Merge pull request 'docs(agents): R5 — VPS uses containerized Caddy and HAProxy' (#3) from claude/r5-vps-containers into main

agents/codex/inbox/2026-10-19-stage1-completion.md

@@ -95,7 +95,20 @@ WireGuard → домашний сервер → приложение.** Проб
 Сделать:
 1. **Домашний сервер.** Приложение дополнительно слушает `10.77.0.3:<порт>` (не `0.0.0.0`).
    На хосте firewall разрешает этот порт только с `10.77.0.1`. БД по-прежнему не публикуется.
-2. **VPS.** Фрагмент конфигурации reverse proxy под существующий на VPS веб-сервер
+2. **VPS — уточнение по факту (Claude, 19.10).** На VPS всё в Docker:
+   - TLS держит контейнер `krona-reverse-proxy` (`caddy:2.8-alpine`);
+   - перед ним `krona-proxy-mux` (`haproxy:3.0-alpine`), по-видимому, маршрутизирует 443 по SNI;
+   - есть `authelia`;
+   - Forgejo — `krona-git-forgejo`;
+   - там же production fleet-hub (`fleet-*`), krona pilot и business-platform.
+
+   Нужно: маршрут `random.ochenstarik.ru` в HAProxy (если он раскидывает по SNI) и блок сайта
+   в Caddyfile контейнера `krona-reverse-proxy`. Перед правкой — бэкап обоих конфигов, `caddy validate`
+   и `haproxy -c` внутри контейнеров, reload без рестарта. После reload проверить, что `git.ochenstarik.ru`
+   и остальные сайты отвечают как прежде. Можно ли закрыть сайт через Authelia вместо basic auth —
+   по месту. Чужие блоки не трогать.
+   Исходный пункт ниже читать с учётом этого:
+   Фрагмент конфигурации reverse proxy под существующий на VPS веб-сервер
    (nginx или Caddy — определить по runbook, не ставить второй на 443):
    - TLS для `random.ochenstarik.ru` (Let's Encrypt, HTTP-01 на VPS);
    - `proxy_pass http://10.77.0.3:<порт>`, заголовки `X-Forwarded-*` и `Host`;