Гайды

    Свои статьи поверх базы. Пишем коротко, проверяем на живых серверах, шутим только в подводках.

    Панели и Xray

    Remnawave, ноды, Bedolaga-бот, Reality и XHTTP: от установки до обновлений без поломок.

    1. 01.1 Remnawave с нуля: панель в Docker за reverse proxy 7 мин Установка панели по официальной инструкции: compose, секреты в .env, Caddy или nginx перед ней, первый вход и что бэкапить. Плюс грабли, на которые сообщество уже наступило.
    2. 01.2 Нода Remnawave: установка и подключение к панели 7 мин Как панель разговаривает с нодой, откуда берётся SECRET_KEY, как поставить ноду по официальной инструкции и закрыть её порт управления от всех, кроме панели.
    3. 01.3 VLESS + Reality: как работает и как настроить 7 мин Reality выдаёт твою ноду за чужой сайт так убедительно, что наблюдатель видит настоящий сертификат. Разбираем, как это устроено, какие поля нужны серверу и клиенту и почему в РФ рецепт каждые пару месяцев приходится обновлять.
    4. 01.4 XHTTP и selfsteal: рецепт, на котором сидят с конца 2025 7 мин Вместо чужого SNI свой домен с настоящим сайтом, вместо голого TCP транспорт, который выглядит как обычный HTTP. Собираем связку Xray + Caddy и разбираем, что в ней ломалось.
    5. 01.5 Каскады: мост RU → EU от iptables до многоуровневых схем 17 мин Зачем ставить российский сервер перед зарубежной нодой, семь способов это сделать (iptables, HAProxy, nginx, Xray в Remnawave, GOST v3, Rathole, SSH), цепочки из трёх и больше серверов, сравнение и риски. С конфигами и опытом сообщества по датам.
    6. 01.6 Bedolaga-бот: установка и связка с Remnawave 7 мин Бот продаёт подписки, панель их выдаёт, ноды возят трафик. Разбираем, как собрать эту цепочку по официальной инструкции и не наступить на грабли, которые сообщество уже собрало за тебя.
    7. 01.7 Обновления панели, нод и бота без поломок 6 мин Команда pull занимает десять секунд, откат без бэкапа занимает вечер. Порядок обновления Remnawave, нод и Bedolaga, закреплённые теги, проверка и откат, собранные из документации и чужих ошибок.

    Сервер с нуля

    Новый VPS: проверить, закрыть, настроить ядро, завести сервисы, бэкапы и мониторинг.

    1. 02.1 Чек-лист нового VPS: проверить до того, как пускать клиентов 4 мин Хостер обещал гигабит, NVMe и чистый IP. Проверяем за полчаса, пока не поздно вернуть деньги.
    2. 02.2 SSH без боли: ключи, конфиг и тишина в логах 3 мин Пароли — для почты. На сервер заходят по ключу, root не пускают по паролю, а боты идут лесом.
    3. 02.3 nftables: минимальный файрвол для VPS 4 мин Закрыть всё лишнее, оставить SSH и сервисы, притормозить перебор паролей. Без ufw, без iptables-legacy и без блокировки самого себя.
    4. 02.4 sysctl для ноды: BBR, буферы и очереди 4 мин Один файл, который превращает дефолтное ядро в ноду, способную переварить трафик. С объяснением, что каждая строка делает.
    5. 02.5 systemd: свой сервис и таймеры вместо cron 5 мин Unit для бинарника, который сам поднимается после падения, не работает от root и пишет логи туда, где их можно найти. Плюс таймеры, которые не теряют запуски после ребута.
    6. 02.6 Docker для панелей и ботов на VPS 7 мин Панель, бот и кабинет в контейнерах: как не выставить базу в интернет, не утонуть в логах, связать сети и обновляться без сюрпризов.
    7. 02.7 Диск кончился: найти и почистить 5 мин No space left on device на ноде или сервере с панелью. Как за пять минут найти, что съело место, освободить его и не наступить на те же грабли через месяц.
    8. 02.8 Бэкапы, которые восстанавливаются: pg_dump, restic и systemd 6 мин Дамп базы панели, шифрованный репозиторий в S3, расписание и, главное, проверка восстановления. Бэкап, который ни разу не восстанавливали, это надежда, а не бэкап.
    9. 02.9 Мониторинг на коленке: Uptime Kuma, vnStat и скрипт с алертом в Telegram 7 мин Узнать, что нода легла, раньше клиентов, и не поднимать ради этого Prometheus, Grafana и три экспортёра.

    Веб, TLS и прокси

    Сертификаты, nginx и Cloudflare перед панелью и сайтом.

    1. 03.1 TLS-сертификаты без боли: Caddy, certbot, acme.sh 7 мин Три способа получить сертификат Let's Encrypt и не вспоминать о нём, пока он сам продлевается. Плюс как проверить, что продление действительно работает.
    2. 03.2 nginx за Cloudflare: SSL, реальный IP и закрытый origin 7 мин Оранжевое облако включается одной кнопкой. Чтобы за ним не остались редирект-петля, IP Cloudflare в логах и origin, открытый всему интернету, нужно ещё несколько файлов.

    Сеть и диагностика

    Почему не открывается, где теряются миллисекунды и пакеты: DNS, BGP, MTU, netfilter, пинг и трасса.

    1. 04.1 Сайт не открывается из РФ: диагностика за пять минут 4 мин Блокировка, кривой DNS или просто лёг сервер? Разбираемся по симптомам, а не по ощущениям.
    2. 04.2 ping, TCP-пинг и MTR: что на самом деле меряют и как читать 7 мин Пинг не проходит, а сайт работает. В MTR потери на середине маршрута, а до сервера ноль. Разбираем, что меряет каждый инструмент и какие цифры можно выбросить.
    3. 04.3 Анатомия медленного запроса: куда уходят миллисекунды 7 мин Сайт «тормозит», но что именно: сеть, рукопожатия или сам бэкенд? HTTPS-запрос раскладывается на пять фаз, каждую можно измерить одной командой.
    4. 04.4 DNS: что происходит между запросом и ответом 8 мин Кто на самом деле отвечает на запрос, сколько живёт кэш, какие записи важны админу, что даёт DNSSEC и зачем DoH/DoT. С командами и реальными замерами.
    5. 04.5 BGP на пальцах: как читать карту связности 7 мин AS, префиксы, AS-path, транзит и пиринг, Tier 1, RPKI и препенды. Ровно столько BGP, сколько нужно, чтобы понять, что нарисовано в досье хостера и чем грозит один апстрим.
    6. 04.6 MTU и туннели: почему всё виснет на больших пакетах 8 мин Туннель поднят, пинг идёт, SSH работает, а сайт открывается наполовину и загрузка файла замирает. Почти всегда это MTU: сколько байт съедает туннель, как это должно чиниться само и почему не чинится.
    7. 04.7 Путь пакета через netfilter: где сработает твоё правило 7 мин Правило есть, а трафик идёт мимо. Или правило разрешает, а пакет всё равно пропадает. Разбираем, через какие хуки проходит пакет, где работают conntrack и NAT и почему Docker обходит цепочку input.
    8. 04.8 WireGuard между серверами: приватная сеть на два конфига 6 мин Туннель точка-точка, чтобы база, панель и ноды общались по приватным адресам, а не торчали портами в интернет.
    9. 04.9 ТСПУ на пальцах: как режут трафик и как это выглядит 5 мин Где стоит ТСПУ, что он видит в зашифрованном трафике, семь способов блокировки и симптомы каждого. Чтобы по поведению соединения понять, что именно сломалось.