Полная реализация production-фиксов из up3: anti-torrent rebuild, peer-status, drift rate/ceil, reboot window

2026-05-10 00:15:17 +05:00
parent d9f140b3e0
commit 535c1dbc33
8 changed files with 358 additions and 32 deletions
@@ -70,7 +70,12 @@ swappiness = 1

 `anti_torrent.peer_ipv4_cidr` — подсеть, на которую распространяется правило. Обычно должна совпадать с `amnezia.peer_ipv4_cidr`.

-`anti_torrent.apply_in_amnezia_netns` — правило применяется в network namespace контейнера Amnezia. Это default, потому что именно там видны исходные VPN peer IP до возможного NAT.
+`anti_torrent.apply_in_amnezia_netns` — выбор namespace для применения anti-torrent правил:
+
+- `true` (default): применять в network namespace контейнера Amnezia;
+- `false`: применять в host namespace.
+
+Для production рекомендуется `true`, если peer source IP (`10.8.1.x`) видны именно внутри netns контейнера.

 `reboot.enabled` — включает плановую перезагрузку.

@@ -124,7 +124,7 @@ per-peer ingress filter: src peer_ip -> 2:<id>
 4. `validate-config` — проверка конфига без изменения системы.
 5. `apply-firewall` — ручной reconcile AWG2-owned nftables state, если anti-torrent включён.
 6. `ensure-swap` — идемпотентный setup swap-файла 2 ГБ.
-7. Встроенный reboot scheduler из `reboot_module`.
+7. Встроенный reboot scheduler в `traffic_core` (единый production path, без отдельного runtime-модуля).
 8. Locking, чтобы одновременно не шли два apply/reconcile.
 9. Docker event watcher.
 10. Периодический reconciliation loop, потому что Docker events могут быть пропущены.
@@ -248,7 +248,7 @@ WantedBy=multi-user.target

 ## 12. Reboot и swap

-`reboot_module` интегрируется внутрь общего daemon. Окно перезагрузки должно переехать из констант в конфиг. Механика `systemctl --no-block reboot` сохраняется.
+Логика reboot работает только через встроенный scheduler `traffic_core`. Окно перезагрузки задаётся в конфиге, включая корректные окна через полночь. Механика `systemctl --no-block reboot` сохраняется.

 `ensure-swap` должен создать 2 ГБ swap-файл с правами `0600`, добавить одну запись в `/etc/fstab`, включить swap и выставить низкую склонность к использованию (`vm.swappiness = 1`, низкий priority). Если на сервере уже есть несовместимый swap, команда должна сообщить об этом явно, а не разрушать чужое состояние без подтверждения.