Виберіть ім’я сервера
Ім'я сервера, видиме користувачам, може бути складно змінити пізніше. Розумійте делегування та загальновідомі записи, які використовує ваше розгортання. Перевіряйте виявлення клієнтів і федерацію, а не припускайте, що успішний веб-вхід доводить і те, й інше.
Використовуйте підтримуваний стек
Synapse зазвичай використовує PostgreSQL для робочих даних, а допоміжні сервіси залежать від масштабу та конфігурації. Дотримуйтеся поточних рекомендацій upstream. Тримайте тайм-аути воркерів, бази даних і зворотного проксі сумісними з навантаженням.
Тримайте твердження про шифрування точними
Наскрізне шифрування захищає вміст у підтримуваних зашифрованих кімнатах між клієнтами-учасниками. Домашній сервер усе одно може обробляти метадані та незашифрований вміст. Резервне копіювання ключів клієнта, перевірка та відновлення облікового запису потребують окремого пояснення.
Обслуговуйте інстанс
Обмежуйте реєстрацію, коли це доречно, захищайте адміністративні інтерфейси та інтерфейси спільних секретів і встановіть продумане зберігання медіа та подій. Послідовно створюйте резервні копії бази даних, конфігурації та ключів підписування, потім перевіряйте відновлення.
Тестуйте шляхи клієнта та федерації окремо
Клієнт, наприклад Element, звертається до клієнтського API homeserver, тоді як інші homeserver використовують виявлення федерації та відповідні endpoints. Зміна зворотного проксі може зламати одне, залишивши інше працездатним. Перевірте новий акаунт, локальну кімнату та авторизовану федеративну кімнату, а потім перевірте шифрування й поведінку відновлення з клієнта.
Офіційна документація: Поточний посібник зі встановлення Synapse
Зберігайте довговічний ідентифікаційний матеріал
База даних — це не вся ідентичність homeserver. Зберігайте ключ підпису та відповідну конфігурацію й секрети з узгодженою резервною копією. Перевірте, які зовнішні медіа та історія зберігаються, і встановіть політику, доречну для вашої спільноти. Відстежуйте сховище та черги обробників, перш ніж зростання стане збоєм.
Відокремте назву облікового запису від кінцевої точки розміщення
Визначте server_name Matrix до створення облікового запису: він стає частиною ідентифікаторів користувачів і кімнат. Веб-хост, що обслуговує Synapse, може відрізнятися, якщо виявлення/делегування налаштовано правильно. Плануйте і виявлення клієнтів, і виявлення між серверами, дійсний сертифікат і сімейство адрес, фактично доступне. Element — це клієнт, а не заміна домашнього сервера. Зберігайте незалежний маршрут адміністратора та контакт для відновлення поза домашнім сервером.
- Виберіть підтримуваний випуск Synapse та розгортання PostgreSQL, придатне для продакшену.
- Тримайте базу даних і адміністративні слухачі приватними.
- Чітко визначте політику реєстрації та федерації.
Офіційна документація: Встановлення Synapse · Делегування Matrix
Побудуйте виявлення та проксі як частину сервісу
Згенеруйте конфігурацію для вибраного релізу, збережіть ключ підпису та базу даних і налаштуйте проксі згідно з офіційними рекомендаціями Synapse. Зовнішньо видимий origin, переслані заголовки та шляхи запитів мають узгоджуватися. Якщо використовується делегування, надавайте потрібні well-known документи з домену ідентичності. Не відкривайте сирий внутрішній порт API, щоб вирішити помилку проксі. Тримайте секрети реєстрації поза конфігурацією браузерного клієнта.
Офіційна документація: Зворотний проксі Synapse
Перевірте клієнтський сеанс і сеанс федерації
Створіть тестовий обліковий запис, підключіть підтримуваний клієнт, надішліть локальне повідомлення та завантажте невеликий файл. Перевірте виявлення клієнтів незалежно від виявлення федерації, потім протестуйте кімнату з іншим дозволеним сервером, якщо федерація передбачена. У зашифрованій кімнаті відпрацюйте верифікацію та процес відновлення ключів клієнта. Резервна копія домашнього сервера не відновлює автоматично кожен ключ розшифрування, що зберігається на клієнті. Поясніть, які метадані сервер зберігає і які кімнати зашифровані.
# Discovery checks use your identity domain and HTTPS:
curl --fail https://example.com/.well-known/matrix/client
curl --fail https://example.com/.well-known/matrix/serverВикористовуйте місце помилки, щоб звузити ремонт
Якщо Element не може виявити сервер, перевірте відповідь well-known клієнта та походження TLS. Якщо локальний обмін повідомленнями працює, а федерація не працює, перевірте делегування федерації, доступні адреси, сертифікати та політику. Повторювані збої медіа можуть бути пов'язані з лімітами завантаження або сховищем. Послідовно зберігайте базу даних, медіа, конфігурацію та ключі підпису; спершу перевірте відновлення без увімкненої федерації, щоб навчання не створило конкуруючу копію робочої ідентичності.