Кейс · Инфраструктура и DevOps
Bastion: защищенный self-hosted флот приложений
Один мини-ПК с production-флотом: reverse proxy, автоматический TLS, 2FA-шлюз, мониторинг, алертинг, бэкапы и дюжина приложений при аптайме 99.9%.
- Индустрия
- Платформенная инженерия
- Сроки
- непрерывная эксплуатация
- Год
- 2026
- Услуги
- DevOps, Харденинг безопасности, Мониторинг
Проблема
Ответ по умолчанию на вопрос “где мы это запустим” превратился в стопку облачных подписок: каждая выставляет счет ежемесячно, каждая держит кусок ваших данных, каждая означает отдельную историю безопасности. Для флота внутренних инструментов и продуктов это арендованная сложность. Альтернатива, от которой все отговаривают, self-hosting, на практике проваливается по одной причине: обычно этим занимаются как хобби, а не как эксплуатацией.
Что мы построили
Production-платформа на собственном железе, эксплуатируемая так, будто от нее что-то зависит. Каждое приложение деплоится одинаково и наследует единую базу безопасности и наблюдаемости:
- Одна входная дверь. Reverse proxy Traefik терминирует TLS для каждого приложения с автоматическим выпуском и продлением сертификатов Let’s Encrypt; HSTS, security-заголовки и rate limiting применяются ко всему флоту через middleware, а не по доброй воле каждого приложения.
- Эшелонированная защита. SSH только по ключам с fail2ban, 2FA-шлюз на Telegram-кодах перед админскими поверхностями, сетевая изоляция per-app, чтобы базы данных были недостижимы из сети прокси, секреты только в env-файлах конкретных приложений.
- Мониторинг, который предполагает отказ. Три независимых слоя: метрики хоста с алертингом, black-box проверки доступности каждого сервиса и монитор безопасности, каждые пять минут сканирующий brute-force попытки, исчерпание ресурсов и мертвые контейнеры. Все эскалируется в Telegram за считанные секунды.
- Деплой как паттерн, а не искусство. Каждое приложение: git-репозиторий с compose-файлом и production-оверлеем. Деплой: pull, build, up. Паттерн задокументирован настолько хорошо, что AI-агент выполняет его без посторонней помощи.
Результат
Измеренный аптайм 99.9%, месячная стоимость хостинга близка к счету за электричество и накапливающийся актив: каждый новый продукт запускается в среду, где TLS, аутентификация, мониторинг и бэкапы уже существуют. Этот флот служит и доказательством компетентности: когда мы говорим “мы задеплоим и будем эксплуатировать”, вот что означает эксплуатация.