Различия

Показаны различия между двумя версиями страницы.

--- runbooks:polytech-skud [2026/10/11 16:38] – OLV-4958: прямой APACS и единственный выход gw32 0.0.0.0
+++ runbooks:polytech-skud [2026/10/11 18:31] (текущий) – OLV-4958: restore local Go TLS compatibility; retain gw32-only real endpoint Boris Rudakov
@@ Строка 13: / Строка 13: @@
 Этот раздел меняет только документационный рецепт. Ключи, ''known_hosts'', SSH-настройки и серверы этим amendment не меняются; production writes по-прежнему требуют разрешения владельца.
 ===== Действующая схема (11.10.2026) =====
-**Все соединения от имени Olvery — только через gw32 (89.20.105.168). Прокси и другие внешние выходы запрещены абсолютно, включая аварии и диагностику.**
+**Все внешние соединения от имени Olvery — только через gw32 (89.20.105.168). Внешние прокси и другие выходы запрещены, включая аварии и диагностику. Локальный Go TLS-транспорт APACS сохраняется по уточнению Бориса: он обходит несовместимость IIS/OpenSSL и не является альтернативным выходом.**
-  back-acs → gw32 → VPN Политеха (ovpstu) → 10.47.30.20:7010
+  ApacsDriver → localhost:8099 (Go TLS) → gw32 → VPN Политеха (ovpstu) → 10.47.30.20:7010
-PHP обращается прямо к ''https://10.47.30.20:7010/''. Провайдер 34 (локация 36), драйвер ''apacs'', адрес в ''driverOptions.api_url''. Посредников и трансляции адреса назначения нет. SNAT на выданный PPP-адрес выполняет штатный mpd.
+Провайдер34 (production локация36), драйвер ''apacs'', ''driverOptions.api_url=https://10.47.30.20:7010/''. PHP передаёт операции по локальному HTTP; Go выполняет HTTPS к настоящему APACS, ''APACS_UPSTREAM_URL=https://10.47.30.20:7010/''. Без подмены назначения. SNAT на выданный PPP-адрес выполняет штатный mpd. Mock-провайдеры используют свои endpoint и не направляются на Политех.
 Адрес PPP назначает сервер Политеха: в 21:30 11.10 получен ''10.100.68.2'', peer ''10.100.68.1''. Адрес не закрепляется вручную; перед передачей текущего источника читать ''ifconfig ovpstu''.
@@ Строка 29: / Строка 28: @@
   ssh root@gw32 ifconfig ovpstu
   ssh root@gw32 /usr/local/sbin/swanctl --list-sas --ike olvr-pstu
+  ssh root@srv-prod2.olvr docker exec tpark-it.back-acs.latest supervisorctl status apacs-proxy
-Health ''/api/acs/v1/health/apacs-skud'' обращается к настоящему адресу того же провайдера. TCP/TLS timeout означает недоступность, но сам по себе не определяет виновную сторону. При отсутствии ответа нужны metadata SYN/SYN-ACK/RST на принимающем интерфейсе сервера, без payload.
+Health ''/api/acs/v1/health/apacs-skud'' проходит через тот же Go TLS к настоящему APACS. ''http://127.0.0.1:8099/health'' внутри контейнера проверяет только жизнь Go-процесса. Не подменять первое вторым. TCP/TLS timeout означает недоступность, но сам по себе не определяет виновную сторону. При отсутствии ответа нужны metadata SYN/SYN-ACK/RST на принимающем интерфейсе сервера, без payload.
 Пользовательский результат — выпуск или удаление пропуска. Health и наличие VPN не подменяют его. Изменяющие пропуска операции и открытие двери не используются как обычная сетевая проба.
@@ Строка 38: / Строка 38: @@
 На gw32: strongSwan named ''olvr-pstu'' и mpd5 bundle ''OlvrPstu'', iface ''ovpstu''. Маршруты ''10.47.30.20/32'' и ''82.179.113.10/32'', MTU/MRU1370, штатные NAT/tcpmssfix. Файлы ''/usr/local/etc/swanctl/conf.d/olvr-pstu.conf'' и ''/usr/local/etc/mpd5/olvr-pstu.conf''. Пароли не менять.
-На srv-prod2: один PHP-драйвер, адрес из провайдера. Общий выход через DHCP gateway на gw32. На Linux VPN не включать: наблюдался kernel fault L2TP/XFRM. Общий mpd на gw32 не перезапускать — он держит WAN PPPoE.
+На srv-prod2 и test srv-app: один PHP-драйвер с локальным Go TLS. Бинарник собирается Docker из ''apacs-proxy/''; supervisor запускает его, слушает только localhost:8099. Реальный upstream задан выше, прежний контракт self-signed сертификата сохранён. Production image ''olvery/back-acs:owox-go-20261011'', test ''olvery/back-acs:owox-go-test-20261011''. Production starter ''/srv/restore/runtime/start-production-php.sh'' выбирает Go-image; test create config ''/root/OwOX-apacs-go/state-final/create.json'' сохраняет его после пересоздания.
+Общий выход через DHCP gateway на gw32. На Linux VPN не включать: наблюдался kernel fault L2TP/XFRM. Общий mpd на gw32 не перезапускать — он держит WAN PPPoE.
 SSO (''82.179.112.230:443'') — отдельное прямое соединение через WAN gw32. Рецептов альтернативного выхода нет. Точный текущий остаток — OLV-4958.