From 7e8b748caf5d9f4ab3d2d7f76d6a4b850b9b1366 Mon Sep 17 00:00:00 2001 From: NotBigGhost Date: Wed, 17 Jun 2026 04:27:11 +0300 Subject: [PATCH] =?UTF-8?q?=D0=9F=D1=80=D0=B0=D0=B2=D0=BA=D0=B8=20=D0=BB?= =?UTF-8?q?=D0=BE=D0=BA=D0=B0=D0=BB=D1=8C=D0=BD=D0=BE=D0=B3=D0=BE=20=D1=80?= =?UTF-8?q?=D0=B0=D0=B7=D0=BC=D0=B5=D1=89=D0=B5=D0=BD=D0=B8=D1=8F=20=D0=B4?= =?UTF-8?q?=D0=B5=D0=B2=D0=B0,=20=D0=BF=D0=B5=D1=80=D0=B5=D0=BD=D0=BE?= =?UTF-8?q?=D1=81=20=D1=82=D1=83=D0=BD=D0=B5=D0=BB=D1=8F=20=D0=B2=20=D0=BA?= =?UTF-8?q?=D0=BE=D0=BD=D1=82=D0=B5=D0=B9=D0=BD=D0=B5=D1=80?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .env.example | 14 +++-- README.md | 22 ++++--- backend/tests/conftest.py | 1 + deploy/README.md | 38 +++++++---- deploy/pi/README.md | 66 ++++++++++--------- deploy/pi/forbidden-stars-tunnel.service | 27 -------- deploy/tunnel/.dockerignore | 2 + deploy/tunnel/Dockerfile | 8 +++ deploy/tunnel/tunnel.sh | 26 ++++++++ deploy/vps/README.md | 41 ++++++++---- docker-compose.test.yml | 35 ++++++++--- docker-compose.yml | 24 ++++++- run.ps1 | 80 ++++++++++++++---------- run.sh | 17 +++-- 14 files changed, 249 insertions(+), 152 deletions(-) delete mode 100644 deploy/pi/forbidden-stars-tunnel.service create mode 100644 deploy/tunnel/.dockerignore create mode 100644 deploy/tunnel/Dockerfile create mode 100644 deploy/tunnel/tunnel.sh diff --git a/.env.example b/.env.example index 3fe6022..78da8c3 100644 --- a/.env.example +++ b/.env.example @@ -12,15 +12,17 @@ # Прод-контейнер ИГНОРИРУЕТ это значение и всегда production. APP_ENV=development -# ─── ПУБЛИКАЦИЯ ЛОКАЛКИ ЧЕРЕЗ ДОМЕН (VPS-туннель) ───────────────────────────── -# Только для dev/test на твоём ПК. local — приложение лишь на localhost; vps — -# лаунчер дополнительно поднимает SSH-туннель на VPS, и dev/test виден снаружи на -# https://forbidden-stars.ru. Прод (Pi) сюда не относится — у него свой autossh-туннель. +# ─── ПУБЛИКАЦИЯ ЧЕРЕЗ ДОМЕН (VPS-туннель) ───────────────────────────────────── +# LOCAL_PUBLIC — только для DEV на твоём ПК: local = приложение лишь на localhost; +# vps = лаунчер (run.ps1) дополнительно поднимает SSH-туннель → дев на forbidden-stars.ru. +# TEST и PROD выставляют себя сами через туннель-КОНТЕЙНЕР (docker-compose*.yml) — им +# LOCAL_PUBLIC не нужен, но VPS_TUNNEL_HOST/USER ниже они тоже читают. LOCAL_PUBLIC=local -# Параметры туннеля (нужны только при LOCAL_PUBLIC=vps): +# Параметры VPS: их читают и dev-туннель (run.ps1), и туннель-контейнер test/prod. +# Ключ туннеля — в deploy/tunnel/id_tunnel (в git не идёт); pubkey → authorized_keys у tunnel@VPS. VPS_TUNNEL_HOST=186.246.51.17 VPS_TUNNEL_USER=tunnel -VPS_TUNNEL_PORT=9001 # порт VPS, который слушает Caddy для forbidden-stars.ru +VPS_TUNNEL_PORT=9001 # слот VPS для dev-туннеля (forbidden-stars.ru); контейнеры: prod=9000, test=9001 # ─── АДМИНИСТРАТОР (вход по логину/паролю, отдельно от Telegram) ────────────── ADMIN_USERNAME=admin diff --git a/README.md b/README.md index b2b83a0..10aa7ce 100644 --- a/README.md +++ b/README.md @@ -187,20 +187,22 @@ docker compose -f docker-compose.test.yml down -v # остановить и с ## Домен и публикация Публичные адреса отдаёт **VPS-привратник** (Caddy + HTTPS твоими сертификатами), а -приложение само открывает к нему SSH-туннель (дома белого IP нет — CGNAT): +приложение само открывает к нему SSH reverse-туннель (дома белого IP нет — CGNAT). +У **test/prod** туннель — **отдельный контейнер** в их `docker-compose`, и портов на хост +они не публикуют (доступны только через домен): -| | домен | источник | туннель | +| | домен | как выставляется | слот VPS | |---|---|---|---| -| prod | `forbiddenstars.ru` | Pi, `app:8000` | autossh, постоянно (VPS:9000) | -| dev/test | `forbidden-stars.ru` | ПК, vite:5173 / app:8080 | `ssh -R`, по требованию (VPS:9001) | +| prod | `forbiddenstars.ru` | туннель-контейнер (постоянно) → `app:8000` | 9000 | +| test | `forbidden-stars.ru` | туннель-контейнер → `app:8000` | 9001 | +| dev | `forbidden-stars.ru` | `run.ps1` при `LOCAL_PUBLIC=vps` → `localhost:5173` | 9001 | -- Прод и dev/test на **разных доменах** → могут работать одновременно. Dev и test делят - слот `9001` — по очереди. -- Публикация локалки: в `.env` поставить `LOCAL_PUBLIC=vps` и запустить `run.ps1` — лаунчер - сам поднимет SSH-туннель. `LOCAL_PUBLIC=local` — только localhost. +- Прод (9000) и dev/test (9001) на **разных слотах/доменах** → прод и (dev|test) работают + одновременно. Dev и test делят слот 9001 → по очереди. +- Dev по умолчанию только на localhost; `LOCAL_PUBLIC=vps` + `run.ps1` выставляет его на домен. - `COOKIE_SECURE` выводится автоматически (HTTPS-домен ⇒ Secure-cookie; dev+localhost ⇒ нет). -- Пошаговая настройка — в [`deploy/`](deploy/README.md): `vps/` (Caddy, сертификаты, туннель-юзер), - `pi/` (Docker-приложение + autossh-служба). +- Пошаговая настройка — в [`deploy/`](deploy/README.md): `vps/` (Caddy, сертификаты, юзер `tunnel`), + `pi/` (app + туннель в Docker), образ туннеля — `deploy/tunnel/`. Ключ — `deploy/tunnel/id_tunnel`. ## Дополнения и фракции diff --git a/backend/tests/conftest.py b/backend/tests/conftest.py index af004d8..8434995 100644 --- a/backend/tests/conftest.py +++ b/backend/tests/conftest.py @@ -8,6 +8,7 @@ import os # обращение к app.db.session.engine не затронет файлы дева/прода, какой бы # APP_ENV ни был унаследован из окружения. os.environ["APP_ENV"] = "development" +os.environ["LOCAL_PUBLIC"] = "local" # cookie_secure=False детерминированно (не зависит от .env разработчика) os.environ["DEV_DATABASE_URL"] = "sqlite://" os.environ["FS_STARTUP_BOOTSTRAP"] = "0" # тесты сами поднимают схему/данные diff --git a/deploy/README.md b/deploy/README.md index 1feda41..e39409e 100644 --- a/deploy/README.md +++ b/deploy/README.md @@ -8,28 +8,40 @@ HTTPS твоими сертификатами и проксирует трафи ``` ┌──────────── VPS 186.246.51.17 (Caddy) ───────────┐ forbiddenstars.ru ───►│ :443 (cert твой) → 127.0.0.1:9000 │ - │ ▲ autossh (постоянно) │ + │ ▲ туннель-КОНТЕЙНЕР │ │ └── Pi : app:8000 PROD │ forbidden-stars.ru ──►│ :443 (cert твой) → 127.0.0.1:9001 │ - │ ▲ ssh (по требованию) │ - │ └── ПК : 5173(dev)/8080(test)│ + │ ▲ контейнер (test) ИЛИ │ + │ ▲ ssh с ПК (dev) │ + │ ├── ПК test : app:8000 │ + │ └── ПК dev : vite:5173 │ └───────────────────────────────────────────────────┘ ``` -- **PROD** — Pi, `forbiddenstars.ru`, туннель постоянный (autossh-служба). См. [`pi/`](pi/README.md). -- **DEV/TEST** — ПК, `forbidden-stars.ru`, туннель по требованию: в `.env` поставь - `LOCAL_PUBLIC=vps` и запусти `run.ps1` (dev → туннель на vite:5173; test → на :8080). - Dev и test делят порт `9001` — по очереди. -- Разделение окружений сохраняется на уровне приложения (свои `APP_ENV`, БД, контейнеры); - домены разные, поэтому прод и dev/test могут работать одновременно. +- **PROD** — Pi. `docker compose up -d` поднимает два сервиса: `app` + `tunnel`. У `app` + **портов на хост нет** — наружу его выставляет только туннель-контейнер + (`ssh -R 9000:app:8000` к VPS). Постоянно, Docker сам переподключает. См. [`pi/`](pi/README.md). +- **TEST** — ПК. То же самое: `docker compose -f docker-compose.test.yml up` поднимает + `app` + `tunnel` (`ssh -R 9001:app:8000`). Портов на хост нет — тест виден только на + `forbidden-stars.ru`. Обычно запускается лаунчером при `APP_ENV=test`. +- **DEV** — ПК, нативно (`uvicorn`+`vite`). По умолчанию только на localhost; при + `LOCAL_PUBLIC=vps` лаунчер (`run.ps1`) дополнительно поднимает SSH-туннель с ПК + (`ssh -R 9001:localhost:5173`) → дев виден на `forbidden-stars.ru`. +- DEV и TEST делят слот **9001** (`forbidden-stars.ru`) → поднимай что-то **одно за раз**. + PROD на отдельном слоте **9000** (`forbiddenstars.ru`) — работает независимо. + +Ключ туннеля — **`deploy/tunnel/id_tunnel`** (приватный, в git не идёт). Его публичную +часть добавь в `authorized_keys` пользователя `tunnel` на VPS. Один и тот же ключ годится +для контейнерного туннеля (Pi/ПК) и для dev-туннеля `run.ps1`. Настройка по шагам: 1. **VPS** — [`vps/README.md`](vps/README.md): Caddy, файрвол, пользователь `tunnel`, сертификаты, `Caddyfile`. -2. **Pi (прод)** — [`pi/README.md`](pi/README.md): Docker-приложение + autossh-служба туннеля. -3. **ПК (dev/test)** — ключ для `tunnel@VPS` (`ssh-copy-id`), затем `LOCAL_PUBLIC=vps` + `run.ps1`. +2. **Pi (прод)** — [`pi/README.md`](pi/README.md): ключ в `deploy/tunnel/id_tunnel`, `.env`, `docker compose up -d`. +3. **ПК (dev/test)** — тот же ключ в `deploy/tunnel/id_tunnel` (для test-контейнера) и/или + ключ по умолчанию для dev (`run.ps1`); pubkey — в `authorized_keys` у `tunnel@VPS`. -Секреты не в git: сертификаты/ключи (`*.pem`, `*.key`, SSH-ключи) живут на VPS/Pi/ПК, -в репозитории только `Caddyfile` и юнит-шаблон. +Секреты не в git: сертификаты/ключи (`*.pem`, `*.key`, `id_tunnel*`) живут на VPS/Pi/ПК, +в репозитории только `Caddyfile`, `deploy/tunnel/` (образ туннеля) и шаблоны. > Telegram-вход требует HTTPS-домен: у BotFather `/setdomain` укажи оба домена > (`forbiddenstars.ru` и `forbidden-stars.ru`). diff --git a/deploy/pi/README.md b/deploy/pi/README.md index 64239b7..ef16b60 100644 --- a/deploy/pi/README.md +++ b/deploy/pi/README.md @@ -1,38 +1,46 @@ # Raspberry Pi — ПРОД (`forbiddenstars.ru`) -Pi запускает приложение в Docker и держит постоянный SSH reverse-туннель к VPS. -Снаружи Pi недоступен (CGNAT) — публичная точка только VPS, Pi сам стучится наружу. +Pi запускает приложение **и туннель** в Docker: `docker compose up` поднимает два сервиса — +`app` (FastAPI + SPA) и `tunnel` (ssh-контейнер). У `app` **портов на хост нет**, наружу он +доступен только через туннель-контейнер (`ssh -R 9000:app:8000` к VPS). Публичная точка — +VPS, домен `forbiddenstars.ru`. Снаружи Pi недоступен (CGNAT) — туннель сам стучится наружу. -## 1. Приложение (Docker) -Из ветки `main`: +## 1. Ключ для туннеля +Туннель-контейнер ходит на `tunnel@VPS` по ключу из `deploy/tunnel/id_tunnel` (gitignored). +Создай ключ и добавь его pubkey в `authorized_keys` пользователя `tunnel` на VPS: +```bash +ssh-keygen -t ed25519 -f deploy/tunnel/id_tunnel -N "" +ssh-copy-id -i deploy/tunnel/id_tunnel.pub tunnel@186.246.51.17 +# (или вручную: содержимое deploy/tunnel/id_tunnel.pub -> /home/tunnel/.ssh/authorized_keys на VPS) +``` + +## 2. .env +```bash +cp .env.example .env # заполни секреты; APP_ENV контейнер форсит в production +``` +Проверь, что заданы параметры VPS (их читает сервис `tunnel`): +``` +VPS_TUNNEL_HOST=186.246.51.17 +VPS_TUNNEL_USER=tunnel +``` + +## 3. Запуск +```bash +docker compose up -d --build # поднимет app + tunnel +docker compose ps # оба up; tunnel стартует после healthy app +docker compose logs -f tunnel # ждём строку: [tunnel] -R 9000:app:8000 -> tunnel@... +``` +Открой `https://forbiddenstars.ru` — должен отдать прод. + +## Обновление ```bash git pull -cp .env.example .env # заполни секреты; APP_ENV контейнер форсит в production docker compose up -d --build -curl http://localhost:8000/api/health # → {"status":"ok"} -``` -БД на томе `db-data`, миграции и бутстрап админа — автоматически (`entrypoint.sh`). - -## 2. Ключ для туннеля (без пароля) -```bash -sudo apt -y install autossh -ssh-keygen -t ed25519 -f ~/.ssh/id_tunnel -N "" -ssh-copy-id -i ~/.ssh/id_tunnel.pub tunnel@186.246.51.17 -# (или вручную добавь ~/.ssh/id_tunnel.pub в /home/tunnel/.ssh/authorized_keys на VPS) -``` -Проверка туннеля вручную: -```bash -autossh -M 0 -N -R 9000:localhost:8000 -i ~/.ssh/id_tunnel tunnel@186.246.51.17 -# в другом окне/браузере открой https://forbiddenstars.ru — должно работать. Ctrl+C. ``` -## 3. Туннель как служба (автозапуск + переподключение) -```bash -sudo cp deploy/pi/forbidden-stars-tunnel.service /etc/systemd/system/ -sudoedit /etc/systemd/system/forbidden-stars-tunnel.service # поправь User= и путь к ключу -sudo systemctl daemon-reload -sudo systemctl enable --now forbidden-stars-tunnel -systemctl status forbidden-stars-tunnel -``` +## Бэкап БД +`scripts/backup.sh` (консистентная онлайн-копия SQLite; по cron на хосте). Том БД — `db-data`. -Готово: `https://forbiddenstars.ru` отдаёт прод. Логи туннеля: `journalctl -u forbidden-stars-tunnel -f`. +Логи: `docker compose logs -f app` / `... tunnel`. Если `https://forbiddenstars.ru` отдаёт +502 — значит туннель не поднят: смотри `docker compose logs tunnel` (чаще всего ключ не в +`authorized_keys` на VPS или не заданы `VPS_TUNNEL_*` в `.env`). diff --git a/deploy/pi/forbidden-stars-tunnel.service b/deploy/pi/forbidden-stars-tunnel.service deleted file mode 100644 index 36c2151..0000000 --- a/deploy/pi/forbidden-stars-tunnel.service +++ /dev/null @@ -1,27 +0,0 @@ -# SSH reverse-туннель ПРОДА: VPS:9000 → Pi localhost:8000 (приложение в Docker). -# Caddy на VPS отдаёт forbiddenstars.ru через этот туннель. -# -# Установка: -# sudo cp deploy/pi/forbidden-stars-tunnel.service /etc/systemd/system/ -# # ПОПРАВЬ под себя: User=, путь к ключу (-i ...), при необходимости IP VPS. -# sudo systemctl daemon-reload -# sudo systemctl enable --now forbidden-stars-tunnel -# systemctl status forbidden-stars-tunnel -[Unit] -Description=Forbidden Stars: SSH reverse tunnel (prod) to VPS -After=network-online.target docker.service -Wants=network-online.target - -[Service] -# Замени pi на своего пользователя Raspberry Pi (и путь к ключу ниже). -User=pi -Environment=AUTOSSH_GATETIME=0 -ExecStart=/usr/bin/autossh -M 0 -N \ - -o ServerAliveInterval=30 -o ServerAliveCountMax=3 -o ExitOnForwardFailure=yes \ - -i /home/pi/.ssh/id_tunnel \ - -R 9000:localhost:8000 tunnel@186.246.51.17 -Restart=always -RestartSec=10 - -[Install] -WantedBy=multi-user.target diff --git a/deploy/tunnel/.dockerignore b/deploy/tunnel/.dockerignore new file mode 100644 index 0000000..e46edd6 --- /dev/null +++ b/deploy/tunnel/.dockerignore @@ -0,0 +1,2 @@ +# Приватный ключ монтируется в рантайме, в образ его НЕ кладём. +id_tunnel* diff --git a/deploy/tunnel/Dockerfile b/deploy/tunnel/Dockerfile new file mode 100644 index 0000000..f457745 --- /dev/null +++ b/deploy/tunnel/Dockerfile @@ -0,0 +1,8 @@ +# Крошечный контейнер SSH reverse-туннеля к VPS. +# Держит -R :app:8000 на VPS, отдавая приложение по сети compose. +# Переподключение обеспечивает Docker (restart: unless-stopped) при выходе ssh. +FROM alpine:3.20 +RUN apk add --no-cache openssh-client +COPY tunnel.sh /usr/local/bin/tunnel.sh +RUN sed -i 's/\r$//' /usr/local/bin/tunnel.sh && chmod +x /usr/local/bin/tunnel.sh +ENTRYPOINT ["/usr/local/bin/tunnel.sh"] diff --git a/deploy/tunnel/tunnel.sh b/deploy/tunnel/tunnel.sh new file mode 100644 index 0000000..61b7fdf --- /dev/null +++ b/deploy/tunnel/tunnel.sh @@ -0,0 +1,26 @@ +#!/bin/sh +# SSH reverse-туннель из контейнера на VPS: +# VPS:127.0.0.1:$VPS_TUNNEL_PORT -> $UPSTREAM (сервис app по сети compose) +# Ключ монтируется снаружи в /key/id_tunnel (см. docker-compose*.yml). +set -eu + +: "${VPS_TUNNEL_HOST:?VPS_TUNNEL_HOST is required}" +VPS_TUNNEL_USER="${VPS_TUNNEL_USER:-tunnel}" +: "${VPS_TUNNEL_PORT:?VPS_TUNNEL_PORT is required}" +UPSTREAM="${UPSTREAM:-app:8000}" + +# Копируем ключ и выставляем строгие права (с хоста права могут не годиться, особенно с Windows). +mkdir -p /root/.ssh +cp /key/id_tunnel /root/.ssh/id_tunnel +chmod 600 /root/.ssh/id_tunnel + +echo "[tunnel] -R ${VPS_TUNNEL_PORT}:${UPSTREAM} -> ${VPS_TUNNEL_USER}@${VPS_TUNNEL_HOST}" +exec ssh -N \ + -o BatchMode=yes \ + -o ServerAliveInterval=30 -o ServerAliveCountMax=3 \ + -o ExitOnForwardFailure=yes \ + -o StrictHostKeyChecking=accept-new \ + -o UserKnownHostsFile=/root/.ssh/known_hosts \ + -i /root/.ssh/id_tunnel \ + -R "${VPS_TUNNEL_PORT}:${UPSTREAM}" \ + "${VPS_TUNNEL_USER}@${VPS_TUNNEL_HOST}" diff --git a/deploy/vps/README.md b/deploy/vps/README.md index 8064df9..a546449 100644 --- a/deploy/vps/README.md +++ b/deploy/vps/README.md @@ -54,21 +54,36 @@ install -m 600 -o tunnel -g tunnel /dev/null /home/tunnel/.ssh/authorized_keys Pi (`deploy/pi/README.md`) и ПК (через `ssh-copy-id`). ## 5. Сертификаты + +Caddy читает **PEM** (текст с `-----BEGIN CERTIFICATE-----`). Расширение неважно — `.crt` +от GlobalSign обычно УЖЕ PEM. Проверь первой строкой: `head -1 файл.crt`. +- если `-----BEGIN CERTIFICATE-----` → это PEM, конвертировать НЕ нужно; +- если бинарь/абракадабра → это DER, сконвертируй: `openssl x509 -inform DER -in файл.crt -out файл.pem`. + +На каждый домен нужны два файла: +- `fullchain.pem` = твой сертификат (leaf) **+** промежуточный(е) GlobalSign, в одном файле, + именно в таком порядке (сначала leaf, потом промежуточный). +- `privkey.pem` = приватный ключ (`-----BEGIN PRIVATE KEY-----`, без пароля; обычно это `.key`). + +Удобно собрать прямо на VPS — залей свои файлы и склей: ```bash -mkdir -p /etc/caddy/certs/forbiddenstars.ru /etc/caddy/certs/forbidden-stars.ru -``` -Залей свои файлы с локальной машины (с каждого домена — свой `fullchain.pem` + `privkey.pem`): -```bash -# на локальной машине: -scp fullchain.pem privkey.pem root@186.246.51.17:/etc/caddy/certs/forbiddenstars.ru/ -scp fullchain.pem privkey.pem root@186.246.51.17:/etc/caddy/certs/forbidden-stars.ru/ -``` -- `fullchain.pem` = твой сертификат + промежуточные GlobalSign **одним файлом** (сначала leaf, затем chain). -- `privkey.pem` = приватный ключ (без пароля). -```bash -# на VPS — права: -chown -R caddy:caddy /etc/caddy/certs && chmod -R 640 /etc/caddy/certs +mkdir -p /etc/caddy/certs/forbidden-stars.ru /root/certs-tmp +# с локальной машины (пример для домена forbidden-stars.ru): +scp forbidden-stars.crt intermediate.crt forbidden-stars.key root@186.246.51.17:/root/certs-tmp/ +# на VPS — собрать fullchain (leaf + промежуточный) и положить ключ: +cat /root/certs-tmp/www_forbidden_stars_ru_2026_12_31.crt /root/certs-tmp/intermediate_pem_globalsign_ssl_dv_free_1.crt \ + > /etc/caddy/certs/forbidden-stars.ru/fullchain.pem +cp /root/certs-tmp/forbidden-stars.key /etc/caddy/certs/forbidden-stars.ru/privkey.pem +# то же для forbiddenstars.ru (свои crt/intermediate/key), затем права +# (папкам нужен x-бит → 750, файлам 640; иначе пользователь caddy не прочитает): +chown -R caddy:caddy /etc/caddy/certs +find /etc/caddy/certs -type d -exec chmod 750 {} \; +find /etc/caddy/certs -type f -exec chmod 640 {} \; +rm -rf /root/certs-tmp ``` +> Если GlobalSign дал не отдельный промежуточный, а готовый bundle/chain — используй его +> как «промежуточную» часть. Если дал один файл, где leaf и chain уже вместе, — это и есть +> `fullchain.pem` (склейка не нужна). ## 6. Caddyfile Скопируй `deploy/vps/Caddyfile` из репозитория в `/etc/caddy/Caddyfile`, затем: diff --git a/docker-compose.test.yml b/docker-compose.test.yml index eb8499c..a306d57 100644 --- a/docker-compose.test.yml +++ b/docker-compose.test.yml @@ -1,11 +1,10 @@ # Локальный «клон прода» в контейнере — для проверки прод-сборки на своей машине -# (а не на Raspberry Pi). Тот же образ, что и прод, но изолированные тома, единый .env -# и порт 8080 (чтобы не конфликтовать с dev-uvicorn на :8000). +# (а не на Raspberry Pi). Тот же образ, что и прод, изолированные тома, единый .env. +# Портов на хост НЕТ: тест виден ТОЛЬКО снаружи на https://forbidden-stars.ru через +# сервис tunnel (контейнер ssh -R 9001:app:8000 на VPS). # -# Обычно запускается лаунчером при APP_ENV=test (run.ps1 / run.sh). Вручную: -# docker compose -f docker-compose.test.yml up --build -d -# Открыть: http://localhost:8080 (Swagger: /api/docs) -# Остановить и стереть данные: docker compose -f docker-compose.test.yml down -v +# Запуск (обычно лаунчером при APP_ENV=test): docker compose -f docker-compose.test.yml up --build -d +# Остановить и стереть данные: docker compose -f docker-compose.test.yml down -v services: app: build: . @@ -19,8 +18,8 @@ services: # Окружение test: прод-клон, но отличимый от прода (см. config.is_test). # Форсим здесь, чтобы значение не зависело от APP_ENV внутри .env. APP_ENV: test - ports: - - "8080:8000" + # Портов на хост НЕТ: тест доступен только изнутри сети compose; наружу — через + # сервис tunnel (ниже) на forbidden-stars.ru. Из LAN/localhost — недоступно. volumes: - db-data-test:/data # изолированные тестовые данные - uploads-data-test:/data/uploads @@ -36,6 +35,26 @@ services: start_period: 40s mem_limit: 512m + # SSH reverse-туннель к VPS: forbidden-stars.ru (VPS:9001) -> app:8000 (по сети compose). + # Ключ — ./deploy/tunnel/id_tunnel (gitignore), pubkey в authorized_keys у tunnel@VPS. + # Внимание: слот 9001 общий с dev-туннелем (run.ps1); поднимай что-то одно за раз. + tunnel: + build: ./deploy/tunnel + image: forbidden-stars-tunnel:test + restart: unless-stopped + init: true + depends_on: + app: + condition: service_healthy + environment: + VPS_TUNNEL_HOST: ${VPS_TUNNEL_HOST} + VPS_TUNNEL_USER: ${VPS_TUNNEL_USER:-tunnel} + VPS_TUNNEL_PORT: "9001" # forbidden-stars.ru (dev/test) + UPSTREAM: app:8000 + volumes: + - ./deploy/tunnel/id_tunnel:/key/id_tunnel:ro + mem_limit: 64m + volumes: db-data-test: uploads-data-test: diff --git a/docker-compose.yml b/docker-compose.yml index 8e3409b..db82efe 100644 --- a/docker-compose.yml +++ b/docker-compose.yml @@ -10,8 +10,8 @@ services: # Прод обособлен: контейнер ВСЕГДА production и ИГНОРИРУЕТ APP_ENV из .env # (хоть development, хоть test). БД=/data, STATIC_DIR=/app/static — из Dockerfile. APP_ENV: production - ports: - - "8000:8000" + # Портов на хост НЕТ: приложение доступно только изнутри сети compose. + # Наружу его выставляет сервис tunnel (ниже) через VPS. Из LAN/localhost — недоступно. volumes: - db-data:/data # БД SQLite + WAL-сайдкары - uploads-data:/data/uploads # задел под фото/видео @@ -33,6 +33,26 @@ services: max-size: "10m" max-file: "5" + # SSH reverse-туннель к VPS: forbiddenstars.ru (VPS:9000) -> app:8000 (по сети compose). + # Ключ — в ./deploy/tunnel/id_tunnel (gitignore), его pubkey в authorized_keys у tunnel@VPS. + # VPS_TUNNEL_HOST/USER берутся из .env (на Pi заполни их там же). + tunnel: + build: ./deploy/tunnel + image: forbidden-stars-tunnel:latest + restart: unless-stopped + init: true + depends_on: + app: + condition: service_healthy + environment: + VPS_TUNNEL_HOST: ${VPS_TUNNEL_HOST} + VPS_TUNNEL_USER: ${VPS_TUNNEL_USER:-tunnel} + VPS_TUNNEL_PORT: "9000" # forbiddenstars.ru (прод); у test — 9001 + UPSTREAM: app:8000 + volumes: + - ./deploy/tunnel/id_tunnel:/key/id_tunnel:ro + mem_limit: 64m + volumes: db-data: uploads-data: diff --git a/run.ps1 b/run.ps1 index 368046a..8909e74 100644 --- a/run.ps1 +++ b/run.ps1 @@ -1,26 +1,27 @@ #!/usr/bin/env pwsh -# ╔═══════════════════════════════════════════════════════════════════════════╗ -# ║ Единый лаунчер dev / test. APP_ENV из корневого .env решает, что запускать. ║ -# ╚═══════════════════════════════════════════════════════════════════════════╝ -# development → uvicorn --reload (бэк) + vite (фронт), нативно, в двух окнах -# test → docker compose прод-клон (порт 8080) -# production → лаунчером НЕ запускается (прод обособлен: docker compose up -d на Pi) +# Unified launcher for dev / test. APP_ENV in the root .env decides what to run. +# development -> uvicorn --reload (backend) + vite (frontend), native, two windows +# test -> docker compose prod-clone (port 8080) +# production -> NOT started by launcher (prod is separate: docker compose up -d on Pi) # -# LOCAL_PUBLIC=vps дополнительно поднимает SSH-туннель на VPS, и dev/test становится -# виден снаружи на https://forbidden-stars.ru (нужен настроенный VPS, см. deploy/vps). +# LOCAL_PUBLIC=vps (dev only) opens an SSH tunnel to the VPS, exposing dev at +# https://forbidden-stars.ru. test/prod expose themselves via an in-container tunnel. # -# Запуск: .\run.ps1 -# Если ругается на политику: Set-ExecutionPolicy -Scope CurrentUser RemoteSigned +# Run: .\run.ps1 +# If blocked by policy: Set-ExecutionPolicy -Scope CurrentUser RemoteSigned +# +# NOTE: keep this file ASCII-only. Windows PowerShell 5.1 reads BOM-less .ps1 in the +# system ANSI codepage, so non-ASCII (Cyrillic / box chars) breaks the parser. $ErrorActionPreference = "Stop" $root = $PSScriptRoot $envFile = Join-Path $root ".env" if (-not (Test-Path $envFile)) { - Write-Host "Нет .env в корне. Скопируйте: Copy-Item .env.example .env" -ForegroundColor Red + Write-Host "No .env in repo root. Create it: Copy-Item .env.example .env" -ForegroundColor Red exit 1 } -# Достаём значение ключа из .env (последнее присвоение побеждает; комментарии игнор). +# Read a key from .env (last assignment wins; comments ignored). function Get-EnvVal([string]$name, [string]$default) { $val = $default foreach ($line in Get-Content $envFile) { @@ -37,37 +38,51 @@ $vpsPort = Get-EnvVal "VPS_TUNNEL_PORT" "9001" Write-Host "APP_ENV = $appEnv LOCAL_PUBLIC = $localPublic" -ForegroundColor Cyan -# Поднимает SSH reverse-tunnel: VPS:$vpsPort → localhost:$localPort (в отдельном окне). +# Open SSH reverse tunnel VPS:$vpsPort -> localhost:$localPort (in a separate window). function Start-VpsTunnel([int]$localPort) { if (-not $vpsHost) { - Write-Host "LOCAL_PUBLIC=vps, но VPS_TUNNEL_HOST не задан в .env — туннель пропущен." -ForegroundColor Red + Write-Host "LOCAL_PUBLIC=vps but VPS_TUNNEL_HOST is empty in .env - tunnel skipped." -ForegroundColor Red return } - Write-Host "SSH-туннель: forbidden-stars.ru (VPS:$vpsPort) → localhost:$localPort …" -ForegroundColor Green + Write-Host "SSH tunnel: forbidden-stars.ru (VPS:$vpsPort) -> localhost:$localPort ..." -ForegroundColor Green $ssh = "ssh -N -R ${vpsPort}:localhost:${localPort} " + "-o ServerAliveInterval=30 -o ServerAliveCountMax=3 -o ExitOnForwardFailure=yes " + "${vpsUser}@${vpsHost}" Start-Process powershell -ArgumentList @( "-NoExit", "-Command", - "Write-Host 'SSH-туннель на forbidden-stars.ru. Закрой окно, чтобы остановить.' -ForegroundColor Cyan; $ssh" + "Write-Host 'SSH tunnel to forbidden-stars.ru. Close this window to stop.' -ForegroundColor Cyan; $ssh" ) } +# Kill any leftover tunnel from a previous run, so LOCAL_PUBLIC is authoritative each launch +# (the tunnel lives in its own window and would otherwise keep the domain served). +function Stop-VpsTunnel { + Get-CimInstance Win32_Process -Filter "Name='ssh.exe'" -ErrorAction SilentlyContinue | + Where-Object { $_.CommandLine -match "-R\s+${vpsPort}:localhost" } | + ForEach-Object { + Write-Host "Closing leftover tunnel (pid $($_.ProcessId))..." -ForegroundColor DarkYellow + Stop-Process -Id $_.ProcessId -Force -ErrorAction SilentlyContinue + } +} + +# Start from a clean tunnel state; a fresh tunnel is opened only if LOCAL_PUBLIC=vps below. +Stop-VpsTunnel + switch ($appEnv) { "development" { $backend = Join-Path $root "backend" $frontend = Join-Path $root "frontend" $py = Join-Path $backend ".venv\Scripts\python.exe" if (-not (Test-Path $py)) { - Write-Host "Нет venv: $py" -ForegroundColor Red - Write-Host "Сначала: cd backend; python -m venv .venv; .\.venv\Scripts\Activate.ps1; pip install -e `".[dev]`"" -ForegroundColor Yellow + Write-Host "venv not found: $py" -ForegroundColor Red + Write-Host "First: cd backend; python -m venv .venv; .\.venv\Scripts\Activate.ps1; pip install -e `".[dev]`"" -ForegroundColor Yellow exit 1 } if (-not (Test-Path (Join-Path $frontend "node_modules"))) { - Write-Host "Нет node_modules. Сначала: cd frontend; npm install" -ForegroundColor Red + Write-Host "node_modules not found. First: cd frontend; npm install" -ForegroundColor Red exit 1 } - Write-Host "Запуск бэка (uvicorn --reload) и фронта (vite) в отдельных окнах…" -ForegroundColor Green + Write-Host "Starting backend (uvicorn --reload) and frontend (vite) in separate windows..." -ForegroundColor Green Start-Process powershell -ArgumentList @( "-NoExit", "-Command", "Set-Location '$backend'; & '$py' -m uvicorn app.main:app --reload" @@ -77,34 +92,31 @@ switch ($appEnv) { "Set-Location '$frontend'; npm run dev" ) Write-Host "" - Write-Host " Бэк: http://127.0.0.1:8000 (Swagger: /api/docs)" -ForegroundColor Green - Write-Host " Фронт: http://127.0.0.1:5173" -ForegroundColor Green + Write-Host " Backend: http://127.0.0.1:8000 (Swagger: /api/docs)" -ForegroundColor Green + Write-Host " Frontend: http://127.0.0.1:5173" -ForegroundColor Green if ($localPublic -eq "vps") { Start-VpsTunnel 5173 - Write-Host " Публично: https://forbidden-stars.ru" -ForegroundColor Green + Write-Host " Public: https://forbidden-stars.ru" -ForegroundColor Green } } "test" { $compose = Join-Path $root "docker-compose.test.yml" - Write-Host "Сборка и запуск прод-клона в Docker (порт 8080)…" -ForegroundColor Green + Write-Host "Building and starting prod-clone in Docker (app + in-container tunnel)..." -ForegroundColor Green docker compose -f $compose up --build -d if ($LASTEXITCODE -ne 0) { exit $LASTEXITCODE } Write-Host "" - Write-Host " Открыть: http://localhost:8080 (Swagger: /api/docs)" -ForegroundColor Green - Write-Host " Логи: docker compose -f docker-compose.test.yml logs -f" - Write-Host " Стоп: docker compose -f docker-compose.test.yml down -v" - if ($localPublic -eq "vps") { - Start-VpsTunnel 8080 - Write-Host " Публично: https://forbidden-stars.ru" -ForegroundColor Green - } + Write-Host " Public: https://forbidden-stars.ru (Swagger: /api/docs)" -ForegroundColor Green + Write-Host " (no host port - reachable only via the domain; tunnel runs inside compose)" + Write-Host " Logs: docker compose -f docker-compose.test.yml logs -f" + Write-Host " Stop: docker compose -f docker-compose.test.yml down -v" } "production" { - Write-Host "production лаунчером не запускается — прод обособлен." -ForegroundColor Yellow - Write-Host "Деплой на Pi (из ветки main): docker compose up -d --build" + Write-Host "production is not started by the launcher - prod is separate." -ForegroundColor Yellow + Write-Host "Deploy on Pi (from main branch): docker compose up -d --build" exit 1 } default { - Write-Host "Неизвестный APP_ENV='$appEnv'. Допустимо: development | test | production." -ForegroundColor Red + Write-Host "Unknown APP_ENV='$appEnv'. Allowed: development | test | production." -ForegroundColor Red exit 1 } } diff --git a/run.sh b/run.sh index 1f8deff..96ffb46 100644 --- a/run.sh +++ b/run.sh @@ -6,7 +6,8 @@ # test → docker compose прод-клон (порт 8080) # production → лаунчером НЕ запускается (прод обособлен: docker compose up -d на Pi) # -# LOCAL_PUBLIC=vps дополнительно поднимает SSH-туннель на VPS → https://forbidden-stars.ru +# LOCAL_PUBLIC=vps (только dev) поднимает SSH-туннель на VPS → https://forbidden-stars.ru +# test/prod выставляют себя сами через туннель-контейнер (см. docker-compose*.yml). # # Запуск: ./run.sh (при необходимости: chmod +x run.sh) set -euo pipefail @@ -59,16 +60,12 @@ case "$app_env" in ( cd "$root/frontend" && npm run dev ) ;; test) - echo "Сборка и запуск прод-клона в Docker (порт 8080)…" + echo "Сборка и запуск прод-клона в Docker (app + туннель в контейнере)…" docker compose -f "$root/docker-compose.test.yml" up --build -d - echo " Открыть: http://localhost:8080 (Swagger: /api/docs)" - echo " Логи: docker compose -f docker-compose.test.yml logs -f" - echo " Стоп: docker compose -f docker-compose.test.yml down -v" - if [ "$local_public" = "vps" ]; then - start_tunnel 8080 - echo " (туннель в фоне; Ctrl+C — закрыть туннель. Контейнер останавливается отдельно.)" - wait "$tunnel" 2>/dev/null || true - fi + echo " Публично: https://forbidden-stars.ru (Swagger: /api/docs)" + echo " (портов на хост нет — только через домен; туннель живёт внутри compose)" + echo " Логи: docker compose -f docker-compose.test.yml logs -f" + echo " Стоп: docker compose -f docker-compose.test.yml down -v" ;; production) echo "production лаунчером не запускается — прод обособлен."