chore(docs): сохранить результат отключения небезопасных служб

2026-10-16 01:56:22 +07:00
1 parent 25ae76dc3f
commit ef229ca9c4
@@ -0,0 +1,78 @@
+# Production274 — отключение FTP/Telnet и наблюдение (2026-10-16)
+
+Владелец явно разрешил отключить FTP и Telnet на `nov-gw01.rtnt.top`.
+Предыдущая диагностика: [Production273](PRODUCTION-ROUTEROS-273.md).
+
+## Изменение
+
+Перед записью проверены server ID3/host, единственность статических служб,
+их ID, порты21/23 и исходный disabled=false. Поочерёдно применено только
+`disabled=true`:
+
+| Служба | ID | До | После | Время UTC 2026-10-15 |
+| --- | --- | --- | --- | --- |
+| ftp | *1 | false | true | 18:33:45.013 |
+| telnet | *0 | false | true | 18:33:45.322 |
+
+Повторное чтение18:33:45.582 UTC подтвердило обе службы выключенными.
+Это **2026-10-16 01:33:45 по Новосибирску**.
+www80/www-ssl443/winbox8291/api8728/api-ssl8729 остались disabled=false,
+как до операции. REST identity подтвердил имя устройства; resource —7.24.4 stable,
+uptime10h28m24s, без перезапуска.
+
+Пароль, пользователи, firewall, маршруты, локальные задания RouterOS, контейнеры
+и приложение не изменялись. Локальная правка подсказок273 не развёртывалась.
+
+## Метод наблюдения
+
+Штатные задания продолжают работать с прежними интервалами. Диагностический
+процесс раз в минуту только читает scheduler_runs и RouterOS log; дополнительных
+запусков заданий/нагрузочных тестов нет. Подсчитываются ok/error после18:33:45.582 UTC
+для traffic, gre_bgp, internet_path, uptime_resources. Журнал логинов проверяется
+с продвижением по ID и контролем перекрытия кольцевого буфера, без вывода секретов.
+
+## Итог наблюдения
+
+Окончание:2026-10-15 18:54:44 UTC /2026-10-16 01:54:44 по Новосибирску,
+почти21 минута после применения. После изменения в scheduler_runs:
+
+| Задание | Успешно | Ошибки | Максимальная длительность |
+| --- | --- | --- | --- |
+| traffic | 42 | 0 | 2278мс |
+| gre_bgp | 42 | 0 | 910мс |
+| internet_path | 4 | 0 | 809мс |
+| uptime_resources | 84 | 0 | 1937мс |
+
+Итоговое чтение: статические ftp/telnet disabled=true; www/www-ssl/winbox/api/api-ssl
+остались включены. Identity/REST работает, RouterOS7.24.4 stable,
+uptime10h49m22s — перезапуска не было. В списке остаются6 динамических строк Telnet;
+отключение службы не доказывает завершение всех прежних соединений. Другие службы,
+соединения и firewall принудительно не менялись.
+
+В18:55:47 UTC проверено новое TCP-подключение с production backend к имени
+устройства:21 и23 вернули ECONNREFUSED. Новые подключения к этим портам отклоняются.
+
+В наблюдавшихся новых логах нет отказов FTP/Telnet, но есть2 отказа Winbox.
+Их источники не были сохранены: не объявлять эти2 события доказанным внешним
+подбором. Кольцо RouterOS переполнялось scheduler-изменениями; обнаружено4 пропуска
+перекрытия, поэтому отсутствие FTP/Telnet failures не доказано для всего интервала.
+Статистика scheduler_runs этим ограничением не затронута.
+
+Изменение служб само по себе не доказывает причину предыдущих401/500: они
+прекратились ещё до операции. Зафиксировано отсутствие повторения после отключения,
+а не гарантированное устранение первопричины. Автоматический сбор наблюдений завершён.
+
+## Восстановление исходного состояния
+
+Владелец отдельно подтвердил: **«Оставить FTP и Telnet выключенными»**.
+После наблюдения службы не включать обратно. При необходимости отдельного отката:
+повторно проверить host, имена/ID, вернуть disabled=false только ftp/telnet и
+сверить чтением. Других изменений конфигурации этим блоком не выполнять.
+
+## Дополнительный вопрос о PostgreSQL
+
+По вопросу владельца выполнена только читающая проверка production PostgreSQL:
+pg_is_in_recovery=false, wal_level=replica, pg_stat_replication count=0,
+pg_replication_slots count=0, pg_subscription count=0, synchronous_standby_names
+пустой. В конфигурации проекта один PostgreSQL и один DATABASE_URL backend.
+Активная физическая/логическая репликация не обнаружена; параметры БД не менялись.
@@ -1,6 +1,6 @@
 # UX/UI: журнал реализации

-Продолжение 2026-10-16: Production273 — исследованы500/401 nov-gw01; сохранённый пароль работает. Наблюдаются внешний подбор через FTP/Telnet и насыщение входа RouterOS; причинная связь пока не доказана. Подсказки исправлены локально, production без изменений. Контролируемое отключение FTP/Telnet ожидает отдельного разрешения.
+Продолжение 2026-10-16: Production274 — по разрешению владельца на nov-gw01 выключены FTP/Telnet и оставлены выключенными по отдельному подтверждению. За21 минуту штатного опроса42 traffic/42 gre_bgp/4 internet_path/84 uptime_resources успешны, ошибок нет; новые подключения21/23 отклоняются. Причинная связь прошлых401/500 с подбором пока не доказана. Приложение/пароли/firewall не менялись; подсказки273 остаются локальными.

 Актуальное состояние 2026-10-16: Production272 — исправления268/270/271 опубликованы в main, CI2468 success, production backend/frontend обновлены до2.0.2 и healthy. В HTTP/UI подтверждены рекурсивные маршруты всех3 JH; Filters без ложного missing-route warning;4 узла карты и новая легенда. PostgreSQL не перезапускался. Read-only DNS и дальнейшая проверка трафика остаются отдельными задачами.

@@ -42,6 +42,14 @@
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Завершён в границах локальной приёмки 2026-10-03; ограничения и evidence в11Б.7 |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Завершён2026-10-15 в границах предоставленного стенда:1396 UI/221 context,120 live states30 экранов, production builds/ReUI checklist и реальные интеграции. Ограничения — в [акте](ux-ui-acceptance-candidate.md); production-выпуск не выполнялся. |

+## Production274 — отключение FTP/Telnet и наблюдение (2026-10-16)
+
+После явного разрешения владельца на ID3/nov-gw01 повторно проверены службы ftp*1/21 и telnet*0/23, затем16 октября01:33:45 по Новосибирску применено только disabled=true. Повторное чтение подтвердило результат; www/www-ssl/winbox/api/api-ssl сохранены включёнными. Владелец отдельно подтвердил оставить FTP/Telnet выключенными. Пароли, firewall, маршрутизация, задания RouterOS и контейнеры не менялись.
+
+До01:54:44 наблюдался обычный опрос:42 traffic/42 gre_bgp/4 internet_path/84 uptime_resources успешны, ошибок0; максимальные длительности2278/910/809/1937мс. Финальный REST и uptime подтверждают доступность без перезапуска. На01:55:47 новые TCP-подключения21/23 получили ECONNREFUSED. Остаются6 старых динамических Telnet строк: принудительное завершение соединений не выполнялось. В выборках логов2 отказа Winbox с несохранёнными источниками;4 пропуска кольца из-за scheduler-изменений, поэтому непрерывное отсутствие атак не утверждается. Ошибки401/500 прекратились ещё до отключения; причинная связь не доказана. Наблюдение завершено, фоновых диагностических циклов не осталось.
+
+По дополнительному вопросу владельца проверена production PostgreSQL только чтением: standby=false, wal_level=replica, подключённых реплик/slots/subscriptions0, synchronous_standby_names пустой. Репликация в конфигурации проекта и активном состоянии не обнаружена. [Процедура, результат и откат](../deploy/PRODUCTION-ROUTEROS-274.md). Документация сохраняется локальным коммитом, без push/deploy; исправление подсказок273 не развёрнуто.
+
 ## Production273 — диагностика отказов входа RouterOS (2026-10-16)

 На nov-gw01 подтверждены соседние500 `too many concurrent logins (6)` и401; последние в01:11:40–44 по Новосибирску. Тот же сохранённый пароль работает, full/api/rest-api разрешены. На01:27 последние15 минут: traffic30/30, gre_bgp30/30, internet_path3/3 успешны. Наблюдаются внешние попытки входа через открытые FTP/Telnet и7 внешних Telnet-соединений, а также частые изменения от локального evofw-sync. Их причинная связь с отказами пока не доказана; насыщение входа нельзя приравнивать к max-sessions20 или старым user/active записям. Production, RouterOS и пароли не менялись.