diff --git a/deploy/PRODUCTION-ROUTEROS-274.md b/deploy/PRODUCTION-ROUTEROS-274.md new file mode 100644 index 00000000..162e5298 --- /dev/null +++ b/deploy/PRODUCTION-ROUTEROS-274.md @@ -0,0 +1,78 @@ +# Production274 — отключение FTP/Telnet и наблюдение (2026-10-16) + +Владелец явно разрешил отключить FTP и Telnet на `nov-gw01.rtnt.top`. +Предыдущая диагностика: [Production273](PRODUCTION-ROUTEROS-273.md). + +## Изменение + +Перед записью проверены server ID3/host, единственность статических служб, +их ID, порты21/23 и исходный disabled=false. Поочерёдно применено только +`disabled=true`: + +| Служба | ID | До | После | Время UTC 2026-10-15 | +| --- | --- | --- | --- | --- | +| ftp | *1 | false | true | 18:33:45.013 | +| telnet | *0 | false | true | 18:33:45.322 | + +Повторное чтение18:33:45.582 UTC подтвердило обе службы выключенными. +Это **2026-10-16 01:33:45 по Новосибирску**. +www80/www-ssl443/winbox8291/api8728/api-ssl8729 остались disabled=false, +как до операции. REST identity подтвердил имя устройства; resource —7.24.4 stable, +uptime10h28m24s, без перезапуска. + +Пароль, пользователи, firewall, маршруты, локальные задания RouterOS, контейнеры +и приложение не изменялись. Локальная правка подсказок273 не развёртывалась. + +## Метод наблюдения + +Штатные задания продолжают работать с прежними интервалами. Диагностический +процесс раз в минуту только читает scheduler_runs и RouterOS log; дополнительных +запусков заданий/нагрузочных тестов нет. Подсчитываются ok/error после18:33:45.582 UTC +для traffic, gre_bgp, internet_path, uptime_resources. Журнал логинов проверяется +с продвижением по ID и контролем перекрытия кольцевого буфера, без вывода секретов. + +## Итог наблюдения + +Окончание:2026-10-15 18:54:44 UTC /2026-10-16 01:54:44 по Новосибирску, +почти21 минута после применения. После изменения в scheduler_runs: + +| Задание | Успешно | Ошибки | Максимальная длительность | +| --- | --- | --- | --- | +| traffic | 42 | 0 | 2278мс | +| gre_bgp | 42 | 0 | 910мс | +| internet_path | 4 | 0 | 809мс | +| uptime_resources | 84 | 0 | 1937мс | + +Итоговое чтение: статические ftp/telnet disabled=true; www/www-ssl/winbox/api/api-ssl +остались включены. Identity/REST работает, RouterOS7.24.4 stable, +uptime10h49m22s — перезапуска не было. В списке остаются6 динамических строк Telnet; +отключение службы не доказывает завершение всех прежних соединений. Другие службы, +соединения и firewall принудительно не менялись. + +В18:55:47 UTC проверено новое TCP-подключение с production backend к имени +устройства:21 и23 вернули ECONNREFUSED. Новые подключения к этим портам отклоняются. + +В наблюдавшихся новых логах нет отказов FTP/Telnet, но есть2 отказа Winbox. +Их источники не были сохранены: не объявлять эти2 события доказанным внешним +подбором. Кольцо RouterOS переполнялось scheduler-изменениями; обнаружено4 пропуска +перекрытия, поэтому отсутствие FTP/Telnet failures не доказано для всего интервала. +Статистика scheduler_runs этим ограничением не затронута. + +Изменение служб само по себе не доказывает причину предыдущих401/500: они +прекратились ещё до операции. Зафиксировано отсутствие повторения после отключения, +а не гарантированное устранение первопричины. Автоматический сбор наблюдений завершён. + +## Восстановление исходного состояния + +Владелец отдельно подтвердил: **«Оставить FTP и Telnet выключенными»**. +После наблюдения службы не включать обратно. При необходимости отдельного отката: +повторно проверить host, имена/ID, вернуть disabled=false только ftp/telnet и +сверить чтением. Других изменений конфигурации этим блоком не выполнять. + +## Дополнительный вопрос о PostgreSQL + +По вопросу владельца выполнена только читающая проверка production PostgreSQL: +pg_is_in_recovery=false, wal_level=replica, pg_stat_replication count=0, +pg_replication_slots count=0, pg_subscription count=0, synchronous_standby_names +пустой. В конфигурации проекта один PostgreSQL и один DATABASE_URL backend. +Активная физическая/логическая репликация не обнаружена; параметры БД не менялись. diff --git a/docs/ux-ui-progress.md b/docs/ux-ui-progress.md index 7ea6df41..f29a6ec4 100644 --- a/docs/ux-ui-progress.md +++ b/docs/ux-ui-progress.md @@ -1,6 +1,6 @@ # UX/UI: журнал реализации -Продолжение 2026-10-16: Production273 — исследованы500/401 nov-gw01; сохранённый пароль работает. Наблюдаются внешний подбор через FTP/Telnet и насыщение входа RouterOS; причинная связь пока не доказана. Подсказки исправлены локально, production без изменений. Контролируемое отключение FTP/Telnet ожидает отдельного разрешения. +Продолжение 2026-10-16: Production274 — по разрешению владельца на nov-gw01 выключены FTP/Telnet и оставлены выключенными по отдельному подтверждению. За21 минуту штатного опроса42 traffic/42 gre_bgp/4 internet_path/84 uptime_resources успешны, ошибок нет; новые подключения21/23 отклоняются. Причинная связь прошлых401/500 с подбором пока не доказана. Приложение/пароли/firewall не менялись; подсказки273 остаются локальными. Актуальное состояние 2026-10-16: Production272 — исправления268/270/271 опубликованы в main, CI2468 success, production backend/frontend обновлены до2.0.2 и healthy. В HTTP/UI подтверждены рекурсивные маршруты всех3 JH; Filters без ложного missing-route warning;4 узла карты и новая легенда. PostgreSQL не перезапускался. Read-only DNS и дальнейшая проверка трафика остаются отдельными задачами. @@ -42,6 +42,14 @@ | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 | | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Завершён2026-10-15 в границах предоставленного стенда:1396 UI/221 context,120 live states30 экранов, production builds/ReUI checklist и реальные интеграции. Ограничения — в [акте](ux-ui-acceptance-candidate.md); production-выпуск не выполнялся. | +## Production274 — отключение FTP/Telnet и наблюдение (2026-10-16) + +После явного разрешения владельца на ID3/nov-gw01 повторно проверены службы ftp*1/21 и telnet*0/23, затем16 октября01:33:45 по Новосибирску применено только disabled=true. Повторное чтение подтвердило результат; www/www-ssl/winbox/api/api-ssl сохранены включёнными. Владелец отдельно подтвердил оставить FTP/Telnet выключенными. Пароли, firewall, маршрутизация, задания RouterOS и контейнеры не менялись. + +До01:54:44 наблюдался обычный опрос:42 traffic/42 gre_bgp/4 internet_path/84 uptime_resources успешны, ошибок0; максимальные длительности2278/910/809/1937мс. Финальный REST и uptime подтверждают доступность без перезапуска. На01:55:47 новые TCP-подключения21/23 получили ECONNREFUSED. Остаются6 старых динамических Telnet строк: принудительное завершение соединений не выполнялось. В выборках логов2 отказа Winbox с несохранёнными источниками;4 пропуска кольца из-за scheduler-изменений, поэтому непрерывное отсутствие атак не утверждается. Ошибки401/500 прекратились ещё до отключения; причинная связь не доказана. Наблюдение завершено, фоновых диагностических циклов не осталось. + +По дополнительному вопросу владельца проверена production PostgreSQL только чтением: standby=false, wal_level=replica, подключённых реплик/slots/subscriptions0, synchronous_standby_names пустой. Репликация в конфигурации проекта и активном состоянии не обнаружена. [Процедура, результат и откат](../deploy/PRODUCTION-ROUTEROS-274.md). Документация сохраняется локальным коммитом, без push/deploy; исправление подсказок273 не развёрнуто. + ## Production273 — диагностика отказов входа RouterOS (2026-10-16) На nov-gw01 подтверждены соседние500 `too many concurrent logins (6)` и401; последние в01:11:40–44 по Новосибирску. Тот же сохранённый пароль работает, full/api/rest-api разрешены. На01:27 последние15 минут: traffic30/30, gre_bgp30/30, internet_path3/3 успешны. Наблюдаются внешние попытки входа через открытые FTP/Telnet и7 внешних Telnet-соединений, а также частые изменения от локального evofw-sync. Их причинная связь с отказами пока не доказана; насыщение входа нельзя приравнивать к max-sessions20 или старым user/active записям. Production, RouterOS и пароли не менялись.