feat: migrate all managed LXC provisioning to OpenTofu (blue-green)
Blue-green: a new container is created beside the old one, data is copied, the
IP is moved onto it, and the old container is kept stopped as rollback for at
least a week. Keeping the IP means only the VMID changes, and its consumers
(backup jobs, backup audit) already derive it from the registry.
Batch 1 (2026-09-02): emergency-bot 148->151, docker-test 145->152,
gitea 141->153, vaultwarden 140->154, monitoring 146->155, gyro 150->156,
grimmory 149->157.
Batch 2 (2026-09-03): adguard 144->158, mihomo 143->159, ovpn-mini 132->160.
All migratable LXC are now provisioner: tofu. hermes-ai (frozen) and pbs stay.
- tofu/services.tf + tofu/svc-*.tf: one resource per service, reproducing the
pct-config etalon. /dev/fuse -> features.fuse; /dev/net/tun ->
device_passthrough (first live use on mihomo and ovpn-mini); gitea bind mount
-> datastore volume (data finally reaches PBS); console { type = "shell" }
declared explicitly (provider tracks cmode there).
- services.yml: vmid + provisioner: tofu for every migrated service; features
strings and device notes updated to the tofu representation; also drops the
memoir-bot entry and adds homelab_reverse_proxy_image/_unit.
- pve-*.yml: configuration play target is `{{ pve_config_target | default(...) }}`
so it can run against <name>-new on a temp address (a bare --limit zeroes the
play instead of retargeting it). Container-creation plays are gated behind
`provisioner != 'tofu'` / `pve_provisioning_enabled` (meta: end_play), so a
stray run cannot pct start a stopped OLD VMID on a live IP. Override for
intentional legacy rollback: -e pve_<svc>_legacy_provisioning_enabled=true.
- ssh_config: drop memoir-bot; ovpn-mini gets ProxyJump none (a jump via ru-vps
would route through the very tunnel ovpn-mini terminates).
- gyro.yml / uptime-kuma.yml: same pve_config_target override.
- roles/uptime_kuma: only freeze homelab-monitoring when the unit actually
exists (a fresh blue-green container never had it).
- offsite-restic-yadisk.yml: the gitea restic profile now runs inside the LXC
(hosts: gitea), since the bind-mount host path is gone after the volume move;
lost+found excluded (unreadable in an unprivileged LXC, restic exit 3).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012uoq5AVK8mkBgg83Mq6o5V
This commit is contained in:
Dmitry
co-authored by
Claude Sonnet 5
Claude Sonnet 5
parent
e349f19e68
commit
a3fe8031fe
@@ -0,0 +1,93 @@
|
||||
# ============================================================================
|
||||
# Сервисы, переведённые на OpenTofu provisioning по схеме blue-green.
|
||||
# Процедура и порядок сервисов: docs/ai/migration-tofu.md.
|
||||
# ============================================================================
|
||||
#
|
||||
# Сервис №1: emergency-bot (OLD vmid 148, mini-pc).
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 148.
|
||||
# Данных нет (backup: none), шаг 4.4 (перенос данных) пропускается целиком.
|
||||
#
|
||||
# vm_id 151 — новый VMID для blue-green переезда, TMPIP 192.168.1.6 был
|
||||
# использован только на шаге 4.3 (проверка перед cutover). После шага 4.5.15
|
||||
# адрес — боевой 192.168.1.32, OLD (148) остановлен и остаётся откатом
|
||||
# минимум неделю.
|
||||
|
||||
resource "proxmox_virtual_environment_container" "emergency_bot" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 151
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "emergency-bot"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.32/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 512
|
||||
swap = 256
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 4
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1. Ни keyctl, ни fuse, ни device passthrough
|
||||
# эталону не нужны, поэтому доступно в обоих режимах аутентификации.
|
||||
features {
|
||||
nesting = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на этом сервисе,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 70
|
||||
}
|
||||
}
|
||||
|
||||
output "emergency_bot" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.emergency_bot.vm_id
|
||||
node = proxmox_virtual_environment_container.emergency_bot.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.emergency_bot.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,127 @@
|
||||
# ============================================================================
|
||||
# Сервис №8 по плану (docs/ai/migration-tofu.md, раздел 5): adguard.
|
||||
# DNS-фильтр всей LAN. Жёсткое окно простоя только между шагами 4.5.14 и
|
||||
# 4.5.17 (два контейнера на 192.168.1.28 одновременно невозможны).
|
||||
#
|
||||
# OLD vmid 144, узел mini-pc, боевой адрес 192.168.1.28.
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 144 (дословно совпадает
|
||||
# с /etc/pve/lxc/144.conf):
|
||||
#
|
||||
# arch: amd64
|
||||
# cmode: shell
|
||||
# cores: 1
|
||||
# features: nesting=1,keyctl=1
|
||||
# hostname: adguard
|
||||
# memory: 512
|
||||
# nameserver: 1.1.1.1
|
||||
# net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.1.1,ip=192.168.1.28/24,type=veth
|
||||
# onboot: 1
|
||||
# ostype: debian
|
||||
# rootfs: local-lvm:vm-144-disk-0,size=8G
|
||||
# startup: order=40
|
||||
# swap: 512
|
||||
# unprivileged: 1
|
||||
# lxc.cgroup2.devices.allow: c 10:229 rwm
|
||||
# lxc.mount.entry: /dev/fuse dev/fuse none bind,create=file
|
||||
#
|
||||
# vm_id 158 — новый VMID для blue-green переезда (назначен, не менять).
|
||||
# TMPIP 192.168.1.17 используется только на шаге 4.3 (проверка перед cutover).
|
||||
# После шага 4.5.15 адрес меняется на боевой 192.168.1.28, OLD (144)
|
||||
# останавливается и остаётся откатом минимум неделю.
|
||||
#
|
||||
# --- /dev/fuse: features.fuse, а не device_passthrough ----------------------
|
||||
# Эталонные lxc.cgroup2.devices.allow + lxc.mount.entry для /dev/fuse — ручной
|
||||
# обход (lineinfile по /etc/pve/lxc/144.conf в pve-adguard.yml), потому что
|
||||
# Proxmox API сырые lxc.* ключи не принимает. Заменяется штатным флагом PVE
|
||||
# features.fuse, проверенным на пилоте VMID 199 и на сервисах 2-7. Следствие:
|
||||
# pct config нового контейнера покажет features: fuse=1,keyctl=1,nesting=1 —
|
||||
# текстуально иначе, чем эталон, при том же эффекте. См. tofu/README.md.
|
||||
#
|
||||
# --- Данные ----------------------------------------------------------------
|
||||
# /opt/adguard/{conf,work} (~313 МБ, почти всё — work/: журнал запросов,
|
||||
# статистика, кэш фильтров). conf/AdGuardHome.yaml несёт весь конфиг, включая
|
||||
# хэш пароля админа, DNS rewrites, upstream и клиентов. Переносится целиком
|
||||
# на шаге 4.4; Ansible этим каталогом не управляет.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "adguard" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 158
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "adguard"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.28/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 512
|
||||
swap = 512
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 8
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс проброс /dev/fuse через сырые
|
||||
# lxc.* строки. fuse=1 — штатная замена этого обхода (см. комментарий выше).
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 40
|
||||
}
|
||||
}
|
||||
|
||||
output "adguard" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.adguard.vm_id
|
||||
node = proxmox_virtual_environment_container.adguard.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.adguard.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,104 @@
|
||||
# ============================================================================
|
||||
# Сервис №2: docker-test (OLD vmid 145, cloud-pc).
|
||||
# Эталон снят 2026-09-02: ssh cloud-pc sudo pct config 145.
|
||||
# Данных нет (песочница), шаг 4.4 (перенос данных) пропускается целиком.
|
||||
#
|
||||
# vm_id 152 — новый VMID blue-green переезда. TMPIP 192.168.1.11 отработал на
|
||||
# шаге 4.3; cutover выполнен 2026-09-02, адрес боевой — 192.168.1.29.
|
||||
# OLD (145) остановлен и остаётся откатом минимум неделю, до 2026-09-09.
|
||||
#
|
||||
# В отличие от emergency_bot, этот сервис проверяет проброс /dev/fuse на
|
||||
# реальном сервисе: Docker внутри работает на storage-driver fuse-overlayfs.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "docker_test" {
|
||||
node_name = "cloud-pc"
|
||||
vm_id = 152
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "docker-test"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.29/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 512
|
||||
swap = 512
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "data"
|
||||
size = 8
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс проброс /dev/fuse, сделанный в
|
||||
# pve-docker-test.yml правкой /etc/pve/lxc/145.conf (lxc.cgroup2.devices.allow
|
||||
# + lxc.mount.entry) — Proxmox API сырые lxc.* ключи не принимает.
|
||||
#
|
||||
# У провайдера для /dev/fuse есть ШТАТНЫЙ флаг features.fuse, а не
|
||||
# device_passthrough: последний нужен только для /dev/net/tun (dev0: в PVE
|
||||
# 8.2+). См. tofu/pilot.tf.example:17-21 и tofu/README.md.
|
||||
# Поэтому pct config нового контейнера покажет features: fuse=1,keyctl=1,
|
||||
# nesting=1 — текстуально иначе, чем эталон, но это тот же результат
|
||||
# штатным механизмом вместо обхода.
|
||||
#
|
||||
# Всё три флага требуют root@pam; токену Proxmox разрешает только nesting.
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 50
|
||||
}
|
||||
}
|
||||
|
||||
output "docker_test" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.docker_test.vm_id
|
||||
node = proxmox_virtual_environment_container.docker_test.node_name
|
||||
verify = "ssh cloud-pc sudo pct config ${proxmox_virtual_environment_container.docker_test.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,146 @@
|
||||
# ============================================================================
|
||||
# Сервис №3 по плану (docs/ai/migration-tofu.md, раздел 5): gitea.
|
||||
# Главный приз всей миграции — ради него она и затевалась.
|
||||
#
|
||||
# OLD vmid 141, узел cloud-pc, боевой адрес 192.168.1.25.
|
||||
# Эталон снят 2026-09-02: ssh cloud-pc sudo pct config 141 (и совпадающий
|
||||
# /etc/pve/lxc/141.conf):
|
||||
#
|
||||
# arch: amd64
|
||||
# cmode: shell
|
||||
# cores: 2
|
||||
# features: nesting=1,keyctl=1
|
||||
# hostname: gitea
|
||||
# memory: 2048
|
||||
# mp0: /opt/data/gitea,mp=/opt/gitea/data
|
||||
# nameserver: 1.1.1.1
|
||||
# net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.1.1,ip=192.168.1.25/24,type=veth
|
||||
# onboot: 1
|
||||
# ostype: debian
|
||||
# rootfs: data:141/vm-141-disk-0.raw,size=32G
|
||||
# startup: order=50
|
||||
# swap: 1024
|
||||
# unprivileged: 1
|
||||
# lxc.cgroup2.devices.allow: c 10:229 rwm
|
||||
# lxc.mount.entry: /dev/fuse dev/fuse none bind,create=file
|
||||
#
|
||||
# vm_id 153 — новый VMID для blue-green переезда. IP ниже — TMPIP
|
||||
# 192.168.1.12, используется только до шага 4.5.15 (проверка перед cutover);
|
||||
# затем меняется на боевой 192.168.1.25, а OLD (141) останавливается и
|
||||
# остаётся откатом минимум неделю.
|
||||
#
|
||||
# --- Bind mount -> volume ----------------------------------------------------
|
||||
# Эталонный mp0 — bind mount каталога НОДЫ (/opt/data/gitea на cloud-pc), а не
|
||||
# volume на datastore. Provider с root@pam мог бы воспроизвести и bind mount
|
||||
# буквально, но делать это НЕЛЬЗЯ: если по ошибке одновременно поднимутся
|
||||
# оба контейнера, два процесса Gitea будут писать в один и тот же каталог
|
||||
# хоста и повредят SQLite и репозитории. Поэтому mount_point ниже — volume на
|
||||
# том же datastore, что и rootfs ("data"), с независимым хранилищем. Данные
|
||||
# переносятся отдельно на шаге 4.4 (rsync/pct push), а не общим bind mount.
|
||||
# Размер volume — 32G по решению migration-tofu.md (раздел 5, пункт 3):
|
||||
# фактическое использование на 2026-09-02 — 2.3G (`sudo du -sh
|
||||
# /opt/data/gitea`), так что 32G — запас с большим множителем на рост
|
||||
# репозиториев, а не минимально достаточное значение.
|
||||
#
|
||||
# --- /dev/fuse: features.fuse, а не device_passthrough ----------------------
|
||||
# Эталонные строки lxc.cgroup2.devices.allow + lxc.mount.entry для /dev/fuse —
|
||||
# это ручной обход, потому что Proxmox API не принимает сырые lxc.* ключи
|
||||
# (pve-gitea.yml добавляет их через lineinfile). У провайдера bpg/proxmox для
|
||||
# ровно этого эффекта есть штатный флаг PVE features.fuse — это подтверждено
|
||||
# на пилоте (tofu/README.md, раздел «Решение: root@pam по паролю») и явно
|
||||
# названо в комментарии tofu/pilot.tf.example: "У провайдера для этого есть
|
||||
# features.fuse — штатный флаг PVE, а не обход". device_passthrough (dev0:)
|
||||
# нужен только для сырых character-устройств вида /dev/net/tun; у gitea
|
||||
# такого устройства нет (в pct config нет строки dev0:), поэтому блока
|
||||
# device_passthrough в этом ресурсе нет вообще — только features.fuse.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "gitea" {
|
||||
node_name = "cloud-pc"
|
||||
vm_id = 153
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "gitea"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.25/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 2
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 2048
|
||||
swap = 1024
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "data"
|
||||
size = 32
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс ручной обход для /dev/fuse
|
||||
# (см. комментарий выше). fuse=1 — штатная замена этого обхода.
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
# Bind mount ноды заменён на независимый volume — см. комментарий выше.
|
||||
# Тот же datastore, что и rootfs.
|
||||
mount_point {
|
||||
volume = "data"
|
||||
size = "32G"
|
||||
path = "/opt/gitea/data"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 50
|
||||
}
|
||||
}
|
||||
|
||||
output "gitea" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.gitea.vm_id
|
||||
node = proxmox_virtual_environment_container.gitea.node_name
|
||||
verify = "ssh cloud-pc sudo pct config ${proxmox_virtual_environment_container.gitea.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,149 @@
|
||||
# ============================================================================
|
||||
# Сервис №7 по плану (docs/ai/migration-tofu.md, раздел 5): grimmory.
|
||||
# Самый болезненный шаг: MariaDB, Flyway-миграции, контракт OPDS/KOReader.
|
||||
#
|
||||
# OLD vmid 149, узел cloud-pc, боевой адрес 192.168.1.34.
|
||||
# Эталон снят 2026-09-02: ssh cloud-pc sudo pct config 149 (и совпадающий
|
||||
# дословно /etc/pve/lxc/149.conf):
|
||||
#
|
||||
# arch: amd64
|
||||
# cmode: shell
|
||||
# cores: 2
|
||||
# features: nesting=1,keyctl=1
|
||||
# hostname: grimmory
|
||||
# memory: 4096
|
||||
# nameserver: 1.1.1.1
|
||||
# net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.1.1,ip=192.168.1.34/24,type=veth
|
||||
# onboot: 1
|
||||
# ostype: debian
|
||||
# rootfs: data:149/vm-149-disk-0.raw,size=64G
|
||||
# startup: order=100
|
||||
# swap: 1024
|
||||
# unprivileged: 1
|
||||
# lxc.cgroup2.devices.allow: c 10:229 rwm
|
||||
# lxc.mount.entry: /dev/fuse dev/fuse none bind,create=file
|
||||
#
|
||||
# Ни mpN, ни dev0 в эталоне нет — только /dev/fuse через сырые lxc.* строки.
|
||||
# Значит правило про bind mount -> mount_point (как у gitea) здесь не
|
||||
# применяется: mount_point в этом ресурсе не добавлен.
|
||||
#
|
||||
# vm_id 157 — новый VMID для blue-green переезда (назначен, не менять).
|
||||
# TMPIP 192.168.1.16 ниже используется только на шаге 4.3 (проверка перед
|
||||
# cutover; запись grimmory-new уже есть в hosts.yml/ssh_config — заведена
|
||||
# координатором). После шага 4.5.15 адрес меняется на боевой 192.168.1.34,
|
||||
# OLD (149) останавливается и остаётся откатом минимум неделю.
|
||||
#
|
||||
# --- /dev/fuse: features.fuse, а не device_passthrough ----------------------
|
||||
# Эталонные lxc.cgroup2.devices.allow + lxc.mount.entry для /dev/fuse — это
|
||||
# ручной обход (lineinfile по /etc/pve/lxc/149.conf в pve-grimmory.yml),
|
||||
# потому что Proxmox API сырые lxc.* ключи не принимает.
|
||||
#
|
||||
# Заменяется штатным флагом PVE features.fuse, а НЕ device_passthrough.
|
||||
# device_passthrough (dev0:) предназначен для сырых character-устройств вида
|
||||
# /dev/net/tun; для /dev/fuse у PVE есть флаг, и именно он проверен на пилоте
|
||||
# VMID 199 (`features: fuse=1,keyctl=1,nesting=1`), см. tofu/pilot.tf.example
|
||||
# строки 17-21 и tofu/README.md. Формулировка «device_passthrough для каждого
|
||||
# устройства из lxc.mount.entry» в migration-tofu.md п.4.2 была слишком
|
||||
# широкой и уточнена там же 2026-09-02; так же поправлены svc-docker-test.tf
|
||||
# и svc-vaultwarden.tf, так что все ресурсы tofu/ теперь единообразны.
|
||||
#
|
||||
# Следствие: pct config нового контейнера покажет features: fuse=1,keyctl=1,
|
||||
# nesting=1 — текстуально иначе, чем эталон, при том же эффекте.
|
||||
#
|
||||
# --- MariaDB: только dump/restore, не копирование файлов --------------------
|
||||
# /opt/grimmory/mariadb — это datadir MariaDB (grimmory-mariadb, БД grimmory).
|
||||
# Копировать эти файлы между старым и новым контейнером НЕЛЬЗЯ: нужен
|
||||
# mariadb-dump на старом контейнере (сервис приложения остановлен, MariaDB
|
||||
# работает) и restore на новом. Рецепт dump уже есть и проверен в рабочем
|
||||
# offsite-профиле restic (playbooks/offsite-restic-yadisk.yml, задача
|
||||
# ../tasks/offsite-restic-profile.yml): docker exec -e MYSQL_PWD=...
|
||||
# grimmory-mariadb mariadb-dump --single-transaction --routines --events
|
||||
# --databases grimmory. legacy-warning.md и docs/ai/edge-cases.md запрещают
|
||||
# code-only downgrade после Flyway-миграции — на новом контейнере обязан
|
||||
# развернуться РОВНО ТОТ ЖЕ pinned образ v3.2.4 (проверено 2026-09-02:
|
||||
# запущенный в CT 149 образ grimmory/grimmory:v3.2.4 имеет digest
|
||||
# sha256:dfa7afdfcf25d649fd664497a62385dd00cd9678c37546e182c172e41c8e80cb —
|
||||
# совпадает с реестром services.yml байт-в-байт, расхождения нет).
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "grimmory" {
|
||||
node_name = "cloud-pc"
|
||||
vm_id = 157
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "grimmory"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.34/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 2
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 4096
|
||||
swap = 1024
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "data"
|
||||
size = 64
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс /dev/fuse через сырые lxc.*
|
||||
# строки. fuse=1 — штатная замена этого обхода, см. комментарий файла выше.
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 100
|
||||
}
|
||||
}
|
||||
|
||||
output "grimmory" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.grimmory.vm_id
|
||||
node = proxmox_virtual_environment_container.grimmory.node_name
|
||||
verify = "ssh cloud-pc sudo pct config ${proxmox_virtual_environment_container.grimmory.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,92 @@
|
||||
# ============================================================================
|
||||
# Сервис №6: gyro (OLD vmid 150, mini-pc).
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 150.
|
||||
#
|
||||
# vm_id 156 — новый VMID для blue-green переезда, TMPIP 192.168.1.15.
|
||||
# После шага 4.5.15 адрес — боевой 192.168.1.35, OLD (150) остановлен
|
||||
# и остаётся откатом минимум неделю.
|
||||
#
|
||||
# ОСОБЕННОСТИ:
|
||||
# - Контейнер намеренно без nesting (features: "" в эталоне).
|
||||
# - Proxmox-фаервол уже перенесён на VMID 156; Datacenter firewall остаётся выключен.
|
||||
# - Требует Ansible Vault password (make gyro для конфигурации).
|
||||
# - Старое предупреждение про host key Gitea неверно: gyro пинит github.com,
|
||||
# поэтому после cutover менять known_hosts не нужно.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "gyro" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 156
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "gyro"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.35/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 512
|
||||
swap = 256
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 2
|
||||
}
|
||||
|
||||
# Эталон: features: (пусто) — nesting отключён НАМЕРЕННО, no keyctl, no fuse.
|
||||
# Блок features не объявляется, чтобы провайдер не создавал его с дефолтами.
|
||||
# Это консервативное решение: gyro этот функционал не требует.
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 80
|
||||
}
|
||||
}
|
||||
|
||||
output "gyro" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.gyro.vm_id
|
||||
node = proxmox_virtual_environment_container.gyro.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.gyro.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,139 @@
|
||||
# ============================================================================
|
||||
# Сервис №9 по плану (docs/ai/migration-tofu.md, раздел 5): mihomo.
|
||||
# Локальный прокси + MetaCubeXD UI. На него завязаны egress hermes-ai
|
||||
# (bash_config_proxy_* в hosts.yml), внешние пробы Uptime Kuma, emergency-бот
|
||||
# и уведомления gyro — простой затрагивает всё это разом.
|
||||
#
|
||||
# OLD vmid 143, узел mini-pc, боевой адрес 192.168.1.27.
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 143 (дословно совпадает
|
||||
# с /etc/pve/lxc/143.conf):
|
||||
#
|
||||
# arch: amd64
|
||||
# cmode: shell
|
||||
# cores: 1
|
||||
# features: nesting=1,keyctl=1
|
||||
# hostname: mihomo
|
||||
# memory: 512
|
||||
# nameserver: 1.1.1.1
|
||||
# net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.1.1,ip=192.168.1.27/24,type=veth
|
||||
# onboot: 1
|
||||
# ostype: debian
|
||||
# rootfs: local-lvm:vm-143-disk-0,size=8G
|
||||
# startup: order=70
|
||||
# swap: 512
|
||||
# unprivileged: 1
|
||||
# lxc.cgroup2.devices.allow: c 10:229 rwm # /dev/fuse
|
||||
# lxc.mount.entry: /dev/fuse dev/fuse none bind,create=file
|
||||
# lxc.cgroup2.devices.allow: c 10:200 rwm # /dev/net/tun
|
||||
# lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file
|
||||
#
|
||||
# vm_id 159 — новый VMID для blue-green переезда (назначен, не менять).
|
||||
# TMPIP 192.168.1.18 используется только на шаге 4.3. После шага 4.5.15 адрес
|
||||
# меняется на боевой 192.168.1.27, OLD (143) останавливается и остаётся
|
||||
# откатом минимум неделю.
|
||||
#
|
||||
# --- Два устройства, ДВА разных механизма -----------------------------------
|
||||
# /dev/fuse -> штатный флаг features.fuse (Docker внутри на fuse-overlayfs).
|
||||
# /dev/net/tun -> блок device_passthrough (dev0: в PVE 8.2+). mihomo.service
|
||||
# запускает контейнер с `--device /dev/net/tun` для TUN-режима.
|
||||
# Это первый боевой сервис, использующий device_passthrough: на пилоте VMID
|
||||
# 199 механизм проверен (`dev0: deny-write=0,path=/dev/net/tun,...`, повторный
|
||||
# plan -> No changes), см. tofu/pilot.tf.example и tofu/README.md. Оба требуют
|
||||
# root@pam; в обычном токенном режиме Proxmox отвечает 403.
|
||||
# Следствие: pct config покажет `features: fuse=1,...` и `dev0: path=/dev/net/tun`
|
||||
# вместо сырых lxc.* строк эталона — тот же эффект штатным механизмом.
|
||||
#
|
||||
# --- Данные ----------------------------------------------------------------
|
||||
# /opt/mihomo (~80 КБ): config/config.yaml (реальный конфиг прокси),
|
||||
# config/cache.db, config/providers/main.yaml. Переносится целиком на шаге
|
||||
# 4.4. Задача "Install default mihomo config if missing" в pve-mihomo.yml
|
||||
# идёт с force: false, поэтому перенесённый конфиг не перетирается.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "mihomo" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 159
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "mihomo"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.27/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 512
|
||||
swap = 512
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 8
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс /dev/fuse через сырые lxc.*
|
||||
# строки. fuse=1 — штатная замена этого обхода (см. комментарий выше).
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# /dev/net/tun: в эталоне проброшен сырыми lxc.cgroup2.devices.allow +
|
||||
# lxc.mount.entry. Штатная декларация — device_passthrough (dev0:).
|
||||
device_passthrough {
|
||||
path = "/dev/net/tun"
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 70
|
||||
}
|
||||
}
|
||||
|
||||
output "mihomo" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.mihomo.vm_id
|
||||
node = proxmox_virtual_environment_container.mihomo.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.mihomo.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,107 @@
|
||||
# ============================================================================
|
||||
# Сервис №5: monitoring (OLD vmid 146, cloud-pc).
|
||||
# Эталон снят 2026-09-02: ssh cloud-pc sudo pct config 146 (совпадает с
|
||||
# cat /etc/pve/lxc/146.conf дословно).
|
||||
#
|
||||
# vm_id 155 — новый VMID для blue-green переезда, TMPIP 192.168.1.14
|
||||
# используется только на шаге 4.3 (проверка перед cutover). После шага 4.5.15
|
||||
# адрес — боевой 192.168.1.30 (тот же, что и у OLD: в этой схеме переезжает
|
||||
# VMID, а не IP), OLD (146) остановлен и остаётся откатом минимум неделю.
|
||||
#
|
||||
# Активный сервис — Uptime Kuma: SQLite в /opt/uptime-kuma/data/kuma.db,
|
||||
# UI-состояние (мониторы, уведомления) в Ansible не описано, каталог
|
||||
# переносится целиком на шаге 4.4. Стек Prometheus + Alertmanager + Grafana
|
||||
# в этом контейнере ЗАМОРОЖЕН (docs/ai/legacy-warning.md) — его данные лежат
|
||||
# отдельно в /opt/monitoring (в основном TSDB Prometheus) и в новый контейнер
|
||||
# намеренно НЕ переносятся; решение о судьбе замороженного стека отдельное,
|
||||
# не часть этого переезда.
|
||||
#
|
||||
# ОСОБЕННОСТЬ features: реестр (services.yml) отмечает, что роль создаёт
|
||||
# контейнер с nesting=1, а keyctl=1 добавляет отдельной задачей `pct set 146
|
||||
# --features nesting=1,keyctl=1` уже после создания (playbooks/pve-monitoring.yml).
|
||||
# Здесь воспроизведён ЭТАЛОН как он есть на живом контейнере — оба флага сразу,
|
||||
# декларативно, без промежуточного шага: в привилегированном режиме root@pam
|
||||
# (см. tofu/README.md, «Решение: root@pam по паролю») дошаг `pct set` для этого
|
||||
# и остальных сервисов больше не нужен, features применяются одной фазой.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "monitoring" {
|
||||
node_name = "cloud-pc"
|
||||
vm_id = 155
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "monitoring"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.30/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 2
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 4096
|
||||
swap = 512
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "data"
|
||||
size = 24
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 — см. ОСОБЕННОСТЬ в комментарии выше.
|
||||
# Ни fuse, ни device passthrough эталону не нужны (dev0 в pct config нет).
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 80
|
||||
}
|
||||
}
|
||||
|
||||
output "monitoring" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.monitoring.vm_id
|
||||
node = proxmox_virtual_environment_container.monitoring.node_name
|
||||
verify = "ssh cloud-pc sudo pct config ${proxmox_virtual_environment_container.monitoring.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,141 @@
|
||||
# ============================================================================
|
||||
# Сервис №10 по плану (docs/ai/migration-tofu.md, раздел 5): ovpn-mini.
|
||||
# Терминирует OpenVPN-туннель ru-vps <-> LAN (gateway-конец, 10.78.0.2).
|
||||
# Через него идёт ProxyJump ко всем LXC вне LAN и обратный путь reverse-proxy.
|
||||
# ПЕРЕЕЗД ТОЛЬКО ИЗ ЛОКАЛЬНОЙ СЕТИ: вне LAN прогон оборвёт себе транспорт.
|
||||
#
|
||||
# OLD vmid 132, узел mini-pc, боевой адрес 192.168.1.23.
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 132 (дословно совпадает
|
||||
# с /etc/pve/lxc/132.conf):
|
||||
#
|
||||
# arch: amd64
|
||||
# cmode: shell
|
||||
# cores: 1
|
||||
# features: nesting=1
|
||||
# hostname: ovpn-mini
|
||||
# memory: 256
|
||||
# nameserver: 1.1.1.1
|
||||
# net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.1.1,ip=192.168.1.23/24,type=veth
|
||||
# onboot: 1
|
||||
# ostype: debian
|
||||
# rootfs: local-lvm:vm-132-disk-0,size=8G
|
||||
# startup: order=30
|
||||
# swap: 128
|
||||
# unprivileged: 1
|
||||
# lxc.cgroup2.devices.allow: c 10:200 rwm # /dev/net/tun
|
||||
# lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file
|
||||
#
|
||||
# vm_id 160 — новый VMID для blue-green переезда (назначен, не менять).
|
||||
# TMPIP 192.168.1.19 используется только на шаге 4.3. После шага 4.5.15 адрес
|
||||
# меняется на боевой 192.168.1.23, OLD (132) останавливается и остаётся
|
||||
# откатом минимум неделю.
|
||||
#
|
||||
# --- features: только nesting ---------------------------------------------
|
||||
# Эталон: features: nesting=1 — ни keyctl, ни fuse. Оставлено как есть:
|
||||
# OpenVPN-шлюзу этот функционал не нужен.
|
||||
#
|
||||
# --- /dev/net/tun: device_passthrough ------------------------------------
|
||||
# В эталоне проброшен сырыми lxc.cgroup2.devices.allow + lxc.mount.entry
|
||||
# (play "Allow TUN device" в pve-ovpn-mini.yml). Штатная декларация —
|
||||
# device_passthrough (dev0:), проверена на пилоте VMID 199 и на mihomo.
|
||||
# Требует root@pam.
|
||||
#
|
||||
# --- Конфигурация и данные ----------------------------------------------
|
||||
# pve-ovpn-mini.yml конфигурационной части НЕ содержит (только создание +
|
||||
# проброс TUN). Настраивает playbooks/openvpn-vps-mini.yml (роль
|
||||
# openvpn_gateway, группа vpn_openvpn = ru-vps + ovpn-mini).
|
||||
# Единственные данные для переноса: /etc/openvpn/homelab/static.key —
|
||||
# общий статический ключ с ru-vps. Остальное (homelab.conf, up.sh, down.sh,
|
||||
# systemd-юнит) роль рендерит заново. LAN-адрес ovpn-mini ни в одном шаблоне
|
||||
# роли не фигурирует (masquerade идёт по `-o eth0`), поэтому туннель не
|
||||
# зависит от смены адреса — меняется только VMID.
|
||||
#
|
||||
# --- roles/pve_lxc -----------------------------------------------------
|
||||
# До этого переезда ovpn-mini был единственным потребителем roles/pve_lxc.
|
||||
# После него роль не подключена нигде — кандидат на удаление, см.
|
||||
# docs/ai/migration-tofu.md раздел 6.
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "ovpn_mini" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 160
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "ovpn-mini"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.23/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 1
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 256
|
||||
swap = 128
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 8
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1 (без keyctl/fuse).
|
||||
features {
|
||||
nesting = true
|
||||
}
|
||||
|
||||
# /dev/net/tun: в эталоне — сырые lxc.* строки. Штатная декларация dev0:.
|
||||
device_passthrough {
|
||||
path = "/dev/net/tun"
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty. Обнаружено 2026-09-02 на emergency-bot,
|
||||
# см. tofu/README.md.
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 30
|
||||
}
|
||||
}
|
||||
|
||||
output "ovpn_mini" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.ovpn_mini.vm_id
|
||||
node = proxmox_virtual_environment_container.ovpn_mini.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.ovpn_mini.vm_id}"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,109 @@
|
||||
# ============================================================================
|
||||
# Сервис №4: vaultwarden (OLD vmid 140, mini-pc).
|
||||
# Эталон снят 2026-09-02: ssh mini-pc sudo pct config 140 / cat /etc/pve/lxc/140.conf.
|
||||
# Данные критичны: SQLite /opt/vaultwarden/data/db.sqlite3 (плюс config.json,
|
||||
# rsa_key.pem, icon_cache/). Переносятся вручную на шаге 4.4, а не этим
|
||||
# ресурсом — контейнер создаётся пустым, данные переезжают отдельной
|
||||
# процедурой (см. docs/ai/migration-tofu.md, п.5.4).
|
||||
#
|
||||
# vm_id 154. TMPIP 192.168.1.13 отработал на шагах 4.3 и 4.4; cutover выполнен
|
||||
# 2026-09-02, адрес боевой — 192.168.1.24. Данные перенесены и сверены:
|
||||
# integrity_check ok, 1 users / 314 ciphers совпали с боевыми.
|
||||
# OLD (140) остановлен и остаётся откатом минимум неделю, до 2026-09-09
|
||||
# (docs/ai/migration-tofu.md, инвариант №2).
|
||||
# ============================================================================
|
||||
|
||||
resource "proxmox_virtual_environment_container" "vaultwarden" {
|
||||
node_name = "mini-pc"
|
||||
vm_id = 154
|
||||
unprivileged = true
|
||||
start_on_boot = true
|
||||
started = true
|
||||
tags = ["tofu"]
|
||||
|
||||
initialization {
|
||||
hostname = "vaultwarden"
|
||||
|
||||
ip_config {
|
||||
ipv4 {
|
||||
address = "192.168.1.24/24"
|
||||
gateway = "192.168.1.1"
|
||||
}
|
||||
}
|
||||
|
||||
dns {
|
||||
servers = ["1.1.1.1"]
|
||||
}
|
||||
|
||||
user_account {
|
||||
keys = [trimspace(file(pathexpand("~/.ssh/id_ed25519_homelab.pub")))]
|
||||
}
|
||||
}
|
||||
|
||||
operating_system {
|
||||
template_file_id = "local:vztmpl/debian-13-standard_13.1-2_amd64.tar.zst"
|
||||
type = "debian"
|
||||
}
|
||||
|
||||
cpu {
|
||||
cores = 2
|
||||
}
|
||||
|
||||
memory {
|
||||
dedicated = 1024
|
||||
swap = 512
|
||||
}
|
||||
|
||||
disk {
|
||||
datastore_id = "local-lvm"
|
||||
size = 16
|
||||
}
|
||||
|
||||
# Эталон: features: nesting=1,keyctl=1 плюс /dev/fuse, проброшенный вручную
|
||||
# двумя строками в /etc/pve/lxc/140.conf (lxc.cgroup2.devices.allow c 10:229
|
||||
# rwm + lxc.mount.entry) — Proxmox API сырые lxc.* ключи не принимает,
|
||||
# поэтому pve-vaultwarden.yml добавляет их через lineinfile.
|
||||
#
|
||||
# ЗАМЕНА ЭТОГО ОБХОДА — features.fuse, а НЕ device_passthrough.
|
||||
# device_passthrough (dev0:) нужен только для сырых character-устройств
|
||||
# вида /dev/net/tun. Для /dev/fuse у PVE есть штатный флаг, и именно он
|
||||
# проверен на пилоте VMID 199 — результат был
|
||||
# `features: fuse=1,keyctl=1,nesting=1`, см. tofu/pilot.tf.example:17-21
|
||||
# и tofu/README.md. Формулировка «device_passthrough для каждого устройства»
|
||||
# в migration-tofu.md п.4.2 слишком широкая; она уточнена там же.
|
||||
#
|
||||
# Следствие: pct config нового контейнера покажет
|
||||
# `features: fuse=1,keyctl=1,nesting=1` — текстуально иначе, чем эталон,
|
||||
# но это тот же эффект штатным механизмом вместо обхода.
|
||||
features {
|
||||
nesting = true
|
||||
keyctl = true
|
||||
fuse = true
|
||||
}
|
||||
|
||||
# roles/pve_lxc всем контейнерам ставит cmode=shell (pve_lxc_cmode), провайдер
|
||||
# это отслеживает через блок console.type — без него на следующем apply
|
||||
# откатит на дефолт Proxmox tty (найдено на emergency-bot, см. tofu/README.md).
|
||||
console {
|
||||
type = "shell"
|
||||
}
|
||||
|
||||
network_interface {
|
||||
name = "eth0"
|
||||
bridge = "vmbr0"
|
||||
firewall = true
|
||||
}
|
||||
|
||||
startup {
|
||||
order = 40
|
||||
}
|
||||
}
|
||||
|
||||
output "vaultwarden" {
|
||||
description = "Что проверять на узле после apply"
|
||||
value = {
|
||||
vmid = proxmox_virtual_environment_container.vaultwarden.vm_id
|
||||
node = proxmox_virtual_environment_container.vaultwarden.node_name
|
||||
verify = "ssh mini-pc sudo pct config ${proxmox_virtual_environment_container.vaultwarden.vm_id}"
|
||||
}
|
||||
}
|
||||
Reference in New Issue
Block a user