project/docs/server-setup.md

# Сервер EX44 — настройка и шпаргалка

Дата настройки: 12–13 сентября 2026

---

## 1. Железо и доступ

| Параметр | Значение |
|---|---|
| Сервер | Hetzner EX44-1-LTD #3027839, FSN1-DC11 |
| IP | 148.251.86.143 |
| IPv6 | 2a01:4f8:202:619e::/64 |
| CPU / RAM | i5-13500 (20 потоков) / 64 ГБ non-ECC |
| Диски | 2 × 512 ГБ NVMe, softraid1 |
| Hostname | recada |

Вход только по SSH-ключу `denis-laptop` (ed25519, `C:\Users\Lenovo\.ssh\id_ed25519`).
Пароль root отключён, вход по паролю запрещён.

```
ssh root@10.10.0.1        # через туннель
ssh recada@10.10.0.1      # рабочий пользователь, sudo без пароля
ssh root@148.251.86.143   # напрямую, если туннель не поднят
```

---

## 2. ОС и разметка

Debian 13 (trixie), установлен через `installimage` из rescue.

Команда установки (на случай переустановки):

```bash
installimage -a -n recada \
  -r yes -l 1 \
  -i /root/images/Debian-1305-trixie-amd64-base.tar.zst \
  -p /boot/efi:esp:256M,/boot:ext3:1024M,lvm:vg0:all \
  -v vg0:root:/:ext4:60G,vg0:swap:swap:swap:8G,vg0:srv:/srv:ext4:300G
```

| Том | Размер | Назначение |
|---|---|---|
| /boot/efi (md0) | 256 МБ | загрузчик |
| /boot (md1) | 1 ГБ | ядра |
| vg0-root | 60 ГБ | система |
| vg0-swap | 8 ГБ | swap |
| vg0-srv | 300 ГБ | Gitea, LFS, библиотека, данные |
| свободно в vg0 | ~106 ГБ | запас, снапшоты |

Всё зеркалируется RAID1, полезная ёмкость 476 ГБ.
Состояние зеркала: `cat /proc/mdstat`

---

## 3. Защита

- **nftables** — политика `input drop`; наружу открыты только `22/tcp` и `51820/udp`, всё остальное доступно только через интерфейс `wg0`. Конфиг `/etc/nftables.conf`
- **fail2ban** на sshd: 5 попыток, бан 1 час
- **unattended-upgrades** включены
- Часовой пояс Europe/Berlin

Посмотреть правила: `nft list ruleset`

---

## 4. WireGuard

| | |
|---|---|
| Сеть | 10.10.0.0/24 |
| Сервер | 10.10.0.1, порт 51820 |
| Ноутбук Дениса | 10.10.0.2, туннель `recada` в WireGuard for Windows |

Конфиг сервера: `/etc/wireguard/wg0.conf`, ключи в `/etc/wireguard/server.key` и `server.pub`.

**Добавить нового человека:**

1. Он ставит WireGuard, создаёт пустой туннель, присылает свой публичный ключ
2. На сервере:
```bash
wg set wg0 peer '<публичный ключ клиента>' allowed-ips 10.10.0.N/32
wg-quick save wg0
```
3. Ему в конфиг:
```
[Interface]
PrivateKey = <его приватный, остаётся у него>
Address = 10.10.0.N/24

[Peer]
PublicKey = VS3t539TeMEtjN1ZAG0Rv9N64JtUbi0KE0Rx7a0ht3Y=
Endpoint = 148.251.86.143:51820
AllowedIPs = 10.10.0.0/24
PersistentKeepalive = 25
```

Проверка: `wg show` на сервере, `ping 10.10.0.1` с клиента.

---

## 5. Gitea

| | |
|---|---|
| Версия | 1.27.3 |
| Бинарник | `/usr/local/bin/gitea` |
| Конфиг | `/etc/gitea/app.ini` (владелец `git`, права 660) |
| Данные | `/srv/gitea` |
| База | SQLite |
| LFS | включён, `/srv/gitea/data/lfs` |
| Веб | http://10.10.0.1:3000 — **только в туннеле** |
| systemd | `/etc/systemd/system/gitea.service` |

Регистрация закрыта. Админ: `denis`, dk@recada.de.
SSH для git идёт через системный sshd под пользователем `git` (`START_SSH_SERVER = false`), ключи — в `/home/git/.ssh/authorized_keys`, управляет ими сама Gitea.

Полезное:
```bash
systemctl status gitea
journalctl -u gitea -n 30 --no-pager
systemctl restart gitea
```

### Репозиторий

`recada/project` — приватный, залит из `C:\CAD COWORK` 13.09.2026.
Первый коммит: 38 файлов, 13 объектов в LFS (5.7 МБ — STEP и PDF).

Подключение с нового компьютера:
```
git lfs install
git clone git@10.10.0.1:recada/project.git
```

LFS настроен через `.gitattributes` проекта: `*.step, *.stp, *.stl, *.glb, *.pdf`.
`*.FCStd` помечен фильтром `zippey` — сам фильтр ещё не установлен, .FCStd в репозитории пока нет.

---

## 6. Что дальше

1. **Бэкапы** на Hetzner Storage Box (restic по расписанию) + проверка восстановления — сейчас на сервере единственная копия репозитория, RAID1 от `rm -rf` не спасает
2. **Python-ядро**: venv, OCP 7.9.3, build123d, recada.py под systemd, доступ только в туннеле
3. **CI** «params → STEP+GLB» и ночная регрессия по `library/`
4. **Сетевая папка** — Samba в туннеле, работа с файлами из проводника
5. **zippey** для читаемых диффов .FCStd
6. **Kasm CE** и egress-файрвол — когда дойдёт до удалённых инженеров

---

## 7. Грабли, на которые уже наступили

- Большие пасты конфигов через PowerShell/SSH рвутся — heredoc склеивается, файл получается битым. Лучше короткие куски или редактор на сервере.
- Gitea падает при старте, если не может дописать в `app.ini` свои секреты (JWT для oauth2 и для LFS). Решение: владелец файла `git`, права 660.
- `[server].LFS_CONTENT_PATH` устарел — правильно `[lfs] PATH`.
- Ключ в Gitea сохраняется только после нажатия кнопки «Добавить ключ». Пустой `/home/git/.ssh/authorized_keys` = ключ не добавлен.
- Host key меняется трижды: rescue → установленная система → доступ по адресу туннеля. Каждый раз `ssh-keygen -R <адрес>`; отпечаток rescue сверяется в Robot, вкладка Rescue → «Show data of last activation».
- `git init` выполняется в текущей папке — сначала `cd /d "C:\CAD COWORK"`, потом всё остальное.

---

## 8. Что где выполнять

| Приглашение | Где ты | Какие команды |
|---|---|---|
| `C:\...>` | Windows, cmd | `cd /d`, `rmdir /S /Q`, git |
| `PS C:\...>` | Windows, PowerShell | `Set-Location`, `Remove-Item`, git, ssh |
| `root@recada ~ #` | сервер, root | всё Linux |
| `recada@recada:~$` | сервер, рабочий пользователь | Linux, через `sudo` |