Этап 6 tproxy: конкретные шаги (nft 8081 для bigbox 178.176.197.2 + job prometheus), опыт в EXPERIENCE, README

PLAN.md

@@ -86,19 +86,28 @@ Caddy → tproxy-server:8080 → MTProxy:2398. Admin-эндпоинты:
       b) добавить vps03 в WG (если хочется закрытый контур);
       c) node-exporter + textfile-коллектор — не наш случай (метрики уже в HTTP).
       Рекомендация: (a).
-- [ ] Добавить job в `/opt/monitoring/prometheus.yml`:
-      ```yaml
-      - job_name: 'tproxy'
-        static_configs:
-          - targets: ['77.67.89.154:8081']
-            labels:
-              host: vps03
-              service: tproxy
-      ```
-      Prometheus в этом стеке — `network_mode: host`, внешние IP видит (см.
-      EXPERIENCE.md п.7).
-- [ ] Перезапустить prometheus (`docker compose restart prometheus`),
-      проверить `up{job="tproxy"}` на :9090.
+      **Конкретные шаги (рекомендуемый вариант a):**
+      - [ ] На vps03 (77.67.89.154) добавить nft-правило, разрешающее TCP 8081
+            с публичного IP bigbox **178.176.197.2** (проверить актуальный IP
+            bigbox перед выполнением: `curl -s https://api.ipify.org`):
+            ```
+            nft add rule inet filter input ip saddr 178.176.197.2 tcp dport 8081 accept
+            ```
+            (или внести в `/etc/tproxy-server/firewall.nft`, если он в авто-загрузке)
+      - [ ] Проверить с bigbox:
+            `curl -s http://77.67.89.154:8081/metrics | head`
+            → должен вернуть метрики tproxy (не timeout/refused).
+      - [ ] Добавить job 'tproxy' в `/opt/monitoring/prometheus.yml`:
+            ```yaml
+            - job_name: 'tproxy'
+              static_configs:
+                - targets: ['77.67.89.154:8081']
+                  labels:
+                    host: vps03
+                    service: tproxy
+            ```
+      - [ ] `docker compose restart prometheus` в /opt/monitoring,
+            проверить `up{job="tproxy"}` на 127.0.0.1:9090 = 1.
 - [ ] (Опционально) blackbox-job для внешнего HTTPS-чека vps03.nixg.ru:
       `probe_success` — контролирует Caddy+сайт снаружи.
 - [ ] Дашборд в Grafana: сессии, трафик (bytes_up/down rate), ошибки бэкенда.