HarmenandClaude Opus 5
576acd20dd
De app-map is niet langer de relay van Trezor met een Postgres en een quota-manager ernaast, maar de relay van Evolu met onze eigen allowlist eromheen. Drie containers werden relay, agent en nginx; het wachtwoord en de database zijn verdwenen. De poorten zijn omgedraaid en dat is de kern. Tot 0.0.2 hing de relay achter app_proxy en moest de inlog van umbrelOS dus uit, waardoor een statuspagina net zo onbeschermd zou zijn als de relay zelf. Nu hangt de pagina daar met de inlog aan, en publiceert de relay zijn eigen poort 3852 waar Zoraxy met TLS naartoe wijst. Dat is hetzelfde patroon als Electrum Gate met 50022. Niet 4000 op de host, want dat is een veelgebruikte poort en een botsing merk je pas als de app niet start. De agent beslist niets: hij leest wat het relay-proces heeft opgeschreven en legt opdrachten in een postbus die de relay zelf leegmaakt. Twee processen die in dezelfde allowlist schrijven is een wedloop die je een keer per jaar treft en dan niet kunt reproduceren. Hij weigert ook een tweede opdracht zolang de vorige er nog ligt, want overschrijven zou er stil een laten verdwijnen. De pagina volgt het ontwerpsysteem van Electrum Gate, zonder de Google Fonts-verwijzing daaruit: een app op een Umbrel hoort niet te wachten op een lettertype van buiten. Alles is met stringoptelling geschreven en zonder enig dollarteken, want umbreld haalt elke template door envsubst en zou een JavaScript-template-literal stilzwijgend leegmaken. De image is door de gebruiker gebouwd en geduwd; de compose is gepind op tag plus digest. Manifest naar 0.2.0, met een beschrijving en releaseNotes die kloppen met wat er nu draait in plaats van met het vorige pakket. Wat hier NIET mee bewezen is, en dat is meer dan gebruikelijk: de agent is alleen op syntaxis gecontroleerd, de pagina is nooit gerenderd, en of een opdracht van de pagina daadwerkelijk bij het relay-proces aankomt is niet gemeten. Dat kan alleen op het apparaat en staat als taak. Tests: alle vier groen (32, 54, 39 en 60 goed, 0 fout). Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
59 lines
2.2 KiB
Plaintext
59 lines
2.2 KiB
Plaintext
# nginx-configuratie voor Evolu Relay.
|
|
#
|
|
# Dit bestand serveert alleen de statuspagina. De relay zelf zit er niet achter:
|
|
# die publiceert zijn eigen poort in docker-compose.yml, waar Zoraxy met TLS
|
|
# naartoe wijst. Dat is de omkering ten opzichte van het pakket van 25-08-2026,
|
|
# waar de relay achter de app-proxy stond en de inlog dus uit moest; zie het plan
|
|
# Umbrelapp, PLAN.md §4h.
|
|
#
|
|
# Dit is een template, en dat is bewust: umbrelOS ververst bij een update alleen
|
|
# een whitelist van bestanden, en *.template staat daarin. Bij elke start vult
|
|
# umbrelOS de omgevingsvariabelen in en schrijft het resultaat weg als nginx.conf.
|
|
#
|
|
# Let op bij het wijzigen: gebruik hier geen nginx-variabelen met een dollarteken,
|
|
# zoals de gebruikelijke in een log_format. De invulling vervangt elke
|
|
# accolade-variabele en zou die stilzwijgend leegmaken. Daarom staat access_log
|
|
# uit.
|
|
|
|
user nginx;
|
|
worker_processes auto;
|
|
error_log /var/log/nginx/error.log notice;
|
|
pid /var/run/nginx.pid;
|
|
|
|
events {
|
|
worker_connections 1024;
|
|
}
|
|
|
|
http {
|
|
include /etc/nginx/mime.types;
|
|
default_type application/octet-stream;
|
|
access_log off;
|
|
sendfile on;
|
|
|
|
server {
|
|
listen 80;
|
|
root /usr/share/nginx/html;
|
|
index index.html;
|
|
|
|
# De API van de agent: de status lezen en een opdracht in de postbus
|
|
# leggen. Dit is het enige pad waarlangs iets van buiten de instellingen
|
|
# van de app raakt.
|
|
#
|
|
# Waarom dat hier te verantwoorden is: dit pad hangt achter de app_proxy
|
|
# van umbrelOS, die er zijn eigen inlog voor zet. De relay staat op een
|
|
# andere poort en is hierlangs niet te bereiken. En het ergste wat een
|
|
# geslaagde aanroep doet is de leerstand omzetten of een eigenaar
|
|
# blokkeren, en dat is precies waar de pagina voor is.
|
|
#
|
|
# Geen proxy_set_header, en dat is geen vergetelheid: die zouden een
|
|
# nginx-variabele vragen en die haalt de template-invulling weg. De agent
|
|
# heeft ze niet nodig.
|
|
location /api/ {
|
|
proxy_pass http://agent:8000;
|
|
# Een opdracht is een handvol bytes. De agent kapt zelf ook af, op
|
|
# 4k; dit is de eerste zeef en niet de enige.
|
|
client_max_body_size 4k;
|
|
}
|
|
}
|
|
}
|