Merge pull request 'docs: DE443 home-server inbound and scoped acceptance' (#22) from codex/vps-de-home-inbound-20261023 into main
Some checks are pending
Bash syntax / syntax (push) Waiting to run
Some checks are pending
Bash syntax / syntax (push) Waiting to run
This commit is contained in:
commit
ef6abdea15
1 changed files with 56 additions and 0 deletions
|
|
@ -270,3 +270,59 @@ Panel DB (без path/credentials):
|
|||
- Публичная панель, публичные подписки, Telegram-ноды, AI-агенты и WARP не включались. Новых дополнительных мониторов/автоматизаций нет; прежний тик30 не возобновлялся.
|
||||
- Для послеустановочного восстановления оставлены согласованные SQLite checkpoints и локальные initial/daily snapshots с проверенными checksum. Локальная копия не заменяет отдельное внешнее хранилище; offsite не включался.
|
||||
- Этот PR содержит только данный обезличенный отчёт. Code PR20 отдельный, автор не вливает. Прежний release gate для новых PR/документов без CI не обходится.
|
||||
|
||||
|
||||
## Дополнение 23.10.2026 — DE443 для домашней машины
|
||||
|
||||
Основание: актуальная заменяющая версия `kagent/agents/claude/done/2026-10-23-fixes/CODEX-vps-de-close-443.md`. Закрытие443 отменено. Эта работа — отдельный report-only PR поверх main `6f699607b079a57ea19765b19f781ef012d7de18`, где PR20 и PR21 уже merged внешним участником. Итоговый main CI18/task7390 SUCCESS; промежуточный CI17/task7389 cancelled, зелёным не объявляется.
|
||||
|
||||
SSH использован **только к de-vpn** с ранее разрешённым операторским ключом и pinned known_hosts. RU/FI/DK по SSH не посещались, их конфигурации не менялись. Системный прокси/bypass этой машины не менялся; ключ владельца/исходные доступы не копировались и не читались дополнительно.
|
||||
|
||||
Через API приватной панели DE добавлен отдельный inbound `home-server-de`: VLESS+Reality TCP443, клиент `home-server`, Vision, самостоятельные private/public key и shortId, отличные от связки24443. Camouflage `www.microsoft.com:443`: TLS1.3 и проверка цепочки с DE PASS до создания. Ссылка записана **только** в `/home/ochenstarik/srgfd/home_server_de_link.txt` (0600), без вывода URI/UUID/ключей.
|
||||
|
||||
UFW443/tcp уже открыт для всех; правило и запись443 в managed ports оставлены. UFW user.rules и managed-ports файл побайтно не изменились. Профиль `codex-ru-de-link`24443, его разрешение только с RU_IP, outbounds и routing DE не менялись: сравнены API-настройки и native existing-inbound до/после. Новый вход добавлен горячим API без смены PID Xray и без ручного рестарта.
|
||||
|
||||
Перед изменением сохранены согласованная SQLite backup, native-config и UFW/managed файлы в закрытом root checkpoint `codex-before-de-home-*`. После — новая согласованная SQLite backup с `integrity_check=ok`, обе записи443/24443 на месте, и snapshot собранного панелью конфига (`codex-after-de-home-*`). API `server/getConfigJson` содержит оба inbound. Последний записанный native config.json на диске при hot-add ещё не содержит443; он не переписывался вручную. Рабочий443 подтверждён слушателем и реальными запросами, сохранение — БД и собранным конфигом; перезапуск DE ради этого теста не выполнялся.
|
||||
|
||||
| Проверка | Результат и предел |
|
||||
| --- | --- |
|
||||
| Новый home-server, временный Xray на DE → публичный DE443 | PASS: api.ipify.org и icanhazip.com, curl0, фактический egress DE_IP |
|
||||
| Новый home-server, прямой клиент с домашней машины | Не выполнялся: DE_IP отсутствует в локальном bypass4. Самостоятельное добавление прямо запрещено этим заданием; проверка передана в отдельный `CODEX-home-xray-via-ru.md` |
|
||||
| Прежняя связка RU→DE, обычный временный клиент на этой машине | PASS: api.ipify.org egress DE_IP, российский API Яндекса egress RU_IP, оба curl0. Только клиентский трафик по прежней ссылке, без SSH/изменений RU |
|
||||
| Сохранность24443 | API/native profile, routing/outbounds и firewall неизменны; слушатель24443 активен |
|
||||
|
||||
Временные клиенты работали на свободных loopback SOCKS-портах, proxy env удалены; SSH data forwarding не использовался. Self-test DE не подменяет приёмку внешнего домашнего пути. На домашнем системном прокси новая ссылка не установлена — это задача другого поручения при владельце.
|
||||
|
||||
### DE: фактический вывод после добавления (доступы отредактированы)
|
||||
|
||||
`ufw status verbose`:
|
||||
|
||||
```text
|
||||
Status: active
|
||||
Logging: on (low)
|
||||
Default: deny (incoming), allow (outgoing), disabled (routed)
|
||||
New profiles: skip
|
||||
|
||||
To Action From
|
||||
-- ------ ----
|
||||
<SSH_PORT>/tcp ALLOW IN Anywhere
|
||||
443/tcp ALLOW IN Anywhere
|
||||
24443/tcp ALLOW IN <RU_IP> # RU-DE Reality upstream
|
||||
```
|
||||
|
||||
`ss -ltnpH` (расширенный ss -ltn, для проверки процесса):
|
||||
|
||||
```text
|
||||
LISTEN 0 4096 127.0.0.1:62789 0.0.0.0:* users:(("xray-linux-amd6",pid=1023,fd=3))
|
||||
LISTEN 0 4096 0.0.0.0:<SSH_PORT> 0.0.0.0:* users:(("sshd",pid=792,fd=3),("systemd",pid=1,fd=153))
|
||||
LISTEN 0 4096 127.0.0.1:<PANEL_PORT> 0.0.0.0:* users:(("x-ui",pid=788,fd=10))
|
||||
LISTEN 0 4096 127.0.0.1:2096 0.0.0.0:* users:(("x-ui",pid=788,fd=18))
|
||||
LISTEN 0 4096 127.0.0.54:53 0.0.0.0:* users:(("systemd-resolve",pid=746,fd=17))
|
||||
LISTEN 0 4096 127.0.0.1:11111 0.0.0.0:* users:(("xray-linux-amd6",pid=1023,fd=7))
|
||||
LISTEN 0 4096 127.0.0.53%lo:53 0.0.0.0:* users:(("systemd-resolve",pid=746,fd=15))
|
||||
LISTEN 0 4096 [::]:<SSH_PORT> [::]:* users:(("sshd",pid=792,fd=4),("systemd",pid=1,fd=154))
|
||||
LISTEN 0 4096 *:443 *:* users:(("xray-linux-amd6",pid=1023,fd=9))
|
||||
LISTEN 0 4096 *:24443 *:* users:(("xray-linux-amd6",pid=1023,fd=6))
|
||||
```
|
||||
|
||||
Панель/подписки по-прежнему loopback. Новый report-only PR не содержит кода, конфигураций с ключами или самой ссылки; автоматический CI и действующий release-review gate сохраняются. Самослияние не выполняется.
|
||||
|
|
|
|||
Loading…
Reference in a new issue