# CT105 — ip.lotimmy.com (echoip)

主機 `192.168.42.105`（hostname `CT105`），Ubuntu 24.04 LXC，跑在 Proxmox 上。
對外提供一個 echoip 服務：回傳來訪者的 IP 與 GeoIP 資訊。

## 連線

設定在 `~/.ssh/config.d/timmy`，皆內建 `ProxyJump timmy_home_server`（遠端免打 `-J`）。

```sh
ssh ct105          # User: timmy
ssh ct105-root     # User: root
```

內網直連（在 LAN 上時）：`ssh 192.168.42.105`

- root 與 timmy 皆已裝公鑰（`~/.ssh/id_ecdsa.pub`），免密碼。
- sshd `PermitRootLogin without-password`：root 僅允許金鑰登入，密碼登入關閉。

## 服務鏈路

```
https://ip.lotimmy.com
   └─ Nginx Proxy Manager (Let's Encrypt 憑證, Public)
        └─ http://192.168.42.105:8080  (echoip 容器)
```

- NPM 反代位置：另一台主機（NPM 管理介面），proxy host `ip.lotimmy.com` → `http://192.168.42.105:8080`。
- 反代帶 `X-Real-IP` 標頭，echoip 以 `-H X-Real-IP` 信任之，故回傳的是真實外網 IP 而非反代內網 IP。

### 端點

| URL | 回傳 |
|-----|------|
| `https://ip.lotimmy.com` | 純文字 IP |
| `https://ip.lotimmy.com/json` | 完整 JSON（IP + GeoIP：city/region/asn 等） |

## Docker 容器

兩個容器，compose 檔在主機 `/opt` 下。

### echoip — `/opt/echoip/docker-compose.yml`

```yaml
services:
  echoip:
    image: mpolden/echoip
    container_name: echoip
    restart: unless-stopped
    ports:
      - "8080:8080"
    volumes:
      - /opt/geoip/GeoLite2-City.mmdb:/data/city.mmdb
      - /opt/geoip/GeoLite2-ASN.mmdb:/data/asn.mmdb
    command: -c /data/city.mmdb -a /data/asn.mmdb -H X-Real-IP
```

- GeoIP 資料庫掛載自 `/opt/geoip/`。
- `/opt/echoip/` 另有 GeoLite2 原始壓縮檔與 `download_geolite2_databases.sh`（更新 GeoIP 用）。

### watchtower — `/opt/watchtower/docker-compose.yml`

```yaml
services:
  watchtower:
    container_name: watchtower
    image: containrrr/watchtower
    restart: unless-stopped
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    command: --cleanup --label-enable --interval 300
```

- 每 5 分鐘檢查、清舊 image，**只更新有 `com.centurylinklabs.watchtower.enable=true` 標籤的容器**。

## 已知狀況

- ⚠️ watchtower 開了 `--label-enable`，但 echoip **沒貼** `com.centurylinklabs.watchtower.enable=true` 標籤，所以 echoip 不會被自動更新（watchtower 目前沒管任何容器）。
  要啟用自動更新，在 echoip 的 compose 加：
  ```yaml
    labels:
      - com.centurylinklabs.watchtower.enable=true
  ```
  然後 `cd /opt/echoip && docker compose up -d`。

## Tailscale（headscale 節點）

以 Docker 方式部署，結構比照 CT102（`/Users/timmy/dev/42_102`），檔案在 `/opt/tailscale`。

| 項目 | 值 |
|------|-----|
| Tailscale IP | `100.64.0.16`（hostname `ct105`，user `mainnet`）|
| 控制平面 | `https://headscale.lotimmy.com`（headscale 容器在 CT126）|
| Image | `tailscale/tailscale:latest`，`restart: unless-stopped` |

```yaml
# /opt/tailscale/docker-compose.yml
services:
  tailscale:
    image: tailscale/tailscale:latest
    container_name: tailscale
    hostname: ct105
    restart: unless-stopped
    network_mode: host
    environment:
      - TS_AUTHKEY=${TS_AUTHKEY}
      - TS_EXTRA_ARGS=--login-server ${TS_LOGIN_SERVER} --reset
      - TS_USERSPACE=true            # 無 /dev/net/tun → userspace 模式
      - TS_STATE_DIR=/var/lib/tailscale
      - TS_HOSTNAME=ct105
    volumes:
      - ./state:/var/lib/tailscale
    labels:
      - "com.centurylinklabs.watchtower.enable=true"
```

`.env` 放 `TS_AUTHKEY`（headscale reusable preauth key）與 `TS_LOGIN_SERVER`。

常用：

```sh
docker exec tailscale tailscale status
docker exec tailscale tailscale ip -4
cd /opt/tailscale && docker compose up -d   # 改設定後重建
```

### 與 CT102 的差異（CT105 無 `/dev/net/tun`）

CT105 是無 TUN 的 LXC，故與 CT102 的版本不同：

- `TS_USERSPACE=true`、不掛 `/dev/net/tun`、無 `cap_add` / `privileged`。
- 拿掉 `--advertise-routes` / exit-node（userspace 模式做不到）。
- ⚠️ 副作用：其他節點能 ping、能看到 CT105，但**無法直接連到 CT105 本機服務**（如 echoip `:8080`）——userspace 模式不轉發入站到 localhost。
- 升級路徑：要完整功能（subnet router / exit node / 入站到本機服務），須在母機（PVE node）替此 LXC 開 TUN，再把 compose 改成 CT102 那版（`TS_USERSPACE=false` + 掛 `/dev/net/tun` + `cap_add` + `--advertise-routes`）。

### preauth key 來源

headscale 容器在 CT126，用 CLI 產生（公開端點的 API token 已失效）：

```sh
ssh ct126 'docker exec headscale headscale preauthkeys create --user 1 --reusable --ephemeral=false --expiration 87600h'
```

## 其他

- 本機服務：sshd:22、Postfix（僅 `127.0.0.1:25`）、systemd-resolved（本機 DNS）。對外僅 echoip:8080。