Gate 0.1.0: eigen image, het command-blok is een script, de app-map is leeg

Plan Eigenimage, fase 1 tot en met 3. De vier templates verhuizen naar
tools/electrum-gate/ zonder extensie; daarnaast Dockerfile (nginx:1.30-alpine
plus python3), entrypoint.sh (het command-blok van de compose, zonder $$) en
build.sh naar het voorbeeld van Evolu Relay. Een image voor beide containers,
gebouwd op de Umbrel; open punt 2 en 3 daarmee beslist.

Inhoudelijk anders dan alleen verplaatst: het log_format staat in stream.conf
zelf, het backend-adres komt via twee plaatshouders zonder dollarteken uit de
omgeving (ook in de server-service), en de pagina haalt versie en adres uit
status.json via GATE_APP_VERSION.

Tests mee verhuisd en uitgebreid: entrypoint.sh en Dockerfile in plaats van het
command-blok, en de tag in de compose gelijk aan VERSION in build.sh voor elke
eigen image. Mutatie-getest met drie ingrepen.

Nog niet gebouwd: er is hier geen Docker. De tag staat ongepind tot de eerste
push; dat is fase 4 en die is van de gebruiker.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

tools/electrum-gate/stream.conf

@@ -0,0 +1,65 @@
+# De TLS-terminatie van Electrum Gate, als los bestand, en dat is de hele truc.
+#
+# nginx weigert te starten als een 'listen ... ssl' geen certificaat heeft, en
+# welk certificaat dat wordt weet alleen de agent. Zolang dit blok in nginx.conf
+# stond, kwam de server dus niet omhoog voordat er een keuze lag, en daarmee ook
+# de web-UI niet: precies de pagina waarop die keuze gemaakt wordt. Een gebruiker
+# zonder Zoraxy, of met twee kandidaten, zag daardoor helemaal niets en had geen
+# enkele weg vooruit. Zo aangetroffen in 0.0.3.
+#
+# Nu staat het blok hier, en entrypoint.sh zet dit bestand pas in
+# /var/lib/gate/tls/ zodra de agent cert.conf geschreven heeft. nginx.conf haalt
+# die map op met een jokerteken, en een jokerteken dat niets matcht is voor nginx
+# geen fout. Geen certificaat betekent dus: geen stream-blok, geen poort 50022,
+# maar wel een werkende pagina die vertelt wat eraan mankeert.
+#
+# Dit bestand zit in de image als /etc/nginx/stream.conf.in. De twee plaatshouders
+# __GATE_ELECTRUM_HOST__ en __GATE_ELECTRUM_PORT__ vult entrypoint.sh bij het
+# starten in uit de omgeving; nginx kan in een proxy_pass van het stream-blok zelf
+# geen omgevingsvariabele lezen. Tot 0.0.29 was dit een *.template in de app-map
+# en deed umbreld die invulling, en daarom mocht er toen geen nginx-variabele met
+# een dollarteken in staan. Die beperking is weg: het log_format staat nu gewoon
+# hier en niet meer in een los bestand dat het command-blok wegschreef.
+
+stream {
+    # Let op wat er NIET in staat: geen client-adres en geen bronpoort. Dat is
+    # precies het soort gegeven dat deze app van het netwerk af houdt, en om te
+    # zien dat het werkt is het niet nodig.
+    log_format gate '$time_iso8601 $status $bytes_received $bytes_sent $session_time';
+    access_log /var/lib/gate/stream.log gate;
+
+    server {
+        # 50022 en niet 50002; de reden staat bij de ports-regel in
+        # docker-compose.yml. Wijzig je dit, wijzig dan ook de hex-poort in de
+        # verbindingsteller van entrypoint.sh.
+        listen 50022 ssl;
+
+        # ssl_certificate en ssl_certificate_key, geschreven door de agent op
+        # grond van wat er in de certificaatmappen staat en wat de gebruiker op
+        # het dashboard gekozen heeft. Daarom staat er hier geen domeinnaam meer
+        # in dit bestand. Dat dit bestand bestaat betekent dat cert.conf er is:
+        # entrypoint.sh zet het er pas dan neer.
+        #
+        # nginx wil de VOLLEDIGE keten in ssl_certificate, dus het bestand van
+        # Zoraxy kan er ongewijzigd in. Splitsen in een servercertificaat en een
+        # CA-deel, zoals de oude stunnel-opzet deed, is hier juist fout.
+        include /var/lib/gate/cert.conf;
+
+        ssl_protocols       TLSv1.2 TLSv1.3;
+
+        # Een Electrum-wallet houdt een langlopende verbinding open die het
+        # grootste deel van de tijd stil is. De standaardwaarde van
+        # proxy_timeout is tien minuten, en die verbreekt zo'n verbinding dus
+        # zonder aanleiding; de wallet merkt dat pas als hij iets wil en meldt
+        # dan dat er geen data is. stunnel hanteerde hier twaalf uur, en dat
+        # verschil is bij de overstap naar nginx over het hoofd gezien.
+        proxy_timeout          12h;
+        proxy_connect_timeout  10s;
+
+        # Houdt de verbinding naar de backend levend en laat een verbroken
+        # verbinding sneller opvallen dan pas bij het volgende verzoek.
+        proxy_socket_keepalive on;
+
+        proxy_pass __GATE_ELECTRUM_HOST__:__GATE_ELECTRUM_PORT__;
+    }
+}