Инфраструктура и защита

Выбор сервера

Локации для РФ: низкопинговые ДЦ: Германия, Финляндия, Нидерланды. Резерв держите в другой стране/сети, чтобы не зависеть от одной AS.
Разные провайдеры/ASN. Блокируют часто подсетью: ноды (серверы, к которым подключаются клиенты) в разных ASN выживают по очереди, а не все разом.
Ресурсы: входной ноде хватит 1 vCPU / 1 GB. Панели (веб-центр управления: пользователи, подписки, ноды) нужен отдельный VPS. Никогда не держите панель и ноды на одном IP.
⚠️ Проверяйте, что у VPS ВЫДЕЛЕННЫЙ IP. Часть хостеров по умолчанию даёт сервер за общим (shared) адресом или за NAT: тогда порты 80, 443 и 8443 вам не принадлежат, и ни панель, ни нода на них не поднимутся. Выделенный IP придётся докупать отдельно, уже внепланово, а иногда и переезжать. Спрашивайте про это ДО оплаты: в тарифе должно быть прямо написано «выделенный IPv4» (dedicated IP), а не «IPv4 в комплекте».
Запас IP под нужные подсети удобно набивать через Multiroller.

📖 Незнакомые слова? Термины простыми словами смотрите в Словаре терминов.

Где брать серверы (хостеры)

⚠️ Главное правило 2026: ноды держим за рубежом. РКН начал рассылать российским хостерам списки IP VPN-серверов с требованием блокировки. Прецедент: Aeza с 3 декабря 2025 блокирует услуги за VPN (получив от РКН подсеть 138.124/16), давая 24 часа на удаление. Поэтому российские VPS годятся только под вход/релей (каскад) или панель/бот, не под выходную VPN-ноду.

Рекомендованные (с пометками по нашему опыту и ресёрчу):

Хостер	Для чего	Заметки
Cherry Servers 🇱🇹	⛔ под блоком РКН	Литва/Амстердам/Франкфурт/Стокгольм/Чикаго/Сингапур, от ~$15/мес. ⛔ Подсети заблокированы РКН: из РФ недоступны. Под выходные ноды для РФ-аудитории не брать (пинг есть, но трафик не доходит). Годится только под не-РФ клиентов.
EternityCloud (через Telegram-бот)	ноды/панель	заказ и управление прямо из ТГ-бота: удобно и быстро поднимать/гасить серверы. Берите под ноды за рубежом. ⚠️ В последнее время (лето 2026) стал нестабильным: замечены перебои и «отваливания» серверов. Не держите на нём единственную ноду, имейте резерв в другой AS.
UFO	ноды/бюджет	нишевый, под запас и эксперименты; проверяйте локации/пинг.
Innon	ноды	нишевый европеец; кандидат под резервную ноду в другой AS. 👉 Регистрация по нашей реф-ссылке.
RoyaleHosting 🇳🇱	выходные ноды (NL)	Нидерланды, нода от ~6 €/мес. Нишевый, не массовый хостер: его подсети реже «засвечены» в блок-листах, чем у популярных провайдеров. Низкий пинг до РФ. Кто шарит, тот берёт.
LUXHOST 🇵🇱 (luxuryhost.cc)	выходные ноды (бери Польшу)	Анонимный хостер: оплата криптой без верификации, активация за пару минут, управление через Telegram-бот, AntiDDoS+WAF. Локации Финляндия / Германия / Польша (VPS: PL/FI, заявляют до 10 Гбит/с). Рекомендуем польскую локацию: низкий пинг до РФ + чистый ЕУ-выход. ⚠️ Отзывы смешанные (бывают претензии к саппорту и внезапным блокировкам, несмотря на «DMCA allowed»): не делайте его единственной нодой, держите резерв в другой AS. 👉 Регистрация по нашей реф-ссылке.
GovnoHost (govnohost.net)	бот / панель / сайт	дёшево, под некритичную инфру: бот продаж, сайт-витрина, панель, релей-вход. ⛔️ НЕ под выходные клиентские ноды: через выход идёт чужой трафик (если полезут на запрещёнку, отвечать вам; см. предупреждение «не поднимайте клиентские ноды на своих серверах» в «Каскаде»).
Play2GO	дёшево, под тест	очень дёшево и «вроде работает», но отзывы смешанные (бывают packet loss/саппорт): не ставьте сюда единственную ноду, только как доп./резерв. 👉 Регистрация по нашей реф-ссылке.
Timeweb 🇷🇺	РФ-серверы: релей/вход, панель	рубли/карта РФ, есть и зарубежные локации; почасовая оплата, от ~150 ₽/мес. Под выходную ноду РФ не используем (abuse-риск), но идеален как рос. релей каскада и для РФ-инфраструктуры. 👉 Регистрация по нашей реф-ссылке.

Ещё рабочие варианты (из практики сообщества): - ishosting 🇫🇮: VPN-friendly, принимает рос. оплату, от ~470 ₽/мес, партнёр Amnezia, хороший «зарубежный» основной. - Beget 🇷🇺: лоялен к VPN-трафику, от ~16 ₽/день, 1 Гбит/с, локации Москва/СПб/КЗ/Латвия, удобен как релей каскада. - Yandex Cloud: когда нужен «белый»/чистый IP под мобильные «белые списки» (вероятность чистого IP выше, чем у VK Cloud), ~1500 ₽/мес. - Крипто-оплата без лишних вопросов: 4VPS, ISHosting, VDSina, Fornex.

Чек-лист при выборе: 1. Нода за рубежом (NL/DE/FI), панель/релей можно в РФ. 2. Разные ASN/подсети у разных нод, потому что блокируют пачкой по подсети. 3. Проверьте «чистоту» IP до прода (не в чёрных списках, не «грязная» подсеть прокси). 4. Оплата и анонимность: крипта/СБП, без привязки к личности там, где можно.

Первичная настройка (Ubuntu 22.04/24.04)

Обновления и базовые пакеты:

apt update && apt -y upgrade
apt -y install ufw fail2ban curl git nano

SSH только по ключу

На своей машине (если ключа нет):

ssh-keygen -t ed25519 -C "vpn-admin"
ssh-copy-id root@SERVER_IP

На сервере отключаем вход по паролю:

sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
systemctl restart ssh

Файервол

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 443/tcp        # ноды/панель за 443
ufw --force enable

Защита от перебора

systemctl enable --now fail2ban
# свой джейл для sshd
cat >/etc/fail2ban/jail.d/sshd.local <<'CFG'
[sshd]
enabled = true
maxretry = 4
bantime = 1h
findtime = 10m
CFG
systemctl restart fail2ban

Подкрутка сети (для нод полезно)

cat >>/etc/sysctl.conf <<'CFG'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
CFG
sysctl -p

BBR заметно улучшает скорость на дальних маршрутах.

Гигиена, которая экономит деньги

Бэкапы конфигов панели/нод и БД делайте до любых экспериментов.
Мониторинг аптайма нод и баланса хостингов (чтобы сервер не выключили в ноль).
Разделение ролей: панель, ноды, бот на разных машинах/IP.
Секреты только в .env/хранилище, никогда в git.
Удаляйте лишние серверы при паузах/лимитах: простой VPS = слитые деньги.

Дальше ставим панель и подключаем первую ноду.

Сервер за 15 минут: фундамент сервиса