HarmenandClaude Fable 5.1
973b24a23f
Plan Eigenimage, fase 1 tot en met 3. De vier templates verhuizen naar tools/electrum-gate/ zonder extensie; daarnaast Dockerfile (nginx:1.30-alpine plus python3), entrypoint.sh (het command-blok van de compose, zonder $$) en build.sh naar het voorbeeld van Evolu Relay. Een image voor beide containers, gebouwd op de Umbrel; open punt 2 en 3 daarmee beslist. Inhoudelijk anders dan alleen verplaatst: het log_format staat in stream.conf zelf, het backend-adres komt via twee plaatshouders zonder dollarteken uit de omgeving (ook in de server-service), en de pagina haalt versie en adres uit status.json via GATE_APP_VERSION. Tests mee verhuisd en uitgebreid: entrypoint.sh en Dockerfile in plaats van het command-blok, en de tag in de compose gelijk aan VERSION in build.sh voor elke eigen image. Mutatie-getest met drie ingrepen. Nog niet gebouwd: er is hier geen Docker. De tag staat ongepind tot de eerste push; dat is fase 4 en die is van de gebruiker. Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
66 lines
3.4 KiB
Plaintext
66 lines
3.4 KiB
Plaintext
# De TLS-terminatie van Electrum Gate, als los bestand, en dat is de hele truc.
|
|
#
|
|
# nginx weigert te starten als een 'listen ... ssl' geen certificaat heeft, en
|
|
# welk certificaat dat wordt weet alleen de agent. Zolang dit blok in nginx.conf
|
|
# stond, kwam de server dus niet omhoog voordat er een keuze lag, en daarmee ook
|
|
# de web-UI niet: precies de pagina waarop die keuze gemaakt wordt. Een gebruiker
|
|
# zonder Zoraxy, of met twee kandidaten, zag daardoor helemaal niets en had geen
|
|
# enkele weg vooruit. Zo aangetroffen in 0.0.3.
|
|
#
|
|
# Nu staat het blok hier, en entrypoint.sh zet dit bestand pas in
|
|
# /var/lib/gate/tls/ zodra de agent cert.conf geschreven heeft. nginx.conf haalt
|
|
# die map op met een jokerteken, en een jokerteken dat niets matcht is voor nginx
|
|
# geen fout. Geen certificaat betekent dus: geen stream-blok, geen poort 50022,
|
|
# maar wel een werkende pagina die vertelt wat eraan mankeert.
|
|
#
|
|
# Dit bestand zit in de image als /etc/nginx/stream.conf.in. De twee plaatshouders
|
|
# __GATE_ELECTRUM_HOST__ en __GATE_ELECTRUM_PORT__ vult entrypoint.sh bij het
|
|
# starten in uit de omgeving; nginx kan in een proxy_pass van het stream-blok zelf
|
|
# geen omgevingsvariabele lezen. Tot 0.0.29 was dit een *.template in de app-map
|
|
# en deed umbreld die invulling, en daarom mocht er toen geen nginx-variabele met
|
|
# een dollarteken in staan. Die beperking is weg: het log_format staat nu gewoon
|
|
# hier en niet meer in een los bestand dat het command-blok wegschreef.
|
|
|
|
stream {
|
|
# Let op wat er NIET in staat: geen client-adres en geen bronpoort. Dat is
|
|
# precies het soort gegeven dat deze app van het netwerk af houdt, en om te
|
|
# zien dat het werkt is het niet nodig.
|
|
log_format gate '$time_iso8601 $status $bytes_received $bytes_sent $session_time';
|
|
access_log /var/lib/gate/stream.log gate;
|
|
|
|
server {
|
|
# 50022 en niet 50002; de reden staat bij de ports-regel in
|
|
# docker-compose.yml. Wijzig je dit, wijzig dan ook de hex-poort in de
|
|
# verbindingsteller van entrypoint.sh.
|
|
listen 50022 ssl;
|
|
|
|
# ssl_certificate en ssl_certificate_key, geschreven door de agent op
|
|
# grond van wat er in de certificaatmappen staat en wat de gebruiker op
|
|
# het dashboard gekozen heeft. Daarom staat er hier geen domeinnaam meer
|
|
# in dit bestand. Dat dit bestand bestaat betekent dat cert.conf er is:
|
|
# entrypoint.sh zet het er pas dan neer.
|
|
#
|
|
# nginx wil de VOLLEDIGE keten in ssl_certificate, dus het bestand van
|
|
# Zoraxy kan er ongewijzigd in. Splitsen in een servercertificaat en een
|
|
# CA-deel, zoals de oude stunnel-opzet deed, is hier juist fout.
|
|
include /var/lib/gate/cert.conf;
|
|
|
|
ssl_protocols TLSv1.2 TLSv1.3;
|
|
|
|
# Een Electrum-wallet houdt een langlopende verbinding open die het
|
|
# grootste deel van de tijd stil is. De standaardwaarde van
|
|
# proxy_timeout is tien minuten, en die verbreekt zo'n verbinding dus
|
|
# zonder aanleiding; de wallet merkt dat pas als hij iets wil en meldt
|
|
# dan dat er geen data is. stunnel hanteerde hier twaalf uur, en dat
|
|
# verschil is bij de overstap naar nginx over het hoofd gezien.
|
|
proxy_timeout 12h;
|
|
proxy_connect_timeout 10s;
|
|
|
|
# Houdt de verbinding naar de backend levend en laat een verbroken
|
|
# verbinding sneller opvallen dan pas bij het volgende verzoek.
|
|
proxy_socket_keepalive on;
|
|
|
|
proxy_pass __GATE_ELECTRUM_HOST__:__GATE_ELECTRUM_PORT__;
|
|
}
|
|
}
|