From b5287852494ffbf87c5d66da1a43ea30f7565513 Mon Sep 17 00:00:00 2001 From: Max Ronzhin Date: Tue, 28 Jul 2026 19:25:33 +0300 Subject: [PATCH] =?UTF-8?q?docs(deploy):=20=D0=BF=D1=80=D0=B0=D0=B2=D0=B8?= =?UTF-8?q?=D0=BB=D0=BE=20ufw=20=D0=B4=D0=BB=D1=8F=20=D1=81=D0=BA=D1=80?= =?UTF-8?q?=D0=B5=D0=B9=D0=BF=D0=B0=20node-exporter=20=D0=B8=D0=B7=20docke?= =?UTF-8?q?r-=D1=81=D0=B5=D1=82=D0=B8?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit node-exporter переведён в host-сеть (иначе отдавал сетевые метрики контейнера вместо серверных), и порт 9100 теперь слушается на хосте — а значит Prometheus из docker-сети упирается в политику ufw по умолчанию. Без этого правила таргет `node` остаётся down с `context deadline exceeded`. Правило узкое: только из внутренних docker-подсетей (172.16.0.0/12 не маршрутизируется в интернете) и только на 9100. Снаружи порт закрыт. Инсталлятор firewall не настраивает — это ручной шаг документации, поэтому строка добавлена именно сюда, иначе на новой инсталляции мониторинг хоста молча останется без сетевых метрик. --- docs/deploy/DEPLOYMENT.md | 11 +++++++++++ 1 file changed, 11 insertions(+) diff --git a/docs/deploy/DEPLOYMENT.md b/docs/deploy/DEPLOYMENT.md index 6e4c653..249c42f 100644 --- a/docs/deploy/DEPLOYMENT.md +++ b/docs/deploy/DEPLOYMENT.md @@ -85,6 +85,17 @@ ufw allow 54000:54100/udp # LiveKit WebRTC media (ICE), см. docker-compose.y # TURN (coturn) — только если включаете раздел 8: # ufw allow 3478/tcp # ufw allow 3478/udp + +# Мониторинг (профиль `monitoring`): node-exporter работает в host-сети — +# иначе он отдаёт сетевые метрики собственного контейнера вместо метрик +# сервера (`/proc/net` — симлинк на `self/net`, bind-mount `/proc` этого не +# обходит; см. комментарий у сервиса в deploy/docker-compose.yml). Порт +# слушается на хосте, поэтому Prometheus в docker-сети упирается в +# политику ufw по умолчанию. Правило разрешает скрейп ТОЛЬКО из внутренних +# docker-подсетей — снаружи 9100 остаётся закрыт (172.16.0.0/12 не +# маршрутизируется в интернете): +ufw allow from 172.16.0.0/12 to any port 9100 proto tcp comment 'node-exporter: скрейп Prometheus из docker-сети' + ufw enable ```