znamenskoye-ohothozyistvo: восстановлен резервный канал WG через VPS

Было две ошибки одновременно: Orange Pi шлёт на :51820 (VPS слушает :51821)
и pubkey пира 10.5.0.3 на VPS не соответствовал текущему ключу Orange Pi
(остался от старого MikroTik wg-vps).

Исправил атомарно через wg syncconf без падения других пиров. Теперь
89.111.140.86:8180 отвечает HTTP 200, WG handshake идёт. Netbird IP объекта
обновился на 100.70.106.227. Новый ключ ~/.ssh/vps_znam_key — нужно сохранить в Bitwarden.

Подробности: decisions/2026-04-21-znamenskoye-ohothozyistvo-wg-backup-channel.md

claude-memory/znamenskoye-ohothozyistvo.md

@@ -9,8 +9,8 @@ type: project
 ## Обзор
 
 Удалённый объект (охотхозяйство) с интернетом через LTE (CGNAT). Удалённый доступ организован двумя каналами:
-1. **Netbird VPN** через Orange Pi — основной канал управления
-2. **WireGuard** через VPS (89.111.140.86) — канал для видеонаблюдения (DNAT камер)
+1. **Netbird VPN** через Orange Pi — основной канал управления (Connected P2P, новый IP 100.70.106.227)
+2. **WireGuard** через VPS (89.111.140.86:51821) — резервный канал + DNAT камер. **РАБОТАЕТ** после фикса 2026-04-21 (см. [decision](../decisions/2026-04-21-znamenskoye-ohothozyistvo-wg-backup-channel.md))
 
 MikroTik WireGuard к VPS **ОТКЛЮЧЁН** (ломал интернет, перехватывал default route). WG работает только на Orange Pi → VPS.
 
@@ -180,8 +180,8 @@ MikroTik WireGuard к VPS **ОТКЛЮЧЁН** (ломал интернет, п
 | FQDN | openwrt-ohothozyistvo.netbird.cloud |
 | LAN IP | 192.168.8.254 (DHCP от MikroTik) |
 | MAC | C0:74:2B:FC:32:20 |
-| Netbird IP | 100.70.63.67/16 |
-| WG IP | 10.5.0.3/24 (wg0 → VPS) |
+| Netbird IP | 100.70.106.227/16 (было 100.70.63.67, обновлено 2026-04-21) |
+| WG IP | 10.5.0.3/24 (wg0 → VPS :51821, РАБОТАЕТ с 2026-04-21) |
 | Disk | 29.2 GB (353 MB used, 1%) |
 | SSH | root / 1qaz!QAZ (Dropbear, нужен expect) |
 
@@ -200,10 +200,10 @@ MikroTik WireGuard к VPS **ОТКЛЮЧЁН** (ломал интернет, п
 |----------|---------|
 | Public Key | QK2SMILEfG+kRccU3QJVDZafuf108z6qPDK1XusLGVI= |
 | Peer | VPS (v95Qiu4diw2E...) |
-| Endpoint | 89.111.140.86:51820 |
+| Endpoint | 89.111.140.86:51821 (исправлено 2026-04-21 с :51820) |
 | Allowed IPs | 10.5.0.0/24 |
 | Keepalive | 25s |
-| Статус | **0 bytes received** — VPS слушает на :51821, OrangePi шлёт на :51820 — **ПОРТ НЕ СОВПАДАЕТ!** |
+| Статус | **РАБОТАЕТ** с 2026-04-21 — handshake идёт, DNAT камер доступен |
 
 ### Netbird
 
@@ -242,10 +242,10 @@ adblock, aria2, avahi, banip, collectd, dnsmasq, dockerd, dropbear, luci_statist
 | Пир | WG IP | Allowed IPs | Endpoint | Статус |
 |-----|-------|------------|----------|--------|
 | Знаменское 29 | 10.5.0.2 | 10.5.0.2/32, 192.168.88.0/24 | 193.39.160.146:35156 | **UP** ✓ |
-| Охотхозяйство (MikroTik) | 10.5.0.3 | 10.5.0.3/32, 192.168.8.0/24 | нет Endpoint | **DOWN** ✗ (MikroTik wg-vps disabled) |
+| Охотхозяйство (Orange Pi) | 10.5.0.3 | 10.5.0.3/32, 192.168.8.0/24 | 212.233.85.177:* (LTE NAT) | **UP** ✓ (с 2026-04-21, pubkey обновлён на QK2SMILE...) |
 | Знаменское Home (OpenWrt_3) | 10.5.0.4 | 10.5.0.4/32, 192.168.1.0/24, 192.168.100.0/24 | 193.39.160.238:1514 | **UP** ✓ (4.37 TiB rx!) |
 
-**Важно:** Пир охотхозяйства НЕ имеет Endpoint в конфиге VPS — VPS не может сам инициировать подключение. Подключение должно приходить от MikroTik, но wg-vps на нём отключён. Реально WG идёт через Orange Pi (wg0), но Orange Pi шлёт на порт 51820, а VPS слушает на 51821 — **порт не совпадает, туннель не работает**.
+**Исправлено 2026-04-21:** на VPS было две проблемы — (1) порт на Orange Pi был 51820 вместо 51821, (2) PublicKey пира 10.5.0.3 на VPS был `zZ4UoWNwTxBODr8xZmoCREBL2zXJcmdcxKIPGp/xBC8=` (старый, от MikroTik wg-vps), а Orange Pi шлёт от `QK2SMILEfG+kRccU3QJVDZafuf108z6qPDK1XusLGVI=`. Оба исправлено, туннель работает. Бэкап прежнего конфига VPS: `/etc/wireguard/wg0.conf.bak-20260421-1512`.
 
 ### DNAT правила (порты на 89.111.140.86)
 
@@ -338,21 +338,21 @@ adblock, aria2, avahi, banip, collectd, dnsmasq, dockerd, dropbear, luci_statist
 - Latency: ~75-210 ms
 - Orange Pi раздаёт маршрут 192.168.8.0/24 в Netbird
 
-### Канал 2: WireGuard VPS (для видеопотоков)
+### Канал 2: WireGuard VPS (резервный + видеопотоки)
 
 ```
 Интернет → VPS (89.111.140.86:8xxx)
                │ DNAT
                ▼
-          WG туннель (10.5.0.1 ↔ 10.5.0.3)
+          WG туннель (10.5.0.1 ↔ 10.5.0.3) :51821/udp
                │
                ▼
-          192.168.8.x (камеры/NVR)
+          192.168.8.x (камеры/NVR/MikroTik/OrangePi)
 ```
 
-- **СТАТУС: НЕ РАБОТАЕТ**
-- Причина: MikroTik wg-vps disabled, Orange Pi wg0 шлёт на порт 51820 (VPS слушает 51821)
-- Для восстановления нужно: исправить порт на Orange Pi (51820→51821) ИЛИ включить wg-vps на MikroTik
+- **СТАТУС: РАБОТАЕТ** (с 2026-04-21)
+- Пример: `curl http://89.111.140.86:8180/` = NVR web, HTTP 200
+- Использовать как backup Netbird. Если Netbird упал: `ssh -i ~/.ssh/vps_znam_key root@100.70.93.36` → дальше пинг/ssh в 192.168.8.0/24.
 
 ### Канал 3: Прямой доступ через VPS → WG → SSH
 
@@ -369,11 +369,8 @@ clawdbot (10.0.0.206)
 
 ## 6. Известные проблемы
 
-### WireGuard порт mismatch
-- Orange Pi wg0 endpoint: `89.111.140.86:51820`
-- VPS wg0 ListenPort: `51821`
-- **Порты не совпадают!** Orange Pi шлёт пакеты на 51820, но VPS слушает на 51821
-- Несмотря на это, VPS показывает handshake от Знаменское 29 и Home — возможно NAT или iptables перенаправляет 51820→51821, или пиры шлют на правильный порт
+### ~~WireGuard порт mismatch~~ — РЕШЕНО 2026-04-21
+Было: Orange Pi слал на :51820, VPS слушал :51821 + pubkey пира на VPS не соответствовал Orange Pi. Решение см. [decision 2026-04-21](../decisions/2026-04-21-znamenskoye-ohothozyistvo-wg-backup-channel.md).
 
 ### MikroTik WireGuard ломает интернет
 - wg-vps имеет default route с distance 2 — при включении может перехватить трафик
@@ -395,7 +392,7 @@ clawdbot (10.0.0.206)
 |-----------|-------|--------|--------|
 | MikroTik | admin | 1qaz!QAZ | REST API http://192.168.8.1/rest/, SSH, WebFig |
 | Orange Pi | root | 1qaz!QAZ | SSH (expect, Dropbear) |
-| VPS | root | — (ключ) | SSH с clawdbot: `ssh -i ~/.ssh/vps_znam_key root@100.70.93.36` |
+| VPS | root | — (ключ) | SSH с Mac: `ssh -i ~/.ssh/vps_znam_key root@100.70.93.36` (ключ RSA от sweb.ru «claude», заведён 2026-04-21). Старый `vps_znam_key` с clawdbot LXC 129 утрачен. |
 | NVR (.247) | — | — | Web http://192.168.8.247 |
 | Камеры | — | — | RTSP/SDK |
 | Знаменское 29 MikroTik | admin | admin01 | 192.168.88.1 |