# Pingora 直连公网入口的 systemd drop-in 模板。
# 默认 provision 只把本文件安装到 /etc/genarrative/pingora/ 作为人工启用材料；
# 需要低端口 80/443 时，才复制到：
# /etc/systemd/system/genarrative-pingora-gateway.service.d/direct-entry.conf
#
# 启用前必须同时在 /etc/genarrative/pingora-gateway.env 中显式配置：
# GENARRATIVE_PINGORA_GATEWAY_TLS_LISTEN=0.0.0.0:443
# GENARRATIVE_PINGORA_GATEWAY_HTTP_REDIRECT_LISTEN=0.0.0.0:80
# GENARRATIVE_PINGORA_GATEWAY_TLS_CERT_FILE=...
# GENARRATIVE_PINGORA_GATEWAY_TLS_KEY_FILE=...
# 证书链和私钥必须允许 genarrative 用户读取；80/443 必须先从 Nginx 或其它进程释放。

[Service]
# 仅授予非 root genarrative 用户绑定 80/443 所需的最小 capability。
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
NoNewPrivileges=true