Тема
Системные требования
Требования ниже относятся к односерверному развёртыванию.
Состав развёртывания
| Сервис | Назначение | Постоянные данные |
|---|---|---|
frontend | Веб-интерфейс и проксирование запросов к backend. | Нет. |
backend | API, бизнес-логика и фоновые обработчики. | Да, volumes l1-support-backend-config и l1-support-backend-logs. |
postgres | Основные данные системы. | Да, Docker volume postgres_data. |
redis | Кэш и временная координация фоновых задач. | Нет, данные считаются временными. |
minio | Файлы и вложения. | Да, Docker volume minio_data. |
migrate | Применение миграций PostgreSQL перед запуском backend. | Нет, одноразовый сервис. |
minio-mc | Создание бакета и технического пользователя MinIO. | Нет, одноразовый сервис. |
Все сервисы по умолчанию запускаются на одном Docker-сервере в общей bridge-сети.
Аппаратные ресурсы
| Контур | CPU | RAM | Системный диск | Диск данных |
|---|---|---|---|---|
| Демонстрация и функциональное тестирование | 2 vCPU | 4 ГБ | 20–30 ГБ SSD | от 20 ГБ |
| Начальная промышленная конфигурация | 4 vCPU | 8 ГБ | 40–60 ГБ SSD | от 100 ГБ |
| Повышенная нагрузка | 8 vCPU | 16 ГБ | 80–100 ГБ SSD/NVMe | от 250 ГБ |
| Высокая нагрузка или повышенные требования к доступности | По результатам нагрузочного тестирования | от 32 ГБ | NVMe | отдельные PostgreSQL и S3-хранилище |
Это предварительные ориентиры, а не гарантированные показатели производительности. Итоговая конфигурация зависит от:
- числа одновременно работающих пользователей;
- количества создаваемых обращений и сообщений;
- интенсивности IMAP/SMTP-обмена;
- количества и размера вложений;
- срока хранения файлов и резервных копий;
- требований к времени отклика и восстановлению после сбоя.
Программная платформа
- 64-разрядный Linux;
- архитектура хоста, совпадающая с архитектурой образов поставки; базовый целевой вариант —
amd64; - Docker Engine 24 или новее;
- Docker Compose Plugin v2.20 или новее; Compose v1 не поддерживается;
- включённый автозапуск Docker после перезагрузки сервера;
curlиopensslдля проверки установки и генерации секретов;- Nginx и Certbot, если TLS завершается непосредственно на Docker-сервере;
- корректная синхронизация времени через NTP.
Рекомендуемые базовые дистрибутивы: минимальная установка Ubuntu Server 22.04/24.04 LTS или Debian 12 без графической оболочки.
Применение Astra Linux, ALT Linux, RED OS и других дистрибутивов требует предварительной проверки совместимости конкретной версии Docker Engine и образов поставки.
Проверьте окружение перед установкой
bash
uname -m
docker version
docker compose version
systemctl is-enabled docker
timedatectl statusДля рабочих мест рекомендуется актуальная версия Chromium-based браузера или Firefox ESR с включёнными JavaScript, cookies и доступом к обоим публичным адресам системы.
Входящие соединения
В промышленной среде снаружи публикуются только порты reverse proxy.
| Откуда | Куда | Порт | Назначение |
|---|---|---|---|
| Let's Encrypt и рабочие места | reverse proxy | 80/TCP | HTTP-01 и перенаправление HTTP на HTTPS. |
| Рабочие места | reverse proxy | 443/TCP | Веб-интерфейс, REST API и WebSocket. |
| Рабочие места, схема с одним DNS | reverse proxy | 9443/TCP | S3 API, загрузка и скачивание файлов. |
| Только reverse proxy на Docker-сервере | frontend | 9090/TCP локально | Веб-интерфейс. |
| Только reverse proxy на Docker-сервере | backend | 9100/TCP локально | REST API и WebSocket. |
| Только Docker-сервер | PostgreSQL | 9101/TCP локально | Администрирование и диагностика БД. |
| Только Docker-сервер | Redis | 9102/TCP локально | Диагностика Redis. |
| Только Docker-сервер | MinIO Console | 9103/TCP локально | Администрирование MinIO. |
| Только reverse proxy на Docker-сервере | MinIO S3 API | 9104/TCP локально | Файлы и вложения. |
При двух DNS-именах веб-интерфейс и S3 API публикуются через разные виртуальные хосты на 443/TCP, поэтому 9443/TCP не требуется. При временном запуске без reverse proxy рабочим местам нужны прямые доступы к 9090/TCP и 9104/TCP. В промышленной конфигурации порты 9090 и 9100–9104 не должны быть доступны из внешней сети.
Исходящие соединения
| Откуда | Куда | Порт | Когда требуется |
|---|---|---|---|
| Docker-сервер | Container Registry | 443/TCP или порт registry, например 5050/TCP | Загрузка образов в контуре с registry. |
| Docker-сервер и backend | DNS-серверы | 53/UDP, при необходимости 53/TCP | Разрешение имён. |
| Docker-сервер | NTP-сервер | 123/UDP | Синхронизация времени. |
| Backend | LDAP/LDAPS | 389/636 TCP | Аутентификация через LDAP/AD. |
| Backend | IMAP/IMAPS | 143/993 TCP | Получение входящей почты. |
| Backend | SMTP | 25/465/587 TCP | Отправка почты. |
| Backend | DaData | 443/TCP | Подсказки организаций при включённой интеграции. |
| Рабочие места | Публичный S3 endpoint | 443/TCP или 9443/TCP | Загрузка и скачивание файлов. |
Если используется LDAP/AD, контейнеру backend должны быть доступны корпоративный DNS, контроллеры домена и требуемые LDAP/LDAPS-порты.
DNS и TLS
Для промышленной установки предпочтительно подготовьте два DNS-имени, например:
l1.example.org— веб-интерфейс;s3.l1.example.org— S3 API.
Оба адреса должны быть доступны с рабочих мест и защищены действующими TLS-сертификатами. Внутреннее имя контейнера
minioнельзя использовать как публичный S3 endpoint.
Если выделено только одно DNS-имя, допустима публикация S3 API на отдельном TLS-порту:
https://l1.example.org— веб-интерфейс, REST API и WebSocket;https://l1.example.org:9443— S3 API.
Один сертификат для l1.example.org можно использовать на обоих портах.
Reverse proxy должен разрешать загрузку файлов настроенного максимального размера, передавать заголовки Host, X-Forwarded-For, X-Forwarded-Proto, WebSocket-заголовки Upgrade, Connection, Sec-WebSocket-Protocol и поддерживать долгоживущие соединения приложения.