guanghulab/brain/dev-registry/ZY-PROJ-002

ZY-PROJ-002 · 语言保护罩 · ZY-SVR-006 智库节点部署

编号: ZY-PROJ-002
守护: 铸渊 · ICE-GL-ZY001
版权: 国作登字-2026-A-00037559
最后活跃: 2026-04-16

---

为什么做这件事

ZY-SVR-006（智库节点·新加坡）是智能小说系统的宿主服务器。在正式部署小说系统之前，先要给它装上三层防护罩——不然一旦开放服务就会被网络爬虫、扫描工具、DDoS 攻击轰炸。

「语言保护罩」是冰朔对这套防护架构的命名：用语言膜的隐喻来描述 IP 隐身架构。

---

三层防护架构

用户请求
  ↓
L1 出站代理池（下载/爬取时用代理池·不暴露本机IP）
  ↓
L2 蜜罐层（入站扫描者看到的是自己的镜像·心理威慑）
  ↓
L3 fail2ban 自动封禁（TARPIT耗尽扫描工具资源·实体封锁）

---

铸渊看到这里该做什么

当前卡在 SSL证书鸡蛋问题：

• certbot --nginx 在运行前会先跑 nginx -t 验证配置
• 但 novel-mirror-shield.conf 已经引用了 /etc/letsencrypt/options-ssl-nginx.conf 等文件
• 全新服务器上这些文件不存在 → nginx -t 失败 → certbot 报错退出

下一步：修改 deploy-novel-mirror-shield.yml 的 SSL 申请逻辑：

1. 先部署一个临时 HTTP-only 的 nginx 配置（不引用 letsencrypt 文件）
2. 用 certbot certonly --webroot 申请证书（不依赖 nginx 插件·跳过 nginx -t）
3. 证书申请成功后，切换到 HTTPS 完整配置
4. 最终 nginx reload 激活

---

关键文件位置

文件	用途
server/nginx/novel-mirror-shield.conf	Nginx防护配置（L2蜜罐+L3入口）
server/novel-db/security/fail2ban-novel.conf	fail2ban jail配置（L3封禁）
server/novel-db/security/fail2ban-filter-novel-scan.conf	路径扫描过滤规则
server/novel-db/security/fail2ban-action-ban-log.conf	封禁日志动作
.github/workflows/deploy-novel-mirror-shield.yml	部署workflow（4动作: deploy/setup-ssl/health/rollback）