Shelyagin Roman
2a683fda47
- Added server-150 root credentials and Vault lookup examples - Documented Zabbix 7.0, Grafana, Prometheus, Loki, Portainer and Alert Bridge - Added monitoring ports, targets and Synology NFS backup workflow - Updated topology map and disaster recovery runbooks
6.7 KiB
6.7 KiB
🗺️ Сетевая топология и реестр серверов (KSP Steel)
🌐 Сегментация сети предприятия
Инфраструктура разделена на три ключевых подсети:
+-----------------------------------------------------------------------------------+
| ПОДСЕТЬ УПРАВЛЕНИЯ И СЕРВИСОВ: 172.16.8.0/24 |
| - 172.16.8.8 : InfosystemLocal (Gitea, HashiCorp Vault, Semaphore, ChatOps Bot)|
| - 172.16.8.75 : infosystem-2 (Инфосистема 2.0, FastAPI, Vue 3, PerCo, MySQL) |
| - 172.16.8.150 : monitor-server (Zabbix 7.0, Grafana, Prometheus, Loki, Portainer)|
| - 172.16.8.151 : mailguard (Почтовый архив SOC MailGuard, Exim, Meilisearch) |
| - 172.16.8.9 : dc1 (Основной контроллер домена Active Directory, DNS, Kerberos)|
| - 172.16.8.19 : dc2 (Резервный контроллер домена Active Directory, DNS, WMI) |
| - 172.16.8.37 : db-corp-web (MySQL сервер корпоративных веб-сервисов) |
| - 172.16.8.25 : db-it-ops (MySQL сервер ИТ-мониторинга и регламентов) |
| - 172.16.8.43 : infosystem-legacy (Устаревший хост Инфосистемы) |
| - 172.16.8.40 : local-web (Локальный веб-сервер) |
| - 172.16.8.23 : wiki-doc (Корпоративная база знаний Wiki/Docs) |
| - 172.16.8.4 : exim-local (Локальный почтовый узел Exim) |
+-----------------------------------------------------------------------------------+
|
+-----------------------------------------------------------------------------------+
| ПОДСЕТЬ СЕРВЕРОВ ВИРТУАЛИЗАЦИИ: 172.16.15.0/24 |
| - 172.16.15.1 : vm-host01 (KVM/QEMU хост виртуализации, libvirt, ZFS storage) |
| - 172.16.15.3 : VM_Host03 (KVM гипервизор, smartctl мониторинг хранилища) |
| - 172.16.15.4 : vm-host04 (KVM гипервизор производственных систем) |
+-----------------------------------------------------------------------------------+
|
+-----------------------------------------------------------------------------------+
| ИЗОЛИРОВАННАЯ ПОДСЕТЬ DMZ / CLOUD: 192.168.220.0/24 |
| - 192.168.220.3 : exim-corp (Внешний корпоративный почтовый шлюз Exim) |
| - 192.168.220.103 : db-dmz-mail-ftp (MySQL почтового шлюза и передачи файлов) |
| - 192.168.220.22 : db-cloud-dns (MySQL DNS и внешних облачных сервисов) |
+-----------------------------------------------------------------------------------+
|
+-----------------------------------------------------------------------------------+
| СЕТЕВОЕ ХРАНИЛИЩЕ БЭКАПОВ И АРХИВОВ: 172.16.11.0/24 |
| - 172.16.11.133: Synology NAS (/volume4/INFOSEC -> /mnt/synology_infosec) |
+-----------------------------------------------------------------------------------+
🖥️ Сводный реестр серверов и доступов
| Имя хоста | IP-адрес | Роль / Назначение | ОС / Стек | Порты | Путь к секрету в HashiCorp Vault |
|---|---|---|---|---|---|
| InfosystemLocal | 172.16.8.8 |
Gitea, HashiCorp Vault, Semaphore, Telegram Bot | Debian 12 (Linux 6.17 PVE) | 22 (SSH)80 (Gitea)8200 (Vault)3000 (Semaphore) |
servers/data/server-8-8 |
| monitor-server | 172.16.8.150 |
Центральный сервер мониторинга и телеметрии | Ubuntu 25.04 (Docker) | 22 (SSH)80 (Zabbix)3000 (Grafana)3100 (Loki)8000/9443 (Portainer)9090 (Prometheus)9095 (Alert Bridge)10051 (Zabbix Core) |
servers/data/server-150 |
| mailguard | 172.16.8.151 |
Архив корпоративной почты ИБ | Debian 12 (Docker) | 22 (SSH)80 (Web UI)2525 (Ingestion) |
servers/data/server-151 |
| infosystem-2 | 172.16.8.75 |
Портал предприятия Инфосистема 2.0 | Proxmox LXC (Docker) | 22 (SSH)8090 (Web)8091 (API)3307 (MySQL) |
servers/data/server-75 |
| vm-host01 | 172.16.15.1 |
Физический гипервизор KVM | Linux KVM / QEMU | 22 (SSH), 9100 (Node Exp) |
servers/data/vm-host01 |
| VM_Host03 | 172.16.15.3 |
Физический гипервизор KVM | Linux KVM / QEMU | 22 (SSH), 9100, 9633 (Smartctl) |
servers/data/vm-host03 |
| vm-host04 | 172.16.15.4 |
Физический гипервизор KVM | Linux KVM / QEMU | 22 (SSH), 9100 (Node Exp) |
servers/data/vm-host04 |
| dc1 | 172.16.8.9 |
Primary Domain Controller AD | Windows Server | 53, 88, 389, 445, 5985 (WinRM) |
— (WinRM NTLM) |
| dc2 | 172.16.8.19 |
Secondary Domain Controller AD | Windows Server | 53, 88, 389, 445, 5985 (WinRM), 9182 |
— (WinRM NTLM) |
| db-dmz-mail-ftp | 192.168.220.103 |
База данных почты и FTP | Linux / MySQL 8 | 22 (SSH), 3306 (MySQL) |
servers/data/mysql-main |
| db-corp-web | 172.16.8.37 |
База данных корпоративных сайтов | Linux / MySQL 8 | 22 (SSH), 3306 (MySQL), 9104 |
servers/data/mysql-main |
| db-cloud-dns | 192.168.220.22 |
База данных Cloud DNS | Linux / MySQL 8 | 22 (SSH), 3306 (MySQL) |
servers/data/mysql-special |
| db-it-ops | 172.16.8.25 |
База данных ИТ-операций | Linux / MySQL 8 | 22 (SSH), 3306 (MySQL) |
servers/data/mysql-special |
🔑 Мастер-ключ SSH для AI-агентов
Для автоматического беспарольного доступа root ко всем серверам в Vault сохранен закрытый ключ Ed25519:
- Путь в Vault:
servers/data/master-ssh-key - Поле:
private_key - Публичный ключ:
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIF0rW5m6mvAg+Q9nDXCN6+H8i3w/QjyWLbGSJC3L+/Bw shelyagin_ra@KPP019011
Этот ключ прописан в /root/.ssh/authorized_keys на всех ключевых серверах инфраструктуры (172.16.8.8, 172.16.8.151, 172.16.8.150).