השרת שלי הוא עכשיו טלפון: CMF Phone 1 עם רוט החליף VPS

חובב self-hosting החליף שרת VPS קטן של Hetzner בטלפון שישב ללא שימוש במגירה. בפוסט מפורט מתאר הכותב כיצד עשה רוט ל-CMF Phone 1 והפך אותו למכונה שמריצה כעת את התשתית האישית שלו: דפדפן מרוחק, מעקב פיננסי, שירות שיתוף מסך וכמה אפליקציות ווב קטנות.

למה טלפון

המעבר התחיל מבעיית עלויות. ה-VPS היה זול, אבל סבל ממחסור במשאבים בכל פעם של-Chrome, שבשימוש בפרויקט דפדפן מרוחק בשם Surf, היה באמת מה לעשות; מכונות עם CPU ייעודי פתרו זאת, אך היו יקרות מדי לדפדפן אישי. הרכבת מחשב חדש לא הייתה בעיתוי טוב, משום שמחירי ה-DRAM גבוהים. הטלפון שכבר היה בבית מציע שמונה ליבות ARM, 8 ג'יגה-בייט זיכרון, 128 ג'יגה-בייט אחסון, Wi-Fi 6, מודם 5G וסוללה מובנית שמתנהגת כמו UPS קטן.

מ-postmarketOS ל-Termux

הניסיון הראשון — צריבת postmarketOS — הסתיים במסך פתיחה ובתצוגה שחורה, כשה-Wi-Fi, ה-Bluetooth והאצת החומרה מסומנים כשבורים. שחזור Nothing OS המקורי דרש כלי צריבה של Windows, שאותו הריץ הכותב תחילה ב-QEMU ואחר כך עבר להתקנת Windows אמיתית; בשלב מסוים הטלפון נראה כמי שננעל לחלוטין. המסקנה: ל-Android כבר יש דרייברים עובדים לכל החומרה. הניסיון השני שמר על אנדרואיד מקורי והשתמש ב-Termux כסביבת מארח: OpenSSH,‏ runit,‏ Caddy,‏ Cloudflared ו-Tailscale, ובנוסף Termux:Boot שמפעיל את השירותים לאחר אתחול. פרופיל אנדרואיד המנוהל ב-Ansible מתקין wake lock, מבטל מצבי light ו-deep idle, פוטר את האפליקציות הנדרשות מהגבלות רקע ומשאיר את ה-Wi-Fi ואת Tailscale כ-VPN תמידי פועלים.

proot, ואז chroot אמיתי

אפליקציות שנארזו כדימויים של Linux ARM64 OCI רצו תחילה תחת proot-distro — הוא אינו דורש רוט ולא קרנל מיוחד, אך מיירט פעולות קבצים ותהליכים במרחב המשתמש. עומס הדפדפן הרגיש להשהיה לא הצליח להגיע ל-CPU ביעילות בדרך זו, ולכן הכותב עשה רוט לטלפון כדי לעגן את אותה מערכת קבצים של Debian ולהיכנס אליה ב-chroot אמיתי. הדימויים מוצמדים לפי digest, ו-Ansible מאמת ומתקין אותם; תהליך עזר עם הרשאות רוט יוצר mount namespace פרטי ומנמיך הרשאות. אין Docker ואין מהדר על הטלפון.

כניסת תעבורה, נדידה ותוצאה

שירותי ה-HTTP נחשפים דרך Cloudflare Tunnel — חיבור יוצא בלבד, כך שאין צורך בכללי ניתוב נכנסים, והעברת הטלפון לרשת אחרת רק מחברת את המנהרה מחדש. דפדפן Surf המרוחק, שמסיים TLS בעצמו ושאליו מוצמד iPad ישן, עוטף את זרם ה-TLS ב-WebSocket רגיל כדי לעבור במנהרה; לפי מדידות הכותב מדובר בערך בהקפה נוספת אחת, וחיבור ה-iPad היה около 60 מ"ש. שירות דשבורד מקורי מציג CPU, זיכרון, אחסון, סוללה, טמפרטורה וזמינות בכתובת dash.cmf ברשת המקומית או ב-tailnet. מסקנת הכותב: עבור קומץ שירותים אישיים זה בהחלט הגיוני אם יש לכם טלפון ARM64 שאפשר לעשות לו רוט — אבל לא לנתונים שאין להם תחליף בלי גיבויים אוטומטיים מחוץ למכשיר.