Узел Monero с приватной поверхностью управления.

Спланируйте данные цепочки

Полный узел и пруненный узел имеют разный объём хранения, а текущий размер цепочки меняется. Проверяйте требования вышестоящего проекта и оставляйте место для первичной синхронизации и роста. Не выбирайте ёмкость диска только по старому руководству.

Проверьте программное обеспечение

Используйте официальные релизы и проверяйте подписи или хеши через доверенный процесс. Запускайте демон как непривилегированную службу и осознанно настраивайте его каталог данных и хранение журналов.

Разделяйте публичные и приватные роли

Порт peer-to-peer и интерфейс RPC служат разным целям. Привязывайте чувствительный RPC локально или за аутентифицированным частным маршрутом. Публично доступный неограниченный интерфейс управления кошельком — серьёзная ошибка.

Понимайте границу приватности

Использование собственного узла может снизить зависимость от удалённого оператора, но не защищает кошелёк на скомпрометированном устройстве. Tor и другие варианты маршрутизации требуют отдельной настройки и чёткой модели угроз. Держите секреты кошелька вне публичных файлов узла.

Проверьте границу RPC

После настройки проверьте прослушиваемые интерфейсы и попробуйте выполнить запрос извне разрешённой сети. Ограниченная конечная точка RPC демона и сервис RPC кошелька — это разные возможности. Не открывайте ни одну из них широко только потому, что так проще подключить приложение кошелька.

Сохраняйте воспроизводимость узла

Записывайте источник бинарного файла, проверенный релиз и конфигурацию сервиса, не копируя секреты кошелька в runbook. Следите за ёмкостью диска и ходом синхронизации. Узел часто можно пересобрать из проверенного программного обеспечения и данных цепочки; защищайте материал восстановления кошелька отдельно.

Выберите хранилище из текущей цепочки и вашей роли

Полный узел хранит больше исторических данных; пруненный узел сокращает долгосрочный объём, продолжая проверять цепочку. Оставляйте место для синхронизации, журналов и роста, а не полагайтесь на фиксированное старое значение размера цепочки. Включайте прунинг при первичной синхронизации, если такова задуманная архитектура; применение позже может не уменьшить существующий файл базы данных сразу. Решите, является ли узел частной инфраструктурой для вашего кошелька или также предоставляет ограниченный публичный RPC-демон.

Официальная документация: Прунинг и параметры Monerod

Проверьте релиз перед запуском демона

Получите выпуск через официальный канал проекта и проверьте его подписанный список хешей с помощью доверенного отпечатка, полученного независимо от скачанного архива. Запускайте демон как выделенный непривилегированный сервис с постоянным каталогом данных и ограниченными журналами. Храните seed-фразы кошелька и ключи расходования на стороне кошелька; валидирующему узлу они не нужны. Запишите версию и проверенный хеш архива, чтобы у пересборки была идентифицируемая отправная точка.

• Разрешайте peer-to-peer трафик только в соответствии с назначенной ролью узла.
• Держите неограниченный RPC демона локальным/приватным; ограниченный слушатель — это отдельный выбор.
• Не путайте RPC демона monerod с RPC кошелька, способным выполнять операции с кошельком.

Официальная документация: проверка релиза Monero

Подтвердите синхронизацию и проверьте границу RPC

Используйте статус демона и текущую высоту, чтобы отличить медленную начальную проверку от отключённого узла. Проверьте исходящих пиров, доступный диск, часы и журналы службы, прежде чем перезапускать долгую синхронизацию. Порт пиров mainnet и слушатели RPC различаются; не открывайте все соседние порты ради удобства. Запросите нужный приватный RPC из авторизованного клиента, затем потребуйте, чтобы запрос извне границы завершался ошибкой. Намеренно ограничивайте публичные методы, если публичная конечная точка входит в ваш дизайн.

# Local service inspection; do not publish private configuration:
ss -lntp
# In the monerod console:
status
sync_info

Официальная документация: Справочник по демону Monerod

Планируйте маршрутизацию Tor и восстановление отдельно

Tor может изменить сетевой путь для поддерживаемого трафика узла, но его нужно настроить для нужного класса трафика и протестировать; просто запуск Tor рядом с демоном ничего не доказывает. Исследуйте зависшую синхронизацию через проверки подключения к пирам, диска и прав доступа. Сохраняйте записи о конфигурации и проверках и решите, экономит ли копирование данных цепочки достаточно времени на восстановление, чтобы оправдать размер его резервной копии. Хостинг узла XMR здесь является учебной нагрузкой; он не включает приём платежей Monero в оформлении заказа Koala.