protect/optimize: лог анти-скана 5/сек против journald SystemMaxUse=300M — на публичной ноде журнал живёт меньше суток #35

Что происходит

Два дефолта тулкита, заданные ОДНИМ И ТЕМ ЖЕ модульным набором, конфликтуют по объёму:

• protect.sh:675 логирует анти-скан с лимитом 5 записей в секунду:
  ... ct state new limit rate 5/second log prefix "[na portscan] " level info
• optimize.sh («journald (ограничение логов)») ставит SystemMaxUse=300M.

5/с — это до 432 000 строк в сутки (~50 МБ). На ноде, которую активно сканируют, [na portscan] вытесняет из journald всё остальное, и глубина журнала падает ниже суток. Разбор любого инцидента старше вчерашнего дня становится невозможен — а на Debian 13 minimal, где нет ни rsyslog, ни wtmp, journald это ЕДИНСТВЕННЫЙ источник истории входов.

Наблюдалось

2026-09-02, флот из 8 хостов (v4.0.1, SystemMaxUse=300M везде, все ребутнуты 31.08 ~18:30 UTC):

Зависимость прямая: чем доступнее нода снаружи, тем короче её память. На us1, где скан до порта просто не доходит, журнал живёт месяц с лишним при том же кап-лимите.

Почему это именно дефект тулкита, а не «так и надо»

Оба параметра ставит тулкит, и он же обещает в diagnose сенсоры по логам. Сейчас он одной рукой включает поток на 50 МБ/сутки, другой ограничивает хранилище тремя сотнями мегабайт — и не предупреждает, что вместе это даёт ретеншен меньше суток. Оператор узнаёт об этом, только когда лезет за историей и не находит её.

Предлагаемый фикс

1. Понизить дефолт лога анти-скана до 5/minute (или 1/second с burst) — для «увидеть, что скан идёт», этого более чем достаточно: сам бан работает по счётчикам сета, а не по строкам лога. Вынести в knob PORTSCAN_LOG_RATE (по аналогии с уже существующими PORTSCAN_RATE/PORTSCAN_BURST).
2. Считать бюджет журнала: при ENABLE_PORTSCAN_BAN=1 оценить PORTSCAN_LOG_RATE × 86400 × ~120 Б и, если это больше ~30 % от SystemMaxUse, печатать warn с обоими числами и предложением поднять кап или снизить рейт.
3. Сенсор в diagnose: «журнал вмещает менее N часов» (по разнице между самой старой записью и now) — сейчас есть только сенсор лог-флуда по объёму, а ретеншен во времени, который и важен для форензики, не измеряется.