nineap
fafd573a28
Публичный URL control plane сам по себе не секрет. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
106 lines
4.7 KiB
YAML
106 lines
4.7 KiB
YAML
# Деплой на прокси-ноды из nodes.json. Список серверов — сам файл в корне
|
||
# репозитория (name/host/proxy_port/decoy_host на каждую ноду), поддерживать
|
||
# его руками при добавлении/выводе серверов.
|
||
#
|
||
# Запуск только вручную (workflow_dispatch) — параметр target: имя ноды из
|
||
# nodes.json (поле "name") или "all" для обновления сразу всех. Job "resolve"
|
||
# фильтрует список по этому параметру и отдаёт job'у "deploy" как matrix —
|
||
# каждая нода тогда видна в прогоне отдельной строкой, с отдельным логом.
|
||
# GH/Gitea Actions не поддерживают выпадающий список (type: choice) с
|
||
# вариантами из файла — только статичные в самом yaml, а список нод меняется
|
||
# независимо от workflow, поэтому просто текстовое поле, значение — точное
|
||
# имя из nodes.json.
|
||
#
|
||
# Каждый деплой пересоздаёт контейнер (pull нового образа + rm + run) — не
|
||
# просто restart, иначе новый образ не подхватится, раз контейнер уже создан
|
||
# со старым слоем.
|
||
#
|
||
# Секреты (общие на все ноды — один master-ключ, как и при первичном
|
||
# провижининге через netrunner-backend, см. NodeService::provision_node_via_ssh):
|
||
# - PROXY_NODES_SSH_KEY — приватный SSH-ключ (root на все ноды)
|
||
# - PROXY_INTERNAL_SECRET — тот же секрет, что и PROXY_INTERNAL_SECRET у бэкенда
|
||
# - GHCR_TOKEN — тот же, что и в build.yml
|
||
#
|
||
# Repo Variable (vars.*, не secret — публичный URL, не даёт доступа сам по себе):
|
||
# - BACKEND_URL — публичный адрес control plane (WEB_APP_BASE_URL у бэкенда)
|
||
name: Deploy Proxy Nodes
|
||
|
||
on:
|
||
workflow_dispatch:
|
||
inputs:
|
||
target:
|
||
description: 'Имя ноды из nodes.json ("name"), или "all" — обновить сразу все'
|
||
required: true
|
||
default: "all"
|
||
|
||
jobs:
|
||
resolve:
|
||
runs-on: ubuntu-24.04
|
||
outputs:
|
||
targets: ${{ steps.filter.outputs.targets }}
|
||
steps:
|
||
- uses: actions/checkout@v4
|
||
|
||
- name: Filter nodes.json by input
|
||
id: filter
|
||
run: |
|
||
set -e
|
||
command -v jq >/dev/null || (apt-get update && apt-get install -y jq)
|
||
|
||
target="${{ github.event.inputs.target }}"
|
||
if [ "$target" = "all" ]; then
|
||
filtered=$(jq -c '.' nodes.json)
|
||
else
|
||
filtered=$(jq -c --arg n "$target" '[.[] | select(.name == $n)]' nodes.json)
|
||
fi
|
||
|
||
count=$(echo "$filtered" | jq 'length')
|
||
if [ "$count" -eq 0 ]; then
|
||
echo "Нода '$target' не найдена в nodes.json" >&2
|
||
exit 1
|
||
fi
|
||
|
||
echo "targets=$filtered" >> "$GITHUB_OUTPUT"
|
||
|
||
deploy:
|
||
needs: resolve
|
||
strategy:
|
||
fail-fast: false
|
||
matrix:
|
||
include: ${{ fromJson(needs.resolve.outputs.targets) }}
|
||
runs-on: ubuntu-24.04
|
||
steps:
|
||
- name: Deploy to ${{ matrix.name }} (${{ matrix.host }})
|
||
uses: appleboy/ssh-action@v1
|
||
with:
|
||
host: ${{ matrix.host }}
|
||
username: root
|
||
key: ${{ secrets.PROXY_NODES_SSH_KEY }}
|
||
script: |
|
||
set -e
|
||
echo "🚀 Деплой на ${{ matrix.name }} (${{ matrix.host }}:${{ matrix.proxy_port }})"
|
||
|
||
echo "${{ secrets.GHCR_TOKEN }}" | docker login ghcr.io -u ${{ github.repository_owner }} --password-stdin
|
||
docker pull ghcr.io/nineap/netrunner-proxy:latest
|
||
|
||
docker stop netrunner-proxy 2>/dev/null || true
|
||
docker rm netrunner-proxy 2>/dev/null || true
|
||
|
||
docker run -d \
|
||
--name netrunner-proxy \
|
||
--restart always \
|
||
--network host \
|
||
--cap-add NET_ADMIN --cap-add NET_RAW --cap-add DAC_OVERRIDE \
|
||
--device /dev/net/tun:/dev/net/tun \
|
||
-e PROXY_INTERNAL_SECRET="${{ secrets.PROXY_INTERNAL_SECRET }}" \
|
||
ghcr.io/nineap/netrunner-proxy:latest \
|
||
./netrunner-proxy \
|
||
--port "${{ matrix.proxy_port }}" \
|
||
--decoy-host "${{ matrix.decoy_host }}" \
|
||
--require-auth \
|
||
--backend-url "${{ vars.BACKEND_URL }}" \
|
||
--health-port 9091
|
||
|
||
docker image prune -f
|
||
echo "✅ ${{ matrix.name }} обновлена."
|