туннель маршрутизируется домашняя LAN `172.16.0.0/24` (где живёт SMB).
|
||
|
||
## 15. Незавершённые задачи
|
||
- **Мониторинг не введён в строй:** в Uptime Kuma не созданы мониторы по трём площадкам и не настроен канал уведомлений. Это исходная цель проекта, пока не достигнута.
|
||
- **Канал уведомлений не выбран/не поднят:** Telegram непригоден (блокировки в РФ); нужно ntfy (self-hosted) или email.
|
||
- **Перенос паролей** из бумажного блокнота в Vaultwarden ещё не сделан (бэкап проверен, делать безопасно).
|
||
|
||
## 16. Известные риски
|
||
- **RAM в обрез:** ~0.5 ГБ занято из 0.96 ГБ. Любой тяжёлый сервис потребует апгрейда тарифа (до 2 ГБ).
|
||
- **Нет рабочего мониторинга** → если что-то на площадках упадёт, оповещения не придёт (главная функциональная дыра на данный момент).
|
||
- **`ADMIN_TOKEN` Vaultwarden — открытым текстом** в `docker-compose.yml`. Приемлемо для машины с единственным root, но это компромисс.
|
||
- **SMB-копия зависит от доступности дома** (by design best-effort): если дом офлайн, третьей копии за эту ночь не будет (локальная + Google Drive остаются).
|
||
- **Один VPS — единая точка отказа** по доступности (бэкапы спасают данные, но не аптайм).
|
||
|
||
## 17. Следующие шаги
|
||
1. Поднять канал уведомлений: **ntfy** self-hosted на этом же VPS (`ntfy.nao-kvn.ru`, через Caddy, лёгкий) — приоритетный вариант под РФ; либо email (SMTP).
|
||
2. В Uptime Kuma создать мониторы по трём площадкам: ping шлюзов (отличать «упала площадка» от «упал сервис») + TCP/HTTP-проверки ключевых сервисов; сгруппировать «Арктика / Архангельскстат / Дом».
|
||
3. Перенести пароли из блокнота в Vaultwarden, после чего блокнот можно уничтожить.
|
||
4. Опционально: `live-restore` для Docker (чтобы обновления движка не роняли контейнеры), периодический `docker system prune`, апгрейд до 2 ГБ при расширении.
|
||
|
||
---
|
||
*Принципы работы для продолжения: продакшен-аккуратность — для рискованных изменений сначала проверка, затем применение, с путём отката; по одному шагу за раз с ожиданием подтверждения; в multi-step процедурах не объединять шаги.*
|