TimeWeb, Selectel, Beget, Yandex Cloud: какой российский VPS взять и как его защитить за полчаса

Практическое руководство по выбору и развёртыванию VPS в России: какой провайдер взять под задачу, как не переплатить за тариф и как за полчаса довести чистый сервер до состояния, в котором на нём можно безопасно держать рабочие сервисы. Разбираем TimeWeb, Selectel, Beget и Yandex Cloud — четыре провайдера, которые закрывают почти все запросы для pet-проектов, ботов, API и ИИ-контуров.

Ключевое правило: критично никогда не оставлять PasswordAuthentication yes вместе с root-доступом на боевом сервере. Это самая частая причина взлома российских VPS.

Что это

Российский VPS — это виртуальный сервер с российской пропиской: оплата рублями, дата-центры в Москве или СПб, низкий пинг до российской аудитории, доступ к российским API, которые пускают только с российских IP. Зарубежные облака удобнее и дешевле, но российский сервер выигрывает в нескольких сценариях: оплата картой РФ, 152-ФЗ для персональных данных, скорость для российской аудитории, доступ к локальным сервисам.

Совет: не складывайте всё в одно место. Статику и фронтенд можно отдать на зарубежный CDN, а в российском VPS держать backend, базу и интеграции с локальными сервисами.

Когда нужен российский VPS

Зарубежные облака (Hetzner, DigitalOcean, Cloudflare) удобнее и дешевле, но российский сервер выигрывает в нескольких сценариях.

• Оплата рублями с карты РФ. Зарубежные провайдеры почти все отказались от российских карт, и оплата превращается в квест.
• 152-ФЗ и персональные данные. Если вы храните персональные данные россиян, по закону они должны лежать на серверах в РФ.
• Низкий пинг до российской аудитории. Сайт и API из московского дата-центра отвечают пользователям в России на десятки миллисекунд быстрее.
• Доступность для российских сервисов. Многие API (банки, Госуслуги, Яндекс 360) пускают только российские IP.

Зачем нужно

• Личный сайт, Telegram-бот, MVP или небольшой API — сервер с российской оплатой и пингом.
• Хранение персональных данных россиян по 152-ФЗ — закон требует, чтобы данные лежали в РФ.
• Production-проект с гибкой конфигурацией — приватные сети, выделенные серверы, серьёзная репутация.
• Высокие нагрузки и интеграция с экосистемой Яндекса — managed-базы, автоскейлинг, 60 дней триала.
• Сервер для ИИ-агента, который работает с российскими API (банки, Госуслуги, Яндекс 360).

TimeWeb, Selectel, Beget, Yandex Cloud: кого выбрать

Четыре провайдера закрывают почти все запросы. Различаются они не ценой, а тем, сколько контроля и сложности вы готовы взять на себя.

Trade-off: Timeweb и Beget дают вам «сервер целиком» по фиксированной цене и заставляют настраивать всё руками. Yandex Cloud берёт настройку на себя, но считает деньги за каждый сервис отдельно, и счёт легко вырастает. Для типичного российского пользователя — личный сайт, Telegram-бот, небольшой API или ИИ-агент — оптимальная отправная точка это Timeweb Cloud: дёшево, понятно и достаточно мощно.

Как устроено

Четыре провайдера различаются не ценой, а тем, сколько контроля и сложности вы готовы взять на себя.

Как выбрать тариф: CPU, RAM, SSD, локация

У Timeweb десятки тарифов, но логика выбора простая.

Ориентировочные цены Timeweb на 2026 год: тариф с 2 vCPU / 2 ГБ / 40 ГБ NVMe стоит примерно 700–900 ₽/мес, конфигурация 4 ГБ RAM — около 1 500 ₽/мес. Трафик безлимитный, оплата почасовая, минимальный платёж для старта 50 ₽.

Внимание: публичный IPv4-адрес у Timeweb оплачивается отдельно — около 180–200 ₽/мес. Это не «доплата ни за что», а обязательный пункт для большинства задач. Закладывайте его в бюджет сразу.

Совет: берите тип сервера с процессорами 3.3 ГГц (линейка на AMD EPYC) для обычных задач, либо HighCPU 5 ГГц, если важна скорость одного потока (например, синхронные сборки). Почасовая оплата позволяет завести мощный сервер на час для теста и удалить его.

fallocate -l 2G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile
echo '/swapfile none swap sw 0 0' >> /etc/fstab

timedatectl set-timezone Europe/Moscow

apt install unattended-upgrades -y
dpkg-reconfigure --priority=low unattended-upgrades

curl -fsSL https://get.docker.com | sh

# Запускать docker без sudo
usermod -aG docker deploy

# Дальше — описываете сервисы в docker-compose.yml и поднимаете
docker compose up -d

npm ci
npm run build # результат в ./dist
rsync -a --delete ./dist/ /var/www/example/

Пример

Минимальный тариф Timeweb для типичного сервера: 2 vCPU, 2 ГБ RAM, 40 ГБ NVMe — около 700–900 ₽/мес, конфигурация 4 ГБ RAM — около 1 500 ₽/мес. Трафик безлимитный, оплата почасовая, минимальный платёж для старта 50 ₽. Берите тип сервера с процессорами 3.3 ГГц (линейка на AMD EPYC) для обычных задач, либо HighCPU 5 ГГц, если важна скорость одного потока (например, синхронные сборки).

Первичная настройка на Ubuntu 24.04 LTS. После создания сервера — базовая защита, потому что новый сервер с открытым SSH и паролем root начинают перебирать боты в первые же минуты.

# 1. Обновите систему и создайте рабочего пользователя
apt update && apt upgrade -y

# Создаём пользователя с правами sudo
adduser deploy
usermod -aG sudo deploy

# Переносим свой публичный SSH-ключ новому пользователю
rsync --archive --chown=deploy:deploy ~/.ssh /home/deploy

# 2. Закройте вход по паролю и под root
echo 'PermitRootLogin no' >> /etc/ssh/sshd_config
echo 'PasswordAuthentication no' >> /etc/ssh/sshd_config
systemctl restart ssh

# 3. Включите firewall
ufw default deny incoming
ufw default allow outgoing
ufw allow OpenSSH
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

# 4. Поставьте fail2ban
apt install fail2ban -y
systemctl enable --now fail2ban

Важно: облачные образы Timeweb и других провайдеров нередко кладут отдельный файл в /etc/ssh/sshd_config.d/, который включает вход по паролю и переопределяет основной конфиг. Если после правок пароль всё ещё принимается, загляните в эту папку и поправьте файлы в ней.

Серверный паспорт и мониторинг

Через полгода вы забудете, что и зачем крутится на сервере. Заведите серверный паспорт — короткий документ (можно прямо в Notion) с ключевой информацией.

Что писать в паспорте сервера: провайдер и тариф, IP-адреса, ОС, список запущенных сервисов и их порты, какие домены ведут на сервер, где лежат бэкапы, дата создания и контакт ответственного.

Минимальный мониторинг, чтобы узнавать о проблемах раньше пользователей:

• Аптайм-проверка снаружи — бесплатный UptimeRobot или подобный сервис, который пингует сайт и шлёт уведомление при падении.
• Место на диске — самая частая причина внезапных отказов. Настройте алерт при заполнении выше 80%.
• Бэкапы — Timeweb предлагает автоматические резервные копии за доплату. Для базы данных дополнительно делайте pg_dump/mysqldump по расписанию в cron.
• Логи — journalctl -u имя-сервиса и логи Caddy в /var/log подскажут причину при разборе инцидента.

Бэкапы без иллюзий: автоматический бэкап Timeweb копирует диск целиком, но повреждённую базу он сохранит вместе с ошибкой. Держите дампы pg_dump/mysqldump отдельно и складывайте копию вне сервера — другой VPS, объектное хранилище S3 или Synology. И обязательно проверяйте восстановление: бэкап, который ни разу не разворачивали, бесполезен.

Управление инфраструктурой через API Timeweb

Панель — не единственный способ управлять серверами. У Timeweb Cloud есть полноценный API, через который можно поднимать и удалять VPS, управлять дисками и снапшотами, читать и менять DNS-записи, настраивать firewall-группы и включать бэкапы. Почти всё, что вы делаете мышкой в панели, доступно программно и воспроизводимо.

Ценность API растёт вместе с числом серверов. Для одной машины хватает панели. Но когда их становится пять или семь, ручная инвентаризация превращается в археологию: вкладка за вкладкой, скриншот за скриншотом. API отдаёт ту же картину одним списком — сколько VPS, какие диски, где включены бэкапы, какие домены и DNS заведены, какие firewall-группы подключены.

Два принципа, если выдаёте API-доступ скрипту или агенту:

• Сначала только чтение. API облака — это кнопка, рядом с которой мелким шрифтом написано «удалить DNS» и «остановить production». Начните с read-only: соберите карту, а изменения вносите отдельными согласованными шагами.
• Токен — это ключ от всего. Не храните его в коде репозитория и не вставляйте в переписку. Держите в менеджере секретов или переменных окружения и отзывайте, если он мог утечь.

У API есть важное ограничение: он видит облачный слой, но не заглядывает внутрь сервера. Он покажет, что VPS существует, какой у него диск и есть ли бэкап, но не расскажет, что внутри кто-то полгода назад поднял Docker и забыл базу. Полная картина собирается в два слоя — API снаружи и SSH изнутри.