smoke 1792234409

SMOKE_1792234409.md

@@ -0,0 +1 @@
+SMOKE 1792234409

deploy/Dockerfile

@@ -1,79 +0,0 @@
-# syntax=docker/dockerfile:1.7
-#
-# awg-dash — единый образ: AmneziaWG gateway + policy routing + REST API + Web UI.
-# Задача: #18 (эпик #15). ADR: docs/adr/002-single-image-modular-monolith.md
-#
-# ВАЖНО: AMNEZIAWG_GO_REF / AMNEZIAWG_TOOLS_REF по умолчанию указывают на master
-# и должны быть запинены на проверенный тег/коммит перед релизом (см. #45).
-
-ARG GO_IMAGE=golang:1.25-alpine
-
-# --- stage 1: сборка awg-утилит (Go) -----------------------------------------
-FROM ${GO_IMAGE} AS go-build
-
-ARG AMNEZIAWG_GO_REPO=https://github.com/amnezia-vpn/amneziawg-go.git
-ARG AMNEZIAWG_GO_REF=master
-ARG AMNEZIAWG_TOOLS_REPO=https://github.com/amnezia-vpn/amneziawg-tools.git
-ARG AMNEZIAWG_TOOLS_REF=master
-
-RUN apk add --no-cache git make gcc musl-dev linux-headers
-
-WORKDIR /src
-RUN git clone --depth 1 --branch "${AMNEZIAWG_GO_REF}" "${AMNEZIAWG_GO_REPO}" amneziawg-go \
- && cd amneziawg-go && make && cp amneziawg-go /usr/local/bin/amneziawg-go
-
-RUN git clone --depth 1 --branch "${AMNEZIAWG_TOOLS_REF}" "${AMNEZIAWG_TOOLS_REPO}" amneziawg-tools \
- && cd amneziawg-tools/src && make \
- && cp wg /usr/local/bin/awg \
- && if [ -f wg-quick ]; then cp wg-quick /usr/local/bin/awg-quick; fi
-
-# --- stage 2: runtime -------------------------------------------------------
-FROM alpine:3.21 AS runtime
-
-LABEL org.opencontainers.image.title="awg-dash" \
-      org.opencontainers.image.description="AmneziaWG gateway with intelligent routing: REST API + Web UI + split-tunnel" \
-      org.opencontainers.image.source="http://192.168.1.111:3000/embeddevio/awg-dash"
-
-# Сетевые утилиты: iptables/ip6tables, ipset, iproute2 (policy routing), dnsmasq (ADR-005),
-# curl (HEALTHCHECK), tini (PID 1), su-exec (запуск API под непривилегированным пользователем).
-RUN apk add --no-cache \
-      bash curl iproute2 ipset iptables ip6tables dnsmasq \
-      python3 py3-pip tini su-exec \
- && addgroup -S awg \
- && adduser -S -G awg -h /app awg
-
-ENV PATH=/opt/venv/bin:$PATH \
-    PYTHONUNBUFFERED=1 \
-    PYTHONDONTWRITEBYTECODE=1 \
-    PYTHONPATH=/app/backend \
-    AWG_CONFIG_DIR=/config \
-    AWG_DATA_DIR=/data \
-    AWG_RUN_DIR=/run/awg \
-    AWG_API_HOST=0.0.0.0 \
-    AWG_API_PORT=8080
-
-WORKDIR /app
-COPY requirements.txt /app/requirements.txt
-RUN apk add --no-cache --virtual .build-deps gcc musl-dev python3-dev libffi-dev \
- && python3 -m venv /opt/venv \
- && /opt/venv/bin/pip install --no-cache-dir --upgrade pip \
- && /opt/venv/bin/pip install --no-cache-dir -r /app/requirements.txt \
- && apk del .build-deps
-
-COPY backend/ /app/backend/
-COPY --from=go-build /usr/local/bin/awg /usr/local/bin/awg
-COPY --from=go-build /usr/local/bin/amneziawg-go /usr/local/bin/amneziawg-go
-COPY deploy/entrypoint.sh /entrypoint.sh
-RUN chmod +x /entrypoint.sh \
- && mkdir -p /config /data /run/awg \
- && chown -R awg:awg /app /config /data /run/awg
-
-VOLUME ["/config", "/data"]
-EXPOSE 8080
-
-# healthcheck ходит в /api/v1/health (задача #31). До реализации API контейнер
-# будет помечаться как unhealthy — это ожидаемое состояние до #31.
-HEALTHCHECK --interval=30s --timeout=5s --start-period=20s --retries=3 \
-  CMD curl -fsS "http://127.0.0.1:${AWG_API_PORT}/api/v1/health" >/dev/null || exit 1
-
-ENTRYPOINT ["/sbin/tini", "--", "/entrypoint.sh"]

deploy/awg0.conf.example

@@ -1,32 +0,0 @@
-# Пример клиентского конфига AmneziaWG для awg-dash.
-#
-# Скопируйте в том /config как awg0.conf (имя файла = имя интерфейса) или
-# загрузите через Web UI (задача #38). Значения ниже — заглушки, замените своими.
-# Файл в репозитории не является рабочим конфигом и не содержит реальных ключей.
-
-[Interface]
-# Адрес внутри туннеля (из панели провайдера AmneziaWG)
-Address = 10.8.1.2/32
-
-# DNS: адрес должен указывать на этот шлюз, иначе не сработает DNS-split (ADR-005)
-DNS = 10.8.1.1
-
-PrivateKey = <PRIVATE_KEY>
-
-# Обфускация AmneziaWG (Amnezia VPN: экспорт -> AmneziaWG)
-Jc = 4
-Jmin = 40
-Jmax = 70
-S1 = 0
-S2 = 0
-H1 = 1
-H2 = 2
-H3 = 3
-H4 = 4
-
-[Peer]
-PublicKey = <SERVER_PUBLIC_KEY>
-PresharedKey = <PRESHARED_KEY>
-AllowedIPs = 0.0.0.0/0, ::/0
-Endpoint = <SERVER_HOST>:<SERVER_PORT>
-PersistentKeepalive = 25

deploy/entrypoint.sh

@@ -1,77 +0,0 @@
-#!/bin/sh
-# Супервизор контейнера awg-dash (задача #18, ADR-002).
-# Последовательность: preflight -> подготовка -> запуск awg-api под awg.
-# Привилегированный агент awg-agent стартует отсюда же после реализации (#22).
-#
-# Роль процесса: все сетевые операции выполняет агент под root; здесь только
-# проверяем, что нужные возможности и устройства проброшены, и падаем явной
-# ошибкой, если контейнер запущен без них (а не тихо деградируем).
-set -eu
-
-CONFIG_DIR="${AWG_CONFIG_DIR:-/config}"
-DATA_DIR="${AWG_DATA_DIR:-/data}"
-RUN_DIR="${AWG_RUN_DIR:-/run/awg}"
-API_HOST="${AWG_API_HOST:-0.0.0.0}"
-API_PORT="${AWG_API_PORT:-8080}"
-ROUTING_TABLE_ID=100
-ROUTING_TABLE_NAME=awg-vpn
-
-log() { printf '[entrypoint] %s\n' "$*"; }
-fail() { printf '[entrypoint] FATAL: %s\n' "$*" >&2; exit 1; }
-
-log 'preflight'
-[ -e /dev/net/tun ] || fail '/dev/net/tun не проброшен: добавьте --device=/dev/net/tun:/dev/net/tun'
-iptables -t mangle -L -n >/dev/null 2>&1 || fail 'iptables недоступен: нужен --cap-add=NET_ADMIN (и/или --privileged)'
-command -v awg >/dev/null 2>&1 || fail 'бинарь awg не найден в образе'
-command -v amneziawg-go >/dev/null 2>&1 || log 'WARN: amneziawg-go не найден — остаётся только kernel-модуль'
-command -v ipset >/dev/null 2>&1 || fail 'ipset не найден в образе'
-
-log 'подготовка каталогов состояния'
-mkdir -p "$CONFIG_DIR" "$DATA_DIR" "$RUN_DIR"
-chown -R awg:awg "$CONFIG_DIR" "$DATA_DIR" "$RUN_DIR" 2>/dev/null || true
-chmod 700 "$CONFIG_DIR" "$DATA_DIR" 2>/dev/null || true
-
-mkdir -p /etc/iproute2
-touch /etc/iproute2/rt_tables 2>/dev/null || true
-if ! grep -q "^${ROUTING_TABLE_ID} ${ROUTING_TABLE_NAME}" /etc/iproute2/rt_tables 2>/dev/null; then
-  printf '%s %s\n' "$ROUTING_TABLE_ID" "$ROUTING_TABLE_NAME" >> /etc/iproute2/rt_tables \
-    || log 'WARN: не удалось записать таблицу маршрутизации в /etc/iproute2/rt_tables'
-fi
-
-sysctl -w net.ipv4.ip_forward=1 >/dev/null 2>&1 \
-  || log 'WARN: net.ipv4.ip_forward не включён — задайте --sysctl net.ipv4.ip_forward=1 или --privileged (см. runbook #45)'
-
-log "awg: $(awg --version 2>/dev/null | head -n 1 || echo 'version unknown')"
-
-api_pid=''
-if [ -f /app/backend/awg_api/app.py ]; then
-  log "запуск awg-api на ${API_HOST}:${API_PORT}"
-  su-exec awg /opt/venv/bin/uvicorn awg_api.app:app --host "$API_HOST" --port "$API_PORT" &
-  api_pid=$!
-else
-  log 'WARN: awg_api/app.py ещё не реализован (задача #31) — API не запущен, контейнер работает только как агент'
-fi
-
-stop() {
-  if [ -n "$api_pid" ] && kill -0 "$api_pid" 2>/dev/null; then
-    log 'остановка awg-api'
-    kill -TERM "$api_pid" 2>/dev/null || true
-  fi
-}
-trap stop INT TERM
-
-if [ -n "$api_pid" ]; then
-  # ждём завершения API и прокидываем его код возврата в Docker
-  set +e
-  wait "$api_pid"
-  rc=$?
-  set -e
-  log "awg-api завершился с кодом $rc"
-  exit "$rc"
-fi
-
-log 'активных процессов нет (agent #22 и api #31 ещё не реализованы) — ожидание сигнала'
-while :; do
-  sleep 3600 &
-  wait $!
-done