From f077a85cba3b8ebbff3eaa508d5b8dd04b8a3ba7 Mon Sep 17 00:00:00 2001 From: embeddevio Date: Wed, 28 Oct 2026 22:01:48 +0300 Subject: [PATCH] =?UTF-8?q?test(ci):=20=D0=B2=D0=B5=D1=82=D0=BA=D0=B0=20?= =?UTF-8?q?=D0=BF=D1=80=D0=BE=D0=B2=D0=B5=D1=80=D0=BA=D0=B8=20=D0=BF=D0=B0?= =?UTF-8?q?=D0=B9=D0=BF=D0=BB=D0=B0=D0=B9=D0=BD=D0=B0=20=E2=80=94=20deploy?= =?UTF-8?q?/Dockerfile=20=D0=B8=D0=B7=20#18=20(Refs=20#17)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- deploy/Dockerfile | 79 ++++++++++++++++++++++++++++++++++++++++ deploy/awg0.conf.example | 32 ++++++++++++++++ deploy/entrypoint.sh | 77 +++++++++++++++++++++++++++++++++++++++ 3 files changed, 188 insertions(+) create mode 100644 deploy/Dockerfile create mode 100644 deploy/awg0.conf.example create mode 100644 deploy/entrypoint.sh diff --git a/deploy/Dockerfile b/deploy/Dockerfile new file mode 100644 index 0000000..9f02af9 --- /dev/null +++ b/deploy/Dockerfile @@ -0,0 +1,79 @@ +# syntax=docker/dockerfile:1.7 +# +# awg-dash — единый образ: AmneziaWG gateway + policy routing + REST API + Web UI. +# Задача: #18 (эпик #15). ADR: docs/adr/002-single-image-modular-monolith.md +# +# ВАЖНО: AMNEZIAWG_GO_REF / AMNEZIAWG_TOOLS_REF по умолчанию указывают на master +# и должны быть запинены на проверенный тег/коммит перед релизом (см. #45). + +ARG GO_IMAGE=golang:1.25-alpine + +# --- stage 1: сборка awg-утилит (Go) ----------------------------------------- +FROM ${GO_IMAGE} AS go-build + +ARG AMNEZIAWG_GO_REPO=https://github.com/amnezia-vpn/amneziawg-go.git +ARG AMNEZIAWG_GO_REF=master +ARG AMNEZIAWG_TOOLS_REPO=https://github.com/amnezia-vpn/amneziawg-tools.git +ARG AMNEZIAWG_TOOLS_REF=master + +RUN apk add --no-cache git make gcc musl-dev linux-headers + +WORKDIR /src +RUN git clone --depth 1 --branch "${AMNEZIAWG_GO_REF}" "${AMNEZIAWG_GO_REPO}" amneziawg-go \ + && cd amneziawg-go && make && cp amneziawg-go /usr/local/bin/amneziawg-go + +RUN git clone --depth 1 --branch "${AMNEZIAWG_TOOLS_REF}" "${AMNEZIAWG_TOOLS_REPO}" amneziawg-tools \ + && cd amneziawg-tools/src && make \ + && cp wg /usr/local/bin/awg \ + && if [ -f wg-quick ]; then cp wg-quick /usr/local/bin/awg-quick; fi + +# --- stage 2: runtime ------------------------------------------------------- +FROM alpine:3.21 AS runtime + +LABEL org.opencontainers.image.title="awg-dash" \ + org.opencontainers.image.description="AmneziaWG gateway with intelligent routing: REST API + Web UI + split-tunnel" \ + org.opencontainers.image.source="http://192.168.1.111:3000/embeddevio/awg-dash" + +# Сетевые утилиты: iptables/ip6tables, ipset, iproute2 (policy routing), dnsmasq (ADR-005), +# curl (HEALTHCHECK), tini (PID 1), su-exec (запуск API под непривилегированным пользователем). +RUN apk add --no-cache \ + bash curl iproute2 ipset iptables ip6tables dnsmasq \ + python3 py3-pip tini su-exec \ + && addgroup -S awg \ + && adduser -S -G awg -h /app awg + +ENV PATH=/opt/venv/bin:$PATH \ + PYTHONUNBUFFERED=1 \ + PYTHONDONTWRITEBYTECODE=1 \ + PYTHONPATH=/app/backend \ + AWG_CONFIG_DIR=/config \ + AWG_DATA_DIR=/data \ + AWG_RUN_DIR=/run/awg \ + AWG_API_HOST=0.0.0.0 \ + AWG_API_PORT=8080 + +WORKDIR /app +COPY requirements.txt /app/requirements.txt +RUN apk add --no-cache --virtual .build-deps gcc musl-dev python3-dev libffi-dev \ + && python3 -m venv /opt/venv \ + && /opt/venv/bin/pip install --no-cache-dir --upgrade pip \ + && /opt/venv/bin/pip install --no-cache-dir -r /app/requirements.txt \ + && apk del .build-deps + +COPY backend/ /app/backend/ +COPY --from=go-build /usr/local/bin/awg /usr/local/bin/awg +COPY --from=go-build /usr/local/bin/amneziawg-go /usr/local/bin/amneziawg-go +COPY deploy/entrypoint.sh /entrypoint.sh +RUN chmod +x /entrypoint.sh \ + && mkdir -p /config /data /run/awg \ + && chown -R awg:awg /app /config /data /run/awg + +VOLUME ["/config", "/data"] +EXPOSE 8080 + +# healthcheck ходит в /api/v1/health (задача #31). До реализации API контейнер +# будет помечаться как unhealthy — это ожидаемое состояние до #31. +HEALTHCHECK --interval=30s --timeout=5s --start-period=20s --retries=3 \ + CMD curl -fsS "http://127.0.0.1:${AWG_API_PORT}/api/v1/health" >/dev/null || exit 1 + +ENTRYPOINT ["/sbin/tini", "--", "/entrypoint.sh"] diff --git a/deploy/awg0.conf.example b/deploy/awg0.conf.example new file mode 100644 index 0000000..5538ee0 --- /dev/null +++ b/deploy/awg0.conf.example @@ -0,0 +1,32 @@ +# Пример клиентского конфига AmneziaWG для awg-dash. +# +# Скопируйте в том /config как awg0.conf (имя файла = имя интерфейса) или +# загрузите через Web UI (задача #38). Значения ниже — заглушки, замените своими. +# Файл в репозитории не является рабочим конфигом и не содержит реальных ключей. + +[Interface] +# Адрес внутри туннеля (из панели провайдера AmneziaWG) +Address = 10.8.1.2/32 + +# DNS: адрес должен указывать на этот шлюз, иначе не сработает DNS-split (ADR-005) +DNS = 10.8.1.1 + +PrivateKey = + +# Обфускация AmneziaWG (Amnezia VPN: экспорт -> AmneziaWG) +Jc = 4 +Jmin = 40 +Jmax = 70 +S1 = 0 +S2 = 0 +H1 = 1 +H2 = 2 +H3 = 3 +H4 = 4 + +[Peer] +PublicKey = +PresharedKey = +AllowedIPs = 0.0.0.0/0, ::/0 +Endpoint = : +PersistentKeepalive = 25 diff --git a/deploy/entrypoint.sh b/deploy/entrypoint.sh new file mode 100644 index 0000000..fc8fd84 --- /dev/null +++ b/deploy/entrypoint.sh @@ -0,0 +1,77 @@ +#!/bin/sh +# Супервизор контейнера awg-dash (задача #18, ADR-002). +# Последовательность: preflight -> подготовка -> запуск awg-api под awg. +# Привилегированный агент awg-agent стартует отсюда же после реализации (#22). +# +# Роль процесса: все сетевые операции выполняет агент под root; здесь только +# проверяем, что нужные возможности и устройства проброшены, и падаем явной +# ошибкой, если контейнер запущен без них (а не тихо деградируем). +set -eu + +CONFIG_DIR="${AWG_CONFIG_DIR:-/config}" +DATA_DIR="${AWG_DATA_DIR:-/data}" +RUN_DIR="${AWG_RUN_DIR:-/run/awg}" +API_HOST="${AWG_API_HOST:-0.0.0.0}" +API_PORT="${AWG_API_PORT:-8080}" +ROUTING_TABLE_ID=100 +ROUTING_TABLE_NAME=awg-vpn + +log() { printf '[entrypoint] %s\n' "$*"; } +fail() { printf '[entrypoint] FATAL: %s\n' "$*" >&2; exit 1; } + +log 'preflight' +[ -e /dev/net/tun ] || fail '/dev/net/tun не проброшен: добавьте --device=/dev/net/tun:/dev/net/tun' +iptables -t mangle -L -n >/dev/null 2>&1 || fail 'iptables недоступен: нужен --cap-add=NET_ADMIN (и/или --privileged)' +command -v awg >/dev/null 2>&1 || fail 'бинарь awg не найден в образе' +command -v amneziawg-go >/dev/null 2>&1 || log 'WARN: amneziawg-go не найден — остаётся только kernel-модуль' +command -v ipset >/dev/null 2>&1 || fail 'ipset не найден в образе' + +log 'подготовка каталогов состояния' +mkdir -p "$CONFIG_DIR" "$DATA_DIR" "$RUN_DIR" +chown -R awg:awg "$CONFIG_DIR" "$DATA_DIR" "$RUN_DIR" 2>/dev/null || true +chmod 700 "$CONFIG_DIR" "$DATA_DIR" 2>/dev/null || true + +mkdir -p /etc/iproute2 +touch /etc/iproute2/rt_tables 2>/dev/null || true +if ! grep -q "^${ROUTING_TABLE_ID} ${ROUTING_TABLE_NAME}" /etc/iproute2/rt_tables 2>/dev/null; then + printf '%s %s\n' "$ROUTING_TABLE_ID" "$ROUTING_TABLE_NAME" >> /etc/iproute2/rt_tables \ + || log 'WARN: не удалось записать таблицу маршрутизации в /etc/iproute2/rt_tables' +fi + +sysctl -w net.ipv4.ip_forward=1 >/dev/null 2>&1 \ + || log 'WARN: net.ipv4.ip_forward не включён — задайте --sysctl net.ipv4.ip_forward=1 или --privileged (см. runbook #45)' + +log "awg: $(awg --version 2>/dev/null | head -n 1 || echo 'version unknown')" + +api_pid='' +if [ -f /app/backend/awg_api/app.py ]; then + log "запуск awg-api на ${API_HOST}:${API_PORT}" + su-exec awg /opt/venv/bin/uvicorn awg_api.app:app --host "$API_HOST" --port "$API_PORT" & + api_pid=$! +else + log 'WARN: awg_api/app.py ещё не реализован (задача #31) — API не запущен, контейнер работает только как агент' +fi + +stop() { + if [ -n "$api_pid" ] && kill -0 "$api_pid" 2>/dev/null; then + log 'остановка awg-api' + kill -TERM "$api_pid" 2>/dev/null || true + fi +} +trap stop INT TERM + +if [ -n "$api_pid" ]; then + # ждём завершения API и прокидываем его код возврата в Docker + set +e + wait "$api_pid" + rc=$? + set -e + log "awg-api завершился с кодом $rc" + exit "$rc" +fi + +log 'активных процессов нет (agent #22 и api #31 ещё не реализованы) — ожидание сигнала' +while :; do + sleep 3600 & + wait $! +done