Add Ansible playbook for Site A FRR configuration on VMs

Разворачивает FRR на a1/a2/a3 (площадка A) через Ansible вместо Docker-лабы, для реальных ВМ. Provisioning ВМ (3 NIC: внешний + 2 приватных) — Terraform, вне рамок этой задачи; playbook создаёт только dummy0 (netplan) и конфигурирует FRR. - ansible/site-a.env — единственный источник site-A-специфичных значений (ASN, anycast-префикс, router-id/BGP-соседи по узлам, имена интерфейсов); роль frr_anycast полностью параметризована - ansible/roles/frr_anycast — задачи, handlers (netplan apply перед restart frr), шаблоны frr.conf.j2/daemons.j2/dummy0.netplan.yml.j2 - ansible/tests/render-check.sh — офлайн golden-diff проверка рендера конфигов против уже провалидированных в Docker-лабе frr/a{1,2,3}/ (ВМ ещё не подняты, функциональный тест недоступен) - README.md — раздел «Развёртывание площадки A на ВМ (Ansible)» - docs/ — план и summary изменения Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Bc3HkMiDwooSyLBLoMKNyF
2026-09-03 14:14:04 +03:00
1 parent eaa577e6b7
commit 98f9f502ce
@@ -0,0 +1,2 @@
+venv/
+*.retry
@@ -82,3 +82,47 @@ docker compose exec -T c1 curl -s http://10.200.200.1/

 - Линки между A и B заведены как `/29` (не `/30`, как в hld.md буквально) — Docker резервирует первый адрес подсети под gateway моста даже для `internal: true`-сетей, поэтому реальным peering-адресам (`.1`/`.2`, как в hld.md) нужно место рядом с ним. IP-адресация роутеров и логика BGP при этом полностью соответствуют hld.md.
 - ECMP-балансировка на b1/b2 требует `net.ipv4.fib_multipath_hash_policy=1` (в `docker-compose.yml`) — по умолчанию (`0`) Linux хеширует next-hop только по src/dst IP, без учёта портов, из-за чего один клиент всегда попадал бы в один и тот же anycast-узел.
+
+## Развёртывание площадки A на ВМ (Ansible)
+
+`ansible/` — playbook для конфигурации FRR на реальных ВМ площадки A (a1/a2/a3), продолжение того же HLD, но не в Docker, а «в проде». Provisioning ВМ (создание, 3 сетевых интерфейса: 1 внешний/управляющий + 2 приватных к B1/B2) выполняется отдельным Terraform-сценарием (вне рамок этого репозитория) — приватные интерфейсы уже сконфигурированы к моменту запуска playbook; Ansible создаёт `dummy0` (anycast) и разворачивает FRR.
+
+Все специфичные для площадки A значения (ASN, anycast-префикс, router-id и BGP-соседи каждой ноды, имена интерфейсов, SSH-доступ) вынесены в единый файл переменных окружения `ansible/site-a.env` — сама роль `frr_anycast` полностью параметризована и не содержит захардкоженных адресов/ASN. `frr.conf.j2` при рендере воспроизводит уже проверенную в Docker-лабе BGP-конфигурацию (`frr/a{1,2,3}/frr.conf`), за вычетом блока `interface dummy0` — в VM-варианте этот адрес назначается через netplan (`dummy0.netplan.yml.j2`), а не через frr.conf.
+
+Детали: [docs/2026-09-03-ansible-site-a-plan.md](docs/2026-09-03-ansible-site-a-plan.md) / [docs/2026-09-03-ansible-site-a-summary.md](docs/2026-09-03-ansible-site-a-summary.md).
+
+### Структура
+
+```
+ansible/
+├── site-a.env                 источник всех site-A-специфичных значений
+├── run.sh                     source site-a.env + ansible-playbook
+├── inventory/site-a.yml       a1/a2/a3, ansible_host из lookup('env', 'A{N}_MGMT_IP')
+├── group_vars/site_a.yml      site-wide переменные (ASN, anycast-префикс, интерфейсы)
+├── host_vars/{a1,a2,a3}.yml   per-node переменные (router-id, BGP-соседи)
+├── site-a.yml                 playbook (role: frr_anycast)
+├── roles/frr_anycast/         задачи, handlers, шаблоны (daemons.j2, frr.conf.j2, dummy0.netplan.yml.j2)
+└── tests/render-check.sh      офлайн-проверка шаблонов без реальных ВМ (см. ниже)
+```
+
+### Запуск
+
+```bash
+cd ansible
+./run.sh site-a.yml                 # применить конфигурацию к a1/a2/a3
+./run.sh site-a.yml --check --diff  # сухой прогон
+```
+
+Если `ansible-playbook` не установлен в системе — поставить локально в venv, не трогая системный Python: `python3 -m venv venv && venv/bin/pip install ansible` (каталог `venv/` в `.gitignore`, не коммитится); `run.sh` сам подхватит `venv/bin/ansible-playbook`, если он есть.
+
+### Проверка без живых ВМ
+
+На момент подготовки playbook ВМ площадки A ещё не подняты (Terraform-провижининг — отдельный шаг), поэтому функциональная проверка (`vtysh`, реальный apply) не выполнялась и не входит в текущую поставку. Доступна и выполнена офлайн-проверка:
+
+```bash
+ansible/run.sh site-a.yml --syntax-check    # синтаксис
+ansible/tests/render-check.sh               # golden-diff: рендер frr.conf/daemons для a1/a2/a3
+                                             # сравнивается с уже работавшими в Docker-лабе frr/a{1,2,3}/
+```
+
+После того как Terraform поднимет ВМ — реальный прогон `./run.sh site-a.yml`, затем те же `vtysh`-команды, что и в разделе «[Проверка окружения](#проверка-окружения)» выше (заменить `docker compose exec -T <node> vtysh ...` на `ssh <node> vtysh ...` или `ansible site_a -m command -a "vtysh -c 'show bgp summary'"`).
@@ -0,0 +1,9 @@
+[defaults]
+inventory = inventory/site-a.yml
+host_key_checking = False
+retry_files_enabled = False
+stdout_callback = yaml
+
+[privilege_escalation]
+become = True
+become_method = sudo
@@ -0,0 +1,8 @@
+# Site-wide переменные площадки A — тонкий адаптер над ansible/site-a.env.
+# Ничего site-специфичного не хардкодится: только имена ключей env-файла.
+site_a_asn: "{{ lookup('env', 'SITE_A_ASN') }}"
+anycast_prefix: "{{ lookup('env', 'ANYCAST_PREFIX') }}"
+dummy_iface: "{{ lookup('env', 'DUMMY_IFACE') | default('dummy0', true) }}"
+priv1_iface: "{{ lookup('env', 'PRIV1_IFACE') }}"
+priv2_iface: "{{ lookup('env', 'PRIV2_IFACE') }}"
+frr_apt_series: "{{ lookup('env', 'FRR_APT_SERIES') | default('frr-stable', true) }}"
@@ -0,0 +1,6 @@
+# Per-node адаптер над ansible/site-a.env (префикс A1_*).
+router_id: "{{ lookup('env', 'A1_ROUTER_ID') }}"
+neighbor_b1_ip: "{{ lookup('env', 'A1_NEIGHBOR_B1_IP') }}"
+neighbor_b1_asn: "{{ lookup('env', 'A1_NEIGHBOR_B1_ASN') }}"
+neighbor_b2_ip: "{{ lookup('env', 'A1_NEIGHBOR_B2_IP') }}"
+neighbor_b2_asn: "{{ lookup('env', 'A1_NEIGHBOR_B2_ASN') }}"
@@ -0,0 +1,6 @@
+# Per-node адаптер над ansible/site-a.env (префикс A2_*).
+router_id: "{{ lookup('env', 'A2_ROUTER_ID') }}"
+neighbor_b1_ip: "{{ lookup('env', 'A2_NEIGHBOR_B1_IP') }}"
+neighbor_b1_asn: "{{ lookup('env', 'A2_NEIGHBOR_B1_ASN') }}"
+neighbor_b2_ip: "{{ lookup('env', 'A2_NEIGHBOR_B2_IP') }}"
+neighbor_b2_asn: "{{ lookup('env', 'A2_NEIGHBOR_B2_ASN') }}"
@@ -0,0 +1,6 @@
+# Per-node адаптер над ansible/site-a.env (префикс A3_*).
+router_id: "{{ lookup('env', 'A3_ROUTER_ID') }}"
+neighbor_b1_ip: "{{ lookup('env', 'A3_NEIGHBOR_B1_IP') }}"
+neighbor_b1_asn: "{{ lookup('env', 'A3_NEIGHBOR_B1_ASN') }}"
+neighbor_b2_ip: "{{ lookup('env', 'A3_NEIGHBOR_B2_IP') }}"
+neighbor_b2_asn: "{{ lookup('env', 'A3_NEIGHBOR_B2_ASN') }}"
@@ -0,0 +1,13 @@
+all:
+  children:
+    site_a:
+      hosts:
+        a1:
+          ansible_host: "{{ lookup('env', 'A1_MGMT_IP') }}"
+        a2:
+          ansible_host: "{{ lookup('env', 'A2_MGMT_IP') }}"
+        a3:
+          ansible_host: "{{ lookup('env', 'A3_MGMT_IP') }}"
+      vars:
+        ansible_user: "{{ lookup('env', 'SSH_USER') }}"
+        ansible_ssh_private_key_file: "{{ lookup('env', 'SSH_PRIVATE_KEY_FILE') }}"
@@ -0,0 +1,15 @@
+---
+# Не site-специфичные дефолты роли (пакеты, пути). Все site-A-специфичные
+# значения приходят из group_vars/host_vars (см. ansible/site-a.env).
+frr_packages:
+  - frr
+  - frr-pythontools
+
+frr_daemons_enabled:
+  - zebra
+  - bgpd
+  - staticd
+
+frr_conf_path: /etc/frr/frr.conf
+frr_daemons_path: /etc/frr/daemons
+netplan_dummy_config_path: /etc/netplan/90-anycast-dummy0.yaml
@@ -0,0 +1,13 @@
+---
+# Порядок важен: Ansible исполняет handlers в порядке ИХ ОБЪЯВЛЕНИЯ здесь,
+# а не в порядке notify. "Apply netplan" должен отработать раньше "Restart
+# frr", иначе dummy0 (и anycast-адрес на нём) ещё не будет существовать к
+# моменту старта zebra/bgpd.
+- name: Apply netplan
+  ansible.builtin.command: netplan apply
+  changed_when: true
+
+- name: Restart frr
+  ansible.builtin.systemd:
+    name: frr
+    state: restarted
@@ -0,0 +1,68 @@
+---
+- name: Pre-flight | приватные интерфейсы должны быть уже сконфигурированы Terraform-слоем
+  ansible.builtin.assert:
+    that:
+      - priv1_iface in ansible_facts.interfaces
+      - priv2_iface in ansible_facts.interfaces
+      - ansible_facts[priv1_iface]['active'] | default(false)
+      - ansible_facts[priv2_iface]['active'] | default(false)
+    fail_msg: >-
+      Интерфейсы {{ priv1_iface }}/{{ priv2_iface }} не найдены или не активны.
+      Ожидается, что Terraform-провижининг уже создал и поднял их до запуска
+      этого playbook.
+    success_msg: "Приватные интерфейсы {{ priv1_iface }} и {{ priv2_iface }} на месте."
+
+- name: FRR APT-репозиторий | добавить GPG-ключ
+  ansible.builtin.get_url:
+    url: https://deb.frrouting.org/frr/keys.gpg
+    dest: /usr/share/keyrings/frrouting.gpg
+    mode: "0644"
+
+- name: FRR APT-репозиторий | добавить источник пакетов
+  ansible.builtin.apt_repository:
+    repo: >-
+      deb [signed-by=/usr/share/keyrings/frrouting.gpg]
+      https://deb.frrouting.org/frr {{ ansible_distribution_release }} {{ frr_apt_series }}
+    filename: frr
+    state: present
+    update_cache: true
+
+- name: Установить пакеты FRR
+  ansible.builtin.apt:
+    name: "{{ frr_packages }}"
+    state: present
+
+- name: Конфиг | /etc/frr/daemons
+  ansible.builtin.template:
+    src: daemons.j2
+    dest: "{{ frr_daemons_path }}"
+    owner: frr
+    group: frr
+    mode: "0640"
+  notify: Restart frr
+
+- name: Конфиг | /etc/frr/frr.conf
+  ansible.builtin.template:
+    src: frr.conf.j2
+    dest: "{{ frr_conf_path }}"
+    owner: frr
+    group: frr
+    mode: "0640"
+  notify: Restart frr
+
+- name: Сеть | netplan-конфиг для dummy0 (anycast)
+  ansible.builtin.template:
+    src: dummy0.netplan.yml.j2
+    dest: "{{ netplan_dummy_config_path }}"
+    owner: root
+    group: root
+    mode: "0600"
+  notify:
+    - Apply netplan
+    - Restart frr
+
+- name: FRR | сервис включён и запущен
+  ansible.builtin.systemd:
+    name: frr
+    enabled: true
+    state: started
@@ -0,0 +1,25 @@
+zebra=yes
+bgpd=yes
+ospfd=no
+ospf6d=no
+ripd=no
+ripngd=no
+isisd=no
+pimd=no
+pim6d=no
+ldpd=no
+nhrpd=no
+eigrpd=no
+babeld=no
+sharpd=no
+pbrd=no
+bfdd=no
+fabricd=no
+vrrpd=no
+pathd=no
+staticd=yes
+
+vtysh_enable=yes
+zebra_options="  -A 127.0.0.1 -s 90000000"
+bgpd_options="   -A 127.0.0.1"
+staticd_options="-A 127.0.0.1"
@@ -0,0 +1,6 @@
+network:
+  version: 2
+  dummy-devices:
+    {{ dummy_iface }}:
+      addresses:
+        - {{ anycast_prefix }}
@@ -0,0 +1,20 @@
+frr version 8.5
+frr defaults traditional
+hostname {{ inventory_hostname }}
+log stdout informational
+no ipv6 forwarding
+!
+router bgp {{ site_a_asn }}
+ bgp router-id {{ router_id }}
+ no bgp ebgp-requires-policy
+ neighbor {{ neighbor_b1_ip }} remote-as {{ neighbor_b1_asn }}
+ neighbor {{ neighbor_b2_ip }} remote-as {{ neighbor_b2_asn }}
+ !
+ address-family ipv4 unicast
+  network {{ anycast_prefix }}
+  neighbor {{ neighbor_b1_ip }} activate
+  neighbor {{ neighbor_b2_ip }} activate
+ exit-address-family
+!
+line vty
+!
@@ -0,0 +1,27 @@
+#!/bin/sh
+# Загружает site-a.env в environment и вызывает ansible-playbook.
+# Использование: ./run.sh site-a.yml [доп. аргументы ansible-playbook]
+set -e
+
+cd "$(dirname "$0")"
+
+ENV_FILE="${SITE_A_ENV_FILE:-site-a.env}"
+if [ ! -f "$ENV_FILE" ]; then
+  echo "Не найден файл переменных окружения: $ENV_FILE" >&2
+  exit 1
+fi
+
+set -a
+# shellcheck disable=SC1090
+. "./$ENV_FILE"
+set +a
+
+PLAYBOOK="${1:-site-a.yml}"
+shift 2>/dev/null || true
+
+ANSIBLE_PLAYBOOK_BIN="ansible-playbook"
+if [ -x "../venv/bin/ansible-playbook" ]; then
+  ANSIBLE_PLAYBOOK_BIN="../venv/bin/ansible-playbook"
+fi
+
+exec "$ANSIBLE_PLAYBOOK_BIN" -i inventory/site-a.yml "$PLAYBOOK" "$@"
@@ -0,0 +1,42 @@
+# Все специфичные для площадки A параметры разворачивания (hld.md).
+# Источник истины: значения из этого файла и только из него подставляются
+# в шаблоны роли frr_anycast — сама роль site-специфичных значений не содержит.
+#
+# Использование: ./run.sh site-a.yml [доп. аргументы ansible-playbook]
+# (run.sh делает `set -a; source site-a.env; set +a` перед вызовом ansible-playbook)
+
+# --- site-wide ---
+SITE_A_ASN=65001
+ANYCAST_PREFIX=10.200.200.1/32
+DUMMY_IFACE=dummy0
+PRIV1_IFACE=ens7          # интерфейс к B1 на всех A-нодах (имя задаёт Terraform-провижининг)
+PRIV2_IFACE=ens8          # интерфейс к B2
+FRR_APT_SERIES=frr-8      # ветка репозитория deb.frrouting.org
+
+# SSH/подключение (пользователь и ключ, которые Terraform выдал ВМ при создании)
+SSH_USER=ansible
+SSH_PRIVATE_KEY_FILE=~/.ssh/site-a-deploy
+
+# --- per-node: A1 (bgp router-id 10.0.0.1) ---
+A1_MGMT_IP=192.168.100.11
+A1_ROUTER_ID=10.0.0.1
+A1_NEIGHBOR_B1_IP=10.0.1.2
+A1_NEIGHBOR_B1_ASN=65002
+A1_NEIGHBOR_B2_IP=10.0.2.2
+A1_NEIGHBOR_B2_ASN=65003
+
+# --- per-node: A2 (bgp router-id 10.0.0.2) ---
+A2_MGMT_IP=192.168.100.12
+A2_ROUTER_ID=10.0.0.2
+A2_NEIGHBOR_B1_IP=10.0.3.2
+A2_NEIGHBOR_B1_ASN=65002
+A2_NEIGHBOR_B2_IP=10.0.4.2
+A2_NEIGHBOR_B2_ASN=65003
+
+# --- per-node: A3 (bgp router-id 10.0.0.3) ---
+A3_MGMT_IP=192.168.100.13
+A3_ROUTER_ID=10.0.0.3
+A3_NEIGHBOR_B1_IP=10.0.5.2
+A3_NEIGHBOR_B1_ASN=65002
+A3_NEIGHBOR_B2_IP=10.0.6.2
+A3_NEIGHBOR_B2_ASN=65003
@@ -0,0 +1,6 @@
+---
+- name: Configure Site A FRR anycast routers
+  hosts: site_a
+  become: true
+  roles:
+    - frr_anycast
@@ -0,0 +1,49 @@
+#!/bin/sh
+# Офлайн-проверка шаблонов роли frr_anycast: рендерит frr.conf/daemons для
+# a1/a2/a3 (только control node, реальные ВМ не нужны) и сравнивает с уже
+# проверенными в Docker-лабе golden-файлами frr/a{1,2,3}/{frr.conf,daemons}.
+set -e
+cd "$(dirname "$0")/.."   # -> ansible/
+
+ENV_FILE="${SITE_A_ENV_FILE:-site-a.env}"
+if [ ! -f "$ENV_FILE" ]; then
+  echo "Не найден файл переменных окружения: $ENV_FILE" >&2
+  exit 1
+fi
+
+set -a
+# shellcheck disable=SC1090
+. "./$ENV_FILE"
+set +a
+
+OUT_DIR="$(mktemp -d)"
+trap 'rm -rf "$OUT_DIR"' EXIT
+
+ansible-playbook -i inventory/site-a.yml tests/render-test.yml -e "render_out_dir=$OUT_DIR" 2>&1 | cat
+
+STATUS=0
+for n in a1 a2 a3; do
+  for f in frr.conf daemons; do
+    golden="../frr/$n/$f"
+    rendered="$OUT_DIR/$n/$f"
+    # frr.conf в Docker-лабе включает "interface dummy0 / ip address ...":
+    # там его назначает zebra. В VM-варианте тот же адрес назначается через
+    # netplan (dummy0.netplan.yml.j2), поэтому в frr.conf.j2 блока нет —
+    # это осознанное расхождение (см. Context плана), исключаем его перед diff.
+    if [ "$f" = "frr.conf" ]; then
+      golden_cmp="$OUT_DIR/.golden-$n-$f"
+      sed '/^interface dummy0$/,/^!$/d' "$golden" > "$golden_cmp"
+    else
+      golden_cmp="$golden"
+    fi
+    if diff -u "$golden_cmp" "$rendered" >/tmp/render-check.diff 2>&1; then
+      echo "OK    $n/$f совпадает с $golden (за вычетом дизайн-отличия dummy0, см. выше)"
+    else
+      echo "FAIL  $n/$f отличается от $golden:"
+      cat /tmp/render-check.diff
+      STATUS=1
+    fi
+  done
+done
+
+exit "$STATUS"
@@ -0,0 +1,32 @@
+---
+# Рендерит шаблоны роли frr_anycast локально (без SSH и без реальных ВМ) —
+# используется render-check.sh для сверки с golden-файлами frr/a{1,2,3}/.
+- name: "Render-only test шаблонов frr_anycast"
+  hosts: site_a
+  connection: local
+  gather_facts: false
+  become: false
+  tasks:
+    # group_vars/host_vars авто-подгружаются относительно каталога playbook'а
+    # или inventory; render-test.yml лежит в tests/, поэтому подключаем явно.
+    - name: Подключить site-wide переменные (group_vars/site_a.yml)
+      ansible.builtin.include_vars: "{{ playbook_dir }}/../group_vars/site_a.yml"
+
+    - name: Подключить per-node переменные (host_vars/{{ inventory_hostname }}.yml)
+      ansible.builtin.include_vars: "{{ playbook_dir }}/../host_vars/{{ inventory_hostname }}.yml"
+
+    - name: Создать выходную директорию для хоста
+      ansible.builtin.file:
+        path: "{{ render_out_dir }}/{{ inventory_hostname }}"
+        state: directory
+        mode: "0755"
+
+    - name: Рендер frr.conf
+      ansible.builtin.template:
+        src: "{{ playbook_dir }}/../roles/frr_anycast/templates/frr.conf.j2"
+        dest: "{{ render_out_dir }}/{{ inventory_hostname }}/frr.conf"
+
+    - name: Рендер daemons
+      ansible.builtin.template:
+        src: "{{ playbook_dir }}/../roles/frr_anycast/templates/daemons.j2"
+        dest: "{{ render_out_dir }}/{{ inventory_hostname }}/daemons"
@@ -0,0 +1,22 @@
+# План внедрения: Ansible playbook для настройки площадки A
+
+**Дата:** 2026-09-03
+
+## Цель
+
+Ansible playbook для конфигурации FRR на ВМ площадки A (a1/a2/a3), полностью параметризованный через файл переменных окружения `ansible/site-a.env`. Provisioning ВМ (3 сетевых интерфейса: 1 внешний + 2 приватных) выполняется отдельным Terraform-сценарием вне рамок этой задачи — приватные интерфейсы и IP на них уже сконфигурированы к моменту запуска playbook; playbook создаёт только `dummy0` (anycast) и разворачивает FRR.
+
+Полный план (архитектура, структура каталогов, содержимое `site-a.env`, шаблон `frr.conf.j2`, задачи роли, handlers, файлы, проверка) согласован с пользователем в чате — см. историю диалога. Ключевые решения:
+
+- Сеть: **netplan**, приватные интерфейсы предзаданы Terraform'ом, `dummy0` создаёт Ansible.
+- Все site-A-специфичные значения (ASN, anycast-префикс, router-id, BGP-соседи, имена интерфейсов) — в `ansible/site-a.env`, роль `frr_anycast` полностью generic.
+- `frr.conf.j2` при рендере для a1/a2/a3 должен побайтово соответствовать уже проверенным в Docker-лабе `frr/a{1,2,3}/frr.conf`.
+- **ВМ площадки A не подняты** — функциональная проверка (`vtysh`, реальный apply) невозможна и не входит в эту задачу; проверяется синтаксис + рендеринг шаблонов (golden-file diff против `frr/a{1,2,3}/frr.conf`).
+- Ansible уже установлен системно (2.14.18) — venv не потребовался (был бы создан в `venv/` при отсутствии).
+
+## Definition of done
+
+- `ansible/` с playbook, ролью `frr_anycast`, inventory, group_vars/host_vars, `site-a.env`, `run.sh`.
+- `ansible-playbook --syntax-check` проходит.
+- `ansible/tests/render-check.sh` подтверждает: рендер `frr.conf.j2` для a1/a2/a3 совпадает с `frr/a{1,2,3}/frr.conf`.
+- README и summary обновлены.
@@ -0,0 +1,37 @@
+# Summary: Ansible playbook для настройки площадки A
+
+**Дата:** 2026-09-03
+**План:** [2026-09-03-ansible-site-a-plan.md](2026-09-03-ansible-site-a-plan.md)
+
+## Что сделано
+
+Создан `ansible/` — playbook + роль `frr_anycast` для конфигурации FRR на ВМ площадки A (a1/a2/a3). Provisioning ВМ (3 NIC: 1 внешний + 2 приватных) — Terraform, вне рамок этой задачи; playbook создаёт только `dummy0` (netplan) и разворачивает FRR.
+
+**Параметризация подтверждена практически, а не только на словах**: единственный источник site-A-специфичных значений — `ansible/site-a.env` (плоский `KEY=VALUE`). Цепочка `env → group_vars/site_a.yml + host_vars/a{1,2,3}.yml (lookup('env', ...)) → роль frr_anycast → шаблоны` — ни один IP/ASN/router-id не захардкожен ни в роли, ни в `frr.conf.j2`/`daemons.j2`/`dummy0.netplan.yml.j2`.
+
+Ansible оказался уже установлен системно (core 2.14.18) — venv по плану не потребовался (сценарий с `python3 -m venv venv` реализован в `run.sh` как fallback, но не задействован). `ansible-lint` не установлен и не устанавливался — по плану опционален.
+
+## Отклонения/уточнения в процессе реализации
+
+1. **`ERROR: Ansible requires blocking IO`** — известное ограничение ansible-playbook в этом sandboxed-окружении при прямом запуске из Bash-тула; решается пайпом через `cat` (`... 2>&1 | cat`). Учтено в `render-check.sh`.
+2. **`group_vars`/`host_vars` не подхватились в тестовом плейбуке** — Ansible ищет их относительно каталога *переданного* playbook'а и inventory-файла; `ansible/tests/render-test.yml` лежит в подкаталоге `tests/`, поэтому `ansible/group_vars`/`ansible/host_vars` не попадали в scope автоматически. Продакшн-playbook `ansible/site-a.yml` (лежит прямо в `ansible/`) эту проблему не имеет — переменные подхватываются штатно. Для теста добавлены явные задачи `include_vars`.
+3. **`daemons.j2` переписан без Jinja-цикла** — изначальный вариант с `{% for %}` рисковал дать лишние пустые строки при рендере (поведение `trim_blocks`/`lstrip_blocks`), а набор демонов не site-специфичен (одинаков на всех A-нодах) — статичный текст безопаснее и предсказуемее.
+
+## Результаты проверки (без живых ВМ — они не подняты)
+
+- `ansible-playbook --syntax-check` — OK.
+- **`ansible/tests/render-check.sh`** — golden-diff рендера `frr.conf.j2`/`daemons.j2` для a1/a2/a3 против уже подтверждённых живыми BGP-сессиями (10/10 Established, 3-way ECMP — см. `docs/2026-09-03-anycast-lab-summary.md`) `frr/a{1,2,3}/{frr.conf,daemons}`:
+  - `daemons` — совпадает побайтово для всех трёх узлов.
+  - `frr.conf` — совпадает полностью, за вычетом блока `interface dummy0` (осознанно вынесен в netplan, см. Context плана) — единственное различие подтверждено и является дизайн-решением, а не ошибкой.
+- Синтаксис Jinja-шаблона netplan (`dummy0.netplan.yml.j2`) проверен рендером с тестовыми значениями и парсингом через `yaml.safe_load` — валиден.
+
+## Известное ограничение
+
+Реальный apply (`apt install frr`, `netplan apply`, `systemctl restart frr`) и функциональная проверка (`show bgp summary` и т.д. на живых ВМ) не выполнялись — ВМ площадки A ещё не подняты Terraform-слоем. Это нужно сделать вручную после провижининга (команды — в README, раздел «Развёртывание площадки A на ВМ»).
+
+## Изменённые/новые файлы
+
+- `ansible/` — вся структура (site-a.env, run.sh, ansible.cfg, inventory/, group_vars/, host_vars/, site-a.yml, roles/frr_anycast/, tests/).
+- `.gitignore` — новый (`venv/`, `*.retry`).
+- `README.md` — новый раздел «Развёртывание площадки A на ВМ (Ansible)».
+- `docs/2026-09-03-ansible-site-a-plan.md`, `docs/2026-09-03-ansible-site-a-summary.md`.