Эксплуатация

Условия развёртывания в рабочей среде (production)

Перед изменением рабочей среды (production) необходимо:

провести проверку текущего состояния сервера в режиме только чтения;
выпустить и проверить TLS-сертификаты для используемых поддоменов;
убедиться, что сайты hexwave.ru, fest.hexwave.ru и mcp.hexwave.ru продолжают обслуживаться своими назначенными сервисами;
не публиковать PostgreSQL, Redis и Qdrant напрямую в интернет;
перед каждой перезагрузкой Nginx выполнять sudo nginx -t и сохранять предыдущую конфигурацию для отката.

Изменения выполняются поэтапно: сначала проверяются локальные маршруты работоспособности (health), затем маршруты через Nginx и только после этого публичные HTTPS-адреса.

Схема сервисов

Основной Nginx передаёт запросы только на локальные порты обратной петли (loopback) сервера:

127.0.0.1:8002 — портал и Wiki hexwave.ru;
127.0.0.1:9000 — защищённый MCP Gateway на mcp.hexwave.ru;
127.0.0.1:9001 — Registry API на mcp.hexwave.ru.

Публичные пользователи работают только через HTTPS-адреса Hexwave. Внутренние адреса, порты, ключи, секреты сессий и данные баз не являются пользовательским программным интерфейсом (API).

Безопасный выпуск обновлений

Для обновления используется поэтапный процесс (staged) с копией предыдущей версии для отката (rollback):

Проверенная ревизия публикуется в GitFlic.
На сервер передаётся архив конкретной ревизии, а текущая версия сохраняется для отката.
Пересобираются и перезапускаются только сервисы, которых касается изменение.
Проверяются маршруты работоспособности (health) и требуемые пользовательские сценарии.
При неуспехе запускается предыдущая версия затронутого сервиса.

Это позволяет, например, обновить Wiki без перезапуска Registry, Gateway или базы данных.

Полезные публичные адреса

Шлюз (Gateway) на https://mcp.hexwave.ru/mcp/gateway требует отдельные учётные данные и серверные права. Сам факт наличия записи в каталоге не даёт права выполнять действия.