From 4397e1958b2a7d2392df79e0d44817eebc9b9747 Mon Sep 17 00:00:00 2001 From: hellcat Date: Tue, 20 Oct 2026 17:46:29 +0800 Subject: [PATCH] docs: record sg05 onboarding and server-side provider workflow --- docs/maintenance/NODE_BATCH_RUNTIME.md | 14 +++++++++++--- docs/maintenance/NODE_ONBOARDING.md | 18 ++++++++++++++++-- docs/maintenance/STATUS.md | 6 ++++++ 3 files changed, 33 insertions(+), 5 deletions(-) diff --git a/docs/maintenance/NODE_BATCH_RUNTIME.md b/docs/maintenance/NODE_BATCH_RUNTIME.md index 65495d9..40f7b3a 100644 --- a/docs/maintenance/NODE_BATCH_RUNTIME.md +++ b/docs/maintenance/NODE_BATCH_RUNTIME.md @@ -2,7 +2,7 @@ 本专题是后续批量接入的默认技术入口。适配器实现与隔离测试于2026-10-17完成，2026-10-18首次正式批次线上验收完成；部署、动态全量验收和例外范围见[本次节点记录](NODE_ONBOARDING.md#2026-10-18-后续五节点批量接入)。此前三节点批次使用冻结旧任务适配器，与本实现的生产证据分开。 -`batch.py`保留原命令适配器兼容，新计划默认用`configure-site.py`生成`runtime.kind=ssh-site-v1`。旧计划、账本、任务handler一律保留，不修改源码摘要后直接续跑旧任务。生产操作仍须具体接入授权、独立助手审核、Git运维部署及现场验收。 +`batch.py`保留原命令适配器兼容，新计划默认用`configure-site.py`生成`runtime.kind=ssh-site-v1`。旧计划、账本、任务handler一律保留，不修改源码摘要后直接续跑旧任务。生产操作仍须具体接入授权、Git运维部署及现场验收；批量按AGENTS启动独立核查助手，单节点按执行手册由操作者完成精确证据复核，不自动启动子助手，也不得把操作者审核写成独立助手审核。 ## 服务器侧接入与验收 @@ -12,6 +12,14 @@ 完成标准仍包括新增资源参数回读、隔离完整订阅联网/严格TLS/预期出口和双向上报、append正式组、动态正式订阅按影响范围验收、QA禁用403/下发排除、旧节点/套餐/用户关联/订阅设置/网关容器及原服务保护。DPL页面验收不再列为节点接入未完成项；未做的界面/手机/TUN测试仍按事实注明。此规则不覆盖真正的后台界面功能修改，不授权本机网站访问或第三方后台写入越界。 +### DNS与中转的服务器侧路径 + +2026-10-20单节点任务首次实际使用白色机访问中转站自身接口（不是新建平台权限）：正常登录`hw.lshan.eu.org/api/v1/user/login`，凭据从`ACC-RELAY-HW`统一读取，经私密stdin传给白色机认证组件；先按当前站点登录合同检查验证码要求，强制验证则停止求助。令牌只保留在该进程内存，不导出浏览器会话。 + +转发先`POST /api/v1/forward/list`核对全表，对名称、入口端口和目标查重；仅当均无冲突才`POST /api/v1/forward/create`新增独立规则，随后重新list回读平台ID、隧道、地址、状态及Proxy Protocol两端配置，并对照写前快照确认旧规则所核字段保持。存在完全匹配项只回读，结果未知先probe，不盲重发create。当前合同来自站点本身前端，未宣称为稳定公开OpenAPI；后续须按当时站点合同核实，不能猜接口或跳过认证/验证码。 + +gemcook.net为Namecheap BasicDNS，`ACC-002`目前只有已登记网页登录密码、无DNS API密钥。不得为避免网页自动开通新API权限或借用其他账号。本次新增A记录因此仅此步骤使用必要网页并回读旧记录；部署与验收继续服务器侧。后续有可用且获授权的DNS接口凭据时改走服务器侧。DNS运行值可从白色机核对当前NS和权威A应答；不能把超时、不完整或非权威应答记为通过。 + ## 文件与职责 | 文件 | 职责 | @@ -92,7 +100,7 @@ Certbot准备不能只检查`command -v`：还须实际运行`certbot --version` } ``` -`captured_at`填实际采集Unix时间。观察文件可以刷新，不能把静态勾选当现场证据。资源存在但参数/归属不符停止；尚未创建的DNS/中转仍按注册后台批量操作、更新观察后续跑。本实现没有新增Cloudflare/中转官方API写入权限，也不默认直连其源站。 +`captured_at`填实际采集Unix时间。观察文件可以刷新，不能把静态勾选当现场证据。DNS写入先按真实后台或获授权接口回读；后续只读续跑可由白色机查询当前NS并核对两台权威服务器的AA应答，刷新DNS运行观察，不能用普通递归缓存或只改时间戳代替。中转可以使用上述正常服务接口的实际list回读。资源存在但参数/归属不符停止；尚未创建的DNS/中转按服务器侧优先选择已获授权的正常接口，或确实必要的登记后台，保存后更新观察再续跑。调度器不自动创建平台API权限或扩大本次业务授权；本机访问路线仍按全局规则，不默认直连源站。 ## 执行与等待 @@ -110,7 +118,7 @@ SSH会话仅在本次进程、同一工作线程内复用，线程不共用可 准备阶段先按正式组、banned、额度和有效期选既有账号，优先管理员且最多检查20个候选，避免全表巡检客户凭据；检查真实`ServerService::getAvailableServers`及`getAvailableUsers`，包括插件过滤；候选被实际节点下发过滤时不算可用。未找到可用账号时自动创建本任务测试用户：非管理员、100MiB、1小时、1设备、无订单/套餐改写及通知消息。私有journal在DB提交前记录身份，丢失回包时恢复同一用户，不重复创建或接管同名用户。 -新节点仍沿用各自隔离QA→严格TLS/出口/上报→独立助手按精确报告审核→append开放并禁用QA。适配器直接生成`key-evidence.json`，包含原始报告字节SHA256、请求摘要、QA身份、报告时间及最新在线/双向上报状态，600原子保存，不再需要任务专用采集脚本。助手完成独立审核后，主协调者在同目录记录`key-reviewed.json`：`request_sha256`、`report_sha256`、`qa_user_id`、`verified_at`必须与该报告完全相同；未审核不得自动填批准文件。全部本组候选开放后，正式验收按账号**当前实际应获得的集合**生成完整快照，与客户端完整订阅逐条校验。集合绑定节点ID、标签、端点、SNI、独立预期出口/国家；验收后再取一次集合，增加、删除或改变任一项均阻止旧报告通过，不固定节点数。所有新旧节点均覆盖结构、权限和必要连通检查，完整联网测试范围按下节决定。 +新节点仍沿用各自隔离QA→严格TLS/出口/上报→按任务规模复核精确报告（批量独立助手、单节点操作者）→append开放并禁用QA。适配器直接生成`key-evidence.json`，包含原始报告字节SHA256、请求摘要、QA身份、报告时间及最新在线/双向上报状态，600原子保存，不再需要任务专用采集脚本。完成上述对应角色审核后，操作者或主协调者在同目录记录`key-reviewed.json`：`request_sha256`、`report_sha256`、`qa_user_id`、`verified_at`必须与该报告完全相同；未审核不得自动填批准文件。全部本组候选开放后，正式验收按账号**当前实际应获得的集合**生成完整快照，与客户端完整订阅逐条校验。集合绑定节点ID、标签、端点、SNI、独立预期出口/国家；验收后再取一次集合，增加、删除或改变任一项均阻止旧报告通过，不固定节点数。所有新旧节点均覆盖结构、权限和必要连通检查，完整联网测试范围按下节决定。 每组正式客户端串行运行，保留完整订阅DNS/路由，只给诊断目的地固定出站。新建测试用户可能等待节点拉取用户列表；只对通用客户端运行失败最多做3轮诊断读测试，间隔15秒且共用900秒预算。结构、TLS或出口断言错误不重试；不重放生产写入、不另建用户来绕过失败。证据绑定完整计划摘要、节点集合摘要、原始报告及QA拒绝文件SHA256、QA实际ID、403、banned、实际下发排除及900秒时效。任一缺项或摘要/集合变化失败。旧节点关键配置、全部套餐、原用户关联和订阅地址按批次原始基线核对，网关容器ID/启动时间/重启数再次核对。 diff --git a/docs/maintenance/NODE_ONBOARDING.md b/docs/maintenance/NODE_ONBOARDING.md index ff71f93..6c1ffdb 100644 --- a/docs/maintenance/NODE_ONBOARDING.md +++ b/docs/maintenance/NODE_ONBOARDING.md @@ -4,6 +4,18 @@ 首节点历史核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 本聊天已正常访问，DNS/严格 TLS、有效订阅响应、HTTP/2 与 gzip 解码已复核；两个专用订阅区域的全域缓存绕过、两机场订阅路径 BIC 例外及原机场严格回源已部署并复验。已实施范围与可选未实施调优见下文。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。 +## 2026-10-20 单节点服务器侧接入 sg05 + +新增展示新加坡 SG - 04，部署key/VPS为sg05/node-sg05（VPS-033），节点/机器ID为14/14，基础组1。现场MemTotal 8,294,055,936 bytes且已安装XrayR，容量门禁通过；Debian11/x86_64、SG出口45.128.222.176，独立AnyTLS 24443。SNI dpl-sg05.gemcook.net，中转规则5168（dpl-sg05-anytls）为haiwi.lshan.eu.org:47405 ->45.128.222.176:24443，Proxy Protocol收发关闭。 + +本次DPL数据经白色机SSH运行正式stage/promote及应用模型/事务写入，未登录DPL或进行线上页面验收。中转首次改为白色机正常登录站点自身接口、list查重、create新增再逐字段回读，原36条所核配置保持，总数37；无中转网页操作，认证令牌仅进程内存。Namecheap缺少已登记DNS API凭据，仅DNS新增使用必要网页，新增后旧记录逐项保持；再由白色机核对当前NS及两台权威A应答。未自动开通API权限。 + +隔离QA32完整订阅联网、严格TLS/SNI、独立预期SG出口、在线和双向上报通过；单节点由操作者按原始字节SHA256、请求、精确身份及900秒时效复核，无独立子助手。正式append后QA已禁用、订阅403并从实际下发用户排除。正式有效既有账号动态应得14节点，全量订阅结构、密码、权限及逐条严格TLS通过；本批无共享配置变化采用tls范围，没有重复14条完整出口联网。旧节点关键参数、套餐、正式用户关联、订阅地址和四个网关容器ID/启动时间/重启计数符合原基线。 + +原XrayR程序/unit/配置/443监听、PID/启动时间/重启数及旧证书/私钥/renewal摘要保持。新证书有效至Jan 18 08:39:40 2027 GMT，单个精确专用renew_hook、无全局/目录执行钩子，续期dry-run通过。缺少Git时用独立APT索引、Debian签名与精确包摘要校验安装9项固定依赖，未改全局源或升级旧XrayR。首次前检因观察文件权限不符停止，收紧600后现场probe通过，未绕过保护。 + +复用已推送运维64c3b087部署到新节点，面板/网关沿用同版本；生产应用7e8fbf6及原工作区摘要保持。服务器侧优先规则852b38c、9d153c7已推送，接口合同和DNS例外唯一正文见[NODE_BATCH_RUNTIME](NODE_BATCH_RUNTIME.md#服务器侧接入与验收)。证据：codex/output/node-single-sg05-20261020/；冻结计划和共享账本node-batch-five-20261017/ledger/sg05-20261020不改旧批次。面板/节点备份/root/codex-backups/dpl/node-single-sg05-20261020，网关/var/lib/dpl-sgw/node-single-sg05-20261020；回退沿promotion-journal逐字段预览，不恢复整库。未做页面、手机客户端/TUN、多设备并发或生产回退演练。GemDocs AI版已同步本实例/TLS域名/中转规则5168与项目、服务器、父域关系，离线结构检查通过；人类版未自动写入。 + ## 2026-10-20 三个新加坡节点批量接入 新增展示新加坡 SG - 01/02/03，分别部署于node-sg02/03/04（VPS-030/031/032），数据库节点/机器ID为11/13/12。三台MemTotal均8,294,055,936 bytes，已有XrayR，符合本批新增候选门禁：总内存小于1,000,000,000 bytes且已安装XrayR才排除；未知不放行。该规则不追溯移除已有节点。 @@ -73,7 +85,7 @@ 订阅：客户端 → c2.deeplink-subscribe.com（Cloudflare 橙云 HTTPS）→ gateway-01 宿主 Nginx → dpl 独立 SubSieve → dpl 面板。 -流量链路按部署key分列；旧十节点2026-10-18完整联网，本批新三节点2026-10-20隔离完整联网、正式13节点动态集合及严格TLS复核通过： +流量链路按部署key分列；旧十节点2026-10-18完整联网，本日三节点批次及sg05单节点均隔离完整联网；sg05追加后正式14节点动态集合及严格TLS复核通过： | 部署 key | VPS（不代表展示编号） | 中转入口 | 落地 | TLS 名称 | 证据 | | --- | --- | --- | --- | --- | --- | @@ -90,6 +102,7 @@ | sg02 | node-sg02 | haiwi.lshan.eu.org:47402 | 45.128.222.173:24443 | dpl-sg02.gemcook.net | 本文2026-10-20批量接入 | | sg03 | node-sg03 | haiwi.lshan.eu.org:47403 | 45.128.222.174:24443 | dpl-sg03.gemcook.net | 本文2026-10-20批量接入 | | sg04 | node-sg04 | haiwi.lshan.eu.org:47404 | 45.128.222.175:24443 | dpl-sg04.gemcook.net | 本文2026-10-20批量接入 | +| sg05 | node-sg05 | haiwi.lshan.eu.org:47405 | 45.128.222.176:24443 | dpl-sg05.gemcook.net | 本文2026-10-20单节点接入 | 客户端 → 对应中转入口 → 对应落地 → 目标网络。以上链路均使用严格 AnyTLS TLS；普通 Cloudflare 橙云用于订阅 HTTP，不用于原生 AnyTLS 流量。完整对象关联见[CoDocs DPL档案](/Users/hellcat/Documents/CoDocs/10-项目/dpl.md)。 @@ -108,7 +121,8 @@ | node-sg02 | dpl-node，TCP 24443，机器/节点 ID 11（2026-10-20） | XrayR，TCP 443 | | node-sg03 | dpl-node，TCP 24443，机器/节点 ID 13（2026-10-20） | XrayR，TCP 443 | | node-sg04 | dpl-node，TCP 24443，机器/节点 ID 12（2026-10-20） | XrayR，TCP 443；额外xray也保留 | -| 中转 | 十三条独立AnyTLS规则，链路见上表 | 原443链路及其他规则 | +| node-sg05 | dpl-node，TCP 24443，机器/节点 ID 14（2026-10-20） | XrayR，TCP 443；旧证书保持 | +| 中转 | 14条独立AnyTLS规则，链路见上表 | 原443链路及其他规则 | | gateway-01 | dpl-subscribe-gateway、dpl-subscribe-admin | subscribe-gateway、subscribe-admin | | 网关回环端口 | 18080 / 18443，管理 16444 | 8080 / 8443，管理 64444 | | Docker 存储 | dpl_sgw_config、dpl_sgw_logs | sgw_gw_config、sgw_gw_logs | diff --git a/docs/maintenance/STATUS.md b/docs/maintenance/STATUS.md index 809498d..c30c76d 100644 --- a/docs/maintenance/STATUS.md +++ b/docs/maintenance/STATUS.md @@ -2,6 +2,12 @@ 文档核对日期：2026-10-11。以下区分本会话检查结果与用户验收确认，不承诺服务器一直保持此状态。 +## 2026-10-20 sg05单节点接入与服务器侧优先 + +新加坡SG - 04（node-sg05，VPS033）已加入基础组1，节点/机器14，QA32完整订阅严格TLS/SG出口/双向上报通过，单节点操作者精确审核后开放，QA禁用403/下发排除。动态正式14节点结构/密码/权限/逐条严格TLS及旧资源基线通过，不代表14节点重新测出口。原XrayR及原证书保持，新证书专用续期演练通过。 + +节点维护全流程优先服务器侧规则已写入并推送；本次DPL写入、中转接口创建/查重/回读、部署及验收均服务器侧，只有无DNS API凭据的Namecheap新增使用必要网页，再以权威NS复核。已完成服务器侧验收，未做线上页面验收；不将其列为未完成项。具体证据与恢复见[NODE_ONBOARDING](NODE_ONBOARDING.md#2026-10-20-单节点服务器侧接入-sg05)。GemDocs已同步实例、域名、中转规则5168及关联；离线检查通过（415文档、3171链接、370对象），不替代上述现场验收。 + ## 2026-10-20 三个新加坡节点接入完成 新加坡SG - 01/02/03（node-sg02/03/04）已append基础组1；三个隔离QA完整联网、严格TLS/SG出口、在线与双向上报经一个助手独立审核，QA29/31/30已禁用、订阅403及下发排除。正式动态13节点订阅结构/密码/权限及逐条严格TLS通过，本批无共享变化采用分层tls范围，不表示13节点全部重新测出口；旧节点/套餐/用户关联/订阅地址、四网关容器、生产应用版本与工作区摘要保持。原XrayR和VPS032额外xray逐字段保留。三证书签发、专用钩子及续期演练通过。用户本次明确跳过DPL页面验收。