eli/vpsetup
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
97 Commits 1 Branch 0 Tags
main
Commit Graph

10 Commits

Author SHA1 Message Date
eli 4889ac36f2 docs: 删除「rules.v6 由另一个 agent 管」这条过期约束 
它写在 2026-08 OCI IPv6 迁移期（当时另一个会话在写 v4/v6 对称规则），
现在已经不成立——本项目只有一个维护者。留着它会把"要不要收敛两套防火墙"
这个正当决策挡死。

替换成当前的真实状态与收敛方向，并顺带记录今天实测到的冲突：
6 台（dmit + 5 台 Oracle）同时跑着 iptables-persistent 的 ip filter / ip6 filter
和本仓库的 inet dsh_firewall，两者都挂 input hook、必须都放行才通，
所以新表只能收紧不能放开（实测：新表放行的 tcp/111 仍被旧表 REJECT）。

同步改掉 init-firewall.sh 头部和 README 里同样的措辞。
 2026-11-10 15:46:47 +08:00
eli 5420ea95e3 feat(firewall): 主机防火墙收进本仓库，全机队共用 
init-firewall.sh 之前落在 oci-toolkit 里，但它是"给任何一台代理节点上防火墙"，
跟 OCI 没关系 —— GCP、阿里云、搬瓦工、Oracle 都要用同一份。挪到 vpsetup，
和 setup_*/migrate_* 放一起，按机器角色选 profile：

  proxy(默认) / hy2 / web / minimal

端口全走开关（--ssh-port/--hy2-port/--hy2-hop/--no-hy2-hop/--no-http3/
--extra-tcp/--extra-udp/--enable-frps/--enable-xmpp）。默认 profile 生成的
规则与现网 dsh-firewall.nft 逐条一致，老机器重跑是纯 no-op。

测试 tests/run_firewall_tests.sh 75 项，钉死：默认与现网一致、四个 profile 的
端口集合、任何组合都保留链尾 REJECT 兜底、非法输入 exit 2 且不产出规则。
OCI 那边同时删掉，避免两份分叉。
 2026-11-08 00:48:17 +08:00
eli 15690fd9a6 fix(cdn-bypass): 改为独立实例，修掉 confdir 合并污染主配置 
原方案给主 xray 加 -confdir，被 xray 的合并语义坑了两处（真机 -dump 实证）：
1) 片段 outbounds 被前插成 outbounds[0]，cdn-bypass-out 变成所有未命中流量的默认出站
2) Config.Override 用 c.RouterConfig = o.RouterConfig，片段的 routing 整体替换主配置的
   routing —— 5 条规则与 IPIfNonMatch 全丢（geoip:cn/私网/bittorrent/tg-in 全部失效）

单进程无解：带 routing 就毁主配置，去掉 routing 则 bypass 入站落到 direct 并打环。
改为独立 xray 实例（同一个 /usr/local/bin/xray，不重复安装）：
- xray-cdn-bypass.service：User/Group 继承主 unit，CAP_NET_ADMIN 供 tproxy+SO_MARK，
  PartOf 传播 stop/restart，WantedBy 同时挂主服务（PartOf 不传播 start，
  否则看门狗次月恢复后 bypass 仍 dead，而 nft 还在打标 → CDN 流量黑洞）
- 多上游 balancer：oracle-1..N 随机选健康节点（random + observatory；
  fallbackTag 必须非空，否则 strategy 不会注入 observatory）
- 双栈：table ip / table ip6 各一套打标+tproxy，v6 tproxy 目标写死 [::1]
- 卸载顺序：先撤 nft/策略路由再停实例，避免仍在打标+端口已关

已修的真机问题：mktemp 无 .json 后缀导致 xray 拒绝加载配置；
route unit 是 oneshot+RemainAfterExit，只 enable 不会重跑 ExecStart，必须 restart；
运行时 systemctl enable --now nftables 会触发 flush ruleset 清空主机防火墙，改为只 enable。

新增 cdn-cidrs-v6.txt（只收官方段，Akamai v6 待补）与 6 条回归守卫（已做变异测试）。
 2026-11-07 20:53:47 +08:00
eli 0cc1d093b9 docs: 替换 AGENTS/README 真实域名/IP，改用代号与占位符；更新测试断言与夹具 2026-11-04 19:07:29 +08:00
eli c3d06b2273 docs: cdn-bypass networkd drop-in 三处文档同步；HANDOFF §13 记录 10-16 事故与 10-30 修复实测；README 287→188 段订正；顺带落库 §12（10-24 ZeroTier 恢复，此前漏提交） 2026-10-30 20:38:45 +08:00
eli 4a88b3a4ac AGENTS: point workspace to /home/eli/cloud/vpsetup 2026-10-25 10:20:36 +08:00
eli 3f6e1cff21 feat(migrate): 额外站点块直接装进站点目录——迁移后不再需要人工合并 
配合 setup_caddy_xray_hysteria.sh 的 /etc/caddy/sites 扩展点：迁移抽出的非主域站点块
现在直接安装为 CADDY_SITES_DIR/migrated-extra-sites.caddy（干跑落 DRY_RUN_DIR/sites/），
升级后由新 Caddyfile 末尾的 import 自动加载，install/upgrade 永不覆盖该目录；
参考件仍留一份在迁移输出目录。

刻意保留两道「只留参考文件、不自动安装」的保护（装进去会让 caddy validate 失败、
反而挡住升级）：① 块里含 dns <provider> 等定制插件指令（官方 apt caddy 不含该插件）；
② 装了 caddy 时 `caddy adapt` 预检不通过（只解析适配，不做 TLS 签发）。
另外：缺 bind 127.0.0.1 的块会告警（443 回落流量到不了它）、目标文件已存在时先备份
.bak-<时间戳>、结束语按是否真装分别提示。

测试 +6（共 194）：dns 插件块不安装、干净块安装且原文保留、重复迁移先备份、缺 bind 告警。
文档：README 迁移细则 + AGENTS 脚本 4 描述 + HANDOFF §7.2/§7.4。
 2026-10-10 11:05:37 +08:00
eli 4d7415e803 fix(apt): Caddy 官方源 402 的窄容错——upgrade 不再在第一步就中止 
背景（上游 issue caddyserver/dist#142）：cloudsmith 给 caddy 项目的免费包投递配额被
CI 滥用打满，2026-10-09 起 /public/caddy/stable/deb/debian 下所有下载一律 402
Payment Required；2023/2024 各发生过，2024 那次约 8 天。后果是 apt-get update 必失败，
而脚本把它放在 system_prepare 第一步 + set -e ⇒ ACTION=upgrade 在任何机器上都跑不完
（哪怕只是想重渲染配置）。这与本次站点扩展点无关，是既有的机队级故障。

容错刻意做得窄（apt_update_tolerant）：
  * 报错【全部】来自 caddy/cloudsmith 源 且 本机已装 caddy → WARN 后继续
    （配置照常渲染 → caddy validate → 重载服务，只是本次不升级 caddy 二进制）
  * 报错牵涉任何其他仓库，或本机还没有 caddy → 依旧硬失败（不吞真问题）
install_caddy 里 apt-get install caddy 失败也做同样判断。

测试：从脚本抽出该函数，在隔离环境用假 apt-get / 假 caddy 跑三种分支（继续/硬失败/
硬失败）。oraclejp 实跑 ACTION=upgrade 退出码 0：caddy 停 2.11.4、Xray 停 26.3.27，
配置与凭据指纹不变，用户站点块在重渲染后原样保留并被服务。

文档：README「Caddy 官方 apt 源不可用时」小节 + AGENTS 脚本 2 描述 + HANDOFF §7.6
（含 netbird 落地进度与证书 400 卡点）。
 2026-10-10 10:48:10 +08:00
eli cd26ae505f docs: 额外站点扩展点（README 章节 + 环境变量表 + AGENTS/HANDOFF） 
- README：新增「额外站点（升级安全的扩展点）」章节：用法、升级安全语义、
  四条硬性约束（bind / alpn / 通配符必须喂证书 / 换证后 reload）与写错会挡住升级的联动
- AGENTS.md：脚本 2 描述补扩展点与两条约束
- HANDOFF：§2 补统一约定；§7 新增迁移脚本接入扩展点的待办 + netbird 公网入口
  （oraclejp）的定稿：专用 *.netbird.savorcare.com 证书（密钥最小化，不用公司通配符）、
  照搬 docker1/2 的 OPNsense automation（SFTP 上传 + SSH 安装并 reload caddy）
 2026-10-10 09:59:26 +08:00
eli 8c8cb05e0a docs: 项目指引迁移 CLAUDE.md → AGENTS.md（DSH 原生），补访问地图与 standing constraints 
- AGENTS.md 为唯一真源：新增「主控状态与访问」（2026-10-09 实测机队表）、
  「Standing constraints」（rules.v6 归属、凭据纪律、改动闸门、nft 不变式、CDN 清单只收官方段）
- 修正 Commands：syntax/lint 补上 setup_cdn_bypass_tproxy.sh
- 修正 Conventions：origin 是私有 git 服务器，不再写「GitHub web UI」
- CLAUDE.md 保留为指向 AGENTS.md 的短指针（Claude Code 兼容）
 2026-10-09 23:47:54 +08:00