RU → DE / NL → OpenAI

Codex через ru.dobrochan.ru

HTTPS/WebSocket bridge для модели и встроенных Apps/MCP. Без HTTP proxy, SOCKS и CONNECT. Локальные MCP остаются локальными.

Новый адрес и маршрут

Вход в relay и загрузки находятся на ru.dobrochan.ru. Сайт и серверная часть работают в Kubernetes. Запрос приходит на RU, проходит по внутренней сети WireGuard на DE и оттуда в OpenAI. NL служит резервным выходом при недоступности relay на DE. Ответ возвращается тем же соединением через RU.

Для перехода со старого адреса повторно запустите установщик ниже и перезапустите Codex. Он заменит relay на версию 1.3.0. Авторизация и локальный сертификат сохраняются. В Docker скачайте новый архив и выполните docker compose build --no-cache в прежнем проекте Compose, чтобы сохранить существующий volume.

Проверка доступности маршрута: /relay-health. Поле egress показывает выбранный сервер. При обрыве активного потока запрос нужно повторить в Codex.

Docker: Codex с готовыми настройками

Установите Docker с Compose, скачайте архив для Docker и распакуйте его. Откройте терминал в распакованной папке:

docker compose build
docker compose run --rm codex

В образе закреплён Codex 0.159.3. Первый запуск предложит вход по коду через официальный сайт OpenAI. Авторизация и история сохраняются в Docker volume. Для работы с проектом задайте в файле .env рядом с Compose: CODEX_WORKSPACE=/полный/путь/к/проекту (Windows: C:/Users/Name/project).

Локальный HTTPS relay уже настроен внутри контейнера. Устанавливать Codex, сертификат или relay на компьютер отдельно не нужно. Первичная сборка требует доступа к Docker Hub, Debian и npm. Браузер для входа должен открывать официальный сайт OpenAI; можно использовать другое устройство.

Изоляцию команд обеспечивает Docker; вложенная песочница Codex отключена. Агент может изменять выбранную папку проекта. Другие папки компьютера и Docker socket в контейнер не подключаются.

Полная инструкция Docker · SHA-256 архива. Локальные MCP нужно устанавливать в контейнере; Telegram-мост хоста в образ не входит.

Установка без Docker — relay 1.3.0

Локальная конфигурация сохраняет поддержку Codex CLI 0.157.0 и Docker с Codex 0.159.3. Эта версия Codex требует HTTPS даже для локального backend. Повторно запустите установщик, если видите workspace backend must use an HTTPS origin without credentials. Права администратора не нужны.

macOS или Linux:

curl --noproxy '*' -fsSLO https://ru.dobrochan.ru/codex/downloads/install.sh
sh install.sh

Windows PowerShell:

Invoke-WebRequest https://ru.dobrochan.ru/codex/downloads/install.ps1 -OutFile install.ps1
powershell -ExecutionPolicy Bypass -File .\install.ps1

Установщик проверяет SHA-256, настраивает config.toml, включает автозапуск bridge и сохраняет адреса обновления авторизации. После установки откройте новый терминал и полностью перезапустите Codex. На Linux настройки загружаются и в обычных терминалах Bash/Zsh; выход из системы для них не требуется. Для приложений, запущенных с рабочего стола, и на Windows может потребоваться выход и повторный вход в системную сессию.

Если до установки уже работал фоновый сервер Codex, в новом терминале выполните codex app-server daemon restart, предварительно завершив текущую работу в Codex. Это обновит настройки сертификата и авторизации у фонового процесса.

Первый вход на новом устройстве

Если Codex ещё не авторизован и прямой доступ к OpenAI заблокирован, запустите официальный device-code flow через bridge:

macOS или Linux:

~/.local/bin/dobrochan-codex-relay login

Windows PowerShell:

& "$env:LOCALAPPDATA\Programs\Dobrochan\CodexRelay\dobrochan-codex-relay-https.exe" login

Откройте https://auth.openai.com/codex/device в любом доверенном браузере — можно на другом устройстве — и введите показанный код. API-запросы выдачи и проверки device code идут через relay. Пароль OpenAI вводится только на официальном домене OpenAI и не проходит через dobrochan.ru.

Сам Codex дополнительно напечатает loopback-ссылку. Используйте официальный адрес выше; код из терминала тот же.

Скачать вручную

macOS Apple Silicon (arm64) Intel (amd64)

Linux ARM64 AMD64

Windows ARM64 AMD64

SHA-256 checksums

Что настраивает установщик

Codex подключается только к loopback:

openai_base_url = "https://127.0.0.1:43129/backend-api/codex"
chatgpt_base_url = "https://127.0.0.1:43129/backend-api/"

Bridge слушает только 127.0.0.1:43129, читает актуальную авторизацию из локального CODEX_HOME/auth.json и открывает обычное HTTPS/WSS-соединение к ru.dobrochan.ru. Токены, промпты, тела ответов и MCP payload не логируются.

Установщик создаёт уникальный сертификат на вашем устройстве и задаёт CODEX_CA_CERTIFICATE с путём к ~/.codex/dobrochan-relay/tls/ca.pem (либо внутри вашего CODEX_HOME). Проверка TLS остаётся включённой. Не копируйте закрытый ключ на другие компьютеры. На Linux установщик добавляет загрузку переменных в ~/.profile, ~/.bashrc и ~/.zshenv (учитывает ZDOTDIR), а также в существующие файлы входа Bash. После обновления откройте новый терминал и полностью перезапустите Codex.

Старый HTTP-порт 43128 при обновлении не отключается: ранее запущенные сессии могут закончить работу. Новые сессии используют HTTPS-порт 43129.

Удалите старые HTTP_PROXY, HTTPS_PROXY, ALL_PROXY, NO_PROXY и их варианты в нижнем регистре, если они были заданы. Новая схема proxy-переменные не использует.

Как проходит трафик

Codex → локальный bridge: HTTPS/WSS только внутри loopback.
Bridge → ru.dobrochan.ru: обычный HTTPS/WSS на порту 443.
RU → DE (резерв NL): внутренняя сеть Kubernetes поверх WireGuard.
DE или NL → OpenAI: модель, авторизация и встроенные Apps/MCP. Ответ возвращается через RU.
Локальные STDIO MCP запускаются как раньше и через bridge не проходят.
Сторонние удалённые MCP с собственным URL работают напрямую; это не обращения к OpenAI.

Серверы выхода не публикуют отдельный внешний порт relay. Проверка TLS до OpenAI включена. Сторонние сервисы с собственными адресами сохраняют свои маршруты.

Проверка

Полностью перезапустите Codex.
macOS/Linux: выполните curl --cacert "${CODEX_HOME:-$HOME/.codex}/dobrochan-relay/tls/ca.pem" https://127.0.0.1:43129/relay-health — ожидается JSON с "ok":true и версией 1.3.0. В браузере сертификат автоматически не доверяется — это нормально, доверие задано только для Codex.
Отправьте обычный запрос модели.
Вызовите подключённый удалённый MCP, например GitHub search.
Если health endpoint недоступен, перезапустите службу dobrochan-codex-relay-https (macOS: launchctl kickstart -k gui/$(id -u)/ru.dobrochan.codex-relay-https).

После входа обновление токена Codex проходит через bridge. Официальная справка: настройка MCP в Codex.