Чек-лист запуска и план обслуживания

Домен

Имя — та часть сайта, которую нельзя восстановить из резервной копии. Проверяйте его первым и раз в квартал, а не один раз.

• Данные регистранта верны, и адрес электронной почты всё ещё работает.
• Автопродление включено, и карта в файле не истекает в этом году.
• У аккаунта регистратора уникальный пароль и двухфакторная аутентификация.
• Блокировка переноса включена: WHOIS показывает clientTransferProhibited.
• DNS-серверы — те, что вы выбрали, а DNSSEC либо включён и работает, либо выключен.
• Дата окончания стоит в календаре за месяц до настоящей даты.
• У сайта есть второе имя, www, и оно перенаправляет на основное.

Подробности — в уроке 1.

Хостинг и сайт

• Домен разрешается в правильный адрес по IPv4 и IPv6: dig +short example.com, dig +short AAAA example.com.
• https://example.com отвечает 200, а http:// один раз перенаправляет на него.
• Сертификат покрывает оба имени, действителен и продлевается сам.
• Сайт умеет сохранить запись, отправить форму и показать загрузку: три вещи, которые касаются базы данных, почты и диска.
• CMS и каждый плагин обновлены, а у аккаунта администратора есть двухфакторная аутентификация.
• Ни .git, ни .env, ни дамп базы данных не доступны под веб-корнем.
• База данных доступна только с сервера, и её пользователь не root.
• У файлов и базы данных есть копия за эту неделю на другой машине.
• Страница 404 существует и выглядит как сайт, а не как страница сервера по умолчанию.

Уроки 3 и 4 дают всё это на виртуальном хостинге; урок 5 делает то же на вашем сервере.

Сервер

• SSH принимает только ключи; root не может войти; fail2ban работает.
• ufw разрешает нужные порты и ничего больше: sudo ufw status.
• Автоматические обновления безопасности включены, и сервер перезагружался после последнего обновления ядра.
• На публичном адресе слушают только службы, которые вы знаете: sudo ss -tlnp.
• У каждого сайта свой системный пользователь и свой пул PHP-FPM.
• Файлы настройки с секретами — 600, файлы сайта — 640 или 750.
• HSTS и заголовки безопасности на месте, а строки версий скрыты.
• На веб-сервере заданы ограничения частоты.
• У аккаунта провайдера и аккаунта панели есть двухфакторная аутентификация.

Это чек-лист урока 8 в сжатом виде. Прогоняйте его после каждого крупного изменения, а не только при запуске.

Почта

• Записи MX указывают на почтовый сервер, и почтовый сервер отвечает на порту 25.
• Запись SPF перечисляет каждого отправителя, и запись SPF ровно одна.
• DKIM подписывает исходящую почту, и открытый ключ опубликован.
• DMARC есть, отчёты приходят, и политика не ниже quarantine.
• Запись PTR адреса совпадает с именем, которое объявляет сервер.
• Исходящий порт 25 открыт или настроен релей.
• Сервер не открытый релей, и порт 587 требует аутентификации.
• Почта, отправленная крупному провайдеру и полученная от него, проходит проверки SPF, DKIM и DMARC.
• У ящика надёжный пароль, а почтовый клиент использует TLS.

Команды и значения записей — в уроке 9. Сайт может выйти в сеть без почты; бизнес — нет.

Расписание обслуживания

Серверу не нужно внимание каждый день, но нужен ритм. Этот подходит небольшому сайту и занимает около десяти минут в день, полчаса в неделю и час в месяц.

Команды — обычные из этого курса: cron запускает резервное копирование, sudo apt upgrade обновляет систему, df -h проверяет диск, а journalctl читает службы. Привычка важнее инструмента: напоминание в календаре, которое никто не игнорирует, — самый дешёвый мониторинг.

Когда сайт лежит

Идите снаружи внутрь и останавливайтесь на первом слое, который отвечает неправильно. Большинство ответов дают три инструмента: dig для имени, curl для страницы и df для диска. Порядок каждый раз один и тот же, поэтому его стоит запомнить.

1. Это сайт или посетитель? Спросите кого-нибудь ещё или используйте другую сеть, прежде чем что-то менять. Локальный кэш DNS или сбой у провайдера выглядят точно как сломанный сервер, если смотреть с одного места.

2. Разрешается ли имя?

dig +short example.com

Нет ответа или неверный адрес означают DNS: запись изменилась, домен истёк или DNS-серверы лежат. Сравните с публичным резолвером и прочитайте делегирование через dig +trace.

3. Отвечает ли порт?

nc -vz example.com 443

Connection to example.com 443 port [tcp/https] succeeded!

Тайм-аут означает файрвол, сеть провайдера или остановленный веб-сервер. Проверьте с самого сервера: если localhost отвечает, а интернет нет, проблема в пути.

4. Отвечает ли сайт по HTTP?

curl -I https://example.com

HTTP/2 502 server: nginx

502 означает, что Nginx жив, а PHP-FPM нет или путь к сокету неверен. 500 означает, что PHP выполнился, а приложение упало; читайте его журнал ошибок. 403 — проблема прав или индексного файла. 404 при правильном сервере — проблема настройки сайта. Сами коды — в статье коды состояния HTTP.

5. Диск заполнен? Заполненный диск ломает базу данных, журналы и сеансы сразу, а сообщения об ошибках указывают куда угодно, кроме диска.

df -h /

df -i /

Filesystem Size Used Avail Use% Mounted on /dev/vda1 39G 38G 0G 100% /

Сто процентов занято или сто процентов inode — вот ответ. Удалите старые журналы и старые резервные копии, затем найдите, что выросло: du -h /var/log/* | sort -h | tail. Не удаляйте файлы базы данных, чтобы освободить место; лучше перенесите резервную копию с сервера.

6. База данных работает?

systemctl status mariadb --no-pager

sudo journalctl -u mariadb -n 20 --no-pager

База данных, которая остановилась после заполнения диска, обычно снова запускается, когда место освободилось. У базы данных, остановившейся по другой причине, есть сообщение в журнале, которое называет таблицу или файл.

7. Что изменилось? Последнее развёртывание, последнее обновление плагина, последнее продление сертификата, последнее правило файрвола. На практике ответ почти всегда в последнем часе, и быстрее всего отменить изменение, а разбираться уже потом. Потом прочитайте журналы и разберитесь.

8. Когда ничего не помогает, восстанавливайте. Сайт, который нельзя починить за полчаса, — это сайт, который откатывают к последней хорошей копии, пока вы разбираетесь на копии. Поэтому в расписании есть проверка восстановления: в худший момент вам не захочется учить процедуру восстановления.

Записывайте, что нашли, даже когда ответ был простым. Следующая авария будет другой, и ваши записи станут самым быстрым путём ко второй строке диагностики.

Тест

Автор статьи: Arthur Isaev