Zer0Kernel Security Community — ☁ Настройка серверов

Как работает leaky bucket​

limit_req_zone: определение зоны​

http {
    limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s;
}

limit_req: применение к location​

Bridge: изоляция с управляемым доступом​

Default bridge vs user-defined bridge​

Создание и использование user-defined bridge​

## Создание сети
docker network create myapp

## Запуск контейнеров в этой сети
docker run -d --name backend --network myapp nginx
docker run -d --name frontend --network myapp alpine sleep 3600

## Из контейнера frontend имя backend резолвится в его IP
docker exec frontend ping backend

shared_buffers: общий пул страниц​

Расчёт для выделенного сервера​

shared_buffers = 16GB

Ограничения и нюансы​

• Параметр требует перезапуска сервера (restart, не reload).
  
• На Windows большие значения shared_buffers могут вызывать проблемы из-за особенностей управления памятью; там часто ограничиваются 512 МБ – 1 ГБ.
  
• На Linux начиная с PostgreSQL 9.3 для выделения shared_buffers используется mmap с флагом MAP_SHARED, а не System V shared memory. Поэтому параметры kernel.shmmax и kernel.shmall на современных версиях не влияют на выделение этого буфера. Они могут быть релевантны только при использовании очень старых версий PostgreSQL или нестандартных сборок.
  
• Если PostgreSQL работает в контейнере с memory limit, считайте 25% от лимита контейнера, а не от...

Минимальная рабочая конфигурация​

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass http://127.0.0.1:8080;
    }
}

Передача заголовков: что и зачем​

Обязательный набор заголовков​

location / {
    proxy_pass http://127.0.0.1:8080;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

Разница между $remote_addr и $proxy_add_x_forwarded_for​

Синтаксис healthcheck в Compose-файле​

services:
  web:
    image: nginx:latest
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:80"]
      interval: 30s
      timeout: 10s
      retries: 3
      start_period: 40s

• Exec-форма (массив): ["CMD", "curl", "-f", "http://localhost"] — команда выполняется напрямую без оболочки.
  
• Shell-форма: ["CMD-SHELL", "curl -f http://localhost || exit 1"] — команда передаётся в /bin/sh -c. Удобна, когда нужны пайпы, перенаправления или логические операторы.
  

Параметры таймингов и их влияние на поведение​

Первый шаг: определить exit-код и статус​

docker ps -a --filter "name=mycontainer" --format "table {{.Names}}\t{{.Status}}\t{{.Ports}}"

docker inspect --format='{{.State.ExitCode}} {{.State.OOMKilled}} {{.State.Error}}' mycontainer

Чтение логов контейнера​

## Последние 100 строк
docker logs --tail 100 mycontainer

## С временными метками
docker logs --timestamps mycontainer

## Непрерывное чтение (аналог tail -f)
docker logs --follow mycontainer

## Логи за последний час
docker logs --since 1h mycontainer

Проверка текущего состояния​

sudo ufw status verbose

Status: inactive

Главное правило: сначала SSH, потом enable​

sudo ufw allow 22/tcp comment 'SSH'

sudo ufw allow 2222/tcp comment 'SSH'

sudo ufw enable

sudo ufw --force enable

Rate limiting для защиты от brute-force​

sudo ufw limit 22/tcp comment 'SSH rate limit'

Выбор формата дампа​

Создание дампа​

Базовая команда​

pg_dump -Fc -f mydb.dump mydb

Подключение к удалённому серверу​

pg_dump -h db.example.com -p 5432 -U backup_user -Fc -f mydb.dump mydb

.zst

database.sql.zst

zstd database.sql

unzstd database.sql.zst

zstd -d database.sql.zst

скорость <-> степень сжатия

• серверов;
• резервного копирования;
• логов;
• баз данных;
• CI/CD;
• контейнеров;
• больших архивов.

zstd -1 file

zstd -3 file

zstd -10 file

zstd -19 file

--ultra -20
--ultra -21
--ultra -22

.tar.zst

tar -cf - /var/www | zstd -T0 -3 -o backup.tar.zst

Что означает состояние failed​

Первый шаг: systemctl status​

systemctl status nginx.service --lines=50 --full

Как читать вывод​

Состояния в строке Loaded​

• loaded — unit-файл найден и корректно загружен.
  
• not-found — файл юнита не существует. Проверьте имя и путь.
  
• bad-setting — в unit-файле есть директива, которую systemd не смог распарсить. Частая причина failed сразу после редактирования конфига.
  
• error — общая ошибка загрузки.
  
• masked — юнит принудительно отключён; запустить его невозможно, пока маска не снята.
  

Состояния в строке Active​

• active (running) — сервис работает...