146 lines
3.9 KiB
Markdown
146 lines
3.9 KiB
Markdown
# Plan: Time Machine Backup via WireGuard VPN
|
|
|
|
**Date**: 2026-05-14
|
|
**Status**: Ready to implement
|
|
|
|
## Problem
|
|
|
|
Kraken (RPi5) в другой сети — доступен только через SSH-туннель на VPS (91.207.28.205:2223).
|
|
Time Machine настроен на `smb://timemachine@kraken._smb._tcp.local./TimeMachine` через mDNS — не работает.
|
|
Последний бэкап: 12 мая 2026. Квота: 3.98 TB.
|
|
|
|
---
|
|
|
|
## Топология
|
|
|
|
```
|
|
Eagle (10.99.0.2) ──→ VPS:51820 ←── Kraken (10.99.0.3)
|
|
10.99.0.1
|
|
```
|
|
|
|
**VPS — WireGuard сервер (хаб).** Eagle и Kraken — оба клиенты, оба инициируют исходящий UDP.
|
|
|
|
Kraken не может быть сервером: он за домашним NAT, входящий UDP снаружи недоступен без port forwarding на роутере.
|
|
Cloudflare туннель не нужен — WireGuard использует UDP, CF его не поддерживает. Идёт напрямую на VPS.
|
|
|
|
Kraken держит два исходящих туннеля на VPS:
|
|
- уже есть: autossh TCP:2223 (SSH доступ)
|
|
- новый: wg-quick UDP:51820 (VPN)
|
|
|
|
---
|
|
|
|
## Что уже есть
|
|
|
|
| Узел | Статус |
|
|
|------|--------|
|
|
| VPS (Debian 6.1) | ✅ kernel module wireguard есть, `wireguard-tools` не установлен |
|
|
| Kraken (RPi5 6.12) | ✅ `wireguard-tools` в apt, модуль встроен в ядро |
|
|
| Eagle (macOS) | Нужен WireGuard.app (App Store) или `brew install wireguard-tools` |
|
|
|
|
---
|
|
|
|
## Фаза 1 — VPS: сервер (~10 мин)
|
|
|
|
```bash
|
|
apt install -y wireguard-tools
|
|
|
|
# Ключи
|
|
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
|
|
|
|
# /etc/wireguard/wg0.conf
|
|
[Interface]
|
|
Address = 10.99.0.1/24
|
|
ListenPort = 51820
|
|
PrivateKey = <server.key>
|
|
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
|
|
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
|
|
|
|
[Peer]
|
|
# Eagle
|
|
PublicKey = <eagle.pub>
|
|
AllowedIPs = 10.99.0.2/32
|
|
|
|
[Peer]
|
|
# Kraken
|
|
PublicKey = <kraken.pub>
|
|
AllowedIPs = 10.99.0.3/32
|
|
|
|
# IP forwarding
|
|
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf && sysctl -p
|
|
|
|
systemctl enable --now wg-quick@wg0
|
|
```
|
|
|
|
---
|
|
|
|
## Фаза 2 — Kraken: клиент (~5 мин)
|
|
|
|
```bash
|
|
sudo apt install -y wireguard-tools
|
|
|
|
# Ключи
|
|
wg genkey | sudo tee /etc/wireguard/client.key | wg pubkey | sudo tee /etc/wireguard/client.pub
|
|
|
|
# /etc/wireguard/wg0.conf
|
|
[Interface]
|
|
Address = 10.99.0.3/24
|
|
PrivateKey = <client.key>
|
|
|
|
[Peer]
|
|
PublicKey = <server.pub>
|
|
Endpoint = 91.207.28.205:51820
|
|
AllowedIPs = 10.99.0.0/24
|
|
PersistentKeepalive = 25
|
|
|
|
sudo systemctl enable --now wg-quick@wg0
|
|
```
|
|
|
|
---
|
|
|
|
## Фаза 3 — Eagle: клиент (~5 мин)
|
|
|
|
```bash
|
|
# Генерация ключей
|
|
wg genkey | tee ~/eagle.key | wg pubkey > ~/eagle.pub
|
|
|
|
# tunnel.conf (импортировать в WireGuard.app)
|
|
[Interface]
|
|
Address = 10.99.0.2/24
|
|
PrivateKey = <eagle.key>
|
|
|
|
[Peer]
|
|
PublicKey = <server.pub>
|
|
Endpoint = 91.207.28.205:51820
|
|
AllowedIPs = 10.99.0.0/24
|
|
PersistentKeepalive = 25
|
|
```
|
|
|
|
---
|
|
|
|
## Фаза 4 — Тест (~5 мин)
|
|
|
|
```bash
|
|
ping 10.99.0.1 # Eagle → VPS
|
|
ping 10.99.0.3 # Eagle → Kraken
|
|
smbclient -L //10.99.0.3 -U timemachine
|
|
```
|
|
|
|
---
|
|
|
|
## Фаза 5 — Time Machine
|
|
|
|
```bash
|
|
sudo tmutil removedestination <old-id>
|
|
sudo tmutil setdestination smb://timemachine@10.99.0.3/TimeMachine
|
|
```
|
|
|
|
Или через GUI: System Settings → General → Time Machine → Add Backup Disk → `smb://timemachine@10.99.0.3/TimeMachine`
|
|
|
|
---
|
|
|
|
## Заметки
|
|
|
|
- `AllowedIPs = 10.99.0.0/24` — только VPN-трафик через туннель, интернет напрямую
|
|
- SMB через WireGuard достаточно быстр для TM
|
|
- VPS = single point of failure для TM, это приемлемо
|