Sprint 0 / #18: multi-stage Dockerfile и супервизор entrypoint #48

2026-10-21T23:30:47+03:00

embeddevio commented

2026-10-21 23:30:47 +03:00

Refs #18, Refs #15.

Что сделано

deploy/Dockerfile — multi-stage:
- stage go-build (golang:1.23-alpine): клонирует и собирает amneziawg-go и amneziawg-tools (awg), ревизии параметризованы AMNEZIAWG_GO_REF / AMNEZIAWG_TOOLS_REF;
- stage runtime (alpine:3.21): iptables/ip6tables, ipset, iproute2, dnsmasq, curl, tini, su-exec, python3 + venv с requirements.txt; сборка Python-зависимостей через временные .build-deps (образ не тащит компилятор);
- пользователь awg (непривилегированный) для API-процесса; каталоги /config, /data, /run/awg (VOLUME), EXPOSE 8080, LABEL с источником;
- HEALTHCHECK на http://127.0.0.1:8080/api/v1/health (эндпоинт появится в #31); ENTRYPOINT через tini для корректной обработки сигналов.
deploy/entrypoint.sh — супервизор: preflight-проверки (/dev/net/tun, доступ к iptables, наличие awg/ipset) с явным FATAL вместо тихой деградации, подготовка каталогов состояния, запись таблицы 100 awg-vpn в /etc/iproute2/rt_tables, включение ip_forward, запуск awg-api под su-exec awg и проброс кода возврата в Docker.
deploy/awg0.conf.example — пример клиентского .conf (только заглушки, без ключей).

Что НЕ проверено (честно)

Сборка образа не выполнена: на хосте, где работает TechLead-агент, нет бинаря docker (docker: command not found). Сборка и проверка awg --version / ipset --version / размер ≤250 MB должны быть выполнены там, где есть Docker — это зависит от #17 (CI runner) и #21 (стенд).
Репозитории и ревизии amneziawg-* в build-args взяты по upstream-референсу PoC; перед релизом их нужно запинить на проверенный тег (учтено в #45).
amneziawg-go в userspace-режиме не тестировался (нет стенда).

Гейты

Сборка образа и AC по AC #18 (awg/ipset version, HEALTHCHECK в манифесте, размер, падение без NET_ADMIN) — на стороне devops
CI green (#17)
Ревью владельца роли

Refs #18, Refs #15. ## Что сделано - **deploy/Dockerfile** — multi-stage: - stage `go-build` (`golang:1.23-alpine`): клонирует и собирает `amneziawg-go` и `amneziawg-tools` (`awg`), ревизии параметризованы `AMNEZIAWG_GO_REF` / `AMNEZIAWG_TOOLS_REF`; - stage `runtime` (`alpine:3.21`): iptables/ip6tables, ipset, iproute2, dnsmasq, curl, tini, su-exec, python3 + venv с `requirements.txt`; сборка Python-зависимостей через временные `.build-deps` (образ не тащит компилятор); - пользователь `awg` (непривилегированный) для API-процесса; каталоги `/config`, `/data`, `/run/awg` (VOLUME), `EXPOSE 8080`, `LABEL` с источником; - `HEALTHCHECK` на `http://127.0.0.1:8080/api/v1/health` (эндпоинт появится в #31); `ENTRYPOINT` через `tini` для корректной обработки сигналов. - **deploy/entrypoint.sh** — супервизор: preflight-проверки (`/dev/net/tun`, доступ к iptables, наличие `awg`/`ipset`) с явным FATAL вместо тихой деградации, подготовка каталогов состояния, запись таблицы 100 `awg-vpn` в `/etc/iproute2/rt_tables`, включение `ip_forward`, запуск `awg-api` под `su-exec awg` и проброс кода возврата в Docker. - **deploy/awg0.conf.example** — пример клиентского `.conf` (только заглушки, без ключей). ## Что НЕ проверено (честно) - **Сборка образа не выполнена**: на хосте, где работает TechLead-агент, нет бинаря `docker` (`docker: command not found`). Сборка и проверка `awg --version` / `ipset --version` / размер ≤250 MB должны быть выполнены там, где есть Docker — это зависит от #17 (CI runner) и #21 (стенд). - Репозитории и ревизии `amneziawg-*` в build-args взяты по upstream-референсу PoC; перед релизом их нужно **запинить на проверенный тег** (учтено в #45). - `amneziawg-go` в userspace-режиме не тестировался (нет стенда). ## Гейты - [ ] Сборка образа и AC по AC #18 (awg/ipset version, HEALTHCHECK в манифесте, размер, падение без NET_ADMIN) — на стороне devops - [ ] CI green (#17) - [ ] Ревью владельца роли

embeddevio added the devops label 2026-10-21 23:30:47 +03:00

embeddevio added 8 commits 2026-10-21 23:30:48 +03:00

chore(#16 ): skeleton репозитория — README, Makefile, линтеры, зависимости 63c4fa930d

chore(#16 ): каркас пакетов backend, тестов и заглушки ui/deploy/tests 5647d339b1

docs(#16 ): ADR-001, ADR-002, индекс и шаблон ADR 63e653b710

docs(#16 ): ADR-003 (reconcile) и ADR-004 (GeoIP провайдер) 63a2df893d

docs(#16 ): ADR-005 (DNS) и ADR-006 (состояние) d9cad87fc8

docs(#16 ): ADR-007 (web-сервер) и ADR-008 (безопасность) 1db3824cb4

feat(#18 ): multi-stage Dockerfile (awg-tools + runtime alpine) a046daffc0

feat(#18 ): супервизор entrypoint.sh и пример .conf d60ebf8449

embeddevio closed this pull request

2026-10-21 23:30:57 +03:00