@quolu/lattice 0.12.28 → 0.12.30

package/README.md

@@ -119,7 +119,8 @@ dashboardはmanifestのfile identityが変わらない間のstable store readを
 最近のsession activityが期限切れでも、Lattice storeの`active_set`が非空なprojectは一覧へ残ります。
 長時間の外部処理中にCLI呼出しが途切れても進行中projectを休眠扱いしません。
 LANや外部reverse proxyから閲覧するoptional bridgeは既定で無効です。明示したIPにだけbindする初回設定、
-再設定、停止方法は[bridge setup](docs/bridge-setup.md)を参照してください。
+再設定、停止方法は[bridge setup](docs/bridge-setup.md)を参照してください。reverse proxy hostへsshで
+到達できる場合は、LANへbindせずloopbackだけを逆トンネルで公開する構成も選べます。
 工程図の既定表示は、後続に作業中・未着手が残っていない完了工程を図から除きます。まとめnodeも置かないため、
 完走したplanは図の場所を取りません。除いた工程は凡例の件数、右ペインの「全工程」一覧、各工程の詳細から
 辿れ、詳細の前提・後続は除外前の依存関係を示します。総数・進捗・最長依存鎖は除外前の全工程で数えます。

package/docs/bridge-setup.md

@@ -10,7 +10,7 @@ portを省略するか`auto`にすると、49152–65535から候補を重複な
 実際のexclusive bindとhealth確認に成功したportだけを保存する。
 
 ```bash
-lattice bridge setup --listen 192.168.1.102 --port auto --dashboard --allow-host lattice.kitepon.dev --json
+lattice bridge setup --listen 192.168.1.50 --port auto --dashboard --allow-host lattice.example.com --json
 ```
 
 `--dashboard`は現在のlocal dashboard descriptorをrequestごとに解決するため、dashboard再起動でportが変わっても
@@ -20,7 +20,7 @@ listen IPは常に許可Hostへ入り、reverse proxyで公開するhostnameは`
 
 ```bash
 lattice bridge status --json
-lattice bridge reconfigure --listen 192.168.1.102 --port auto --dashboard --json
+lattice bridge reconfigure --listen 192.168.1.50 --port auto --dashboard --json
 lattice bridge disable --json
 ```
 
@@ -33,6 +33,38 @@ fileを除去し、JSON結果の`recovery`へ処置を明示する。その後
 自動化・隔離testではabsoluteな`LATTICE_CONFIG_DIR`で設定rootを変更できる。無効な設定、低いport、
 使用中の明示port、危険なrequest target、到達不能upstreamはsilent fallbackせずtyped errorを返す。
 
+## listen IPがDHCPで動く場合
+
+設定したlisten IPがホストから消えると、古いsocketは死んだアドレスへ取り残され、LANから到達できなくなる。
+daemonは各reconcileで実効アドレスを解決し直し、同一subnet（IPv4 /24、IPv6 /64）に生きたアドレスがあれば
+そこへbindし直す。VPNや別NICなど異なるnetworkのアドレスは採用せず、候補が無ければ
+`BRIDGE_LISTEN_ADDRESS_ABSENT`で公開socketをfail-closedにする。再bind先は許可Hostへ自動で加わる。
+
+`LATTICE_BRIDGE_REGISTRAR_SSH_HOST`と`LATTICE_BRIDGE_REGISTRAR_SCRIPT`を両方設定すると、新しいbindingを
+張るたびに`ssh <host> <script> <port>`でreverse proxy hostへ自己登録する。アドレスは送らず、remote側が
+ssh送信元から決めるため、各hostは自分自身しか登録できない。登録の失敗はbridgeを落とさずstderrへ
+typedに報告する。この配線が無いと、Caddy等が持つリテラルはlease変更のたびに黙って陳腐化する。
+
+## reverse proxyへ逆トンネルで繋ぐ（LAN bindを使わない）
+
+reverse proxy hostへsshで到達できるなら、LANへbindせずloopbackだけで公開できる。bridgeが動くhostから
+接続しに行くため、そのhostのLAN addressはreverse proxyのどこにも現れず、追従も自己登録も不要になる。
+
+```bash
+lattice bridge setup --listen 127.0.0.1 --port 53939 --dashboard --allow-host lattice.example.com --json
+ssh -N -o ExitOnForwardFailure=yes -o ServerAliveInterval=30 \
+  -R 172.18.0.1:53939:127.0.0.1:53939 proxy-host
+```
+
+reverse proxyはこの固定endpointだけを見る。転送口のbind先は、reverse proxyが到達できるaddressにする。
+Docker上のreverse proxyでは、containerの`127.0.0.1`はcontainer自身のloopbackでありhostのそれではないため、
+hostのloopbackへ開いた口には届かない。対象networkのgateway（`docker network inspect`の`Gateway`）へbindする。
+
+sshdは既定の`GatewayPorts no`だと`127.0.0.1`にしかbindできない。`clientspecified`にすると、clientが明示した
+addressだけにbindする（`yes`と違い全interfaceへは晒さない）。host firewallがINPUTをDROPしている場合は、
+その1 portだけを許可する。`ExitOnForwardFailure=yes`は、転送口を開けないまま接続だけ生かす状態を防ぐ。
+常駐はprocess supervisorのKeepAliveに任せ、切断時は張り直す。
+
 ## Docker Caddy／Cloudflare Tunnelへ接続する
 
 bridgeを有効化したMacとreverse proxy hostの間で、まず許可Hostを付けたLAN到達を確認する。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@quolu/lattice",
-  "version": "0.12.28",
+  "version": "0.12.30",
   "description": "Lattice — phase-aware TODO graph compiler and conflict-aware orchestration runtime",
   "type": "module",
   "license": "MIT",

package/src/bridge-server.mjs

@@ -308,6 +308,7 @@ export function bridgeRuntimeController({
   env = process.env, instanceToken = null,
   register = registerBridgeUpstream,
   report = (line) => process.stderr.write(`${line}\n`),
+  readInterfaces = () => networkInterfaces(),
 } = {}) {
   let active = null;
   let fingerprint = null;
@@ -329,23 +330,36 @@ export function bridgeRuntimeController({
     async reconcile() {
       const config = await readBridgeConfig({ env });
       const next = config === null || !config.enabled ? null : JSON.stringify(config);
-      if (next === fingerprint) return active;
+      // The config is not the only thing that can change under a live binding.
+      // A DHCP lease change removes the bound address from the host without
+      // touching a byte of config, and the socket lingers on an address nothing
+      // can route to. Resolve the effective address on every pass, from the
+      // interfaces as they are now, so the binding follows the host rather than
+      // only the file. One snapshot serves both the comparison and the bind, so
+      // a lease that changes mid-reconcile cannot land them on different
+      // addresses.
+      const interfaces = next === null ? null : readInterfaces();
+      const effective = next === null ? null
+        : resolveBridgeListenAddress({ configured: config.listen.address, interfaces }).effective;
+      if (next === fingerprint && (active === null || active.address === effective)) return active;
       if (next === null) {
         await active?.close();
         active = null;
         fingerprint = null;
         return null;
       }
-      // Compare against the CONFIGURED address: a rebound binding still serves
-      // the same configuration, and comparing the effective address would tear
-      // the server down and rebuild it on every reconcile.
+      // The binding is reused while it still serves the same configuration AND
+      // still sits on the address that configuration resolves to today. The
+      // effective address is stable for an unchanged host, so this compares
+      // equal on every quiet pass and only forces a rebind when the ground has
+      // actually moved.
       if (active !== null && active.configured_address === config.listen.address
-        && active.port === config.listen.port) {
+        && active.port === config.listen.port && active.address === effective) {
         active.updateConfig(config);
         fingerprint = next;
         return active;
       }
-      const replacement = await startBridgeServer({ config, env, instanceToken });
+      const replacement = await startBridgeServer({ config, env, instanceToken, interfaces });
       const previous = active;
       active = replacement;
       fingerprint = next;