Zer0Kernel Security Community — ☁ Настройка серверов

Как работает gzip в Nginx​

Базовая конфигурация gzip​

http {
    gzip on;
    gzip_vary on;
    gzip_min_length 256;
    gzip_comp_level 5;
    gzip_types
        text/plain
        text/css
        text/javascript
        application/javascript
        application/json
        application/xml
        application/xml+rss
        image/svg+xml;
}

Что не стоит сжимать​

• Изображения (JPEG, PNG, WebP) — уже сжаты, повторное сжатие бесполезно и тратит CPU.
  
• Видео и аудио — аналогично.
  
• Файлы меньше 256 байт — накладные расходы gzip-заголовка превышают выигрыш.
  
• Уже сжатые форматы: WOFF2, PDF с встроенным сжатием.
  

Базовая структура upstream-блока​

upstream backend {
    server backend1.example.com weight=5;
    server backend2.example.com:8080;
    server unix:/tmp/backend3;
    server backup1.example.com:8080 backup;
    server backup2.example.com:8080 backup;
}

server {
    location / {
        proxy_pass http://backend;
    }
}

Алгоритмы балансировки​

Round-robin (по умолчанию)​

least_conn​

upstream backend {
    least_conn;
    server backend1.example.com;
    server backend2.example.com;
    server backend3.example.com;
}

Расположение файла и порядок загрузки​

Структура правил​

• TYPE — тип соединения: local (Unix-сокет), host (TCP/IP, включая SSL и не-SSL), hostssl (только SSL), hostnossl (только без SSL).
  
• DATABASE — имя базы данных, ключевое слово all, sameuser, samerole, replication или имя файла с перечнем баз (с префиксом @).
  
• USER — имя роли, all или файл с перечнем ролей (с префиксом @).
  
• ADDRESS — CIDR-нотация (например, 192.168.1.0/24), имя хоста или all (для local не указывается).
  
• METHOD —...

Ограничение памяти через docker run​

docker run -d --name app --memory=512m nginx:alpine

Мягкий лимит: --memory-reservation​

docker run -d --memory=1g --memory-reservation=768m myapp

Ограничение swap: --memory-swap​

## Запретить swap полностью: memory-swap = memory...

Что решает PgBouncer и когда он нужен​

• Ошибки FATAL: sorry, too many clients already в логах приложений.
  
• Рост времени отклика при увеличении числа одновременных подключений.
  
• Высокий CPU на создание/уничтожение процессов при коротких транзакциях.
  

Три режима пулинга​

session​

• Плюсы: полная совместимость с любым SQL, включая prepared statements, SET, advisory locks.
  
• Минусы: минимальная экономия соединений — пул помогает только при коротких сессиях.
  
• Когда использовать: приложения с длинными сессиями и сложным состоянием, миграция без изменения кода.
  

transaction (рекомендуемый по умолчанию)​

• Плюсы: максимальная переиспользуемость при коротких транзакциях.
  
• Минусы: SET, PREPARE, advisory locks, LISTEN/NOTIFY не сохраняются между транзакциями — состояние сбрасывается при возврате соединения в пул.
  
• Когда использовать: веб-приложения...

Зачем нужен LVM вместо обычных разделов​

• Физический том (PV) — целый диск или раздел, отданный под управление LVM.
  
• Группа томов (VG) — пул пространства, собранный из одного или нескольких PV.
  
• Логический том (LV) — виртуальный «раздел» внутри VG, на котором живёт файловая система.
  

Установка инструментов​

## Debian / Ubuntu
sudo apt install lvm2

## RHEL / CentOS / Fedora
sudo dnf install lvm2

systemctl status lvm2-lvmpolld

Создание логического тома с нуля​

Шаг 1. Подготовка физического тома​

sudo pvcreate /dev/sdb

sudo pvs

Шаг 2. Создание группы томов​

sudo vgcreate vg_data /dev/sdb

sudo vgcreate vg_data /dev/sdb /dev/sdc

Шаг 3. Создание логического тома​

sudo lvcreate -L 50G -n lv_app vg_data

Шаг 4. Файловая система и монтирование​

sudo mkfs.ext4 /dev/vg_data/lv_app
sudo mkdir -p /mnt/app
sudo mount...

Почему systemd timers выигрывают у cron​

• Пропущенные запуски — директива Persistent=true запускает задачу при следующей загрузке, если предыдущий запуск был пропущен.
  
• Зависимости — таймер активирует сервисный юнит, а значит можно использовать After=, Requires=, Wants= для контроля порядка.
  
• Логирование — весь вывод задачи автоматически попадает в journald, доступен через journalctl -u без дополнительной настройки.
  
• Мониторинг — systemctl list-timers показывает время последнего и следующего запуска каждого таймера.
  

Архитектура: два юнита на одну задачу​

Структура сервисного юнита​

## /etc/systemd/system/backup.service
[Unit]
Description=Ежедневный бэкап базы данных

[Service]
Type=oneshot
ExecStart=/usr/local/bin/db-backup.sh
User=backup
Group=backup
Nice=10
IOSchedulingClass=idle

• Type=oneshot — systemd считает задачу завершённой, когда процесс из ExecStart завершится. Это стандарт для задач по расписанию.
  
• User= и Group= — запуск от...

Почему SSH-защиты недостаточно​

Структура конфигурации Fail2Ban​

Встроенные фильтры для Nginx​

ls /etc/fail2ban/filter.d/nginx-*.conf

• nginx-http-auth.conf — парсит строки user "..." was not found in "..." и password mismatch из error-лога при использовании auth_basic.
  
• nginx-bad-request.conf — ловит запросы, которые Nginx отклонил с кодом 400.
  
• nginx-botsearch.conf — блокирует ботов, сканирующих типовые пути (/phpmyadmin, /wp-admin и т. п.).
  
• nginx-limit-req.conf — работает в связке с директивой...

Почему данные исчезают при пересоздании контейнера​

Named volumes: основной инструмент для продакшена​

Создание и подключение​

## Создание volume
docker volume create pgdata

## Запуск контейнера с подключением volume
docker run -d \
  --name postgres \
  -v pgdata:/var/lib/postgresql/data \
  -e POSTGRES_PASSWORD=secret \
  postgres:16

Управление томами​

## Список всех томов
docker volume ls

## Информация о конкретном томе
docker volume inspect pgdata

## Удаление тома (только если он не используется ни одним контейнером)
docker volume rm pgdata

## Удаление всех неиспользуемых томов
docker volume prune

Как работает leaky bucket​

limit_req_zone: определение зоны​

http {
    limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s;
}

limit_req: применение к location​