- 18788 только на loopback, 8788/18788 снаружи закрыты, коды вебхука
совпали с ожидаемыми, секрета в логах nginx нет
- грабли: access log выключен только в vhost astra — запрос к пути
вебхука на другом имени пишется в общий лог (было превью TelegramBot
с пустым секретом)
- fail2ban: 46.199.208.45 в ignoreip (IP динамический — ⚠️)
- интеграция не завершена: навык VK и проверка на колонке за владельцем
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
- nginx: vhost astra.ruzzy.dev (LE), только POST /marusia/webhook/ → 127.0.0.1:18788,
limit_req 1r/s, 64k, без access log, error_log crit (секрет в пути); ссылка zz-,
чтобы не перехватить ответ на неизвестный SNI у git
- sshd: Match User marusia-tunnel — только remote forward 127.0.0.1:18788;
добавлен в AllowUsers
- живые конфиги fr1 в stacks/astra-marusia/ вместо nginx-location.example
- fr1.md: эффективные настройки sshd проверены под root, отпечатки host-ключей
- туннель ещё не поднят, интеграция не завершена (хвост в fr1.md)
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
- homepage/: сервисы с описанием и живыми виджетами; ключи — в homepage.env на малине
- Jellyfin-виджет через customapi (встроенный не совместим с Jellyfin 12)
- provision.py: шаги homepage и connect
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
- stacks/rpi-media: docker-compose и идемпотентный provision.py
- servers/rpi.md: раздел «Медиацентр», почему NTFS и SFTP на роутере,
закрыт хвост про резерв адреса
- AGENTS.md: роль малины
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
- servers/rpi.md: новая домашняя Raspberry Pi 4 (Trixie, cloud-init), HDD 4 ТБ,
грабли с питанием двух HDD от USB
- stacks/rpi-backup: rclone sync с вечным архивом версий, еженедельная сверка
хэшей, smartd, пуш SMART и статуса бэкапов
- fr1: pushgateway (127.0.0.1:9091), приём по SSH через forced command
~/bin/pushgw-ingest, алерты группы rpi
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
После apt-get из установки WEB-прокси needrestart перезапустил
systemd-networkd, тот удалил ip rule fwmark 0x64 -> vpn: ~45 мин
зарубежный трафик клиентов OpenVPN #1 шёл через RU IP. Правило
возвращено, networkd запрещено трогать чужие правила и маршруты.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
На ru.ruzzy.dev:443 поднят официальный tproxy-server (relay, carrier
websocket) перед официальным MTProxy на loopback. Фронт — nginx в
~/gost, сертификат только на ru.ruzzy.dev.
- MTProxy: --nat-info 10.8.1.4:161.97.93.252 вручную — трафик к
Telegram выходит через wg0 с IP fr1, автоопределение install.sh
ошиблось бы и прокси молча не отвечал бы.
- relay на 8090/8091: 8080 занят cadvisor.
- telemt удалён окончательно (контейнер, образ, конфиг, том).
- certbot до этого не работал вовсе: сертификат был просрочен с
2026-07-01, продлён и запущен.
stacks/tproxy/: compose и nginx.conf стека ~/gost, setup-ru1.sh —
однократная root-установка relay и MTProxy.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
astra
