Kubernetes¶

Разворачивает VPN Hub в вашем кластере через готовые манифесты Kustomize (deploy/k8s/). Выбирайте этот способ, если у вас уже есть кластер, Ingress-контроллер и привычка катить приложения через kubectl / GitOps. Для одного VPS проще Docker Compose.

Требования¶

• Кластер Kubernetes 1.27+ (используются только стабильные API).
• kubectl — Kustomize встроен, применяем через kubectl apply -k (отдельный kustomize не нужен).
• Ingress-контроллер (например, ingress-nginx) — базовые манифесты рассчитаны на ingressClassName: nginx.
• cert-manager + ClusterIssuer для автоматического TLS (в Ingress прописан cert-manager.io/cluster-issuer: letsencrypt-prod).
• StorageClass с ReadWriteOnce-томами — под PVC панели и (для встроенной БД) том PostgreSQL.
• Мастер-ключ восстановления — сгенерируйте заранее: openssl rand -hex 32 (см. Требования → Мастер-ключ).

1. Получите манифесты¶

Склонируйте репозиторий (или скачайте каталог deploy/k8s/) и перейдите в него. Все дальнейшие команды выполняются относительно deploy/k8s/.

git clone https://github.com/AlexeyShalaev/vpn-hub.git
cd vpn-hub/deploy/k8s

Структура каталога:

2. Создайте namespace и Secret¶

Сначала создайте namespace — Secret и всё остальное живут внутри него.

kubectl apply -f base/namespace.yaml

Затем скопируйте шаблон Secret в secret.yaml и заполните его.

cp base/secret.example.yaml base/secret.yaml

Откройте base/secret.yaml и подставьте значения в stringData:

Для встроенной БД строка выглядит так (пароль должен совпадать с POSTGRES_PASSWORD):

postgresql+asyncpg://vpnhub:ВАШ_ПАРОЛЬ@vpnhub-postgres:5432/vpnhub

Первичного админа можно задать здесь же (VPNHUB_ADMIN_PHONE + VPNHUB_ADMIN_PASSWORD) — иначе при первом входе откроется setup-экран. Задавайте либо обе переменные, либо ни одной.

Примените Secret:

kubectl apply -f base/secret.yaml

3. Выберите overlay и настройте домен¶

Есть два overlay:

Запиньте версию образа. В overlays/<выбранный>/kustomization.yaml замените latest на конкретный релиз (semver или major.minor) — так apply детерминирован и обновление контролируемо:

images:
  - name: ghcr.io/alexeyshalaev/vpn-hub
    newTag: "1.2.3"

Пропишите свой домен. Замените vpn.example.com на ваш FQDN в overlays/<выбранный>/patch-ingress.yaml (Ingress host + TLS-secretName) и patch-config.yaml (VPNHUB_BASE_URL) — в обоих файлах один и тот же домен.

4. Установите в кластер¶

Примените выбранный overlay (base/namespace.yaml и Secret вы уже применили выше):

kubectl apply -k overlays/bundled-db

kubectl apply -k overlays/external-db

Дождитесь готовности rollout — панель на старте накатывает миграции, это может занять до нескольких минут:

kubectl -n vpnhub rollout status deploy/vpnhub

Проверьте, что поды в статусе Running:

kubectl -n vpnhub get pods

Ожидаемый вывод (для встроенной БД — плюс под Postgres):

NAME                      READY   STATUS    RESTARTS   AGE
vpnhub-6f8c9d7b5f-abcde   1/1     Running   0          2m
vpnhub-postgres-0         1/1     Running   0          2m

Откройте https://<ваш-домен> — увидите форму входа (или setup-экран, если не задавали VPNHUB_ADMIN_*), где нужно ввести мастер-ключ и создать администратора.

Встроенный PostgreSQL¶

Overlay bundled-db поднимает postgres:17 одним StatefulSet с ReadWriteOnce-томом (10Gi по умолчанию, volumeClaimTemplates). Панель ходит на него по имени Service vpnhub-postgres:5432.

Обновление и откат¶

Обновление — это смена тега образа и повторный apply. Сначала обновите newTag в overlays/<выбранный>/kustomization.yaml на новую версию, затем примените и дождитесь rollout:

kubectl apply -k overlays/bundled-db
kubectl -n vpnhub rollout status deploy/vpnhub

Разово (без правки файла) образ можно сменить и так:

kubectl -n vpnhub set image deploy/vpnhub vpnhub=ghcr.io/alexeyshalaev/vpn-hub:1.2.4

Если что-то пошло не так — откатите Deployment на предыдущую ревизию:

kubectl -n vpnhub rollout undo deploy/vpnhub

Ingress: смотрите вперёд¶

Дальше: настройте HTTPS и домен → или загляните в справочник Переменные окружения →.