Mesh: sonene melder seg selv; mDNS på LAN, NetBird-provisjonering
Sonene trenger ikke stå i [zones] på sentralen. En sone sender hjerteslag hvert 30. s (POST /api/mesh/register med navn, egen adresse og mesh-nøkkelen), dukker opp i lista med en gang, og tas ut etter 90 s uten slag. Riktig nøkkel er godkjenningen. Statisk [zones] vinner over et navn som melder seg (409) – en skrivefeil i config skal ikke kunne overstyres av en boks på nettet. Hvorfor push og ikke pull fra NetBird: netbird status --json gir navn, IP og status per peer, men ikke grupper. Pull ville krevd en service-token mot management-serveren og virket bare over NetBird. Push virker likt over NetBird og LAN, uten token, og gir liveness gratis. Sonen finner sentralen lagvis: ANNOUNCER_SENTRAL hvis satt (NetBird-DNS-navn, konvensjon announcer-<navn>.skynet.corp), ellers mDNS (_announcer._tcp, discovery.py). Egen adresse regnes ut som ruten mot sentralen – over NetBird blir det wt0-adressen, på LAN LAN-adressen – med ANNOUNCER_URL som overstyring. Hjerteslag hvert 5. s til første OK, så oppstart ikke tar et halvt minutt. Containeren bruker nå vertens nett. mDNS-multicast når ikke LAN-et fra bridge-nettet, så det var ingen vei utenom – og det ga tilbake ufw: det gamle Docker-smutthullet er borte, portregler virker igjen, og BIND_IP er appens eget --host. Appen lytter alltid også på 127.0.0.1 for helsesjekken. install.sh tar NETBIRD_SETUP_KEY: installerer NetBird, melder maskina inn som announcer-<navn>, venter på wt0, binder til NetBird-adressen. Management-URL leses fra /etc/netbird/config.json når den finnes. Rollen avgjøres av config (Config.role): sentral hvis [zones] eller ANNOUNCER_ROLE=sentral, sone hvis bare nøkkelen er satt, ellers som før. Dispatcher og ZonePoller slår opp soner ved hver bruk, siden de kommer og går. register følger, som play, aldri med «alt åpent». Flask sorterte JSON-nøkler alfabetisk, så sonene kom i feil rekkefølge i /api/status – app.json.sort_keys = False. 25 nye tester, 173 totalt. Verifisert i compose på host-nett: to soner meldte seg innen 4 s uten noe [zones], fordeling til en av dem havnet i kø, avahi-browse på verten ser sentralen, en stoppet sone ble tatt ut etter 90 s og var tilbake 2 s etter start. Underveis fant live-testen at testkonfigen fortsatt hadde statiske a/b – og sentralen avviste hjerteslagene med 409, som den skal. Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
This commit is contained in:
parent
c4a15799dd
commit
7c521f8d1f
21 changed files with 1106 additions and 137 deletions
61
install.sh
61
install.sh
|
|
@ -13,6 +13,13 @@
|
|||
# ANNOUNCER_TITLE="Utrop" ./install.sh annen tittel
|
||||
# BIND_IP=127.0.0.1 ./install.sh bare maskina selv
|
||||
# ANNOUNCER_MESH_SECRET=… ./install.sh sone i et mesh (samme nøkkel som sentralen)
|
||||
# NETBIRD_SETUP_KEY=… ./install.sh meld maskina inn i NetBird først
|
||||
# ANNOUNCER_SENTRAL=http://sentral.skynet.corp:8090 ./install.sh
|
||||
# sone over NetBird: hvor sentralen er
|
||||
# ANNOUNCER_NAME=hovedscene ./install.sh sonenavnet slik det vises på sentralen
|
||||
#
|
||||
# Soner på samme LAN finner sentralen selv med mDNS. Over NetBird virker ikke
|
||||
# mDNS, så der settes ANNOUNCER_SENTRAL. Se docs/mesh.md.
|
||||
#
|
||||
# Kan kjøres på nytt; da bygges bildet om og containeren startes om. En .env
|
||||
# som finnes blir ikke overskrevet.
|
||||
|
|
@ -44,6 +51,33 @@ done
|
|||
systemctl --user daemon-reload 2>/dev/null || true
|
||||
|
||||
# --------------------------------------------------------------------------
|
||||
step "NetBird"
|
||||
if [[ -n "${NETBIRD_SETUP_KEY:-}" ]]; then
|
||||
if ! command -v netbird >/dev/null 2>&1; then
|
||||
echo "installerer NetBird …"
|
||||
curl -fsSL https://pkgs.netbird.io/install.sh | sh
|
||||
fi
|
||||
# Selvhostet management-server: les URL-en fra en eksisterende config hvis
|
||||
# NETBIRD_MANAGEMENT_URL ikke er satt, så man slipper å huske den.
|
||||
MGMT="${NETBIRD_MANAGEMENT_URL:-}"
|
||||
if [[ -z "$MGMT" && -r /etc/netbird/config.json ]] || sudo test -r /etc/netbird/config.json 2>/dev/null; then
|
||||
MGMT="${MGMT:-$(sudo python3 -c 'import json;print(json.load(open("/etc/netbird/config.json")).get("ManagementURL") or "")' 2>/dev/null || true)}"
|
||||
fi
|
||||
nb_args=(up --setup-key "$NETBIRD_SETUP_KEY" --hostname "announcer-${ANNOUNCER_NAME:-$(hostname -s)}")
|
||||
[[ -n "$MGMT" ]] && nb_args+=(--management-url "$MGMT")
|
||||
sudo netbird "${nb_args[@]}"
|
||||
for _ in $(seq 1 30); do ip link show wt0 >/dev/null 2>&1 && break; sleep 1; done
|
||||
if ip link show wt0 >/dev/null 2>&1; then
|
||||
echo "på NetBird som $(sudo netbird status 2>/dev/null | awk -F': ' '/FQDN/{print $2}')"
|
||||
else
|
||||
warn "wt0 kom ikke opp innen 30 s. Se: sudo netbird status"
|
||||
fi
|
||||
elif command -v netbird >/dev/null 2>&1; then
|
||||
echo "NetBird er installert fra før; bruker den som den er."
|
||||
else
|
||||
echo "ingen NETBIRD_SETUP_KEY – LAN-modus."
|
||||
fi
|
||||
|
||||
step "Docker"
|
||||
if ! command -v docker >/dev/null 2>&1; then
|
||||
echo "installerer Docker …"
|
||||
|
|
@ -94,7 +128,15 @@ ANNOUNCER_PIN=${ANNOUNCER_PIN:-}
|
|||
ANNOUNCER_JWT_SECRET=${ANNOUNCER_JWT_SECRET:-}
|
||||
ANNOUNCER_OIDC_CLIENT_SECRET=${ANNOUNCER_OIDC_CLIENT_SECRET:-}
|
||||
ANNOUNCER_SECRET_KEY=
|
||||
# Mesh. auto = sentral hvis [zones] i data/config.toml, ellers sone hvis
|
||||
# nøkkelen er satt. Se docs/mesh.md.
|
||||
ANNOUNCER_MESH_SECRET=${ANNOUNCER_MESH_SECRET:-}
|
||||
ANNOUNCER_ROLE=${ANNOUNCER_ROLE:-auto}
|
||||
ANNOUNCER_NAME=${ANNOUNCER_NAME:-$(hostname -s)}
|
||||
ANNOUNCER_SENTRAL=${ANNOUNCER_SENTRAL:-}
|
||||
ANNOUNCER_URL=
|
||||
ANNOUNCER_MDNS=${ANNOUNCER_MDNS:-1}
|
||||
ANNOUNCER_LOCAL=${ANNOUNCER_LOCAL:-1}
|
||||
ENV
|
||||
chmod 600 .env # PIN og nøkler står i klartekst
|
||||
echo "skrev .env (PUID=$(id -u), BIND_IP=$BIND_IP)"
|
||||
|
|
@ -139,20 +181,25 @@ done
|
|||
|
||||
# --------------------------------------------------------------------------
|
||||
step "Brannmur"
|
||||
# Merk at ufw *ikke* styrer tilgangen til announcer – det gjør BIND_IP i
|
||||
# .env. ufw settes her bare for maskinens øvrige porter.
|
||||
# Containeren bruker vertens nett, så ufw gjelder porten som for enhver annen
|
||||
# tjeneste. BIND_IP avgrenser i tillegg hvilke adresser appen svarer på.
|
||||
if [[ -n "$NB_IP" ]]; then
|
||||
sudo ufw default deny incoming
|
||||
sudo ufw default allow outgoing
|
||||
sudo ufw allow in on wt0 to any port 22 proto tcp comment "ssh via netbird"
|
||||
sudo ufw allow in on wt0 to any port 22022 proto tcp comment "netbird ssh-server"
|
||||
sudo ufw allow in on wt0 to any port "$PORT" proto tcp comment "announcer via netbird"
|
||||
sudo ufw delete allow "$PORT/tcp" >/dev/null 2>&1 || true
|
||||
# mDNS på LAN-et, hvis sentral og soner også skal finne hverandre der
|
||||
sudo ufw allow 5353/udp comment "mdns" >/dev/null 2>&1 || true
|
||||
sudo ufw --force enable
|
||||
echo "ufw aktiv: ssh kun på wt0."
|
||||
echo "announcer er bundet til $BIND_IP:$PORT – det er NetBird-adressen,"
|
||||
echo "så sida nås bare over VPN-et. ufw er ikke involvert i det."
|
||||
echo "ufw aktiv: port $PORT og ssh kun på wt0 (NetBird). Appen er bundet til $BIND_IP."
|
||||
echo "Vil du også nå sida fra lokalt LAN uten VPN: sett BIND_IP=0.0.0.0 i .env og"
|
||||
echo " sudo ufw allow from <lan-subnett> to any port $PORT proto tcp"
|
||||
elif command -v ufw >/dev/null 2>&1 && sudo ufw status 2>/dev/null | grep -q "Status: active"; then
|
||||
warn "ufw er aktiv, men styrer ikke Docker-porter."
|
||||
warn "Vil du begrense tilgangen: sett BIND_IP i .env og kjør docker compose up -d."
|
||||
sudo ufw allow "$PORT/tcp" comment "announcer"
|
||||
sudo ufw allow 5353/udp comment "mdns" >/dev/null 2>&1 || true
|
||||
echo "ufw aktiv: åpnet $PORT/tcp og mDNS."
|
||||
else
|
||||
echo "ufw er ikke aktiv."
|
||||
[[ "$BIND_IP" == "0.0.0.0" ]] && warn "Sida er åpen på alle nett maskina er på."
|
||||
|
|
|
|||
Loading…
Add table
Add a link
Reference in a new issue