[2026-09-01] eagle: family/how-to/truenas-access.md family/how-to/truenas-infrastructure.md family/plans/reverse-xray-3xui-kraken.md personal/tech/xray-reverse-tunnel-kraken-truenas.md

family/how-to/truenas-access.md

@@ -42,6 +42,15 @@ docker run --rm alpine sh -c 'apk add -q openssh sshpass && sshpass -p 1316261 s
 
 **Пароль root:** `1316261`
 
+> 💡 **Бэкап firewall OpenWrt перед любой правкой redirect-правил** (вошло в практику 2026-09-01):
+> ```bash
+> # с TrueNAS: сохранить весь firewall-конфиг OpenWrt в backup-папку TrueNAS
+> docker run --rm alpine sh -c 'apk add -q openssh sshpass && sshpass -p 1316261 ssh -o StrictHostKeyChecking=no root@192.168.2.2 "uci show firewall"'
+> # → сохранить вывод в /mnt/RED_2TB/docker/backups/openwrt-firewall-YYYYMMDD-HHMMSS.txt
+> # Пример сделанного: /mnt/RED_2TB/docker/backups/openwrt-firewall-20260901-130558.txt
+> ```
+> Существующие redirect-правила OpenWrt → TrueNAS(192.168.2.197): MQTT 1883, SSH 22, caddy_http 80→8088, caddy_https 443→8443, HomeAssistant 8123 (disabled).
+
 ## Пул и датасеты
 
 Пул: RED_2TB (ZFS)

family/how-to/truenas-infrastructure.md

@@ -209,10 +209,27 @@ arr, caddy, cups, filebrowser, gitea, hermes, immich, inpx-web, inpxer, library,
 | Env | `TZ=Asia/Novosibirsk`, `PUID=950`, `PGID=950` |
 | Ports (host) | `54321:54321` (не используется панелью — внутри панель на 2053, можно убрать) |
 
-**Статус (2026-09-01):** контейнер **Up**, панель HTTP 200. Reverse-bridge НЕ настроен ещё — следующий этап. 3x-ui поддерживает reverse (`clientReverseTags`).
+**Статус (2026-09-01):** контейнер **Up**, панель HTTP 200. Reverse **портал** развёрнут отдельным контейнером `xray-reverse-portal` (см. ниже). 3x-ui поддерживает reverse (`clientReverseTags`).
 
 > ⚠️ База `x-ui.db` была **уже настроена** под эту Caddy-интеграцию (inbound vless-ws:10095, subDomain vpn-panel), поэтому панель заработала «из коробки». Бэкап базы/Caddyfile до изменений: `/mnt/RED_2TB/docker/backups/reverse-xray-3xui-20260901-113625/`.
 
+### `xray-reverse-portal` — Xray reverse portal (TrueNAS, добавлен 2026-09-01)
+
+**Цель:** portal-часть Xray-reverse туннеля: принимает исходящий трафик локальных клиентов сети TrueNAS (через SOCKS `:12345`) и пересылает по reverse-каналу на Kraken (bridge) → интернет через Kraken. Подробно: [[personal/tech/xray-reverse-tunnel-kraken-truenas]].
+
+| Параметр | Значение |
+|----------|----------|
+| Папка | `/mnt/RED_2TB/docker/reverse-portal/` |
+| Контейнер | `xray-reverse-portal` |
+| Образ | `teddysun/xray:latest` (Xray 26.7.28) |
+| Volume | `config.json:/etc/xray/config.json:ro` |
+| Сеть | `caddy_default` |
+| interconn | `:12346` VLESS (принимает reverse-канал от Kraken) — **сейчас на TCP+REALITY** (внутр. порт 12346, проброс `12346:12346`) |
+| local | `:12345` SOCKS (точка входа для клиентов сети TrueNAS), проброс `12345:12345` |
+| Env | `LOGLEVEL` |
+
+**⚠️ Текущее состояние reverse (2026-09-01):** WS-вариант не пропускал payload → решено перевести на **прямой TCP+REALITY**. REALITY-ключи: server PrivateKey `0JTjeirfviDqCr63wSnisvU7DV6SpR9_9V2l_EUHmkk`, PublicKey `GhsphQLT_0fwOvK45MHeAgG3sBQsFtw7lQfUIbrLMQU`, shortId `1451ef281caf5905`, SNI `www.cloudflare.com`. **НЕ ЗАВЕРШЕНО:** конфиги готовы и валидны, осталось пересоздать portal (stop/rm/up) + OpenWrt DNAT `внешний:12346 → 192.168.2.197:12346` + пересоздать bridge на Kraken. См. план-заметку [[family/plans/reverse-xray-3xui-kraken]].
+
 ### Home Assistant — детали
 
 - **Image:** `ghcr.io/home-assistant/home-assistant:stable`