lekss361/gendesign

Fork 0

Переезд: перечень интеграций, привязанных к IP 46.173.16.127 — что ломается молча #3059

New issue

Open

opened 2026-08-23 16:49:00 +00:00 by lekss361 · 10 comments

lekss361 commented

2026-08-23 16:49:00 +00:00

Owner

Эпик: #2989, раннбук окна: #3057.

Перечня не существовало — это первый. Собран разведкой по четырём направлениям с перекрёстной проверкой 2026-08-23. Ниже только то, что проверено замером; предположения помечены отдельно.

Главный принцип отбора: отделить привязку к IP от привязки к DNS-имени. Второе переезд не ломает — достаточно не трогать A-запись. Это типовая ошибка таких перечней, и она в исходных находках была.

🔴 БЛОКЕР: Telegram недостижим с нового хоста

Замер с Poincare (188.246.224.93), четыре дата-центра Telegram:

IP	TCP :443	HTTPS
`149.154.166.110` ← который отдаёт DNS	нет	`000` (таймаут)
`149.154.167.220`	OPEN	`302` за 0.11 с
`149.154.175.50`	нет	`000`
`91.108.56.130`	нет	`000`

С Beget тот же запрос — 302 за 0.34 с. То есть с Selectel отвечает один DC из четырёх, и именно тот, который резолвер не выдаёт. Это не CA, не DNS и не наш файрвол — это фильтрация/маршрутизация подсетей Telegram на стороне провайдера.

Как проявится: tradein-tgbot работает на long-polling, резолвит 149.154.166.110, виснет на таймауте и умирает молча — без исключения, без алерта. Вместе с ним отваливаются алерты бэкапов (ops/lib-backup.sh) и uptime-нотификации (ops/uptime-healthcheck.sh), то есть ломается сам канал, которым мы узнали бы о поломке.

Решить до окна. Варианты: оставить бота на Beget; пустить трафик Telegram через прокси-пул; запрос в поддержку Selectel. Пиннинг рабочего DC — не решение, адреса меняются.

🔴 Провайдер прокси с привязкой по IP

mobileproxy.space — в кабинете привязан egress-IP 46.173.16.127. Причина привязки структурная: camoufox/Playwright не умеет authenticated SOCKS5, поэтому авторизация только по IP. После переезда браузерный скрапинг Авито встанет.

Проявление коварное: по записи волта срабатывание whitelist выглядит не как 407, а как молчаливый разрыв соединения после TCP SYN — в коде это ConnectError/таймаут, неотличимо от «площадка забанила».

Отдельно и срочно: подписки просрочены. ASocks мобильный и mobileproxy — оплата до 2026-08-02, автопродление выключено. Сегодня 23.08. Если в окне часть узлов не ответит, это спишут на переезд, а причина другая.

🟠 Ломается от смены хоста, не от IP

После смены DEPLOY_HOST каталог /opt/gendesign на Beget больше никогда не обновится. Все три workflow делают git reset --hard origin/main именно на DEPLOY_HOST. А на Beget из этого каталога по абсолютным путям исполняются ops/backup.sh, ops/backup-forgejo.sh, ops/check-backup-staleness.sh, ops/docker-prune.sh — все в crontab.

Crontab: 10 задач, не 7 (сегодня добавлены бэкап Forgejo и три сторожа устаревания). После переезда половина сломается на Beget: строки с docker exec tradein-postgres, docker exec tradein-backend и дампом кластера gendesign — этих контейнеров там уже не будет. Скопировать crontab целиком тоже нельзя: сторожа и бэкап Forgejo должны остаться на Beget.

Caddyfile приедет на Selectel целиком — со всеми восемью site-блоками, включая obsidian.gendsgn.ru, errors.gendsgn.ru, git.gendsgn.ru, которые остаются на Beget. Caddy на новом хосте начнёт выпускать для них сертификаты по HTTP-01, а DNS указывает на Beget — ACME будет падать, с риском упереться в rate limit Let's Encrypt.

FDW tradein → gendesign привязан к сетевому алиасу: srvoptions = {host=gendesign-postgres, dbname=gendesign, connect_timeout=3, fetch_size=10000, use_remote_estimate=true}. Работает, только пока оба кластера в одной docker-сети — см. третью мину из #3057 про внешнюю сеть gendesign_shared.

fail2ban и ufw на Beget активны. После переезда 188.246.224.93 станет для него незнакомым источником, постоянно стучащим в 443 (envelope'ы Sentry, SSH-деплои, LiveSync). Любой jail по логам может забанить собственный новый прод.

🟡 Второй периметр: зоопарк с 94.228.121.73

DNS этих доменов живёт не у Beget, а у Timeweb — ns1/ns2.timeweb.ru. Правки идут в другой панели, это отдельный доступ и отдельный человек.

Сертификаты выпускает certbot, а не Caddy, HTTP-01, обновление раз в 60 дней, ошибки уходят в почту root'а, которую никто не читает. Если A-запись переехала, а webroot на новом хосте отличается — первые два месяца всё работает, потом сайты разом отдают истёкший сертификат.

Внешние пуши по адресу старого хоста: Macro CRM бьёт вебхуком в /ai/api/ → 127.0.0.1:8765, а GPU-бокс LMMACHINE шлёт win_status.json через scp в /var/www/ai-analytics/crm/. Дашборд поллит файл каждые 5 секунд и при офлайне «данные молча устаревают». PRINZIP-AI в периметр переезда не входит — значит эти пути надо либо сохранить, либо осознанно оборвать.

✅ Проверено и НЕ ломается — снято с учёта

GLITCHTIP_DSN и Obsidian LiveSync привязаны к DNS-имени, а не к IP. В Caddyfile нет ни одного remote_ip-матчера и ни одного trusted_proxies. A-записи остаются на Beget — связь не рвётся. Оба фигурировали в исходных находках как «ломается молча» — неверно.
CouchDB не уйдёт в Admin-Party. Пароль задан как ${COUCHDB_PASSWORD:?...} — синтаксис :? роняет compose с ошибкой, а не подставляет пустое значение.
Прокси-пул ASocks авторизуется логином-паролем в URL, не по IP клиента. Площадки видят exit-IP прокси — для них переезд нейтрален. (Оговорка про mobileproxy выше — там иначе.)
Российский корневой УЦ отсутствует в trust store — но на обоих хостах одинаково: curl https://nspd.gov.ru/ даёт 000 и с Beget, и с Poincare, а с -k — 200. Это не регресс переезда, а существующее свойство. В исходных находках подано как «новый класс тихой поломки» — неверно.
Т-Банк: исходящие не работают ни с одного хоста (TLS alert, unknown CA), и платёжный контур в прод-окружении выключен — PAYMENTS_ENABLED и TBANK_* в env отсутствуют.

🟢 Что переезд, наоборот, чинит

На текущем IP два активных hard-ban'а:

НСПД отдаёт 403 с телом Client IP: 46.173.16.127 / Rule: 57615a88d1ec0120b56fdce6. Последний успешный дамп 2026-07-27, 25 ошибочных за 7 дней (#2956).
ДОМ.РФ — ServicePipe WAF банит с 2026-05-24, job_settings.scrape_kn enabled=false (#2443).

Свежий IP с высокой вероятностью снимает оба. Но не включать сбор сразу: у НСПД нет брейкера — issue фиксирует прогон, сделавший ещё 9 запросов после первого 403. Сначала одна ручная проба, потом circuit-breaker, потом включение.

Отдельный риск того же рода: geocode_deals_nominatim льёт 5000 адресов в сутки с одного адреса (194 события «429» за неделю). Новый IP сгорит за недели, если ехать как есть.

Почта

Ящики заведены в панели Beget, MX всех четырёх доменов → mx1/mx2.beget.com. Переезд VPS почту не трогает, но закрытие аккаунта Beget убьёт и её, и DNS-зону.

Исходящий SMTP с Poincare: smtp.beget.com:465 OPEN, :25 OPEN, :587 BLOCKED. Дефолтные конфиги Django/GlitchTip с EMAIL_USE_TLS на 587 не заведутся — нужен implicit SSL на 465.

DMARC есть только у meraocenka.ru. У gendsgn.ru, merahome.ru, meraotsenka.ru его нет — отчётов о проблемах доставки после смены IP не будет.

Приёмка

Решён вопрос с Telegram — бот и алерты работают после переезда
mobileproxy.space: egress-IP в кабинете обновлён на новый
Подписки прокси продлены либо признаны ненужными
Crontab разведён: что остаётся на Beget, что уезжает
Решено, чем обновлять /opt/gendesign на Beget после смены DEPLOY_HOST
Caddyfile разведён по хостам — на Selectel не должно быть блоков остающихся доменов
fail2ban/ufw на Beget знают новый адрес
Зоопарк: доступ к панели Timeweb, план по certbot, судьба внешних пушей
После переезда: проба НСПД и ДОМ.РФ с брейкером, пересмотр лимита Nominatim

Refs #3057, #3027, #3031, #2956, #2443

Эпик: #2989, раннбук окна: #3057. Перечня не существовало — это первый. Собран разведкой по четырём направлениям с перекрёстной проверкой 2026-08-23. Ниже только то, что **проверено замером**; предположения помечены отдельно. Главный принцип отбора: отделить привязку к **IP** от привязки к **DNS-имени**. Второе переезд не ломает — достаточно не трогать A-запись. Это типовая ошибка таких перечней, и она в исходных находках была. --- ## 🔴 БЛОКЕР: Telegram недостижим с нового хоста Замер с Poincare (188.246.224.93), четыре дата-центра Telegram: | IP | TCP :443 | HTTPS | |---|---|---| | `149.154.166.110` ← **который отдаёт DNS** | нет | `000` (таймаут) | | `149.154.167.220` | OPEN | **`302` за 0.11 с** | | `149.154.175.50` | нет | `000` | | `91.108.56.130` | нет | `000` | С Beget тот же запрос — **`302` за 0.34 с**. То есть с Selectel отвечает **один DC из четырёх**, и именно тот, который резолвер не выдаёт. Это не CA, не DNS и не наш файрвол — это фильтрация/маршрутизация подсетей Telegram на стороне провайдера. **Как проявится:** `tradein-tgbot` работает на long-polling, резолвит `149.154.166.110`, виснет на таймауте и умирает **молча** — без исключения, без алерта. Вместе с ним отваливаются алерты бэкапов (`ops/lib-backup.sh`) и uptime-нотификации (`ops/uptime-healthcheck.sh`), то есть ломается сам канал, которым мы узнали бы о поломке. **Решить до окна.** Варианты: оставить бота на Beget; пустить трафик Telegram через прокси-пул; запрос в поддержку Selectel. Пиннинг рабочего DC — не решение, адреса меняются. --- ## 🔴 Провайдер прокси с привязкой по IP **`mobileproxy.space`** — в кабинете привязан egress-IP `46.173.16.127`. Причина привязки структурная: camoufox/Playwright не умеет authenticated SOCKS5, поэтому авторизация только по IP. После переезда браузерный скрапинг Авито встанет. Проявление коварное: по записи волта срабатывание whitelist выглядит не как `407`, а как **молчаливый разрыв соединения после TCP SYN** — в коде это `ConnectError`/таймаут, неотличимо от «площадка забанила». **Отдельно и срочно:** подписки просрочены. ASocks мобильный и mobileproxy — оплата до **2026-08-02**, автопродление **выключено**. Сегодня 23.08. Если в окне часть узлов не ответит, это спишут на переезд, а причина другая. --- ## 🟠 Ломается от смены хоста, не от IP **После смены `DEPLOY_HOST` каталог `/opt/gendesign` на Beget больше никогда не обновится.** Все три workflow делают `git reset --hard origin/main` именно на `DEPLOY_HOST`. А на Beget из этого каталога по абсолютным путям исполняются `ops/backup.sh`, `ops/backup-forgejo.sh`, `ops/check-backup-staleness.sh`, `ops/docker-prune.sh` — все в crontab. **Crontab: 10 задач, не 7** (сегодня добавлены бэкап Forgejo и три сторожа устаревания). После переезда половина сломается на Beget: строки с `docker exec tradein-postgres`, `docker exec tradein-backend` и дампом кластера `gendesign` — этих контейнеров там уже не будет. Скопировать crontab целиком тоже нельзя: сторожа и бэкап Forgejo должны остаться на Beget. **`Caddyfile` приедет на Selectel целиком** — со всеми восемью site-блоками, включая `obsidian.gendsgn.ru`, `errors.gendsgn.ru`, `git.gendsgn.ru`, которые **остаются на Beget**. Caddy на новом хосте начнёт выпускать для них сертификаты по HTTP-01, а DNS указывает на Beget — ACME будет падать, с риском упереться в rate limit Let's Encrypt. **FDW `tradein → gendesign`** привязан к сетевому алиасу: `srvoptions = {host=gendesign-postgres, dbname=gendesign, connect_timeout=3, fetch_size=10000, use_remote_estimate=true}`. Работает, только пока оба кластера в одной docker-сети — см. третью мину из #3057 про внешнюю сеть `gendesign_shared`. **fail2ban и ufw на Beget активны.** После переезда `188.246.224.93` станет для него незнакомым источником, постоянно стучащим в 443 (envelope'ы Sentry, SSH-деплои, LiveSync). Любой jail по логам может забанить собственный новый прод. --- ## 🟡 Второй периметр: зоопарк с 94.228.121.73 **DNS этих доменов живёт не у Beget, а у Timeweb** — `ns1/ns2.timeweb.ru`. Правки идут в **другой панели**, это отдельный доступ и отдельный человек. **Сертификаты выпускает certbot, а не Caddy**, HTTP-01, обновление раз в 60 дней, ошибки уходят в почту root'а, которую никто не читает. Если A-запись переехала, а webroot на новом хосте отличается — первые два месяца всё работает, потом сайты разом отдают истёкший сертификат. **Внешние пуши по адресу старого хоста:** Macro CRM бьёт вебхуком в `/ai/api/` → `127.0.0.1:8765`, а GPU-бокс LMMACHINE шлёт `win_status.json` через scp в `/var/www/ai-analytics/crm/`. Дашборд поллит файл каждые 5 секунд и при офлайне «данные молча устаревают». PRINZIP-AI в периметр переезда не входит — значит эти пути надо либо сохранить, либо осознанно оборвать. --- ## ✅ Проверено и НЕ ломается — снято с учёта - **`GLITCHTIP_DSN`** и **Obsidian LiveSync** привязаны к **DNS-имени**, а не к IP. В `Caddyfile` нет ни одного `remote_ip`-матчера и ни одного `trusted_proxies`. A-записи остаются на Beget — связь не рвётся. Оба фигурировали в исходных находках как «ломается молча» — неверно. - **CouchDB не уйдёт в Admin-Party.** Пароль задан как `${COUCHDB_PASSWORD:?...}` — синтаксис `:?` роняет compose с ошибкой, а не подставляет пустое значение. - **Прокси-пул ASocks** авторизуется логином-паролем в URL, не по IP клиента. Площадки видят exit-IP прокси — для них переезд нейтрален. (Оговорка про mobileproxy выше — там иначе.) - **Российский корневой УЦ отсутствует в trust store** — но **на обоих хостах одинаково**: `curl https://nspd.gov.ru/` даёт `000` и с Beget, и с Poincare, а с `-k` — `200`. Это не регресс переезда, а существующее свойство. В исходных находках подано как «новый класс тихой поломки» — неверно. - **Т-Банк**: исходящие не работают **ни с одного** хоста (`TLS alert, unknown CA`), и платёжный контур в прод-окружении выключен — `PAYMENTS_ENABLED` и `TBANK_*` в env отсутствуют. --- ## 🟢 Что переезд, наоборот, чинит На текущем IP **два активных hard-ban'а**: - **НСПД** отдаёт 403 с телом `Client IP: 46.173.16.127 / Rule: 57615a88d1ec0120b56fdce6`. Последний успешный дамп **2026-07-27**, 25 ошибочных за 7 дней (#2956). - **ДОМ.РФ** — ServicePipe WAF банит с 2026-05-24, `job_settings.scrape_kn enabled=false` (#2443). Свежий IP с высокой вероятностью снимает оба. **Но не включать сбор сразу**: у НСПД нет брейкера — issue фиксирует прогон, сделавший ещё 9 запросов после первого 403. Сначала одна ручная проба, потом circuit-breaker, потом включение. Отдельный риск того же рода: `geocode_deals_nominatim` льёт **5000 адресов в сутки** с одного адреса (194 события «429» за неделю). Новый IP сгорит за недели, если ехать как есть. --- ## Почта Ящики заведены в панели Beget, MX всех четырёх доменов → `mx1/mx2.beget.com`. Переезд VPS почту **не трогает**, но закрытие аккаунта Beget убьёт и её, и DNS-зону. Исходящий SMTP с Poincare: `smtp.beget.com:465` **OPEN**, `:25` **OPEN**, `:587` **BLOCKED**. Дефолтные конфиги Django/GlitchTip с `EMAIL_USE_TLS` на 587 не заведутся — нужен implicit SSL на 465. DMARC есть только у `meraocenka.ru`. У `gendsgn.ru`, `merahome.ru`, `meraotsenka.ru` его нет — отчётов о проблемах доставки после смены IP не будет. --- ## Приёмка - [ ] Решён вопрос с Telegram — бот и алерты работают после переезда - [ ] `mobileproxy.space`: egress-IP в кабинете обновлён на новый - [ ] Подписки прокси продлены либо признаны ненужными - [ ] Crontab разведён: что остаётся на Beget, что уезжает - [ ] Решено, чем обновлять `/opt/gendesign` на Beget после смены `DEPLOY_HOST` - [ ] `Caddyfile` разведён по хостам — на Selectel не должно быть блоков остающихся доменов - [ ] fail2ban/ufw на Beget знают новый адрес - [ ] Зоопарк: доступ к панели Timeweb, план по certbot, судьба внешних пушей - [ ] После переезда: проба НСПД и ДОМ.РФ с брейкером, пересмотр лимита Nominatim Refs #3057, #3027, #3031, #2956, #2443

lekss361 commented

2026-08-23 17:28:04 +00:00

Author

Owner

Проверка замером 2026-08-23: прокси в порядке, Telegram решается закреплением адреса

✅ Прокси: IP-привязки нет, переезд их не трогает

Прогнал все четыре узла scrape_proxies с обоих хостов — URL нигде не печатался.

Узел	С Beget	С Poincare
`asocks-residential-1`	200, exit `212.8.249.134`, 0.82 с	200, тот же exit, 0.52 с
`asocks-mobile-1`	200, exit `190.2.145.131`, 3.28 с	200, тот же exit, 0.81 с
`asocks-mobile-2`	200, exit `175.110.115.153`, 1.76 с	200, тот же exit, 1.71 с
`asocks-mobile-3`	200, exit `109.236.82.42`, 1.12 с	200, тот же exit, 0.69 с

Exit-IP совпадают, задержки с нового хоста даже ниже. IP-привязки в кабинете ASocks нет — опасение из перечня снято замером, а не рассуждением.

Заявление про просроченные подписки не подтвердилось. last_ok_at у всех четырёх — сегодняшние 17:08–17:20, consecutive_fails=0, disabled_reason пуст. Запись в волте про оплату «до 2026-08-02 с выключенным автопродлением» устарела.

Остаётся непроверенным только mobileproxy.space — он не в scrape_proxies, а в отдельной переменной, и именно у него по волту привязка по egress-IP. Его надо проверить отдельно.

🔴→🟢 Telegram: не блокировка Selectel, а частичная фильтрация у обоих провайдеров

Исходный диагноз «Telegram недостижим с нового хоста» оказался неточным. Замер по семи адресам:

IP	с Beget	с Poincare
`149.154.167.220`	302 (0.17 с)	302 (0.11 с)
`149.154.166.110` ← отдаёт DNS	302 (0.22 с)	000
`149.154.167.99`	302 (0.86 с)	000
`149.154.175.100`	000	000
`149.154.171.5`	000	000
`91.108.4.5`	000	000
`91.108.56.130`	000	000

Telegram частично фильтруется у обоих провайдеров — с Beget доступны 3 адреса из 7, с Poincare 1 из 7. Разница только в том, что Beget случайно попадает в тот адрес, который отдаёт резолвер, а Selectel — нет. Это не «Selectel блокирует», и не CA, и не наш файрвол.

Через прокси Telegram не проходит ни с одного узла (все четыре — 000): они российские, а Telegram в РФ блокируется. Этот путь закрыт.

Решение: закрепить `149.154.167.220`

Проверено полностью, включая настоящий эндпоинт Bot API:

на хосте:        curl https://api.telegram.org/  → 302, ip=149.154.167.220, 0.11 с
Bot API:         /bot<fake>/getMe → {"ok":false,"error_code":401} за 0.11 с
                 (с Beget тот же ответ за 0.25 с — идентично)
в контейнере:    docker run --add-host api.telegram.org:149.154.167.220 → 302 за 0.125 с
стабильность:    5 запросов подряд → 302 302 302 302 302

Закрепление работает и на уровне хоста, и внутри docker — а бот живёт в контейнере, так что это важно.

Что сделать:

extra_hosts: ["api.telegram.org:149.154.167.220"] для tradein-tgbot в compose — декларативно, в git, проходит ревью
запись в /etc/hosts нового хоста — для скриптов, которые уведомляют не из контейнера (ops/lib-backup.sh, ops/uptime-healthcheck.sh); на Poincare уже добавлена, бэкап оригинала в /etc/hosts.bak-tgtest

⚠️ Признаю точку отказа

Скан всего 149.154.167.0/24 с Poincare дал ровно один живой адрес. Запасного нет. Если 149.154.167.220 перестанет отвечать — бот умрёт так же молча, как умер бы без закрепления.

Хуже того, канал оповещения об этом сам идёт через Telegram: алерты бэкапов (ops/lib-backup.sh) и uptime-нотификации ходят туда же. Поломка скрывает сама себя.

Поэтому закрепление адреса — необходимое, но не достаточное. Нужен независимый канал оповещения. Кандидат проверен: smtp.beget.com:465 с Poincare OPEN (587 закрыт, 25 открыт). Либо событие в GlitchTip, который остаётся на Beget и доступен по имени.

Обновление приёмки

Прокси проверены с нового хоста — IP-привязки нет, переезд их не ломает
Подписки прокси: заявление о просрочке опровергнуто, все узлы живые
Telegram: причина установлена, решение проверено до эндпоинта Bot API
extra_hosts для tradein-tgbot внесён в compose
Независимый от Telegram канал алертов (почта через :465 либо GlitchTip)
mobileproxy.space проверен отдельно — у него привязка по egress-IP

Refs #3057, #2989

## Проверка замером 2026-08-23: прокси в порядке, Telegram решается закреплением адреса ### ✅ Прокси: IP-привязки нет, переезд их не трогает Прогнал все четыре узла `scrape_proxies` **с обоих хостов** — URL нигде не печатался. | Узел | С Beget | С Poincare | |---|---|---| | `asocks-residential-1` | 200, exit `212.8.249.134`, 0.82 с | 200, тот же exit, **0.52 с** | | `asocks-mobile-1` | 200, exit `190.2.145.131`, 3.28 с | 200, тот же exit, **0.81 с** | | `asocks-mobile-2` | 200, exit `175.110.115.153`, 1.76 с | 200, тот же exit, **1.71 с** | | `asocks-mobile-3` | 200, exit `109.236.82.42`, 1.12 с | 200, тот же exit, **0.69 с** | Exit-IP совпадают, задержки с нового хоста даже ниже. **IP-привязки в кабинете ASocks нет** — опасение из перечня снято замером, а не рассуждением. **Заявление про просроченные подписки не подтвердилось.** `last_ok_at` у всех четырёх — сегодняшние 17:08–17:20, `consecutive_fails=0`, `disabled_reason` пуст. Запись в волте про оплату «до 2026-08-02 с выключенным автопродлением» устарела. Остаётся непроверенным только **`mobileproxy.space`** — он не в `scrape_proxies`, а в отдельной переменной, и именно у него по волту привязка по egress-IP. Его надо проверить отдельно. ### 🔴→🟢 Telegram: не блокировка Selectel, а частичная фильтрация у обоих провайдеров Исходный диагноз «Telegram недостижим с нового хоста» оказался неточным. Замер по семи адресам: | IP | с Beget | с Poincare | |---|---|---| | `149.154.167.220` | 302 (0.17 с) | **302 (0.11 с)** | | `149.154.166.110` ← отдаёт DNS | 302 (0.22 с) | **000** | | `149.154.167.99` | 302 (0.86 с) | 000 | | `149.154.175.100` | 000 | 000 | | `149.154.171.5` | 000 | 000 | | `91.108.4.5` | 000 | 000 | | `91.108.56.130` | 000 | 000 | **Telegram частично фильтруется у обоих провайдеров** — с Beget доступны 3 адреса из 7, с Poincare 1 из 7. Разница только в том, что Beget случайно попадает в тот адрес, который отдаёт резолвер, а Selectel — нет. Это не «Selectel блокирует», и не CA, и не наш файрвол. Через прокси Telegram **не проходит ни с одного узла** (все четыре — `000`): они российские, а Telegram в РФ блокируется. Этот путь закрыт. ### Решение: закрепить `149.154.167.220` Проверено полностью, включая настоящий эндпоинт Bot API: ``` на хосте: curl https://api.telegram.org/ → 302, ip=149.154.167.220, 0.11 с Bot API: /bot<fake>/getMe → {"ok":false,"error_code":401} за 0.11 с (с Beget тот же ответ за 0.25 с — идентично) в контейнере: docker run --add-host api.telegram.org:149.154.167.220 → 302 за 0.125 с стабильность: 5 запросов подряд → 302 302 302 302 302 ``` Закрепление работает и на уровне хоста, и внутри docker — а бот живёт в контейнере, так что это важно. **Что сделать:** - `extra_hosts: ["api.telegram.org:149.154.167.220"]` для `tradein-tgbot` в compose — декларативно, в git, проходит ревью - запись в `/etc/hosts` нового хоста — для скриптов, которые уведомляют не из контейнера (`ops/lib-backup.sh`, `ops/uptime-healthcheck.sh`); на Poincare уже добавлена, бэкап оригинала в `/etc/hosts.bak-tgtest` ### ⚠️ Признаю точку отказа Скан всего `149.154.167.0/24` с Poincare дал **ровно один живой адрес**. Запасного нет. Если `149.154.167.220` перестанет отвечать — бот умрёт так же молча, как умер бы без закрепления. Хуже того, канал оповещения об этом **сам идёт через Telegram**: алерты бэкапов (`ops/lib-backup.sh`) и uptime-нотификации ходят туда же. Поломка скрывает сама себя. **Поэтому закрепление адреса — необходимое, но не достаточное.** Нужен независимый канал оповещения. Кандидат проверен: `smtp.beget.com:465` с Poincare **OPEN** (587 закрыт, 25 открыт). Либо событие в GlitchTip, который остаётся на Beget и доступен по имени. ### Обновление приёмки - [x] Прокси проверены с нового хоста — IP-привязки нет, переезд их не ломает - [x] Подписки прокси: заявление о просрочке опровергнуто, все узлы живые - [x] Telegram: причина установлена, решение проверено до эндпоинта Bot API - [ ] `extra_hosts` для `tradein-tgbot` внесён в compose - [ ] Независимый от Telegram канал алертов (почта через :465 либо GlitchTip) - [ ] `mobileproxy.space` проверен отдельно — у него привязка по egress-IP Refs #3057, #2989

lekss361 commented

2026-08-23 20:27:21 +00:00

Author

Owner

Решение владельца 2026-08-23: `mobileproxy.space` не используем, остаётся только ASocks

Пункт про привязку egress-IP в кабинете mobileproxy.space снимается — провайдер выводится из употребления. Прокси-риск переезда закрыт полностью.

Что это значит по фактам замера:

Все четыре узла ASocks проверены с обоих хостов и работают одинаково, с теми же exit-IP: 212.8.249.134, 190.2.145.131, 175.110.115.153, 109.236.82.42. С Poincare задержки даже ниже.
IP-привязки у ASocks нет — авторизация логином-паролем в URL. Площадки видят exit-IP прокси, а не наш сервер, поэтому смена адреса для них нейтральна.
Подписки живы: last_ok_at сегодняшние, consecutive_fails=0, disabled_reason пуст.

Единственная остававшаяся привязка по IP из всего перечня — снята решением, а не обходом. Ничего чинить не нужно.

Побочное следствие, которое стоит держать в голове: у camoufox/Playwright структурная причина, по которой раньше выбирали mobileproxy — он не умеет authenticated SOCKS5, поэтому там была авторизация по IP. Отказ от провайдера означает, что браузерный скрапинг должен ходить через HTTP-прокси ASocks (SCRAPER_PROXY_URL), как и остальной сбор. Если где-то в коде остался путь, завязанный на SOCKS5 без авторизации, он станет мёртвым — проверить при первом же прогоне браузерного сбора после переезда.

Обновление приёмки

~~mobileproxy.space: egress-IP в кабинете обновлён на новый~~ — провайдер не используется
Подписки прокси проверены — все узлы живые
Прокси проверены с нового хоста — привязки нет

Остаётся из этого перечня:

extra_hosts для Telegram (в работе)
Независимый от Telegram канал алертов
Crontab разведён между хостами
Чем обновлять /opt/gendesign на Beget после смены DEPLOY_HOST
Caddyfile разведён по хостам
fail2ban/ufw на Beget знают новый адрес
Зоопарк: панель Timeweb, certbot, внешние пуши
После переезда: проба НСПД и ДОМ.РФ с брейкером, лимит Nominatim

Refs #3057

## Решение владельца 2026-08-23: `mobileproxy.space` не используем, остаётся только ASocks Пункт про привязку egress-IP в кабинете `mobileproxy.space` **снимается** — провайдер выводится из употребления. Прокси-риск переезда закрыт полностью. Что это значит по фактам замера: - Все четыре узла ASocks проверены **с обоих хостов** и работают одинаково, с теми же exit-IP: `212.8.249.134`, `190.2.145.131`, `175.110.115.153`, `109.236.82.42`. С Poincare задержки даже ниже. - **IP-привязки у ASocks нет** — авторизация логином-паролем в URL. Площадки видят exit-IP прокси, а не наш сервер, поэтому смена адреса для них нейтральна. - Подписки живы: `last_ok_at` сегодняшние, `consecutive_fails=0`, `disabled_reason` пуст. **Единственная остававшаяся привязка по IP из всего перечня — снята решением, а не обходом.** Ничего чинить не нужно. Побочное следствие, которое стоит держать в голове: у `camoufox`/Playwright структурная причина, по которой раньше выбирали mobileproxy — он не умеет authenticated SOCKS5, поэтому там была авторизация по IP. Отказ от провайдера означает, что браузерный скрапинг должен ходить через HTTP-прокси ASocks (`SCRAPER_PROXY_URL`), как и остальной сбор. Если где-то в коде остался путь, завязанный на SOCKS5 без авторизации, он станет мёртвым — проверить при первом же прогоне браузерного сбора после переезда. ### Обновление приёмки - [x] ~~`mobileproxy.space`: egress-IP в кабинете обновлён на новый~~ — провайдер не используется - [x] Подписки прокси проверены — все узлы живые - [x] Прокси проверены с нового хоста — привязки нет Остаётся из этого перечня: - [ ] `extra_hosts` для Telegram (в работе) - [ ] Независимый от Telegram канал алертов - [ ] Crontab разведён между хостами - [ ] Чем обновлять `/opt/gendesign` на Beget после смены `DEPLOY_HOST` - [ ] `Caddyfile` разведён по хостам - [ ] fail2ban/ufw на Beget знают новый адрес - [ ] Зоопарк: панель Timeweb, certbot, внешние пуши - [ ] После переезда: проба НСПД и ДОМ.РФ с брейкером, лимит Nominatim Refs #3057

bot-backend referenced this issue from a commit

2026-08-23 20:32:52 +00:00

fix(ops): закрепить рабочий адрес api.telegram.org на новом хосте

IP	HTTPS	время
149.154.166.110	`000`	таймаут 8 с
149.154.167.220	302	0.12 с
149.154.175.50	`000`	таймаут 8 с
91.108.56.130	`000`	таймаут 8 с

Проверка	Результат
Резолв `api.telegram.org` (12 подряд, хост)	12 из 12 → `149.154.167.220` — тот ДЦ, который отвечает
Резолв из контейнера `tradein-tgbot` (6 подряд)	6 из 6 → тот же `.220`
HTTPS-запросы из контейнера бота	10 успешных из 10 (302 за 0.11 с)
Контейнер бота	`Up`, restarts=0

Хост	Обслуживаемые домены
Beget	`git`, `errors`, `obsidian`, `metrics` (+`garmin`) — только инфраструктура, верно
Poincare	`gendsgn.ru`, `www`, `merahome`, `meraocenka`, `meraotsenka` + `git`, `errors`, `obsidian`, `metrics`

Сертификат на Poincare	Окно обновления
`obsidian.gendsgn.ru`	06–08.09.2026
`git.gendsgn.ru`	12–14.09.2026
`metrics.gendsgn.ru`	24–26.10.2026

`CADDY_SITES`	результат
`apps`	Valid configuration
`infra`	Valid configuration
`*` (сегодняшний)	Valid configuration

файл	домены
`apps.caddy`	`gendsgn.ru`, `www.gendsgn.ru`, `meraocenka.ru`, `merahome.ru`, `meraotsenka.ru` + три `www.mera*` (добавлены сегодня в #3137)
`infra.caddy`	`git`, `errors`, `metrics`, `obsidian`

что	где
контейнер `garmin-mcp`	Beget, `Up 9 days (healthy)`
A-запись	Beget (46.173.16.127)
site-блок `caddy/local/garmin.caddy`	Beget, смонтирован в контейнер Caddy
сертификат Let's Encrypt	Beget, `/data/caddy/certificates/…/garmin.gendsgn.ru`

Rows
Columns

Переезд: перечень интеграций, привязанных к IP 46.173.16.127 — что ломается молча #3059

🔴 БЛОКЕР: Telegram недостижим с нового хоста

🔴 Провайдер прокси с привязкой по IP

🟠 Ломается от смены хоста, не от IP

🟡 Второй периметр: зоопарк с 94.228.121.73

✅ Проверено и НЕ ломается — снято с учёта

🟢 Что переезд, наоборот, чинит

Почта

Приёмка

Проверка замером 2026-08-23: прокси в порядке, Telegram решается закреплением адреса

✅ Прокси: IP-привязки нет, переезд их не трогает

🔴→🟢 Telegram: не блокировка Selectel, а частичная фильтрация у обоих провайдеров

Решение: закрепить 149.154.167.220

⚠️ Признаю точку отказа

Обновление приёмки

Решение владельца 2026-08-23: mobileproxy.space не используем, остаётся только ASocks

Обновление приёмки

Закрыто

В работе

Остаётся

Проверка Beget — чисто

А вот Poincare — реальный риск

Почему это опасно именно в окне

Что сделать — одна строка, но до окна

Побочно замеченное

Обновление списка

Перепроверка блокера по Telegram уже ПОСЛЕ переезда (2026-08-26 05:55 UTC)

Подтверждено: три дата-центра из четырёх с Poincare недостижимы

Новое: резолверы расходятся, и это сейчас спасает бота

Но работает с потерями — 106 таймаутов за сутки

Что это меняет для окна 30.08

Поправка к моему же комментарию в #3057

Второй пункт перечня — про прокси — проверить пока нечем

Перепроверка трёх пунктов приёмки на живых хостах, 26.08

🔴 → 🟡 Telegram: блокер в исходной формулировке не воспроизводится

✅ Crontab разведён — пункт закрыт, проверено на обоих хостах

⚠️ Caddy: механизм на месте, но переключён только наполовину — и у этого есть дата

Обновление приёмки

Проверил разделение CADDY_SITES заранее — работает, но нашёл один домен, который выпадает из схемы

Текущее состояние прода

Проверка конфига — все три режима валидны

Сверка покрытия — ни один домен из sites/ не теряется

🟡 garmin.gendsgn.ru из этой схемы выпадает — и, похоже, уже сломан

Поправка к моему предыдущему комментарию: garmin.gendsgn.ru не сломан, решать нечего

Что при этом оказалось не зря

Решение: закрепить `149.154.167.220`

Решение владельца 2026-08-23: `mobileproxy.space` не используем, остаётся только ASocks

Проверил разделение `CADDY_SITES` заранее — работает, но нашёл один домен, который выпадает из схемы

Сверка покрытия — ни один домен из `sites/` не теряется

🟡 `garmin.gendsgn.ru` из этой схемы выпадает — и, похоже, уже сломан

Поправка к моему предыдущему комментарию: `garmin.gendsgn.ru` не сломан, решать нечего