Matrix Synapse؛ پیام‌رسان امن و مستقل برای تیم شما

Matrix فقط جایگزین یک پیام‌رسان نیست؛ ساختار باز آن امکان‌هایی می‌دهد که در پیام‌رسان‌های بسته نیست:

وقتی Matrix Synapse را در مرحلهٔ سفارش انتخاب می‌کنید، پس از روشن شدن سرور اسکریپت نصب خودکار اجرا می‌شود. این اسکریپت Docker به کار نمی‌برد؛ مخزن رسمی و امضاشدهٔ packages.matrix.org را اضافه و بستهٔ matrix-synapse-py3 را نصب می‌کند تا Synapse به‌صورت سرویس سیستمی اجرا شود و با به‌روزرسانی‌های معمول سیستم‌عامل به‌روز بماند. ارسال آمار ناشناس خاموش است و ثبت‌نام عمومی بسته.

یک فایل پیکربندی جدا در conf.d ساخته می‌شود که شنوندهٔ HTTP روی پورت ۸۰۰۸ را برای کلاینت‌ها و federation تعریف می‌کند و یک راز مشترک ۴۰ کاراکتری برای ساخت کاربر از خط فرمان دارد. اسکریپت صبر می‌کند تا API کلاینت Synapse پاسخ دهد، سپس کاربر مدیری به نام admin با رمز تصادفی ۲۰ کاراکتری می‌سازد و با همان رمز یک ورود آزمایشی انجام می‌دهد؛ اگر ورود موفق نباشد، نصب ناموفق اعلام می‌شود. این مشخصات در تب «اپلیکیشن» صفحهٔ سرور نمایش داده می‌شوند. قانون فایروال خودکار فقط پورت ۸۰۰۸ را باز می‌کند، چون Synapse در این نصب فقط روی همین پورت گوش می‌دهد؛ پورت ۸۴۴۸ برای federation را خودتان و فقط وقتی باز می‌کنید که دامنه و شنونده یا پروکسی TLS برایش آماده کرده باشید. دو نکتهٔ مهم: نام سرور برابر IP است و دیتابیس همان SQLite پیش‌فرض بسته است؛ این ترکیب برای آزمایش و تیم کوچک داخلی کار می‌کند، اما برای استفادهٔ جدی با دامنه، Synapse را از نو با دامنه و PostgreSQL نصب کنید.

مهم‌ترین تصمیم پیش از نصب، نام سرور است. معمولاً بهتر است شناسه‌ها روی دامنهٔ اصلی باشند، مثل @ali:example.com، در حالی که خود Synapse روی زیردامنه‌ای مثل matrix.example.com اجرا شود. این کار با delegation انجام می‌شود: روی دامنهٔ اصلی دو فایل کوچک در مسیر .well-known/matrix منتشر می‌کنید که به کلاینت‌ها و سرورهای دیگر می‌گویند Synapse کجاست.

برای HTTPS، رکورد matrix.example.com را در مدیریت DNS به IP سرور اشاره دهید و یک nginx با گواهی Let’s Encrypt روی سرور بگذارید که درخواست‌های ۴۴۳ را به ۸۰۰۸ برساند؛ Nginx Proxy Manager این کار را با رابط گرافیکی انجام می‌دهد. پس از آن پورت ۸۰۰۸ را در فایروال شبکه ببندید. سرورهای دیگر به‌طور پیش‌فرض روی پورت ۸۴۴۸ وصل می‌شوند، مگر اینکه با delegation آن‌ها را به ۴۴۳ هدایت کنید. نصب خودکار ۸۴۴۸ را باز نمی‌کند؛ اگر federation را بدون delegation می‌خواهید، پس از راه‌اندازی دامنه و TLS این پورت را دستی در فایروال باز کنید.

مصرف Synapse بیش از تعداد کاربران، به اتاق‌هایی بستگی دارد که کاربران در آن‌ها عضوند. تیمی که فقط در اتاق‌های داخلی خودش گفت‌وگو می‌کند با حافظهٔ کم راحت است، اما عضویت در یک اتاق عمومی بزرگ روی سرورهای دیگر یعنی Synapse باید وضعیت هزاران عضو را دنبال کند و حافظه و پردازنده‌اش ناگهان بالا می‌رود. هر bridge هم چند صد مگابایت اضافه می‌خواهد.

هزینه ساعتی از کیف پول کسر می‌شود و هر زمان می‌توانید پلن را تغییر دهید. فایل‌ها و تصاویر ارسالی روی دیسک سرور ذخیره می‌شوند و هر سرور ۵۰ گیگابایت ترافیک ماهانه دارد.

انتخاب پیام‌رسان سازمانی به نیاز اصلی شما بستگی دارد:

نصب خودکار در مرحلهٔ سفارش، Synapse را با نام سرور برابر IP و SQLite آماده می‌کند؛ برای آزمایش و گفت‌وگوی داخلی همین کافی است. اگر شناسه‌ها باید روی دامنهٔ سازمان باشند و federation با سرورهای دیگر می‌خواهید، روی یک سرور تازه این ترتیب را دستی دنبال کنید؛ ترتیب مهم است، چون نام سرور در قدم سوم ثابت می‌شود:

انتقال یک تیم از پیام‌رسان دیگر معمولاً تدریجی است. تاریخچهٔ پیام‌رسان‌های بسته به‌طور کامل قابل وارد کردن نیست؛ راه عملی این است که برای دورهٔ گذار یک bridge بگذارید تا گروه‌های قدیمی و اتاق‌های Matrix هم‌زمان پیام بگیرند و اعضا کم‌کم به کلاینت تازه عادت کنند. پیش از دعوت همه، ساختار اتاق‌ها را بچینید: یک فضا برای سازمان، اتاق‌های اعلانات، تیم‌ها و گفت‌وگوی آزاد.

اگر Synapse را از سرور دیگری به ایران‌کلاد می‌آورید، نام سرور باید همان بماند. دیتابیس، پوشهٔ رسانه و کلید امضای سرور را منتقل کنید، سپس رکورد DNS را به IP تازه تغییر دهید. سرورهای دیگر تفاوتی حس نمی‌کنند، چون هویت سرور به نام و کلیدش بسته است، نه به IP.

ثبت‌نام عمومی را بسته نگه دارید؛ سرورهای Matrix با ثبت‌نام باز هدف ساخت حساب‌های هرزنامه‌اند. کاربران را مدیر بسازد یا از توکن‌های ثبت‌نام محدود استفاده کنید. راز مشترک ثبت‌نام اجازهٔ ساخت هر کاربری، حتی مدیر، را می‌دهد؛ آن را فقط روی سرور نگه دارید.

رمزنگاری سرتاسری از محتوا محافظت می‌کند، اما فراداده مثل اینکه چه کسی در کدام اتاق است و چه زمانی پیام داده، روی سرور قابل دیدن است. دسترسی SSH را به کلید محدود کنید، Synapse را مرتب به‌روز نگه دارید و اگر federation لازم ندارید، آن را به دامنه‌های مشخص محدود کنید.

برای بازسازی کامل سرور سه چیز لازم است: دیتابیس، پوشهٔ رسانه‌ها و کلید امضای سرور که در پوشهٔ پیکربندی Synapse است. بدون کلید امضا، سرورهای دیگر سرور بازسازی‌شده را نمی‌شناسند. دیتابیس PostgreSQL را با pg_dump و فایل‌ها را جداگانه بیرون از سرور نگه دارید. بکاپ خودکار روزانه برای سرورها نداریم؛ snapshot کامل سرور را دستی از تب بکاپ پنل می‌سازید و هر گیگابایت آن ساعتی ۲ تومان هزینه دارد. جزئیات در پشتیبان‌گیری.

نصب خودکار Synapse فقط هنگام سفارش سرور تازه انجام می‌شود، نام سرور را IP می‌گذارد و HTTPS راه نمی‌اندازد؛ پس بدون نصب از نو با دامنه، federation با سرورهای دیگر عملاً کار نمی‌کند. کلاینت Element وب، TURN برای تماس و bridge‌ها جداگانه نصب می‌شوند. ارتباط با برخی سرورهای خارجی و سرویس اعلان موبایل ممکن است از شبکهٔ ایران محدود باشد و اعلان‌های گوشی را با تأخیر برساند.