Fly.io

要求复制链接

拓扑复制链接

端口与节点通道证书的通用规则见 端口、反向代理与可信代理。

操作方式复制链接

应用创建、镜像部署与升级使用 flyctl；其余步骤可在 Dashboard 完成，flyctl 为等效方式。

1. 创建应用复制链接

fly apps create edgeweir-console --org <组织>

应用名全局唯一，并决定默认主机名 <应用名>.fly.dev。

2. 编写 fly.toml复制链接

在空目录中创建 fly.toml。按实际修改 app、primary_region、镜像 tag 与 URL 中的应用名。

app = "edgeweir-console"
primary_region = "nrt"

[build]
  image = "ghcr.io/marvinli001/edgeweir:20260929-a1b2c3d"

[env]
  EDGEWEIR_PUBLIC_URL = "https://edgeweir-console.fly.dev"
  EDGEWEIR_NODE_API_URL = "https://edgeweir-console.fly.dev:8443"

[http_service]
  internal_port = 3000
  force_https = true
  auto_stop_machines = "off"
  auto_start_machines = true
  min_machines_running = 1

  [[http_service.checks]]
    grace_period = "30s"
    interval = "15s"
    timeout = "5s"
    method = "GET"
    path = "/healthz"

[[services]]
  internal_port = 8443
  protocol = "tcp"
  auto_stop_machines = "off"
  auto_start_machines = true
  min_machines_running = 1

  [[services.ports]]
    port = 8443

  [[services.tcp_checks]]
    grace_period = "30s"
    interval = "15s"
    timeout = "2s"

[[vm]]
  size = "shared-cpu-1x"
  memory = "1gb"

3. 设置 secrets复制链接

1. 在本机生成主密钥：

   复制

   umask 077
   openssl rand -base64 32 > edgeweir-master-key

2. Dashboard → edgeweir-console → Secrets，添加：

   Secret	值
   EDGEWEIR_MASTER_KEY	edgeweir-master-key 的内容，原样使用
   DATABASE_URL	postgres://edgeweir:<密码>@<主机>:5432/edgeweir

3. 保持暂存，不点击 Deploy Secrets；secret 随第 4 步部署生效。

flyctl：

fly secrets set --stage \
  EDGEWEIR_MASTER_KEY="$(cat edgeweir-master-key)" \
  DATABASE_URL='postgres://edgeweir:<密码>@<主机>:5432/edgeweir'

Fly.io 不提供 secret 明文读取；edgeweir-master-key 离线保存，与数据库备份分开，见 备份与恢复。

4. 部署复制链接

在 fly.toml 所在目录执行：

fly deploy --ha=false

--ha=false 只创建 1 台 Machine。[[services]] 含 8443 这样的非 HTTP 端口，首次部署询问 Would you like to allocate dedicated ipv4 and ipv6 addresses now?：回答 y，分配独享 IPv4（每月 2 美元）与独享 IPv6，不分配共享 IPv4。回答 n，或没有终端时，不分配任何地址，部署照常完成，按第 5 步补上。

5. 检查公网地址复制链接

fly ips list

预期：一个独享 IPv4（v4）与一个独享 IPv6（v6），没有共享 IPv4（shared_v4）。

edgeweir-console.fly.dev 在 DNS 缓存过期后解析到独享地址。不要改回共享 IPv4：共享 IPv4 不转发 8443。

6. 初始化复制链接

未初始化的控制台每次启动都在日志中输出同一个 setup token。

1. Dashboard → edgeweir-console → Logs & Errors → Search logs in Grafana，查询 "first-run setup"。日志保留 7 天。
2. 该行 setupToken 字段为 setup token，url 字段为初始化向导地址（<EDGEWEIR_PUBLIC_URL>/setup）。
3. 打开向导，填入 setup token，见 快速上手。

flyctl：

fly logs --no-tail | grep setupToken

fly logs --no-tail 只返回近期日志；没有该行时执行 fly apps restart edgeweir-console 后重新读取。

变量复制链接

同名变量 secret 优先于 [env]。ROLE、HOST、PORT、NODE_API_PORT 使用镜像默认值 all、0.0.0.0、3000、8443，与 internal_port 一致。全部变量见 环境变量。

验证复制链接

openssl s_client -connect edgeweir-console.fly.dev:8443 -servername edgeweir-console.fly.dev </dev/null 2>/dev/null \
  | openssl x509 -noout -text | grep -E 'Issuer:|Subject:|DNS:'

预期：

        Issuer: CN=Edgeweir Node Channel CA, O=Edgeweir
        Subject: CN=edgeweir-node-api, O=Edgeweir
                DNS:localhost, IP Address:127.0.0.1, IP Address:0:0:0:0:0:0:0:1, DNS:<Machine 主机名>, DNS:edgeweir-console.fly.dev

出现其他签发者表示 TLS 被中间设备终结。

自定义域名复制链接

在注册节点之前完成。

1. Dashboard → edgeweir-console → Certificates，添加 console.example.com；按界面给出的记录在 DNS 中添加 A（独享 IPv4）与 AAAA 记录。flyctl：fly certs add console.example.com。

2. 修改 fly.toml 的 [env]：

   复制

   [env]
     EDGEWEIR_PUBLIC_URL = "https://console.example.com"
     EDGEWEIR_NODE_API_URL = "https://console.example.com:8443"

   系统设置 的「节点通道」保存过地址时，它优先于 EDGEWEIR_NODE_API_URL：在那里改为 https://console.example.com:8443。8443 不需要 fly certs add，但域名须直接解析到独享地址：Cloudflare 等 DNS 关闭代理（仅 DNS），Cloudflare 代理也处理 8443 端口的 HTTPS，会终结 TLS。

3. 部署：

   复制

   fly deploy

4. 验证：以 console.example.com 执行 验证 中的 curl 与 openssl 命令。

已注册节点更换节点通道地址见 节点通道地址与证书。

升级复制链接

1. 备份数据库，见 备份与恢复。

2. 将 fly.toml 中 [build] image 改为新 tag。

3. 部署：

   复制

   fly deploy

4. 验证：

   复制

   curl -fsS https://edgeweir-console.fly.dev/healthz

   预期：version 为新 tag。

迁移、签名校验与回滚见 版本、升级与回滚。

限制复制链接