SSH и доступ

• Раскладка: бот web_api 8080, панель 3000, метрики 3001, сабка 3010; 443 — у реверс-прокси пруф.
• Порты хуков: достаточно 443/80; «сервер с ботом можно вообще все порты закрыть, использовать туннель» пруф; на нодах открывать 443/8443 + 2222 (panel-node, доступ только с IP панели) + 61000 (supervisord), 53/68 (systemd-network/resolve) пруф.
• UFW на нодах: обрубать всё кроме 22/80/443/8443; учесть 61000/53/68 пруф; UFW+Docker фикс: ufw route allow/deny, зеркальное правило для Docker пруф.
• SSH: вход по ключу, PasswordAuthentication no, PermitRootLogin prohibit-password пруф; смена порта: сначала конфиг, потом UFW, потом закрыть 22 пруф; fail2ban на свежем сервере банит 3 IP за 8 минут пруф; SSH до мск-таймвеб из Сибири блокирован ТСПУ пруф.
• Bot API работает на портах 443, 80, 88, 8443 (иначе — 25 портов SMTP) 09.05.26.
• SMTP: порт 25 закрыт у 90% хостеров пруф; проверка портов:

telnet smtp.gmail.com 25
nc -zv smtp.gmail.com 587
timeout 5 bash -c 'echo > /dev/tcp/smtp.gmail.com/465' && echo "OK" || echo "BLOCKED"

пруф; swaks для теста авторизации пруф; таймвеб smtp: 465 не работает, 587 = STARTTLS (SMTP_USE_TLS=false) пруф.

• Netbird/Tailscale между серверами — приватная сеть для панели/нод, уменьшает влияние DNS пруф; NetBird на WG «легко заблокировать», между нодами не блокируют пруф; панель нода отвалилась → WG-туннель через промежуточный сервер или SOCKS5 (danted) в поле proxyUrl ноды пруф.
• Панель и бот на одном сервере — не рекомендуется пруф; нода и бот на одном сервере — конфликт 80/443 пруф; «всегда ставь панель и бот на разные серверы» пруф.