Карта сети и зависимостей

Схема показывает доверенные границы, а не физическую разводку кабелей. Она нужна для диагностики: сначала определяется слой отказа, затем проверяется конкретный сервис.

Текущий подтверждённый контур

Подтверждённые приватные связи:

Откуда	Куда	Назначение
Site backend `10.10.20.7`	launcher-server `10.10.10.40:50051`	Admin gRPC через BFF
VPN clients `10.10.20.0/24`	Proxmox network `10.10.10.0/24`	Административный доступ через VM 101
Internet UDP `51820` на PVE public IP	VPN VM `10.10.10.2:51820`	nftables DNAT WireGuard
PVE internal guests	Internet через `vmbr0`	nftables masquerade для `10.10.10.0/24`
Internet	Minecraft VM `82.202.161.121/32`	Отдельный routed public address
launcher-server	S3	Catalog, operations, maintenance и signed envelopes
лаунчер пользователя	`launcher-api.wraithbound.com`	Публичные bootstrap/release запросы
лаунчер пользователя	`cdn.wraithbound.com`	Файлы клиента, assets и Java

Доверенные зоны

Зона	Что находится внутри	Разрешённый вход
Public edge	DNS, TLS termination, reverse proxy	`80/443` из интернета
Application	Сайт, API, CRM, control plane	Только от edge и внутренних сервисов
Data	Database, Redis, внутренние S3 credentials	Только от разрешённых приложений
Management	Proxmox, SSH, Portainer, панели наблюдаемости	Только VPN и административные устройства
Game	Minecraft hosts и служебные агенты	Игровые порты публично, управление приватно
Backup	Backup repository и snapshots	Только от hypervisor/backup jobs

В текущей PVE-конфигурации зоны ещё не реализованы VLAN: vmbr1 объединяет внутренние VM в одной 10.10.10.0/24. Таблица выше описывает границы, к которым нужно прийти firewall/VLAN-политикой, а не уже существующую изоляцию.

Как читать схему при сбое

Проверьте DNS и TLS

Резолвится ли домен, соответствует ли сертификат и доступен ли edge.

Проверьте маршрут reverse proxy

Есть ли правильный upstream, protocol и доступ к его порту.

Проверьте приложение

Работает ли процесс/container и проходит ли локальный health-check.

Проверьте зависимости

Database, Redis, S3, control plane и внешние endpoints проверяются отдельно.

Проверьте Proxmox guest

Только после уровня приложения проверяйте CPU, RAM, диск, bridge и состояние VM/LXC.

Такой порядок не даёт начинать перезагрузку hypervisor из-за ошибки одного upstream или истёкшего сертификата.

Изменение топологии

Перед добавлением нового публичного сервиса обновите:

адресный план;
каталог сервисов;
DNS и ingress;
monitoring checks;
backup policy и incident owner.