Семантический поиск по товарам и RAG на базе векторной СУБД Qdrant: развертывание на VDS в Docker Compose с оптимизацией под CPU

Классический поиск интернет-магазинов и каталогов годами строился на базе операторов LIKE в MySQL/PostgreSQL или полнотекстовых движков вроде Sphinx и Elastic. Однако ключевая проблема текстового поиска — полная глухота к смыслу: если покупатель ищет «тихая беспроводная мышь для офиса», «красное вечернее платье на выпускной» или «недорогой смартфон с хорошей камерой», обычный движок вернет пустой результат или случайные товары, в описании которых случайно совпали отдельные слова. В этой статье мы разберем, как развернуть векторную базу данных Qdrant v1.19.2 на собственном российском VDS в Docker Compose, оптимизировать её под обычный многоядерный CPU с экономией 75% оперативной памяти и запустить готовый микросервис семантического поиска и RAG на Python.

1. Почему классический поиск пасует перед семантикой и зачем нужна векторная база данных

Традиционный полнотекстовый поиск (который мы детально разбирали в статье о развертывании Meilisearch на VDS) работает по принципу обратного индекса (inverted index): он разбивает текст на токены, приводит их к нормальной форме (стемминг/лемматизация) и ищет точные совпадения слов. Это отлично работает для артикулов, точных названий моделей («iPhone 15 Pro 256GB») и фильтров по брендам.

Но современный пользователь ищет товары и информацию на естественном разговорном языке. Векторный поиск решает эту проблему принципиально иначе:

• Преобразование текста в эмбеддинги: Нейросетевая модель кодирует смысл любого текста (названия товара, характеристик, отзыва или поискового запроса) в виде многомерного числового вектора (например, 384 или 1024 числа с плавающей точкой).
• Семантическая близость: Тексты с близким смыслом («ноутбук для программирования» и «лэптоп для разработки») в векторном пространстве располагаются рядом друг с другом, даже если в них нет ни одного общего слова.
• Поиск по графам HNSW: Для мгновенного нахождения ближайших векторов среди сотен тысяч товаров используется алгоритм Hierarchical Navigable Small World (HNSW), обеспечивающий логарифмическую скорость ответа (5–15 мс) без полного перебора базы.

2. Архитектура и системные требования: оптимизация под CPU без видеокарт

Распространенный миф гласит, что для работы с векторными базами данных и эмбеддингами обязательно требуется дорогой VDS с серверной видеокартой (GPU). На практике Qdrant спроектирован с упором на максимальную параллелизацию на CPU. При векторном поиске по готовому квантованному индексу в RAM задержка составляет считанные миллисекунды (3–18 мс), что позволяет легко обслуживать сотни поисковых обращений в секунду даже на скромном VDS, а на многоядерных процессорах — масштабироваться до тысяч QPS.

Ориентировочная эмпирическая оценка редакции SysKit на основе практических тестов производительности многоядерных CPU:

Главные архитектурные механизмы оптимизации Qdrant под бюджетные серверы:

• Скалярное квантование (Scalar Quantization int8): По умолчанию каждое число вектора занимает 4 байта (Float32). Скалярное квантование сжимает числа в 1-байтовые целые (int8) прямо в оперативной памяти. Это снижает расход RAM в 4 раза (на 75%), сохраняя точность поиска (Recall) на уровне ~98.5% (по замерам бенчмарков Qdrant).
• Хранение метаданных на диске (On-Disk Payload): Описания товаров, цены, категории, бренды и изображения (payload) хранятся в собственном высокопроизводительном key-value движке Gridstore (который полностью заменил устаревший RocksDB в Qdrant) на быстром NVMe-диске и загружаются в память только для финализированного топ-списка результатов.
• Изоляция сетевых интерфейсов: Сервер слушает два порта: 6333 (HTTP REST API и встроенный Web Dashboard) и 6334 (высокоскоростной бинарный gRPC для внутренних микросервисов). В боевой среде эти порты изолируются на 127.0.0.1 и защищаются секретным API-ключом.

3. Подготовка VDS: структура каталогов, защита от OOM Killer и генерация API Key

Для надежного функционирования базы данных на production-сервере под управлением Ubuntu 24.04 или Debian 12 создадим выделенный каталог проекта /opt/qdrant с подкаталогами для постоянных данных и снимков состояния (снапшотов):

# Создаем структуру каталогов для хранилища и снапшотов
sudo mkdir -p /opt/qdrant/storage /opt/qdrant/snapshots

# Переходим в каталог проекта
cd /opt/qdrant

# Устанавливаем строгие права доступа (чтение и запись только владельцу)
sudo chmod -R 750 /opt/qdrant

При первичной загрузке большого массива векторов или фоновой перестройке HNSW-графов может возникать кратковременный всплеск потребления памяти. Чтобы процесс не был аварийно завершен системным демоном ядра Linux (OOM Killer), обязательно убедитесь в наличии файла подкачки (swap) размером не менее 2 ГБ. Если swap не настроен, активируйте его стандартной последовательностью команд:

# Создаем swap-файл на 2 ГБ на NVMe-диске (если он еще не создан)
sudo fallocate -l 2G /swapfile || sudo dd if=/dev/zero of=/swapfile bs=1M count=2048
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

# Фиксируем монтирование в fstab для автозапуска после перезагрузки VDS
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Начиная с ветки 1.19, Qdrant выдает в системных логах строгое предупреждение безопасности, если сервис запущен без установленного ключа аутентификации. Сгенерируем криптографически надежный API-ключ длиной 32 байта с помощью утилиты openssl (вы также можете воспользоваться нашим онлайн генератором надежных паролей и API-ключей):

# Генерируем 64-символьный hex-токен аутентификации
openssl rand -hex 32

Создадим файл переменных окружения /opt/qdrant/.env и ограничим к нему доступ:

# Создаем файл конфигурации .env
cat << 'EOF' | sudo tee /opt/qdrant/.env
# Секретный ключ для доступа к REST и gRPC API (ОБЯЗАТЕЛЬНО замените на ваш сгенерированный токен!)
QDRANT__SERVICE__API_KEY=9f8e7d6c5b4a3210fedcba9876543210abcdef0123456789abcdef0123456789

# Разрешаем CORS для обращения к встроенному Web Dashboard
QDRANT__SERVICE__ENABLE_CORS=true

# Уровень логирования (INFO или WARN для снижения объема логов)
QDRANT__LOG_LEVEL=INFO
EOF

# Защищаем файл с секретами от посторонних пользователей
sudo chmod 600 /opt/qdrant/.env

4. Развертывание Qdrant v1.19.2 в Docker Compose: production-манифест

Подготовим манифест /opt/qdrant/docker-compose.yml. Мы используем актуальный официальный образ qdrant/qdrant:v1.19.2, фиксируем лимиты ресурсов контейнера (чтобы гарантировать стабильность операционной системы VDS) и изолируем сетевые порты на локальный интерфейс 127.0.0.1:

# /opt/qdrant/docker-compose.yml
services:
  qdrant:
    image: qdrant/qdrant:v1.19.2
    container_name: qdrant_engine
    restart: unless-stopped
    # Жесткие лимиты ресурсов для защиты от OOM
    mem_limit: 1024m
    mem_reservation: 512m
    cpus: 1.5
    env_file:
      - .env
    ports:
      # HTTP REST API и Web Dashboard (строго на loopback)
      - "127.0.0.1:6333:6333"
      # gRPC API для высоконагруженных микросервисов
      - "127.0.0.1:6334:6334"
    volumes:
      # Каталог основных данных (коллекции, индексы, payload)
      - ./storage:/qdrant/storage
      # Каталог резервных копий и снапшотов
      - ./snapshots:/qdrant/snapshots
    environment:
      # Защита от телеметрии разработчикам
      - QDRANT__TELEMETRY_DISABLED=true

Запустим контейнер базы данных в фоновом режиме:

# Запускаем Qdrant в Docker Compose
sudo docker compose up -d

# Проверяем статус контейнера и прохождение healthcheck
sudo docker compose ps

# Просматриваем системные логи инициализации
sudo docker compose logs -f qdrant

Проверим работоспособность HTTP API и корректность проверки API-ключа через curl:

# Запрос без ключа (должен вернуть HTTP 401 Unauthorized)
curl -s -o /dev/null -w "%{http_code}
" http://127.0.0.1:6333/collections

# Запрос с заголовком api-key (должен вернуть HTTP 200 OK и JSON со списком коллекций)
curl -s -H "api-key: 9f8e7d6c5b4a3210fedcba9876543210abcdef0123456789abcdef0123456789"   http://127.0.0.1:6333/collections

5. Настройка обратного прокси Nginx и SSL: защита Web Dashboard и API

Чтобы безопасно обращаться к Qdrant из внешних микросервисов, интернет-магазина и веб-интерфейса, настроим Nginx в качестве реверс-прокси с шифрованием TLS/HTTPS. Обратите внимание на директиву client_max_body_size 50m;: при массовой индексации товары передаются пачками (батчами по 1000–5000 векторов), поэтому стандартного лимита Nginx в 1 МБ будет недостаточно.

Создадим файл конфигурации виртуального хоста /etc/nginx/sites-available/qdrant.conf:

# /etc/nginx/sites-available/qdrant.conf
server {
    listen 80;
    server_name qdrant.example.com;

    # Увеличенный лимит тела запроса для пакетной загрузки векторов
    client_max_body_size 50m;

    location / {
        proxy_pass http://127.0.0.1:6333;
        proxy_http_version 1.1;

        # Проброс заголовков для Web Dashboard и WebSocket соединений
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # Оптимизация буферизации
        proxy_connect_timeout 60s;
        proxy_read_timeout 120s;
        proxy_send_timeout 120s;
    }
}

Активируем сайт символической ссылкой, проверим конфигурацию и выпустим бесплатный SSL-сертификат Let's Encrypt через Certbot (вы также можете сформировать индивидуальную конфигурацию веб-сервера через наш генератор Nginx Reverse Proxy):

# Активируем конфигурационный файл
sudo ln -sf /etc/nginx/sites-available/qdrant.conf /etc/nginx/sites-enabled/

# Проверяем синтаксис директив Nginx
sudo nginx -t

# Перезагружаем веб-сервер
sudo systemctl reload nginx

# Выпускаем SSL-сертификат с автоматическим перенаправлением на HTTPS
sudo certbot --nginx -d qdrant.example.com --non-interactive --agree-tos -m admin@example.com --redirect

После выпуска сертификата проверьте корректность цепочки шифрования через утилиту SysKit SSL Checker. Убедитесь, что порт 6333 закрыт от прямого сканирования извне с помощью Port Checker.

6. Практический микросервис семантического поиска на Python: FastEmbed без тяжелого PyTorch

Классическая интеграция с эмбеддингами на Python часто упирается в тяжеловесные фреймворки (PyTorch / Transformers), которые требуют от 2.5 ГБ дискового пространства и моментально выбивают сервер из лимитов памяти. Разработчики Qdrant создали библиотеку FastEmbed — сверхлегкий движок векторизации на базе ONNX Runtime, работающий в десятки раз быстрее чистого Python и не требующий видеокарты.

Создадим виртуальное окружение и установим официальные клиенты:

# Создаем изолированное Python-окружение
python3 -m venv /opt/qdrant/venv
source /opt/qdrant/venv/bin/activate

# Устанавливаем официальный клиент Qdrant и оптимизированный движок FastEmbed
pip install --upgrade qdrant-client fastembed

Создадим скрипт /opt/qdrant/search_demo.py, который выполняет три ключевые задачи:

1. Инициализирует коллекцию catalog_products со скалярным квантованием (int8) и хранением векторов на диске.
2. Векторизует демонстрационный каталог товаров с помощью русскоязычной модели intfloat/multilingual-e5-small (размер вектора — 384 числа).
3. Выполняет гибридный поиск: находит товары по смыслу фразы пользователя с одновременной строгой фильтрацией по наличию на складе и предельной цене.

# /opt/qdrant/search_demo.py
import os
import sys
from qdrant_client import QdrantClient, models
from fastembed import TextEmbedding

QDRANT_URL = "http://127.0.0.1:6333"
# Безопасное чтение API-ключа из переменной окружения (без хардкода секретов в коде)
API_KEY = os.getenv("QDRANT_API_KEY")
if not API_KEY:
    print("❌ Ошибка: переменная окружения QDRANT_API_KEY не задана!", file=sys.stderr)
    print("Экспортируйте ключ: export QDRANT_API_KEY=$(grep -E '^QDRANT__SERVICE__API_KEY=' /opt/qdrant/.env | cut -d '=' -f2-)", file=sys.stderr)
    sys.exit(1)

COLLECTION_NAME = "catalog_products"

# Инициализируем клиент Qdrant
client = QdrantClient(url=QDRANT_URL, api_key=API_KEY)

# Загружаем оптимизированную легковесную модель эмбеддингов
print("⏳ Инициализация модели эмбеддингов (ONNX CPU)...")
embedding_model = TextEmbedding(model_name="intfloat/multilingual-e5-small")

# 1. Создаем коллекцию с оптимизацией под память (Scalar Quantization int8)
if not client.collection_exists(COLLECTION_NAME):
    print(f"📦 Создание коллекции '{COLLECTION_NAME}'...")
    client.create_collection(
        collection_name=COLLECTION_NAME,
        vectors_config=models.VectorParams(
            size=384,
            distance=models.Distance.COSINE,
            on_disk=True, # Векторы хранятся на NVMe для экономии RAM
        ),
        quantization_config=models.ScalarQuantization(
            scalar=models.ScalarQuantizationConfig(
                type=models.ScalarType.INT8,
                quantile=0.99,
                memory=models.Memory.PINNED, # Современный синтаксис Qdrant 1.19+ (вместо устаревшего always_ram)
            )
        ),
        on_disk_payload=True, # Описания и цены хранятся на диске
    )

    # 2. Индексируем демонстрационный каталог товаров интернет-магазина
    sample_products = [
        {"id": 1, "title": "Беспроводная мышь Logitech MX Master 3S", "desc": "Бесшумные клики, лазерный сенсор 8000 DPI, эргономичная форма для долгой работы за компьютером в офисе", "price": 8900, "in_stock": True},
        {"id": 2, "title": "Игровая гарнитура HyperX Cloud II", "desc": "Наушники с объемным звуком 7.1, съемный микрофон с шумоподавлением, мягкие амбушюры", "price": 7200, "in_stock": True},
        {"id": 3, "title": "Механическая клавиатура Keychron K2", "desc": "Компактная беспроводная клавиатура, переключатели Gateron Brown, подсветка для ночной печати текста", "price": 9500, "in_stock": False},
        {"id": 4, "title": "Бюджетная оптическая мышь Defender", "desc": "Простая проводная мышка со шнуром USB для школьников и офисных ПК", "price": 450, "in_stock": True},
        {"id": 5, "title": "Офисное кресло Herman Miller Aeron", "desc": "Анатомическое кресло с регулировкой поясницы для комфортной работы программиста без боли в спине", "price": 115000, "in_stock": True},
    ]

    print("🚀 Генерация эмбеддингов и загрузка товаров в Qdrant...")
    # Обязательный префикс 'passage: ' для документов и карточек товаров модели E5
    texts_to_embed = [f"passage: {p['title']}. {p['desc']}" for p in sample_products]
    vectors = list(embedding_model.embed(texts_to_embed))

    points = [
        models.PointStruct(
            id=p["id"],
            vector=vectors[idx].tolist(),
            payload=p
        )
        for idx, p in enumerate(sample_products)
    ]

    client.upsert(collection_name=COLLECTION_NAME, points=points)
    print("✅ Товары успешно проиндексированы!")

# 3. Функция семантического поиска с фильтрацией
def search_catalog(query_text: str, max_price: int = None):
    print(f"
🔍 Поисковый запрос: '{query_text}' (макс. цена: {max_price or 'любая'})")
    
    # Обязательный префикс 'query: ' для поисковых фраз пользователя модели E5
    query_vector = list(embedding_model.embed([f"query: {query_text}"]))[0].tolist()

    # Формируем гибридный фильтр (только товары в наличии + ограничение по цене)
    filter_conditions = [
        models.FieldCondition(key="in_stock", match=models.MatchValue(value=True))
    ]
    if max_price:
        filter_conditions.append(
            models.FieldCondition(key="price", range=models.Range(lte=max_price))
        )

    # Выполняем векторный поиск через современный Query API (qdrant-client 1.19+)
    results = client.query_points(
        collection_name=COLLECTION_NAME,
        query=query_vector,
        query_filter=models.Filter(must=filter_conditions),
        limit=2,
    )

    for r in results.points:
        p = r.payload
        print(f"  ⭐ Совпадение: {r.score:.4f} | {p['title']} — {p['price']} руб.")
        print(f"     Описание: {p['desc'][:80]}...")

if __name__ == "__main__":
    # Тестовый запрос 1: ищем по смыслу, а не по названию
    search_catalog("тихий манипулятор для комфортной офисной работы", max_price=10000)
    # Тестовый запрос 2: ищем устройства для аудиосвязи
    search_catalog("микрофон и качественный звук для онлайн-созвонов и игр")

Запустим скрипт и оценим результат:

# Экспортируем API-ключ из защищенного файла .env проекта
export QDRANT_API_KEY=$(grep -E '^QDRANT__SERVICE__API_KEY=' /opt/qdrant/.env | cut -d '=' -f2-)

# Запускаем демонстрационный поиск
python3 /opt/qdrant/search_demo.py

Благодаря префиксам passage: и query: модель E5 демонстрирует эталонную семантическую релевантность: запрос покупателя «тихий манипулятор для комфортной офисной работы» (в котором нет слов «мышь» или «Logitech») безошибочно выводит на первое место Logitech MX Master 3S с высоким косинусным сходством более 0.88, а недорогую проводную мышь отсекает или ранжирует ниже.

7. Интеграция с локальными LLM и RAG-контуром: Ollama и Dify

Векторные базы данных являются ключевым звеном архитектуры RAG (Retrieval-Augmented Generation) — генерации ответов с дополнением контекста из внешних баз знаний. Если подключить языковую модель напрямую, она неизбежно начинает выдумывать несуществующие цены, остатки и условия доставки. В связке с Qdrant этот процесс работает по строгой детерминированной схеме:

1. Запрос клиента: Покупатель или сотрудник задает вопрос: «Какое кресло лучше взять, если болит поясница, и есть ли оно в наличии?».
2. Семантический ретривер: Микросервис преобразует вопрос в эмбеддинг и обращается в Qdrant. База данных за 8 мс возвращает 2–3 релевантных карточки товаров с точным описанием, актуальной ценой и статусом наличия.
3. Промпт-аугментация: Найденный контекст подставляется в системный промпт LLM: «Отвечай строго на основе следующих данных: [Контекст из Qdrant]. Если ответа нет в данных, скажи, что информации недостаточно».
4. Финальный ответ: Модель формулирует точный, вежливый и аргументированный ответ без единой галлюцинации.

8. Политика снапшотов и автоматическое резервное копирование в отечественный S3

Для создания целостных резервных копий в Qdrant предусмотрен встроенный механизм создания снапшотов (point-in-time snapshots). Снапшот создается на лету без блокировки операций записи и чтения через вызов REST API и сохраняется в каталог /opt/qdrant/snapshots в виде единого архива.

Создадим автоматизированный скрипт /opt/qdrant/backup.sh, который инициирует создание снапшота, упаковывает его и выгружает в объектное S3-хранилище (Timeweb Cloud S3 или Selectel):

#!/usr/bin/env bash
set -eo pipefail

BACKUP_DIR="/var/backups/qdrant"
PROJECT_DIR="/opt/qdrant"
DATE=$(date +%Y%m%d_%H%M%S)
COLLECTION="catalog_products"

# Безопасно извлекаем API-ключ из защищенного файла конфигурации проекта .env
if [ -f "$PROJECT_DIR/.env" ]; then
  API_KEY=$(grep -E '^QDRANT__SERVICE__API_KEY=' "$PROJECT_DIR/.env" | cut -d '=' -f2- | tr -d '"''' ')
fi

if [ -z "$API_KEY" ]; then
  echo "[$DATE] Ошибка: ключ QDRANT__SERVICE__API_KEY не найден в $PROJECT_DIR/.env!" >&2
  exit 1
fi

mkdir -p "$BACKUP_DIR"
cd "$PROJECT_DIR"

# 1. Запрашиваем создание консистентного снапшота через локальный API
SNAPSHOT_NAME=$(curl -s -X POST   -H "api-key: $API_KEY"   "http://127.0.0.1:6333/collections/$COLLECTION/snapshots"   | grep -oP '(?<="name":")[^"]+')

if [ -z "$SNAPSHOT_NAME" ]; then
  echo "[$DATE] Ошибка создания снапшота коллекции $COLLECTION!" >&2
  exit 1
fi

echo "[$DATE] Создан снапшот: $SNAPSHOT_NAME"

# 2. Перемещаем файл в архивный каталог
ARCHIVE_FILE="$BACKUP_DIR/${COLLECTION}_snapshot_${DATE}.snapshot"
cp "./snapshots/$COLLECTION/$SNAPSHOT_NAME" "$ARCHIVE_FILE"
chmod 600 "$ARCHIVE_FILE"

# 3. Удаляем резервные копии старше 14 дней
find "$BACKUP_DIR" -type f -name "*_snapshot_*.snapshot" -mtime +14 -delete

# 4. Выгрузка в S3 (при настроенном s3cmd или aws-cli)
# aws --endpoint-url https://s3.timeweb.cloud s3 cp "$ARCHIVE_FILE" s3://my-backups/qdrant/

echo "[$DATE] Резервное копирование Qdrant успешно завершено: $ARCHIVE_FILE"

Сделаем скрипт исполняемым и настроим ежедневный запуск в crontab суперпользователя в 03:30 ночи:

# Делаем скрипт исполняемым
sudo chmod +x /opt/qdrant/backup.sh

# Добавляем задачу в crontab
(sudo crontab -l 2>/dev/null; echo "30 3 * * * /opt/qdrant/backup.sh >> /var/log/qdrant_backup.log 2>&1") | sudo crontab -

Если вам потребуется развернуть коллекцию из снапшота на новом сервере, достаточно выполнить один POST-запрос с ключом из файла конфигурации:

# Читаем ключ из .env и восстанавливаем коллекцию из файла снапшота
API_KEY=$(grep -E '^QDRANT__SERVICE__API_KEY=' /opt/qdrant/.env | cut -d '=' -f2-)

curl -X POST -H "api-key: $API_KEY"   -H "Content-Type: application/json"   "http://127.0.0.1:6333/collections/catalog_products/snapshots/recover"   -d '{"location": "file:///qdrant/snapshots/catalog_products/catalog_products_20261021.snapshot"}'

9. Траблшутинг: типичные сбои и их быстрое устранение

В процессе промышленной эксплуатации векторной базы данных инженеры могут столкнуться со специфическими проблемами балансировки памяти и индексации. Ниже приведены решения наиболее частых инцидентов:

10. Обновление Qdrant до новых версий

Мейнтейнеры Qdrant рекомендуют выполнять обновление последовательно между минорными версиями (например, с 1.17 на 1.18, затем на 1.19), поскольку между ними внедрялись новые архитектурные механизмы (переход на движок Gridstore, оптимизация очередей) и происходил вывод устаревших интерфейсов. Перед любым обновлением всегда создавайте контрольный снапшот данных:

# Переходим в рабочий каталог
cd /opt/qdrant

# Создаем внеочередной снапшот перед обновлением
/opt/qdrant/backup.sh

# Загружаем свежий образ и перезапускаем стек
sudo docker compose pull
sudo docker compose down && sudo docker compose up -d

После перезапуска проверьте статус миграции и версию сервиса запросом к эндпоинту телеметрии:

# Проверяем установленную версию с чтением ключа из .env
API_KEY=$(grep -E '^QDRANT__SERVICE__API_KEY=' /opt/qdrant/.env | cut -d '=' -f2-)
curl -s -H "api-key: $API_KEY" http://127.0.0.1:6333/ | grep -oP '(?<="version":")[^"]+'

11. Итоговый чек-лист проверки контура перед запуском в продакшен

Перед переводом клиентского трафика интернет-магазина или RAG-сервиса на боевой сервер Qdrant проверьте соблюдение стандартов надежности:

• Аутентификация API: Переменная QDRANT__SERVICE__API_KEY задана в файле .env, анонимный доступ без авторизационного заголовка отклоняется с кодом 401.
• Сетевая изоляция: Порты 6333 и 6334 привязаны строго к 127.0.0.1 в Docker Compose. Прямой доступ из внешней сети закрыт. Проверено через Port Checker.
• Шифрование SSL/TLS: Внешний доступ к Web Dashboard и REST API организован через Nginx с валидным сертификатом и принудительным HTTPS-редиректом. Проверено через SSL Checker.
• Оптимизация памяти: В коллекциях активировано скалярное квантование (int8) и хранение payload на NVMe-диске (on_disk_payload: true).
• Лимиты Compose: В манифесте зафиксированы параметры mem_limit и cpus, настроен swap-файл (2 ГБ) на случай пиковых нагрузок.
• Резервное копирование: Скрипт backup.sh добавлен в системный cron и регулярно выгружает снапшоты коллекций в независимое S3-хранилище.