From 1fc17225b0a0d66b01498fb9668581ee296f9dca Mon Sep 17 00:00:00 2001
From: dev <dev@local>
Date: Sun, 13 Sep 2026 00:29:41 +0300
Subject: [PATCH] fix(cloudflared): chmod 600 wg config in /tmp before wg-quick
 so WG starts regardless of host perms

---
 start-cloudflared.sh | 6 +++++-
 1 file changed, 5 insertions(+), 1 deletion(-)

diff --git a/start-cloudflared.sh b/start-cloudflared.sh
index a03c089..7d04335 100755
--- a/start-cloudflared.sh
+++ b/start-cloudflared.sh
@@ -6,8 +6,12 @@ set -e
 # cloudflared стартует сразу, как в базовой схеме Quick Tunnel.
 if [ -f /etc/wireguard/wg0.conf ]; then
   echo "WireGuard config found, bringing up wg0..."
+  # Папка wg/ смонтирована :ro, поэтому копируем в /tmp и ставим 600, чтобы
+  # wg-quick не ругался на world-accessible файл приватного ключа.
+  cp /etc/wireguard/wg0.conf /tmp/wg0.conf
+  chmod 600 /tmp/wg0.conf
   cp /etc/resolv.conf /tmp/resolv.conf.default
-  wg-quick up wg0
+  wg-quick up /tmp/wg0.conf
   # wg-quick/resolvconf перезаписывает resolv.conf (убирает docker-DNS 127.0.0.11),
   # из-за чего внутреннее имя app не резолвится. Восстанавливаем прежний конфиг.
   cat /tmp/resolv.conf.default > /etc/resolv.conf