Правки локального размещения дева, перенос тунеля в контейнер

2026-06-17 04:27:11 +03:00
parent b04fbb2e17
commit 7e8b748caf
14 changed files with 249 additions and 152 deletions
@@ -54,21 +54,36 @@ install -m 600 -o tunnel -g tunnel /dev/null /home/tunnel/.ssh/authorized_keys
 Pi (`deploy/pi/README.md`) и ПК (через `ssh-copy-id`).

 ## 5. Сертификаты
+
+Caddy читает **PEM** (текст с `-----BEGIN CERTIFICATE-----`). Расширение неважно — `.crt`
+от GlobalSign обычно УЖЕ PEM. Проверь первой строкой: `head -1 файл.crt`.
+- если `-----BEGIN CERTIFICATE-----` → это PEM, конвертировать НЕ нужно;
+- если бинарь/абракадабра → это DER, сконвертируй: `openssl x509 -inform DER -in файл.crt -out файл.pem`.
+
+На каждый домен нужны два файла:
+- `fullchain.pem` = твой сертификат (leaf) **+** промежуточный(е) GlobalSign, в одном файле,
+  именно в таком порядке (сначала leaf, потом промежуточный).
+- `privkey.pem` = приватный ключ (`-----BEGIN PRIVATE KEY-----`, без пароля; обычно это `.key`).
+
+Удобно собрать прямо на VPS — залей свои файлы и склей:
 ```bash
-mkdir -p /etc/caddy/certs/forbiddenstars.ru /etc/caddy/certs/forbidden-stars.ru
-```
-Залей свои файлы с локальной машины (с каждого домена — свой `fullchain.pem` + `privkey.pem`):
-```bash
-# на локальной машине:
-scp fullchain.pem privkey.pem root@186.246.51.17:/etc/caddy/certs/forbiddenstars.ru/
-scp fullchain.pem privkey.pem root@186.246.51.17:/etc/caddy/certs/forbidden-stars.ru/
-```
- `fullchain.pem` = твой сертификат + промежуточные GlobalSign **одним файлом** (сначала leaf, затем chain).
- `privkey.pem` = приватный ключ (без пароля).
-```bash
-# на VPS — права:
-chown -R caddy:caddy /etc/caddy/certs && chmod -R 640 /etc/caddy/certs
+mkdir -p /etc/caddy/certs/forbidden-stars.ru /root/certs-tmp
+# с локальной машины (пример для домена forbidden-stars.ru):
+scp forbidden-stars.crt intermediate.crt forbidden-stars.key root@186.246.51.17:/root/certs-tmp/
+# на VPS — собрать fullchain (leaf + промежуточный) и положить ключ:
+cat /root/certs-tmp/www_forbidden_stars_ru_2026_12_31.crt /root/certs-tmp/intermediate_pem_globalsign_ssl_dv_free_1.crt \
+  > /etc/caddy/certs/forbidden-stars.ru/fullchain.pem
+cp /root/certs-tmp/forbidden-stars.key /etc/caddy/certs/forbidden-stars.ru/privkey.pem
+# то же для forbiddenstars.ru (свои crt/intermediate/key), затем права
+# (папкам нужен x-бит → 750, файлам 640; иначе пользователь caddy не прочитает):
+chown -R caddy:caddy /etc/caddy/certs
+find /etc/caddy/certs -type d -exec chmod 750 {} \;
+find /etc/caddy/certs -type f -exec chmod 640 {} \;
+rm -rf /root/certs-tmp
 ```
+> Если GlobalSign дал не отдельный промежуточный, а готовый bundle/chain — используй его
+> как «промежуточную» часть. Если дал один файл, где leaf и chain уже вместе, — это и есть
+> `fullchain.pem` (склейка не нужна).

 ## 6. Caddyfile
 Скопируй `deploy/vps/Caddyfile` из репозитория в `/etc/caddy/Caddyfile`, затем: