VPS и WireGuard-контур¶
Внешний сетевой контур на облачном узле для защищённого удалённого доступа и продакшена основных сервисов.
Роль в системе¶
- Продакшен-хост публичных доменов проектов (
alatyr-service.ru,alatyr-taverna.ru, домены менеджера секретов) - Сетевая точка выхода для сервисов, которым нужен внешний IP
- Приватная сеть между облачным узлом, сервером знаний и клиентскими устройствами
Как это работает¶
- Один облачный узел на Linux у публичного провайдера, публичный статический IP
- Между узлом, офисным сервером знаний и рабочими устройствами поднят приватный туннельный контур с обфусцированным трафиком
- Доступ к серверу — только по ключу; порт SSH защищён от сканеров стандартными средствами
- DNS-настройки узла и правила маршрутизации для контейнеров, которые ходят наружу через туннель, зафиксированы в конфигурации
Ключевые решения¶
- Обфусцированный вариант WireGuard вместо обычного — обеспечивает устойчивое соединение там, где ванильный WireGuard не устанавливает handshake.
- Маршрут к endpoint при полном туннеле — для клиентов с маршрутизацией всего трафика в туннель отдельно фиксируется маршрут к самому VPS через локальный шлюз.
- Автоматическое восстановление маршрутов сервисов — правила для контейнеров, ходящих наружу через туннель, восстанавливаются при перезапуске сети.
- DNS зафиксирован через сетевую конфигурацию — не зависит от временных настроек интерфейсов.
- Резервное копирование конфигурации туннельного сервиса — включено в общий регулярный резервный контур.
Стек укрупнённо¶
Linux-VPS, обфусцированный WireGuard-туннель, nginx как публичный вход, стандартная защита периметра (fail2ban, ключевой SSH, автообновляемые TLS-сертификаты).