# Клонирование репозитория
git clone <repo-url> neurokey
cd neurokey

# Проверка версий
docker --version # Docker Engine 24+
docker compose version # Docker Compose v2+
git --version # Git 2.x
java --version # Java 21
python3 --version # Python 3.11
node --version # Node.js 22.x

neurokey/
├── neurokey-backend/              # Бэкенд Нейроключа (Python/FastAPI)
│   ├── main.py
│   ├── requirements.txt
│   ├── env.example
│   ├── docker-compose.neurokey-back.yml
│   └── ...
├── neurokey-react/                # Фронтенд Нейроключа (React 19)
│   ├── src/
│   ├── .env.example
│   ├── docker-compose.neurokey-front.yml
│   └── ...
├── llm-data-masking/
│   ├── internal/                  # Контур А (защищённый)
│   │   ├── internal-gateway/      # Java Spring Boot
│   │   ├── ner-service/           # Python FastAPI + DeepPavlov
│   │   ├── docker-compose.yml
│   │   ├── docker-compose.prod.yml
│   │   ├── .env.example
│   │   └── local.sh
│   └── external/                  # Контур Б (рабочий)
│       ├── external-gateway/      # Java Spring Boot
│       ├── external-front/        # React SPA
│       ├── docker-compose.yml
│       ├── docker-compose.prod.yml
│       └── .env.example
└── docker-compose.infra.yml       # Общая инфраструктура

# docker-compose.infra.yml
version: "3.8"
services:
  postgres:
    image: postgres:15-alpine
    container_name: neurokey-postgres
    restart: unless-stopped
    ports:
      - "15432:5432"
    environment:
      POSTGRES_DB: neurokey
      POSTGRES_USER: neurokey
      POSTGRES_PASSWORD: <secure-password>
    volumes:
      - ./postgres_data:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U neurokey"]
      interval: 10s
      timeout: 5s
      retries: 5

  redis:
    image: redis:7-alpine
    container_name: neurokey-redis
    restart: unless-stopped
    ports:
      - "16379:6379"
    command: redis-server --requirepass <password> --appendonly yes
    volumes:
      - ./redis_data:/data
    healthcheck:
      test: ["CMD", "redis-cli", "-a", "<password>", "ping"]
      interval: 10s
      timeout: 5s
      retries: 5

# Запуск инфраструктуры
docker compose -f docker-compose.infra.yml up -d
# Проверка статуса
docker compose -f docker-compose.infra.yml ps

cd neurokey-backend
# Настройка переменных окружения
cp env.example .env
# Редактирование .env — ключевые параметры:
# DATABASE_URL=postgresql://neurokey:<password>@localhost:15432/neurokey
# REDIS_URL=redis://:<password>@localhost:16379/0
# OPENROUTER_API_KEY=sk-or-...
# OPENROUTER_API_BASE_URL=http://localhost:8080/v1 # через Gateway!
# SECRET_KEY=<random-secret-32-chars>
# CORS_ORIGINS=["http://localhost:8888"]
# Запуск через Docker
docker compose -f docker-compose.neurokey-back.yml up -d
# Проверка логов
docker compose -f docker-compose.neurokey-back.yml logs -f

cd neurokey-react
# Настройка переменных окружения
cp .env.example .env
# VITE_APP_ENV=PROD
# VITE_API_BASE_URL=http://localhost:8080
# Запуск через Docker
docker compose -f docker-compose.neurokey-front.yml up -d
# Фронтенд доступен на порту 8888
curl -I http://localhost:8888

cd llm-data-masking/internal
# Настройка переменных окружения
cp .env.example .env

# Запуск (development — без SSL)
./local.sh
# или
docker compose up -d
# Запуск (production — с SSL и mTLS)
docker compose -f docker-compose.prod.yml up -d

cd llm-data-masking/external
# Настройка переменных окружения
cp .env.example .env

# Запуск (development)
docker compose up -d
# Запуск (production)
docker compose -f docker-compose.prod.yml up -d

# Было (прямое обращение):
OPENROUTER_API_BASE_URL=https://openrouter.ai/api/v1
# Стало (через Gateway):
OPENROUTER_API_BASE_URL=http://external-gateway:8080/v1

# Генерация CA
openssl req -x509 -newkey rsa:4096 -days 365 -nodes \
-keyout ca-key.pem -out ca-cert.pem \
-subj "/CN=Neurokey Internal CA"

# Генерация серверного сертификата (Internal Gateway)
openssl req -newkey rsa:4096 -nodes \
-keyout server-key.pem -out server-req.pem \
-subj "/CN=internal-gateway"
openssl x509 -req -in server-req.pem -days 365 \
-CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial \
-out server-cert.pem

# Генерация клиентского сертификата (External Gateway)
openssl req -newkey rsa:4096 -nodes \
-keyout client-key.pem -out client-req.pem \
-subj "/CN=external-gateway"
openssl x509 -req -in client-req.pem -days 365 \
-CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial \
-out client-cert.pem

# Проверка всех сервисов
echo "=== Нейроключ Backend ==="
curl -s http://localhost:8080/health | jq .

echo "=== External Gateway ==="
curl -s http://localhost:8080/actuator/health | jq .

echo "=== Internal Gateway ==="
curl -sk https://localhost:8443/actuator/health | jq .

echo "=== NER Service ==="
curl -s http://localhost:8090/health | jq .

# Тестовый запрос с PII через Gateway
curl -X POST http://localhost:8080/v1/chat/completions \
-H "Content-Type: application/json" \
-H "Authorization: Bearer sk-or-..." \
-H "X-Tenant-Id: test-org" \
-d '{
"model": "openai/gpt-5.2",
"messages": [
{"role": "user", "content": "Перескажи: Иванов Пётр Сергеевич, паспорт 4510 123456, СНИЛС 123-456-789 00"}
]
}'

# Проверить лимиты памяти контейнера
docker stats ner-service-1

# Увеличить лимит в docker-compose.yml:
# services:
# ner-service:
# deploy:
# resources:
# limits:
# memory: 6G
# reservations:
# memory: 5G

# Если RAM на сервере ограничена — уменьшить число реплик до 1

# 1. Проверить, что Redis запущен
docker ps | grep redis

# 2. Проверить доступность
docker exec -it redis-protected redis-cli -a <password> ping
# Ожидаемый ответ: PONG

# 3. Проверить переменные окружения
# REDIS_HOST, REDIS_PORT, REDIS_PASSWORD должны совпадать

# 4. Проверить сетевую связность (Docker network)
docker network inspect <network-name>

# 1. Проверить сертификаты
openssl s_client -connect internal-gateway:8443 \
-cert client-cert.pem -key client-key.pem -CAfile ca-cert.pem

# 2. Убедиться, что:
# - Клиентский сертификат подписан тем же CA
# - CN клиентского сертификата совпадает с ожидаемым
# - Сертификаты не истекли
openssl x509 -in client-cert.pem -noout -dates
openssl x509 -in server-cert.pem -noout -dates

# 3. Проверить формат хранилища ключей (PKCS12)
keytool -list -keystore keystore.p12 -storetype PKCS12

# 1. Проверить, что External Gateway запущен
docker ps | grep external-gateway

# 2. Проверить health endpoint
curl -s http://localhost:8080/actuator/health | jq .

# 3. Проверить логи на ошибки
docker logs external-gateway --tail 100

# 4. Проверить конфигурацию NGINX upstream
# nginx.conf: proxy_pass http://external-gateway:8080;

# 1. Проверить исходящий доступ к LLM-провайдерам
curl -s https://openrouter.ai/api/v1/models | head -c 200

# 2. Проверить API-ключ
curl -s https://openrouter.ai/api/v1/models \
-H "Authorization: Bearer sk-or-..." | jq '.data | length'

# 3. Увеличить таймауты в конфигурации Gateway
# GATEWAY_LLM_TIMEOUT=120s (по умолчанию 60s)

# 4. Проверить firewall / proxy для исходящих подключений

# 1. Проверить, что Internal Gateway доступен
curl -sk https://internal-gateway:8443/actuator/health | jq .

# 2. Проверить, что NER-сервис работает
curl -s http://ner-service-1:8090/health | jq .

# 3. Тестировать NER напрямую
curl -X POST http://ner-service-1:8090/ner \
-H "Content-Type: application/json" \
-d '{"text": "Иванов Пётр, СНИЛС 123-456-789 00"}'

# 4. Проверить политики маскирования
curl -s http://localhost:8080/admin/policies \
-H "Authorization: Bearer <admin-token>" | jq .

# 5. Проверить, что запросы от Нейроключа идут через Gateway
# (OPENROUTER_API_BASE_URL должен указывать на Gateway)

# 1. Проверить статус Kafka
docker logs kafka --tail 50

# 2. Проверить топики
docker exec -it kafka kafka-topics.sh --bootstrap-server localhost:9092 --list

# 3. При необходимости пересоздать топики
docker exec -it kafka kafka-topics.sh --bootstrap-server localhost:9092 \
--create --topic masking-events --partitions 3 --replication-factor 1

# 1. Проверить текущее число подключений
docker exec -it neurokey-postgres psql -U neurokey -c \
"SELECT count(*) FROM pg_stat_activity;"

# 2. Увеличить max_connections
# В postgresql.conf или через переменную окружения:
# POSTGRES_MAX_CONNECTIONS=200

# 3. Настроить connection pooling (PgBouncer)