Il tuo nodo Lightning

Nodo self-hosted per bitcoin-blake2b, comandato dall'app

SHA256(tlw-node-installer-0.4.0.tar.gz) = 0e312b98ca44d23f842023dcd53e0c40977cccf82736a88732b4f99da8dbf465

sha256sum tlw-node-installer-0.4.0.tar.gz

Get-FileHash .\tlw-node-installer-0.4.0.tar.gz -Algorithm SHA256

Installazione (3 comandi)

tar -xzf tlw-node-installer-0.4.0.tar.gz
cd tlw-node-installer-0.4.0
./install.sh --bitcoind-rpc rpcuser:[email protected]:8332

Eseguilo con il tuo utente normale: sudo non è mai richiesto.

Alla fine l'installer stampa la stringa di connessione (URI NWC/NCC) — vedi “Collegare l'app” qui sotto per dove trovarla e un esempio di formato.

Requisiti

Lightning significa far girare un nodo vero: l'installer lo mette in piedi per te, ma la macchina e il full node devono già esserci.

• Una macchina che tieni online (server / VM / homelab): Ubuntu 22.04 / 24.04 / 26.04 (x86_64). Altre distribuzioni solo con artifact custom (--cln-url/--cln-sha256 --allow-custom-urls); Debian 12 non è coperta dai binari upstream.
• Un full node bitcoind blake2b sincronizzato, raggiungibile via RPC — non è incluso nel pacchetto (riferimento: DarkWebDivingClub/bitcoin-knots). Rilevato da ~/.bitcoin/bitcoin.conf, oppure passa --bitcoind-rpc utente:password@host:porta.
• curl e python3 — presenti su Ubuntu standard.
• Nessun sudo, nessuna modifica di sistema: tutto user-level (~/cln-blake2b, ~/bridge, ~/.lightning). --uninstall rimuove i binari ma non tocca mai il datadir del wallet (fondi, canali e chiavi restano).
• Nessuna porta da aprire: il bridge si connette in uscita a un relay Nostr e il telefono raggiunge il nodo attraverso il relay — niente da esporre sul router; clnrest resta in ascolto solo su loopback.

Collegare l'app (NWC/NCC)

Per comandare il nodo dall'app serve la stringa di connessione (URI NWC): l'installer la stampa al termine e la salva sul server.

cat ~/bridge/uri.txt

Incollala nell'app in Lightning → Connetti. Esempio di formato (valori fittizi):

nostr+walletconnect://<pubkey-bridge-64-hex>?relay=wss://relay.primal.net&secret=<64-hex>

La stringa contiene un segreto di autorizzazione personale: trattala come una password e non condividerla. Autorizza un altro dispositivo con ./install.sh --gen-uri; revoca quella smarrita con ./install.sh --revoke-client <pubkey>.

Raggiungibilità da altri peer (opzionale, Tor)

Canali e pagamenti non richiedono un indirizzo in ingresso: il nodo si connette in uscita verso i peer raggiungibili. Un indirizzo pubblico serve solo se vuoi che siano altri nodi a potersi collegare a te — utile per i test con la community.

Tor basta: nessuna porta aperta, nessun IP pubblico, nessuna modifica al router. Crea un servizio nascosto (un solo passaggio con sudo):

sudo mkdir -p /var/lib/tor/cln-hs && sudo chown debian-tor:debian-tor /var/lib/tor/cln-hs
printf 'HiddenServiceDir /var/lib/tor/cln-hs\nHiddenServicePort 9735 127.0.0.1:9735\n' | sudo tee -a /etc/tor/torrc
sudo systemctl restart tor && sudo cat /var/lib/tor/cln-hs/hostname

Poi aggiungi queste righe a ~/.lightning/config (con l'indirizzo stampato dall'ultimo comando) e riavvia lightningd:

proxy=127.0.0.1:9050
announce-addr=<il-tuo-indirizzo>.onion:9735
bind-addr=0.0.0.0:9735

⚠️ bind-addr non è facoltativo: con il solo announce-addr, lightningd smette di ascoltare sulla porta 9735 e usa la 19735 — il servizio nascosto non avrebbe nulla a cui inoltrare e le connessioni dall'esterno vengono rifiutate.

Nodo di test di questo progetto (annunciato su Tor):

mxesrfjokenxcmukvbltm3k6ewbj2v3wsjkt3ip56ckga2equiujsfad.onion:9735

Cosa fa l'installer

• installa Core Lightning (fork blake2b) e il bridge NWC/NCC, entrambi con SHA-256 pinnato: in caso di mismatch l'installazione si ferma (fail-closed);
• crea una rune dedicata sul nodo e un'URI di autorizzazione per ogni dispositivo;
• tutto è user-level (~/cln-blake2b, ~/bridge, ~/.lightning): nessuna modifica di sistema, nessun root;
• --uninstall rimuove binari e configurazioni ma non tocca il datadir del wallet (fondi, canali e chiavi restano).

Sicurezza e fiducia

• self-hosted by design: il nodo gira sul tuo server; nessun altro può operarlo;
• il bridge accetta richieste solo dai dispositivi che hai autorizzato;
• guida passo-passo, FAQ e threat model: documentazione dell'installer.