bunny.net Magic Containers

要求复制链接

拓扑复制链接

端口与节点通道证书的通用规则见 端口、反向代理与可信代理。

操作方式复制链接

应用在 Dashboard 或用 bunny CLI 创建。CLI 0.18 的 bunny apps 为实验性命令：不下发健康检查；每次 bunny apps deploy 按 bunny.jsonc 重写容器，删除健康检查与文件中没有的端点。健康检查与升级在 Dashboard 完成，或用 bunny api 调用 API。

1. 生成主密钥复制链接

umask 077
openssl rand -base64 32 > edgeweir-master-key

输出原样使用。edgeweir-master-key 离线保存，与数据库备份分开，见 备份与恢复。

2. 创建应用复制链接

1. Dashboard → Magic Containers → + Add App。

2. 镜像：搜索 marvinli001/edgeweir（GitHub），选择目标 tag，不使用 latest。容器名改为 edgeweir。

3. Endpoints：删除页面按镜像 EXPOSE 预填的端点，再添加：

   类型	容器端口	对外端口	其他
   + CDN	3000	—	SSL for origin 关闭
   + Anycast IP	8443	8443	—

   不要为 3000 添加 Anycast 端点：HTTP 会绕过 CDN 直接暴露在公网。

4. Environment variables → Raw editor：

   复制

   DATABASE_URL=postgres://edgeweir:<密码>@<主机>:5432/edgeweir
   EDGEWEIR_MASTER_KEY=<edgeweir-master-key 的内容>

5. Region 选 PostgreSQL 附近、支持 Anycast 的一个区域；App name 填 edgeweir-console；点击 Deploy。

6. 应用 Regions and Scaling：最小与最大实例数均为 1，只保留这一个区域：自动扩展会在需求增加的区域启动新实例。

此时控制台缺少 EDGEWEIR_PUBLIC_URL，启动失败，平台反复重启它，第 3 步后恢复。尽快完成第 3 步：重启有期限，到期后平台移除该实例。

bunny CLI：在空目录中创建 bunny.jsonc，按实际修改 regions 与镜像 tag：

{
  "$schema": "https://raw.githubusercontent.com/BunnyWay/cli/main/packages/config/generated/schema.json",
  "version": "2026-05-11",
  "app": {
    "name": "edgeweir-console",
    "regions": ["DE"],
    "scaling": { "min": 1, "max": 1 },
    "containers": {
      "edgeweir": {
        "image": "ghcr.io/marvinli001/edgeweir:20260929-a1b2c3d",
        "endpoints": [
          { "type": "cdn", "ssl": false, "ports": [{ "public": 443, "container": 3000 }] },
          { "type": "anycast", "ports": [{ "public": 8443, "container": 8443 }] }
        ]
      }
    }
  }
}

在该目录执行，首次带上镜像：

bunny apps deploy ghcr.io/marvinli001/edgeweir:20260929-a1b2c3d

首次执行创建应用、写入 .bunny/app.json（应用 ID）并部署。CLI 询问 Is ghcr.io public, or do you need credentials? 时选择 Public。不带镜像时 CLI 按 bunny.jsonc 重新部署，不询问镜像仓库。

3. 设置变量复制链接

1. 读取端点地址：Dashboard 应用 Endpoints，或：

   复制

   bunny apps endpoints list

   CDN 端点为 mc-<id>.bunny.run（ssl 为 false 时 CLI 显示为 http://…，变量中仍用 https://）；Anycast 端点为 <Anycast IP>:8443。

2. 应用 Container Settings → Edit → Environment Variables，补全后点击 Update Container，再 Save Changes：

   复制

   DATABASE_URL=postgres://edgeweir:<密码>@<主机>:5432/edgeweir
   EDGEWEIR_MASTER_KEY=<edgeweir-master-key 的内容>
   EDGEWEIR_PUBLIC_URL=https://mc-<id>.bunny.run
   EDGEWEIR_NODE_API_URL=https://<Anycast IP>:8443

EDGEWEIR_NODE_API_URL 也可以不设置：初始化后在 系统设置 的「节点通道」填写 https://<Anycast IP>:8443，保存即生效，不触发滚动更新。

bunny CLI：将上面四行写入 .env.bunny（umask 077），然后：

bunny apps env push .env.bunny --container edgeweir

变量修改触发滚动更新；bunny apps env push 与已有变量合并，加 --replace 时删除文件中没有的变量。Magic Containers 没有 secret 存储：变量值以明文显示在 Dashboard、API 与 bunny apps env pull 中。各变量见 变量。

4. 健康检查复制链接

应用 Container Settings → Edit → Monitoring，勾选三项，类型 HTTP GET，路径 /healthz，端口 3000，点击 Update Container，再 Save Changes。Dashboard 不提供下表某项参数时改用下方 probes.json：API 的默认值约 40 秒内启动检查不通过即失败，短于控制台等待 PostgreSQL 的 60 秒。

bunny CLI：创建 probes.json：

{
  "probes": {
    "startup": { "initialDelaySeconds": 5, "periodSeconds": 5, "timeoutSeconds": 3, "failureThreshold": 30, "httpGet": { "request": { "path": "/healthz", "portNumber": 3000 } } },
    "readiness": { "periodSeconds": 10, "timeoutSeconds": 3, "failureThreshold": 3, "httpGet": { "request": { "path": "/healthz", "portNumber": 3000 } } },
    "liveness": { "periodSeconds": 15, "timeoutSeconds": 5, "failureThreshold": 4, "httpGet": { "request": { "path": "/healthz", "portNumber": 3000 } } }
  }
}

查询容器 ID（containerTemplates[].id，应用 ID 在 .bunny/app.json），再写入：

bunny api GET /mc/apps/<应用 ID>
bunny api PATCH /mc/apps/<应用 ID>/containers/<容器 ID> --body "$(cat probes.json)"

bunny apps deploy 会删除健康检查，执行后重新写入。

5. Pull zone 设置复制链接

CDN 端点创建 pull zone mc-<id>。控制台对 /assets/* 以外的响应发送 Cache-Control: no-store；以下设置保持控制台的响应不进入缓存，并让会话 Cookie 到达浏览器。

bunny CLI（<pull zone ID> 为 bunny api GET /mc/apps/<应用 ID>/endpoints 中 CDN 端点的 pullZoneId）：

bunny api POST /pullzone/<pull zone ID>/setForceSSL --body '{"Hostname":"mc-<id>.bunny.run","ForceSSL":true}'
bunny api POST /pullzone/<pull zone ID>/setForceSSL --body '{"Hostname":"mc-<id>.b-cdn.net","ForceSSL":true}'

6. 初始化复制链接

未初始化的控制台每次启动都在日志中输出同一个 setup token。

1. 应用 Logging → Logs → Application，搜索 first-run setup。日志保留 5 天，可能含有更换数据库之前的 setup token：取最新一行。
2. 该行 setupToken 字段为 setup token，url 字段为初始化向导地址（<EDGEWEIR_PUBLIC_URL>/setup）。
3. 打开向导，填入 setup token，见 快速上手。

没有该行时重启应用（应用 Restart，或 bunny apps restart）后重新搜索。

变量复制链接

EDGEWEIR_TRUSTED_PROXIES 的值由 bunny.net 的两个边缘服务器列表生成：

( curl -fsS https://api.bunny.net/system/edgeserverlist/plain; echo
  curl -fsS https://api.bunny.net/system/edgeserverlist/ipv6/plain ) | grep -v '^$' | paste -sd, -

ROLE、HOST、PORT、NODE_API_PORT 使用镜像默认值 all、0.0.0.0、3000、8443，与端点的容器端口一致。全部变量见 环境变量。

验证复制链接

openssl s_client -connect <Anycast IP>:8443 </dev/null 2>/dev/null \
  | openssl x509 -noout -text | grep -E 'Issuer:|Subject:|DNS:'

预期：

        Issuer: CN=Edgeweir Node Channel CA, O=Edgeweir
        Subject: CN=edgeweir-node-api, O=Edgeweir
                DNS:localhost, IP Address:127.0.0.1, IP Address:0:0:0:0:0:0:0:1, DNS:<容器主机名>, IP Address:<Anycast IP>

出现其他签发者表示 TLS 被中间设备终结。

后加 Anycast IP复制链接

部署时可以只建 CDN 端点、不设置 EDGEWEIR_NODE_API_URL；此时 系统设置 的「节点通道」为 https://mc-<id>.bunny.run:8443，连接检查显示「控制台无法连接该地址」，节点无法注册。需要接入节点时：

1. 确认应用所在区域支持 Anycast：bunny apps regions list 的 Anycast 列。

2. 应用 Endpoints 添加 Anycast 端点：容器端口 8443，对外端口 8443。端点修改立即生效，不触发滚动更新，不重启控制台；Anycast IP 从此计费。bunny CLI：

   复制

   bunny apps endpoints add --type anycast --container-port 8443 --public-port 8443 --container edgeweir

   使用 bunny.jsonc 时把同一端点写进文件，否则下次 bunny apps deploy 删除它。

3. 读取 Anycast IP：应用 Endpoints，或 bunny apps endpoints list。

4. 控制台 系统设置 →「节点通道」，地址填 https://<Anycast IP>:8443，或指向它的域名（见 自定义域名），保存。立即生效：节点通道证书加入该名称，连接检查显示「连接正常」，新的安装命令使用该地址。

5. 验证：按 验证 执行 openssl 命令。

自定义域名复制链接

在注册节点之前完成。

1. Web 控制台：pull zone mc-<id> → General → Hostnames，添加 console.example.com；在 DNS 中按界面给出的值添加 CNAME（mc-<id>.b-cdn.net）；点击 Verify & Activate SSL，再开启该主机名的 Force SSL。

2. 节点通道：pull zone 不转发 TCP。在 DNS 中添加 nodes.example.com 的 A 记录，指向 Anycast IP；DNS 在 Cloudflare 时关闭代理（仅 DNS）。节点用域名注册后，Anycast IP 变化时只需修改这条记录。

3. 修改变量（触发滚动更新）：

   复制

   EDGEWEIR_PUBLIC_URL=https://console.example.com
   EDGEWEIR_NODE_API_URL=https://nodes.example.com:8443

   节点通道地址也可以只在 系统设置 的「节点通道」改为 https://nodes.example.com:8443，不触发滚动更新；那里保存过地址时，EDGEWEIR_NODE_API_URL 不起作用。

4. 验证：以新域名执行 验证 中的 curl 命令，以 nodes.example.com:8443 与 -servername nodes.example.com 执行 openssl 命令，SAN 含 DNS:nodes.example.com。

已注册节点更换节点通道地址见 节点通道地址与证书。

升级复制链接

1. 备份数据库，见 备份与恢复。

2. 应用 Container Settings → Edit，在镜像下拉框选择新 tag，点击 Update Container，再 Save Changes 并确认。

3. 验证：

   复制

   curl -fsS https://mc-<id>.bunny.run/healthz

   预期：version 为新 tag。

bunny CLI（第 2 步）：只修改镜像 tag，变量、端点与健康检查保持不变：

bunny api PATCH /mc/apps/<应用 ID>/containers/<容器 ID> --body '{"imageTag":"<新 tag>"}'

bunny apps deploy <镜像> 会删除健康检查，不用于升级。迁移、签名校验与回滚见 版本、升级与回滚。

限制复制链接