ruzzy/infra
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

rpi: создать отдельный ключ туннеля Маруси

Browse Source
This commit is contained in:
astra
2026-10-11 18:17:12 +03:00
parent 2f9f222fac
commit 3159921a4d
1 changed files with 1 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
servers/rpi.md
+1
View File
@@ -158,6 +158,7 @@ Docker CE 29.9 + Compose v5.6 из репо download.docker.com (в Debian ст
- Слушает только `127.0.0.1:8788`, `/health` проверен. Секрет пути webhook — `/etc/astra-marusia.env` (root 600), `MARUSIA_SKILL_ID` пока пуст: POST закрыты до регистрации навыка. Публичного HTTPS URL, туннеля и привязки колонки ещё нет. ⚠️ Это готовая локальная часть, не подключённая колонка.
- Используется существующая авторизация Codex/ChatGPT через read-only bind `~astra/.codex/auth.json` в отдельный CODEX_HOME `/var/lib/astra-marusia`; пользовательские config/rules, shell/apps/browser и проектные инструкции отключены. systemd `ProtectHome=tmpfs`, `ProtectSystem=strict`, `NoNewPrivileges=yes`; рабочий StateDirectory 700. ⚠️ Read-only привязка auth может потребовать повторной проверки после обновления/refresh авторизации; не выдавать колонке административный тред Telegram.
- Проверки: 50 тестов бота/навыка, настоящий ответ модели «Два плюс два — четыре» (7 с), успешный запуск сервиса. Webhook ждёт модель до 2 с, затем предлагает спросить «готово?»; повтор session_id/message_id идемпотентен. До двух запросов к модели одновременно, до 50 разговоров. Короткое ожидание нужно из-за задержки модели; реальное время ожидания/tts и формат платформы проверить в отладчике VK.
- Ключ туннеля создан 2026-10-11 пользователем astra: `~astra/.ssh/marusia_tunnel` (приватный, 600), публичный `marusia_tunnel.pub`; Ed25519, fingerprint `SHA256:XMUGNzoDstNGNJQ0yCZ6KLJ6zx8DIKHUbBH/s7oIBS4`. Публичная часть передаётся владельцем агенту fr1 для ограниченного пользователя `marusia-tunnel`; установка на fr1 и запуск туннеля пока не подтверждены. Ключ без passphrase для systemd; использовать только для loopback reverse forwarding.
- Осталось владельцу: зарегистрировать приватный навык VK и прислать skill_id; для публичного адреса нужен ограниченный SSH-туннель к fr1 + HTTPS-прокси. С rpi у astra есть только ключ Gitea, доступа SSH на fr1 нет. Шаблон nginx подготовлен, на fr1 не установлен.
- Реестр устройств уточнён 2026-10-11 по сообщению владельца: `Xiaomi-Pad-7`, `ce:14:42:fd:a2:d5`, при обнаружении `192.168.10.45` — «Планшет подруги Полины (Xiaomi Pad 7)». Записано через `router known add`; MAC частный, при его смене потребуется новая отметка.