infra/ansible/roles/lxc_docker_host/README.md

lxc_docker_host

Приводит непривилегированный Proxmox LXC в состояние «здесь можно запускать Docker»: пакеты, проверка /dev/fuse, storage-driver: fuse-overlayfs, запуск демона и базовый UFW.

Роль вынесена из повторяющихся блоков playbooks/pve-*.yml (gitea, vaultwarden, mihomo, adguard, docker-test, grimmory, hermes-ai) — суммарно около 350 строк копипасты.

Что делает

1. Ставит ca-certificates, curl, docker.io, fuse-overlayfs (+ lxc_docker_host_extra_packages, ufw при управлении фаерволом).
2. stat + assert на /dev/fuse: без символьного устройства fuse-overlayfs не работает, и Docker молча деградирует до vfs. Сообщение об ошибке подсказывает, какие строки добавить в /etc/pve/lxc/<vmid>.conf на узле PVE.
3. Пишет /etc/docker/daemon.json со storage-driver: fuse-overlayfs.
4. systemd: docker — enabled: true, restarted при смене daemon.json, иначе started.
5. UFW: SSH из homelab_lan_cidr и openvpn_network_cidr, node-exporter 9100/tcp с хоста мониторинга (192.168.1.30), произвольные порты сервиса из lxc_docker_host_ufw_service_rules, затем policy deny incoming. Разрешающие правила ставятся ДО включения политики — иначе прогон обрывает собственную SSH-сессию.
6. Проверяет docker info --format '{{.Driver}}' и падает при расхождении.

Переменные

Полный список с комментариями — в defaults/main.yml. Ключевые:

Переменная	По умолчанию	Назначение
lxc_docker_host_extra_packages	[]	доп. пакеты сервиса
lxc_docker_host_require_fuse	true	проверять /dev/fuse
lxc_docker_host_storage_driver	fuse-overlayfs	драйвер хранилища
lxc_docker_host_manage_ufw	true	трогать ли UFW вообще
lxc_docker_host_ssh_sources	LAN + OpenVPN	откуда разрешён SSH
lxc_docker_host_allow_node_exporter	true	9100 с хоста мониторинга
lxc_docker_host_ufw_service_rules	[]	порты сервиса
lxc_docker_host_ufw_enable	true	включать deny incoming
lxc_docker_host_verify_storage_driver	true	финальная проверка

Пример: как выглядела бы подготовка хоста Grimmory

- name: Prepare the Grimmory Docker host
  hosts: grimmory
  gather_facts: true
  vars:
    ansible_become: false
  roles:
    - role: lxc_docker_host
      lxc_docker_host_extra_packages:
        - mariadb-client
        - openssl
      lxc_docker_host_install_node_exporter: true
      lxc_docker_host_ufw_service_rules:
        - port: "{{ homelab_services.grimmory.ports[0].port }}"
          proto: tcp
          comment: Grimmory HTTP
          sources:
            - "{{ homelab_lan_cidr }}"
            - "{{ openvpn_network_cidr }}"

Эти 12 строк заменяют 86 строк из playbooks/pve-grimmory.yml.

Чего роль НЕ делает

• Не создаёт LXC и не правит /etc/pve/lxc/<vmid>.conf — это роль pve_lxc и соответствующий pve-*.yml. Роль только проверяет результат.
• Не публикует порты Docker в обход UFW. Помните: -p в Docker обходит UFW, поэтому для публикуемых портов нужны правила в цепочке DOCKER-USER (см. grimmory-docker-firewall в playbooks/pve-grimmory.yml).
• Не ставит node-exporter по умолчанию — этим занимается monitoring_exporter.

Handlers

Их нет намеренно. Docker перезапускается прямо в задаче через state: restarted if changed else started: handler отработал бы в конце play, уже после того как compose-стек стартовал на старом драйвере хранилища.