Хостинг для PBN: как избежать бан-паттернов на уровне ASN и NS-записей

• Сетевой уровень (L3/BGP): размещение сайтов в пределах одной подсети /24 (например, 198.51.100.0/24) или под управлением одной автономной системы (ASN). Даже если третьи октеты IP-адресов различаются, принадлежность к одной BGP-маршрутизации выдает единого владельца.

• DNS-уровень: использование одинаковых персонализированных NS-серверов (ns1.mysetka.com), отсутствие записей обратного резолва (PTR/rDNS) или раскрытие одного контактного email в поле RNAME служебной записи SOA (Start of Authority).

• SSL/TLS-сертификация: массовая генерация сертификатов Let’s Encrypt через один скрипт создает сертификаты с одинаковыми таймстемпами выпуска (с точностью до секунд) и идентичными цепочками доверия.

• Серверные отпечатки (HTTP Headers): отдача одинаковых баннеров Server: nginx/1.18.0 (Ubuntu) и служебных заголовков X-Powered-By: PHP/8.1.2, а также стандартные страницы ошибок 404 Not Found или дефолтные заглушки веб-сервера.

server {
    listen 80 default_server;
    listen 443 ssl default_server;
    server_name _;
    
    # Изоляция от сканирования ботами
    return 444;
}

Скрытие версий PHP

В конфигурационном файле php.ini отключите передачу заголовка X-Powered-By:

expose_php = Off

Автоматизация развертывания пула VPS через Ansible

Ручная установка и настройка 30–50 серверов неизбежно приводит к появлению одинаковых человеческих паттернов: повторяющиеся имена баз данных, идентичные структуры каталогов, одинаковые пароли и типовые конфигурации виртуальных хостов.

Использование параметризованного сценария автоматизации исключает человеческий фактор: плейбук автоматически настраивает UFW, генерирует уникальные сокеты PHP-FPM и сбрасывает сетевые соединения ботов.

Развернуть защищенную сеть серверов в один клик позволяет готовый Ansible-плейбук с автосбросом прямых запросов по IP.

Диверсификация юрисдикций и дата-центров

Для масштабных сеток критически важно распределять серверы не только по разным хостинг-провайдерам, но и по независимым географическим юрисдикциям (Нидерланды, Молдова, Болгария, Швейцария, США). Это исключает единовременную блокировку пула серверов по запросу одного регулятора или при сбое крупного магистрального оператора связи.

Особенности подбора лояльных дата-центров и защиты от досудебных блокировок подробно разобраны в руководстве «Офшорный хостинг: матрица юрисдикций и фатальные ошибки анонимности».

Чек-лист: проверка PBN-сетки перед линковкой

• Сайты распределены минимум по 5–10 разным автономным системам (ASN) и независимым хостинг-провайдерам.

• Ни один домен сетки не использует одинаковые брендированные пары NS-серверов.

• Проверены записи SOA каждого домена на отсутствие единого контактного email администратора.

• В конфигурации Nginx отключена отдача версий (server_tokens off), а в PHP отключен заголовок (expose_php = Off).

• Настроен сброс TCP-соединений (return 444) при прямом обращении к серверу по IP-адресу.

• Выполнен базовый харденинг ОС на каждом сервере (отключен вход по паролю, настроен ed25519).

• Управление серверами и вход в панели хостеров осуществляются через изолированные профили антидетект-браузера.

Что делать дальше: следующие шаги

• Для быстрой автоматической настройки и развертывания LEMP на сетке VPS ➔ используйте «Ansible-playbook для массового развертывания серверов».

• Для настройки базовой защиты каждого сервера и фаервола ➔ выполните чек-лист «Харденинг Ubuntu: настройка ed25519-ключей, UFW и Fail2ban».

• Для безопасного управления серверами без передачи реального IP хостинг-провайдерам ➔ примените правила цифровой гигиены сервера и изоляции веб-панелей.