fix: приватные сервисы, безопасные загрузки и повторная настройка (S1–S10)

ochenstarik commented

2026-10-23 05:33:59 +00:00

Owner

Установка и повторная настройка больше не публикуют служебные порты по умолчанию: UFW оставляет SSH+443, старые управляемые разрешения действительно удаляются, панель 3x-ui привязана к loopback до первого запуска. Подписки настраиваются независимо с сохранением рабочих URL и подтверждением ротации. Установщики и payload 3x-ui/Xray закреплены по SHA-256, доступны GitHub/Forgejo mirror без fallback; исправлены PAM, curl config и опциональные age/SCP-бэкапы. S8 уже был защищён, существующий файл не менялся.

Текущий head: eb00e38a7515c6772535322d7b353c9c01718fcc. Автоматический CI на точном SHA: push run 3/task7366 SUCCESS, PR run 4/task7367 SUCCESS: https://git.ochenstarik.ru/ochenstarik/lightweight-server/actions/runs/4 . Проверен полный raw log 24464 B без усечения, SHA-256 0dc87356141ccf689988b55afb4a956d8486e6504733bc86ed14f808facd16cd. Checkout закреплён на совместимом Node20 SHA 11bd71901bbe5b1630ceea73d27597364c9af683; первоначальные runs1/2 упали до тестов из-за неподдерживаемого Node24 в прежнем checkout@v6, dispatch не повторяли.

Локально bash -n, 12/12 тестов и git diff --check PASS; исходные 8 тестов не изменены. Два независимых read-only Codex-аудита, подтверждённые замечания исправлены и проверены root. Настоящая одноразовая Ubuntu24.04: этапы2+6, удаление прежних UFW-правил, private/public-subscription режимы, pinned Xray install и age recovery round-trip PASS. VM/диски/ключи удалены; реальные серверы не затронуты.

Отчёт: agents/codex/done/2026-10-23-lightweight-security.md, включая настоящий ufw/ss, findings/resolutions и ограничения. README EN/RU обновлены. Mirror release должен быть подготовлен оператором; arm64/WARP/реальный offsite upload не выполнялись.

Релизный HOLD: автор не вливает; новый PR ждёт Grok на точном текущем SHA либо Claude по прямому запросу владельца. Технические Codex-аудиты этот gate не заменяют.

Установка и повторная настройка больше не публикуют служебные порты по умолчанию: UFW оставляет SSH+443, старые управляемые разрешения действительно удаляются, панель 3x-ui привязана к loopback до первого запуска. Подписки настраиваются независимо с сохранением рабочих URL и подтверждением ротации. Установщики и payload 3x-ui/Xray закреплены по SHA-256, доступны GitHub/Forgejo mirror без fallback; исправлены PAM, curl config и опциональные age/SCP-бэкапы. S8 уже был защищён, существующий файл не менялся. Текущий head: `eb00e38a7515c6772535322d7b353c9c01718fcc`. Автоматический CI на точном SHA: **push run 3/task7366 SUCCESS**, **PR run 4/task7367 SUCCESS**: https://git.ochenstarik.ru/ochenstarik/lightweight-server/actions/runs/4 . Проверен полный raw log 24464 B без усечения, SHA-256 `0dc87356141ccf689988b55afb4a956d8486e6504733bc86ed14f808facd16cd`. Checkout закреплён на совместимом Node20 SHA `11bd71901bbe5b1630ceea73d27597364c9af683`; первоначальные runs1/2 упали до тестов из-за неподдерживаемого Node24 в прежнем checkout@v6, dispatch не повторяли. Локально bash -n, 12/12 тестов и git diff --check PASS; исходные 8 тестов не изменены. Два независимых read-only Codex-аудита, подтверждённые замечания исправлены и проверены root. Настоящая одноразовая Ubuntu24.04: этапы2+6, удаление прежних UFW-правил, private/public-subscription режимы, pinned Xray install и age recovery round-trip PASS. VM/диски/ключи удалены; реальные серверы не затронуты. Отчёт: `agents/codex/done/2026-10-23-lightweight-security.md`, включая настоящий ufw/ss, findings/resolutions и ограничения. README EN/RU обновлены. Mirror release должен быть подготовлен оператором; arm64/WARP/реальный offsite upload не выполнялись. Релизный HOLD: автор не вливает; новый PR ждёт Grok на точном текущем SHA либо Claude по прямому запросу владельца. Технические Codex-аудиты этот gate не заменяют.

ochenstarik added 1 commit 2026-10-23 05:34:00 +00:00