From 7e8fbf60bd62ed5c6093099d574e0f234994a088 Mon Sep 17 00:00:00 2001 From: hellcat Date: Sun, 11 Oct 2026 17:38:58 +0800 Subject: [PATCH] Record user waiver of local node test and Cloudflare follow-up --- docs/maintenance/NODE_ONBOARDING.md | 14 +++++++++++--- docs/maintenance/STATUS.md | 2 +- 2 files changed, 12 insertions(+), 4 deletions(-) diff --git a/docs/maintenance/NODE_ONBOARDING.md b/docs/maintenance/NODE_ONBOARDING.md index 7238ba7..1c8e30b 100644 --- a/docs/maintenance/NODE_ONBOARDING.md +++ b/docs/maintenance/NODE_ONBOARDING.md @@ -1,6 +1,6 @@ # 节点与订阅网关接入 -核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、完整订阅联网与正式套餐开放已完成；Cloudflare 后台 TLS 后验和显式缓存规则仍受浏览器权限阻塞，本机至中转的访问路径也尚未验收通过，整体尚未全部完成。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。 +核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 后台 TLS 后验和显式缓存规则仍受浏览器权限阻塞，整体尚未全部完成。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。 ## 当前连接关系 @@ -27,6 +27,14 @@ Namecheap 已委托至 bradley.ns.cloudflare.com、jewel.ns.cloudflare.com。导 Cloudflare Full (strict) 曾提交保存，但保存后的账户状态因网站权限拦截未复核；显式订阅 Cache Rule 尚未创建，不能据公网 HTTPS 正常写成已完成。当前实际订阅返回 CF-Cache-Status: DYNAMIC、Cache-Control: private, no-store。 +恢复浏览器权限后的收尾配置已确定，尚未执行： + +1. 在 deeplink-subscribe.com 的 SSL/TLS 页面读取保存后的模式，确认 Full (strict)，同时核对是否有覆盖 c2 的 Configuration Rule。源站已有有效域名证书；不能只看浏览器锁标志判断回源校验模式。 +2. 在 Cache Rules 新增 `dpl-c2-subscription-bypass`，Custom filter expression 为 `http.host eq "c2.deeplink-subscribe.com"`，Cache eligibility 选择 Bypass cache。c2 专用于订阅，因此整个该主机绕过缓存；其他主机不匹配。 +3. 检查既有规则，将这条规则置于可能匹配 c2 的缓存资格规则之后，避免后续规则覆盖。部署后刷新页面复核名称、条件、动作及顺序，再核对订阅响应仍为 private/no-store，且没有 HIT 或 Age。 + +依据 Cloudflare 官方说明：[Full (strict)](https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/)、[创建 Cache Rule](https://developers.cloudflare.com/cache/how-to/cache-rules/create-dashboard/)、[规则顺序](https://developers.cloudflare.com/cache/how-to/cache-rules/order/)。上述内容是待执行配置，不是完成记录。 + 宿主 Nginx 只信任 Cloudflare 官方网段的 CF-Connecting-IP，再向新容器发送清洗后的真实 IP。新容器仅信任本项目网桥 172.28.31.1。实际公网请求的 Cloudflare trace IP 与新网关日志已逐值比对一致，文档不保留个人 IP。 按用户追加授权，原机场两个订阅 vhost 也已加入 /etc/nginx/dpl-cloudflare-realip.conf，其余内容保留。写入前备份、nginx -t 和平滑重载通过；vhost 级信任列表替代继承的旧静态列表。原容器内的网桥信任配置保留，原订阅经 Cloudflare 的请求也已核对到访问者出口 IP。 @@ -127,8 +135,8 @@ php scripts/node-onboarding/promote.php \ 核心代码发布为 3b72c3e3c182313ebdae9f81a6e83712775942a3；节点/网关独立运维仓库为 b05c3215505c6ea70042aed0b102c682406528be。面板生产已有教程及文件模式差异保留。最初本机至中转出现 EOF，节点直连 TLS 正常；网关主机环境的完整中转客户端测试通过，不能据该结果保证用户所在所有地区路径可达。截图见 codex/output/node-us01-planning/node-live.png 与 relay-created.png。 -最终分段复核：本机与已测通网关的入口 DNS 均为 199.30.91.63，本机直连 64.44.115.18:24443 的严格 TLSv1.3 握手成功，但本机到中转 47101 仍为 TLS EOF。现有后台只有隧道 17517，新增表单未提供备用监听 IP；仅查看后取消，没有创建额外规则。需要结合本机代理/TUN、实际用户网络或备用隧道继续定位，不能把网关环境通过扩展为本机也已通过。 +最终分段复核：本机与已测通网关的入口 DNS 均为 199.30.91.63，本机直连 64.44.115.18:24443 的严格 TLSv1.3 握手成功，但本机到中转 47101 仍为 TLS EOF。现有后台只有隧道 17517，新增表单未提供备用监听 IP；仅查看后取消，没有创建额外规则。用户确认本机开启代理，随后明确要求跳过本地连通测试，已停止这一排查。本地结果记为跳过且原因未定位，不再作为本次交付阻塞项，也不记为通过；用户网络可达性没有保证。 -仍待完成：本机/实际用户网络的中转路径验收、Cloudflare Full (strict) 后验及显式缓存规则；工具仍报告 dash.cloudflare.com 被保存的拒绝权限拦截，用户需解除实际规则或重启应用后再核验。GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。 +仍待完成：Cloudflare Full (strict) 后验及显式缓存规则；工具仍报告 dash.cloudflare.com 被保存的拒绝权限拦截，用户需解除实际规则或重启应用后再核验。本地连通按用户要求跳过；GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。 后续可直接给维护代理：“按 docs/maintenance/NODE_ONBOARDING.md 接入 dpl 的下一节点，先填参数单、复核共享资源和证书钩子，只新增，不动原机场；完整订阅实测后再开放指定套餐，更新登记与 STATUS。”本文不启动聊天结束后的自动维护。 diff --git a/docs/maintenance/STATUS.md b/docs/maintenance/STATUS.md index f2e6e39..1eaefb5 100644 --- a/docs/maintenance/STATUS.md +++ b/docs/maintenance/STATUS.md @@ -112,4 +112,4 @@ Resend 发信、常规 SMTP、配额回退、投递事件回调、master 一次 尚未完成：Cloudflare Full (strict) 提交后的账户状态复核、显式订阅缓存绕过规则。dash.cloudflare.com 被浏览器保存拒绝持续拦截；用户多次修改设置后实际重试仍失败，需要清除覆盖规则或重新启动应用后再核对。公网 HTTPS 正常和 no-store 不能代替这些账户检查，整体任务尚未全部完成。 -最终分段补查：本机与网关解析入口均为 199.30.91.63，本机直连落地 24443 严格 TLSv1.3 成功，但本机至入口 47101 仍在 TLS 握手阶段 EOF。已查看新增规则表单，仅有隧道 17517 且无备用监听 IP，取消未保存；没有修改原规则或创建诊断规则。网关环境的完整实际订阅已测通，不代表本机或所有用户网络已通过。已向用户索取当前代理/TUN 状态及可用备用隧道；这一访问路径问题也属于尚未完成项。 +最终分段补查：本机与网关解析入口均为 199.30.91.63，本机直连落地 24443 严格 TLSv1.3 成功，但本机至入口 47101 仍在 TLS 握手阶段 EOF。已查看新增规则表单，仅有隧道 17517 且无备用监听 IP，取消未保存；没有修改原规则或创建诊断规则。网关环境的完整实际订阅已测通，不代表本机或所有用户网络已通过。用户确认本机开启代理，随后明确要求跳过本地连通测试；已停止该排查，标记为跳过而非通过，不再作为本次交付阻塞项。Cloudflare 两项仍待完成，准确配置与复核步骤已写入 NODE_ONBOARDING.md。