Обслуживание и безопасность
Эта страница переведена сообществом на русский язык, но нуждается в улучшениях. Если вы хотите принять участие в переводе свяжитесь с @alexgton.
Введение
В этом руководстве представлена базовая информация об обслуживании и защите узлов валидатора TON.
В этом документе предполагается, что валидатор установлен с использованием конфигурации и инструментов рекомендованных TON Foundation, н но общие концепции применимы и к другим сценариям и могут быть полезны для опытных системных администраторов.
Техническое обслуживание
Уход за базой данных
Узел TON хранит свою базу данных в пределах пути, указанного флагом --db validator-engine, обычно /var/ton-work/db. Чтобы уменьшить размер базы данных, вы можете уменьшить TTL (время жизни) некоторых сохраненных данных.
Текущие значения TTL можно найти в файле службы узла (путь по умолчанию — /etc/systemd/system/validator.service). Если вы используете MyTonCtrl, вы можете использовать команду installer status. Если какие-либо из значений не установлены, то используются стандартные значения.
archive-ttl
archive-ttl - это параметр, который определяет время жизни для блоков. Стандартное значение — 604800 секунд (7 дней). Вы можете уменьшить это значение для сжатия базы данных.
MyTonCtrl> installer set_node_argument --archive-ttl <value>
Если вы не используете MyTonCtrl, вы можете отредактировать файл службы узла.
state-ttl
state-ttl - это параметр, который определяет время жизни состояний блоков. Значение по умолчанию — 86400 секунд (24 часа). Вы можете уменьшить это значение для сжатия базы данных, но для валидаторов крайне рекомендуется использовать стандартное значение (не устанавливайте флаг).
Также это значение должно быть больше продолжительности периода валидации (значение можно найти в 15-м параметре конфигурации).
MyTonCtrl> installer set_node_argument --state-ttl <value>
Если вы не используете MyTonCtrl, вы можете отредактировать файл службы узла.
Резервное копирование
Самый простой и эффективный способ сделать резервную копию валидатора — скопировать важные файлы конфигурации узла, ключи и настройки mytonctrl:
- Файл конфигурации узла:
/var/ton-work/db/config.json - Закрытый ключ узла:
/var/ton-work/db/keyring - Открытый ключ узла:
/var/ton-work/keys - Конфигурация и кошельки mytonctrl:
$HOME/.local/share/myton*, где $HOME - домашний каталог пользователя, который начал установку mytonctrl или/usr/local/bin/mytoncore, если вы установили mytonctrl как root.
Этот набор — все, что вам нужно для восстановления вашего узла с нуля.
Снимки
Современные файловые системы, такие как ZFS, предлагают функцию снимков, большинство поставщиков облачных услуг также позволяют своим клиентам делать снимки своих машин, во время которых весь диск сохраняется для будущего использования.
Проблема с обоими методами заключается в том, что вы должны остановить узел перед выполнением снимка, невыполнение этого требования, скорее всего, приведет к повреждению базы данных с неожиданными последствиями. Многие поставщики облачных услуг также требуют, чтобы вы выключали машину перед выполнением снимка.
Такие остановки не следует выполнять часто, если вы делаете снимок своего узла раз в неделю, то в худшем случае после восстановления у вас будет узел с недельной базой данных, и вашему узлу потребуется больше времени, чтобы догнать сеть, чем для выполнения новой установки с использованием функции mytonctrl "install from dump" (флаг -d добавляется во время вызова скрипта install.sh).
Аварийное восстановление
Чтобы выполнить восстановление вашего узла на новой машине:
Установите mytonctrl / node
Для самого быстрого запуска узла добавьте ключ -d при вызове скрипта установки.
Переключитесь на пользователя root
sudo -s
Остановите процессы mytoncore и validator
systemctl stop validator
systemctl stop mytoncore
Примените резервные копии файлов конфигурации узла
- Файл конфигурации узла:
/var/ton-work/db/config.json - Закрытый ключ узла:
/var/ton-work/db/keyring - Открытый ключ узла:
/var/ton-work/keys
Установите IP-адрес узла
Если у вашего нового узла другой IP-адрес, то вы должны отредактировать файл конфигурации узла /var/ton-work/db/config.json и установить .addrs[0].ip в десятичное значение нового IP-адреса. Вы можете использовать этот скрипт Python для преобразования вашего IP в десятичное значение.
Убедитесь, что у вас правильные разрешения на использование базы данных
chown -R validator:validator /var/ton-work/db
Примените файлы конфигурации mytonctrl из резервной копии
Замените $HOME/.local/share/myton*, где $HOME - домашний каталог пользователя, который начал установку mytonctrl, на резервную копию содержимого, убедитесь, что пользователь является владельцем всех копируемых файлов.
Запустите процессы mytoncore и validator
systemctl start validator
systemctl start mytoncore
Безопасность
Безопасность на уровне хоста
Безопасность на уровне хоста — это огромная тема, которая выходит за рамки этого документа, однако мы рекомендуем вам никогда не устанавливать mytonctrl под пользователем root, используйте учетную запись службы для обеспечения разделения привилегий.
Безопасность на сетевом уровне
Валидаторы TON — это ценные активы, которые следует защищать от внешних угроз, один из первых шагов, которые вы должны предпринять, — сделать свой узел максимально невидимым, это означает блокировку всех сетевых подключений. На узле валидатора только UDP-порт, используемый для операций узла, должен быть открыт для Интернета.
Инструменты
Мы будем использовать интерфейс брандмауэра ufw, а также JSON процессор для командной строки jq.
Управление сетями
Как оператор узла, вам необходимо сохранить полный контроль и доступ к машине, для этого вам нужен как минимум один фиксированный IP-адрес или диапазон адресов.
Мы также советуем вам настроить небольшой VPS-сервер "jumpstation" с фиксированным IP-адресом, который вы сможете использовать для доступа к заблокированным машинам, если у вас нет фиксированного IP-адреса дома/в офисе, или для добавления альтернативного способа доступа к защищенным машинам в случае потери основного IP-адреса.
Установите ufw и jq1
sudo apt install -y ufw jq
Базовая настройка сетевого фильтра при помощи UFW
sudo ufw default deny incoming; sudo ufw default allow outgoing
Отключение автоматического приема ICMP-запросов
sudo sed -i 's/-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT/#-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT/g' /etc/ufw/before.rules
Включите полный доступ из сетей управления
sudo ufw insert 1 allow from <MANAGEMENT_NETWORK>
повторите указанную выше команду для каждой сети управления/адреса.
Откройте порт UDP узла/валидатора для общего доступа
sudo ufw allow proto udp from any to any port `sudo jq -r '.addrs[0].port' /var/ton-work/db/config.json`
Перепроверьте сети управления
Важно: перед включением брандмауэра дважды проверьте, что вы добавили правильные адреса управления!
Включите брандмауэр ufw
sudo ufw enable
Проверьте состояние
Чтобы проверить состояние брандмауэра, используйте следующую команду:
sudo ufw status numbered
Вот пример вывода заблокированного узла с двумя сетями управления/адресами:
Status: active
To Action From
-- ------ ----
[ 1] Anywhere ALLOW IN <MANAGEMENT_NETWORK_A>/28
[ 2] Anywhere ALLOW IN <MANAGEMENT_NETWORK_B>/32
[ 3] <NODE_PORT>/udp ALLOW IN Anywhere
[ 4] <NODE_PORT>/udp (v6) ALLOW IN Anywhere (v6)
Откройте порт LiteServer
sudo ufw allow proto tcp from any to any port `sudo jq -r '.liteservers[0].port' /var/ton-work/db/config.json`
Обратите внимание, что порт LiteServer не должен быть открыт публично на валидаторе.
Дополнительная информация о UFW
См. это превосходное руководство по ufw от Digital Ocean для получения дополнительной информации о магии ufw.
Переключение IP-адреса
Если вы считаете, что ваш узел подвергся атаке, вам следует рассмотреть возможность смены IP-адреса. Способ переключения зависит от вашего хостинг-провайдера; вы можете предварительно заказать второй адрес, клонировать остановленную виртуальную машину в другой экземпляр или настроить новый экземпляр, выполнив процесс аварийного восстановления.
В любом случае убедитесь, что вы установили свой новый IP-адрес в файле конфигурации узла!