Рабочие контуры

Четыре истории, где инфраструктура перестала быть лотереей.

Названия заказчиков изменены. Стек и цифры — реальные паттерны наших проектов 2024–2026.

01 · Медицина
9 филиалов · 2025

«Аврора Мед»

Было. Каждый кабинет — бытовой роутер, Windows-касса с RDP «на всякий случай», бэкап «на диск администратора». Пароль root одного VPS знали четыре человека и подрядчик по 1С.

Сделали. Центральный Debian-хаб, WireGuard на филиалы, jump-host, SSH только по ключу. restic на второй ЦОД, restore-drill раз в квартал. Инвентарь доступов в таблице, а не в чате.

Стало. Прямого RDP из интернета нет. Восстановление картотеки с тестового снимка — 18 минут. Подрядчик ходит в выделенный VLAN, не в «всю сеть клиники».

0RDP снаружи
18 минпроверенный restore
9туннелей в одном хабе
02 · Ритейл
витрина + 1С-обмен · 2025

Интернет-магазин «Кладовка»

Было. Shared hosting, PHP без пула, админка открыта в мир, сертификат протухал дважды за год. В распродажу сайт «вставал», потому что диск заливал access.log.

Сделали. Переезд на VPS Debian 12, nginx + PHP 8.2-FPM, Redis для сессий, ротация логов, отдельный origin. Админка и обмен с 1С — только из VPN. Let’s Encrypt и мониторинг срока сертификата.

Стало. TTFB витрины 1.8 → 0.4 с. Чёрная пятница прошла без даунтайма. После отключения парольного SSH перестали прилетать словарные брутфорсы в рабочий контур.

4.5×быстрее TTFB
0простоев в пик
03 · Логистика
12 касс, 30 камер · 2026

ТК «Линия 7»

Было. Шлюз офиса падал ночью, кассы отваливались от облачной кассы. Узнавали утром от смены. Никто не знал, это провайдер, диск или «опять Windows Update».

Сделали. Наблюдение узлов и каналов, watchdog на VPN, runbook: что смотреть за 5 минут, когда звонить провайдеру, когда переключать резервный LTE. Дежурство с эскалацией.

Стало. MTTR 3.5 часа → 22 минуты. За квартал — два инцидента провайдера, оба закрыты до открытия смены.

22 минсредний MTTR
2инцидента, закрытых до смены
04 · Производство
цех + офис · 2025

«Теплоконтур»

Было. Единая плоская сеть: станки, бухгалтерия, Wi-Fi для гостей и ноутбук подрядчика. Файлы — на старом NAS без снимков. После заражения у подрядчика шифровальщиком остановили цех «на всякий случай» на полдня — хотя до станков вредонос не дошёл, просто никто не мог это доказать.

Сделали. Сегментация: цех / офис / гости. Linux-файловый сервер с ежедневными снимками. Гостевой VLAN без маршрута к SCADA. Журнал доступов подрядчиков с датой отключения.

Стало. Повторный инцидент у подрядчика остался в гостевом сегменте. Простой цеха — 0. Восстановление случайно удалённой папки с чертежами — из снимка за 7 минут.

3сегмента вместо одного
7 минвозврат папки из снимка

Похожий контур? Напишите