v4.2: защита по аудиту флота — DNAT, CrowdSec scope, na-fw, SYNPROXY, честная диагностика by jestivald · Pull Request #46 · jestivald/node-accelerator

v4.2 (protect): Docker-DNAT под защитой, CrowdSec только на SSH, лог скана на переходах, na-fw, локальные правила, баны переживают ре-ран

jestivald

and

claude

committed

c78b253

v4.2: optimize — сверка sysctl с виновником, резерв портов ноды, RPS/XPS только где нужны, journald 10-*.conf + persistent, без v6-форвардинга, откат runtime без ребута, проверки XanMod; common — d…

jestivald

and

claude

committed

9479427

v4.2: diagnose — дельты счётчиков между запусками, steal окном 3 с, PSI avg60, порты из живых правил, CrowdSec по источникам, 4 слоя whitelist, DNAT мимо na_filter, слушатели вне файрвола, просроче…

jestivald

and

claude

committed

1d64a7c

v4.2: na-report — CrowdSec по строкам raw (не ×33 по "value"), честные events_5m/unique_src_5m рядом с ban_rate_5m, asn_enrichment ok|partial|unavailable, JSON через json_escape

jestivald

and

claude

committed

c9a2754

v4.2: CI — шаги optimize-unit и na-report-unit; README — диагностика и оптимизатор; фрагмент CHANGELOG ветки diag

jestivald

and

claude

committed

0285abb

v4.2 (protect): SYNPROXY — проверка nft_synproxy (модуля nf_synproxy в современных ядрах нет), README/CHANGELOG защитной части

jestivald

and

claude

committed

52f3bbf

Merge branch 'feat/v4.2-diag' into feat/v4.2-protect

jestivald

committed

c4d1587

v4.2: сведение веток protect + diag — CHANGELOG v4.2, NA_VERSION 4.2, NA_REF-примеры

jestivald

and

claude

committed

129d05b

v4.2: по прогону на нодах — исходящие UDP-сокеты xray не «слушатели» и не резервируются; анти-скан на 100% — «ослеп», а не «режет клиентов»

jestivald

and

claude

committed

6535b19

v4.2: diagnose — область CrowdSec по живым правилам (ручное сужение до :22 не ▲; set-only без правил при решениях — ▲)

jestivald

and

claude

committed

11f83ef

v4.2: правки по ревью — CrowdSec scope без падения bouncer'а, na-fw под pipefail, SYNPROXY без обхода лимитов, откат без потери форвардинга, брошенные серты, CI на старых nft и настоящем CrowdSec

jestivald

and

claude

committed

c9fb778

v4.2: по CI — na-fw правит наборы правила scope поэлементно (nft 0.9.3 откатывал flush+add при адресе внутри CIDR), Debian 11 без debian-security в смоуке, e2e регистрирует bouncer в LAPI

jestivald

and

claude

committed

5bfa5b3

ci: Debian 11 в смоуке — согласованный срез snapshot.debian.org (пул debian-security вне LTS отдаёт 404)

jestivald

and

claude

committed

d3c56d5

ci: Debian 11 убран из смоука (вне LTS: пул debian-security без файлов из индексов, в snapshot тоже); старый nft покрывает Ubuntu 20.04 (0.9.3); README/CHANGELOG — что гоняется в CI

jestivald

and

claude

committed

eaa7543

release: sign 6 modules with minisign (v4.2)

jestivald

and

claude

committed

75429f2

Navigation Menu

Repository navigation

v4.2: защита по аудиту флота — DNAT, CrowdSec scope, na-fw, SYNPROXY, честная диагностика - #46

v4.2: защита по аудиту флота — DNAT, CrowdSec scope, na-fw, SYNPROXY, честная диагностика#46
jestivald merged 15 commits into
mainfrom
feat/v4.2-protect

Commits on Oct 3, 2026

v4.2 (protect): Docker-DNAT под защитой, CrowdSec только на SSH, лог скана на переходах, na-fw, локальные правила, баны переживают ре-ран

v4.2: optimize — сверка sysctl с виновником, резерв портов ноды, RPS/XPS только где нужны, journald 10-*.conf + persistent, без v6-форвардинга, откат runtime без ребута, проверки XanMod; common — d…

v4.2: na-report — CrowdSec по строкам raw (не ×33 по "value"), честные events_5m/unique_src_5m рядом с ban_rate_5m, asn_enrichment ok|partial|unavailable, JSON через json_escape

v4.2: CI — шаги optimize-unit и na-report-unit; README — диагностика и оптимизатор; фрагмент CHANGELOG ветки diag

v4.2 (protect): SYNPROXY — проверка nft_synproxy (модуля nf_synproxy в современных ядрах нет), README/CHANGELOG защитной части

Merge branch 'feat/v4.2-diag' into feat/v4.2-protect

v4.2: сведение веток protect + diag — CHANGELOG v4.2, NA_VERSION 4.2, NA_REF-примеры

v4.2: по прогону на нодах — исходящие UDP-сокеты xray не «слушатели» и не резервируются; анти-скан на 100% — «ослеп», а не «режет клиентов»

v4.2: diagnose — область CrowdSec по живым правилам (ручное сужение до :22 не ▲; set-only без правил при решениях — ▲)

v4.2: правки по ревью — CrowdSec scope без падения bouncer'а, na-fw под pipefail, SYNPROXY без обхода лимитов, откат без потери форвардинга, брошенные серты, CI на старых nft и настоящем CrowdSec

v4.2: по CI — na-fw правит наборы правила scope поэлементно (nft 0.9.3 откатывал flush+add при адресе внутри CIDR), Debian 11 без debian-security в смоуке, e2e регистрирует bouncer в LAPI

ci: Debian 11 в смоуке — согласованный срез snapshot.debian.org (пул debian-security вне LTS отдаёт 404)

ci: Debian 11 убран из смоука (вне LTS: пул debian-security без файлов из индексов, в snapshot тоже); старый nft покрывает Ubuntu 20.04 (0.9.3); README/CHANGELOG — что гоняется в CI

release: sign 6 modules with minisign (v4.2)