Правки локального размещения дева, перенос тунеля в контейнер

deploy/README.md

@@ -8,28 +8,40 @@ HTTPS твоими сертификатами и проксирует трафи
 ```
                        ┌──────────── VPS 186.246.51.17 (Caddy) ───────────┐
  forbiddenstars.ru ───►│ :443 (cert твой) → 127.0.0.1:9000               │
-                       │                        ▲ autossh (постоянно)     │
+                       │                        ▲ туннель-КОНТЕЙНЕР        │
                        │                        └── Pi : app:8000   PROD   │
  forbidden-stars.ru ──►│ :443 (cert твой) → 127.0.0.1:9001               │
-                       │                        ▲ ssh (по требованию)      │
-                       │                        └── ПК : 5173(dev)/8080(test)│
+                       │                        ▲ контейнер (test) ИЛИ     │
+                       │                        ▲ ssh с ПК (dev)           │
+                       │                        ├── ПК test : app:8000     │
+                       │                        └── ПК dev  : vite:5173     │
                        └───────────────────────────────────────────────────┘
 ```
 
-- **PROD** — Pi, `forbiddenstars.ru`, туннель постоянный (autossh-служба). См. [`pi/`](pi/README.md).
-- **DEV/TEST** — ПК, `forbidden-stars.ru`, туннель по требованию: в `.env` поставь
-  `LOCAL_PUBLIC=vps` и запусти `run.ps1` (dev → туннель на vite:5173; test → на :8080).
-  Dev и test делят порт `9001` — по очереди.
-- Разделение окружений сохраняется на уровне приложения (свои `APP_ENV`, БД, контейнеры);
-  домены разные, поэтому прод и dev/test могут работать одновременно.
+- **PROD** — Pi. `docker compose up -d` поднимает два сервиса: `app` + `tunnel`. У `app`
+  **портов на хост нет** — наружу его выставляет только туннель-контейнер
+  (`ssh -R 9000:app:8000` к VPS). Постоянно, Docker сам переподключает. См. [`pi/`](pi/README.md).
+- **TEST** — ПК. То же самое: `docker compose -f docker-compose.test.yml up` поднимает
+  `app` + `tunnel` (`ssh -R 9001:app:8000`). Портов на хост нет — тест виден только на
+  `forbidden-stars.ru`. Обычно запускается лаунчером при `APP_ENV=test`.
+- **DEV** — ПК, нативно (`uvicorn`+`vite`). По умолчанию только на localhost; при
+  `LOCAL_PUBLIC=vps` лаунчер (`run.ps1`) дополнительно поднимает SSH-туннель с ПК
+  (`ssh -R 9001:localhost:5173`) → дев виден на `forbidden-stars.ru`.
+- DEV и TEST делят слот **9001** (`forbidden-stars.ru`) → поднимай что-то **одно за раз**.
+  PROD на отдельном слоте **9000** (`forbiddenstars.ru`) — работает независимо.
+
+Ключ туннеля — **`deploy/tunnel/id_tunnel`** (приватный, в git не идёт). Его публичную
+часть добавь в `authorized_keys` пользователя `tunnel` на VPS. Один и тот же ключ годится
+для контейнерного туннеля (Pi/ПК) и для dev-туннеля `run.ps1`.
 
 Настройка по шагам:
 1. **VPS** — [`vps/README.md`](vps/README.md): Caddy, файрвол, пользователь `tunnel`, сертификаты, `Caddyfile`.
-2. **Pi (прод)** — [`pi/README.md`](pi/README.md): Docker-приложение + autossh-служба туннеля.
-3. **ПК (dev/test)** — ключ для `tunnel@VPS` (`ssh-copy-id`), затем `LOCAL_PUBLIC=vps` + `run.ps1`.
+2. **Pi (прод)** — [`pi/README.md`](pi/README.md): ключ в `deploy/tunnel/id_tunnel`, `.env`, `docker compose up -d`.
+3. **ПК (dev/test)** — тот же ключ в `deploy/tunnel/id_tunnel` (для test-контейнера) и/или
+   ключ по умолчанию для dev (`run.ps1`); pubkey — в `authorized_keys` у `tunnel@VPS`.
 
-Секреты не в git: сертификаты/ключи (`*.pem`, `*.key`, SSH-ключи) живут на VPS/Pi/ПК,
-в репозитории только `Caddyfile` и юнит-шаблон.
+Секреты не в git: сертификаты/ключи (`*.pem`, `*.key`, `id_tunnel*`) живут на VPS/Pi/ПК,
+в репозитории только `Caddyfile`, `deploy/tunnel/` (образ туннеля) и шаблоны.
 
 > Telegram-вход требует HTTPS-домен: у BotFather `/setdomain` укажи оба домена
 > (`forbiddenstars.ru` и `forbidden-stars.ru`).