grendervill
4bd1770cb5
- deploy/install.sh: идемпотентная установка, режимы встроенного и внешнего прокси (§10.13), --dry-run/--skip-tls/--reconfigure, auto-детект профиля (§10.10) - deploy/compose.yaml.tpl: app, livekit, caddy с лимитами, healthcheck, ротацией логов, cap_drop и no-new-privileges (§4.3) - deploy/caddy: Caddyfile.tpl (встроенный) и external-proxy.conf.tpl (наш стенд) - deploy/livekit: конфиг с TURN, dynacast и лимитами комнат (§10.6) - deploy/backup.sh + restore.sh: sqlite .backup, tar, age-шифрование (§10.8) - deploy/update.sh: бэкап → pull/сборка → up → миграции → smoke (§9.3) - deploy/smoke.sh: проверки §10.9 (healthz/readyz/meta, порты, UFW, fail2ban, бэкап) - deploy/security-check.sh: аудит SSH, UFW, fail2ban, прав .env и ключей - deploy/ufw-docker.sh, nftables и fail2ban-конфиги (sshd, glchat-auth, recidive) - deploy/glchat-cli.sh: команды §10.7, systemd-юнит glchat.service - scripts/test-install.sh: прогон установщика в чистом Ubuntu 24.04 (systemd-контейнер) - Dockerfile: multi-stage (node → golang CGO → debian-slim), non-root, healthcheck - Makefile: lint/test/build/dev/generate/security/smoke и фиксация версий инструментов
68 lines
1.8 KiB
Smarty
68 lines
1.8 KiB
Smarty
# Сгенерировано deploy/install.sh — не редактируйте вручную.
|
||
# Режим: внешний reverse proxy (--external-proxy). Собственный Caddy не запускается:
|
||
# блок ниже нужно вставить в конфиг вашего прокси (например, Caddyfile) и перезагрузить его.
|
||
# Приложение и LiveKit слушают только 127.0.0.1.
|
||
{
|
||
email {{ACME_EMAIL}}
|
||
}
|
||
|
||
(glchat_security_headers) {
|
||
header {
|
||
Strict-Transport-Security "max-age=31536000; includeSubDomains"
|
||
X-Content-Type-Options "nosniff"
|
||
Referrer-Policy "strict-origin-when-cross-origin"
|
||
X-Frame-Options "DENY"
|
||
-Server
|
||
}
|
||
}
|
||
|
||
# --- glchat: начало блока -------------------------------------------------
|
||
{{DOMAIN}} {
|
||
encode zstd gzip
|
||
import glchat_security_headers
|
||
log {
|
||
output file /opt/glchat/caddy/logs/access.log {
|
||
roll_size 10mb
|
||
roll_keep 3
|
||
}
|
||
format json
|
||
}
|
||
|
||
# WebSocket Gateway (фаза 1): длинные соединения без таймаутов.
|
||
@gateway path /gateway
|
||
handle @gateway {
|
||
reverse_proxy 127.0.0.1:{{APP_PORT}} {
|
||
transport http {
|
||
read_timeout 1h
|
||
write_timeout 1h
|
||
}
|
||
}
|
||
}
|
||
|
||
# LiveKit сигналинг (WebSocket).
|
||
@rtc path /rtc*
|
||
handle @rtc {
|
||
reverse_proxy 127.0.0.1:{{LIVEKIT_WS_PORT}} {
|
||
transport http {
|
||
read_timeout 1h
|
||
write_timeout 1h
|
||
}
|
||
}
|
||
}
|
||
|
||
# API и статика клиента.
|
||
handle {
|
||
reverse_proxy 127.0.0.1:{{APP_PORT}}
|
||
}
|
||
}
|
||
|
||
# Пользовательский контент — отдельный origin (изоляция cookies/CSP).
|
||
{{FILES_DOMAIN}} {
|
||
encode zstd gzip
|
||
import glchat_security_headers
|
||
handle {
|
||
reverse_proxy 127.0.0.1:{{APP_PORT}}
|
||
}
|
||
}
|
||
# --- glchat: конец блока --------------------------------------------------
|