# SSH и доступ

> Порты, ключи, гигиена доступа.

- Раскладка: бот web_api 8080, панель 3000, метрики 3001, сабка 3010; 443 — у реверс-прокси [id=135294](https://t.me/c/2941121338/135294).
- Порты хуков: достаточно 443/80; «сервер с ботом можно вообще все порты закрыть, использовать туннель» [id=40914..40948](https://t.me/c/2941121338/40914); на нодах открывать 443/8443 + 2222 (panel-node, доступ только с IP панели) + 61000 (supervisord), 53/68 (systemd-network/resolve) [id=40970, 196134, 271502](https://t.me/c/2941121338/40970).
- UFW на нодах: обрубать всё кроме 22/80/443/8443; учесть 61000/53/68 [id=196134](https://t.me/c/2941121338/196134); UFW+Docker фикс: `ufw route allow/deny`, зеркальное правило для Docker [id=513385](https://t.me/c/2941121338/513385).
- SSH: вход по ключу, `PasswordAuthentication no`, `PermitRootLogin prohibit-password` [id=313401](https://t.me/c/2941121338/313401); смена порта: сначала конфиг, потом UFW, потом закрыть 22 [id=318297](https://t.me/c/2941121338/318297); fail2ban на свежем сервере банит 3 IP за 8 минут [id=200166](https://t.me/c/2941121338/200166); SSH до мск-таймвеб из Сибири блокирован ТСПУ [id=86351](https://t.me/c/2941121338/86351).
- Bot API работает на портах 443, 80, 88, 8443 (иначе — 25 портов SMTP) [id=481086|prince|09.05.2026](https://t.me/c/2941121338/481086).
- SMTP: порт 25 закрыт у 90% хостеров [id=224632](https://t.me/c/2941121338/224632); проверка портов:
```bash
telnet smtp.gmail.com 25
nc -zv smtp.gmail.com 587
timeout 5 bash -c 'echo > /dev/tcp/smtp.gmail.com/465' && echo "OK" || echo "BLOCKED"
```
[id=270592](https://t.me/c/2941121338/270592); swaks для теста авторизации [id=214266](https://t.me/c/2941121338/214266); таймвеб smtp: 465 не работает, 587 = STARTTLS (SMTP_USE_TLS=false) [id=224829, 258953](https://t.me/c/2941121338/224829).
- Netbird/Tailscale между серверами — приватная сеть для панели/нод, уменьшает влияние DNS [id=168470, 97651](https://t.me/c/2941121338/168470); NetBird на WG «легко заблокировать», между нодами не блокируют [id=199921](https://t.me/c/2941121338/199921); панель нода отвалилась → WG-туннель через промежуточный сервер или SOCKS5 (danted) в поле proxyUrl ноды [id=1119490, 1119132, 771037](https://t.me/c/2941121338/1119490).
- Панель и бот на одном сервере — не рекомендуется [id=466363, 94774](https://t.me/c/2941121338/466363); нода и бот на одном сервере — конфликт 80/443 [id=113235](https://t.me/c/2941121338/113235); «всегда ставь панель и бот на разные серверы» [id=342335](https://t.me/c/2941121338/342335).

---
Источник: https://host.pink/baza/set/ssh-dostup/
Оригинал: https://github.com/Rxflex/BedolagaBD/blob/main/docs/04-сеть-серверы/ssh-доступ.md
Лицензия: CC BY-SA 4.0