obsidian/infra/compute/hosts/zlambda.md

title, updated, tags, type, host_kind, location, provider, status, ssh_host, public_ip, tailscale_ip, lan_ip, os, cpu_cores, ram_gb, k3s_role, critical, monthly_cost_usd, aliases

title	updated	tags	type	host_kind	location	provider	status	ssh_host	public_ip	tailscale_ip	lan_ip	os	cpu_cores	ram_gb	k3s_role	critical	monthly_cost_usd	aliases
zlambda	2026-04-13	infra host nixos tokyo linode	host	vm	tokyo	linode	active	zlambda	139.162.71.52	100.78.51.18	null	NixOS 25.05	1	2	null	false	5	sandbox-tokyo

역할

NixOS 베이스 호스트 (도쿄, Linode nano). 이전 sandbox-tokyo 장비를 2026-04-08에 Debian → NixOS로 전환. 경량 docker + tailscale + sshd.

이전된/제거된 구성

• APISIX + etcd (Netbis DR) — 제거
• microsocks — 제거
• tlsproxy, vault-prod, wg-easy — 제거

현재 구성

• sshd, tailscale, docker
• Linode 프로필: kernel linode/direct-disk
• BBR + fq + sysctl 튜닝
• NixOS configuration: Gitea kaffa/nixos-infra
  • kaffa-macmini: ~/nixos-infra/
  • zlambda: /root/nixos-infra/

Docker 컨테이너

컨테이너	역할	비고
apisix / apisix-etcd	APISIX (Netbis 관련)	host network
vector-relay	로그 릴레이
tlsproxy	SearXNG Google 우회 (Chrome TLS fingerprint), :8443	../../services/searxng
nginx (stream)	inbest SFTP 포워딩 :2201 → 10.100.1.158:22. 2026-06-11 socat→nginx stream 교체	아래 참조

inbest SFTP 포트포워딩 (2026-06-10 구성, 2026-06-11 nginx 교체)

• 공개 엔드포인트: 139.162.71.52:2201 (SFTP)
• 경로: 외부 → zlambda 공인IP:2201 → (tailscale 100.78.51.18 → 10.100.1.158) → kr2 inbest 프로젝트 sftp 컨테이너:22
• 릴레이: NixOS services.nginx stream TCP proxy (nixos-infra inbest-sftp-fwd.nix, streamConfig upstream → 10.100.1.158:22, proxy_timeout 1h). flake 빌드: nixos-rebuild switch --flake /root/nixos-infra#zlambda
  • 이력: 수동 docker(alpine/socat) → 2026-06-10 systemd socat 서비스 → 2026-06-11 nginx stream 교체 (socat 경유 파일 전송 장애 보고). nginx는 http 가상호스트 미정의로 80/443 미점유, stream 만 사용
• 백엔드 sshd 호스트키(ED25519): SHA256:bHy58AE10LPS/C4I8DXnFNCDaEsH3MFUreoDz8cnCPs (= sftp 컨테이너 키, 평문 TCP relay라 MITM 없음). 백엔드 sshd: OpenSSH 10.0p2 Debian
• 인증: sftp 컨테이너 자체 sshd (publickey/password). chroot 미사용(ChrootDirectory none), Match User inbest → ForceCommand internal-sftp, home /data(소유 inbest:sftponly), 고객 사이트별 디렉토리(in-best-com, leewell-com 등). 비밀번호 yescrypt($y$). 계정 시크릿은 Vault. 2026-06-11 검증: password/키 인증·10MB 업다운로드 정상(40/40)
• ⚠️ 2201이 2026-06-10 인터넷 개방됨 → sshd 무차별 대입 스캔 노출. inbest 계정 약한 비밀번호 → 키 전용 전환 또는 fail2ban 검토 권장
• Linode Cloud Firewall: zlambda는 공인 IP에서 22만 기본 개방, 나머지(80/443/8443/9999)는 차단. 2201은 2026-06-10 인바운드 허용 추가(zlambda 소속 Linode 계정은 Vault cloud/linode(ironclad/apisix-osaka)와 다른 계정 — 토큰 미보유, 방화벽은 사용자가 대시보드에서 관리)
• ../../services/sftpgo / ../../network/sshpiper와 역할 구분 (이건 단순 TCP relay)

운영 메모 (2026-06-10): zlambda /root/nixos-infra git remote가 SSH(git@gitea)였는데 root 키 인증 실패로 git pull 안 됨 → HTTPS+토큰으로 교체(해결). 또한 flake는 git에 tracked된 파일만 /nix/store로 복사하므로, 새 .nix 추가 시 git add 필수(안 하면 path ... does not exist 빌드 실패). rebuild: nixos-rebuild switch --flake /root/nixos-infra#zlambda

용도 검토

• K3s worker 편입 후보 (taint geo=tokyo) — k3s-migration
• 도쿄 POP 엣지 워크로드 용도

상세 인프라 컨텍스트: infra-hosts