Shelyagin Roman
2a683fda47
- Added server-150 root credentials and Vault lookup examples - Documented Zabbix 7.0, Grafana, Prometheus, Loki, Portainer and Alert Bridge - Added monitoring ports, targets and Synology NFS backup workflow - Updated topology map and disaster recovery runbooks
76 lines
6.7 KiB
Markdown
76 lines
6.7 KiB
Markdown
# 🗺️ Сетевая топология и реестр серверов (KSP Steel)
|
|
|
|
## 🌐 Сегментация сети предприятия
|
|
|
|
Инфраструктура разделена на три ключевых подсети:
|
|
|
|
```
|
|
+-----------------------------------------------------------------------------------+
|
|
| ПОДСЕТЬ УПРАВЛЕНИЯ И СЕРВИСОВ: 172.16.8.0/24 |
|
|
| - 172.16.8.8 : InfosystemLocal (Gitea, HashiCorp Vault, Semaphore, ChatOps Bot)|
|
|
| - 172.16.8.75 : infosystem-2 (Инфосистема 2.0, FastAPI, Vue 3, PerCo, MySQL) |
|
|
| - 172.16.8.150 : monitor-server (Zabbix 7.0, Grafana, Prometheus, Loki, Portainer)|
|
|
| - 172.16.8.151 : mailguard (Почтовый архив SOC MailGuard, Exim, Meilisearch) |
|
|
| - 172.16.8.9 : dc1 (Основной контроллер домена Active Directory, DNS, Kerberos)|
|
|
| - 172.16.8.19 : dc2 (Резервный контроллер домена Active Directory, DNS, WMI) |
|
|
| - 172.16.8.37 : db-corp-web (MySQL сервер корпоративных веб-сервисов) |
|
|
| - 172.16.8.25 : db-it-ops (MySQL сервер ИТ-мониторинга и регламентов) |
|
|
| - 172.16.8.43 : infosystem-legacy (Устаревший хост Инфосистемы) |
|
|
| - 172.16.8.40 : local-web (Локальный веб-сервер) |
|
|
| - 172.16.8.23 : wiki-doc (Корпоративная база знаний Wiki/Docs) |
|
|
| - 172.16.8.4 : exim-local (Локальный почтовый узел Exim) |
|
|
+-----------------------------------------------------------------------------------+
|
|
|
|
|
+-----------------------------------------------------------------------------------+
|
|
| ПОДСЕТЬ СЕРВЕРОВ ВИРТУАЛИЗАЦИИ: 172.16.15.0/24 |
|
|
| - 172.16.15.1 : vm-host01 (KVM/QEMU хост виртуализации, libvirt, ZFS storage) |
|
|
| - 172.16.15.3 : VM_Host03 (KVM гипервизор, smartctl мониторинг хранилища) |
|
|
| - 172.16.15.4 : vm-host04 (KVM гипервизор производственных систем) |
|
|
+-----------------------------------------------------------------------------------+
|
|
|
|
|
+-----------------------------------------------------------------------------------+
|
|
| ИЗОЛИРОВАННАЯ ПОДСЕТЬ DMZ / CLOUD: 192.168.220.0/24 |
|
|
| - 192.168.220.3 : exim-corp (Внешний корпоративный почтовый шлюз Exim) |
|
|
| - 192.168.220.103 : db-dmz-mail-ftp (MySQL почтового шлюза и передачи файлов) |
|
|
| - 192.168.220.22 : db-cloud-dns (MySQL DNS и внешних облачных сервисов) |
|
|
+-----------------------------------------------------------------------------------+
|
|
|
|
|
+-----------------------------------------------------------------------------------+
|
|
| СЕТЕВОЕ ХРАНИЛИЩЕ БЭКАПОВ И АРХИВОВ: 172.16.11.0/24 |
|
|
| - 172.16.11.133: Synology NAS (/volume4/INFOSEC -> /mnt/synology_infosec) |
|
|
+-----------------------------------------------------------------------------------+
|
|
```
|
|
|
|
---
|
|
|
|
## 🖥️ Сводный реестр серверов и доступов
|
|
|
|
| Имя хоста | IP-адрес | Роль / Назначение | ОС / Стек | Порты | Путь к секрету в HashiCorp Vault |
|
|
| :--- | :--- | :--- | :--- | :--- | :--- |
|
|
| **InfosystemLocal** | `172.16.8.8` | Gitea, HashiCorp Vault, Semaphore, Telegram Bot | Debian 12 (Linux 6.17 PVE) | `22` (SSH)<br>`80` (Gitea)<br>`8200` (Vault)<br>`3000` (Semaphore) | `servers/data/server-8-8` |
|
|
| **monitor-server** | `172.16.8.150` | Центральный сервер мониторинга и телеметрии | Ubuntu 25.04 (Docker) | `22` (SSH)<br>`80` (Zabbix)<br>`3000` (Grafana)<br>`3100` (Loki)<br>`8000/9443` (Portainer)<br>`9090` (Prometheus)<br>`9095` (Alert Bridge)<br>`10051` (Zabbix Core) | `servers/data/server-150` |
|
|
| **mailguard** | `172.16.8.151` | Архив корпоративной почты ИБ | Debian 12 (Docker) | `22` (SSH)<br>`80` (Web UI)<br>`2525` (Ingestion) | `servers/data/server-151` |
|
|
| **infosystem-2** | `172.16.8.75` | Портал предприятия Инфосистема 2.0 | Proxmox LXC (Docker) | `22` (SSH)<br>`8090` (Web)<br>`8091` (API)<br>`3307` (MySQL) | `servers/data/server-75` |
|
|
| **vm-host01** | `172.16.15.1` | Физический гипервизор KVM | Linux KVM / QEMU | `22` (SSH), `9100` (Node Exp) | `servers/data/vm-host01` |
|
|
| **VM_Host03** | `172.16.15.3` | Физический гипервизор KVM | Linux KVM / QEMU | `22` (SSH), `9100`, `9633` (Smartctl) | `servers/data/vm-host03` |
|
|
| **vm-host04** | `172.16.15.4` | Физический гипервизор KVM | Linux KVM / QEMU | `22` (SSH), `9100` (Node Exp) | `servers/data/vm-host04` |
|
|
| **dc1** | `172.16.8.9` | Primary Domain Controller AD | Windows Server | `53, 88, 389, 445, 5985` (WinRM) | — (WinRM NTLM) |
|
|
| **dc2** | `172.16.8.19` | Secondary Domain Controller AD | Windows Server | `53, 88, 389, 445, 5985` (WinRM), `9182` | — (WinRM NTLM) |
|
|
| **db-dmz-mail-ftp**| `192.168.220.103`| База данных почты и FTP | Linux / MySQL 8 | `22` (SSH), `3306` (MySQL) | `servers/data/mysql-main` |
|
|
| **db-corp-web** | `172.16.8.37` | База данных корпоративных сайтов | Linux / MySQL 8 | `22` (SSH), `3306` (MySQL), `9104` | `servers/data/mysql-main` |
|
|
| **db-cloud-dns** | `192.168.220.22` | База данных Cloud DNS | Linux / MySQL 8 | `22` (SSH), `3306` (MySQL) | `servers/data/mysql-special` |
|
|
| **db-it-ops** | `172.16.8.25` | База данных ИТ-операций | Linux / MySQL 8 | `22` (SSH), `3306` (MySQL) | `servers/data/mysql-special` |
|
|
|
|
---
|
|
|
|
## 🔑 Мастер-ключ SSH для AI-агентов
|
|
|
|
Для автоматического беспарольного доступа root ко всем серверам в Vault сохранен закрытый ключ Ed25519:
|
|
* **Путь в Vault**: `servers/data/master-ssh-key`
|
|
* **Поле**: `private_key`
|
|
* **Публичный ключ**:
|
|
```
|
|
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIF0rW5m6mvAg+Q9nDXCN6+H8i3w/QjyWLbGSJC3L+/Bw shelyagin_ra@KPP019011
|
|
```
|
|
Этот ключ прописан в `/root/.ssh/authorized_keys` на всех ключевых серверах инфраструктуры (`172.16.8.8`, `172.16.8.151`, `172.16.8.150`).
|