🏗️ Архитектура — vipnet

1. Назначение узла (роль в системе)

Узел — это шлюз сдачи данных в ЕГИС ОТБ (Единая государственная информационная система обеспечения транспортной безопасности). ЕвроТранс как субъект транспортной инфраструктуры обязан передавать в ЕГИС ОТБ данные; передача идёт по FTP через защищённый канал ViPNet. Это не веб-/ERP-узел — здесь нет 80/443, нет OpenVPN, нет Portainer, нет certbot.

Функционально узел: принимает данные от внутренних операторов по FTP (vsftpd, 48080), проксирует FTP-соединения к серверам импорта ЕГИС ОТБ (*.import.inet.egis-otb.local:21021) через 4 контейнера ftp-proxy (порты 21001–21004), шифрует транспорт до ЕГИС ОТБ туннелем ViPNet (tun0) и дополнительно несёт графический АРМ.

2. Аппаратное обеспечение и платформа

3. Сетевая топология

3.1 Интерфейсы

docker0 в состоянии DOWN, потому что все FTP-контейнеры работают в режиме network_mode: host (см. §4.2) — они подключены не к bridge, а напрямую к сетевому стеку хоста. docker network ls показывает только дефолтные сети bridge/host/none, пользовательских сетей нет.

3.2 Шлюзы по умолчанию

default via 10.128.0.1 dev eth0 proto dhcp src 10.128.0.5 metric 100   ← основной
default via 10.0.0.1   dev eth1 proto dhcp src 10.0.0.5   metric 200   ← резервный

• Весь интернет-трафик идёт через eth0 (ip route get 8.8.8.8 → via 10.128.0.1 dev eth0).
• eth1 подключён ко второй VPC Yandex Cloud (10.0.0.0/24), служит резервным маршрутом (метрика выше).
• Адреса выдаются по DHCP (proto dhcp).

3.3 Маршруты в сеть ViPNet (через tun0 7.1.39.7)

Через туннель доступны сети контрагентов / ведомственные сегменты (включая серверы импорта ЕГИС ОТБ) — это и есть карта доступных через ViPNet ресурсов (вероятные upstream-цели FTP-прокси):

Служебный трафик ViPNet: UDP 41034, 55781; DNS внутри туннеля — 7.1.39.7:53 (обслуживает vipnetclient).

3.4 Схема каналов доступа

flowchart TB
  admin["Админ / АРМ
r3ddan9, evrotrans"]:::ext
  zbx["Zabbix server"]:::ext
  contra["Контрагенты"]:::ext
  vipnetnet["Сеть ViPNet
контрагенты, ЕГИС ОТБ"]:::ext

  subgraph Host["ХОСТ vm-...-vipnet"]
    direction TB
    eth0["eth0 10.128.0.5
управление / интернет"]:::net
    proxy["ftp-proxy
0.0.0.0:21001-21004"]:::ftp
    vsftpd["vsftpd :48080"]:::ftp
    tun0["tun0 7.1.39.7
ViPNet"]:::vip
  end

  egis["ЕГИС ОТБ
*.import.inet.egis-otb.local:21021
pdp / onsi / timetable / ack"]:::ext

  admin -- "SSH 48008 (только ключи)" --> eth0
  zbx -- "TCP 10050" --> eth0
  contra -- "FTP 48080 + 21001-21004" --> proxy
  vipnetnet -- "шифрованный туннель" --> tun0
  vsftpd -. "приём из 10.128.0.0/24" .- eth0
  tun0 == "FTP через ViPNet" ==> egis

  classDef ftp fill:#0f2417,stroke:#56d364,color:#dbe4ee
  classDef net fill:#11202e,stroke:#4ea1ff,color:#dbe4ee
  classDef vip fill:#1d1430,stroke:#bc8cff,color:#e9def9
  classDef ext fill:#12161c,stroke:#5a6675,color:#cfd8e2

4. Прикладной слой — FTP-шлюз

Узел совмещает две FTP-роли: входной сервер vsftpd (приём) и 4 исходящих прокси ftp-proxy (передача в ЕГИС ОТБ).

4.1 Состав стека (compose-проект stable)

flowchart TB
  clients["Внутренние системы / клиенты"]:::ext

  vsftpd["vsftpd
:48080 (хост)"]:::ftp

  subgraph Docker["Docker · compose project «stable»
/home/evrotrans/stable"]
    direction LR
    pdp["ftp-pdp
:21001"]:::ftp
    onsi["ftp-onsi
:21002"]:::ftp
    timetable["ftp-timetable
:21003"]:::ftp
    ack["ftp-ack
:21004"]:::ftp
  end

  upstream["Upstream FTP-серверы контрагентов
*.import.inet.egis-otb.local:21021"]:::ext

  clients -- "FTP 48080" --> vsftpd
  clients -- "FTP 21001-21004" --> pdp
  clients --> onsi
  clients --> timetable
  clients --> ack

  pdp -- "FTP" --> upstream
  onsi -- "FTP" --> upstream
  timetable -- "FTP" --> upstream
  ack -- "FTP" --> upstream

  classDef ftp fill:#0f2417,stroke:#56d364,color:#dbe4ee
  classDef ext fill:#12161c,stroke:#5a6675,color:#cfd8e2

• pdp — передача персональных данных пассажиров (ПДП) → auto.pdp.import...;
• onsi — обмен с подсистемой ОНСИ → onsi.import...;
• timetable — выгрузка расписаний → timetable.import...;
• ack — приём квитанций/подтверждений → ack.import....

4.2 Входной FTP-сервер vsftpd (порт 48080)

Запущен на хосте (systemd vsftpd.service), вне Docker. Ключевые параметры /etc/vsftpd.conf:

Список доступа /etc/vsftpd.userlist: r3ddan9, evrotrans (те же, что в AllowUsers SSH).

4.3 Сетевая модель: network_mode: host

Все 4 контейнера запущены в сетевом пространстве хоста (network_mode: host), а не в изолированном bridge. Следствия:

• docker0 находится в состоянии DOWN, контейнеры не имеют отдельных IP — они слушают порты напрямую на интерфейсах хоста (поэтому в ss процессы ftp-proxy видны на 0.0.0.0:2100x).
• Секция ports:/expose: в compose при host-режиме фактически не действует (проброса нет, контейнер и так на хост-сети).
• 🟠 Изоляция сети между контейнером и хостом отсутствует — это плата за упрощение маршрутизации FTP (активный/пассивный режим, диапазоны портов данных). Компенсируется тем, что контейнеры непривилегированные и с ограничениями (см. §4.4).

4.4 Параметры безопасности контейнеров (из compose / inspect)

4.5 Конфигурация и секреты

• Оркестрация: /home/evrotrans/stable/docker-compose.yml (compose v2.18.1, проект stable, базовый образ ubuntu:20.04). Контейнеры подняты 2026-01-30, статус «Up 4 months».
• /home/evrotrans/stable/.env — секретов не содержит ✅ (только TZ, ENV_TIMEZONE, DOCKER_CONTENT_TRUST=1). В шапке файла — памятка по генерации паролей (pwgen, htpasswd), но самих паролей нет.
• Конфигурации каналов (upstream-адреса) лежат в ./ftp-<name>/config/ (см. §13).
• Доступ к Docker: пользователи r3ddan9 и evrotrans (группа docker).
• ⚠️ Образы крутятся 4 месяца без пересборки — внутри возможны непропатченные пакеты. Рекомендуется периодическая пересборка.

5. Удалённый доступ и АРМ (десктоп)

Узел несёт полноценное графическое окружение — нетипично для сервера, объясняется ролью АРМ ViPNet (для работы с криптоклиентом часто нужен GUI).

5.1 SSH

6. Криптозащита — ViPNet

Маршрутизация: через tun0 доступны сети контрагентов (см. §3.3) — это адресаты защищённого обмена. ViPNet — сертифицированное средство защиты канала; через него (включая MFTP) идёт основной защищённый файловый обмен с ведомственной сетью, в том числе передача в ЕГИС ОТБ.

7. Эксплуатация: мониторинг, бэкап, обновления

8. Пользователи и роли

• UID 0 — только root. Скрытых суперпользователей нет. Пустых паролей нет.
• Доступ по SSH (AllowUsers): r3ddan9, evrotrans.
• Группа docker (r3ddan9, evrotrans) — 🟠 root-эквивалент (управление Docker = монтирование / в контейнер).

9. Сводная карта компонентов

flowchart TB
  subgraph Net["Сеть"]
    direction TB
    eth0["eth0 10.128.0.5
управление / мониторинг"]:::net
    eth1["eth1 10.0.0.5
данные (резерв, metric 200)"]:::net
    tun0["tun0 7.1.39.7
ViPNet (point-to-point)"]:::net
  end

  subgraph App["Прикладной слой"]
    direction TB
    vsftpd["vsftpd :48080 (вход, хост)"]:::ftp
    proxy["ftp-proxy :21001-21004"]:::ftp
    chans["stable-ftp-pdp / onsi / timetable / ack"]:::ftp
    proxy --> chans
  end

  subgraph Arm["АРМ / десктоп"]
    direction TB
    lightdm["LightDM / Xorg"]:::svc
    vnc["TigerVNC (localhost)"]:::svc
    cups["CUPS (localhost)"]:::svc
  end

  subgraph Ops["Эксплуатация"]
    direction TB
    zbx["Zabbix :10050"]:::svc
    acronis["Acronis Cyber Protect"]:::svc
    gga["google-guest-agent"]:::svc
    uu["unattended-upgrades"]:::svc
  end

  subgraph Vip["ViPNet"]
    direction TB
    vipclient["vipnetclient"]:::vip
    csp["ViPNet CSP / MFTP"]:::vip
  end

  sshd["sshd :48008 (ключи)"]:::svc

  eth0 -- "SSH" --> sshd
  eth0 --> vsftpd
  eth0 --> proxy
  eth0 --> zbx
  tun0 --> vipclient

  classDef ftp fill:#0f2417,stroke:#56d364,color:#dbe4ee
  classDef net fill:#11202e,stroke:#4ea1ff,color:#dbe4ee
  classDef vip fill:#1d1430,stroke:#bc8cff,color:#e9def9
  classDef svc fill:#10242b,stroke:#3fb6c9,color:#cfeef5

10. Сквозной поток данных в ЕГИС ОТБ

flowchart TB
  oper["Оператор
r3ddan9 / evrotrans"]:::ext
  vsftpd["vsftpd :48080"]:::ftp
  file["файл в /home/<user>/
(chroot в $HOME)"]:::net
  proxy["ftp-proxy :2100x
User nobody, network_mode host"]:::ftp
  egis["<канал>.import.inet.egis-otb.local:21021
серверы импорта ЕГИС ОТБ
pdp / onsi / timetable / ack"]:::ext

  oper -- "FTP открытый текст (ssl_enable=NO)" --> vsftpd
  vsftpd --> file
  file -- "подаётся на прокси" --> proxy
  proxy == "FTP через ViPNet-туннель tun0
(шифрование на уровне сети)" ==> egis

  classDef ftp fill:#0f2417,stroke:#56d364,color:#dbe4ee
  classDef net fill:#11202e,stroke:#4ea1ff,color:#dbe4ee
  classDef ext fill:#12161c,stroke:#5a6675,color:#cfd8e2
  classDef warn fill:#2a1416,stroke:#ff5c5c,color:#ffd9d9
  class oper,vsftpd warn

1. Приём: оператор (r3ddan9/evrotrans) кладёт файлы по FTP в свой $HOME через vsftpd (48080) — в открытом виде, изнутри сети 10.128.0.0/24.
2. Проксирование: соответствующий ftp-proxy (21001–21004) пробрасывает FTP-сессию к серверу импорта *.egis-otb.local:21021. Контейнеры файлы не хранят — только проксируют, работая под nobody.
3. Транспорт: маршрут до egis-otb.local идёт через ViPNet-туннель (tun0), который шифрует канал на сетевом уровне (компенсирует то, что сам FTP открытый).
4. Управление: r3ddan9 — по SSH (48008); evrotrans — оператор узла (ViPNet/GUI, при необходимости VNC через SSH-туннель).
5. Наблюдаемость: Zabbix (10050) снимает метрики; Acronis делает бэкап и антивирусную защиту.

11. Эксплуатация (runbook)

11.1 Расположение ключевых файлов

11.2 Типовые операции

# Статус прикладного стека
cd /home/evrotrans/stable && docker compose ps
docker ps --format 'table {{.Names}}\t{{.Status}}\t{{.Ports}}'

# Перезапуск одного канала (пример: ack)
cd /home/evrotrans/stable && docker compose restart ftp-ack

# Логи прокси (диагностика передачи в ЕГИС ОТБ)
docker logs --tail 100 -f stable-ftp-ack-1

# Пересборка образов (получить свежие патчи)
cd /home/evrotrans/stable && docker compose build --pull && docker compose up -d

# Статус/логи входного FTP
systemctl status vsftpd
tail -f /var/log/vsftpd.log

# Состояние ViPNet-туннеля
ip addr show tun0
ip route show | grep tun0
systemctl status vipnetclientdaemon1002

# Проверка доступности сервера импорта ЕГИС ОТБ
getent hosts ack.import.inet.egis-otb.local

11.3 Зависимости запуска

12. Открытые вопросы / зоны неопределённости

13. Приложения: сырые конфигурации

13.1 docker-compose.yml (структура)

Проект stable, 4 сервиса (ftp-pdp, ftp-onsi, ftp-timetable, ftp-ack), все по шаблону:

version: "3"
services:
  ftp-<name>:
    build: ./ftp-<name>
    restart: always
    privileged: false
    network_mode: host
    security_opt:
      - "no-new-privileges=true"
      - "apparmor=docker-default"
    logging:
      driver: "json-file"
      options: { max-file: "4", max-size: "64m", compress: "true" }
    expose:  ["2100X"]
    ports:   ["2100X:2100X"]
    volumes: ["./ftp-<name>/config/:/etc/proxy-suite/:ro"]
    environment:
      TZ: ${ENV_TIMEZONE}

(маппинг порта: pdp→21001, onsi→21002, timetable→21003, ack→21004)

13.2 ftp-proxy *.conf (proxy-suite, общий вид)

[-Global-]
DestinationAddress   <канал>.import.inet.egis-otb.local
DestinationPort      21021
Group                nogroup
Port                 2100X
User                 nobody

13.3 /etc/vsftpd.conf (значимые директивы)

listen=YES
listen_ipv6=NO
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
log_ftp_protocol=YES
connect_from_port_20=YES
listen_port=48080
xferlog_file=/var/log/vsftpd.log
xferlog_std_format=YES
chroot_local_user=YES
secure_chroot_dir=/var/run/vsftpd/empty
pam_service_name=vsftpd
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO
setproctitle_enable=YES
force_dot_files=yes
user_sub_token=$USER
local_root=/home/$USER/
allow_writeable_chroot=YES
userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

13.4 .env

TZ="Europe/Moscow"
ENV_TIMEZONE="Europe/Moscow"
DOCKER_CONTENT_TRUST=1