Все машины ниже — гостевые ВМ на гипервизоре ali-node, сеть VLAN 11
(10.11.11.0/24), включён автозапуск при перезагрузке хоста.
| ВМ | Адрес | Роль |
|---|---|---|
hub |
10.11.11.10 | фронт: nginx + certbot, публикует все сервисы наружу по HTTPS |
| ali-node (сам гипервизор) | 10.11.11.11 | физический хост, см. отдельную страницу |
log |
10.11.11.12 | мониторинг: Zabbix, Grafana, Loki |
vw |
10.11.11.13 | Vaultwarden (хранилище паролей) |
zulip |
10.11.11.14 | корпоративный чат, канал алертов от мониторинга |
nextcloud |
10.11.11.15 | файловое хранилище, календарь/почта, видеозвонки, совместное редактирование документов |
wiki |
10.11.11.16 | база знаний (эта вики, Wiki.js) |
tasks_old |
10.11.11.17 | пустая ВМ — сервис постановки задач (Redmine, до этого Planka/Vikunja) снесён 14.09.2026, докер и данные удалены полностью |
flow_old |
10.11.11.18 | пустая ВМ — сервис автоматизации (Node-RED, до этого n8n) снесён 14.09.2026, докер и данные удалены полностью |
ldap |
10.11.11.19 | каталог пользователей (LLDAP) — см. раздел ниже |
smb |
10.11.11.77 | файловая шара по Samba |
Плюс отдельный Windows-клиент (не на этом гипервизоре, а обычная рабочая станция в той же VLAN) —
см. страницу «Windows-клиент».
Все веб-сервисы публикуются одинаково: узел hub держит nginx с TLS-сертификатами (Let's
Encrypt, автопродление), внешний роутер направляет входящий HTTPS-трафик на hub, а тот уже
проксирует на нужную ВМ по внутреннему адресу. Внутри сети работает так называемый split-horizon
DNS — те же адреса *.aliafarm.ru внутри сети сразу указывают напрямую на hub, без похода во
внешний интернет и обратно.
Почти все сервисы разворачиваются одинаково: отдельная лёгкая ВМ (2 vCPU / 4 ГБ RAM / 50 ГБ диска,
Ubuntu 24.04), внутри — Docker Compose с самим приложением и его базой данных (обычно Postgres) в
/opt/<имя сервиса>/. Пароли и прочие секреты — в файле окружения с ограниченными правами
доступа на самой ВМ, а также продублированы в credentials.md проекта и в Vaultwarden.
Если хост сидит на «заглушке» системного DNS (обычное дело для Ubuntu), Docker может подставлять
новым контейнерам публичные DNS-серверы вместо адреса локального роутера. Из-за этого контейнер
не может резолвить внутренние поддомены *.aliafarm.ru в локальный адрес и упирается в таймаут
при обращении к другим сервисам «Алии» по их публичному имени. Лечится явным указанием DNS
роутера нужному сервису в его docker-compose.yml. Стоит проверять в первую очередь при заводе
любого нового контейнера, которому нужно обращаться к другим сервисам по домену.
ldap, 10.11.11.19) — каталог lldapРазвёрнут в docker (/opt/ldap) для централизованной LDAP-авторизации. Доступен только внутри
VLAN 11 — наружу через hub намеренно не публикуется, обращаются по внутреннему IP напрямую.
Ничего не подключено. Node-RED (flow.aliafarm.ru) и Redmine (tasks.aliafarm.ru) были
подключены через LDAP — именно требование LDAP в своё время привело к замене Vikunja → Redmine
и n8n → Node-RED (14.09.2026), так как старые сервисы (Vikunja и бесплатная редакция n8n)
авторизацию через LDAP не поддерживали в принципе. Оба сервиса позже (14.09.2026) снесены
целиком — LDAP-интеграция ушла вместе с ними.
Готово к подключению, но не сделано: Nextcloud (user_ldap), Zulip (django-auth-ldap),
Grafana, Zabbix, Wiki.js (Administration → Login → Authentication) — все умеют LDAP, интеграция
каждого делается по отдельному запросу.
Не подключится в принципе: Vaultwarden — нет LDAP, только SSO/OIDC через отдельный IdP.