# 配置 NixOS 服务器 ## 工作流程概述 1. 收集用户需求 2.创建Proxmox容器 3. 设置 SSH 访问 4. 创建 Colmena 初始化配置 5. 部署初始化配置并更新为静态IP 6. 复制 SOPS 的基础设施密钥 7. 配置应用程序（如果适用） 8. 部署完整配置 ## 第 1 步：收集需求询问用户： * **主机名** ：服务器名称（例如“啄木鸟”） * **容器 ID** ：Proxmox 容器 ID（例如“122”） * **Proxmox 服务器** ：目标 Proxmox 主机（例如 `thrall`） * **存储** ： `local-lvm` （快）或 `cephpool1` （分布式，较慢） * **内存**：RAM（以 MB 为单位）（默认值：`4096`） * **磁盘大小**：以 GB 为单位（默认值：`100`） * **应用程序** ：将在此服务器上运行的内容验证新主机是否存在软秘密（“host..admin_ip_address”等）或要求用户创建它们。 ## 步骤 2：创建 Proxmox 容器 PROXMOX_SERVER=<服务器> HOSTNAME=<主机名> CONTAINER_ID= 存储=本地lvm 内存=4096 DISK_SIZE_IN_GB=100 ssh $PROXMOX_SERVER "pct 创建 $CONTAINER_ID \ --arch amd64 local:vztmpl/nixos-system-x86_64-linux.tar.xz \ --ostype 非托管\ --描述尼克斯\ --主机名 $HOSTNAME \ --net0 名称 = eth0，网桥 = vmbr3，ip = dhcp，防火墙 = 1 \ --存储$存储\ --内存$内存\ --rootfs $STORAGE:$DISK_SIZE_IN_GB \ --非特权1 \ --特征嵌套=1 \ --cmode控制台\ --onboot 1 \ --开始 1" **超时说明：** 对 `cephpool1` 存储使用较长的超时（5 分钟以上）。 ## 步骤 3：设置 SSH 访问新的 NixOS 容器需要完整路径。通过 `pct exec` 运行： ssh $PROXMOX_SERVER“pct exec $CONTAINER_ID --/run/current-system/sw/bin/bash -c '\ mkdir -p ~/.ssh && \ curl -s https://github.com/fred-drake.keys > ~/.ssh/authorized_keys && \ chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys'" 获取 DHCP IP 地址： ssh $PROXMOX_SERVER“pct exec $CONTAINER_ID --/run/current-system/sw/bin/ip addr show eth0 | grep 'inet'” ## 步骤 4：创建 Colmena 初始化配置创建这些文件（请参阅 [references/colmena-host-template.md]() 并[references/nixos-config-template.md]())： 1. `mkdir -p module/nixos/host/<主机名>` 2. 创建 `modules/nixos/host/<主机名>/configuration.nix` 3. 创建 `colmena/hosts/<主机名>.nix` 4. 使用导入更新 `colmena/default.nix` **初始部署配置：** 使用 DHCP IP 和 `root` 用户：部署={ targetHost = ""; 目标用户=“root”； }; 暂存文件和构建： git add colmena/hosts/<主机名>.nix 模块/nixos/host/<主机名>/colmena/default.nix colmena build --impure --on <主机名>-init ## 步骤 5：部署初始化并更新 IP 部署（由于 IP 更改而网络重新启动时将挂起）： colmena apply --impure --on <主机名>-init 终止挂起命令，然后更新 `colmena/hosts/.nix`：部署={ targetHost = soft-secrets.host.<主机名>.admin_ip_address; 目标用户=“默认”； }; 使用另一个部署验证： colmena apply --impure --on <主机名>-init ## 步骤 6：复制基础设施密钥 SOPS 秘密解密所需： ssh default@ "mkdir -p ~/.ssh && chmod 700 ~/.ssh" scp ~/.ssh/id_infrastruct default@:~/id_infrastruct ssh 默认@ "chmod 600 ~/id_infrastruct" **年龄公钥**（对于 .sops.yaml）：`age1rnarwmx5yqfhr3hxvnnw2rxg3xytjea7dhtg00h72t26dn6csdxqvsryg5` 如果机密无法解密，用户需要将此密钥添加到“.sops.yaml”并在机密文件上运行“sops updatekeys”。 ## 步骤 7：配置应用程序有关模式，请参阅 [references/app-templates.md]()。 ### 添加容器镜像 1.编辑`apps/fetcher/containers.toml` 2. 运行 `just update-container-digests` 3.阶段：`git add apps/fetcher/containers.toml apps/fetcher/containers-sha.nix` ### 创建应用程序配置使用以下命令创建 `apps/.nix`： * 带 SSL 的 Nginx 代理（如果面向 Web） * PostgreSQL 容器（如果需要数据库） * 应用容器 * 数据目录的tmpfiles规则 ### 创建秘密配置创建引用 SOPS 文件的“modules/secrets/.nix”。用户必须在 Secret 存储库中使用以下命令创建 SOPS 文件： * `postgresql-env.sops` (POSTGRES_PASSWORD, POSTGRES_USER, POSTGRES_DB) * `-env.sops`（应用程序特定的秘密） ### 更新 Colmena 完整配置在 `colmena/hosts/.nix` 中，添加到完整配置导入： ../../modules/secrets/<主机名>.nix ../../apps/<应用程序名称>.nix ## 步骤 8：部署完整配置 just update-secrets # 获取最新的秘密 git add <所有新文件> colmena apply --impure --on <主机名> ## 常见问题 **SOPS 解密失败：** Age 密钥不在 .sops.yaml 中 - 用户必须添加密钥并重新加密 **Nginx 重复指令：** 使用 `proxyWebsockets = true` 时不要添加 `proxy_http_version` **PostgreSQL 18 失败：** 安装在 `/var/lib/postgresql` 而不是 `/var/lib/postgresql/data` **容器无法到达 postgres：** 使用 `0.0.0.0:5432:5432` 进行端口绑定，在连接字符串中使用 `host.containers.internal`

配置 Nixos 服务器

包含技能