Антон

Если вы действительно работаете над "хорошими проектами за большие деньги", и видимо что-то из себя представляете, то codementor.
Рейт начинается от $60 в час, $100-120 - это уже хороший уровень, "шабашки" бывают на почаса - час-два, бывает больше.
Это конечно не 1000-2000р, как вы хотите, а 3000-5000 но я готов принять от вас все излишки сверх 2тр чтобы вы получили именно то что спрашивали.

Когда мне хотелось как и вам что-нибудь быстренькое и ненапряжное развеяться - я ходил туда, впечатления положительные.

Я понятия не имею, что в данном контексте "микрокомпьютер". RB450G с RouterOS на борту размером в две пачки сигарет - под такой критерий пойдет? Ну тогда по одному микротику на филиал, один в центр (помощнее, типа RB1100 или хотя бы RB4011). И соединить именно через IPSec. А тех, кто сказал, что это нехорошая идея - спроси, а что же циска - продвигает нехорошие идеи, да? :)
Разумеется, IPSec надо уметь готовить :)
Например, я сейчас сижу дома. Это сообщение набираю на рабочем компе, связанном с домашней сеткой через все тот же RB450G (по RDP). А каталог "Мои документы" находится на сервере, который находится на другом конце города - и подключен он - правильно - тоже через все тот же RB450G. Двумя туннелями на IPSec :)

С опытом пришло понимание, что должно быть вот так:

1) Идёшь в бухгалтерию, берешь там список имущества, которое числится на тебе / на отделе, проходишь по всем -- сверяешь, вплоть до старой гарнитуры, всё должно сойтись. Лицензии на ПО точно также. Ты должен в любой момент времени точно сказать -- где, что и сколько у тебя стоит, сколько на складе, что ты заказал, что пришло и то ли пришло. Для бухгалтерии это всё коробочки с лампочками. ОБЯЗАТЕЛЬНО! должны биться серийные номера. Если их нет требуй присвоить инвентарный. Даже на картридже для принтера. Если условная Света из логистики принесла свою мышь, у тебя должно быть это отображено. Всё с парком машин происходить только с твоего ведома.
Не бойся обращаться к руководству -- оно оценит, что ты экономишь их деньги.
Всё, что ты выдаешь -- выдавай под роспись. Это дисциплинирует.

2) Схема сети. Видеонаблюдение и телефония. Как нарисованная, так и WeatherMap в Cacti. Многие ей пренебрегают, почем зря. Ты всегда должен знать что у тебя происходит с каналами связи. Все вланы, все адреса, местоположение должно быть отражено и подписано. Все стойки и шкафы должны быть сфотографированы, так чтобы было чёткое понимание, что-куда-зачем.
Поверь, в случае аварии тебе это очень сократит время на восстановление.


3) Маркировка оборудования. Всё, нет не так -- ВСЁ!!! должно быть подписано. Все розетки, все патчи. Вообще всё!

4) Делаешь себе локальную вики, пох на чем и пишешь туда АБСОЛЮТНО всё. Как настроить порт на коммутаторе, набор основных команд, диагностика, версия прошивки, какая-то основная конфигурация. Бэкапы конфигурации храни в текстовом виде, не доверяй всяким .cfg, как настроить vlan на микроте, как поднять VPN до соседнего офиса.
Тебе это очень сильно сократит время, особенно некоторые операции надо проводить довольно редко.

5) Пиши скрипты для рутины. Скрипты тоже должны быть в вики.
Допустим обновить 5 коммутаторов или поправить ACL ненапряжно. А если их 50? 150?

6) В вики не должно быть ни одной ссылки на сторонние ресурсы. Завтра страница переедет, а ты на нее надеялся.

7) У тебя должны быть контакты всех поставщиков услуг, что касается твоего отдела: провайдеров, заправщиков, инженеров, горсетей, номера договоров, и прочая херня Если что-то случилось, ты должен очень быстро получить ответы, а не ждать на горячей линии. Держи контакты актуальными.

8) Чтобы это всё имело хоть какой-то смысл -- трать 1 час в день, чтобы заняться документацией. Иначе всё это херня.

https://github.com/gildas-lormeau/SingleFile

В общем решение я нашел. Как по мне, так оно идеально со всех сторон. Начну сначала.

• База данных
  
• Веб сервер
  
• Дополнительные библиотеки
  

А теперь подробнее.

База данных
Поднял MySQL сервер. Внес все необходимые данные. Всё надежно, быстро и доступно.

Веб сервер
Тут всё тривиально как и с остальными пунктами.

Дополнительные библиотеки
php*-snmp, php*-ssh2

Началось всё с того, что необходимо было управлять большим количеством роутеров, а также следить за их "самочувствием" и многими другими параметрами.

Не получив подходящего и правильного решения по удаленному администрированию роутеров, я занялся изучением zabbix. Настроив, я начал вникать в тонкости мониторинга. Это, я Вам скажу тот еще подарок. Попытался извратиться при помощи этого продукта и хотел добиться того злополучного удаленного управления. Получилось, но с костылями.

А теперь вся соль.
Заполнил данные в базу. Ну, как заполнил. Парсингом на php перенес всё необходимое. После чего пару дней мучений и что мы получаем по итогу?

• Удаленное администрирование каждый или всеми разу роутерами
  
• Мониторинг. Строго функциональный.
  
• Email, sms, jabber оповещения. (был старенький gsm шлюз)
  

По сути, мы имеем тот-же zabbix, только ко всему узко специализированный. Как я понял, использовал 2% от всех возможностей самого zabbix. Он сильно нагружает как базу данных и как следствие систему.

В общем вся эта эпопея с микротиками обошлась мне до 100 строк кода на php. Получен необходимый функционал. Удаленное управление по регионам, по моделям, по штукам. Мониторинг всего что необходимо. Оповещения. Плюс всё лежит в базе данных. Можно использовать для любых задач в дальнейшем.
Веб интерфейс который подходит только Вам. Как нарисуете, таким и будет. Сбор информации только тот, который нужен. Удаленное управление только то, что Вам необходимо.
Итог:
Учите php и html+css. Если хотите интерактивности, то можно еще javascript выучить. Задача кажется не простой, но по факту тривиальна. К примеру, для того, чтобы управлять всеми роутерами необходима информация для входа и 10 строк кода. Обновить, сделать резервное копирование, поменять пароль на wi-fi, удалить, дописать. Всё что душе угодно. Все надежно и быстро. 1 минута на обновление всех 80 штук. Как Вам? Вот и думайте)))

если филиалов только 2 то достаточно статических маршрутов. хотите ospf - гуглите и изучайте

Ряд моментов Вы уже сделали, но я все равно их опишу для полноты списка.

1. Создать отдельного пользователя и хороший пароль на sudo. Не использовать больше root напрямую. Совсем.

2. SSH. Отключаем метод аутентификации по паролю. Если Вам не нужны другие методы, то их тоже можно отключить, оставив только publickey. Отключаем возможность аутентификации root'ом. Включаем использование только 2й версии SSH протокола.

3. Устанавливаем Fail2Ban и настраиваем чтобы после нескольких неуспешных попыток подключения по SSH банило по IP на длительное время. Кол-во попыток и время бана можно тюнить в меру своей паранойи. У меня, например, банит на час после 2х неуспешных попыток.

4. Iptables. Действуем по принципу "запрещено все, что не разрешено". Запрещаем по умолчанию весь INPUT и FORWARD трафик снаружи. Открываем на INPUT'е 22 порт. В дальнейшем открываем порты/forwarding по мере необходимости. Если у нас предполагаются сервисы на соседних серверах нужные только для внутренней коммуникации (Memcached, Redis, и т.д.), то открываем для них порты только для определенных IP. Просто так торчать наружу для всех они не должны.

5. Настраиваем автоматические обновления apt-пакетов. Уровень security. То есть так, чтобы обновления безопасности накатывались автоматически, но при этом не выполнялись обновления со сменой мажорной версии (дабы обезопасить себя от "само сломалось").

6. Устанавливаем ntpd. Серверное время должно быть точным. Также временную зону сервера лучше всего установить в UTC.

7. TLS (не SSL) используем везде где можем. Через Let's Encrypt получаем бесплатные валидные сертификаты. В конфигах веб-серверов, mail-серверов, и других приложений торчащих наружу (в том числе и OpenVPN), запрещаем/убираем использование слабых шифров. Все ключи/параметры генерируем не менее 2048 бит. Самоподписные сертификаты подписываем с помощью SHA-256 (не SHA-1). Diffie-Hellman параметры (dh.pem) под каждый сервис лучше сгенерить отдельно. Проверяем TLS сервисов через Nmap. Минимальный grade должен быть A, не должно быть warning'ов.

8. Правильный менеджмент пользователей/групп. Приложения/сервисы не должны запускаться под root'ом (разве что они действительно этого требуют и иначе никак). Для каждого сервиса создается свой пользователь.

9. Если предполагается upload файлов через PHP (либо другие скриптовые языки), в директории, куда эти файлы загружаются (и которая доступна снаружи), должно быть жестко отключено любое выполнение скриптов/бинарников, что на уровне ОС (x права), что на уровне веб-сервера.

Это была база.
Дальше, в меру своей паранойи можно за'harden'ить сервер ещё следующими моментами:
- SELinux, chroot
- доступ к SSH только с определенных IP (нужно иметь 3-4 VPN-сервера под рукой)

UPD И да, все это помнить/настраивать руками каждый раз может быть запарно. Используйте Ansible и автоматизируйте процесс (там родные и YAML, Jinja2 и Python).

1)нет, не чревато.
2)нет, не раскроют.
3)это их работа, фильтровать рынок, как кит усами фильтрует планктон. более того, хватает случаев, когда они зовут собеседоваться заведомо нежелающих, устроенных и прямым текстом про это говорящих - по принципу "а вдруг". да и вы сами не знаете - вот пойдёте потренироваться, а потом, на месте, вдруг заинтересуетесь (проектами, видом из окна, атмосферой предприятия)
4)избавляйтесь от этой романтической муры в голове. правда. это рынок. это жизнь. все хотят своего. это нормально. никто никому не делает одолжений. иначе вас будут цинично и неоднократно иметь всяким буллшитом вроде "патриотизма родного завода", "великой миссии компании" или "работа в нашем банке - огромная честь"

ходите почаще и побольше.
если таких как вы будет много, то рынок в ответ должен эволюционировать. т.к. работодатели должны будут оптимизировать этот процесс:
= тратить меньше времени
= если отказов много - то возможно поднимать зп

это похоже на вопрос "стоит ли ходить на свидания со многими девушками чтобы получше узнать их, если я пока не хочу жениться? или же я должен ходить на свидания только если готов?". зы подразумеваются свидания без интима (только знакомство), потому что с интимом это уже другой вопрос "этично ли пройти собеседование, устроится на работу, войти в доверие и за первые дни слить весь их код и исчезнуть...?".

Первый порт на микротике в бридж с вайфаем, DHCP и NAT отключить.
Ну или в Quick set выбрать пункт Home AP и настроить bridge