Document verified Cloudflare tuning for both subscription gateways

2026-10-11 19:16:48 +08:00 · 2026-10-11 19:16:48 +08:00 · 99f9b9ec92
commit 99f9b9ec92
parent 7e8fbf60bd
4 changed files with 143 additions and 8 deletions
--- a/docs/maintenance/CLOUD_FLARE_AUDIT.md
+++ b/docs/maintenance/CLOUD_FLARE_AUDIT.md
@ -0,0 +1,91 @@
+# Cloudflare 订阅配置与调优审查
+
+核对日期：2026-10-11。依据用户最初的 DNS/橙云、独立网关、AnyTLS 节点、共享资源保护和追加真实 IP 自动同步要求重新建立检查项，并补查订阅客户端兼容性及性能设置。随后用户追加授权原机场 fu101.gembox-sub.com 的 Cloudflare 调优，并要求缓存规则覆盖将来更换的订阅子域名。不是只重验原聊天留下的待办。
+
+初次审查为只读；后续按用户追加授权修改了 Cloudflare 缓存和配置规则，并完成有效订阅复验。网关、面板、节点代码及数据库配置没有变更，服务没有重启。现状可以确认；不能仅凭现状证明某项过去未做一定由浏览器权限造成，或保证所有潜在优化都已穷尽。
+
+## 现场结果
+
+| 项目 | 本轮证据 | 结论 |
+| --- | --- | --- |
+| DNS/代理边界 | c2 A=65.99.193.129、已代理；us01 A=64.44.115.18、仅 DNS | 符合订阅走 CF、原生 AnyTLS 不走普通橙云的设计 |
+| 严格回源 TLS | dpl 区域页面 Full (strict)，新增的 BIC 配置规则未设置 SSL | 已复核 |
+| 边缘证书 | *.deeplink-subscribe.com 和根域名通用证书有效，至 2027-01-09 | 覆盖 c2 |
+| 源站证书/续期 | 网关证书域名、有效期匹配，独立 Certbot 根目录、禁用目录钩子及定时器配置存在 | 本轮只读核对；续期 dry-run 沿用此前结果，没有重跑 |
+| 个性化订阅缓存 | 唯一活动规则 Bypass cache - deeplink-subscribe.com (all hosts)，所有传入请求，顺序 1 | 已按用户最新要求扩大到整个订阅区域，无后续缓存资格规则覆盖 |
+| 规则部署后响应 | 正式有效订阅连续标准路径请求和短路径均 200、有效 JSON、private/no-store、DYNAMIC，无 Age/HIT/cf-mitigated | 重新验收通过；不是禁用用户的错误页测试 |
+| TLS/HTTP 性能 | TLS 1.3、HTTP/2、HTTP/3、HTTP/2 to Origin 页面启用 | 基础协议项已启用；源站未启用 h2，仅配置支持状态不代表实际 h2 回源 |
+| HTTP/压缩实测 | 额外有效订阅协商 HTTP/2，gzip 响应自动解码后仍为有效 JSON；Alt-Svc 广告 h3 | H2/gzip 通过；未强制 H3 或实测 Brotli/Zstd |
+| IPv6 与原始 IP | IPv6 开启，Pseudo IPv4=off，删除访问者 IP 标头的托管转换关闭 | 未覆盖或移除 CF-Connecting-IP |
+| Worker/转换覆盖 | 无 Worker 路由、请求/响应标头转换、源站规则或旧式页面规则；配置规则仅有本次 BIC 例外 | 未发现这些方式导致订阅改写 |
+| Bot Fight/Under Attack | Bot Fight 关闭，I'm under attack 关闭 | 本轮请求没有挑战页 |
+| 自定义防火墙/限流 | 自定义 WAF 和速率限制规则为零；托管规则列表未创建 | 不等于关闭 Cloudflare 平台自带 DDoS/自动防护 |
+| BIC | 全区域默认开启；Subscription client compatibility - c2 对精确主机下的订阅 API 和 /s/ 路径关闭 | 已经用户明确批准后实施；其他路径保留默认检查 |
+| 最低边缘 TLS | 仍为默认 TLS 1.0 | 有可评估的安全收紧；尚未实施，不影响当前现代客户端成功请求 |
+| HTML/JS 优化 | Rocket Loader、Speed Brain、Fonts、Early Hints、RUM 关闭 | 不把网页渲染优化误用于 JSON/YAML 订阅；本轮保持原值 |
+| 真实 IP 同步 | 新旧相关 Nginx vhost 引用受管理文件，22 段与本轮官方 HTTPS 列表逐集合一致，定时器 active | 同步实际接通；每天执行，非实时推送；无主动失败告警和故障注入验收 |
+| 共享资源保护 | 新旧网关容器运行、独立上游/卷/网络；原 XrayR PID/启动时间保持；Nginx -t 成功 | 此次 CF 调优没有重启网关。历史首次签发曾触发原网关一次重启，不能改写为从未影响 |
+
+Cloudflare 返回 DYNAMIC 与显式 Bypass cache 并不矛盾，官方说明支持这一表现。[缓存规则设置](https://developers.cloudflare.com/cache/how-to/cache-rules/settings/)
+
+## 已实施的兼容规则与原机场调优
+
+BIC 只筛查请求头，并非订阅令牌认证。关闭会减少一层请求头筛查，不能说风险完全不变。当前有效订阅本来就可通过，不能把 BIC 认定为历史地区失败的根因。自动审批最初拒绝部署，要求具体授权；用户在获知风险后明确回复“批准”，之后正常浏览器部署成功，没有采用绕过审批的控制方式。[BIC 官方说明](https://developers.cloudflare.com/waf/tools/browser-integrity-check/)、[配置规则设置](https://developers.cloudflare.com/rules/configuration-rules/settings/)
+
+以下两条 Configuration Rule 均只添加 Browser Integrity Check=Off，不跳过全部 WAF，不改网关 UA/IP 过滤、限流或令牌校验：
+
+```text
+Subscription client compatibility - c2
+(http.host eq "c2.deeplink-subscribe.com" and
+ (http.request.uri.path eq "/api/v1/client/subscribe" or starts_with(http.request.uri.path, "/s/")))
+
+Subscription client compatibility - fu101
+(http.host eq "fu101.gembox-sub.com" and
+ (starts_with(http.request.uri.path, "/sub/") or
+  http.request.uri.path eq "/api/v1/client/subscribe" or
+  starts_with(http.request.uri.path, "/api/v1/client/subscribe/")))
+```
+
+原订阅主机兼有管理入口，因此不能把 BIC 例外扩大到该主机所有路径。区域默认 BIC 仍开启，管理路径不匹配以上表达式。
+
+| 原机场项目 | 现场结果与本次操作 |
+| --- | --- |
+| DNS | fu101 A=65.99.193.129，已代理；未更改记录 |
+| 回源 TLS | 区域原为 Full/自动模式；新增 Strict origin TLS - fu101.gembox-sub.com，仅精确主机 SSL=Strict，顺序 1，活动；区域默认及其他主机保持原值 |
+| 源站证书 | fu101 证书 SAN 匹配，有效至 2026-12-17；已在 Strict 规则启用后成功拉取有效订阅 |
+| 缓存 | 新增后再按用户要求扩大：Bypass cache - gembox-sub.com (all hosts)，所有传入请求，绕过缓存，顺序 1，唯一活动规则 |
+| 客户端兼容 | 上述 fu101 BIC 例外为配置规则顺序 2，活动；不覆盖管理入口，不修改 SSL |
+| 真实响应 | 原生 /sub/ 路径的 sing-box JSON 与 Clash YAML 均 200、有效配置、no-store、DYNAMIC，无 Age/HIT/cf-mitigated；gzip JSON 解码通过 |
+| 保留网关过滤 | 无 UA 的兼容 API 请求仍为 403；现场 map 明确将空 UA 标记为拒绝对象。本次没有关闭该过滤，不把该响应认作 CF 挑战或全客户端验收通过 |
+| 网络与安全默认 | IPv6 开，Pseudo IPv4=Off；区域默认 BIC 开，Bot Fight/Precursor 关；Cloudflare 平台自动/DDoS 防护保留 |
+| 协议与网页项 | 页面 HTTP/2、HTTP/3、HTTP/2 to Origin、TLS 1.3 开；0-RTT、Early Hints、Speed Brain 关；原有 RUM 开，未更改。未证明实际 h2 回源或 H3 客户端协商 |
+| 共享服务 | 四个新旧网关/管理容器运行，ID/启动时间与变更前一致，Nginx 语法通过；没有操作原上游、卷、端口或服务重启 |
+
+原机场生产项目由当前 Nginx 确认为 `/www/wwwroot/fuuuu.cloud`；不能照搬 CoDocs 中旧的 `/www/wwwroot/fuuu.cloud` 路径。原应用为 SSPanel-Uim，订阅入口是 `/sub/{token}/{subtype}`，不是 dpl 的标准 API。有效令牌仅在原生产服务器的进程内存使用。
+
+## 订阅域名轮换与缓存范围
+
+用户明确要求同一区域更换订阅前缀时自动覆盖。两个区域的 Cache Rule 已分别改为“所有传入请求”（表达式 `true`），动作仅 Bypass cache；没有新增重复规则、浏览器 TTL 覆盖或修改源站 no-store 标头。这是区域级规则：覆盖该区域根域和当前/未来子域名经 CF 代理的 HTTP 请求，不覆盖另一个新购区域，不影响 DNS only 的节点流量。
+
+同一区域从 a 改到 b 后无需改缓存规则；仍须完成 DNS/代理、Nginx vhost、证书与续期、网关允许的 Host/上游、面板订阅 URL，以及精确主机范围的 BIC/TLS 规则调整，再做有效订阅复验。缓存配置不会自动让新主机上线，也不会解除地区封锁。后续若在这两个专用订阅区域部署静态站点，全部请求也会绕过 CF 边缘缓存，届时须单独设计例外和规则顺序。[缓存规则顺序](https://developers.cloudflare.com/cache/how-to/cache-rules/order/)
+
+## 回退
+
+- 仅回退本次缓存范围扩大：在原规则 ID 上恢复原名称及主机精确匹配，仍为 Bypass cache；变更前值保存在 `codex/output/cloudflare-audit-20261011/cache-rules-before-expansion.json`。dpl 的缓存规则原先已存在，不能直接删除来回退。
+- 回退 BIC：停用本次两条 Subscription client compatibility 配置规则，恢复区域默认检查。不操作管理入口或网关过滤。
+- 回退原机场 Strict：停用本次 Strict origin TLS - fu101.gembox-sub.com，回到原区域 Full/自动模式；不更改区域设置或证书。
+- 回到原机场本轮调优前：另行停用本轮新增的原机场 Cache Rule。勿删除其他区域或后来新增规则；先核对当前状态仍为本轮结果。
+
+## 仍未实施的可选调优
+
+1. 核对实际客户端和该区域其他代理主机后，评估把 dpl 最低边缘 TLS 从 1.0 提至 1.2。免费套餐的普通设置覆盖区域全部代理主机；按主机单独设置需要 ACM。本轮没有购买产品或改变 TLS 下限。[Minimum TLS 官方说明](https://developers.cloudflare.com/ssl/edge-certificates/additional-options/minimum-tls/)
+2. 日常观测订阅失败率和边缘/源站耗时后，才评估付费路由或额外性能产品。缓存加速不适用于含用户凭据的个性化订阅；0-RTT 关闭、HSTS 未启用、边缘 Always Use HTTPS 未启用不自动等同漏做。当前正式订阅 URL 使用 HTTPS，源站 HTTP 已 301 到 HTTPS。没有点击“启用所有可用设置”，没有宣称实测性能收益。[HTTP/2](https://developers.cloudflare.com/speed/optimization/protocol/http2/)、[HTTP/3](https://developers.cloudflare.com/speed/optimization/protocol/http3/)、[内容压缩](https://developers.cloudflare.com/speed/optimization/content/compression/)
+3. 官方 IP 段同步每天在宿主机时间 02:00 后随机最多 15 分钟执行，当前配置与官方列表相符；变化后最多等待下一轮成功同步，下载失败保留最后有效值。未来可单独评估更频繁同步和失败告警，本轮没有改共享定时器，不能保证 IP 调整时绝无短暂识别波动。
+
+## 验收与数据边界
+
+有效用户令牌只在生产服务器进程内存中使用，没有输出、复制或保存订阅令牌/正文；只输出白名单响应头和非私密节点参数。未改变用户、未恢复临时用户、未运行代理客户端产生正式用户节点流量。QA 不在当前下发用户集合，四个授权套餐关联正确，套餐其他字段与精确备份一致。
+
+本轮请求来自生产服务器；手机 GUI、系统 TUN、多地区、IPv6 端到端、H3、不同客户端 UA 全覆盖、同步故障注入与真实告警均未执行。本地节点连通按用户要求继续跳过。两区域缓存扩大、两订阅路径 BIC 例外、原机场 Strict 已部署，保存后的真实订阅与共享服务复验通过。文档本地已更新，Git 提交/推送状态以当轮交付记录为准。
+
+页面证据保存于 `codex/output/cloudflare-audit-20261011/`：`c2-cache-zone-enabled.png`、`old-cache-zone-enabled.png`、`c2-bic-enabled.png`、`old-bic-enabled.png`、`old-strict-enabled.png`。它们对应不同配置阶段，旧的精确主机缓存截图不代表最终缓存范围。
--- a/docs/maintenance/NODE_ONBOARDING.md
+++ b/docs/maintenance/NODE_ONBOARDING.md
@ -1,6 +1,6 @@
 # 节点与订阅网关接入

-核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 后台 TLS 后验和显式缓存规则仍受浏览器权限阻塞，整体尚未全部完成。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。
+核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 本聊天已正常访问，DNS/严格 TLS、有效订阅响应、HTTP/2 与 gzip 解码已复核；两个专用订阅区域的全域缓存绕过、两机场订阅路径 BIC 例外及原机场严格回源已部署并复验。已实施范围与可选未实施调优见下文。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。

 ## 当前连接关系

@ -25,15 +25,13 @@

 Namecheap 已委托至 bradley.ns.cloudflare.com、jewel.ns.cloudflare.com。导入的原有记录保留。c2 指向网关并启用代理；us01 指向节点，DNS only。两张源站证书有效期至 2027-01-09，公网订阅 HTTPS 可用。

-Cloudflare Full (strict) 曾提交保存，但保存后的账户状态因网站权限拦截未复核；显式订阅 Cache Rule 尚未创建，不能据公网 HTTPS 正常写成已完成。当前实际订阅返回 CF-Cache-Status: DYNAMIC、Cache-Control: private, no-store。
+2026-10-11 本聊天通过正常浏览器访问直接复核：dpl 区域 SSL/TLS 为 Full (strict)。初次只读审查没有配置/源站/请求或响应标头转换/URL 改写/重定向规则，旧式 Page Rules 为零。后续按具体授权新增订阅路径 BIC 配置规则，未设置 SSL，严格模式保持。

-恢复浏览器权限后的收尾配置已确定，尚未执行：
+订阅 Cache Rule 最初由用户另行创建的聊天部署，旧名为 `Bypass cache - c2.deeplink-subscribe.com`、精确匹配 c2。用户随后要求考虑订阅子域名更换，现已在原规则上改为 `Bypass cache - deeplink-subscribe.com (all hosts)`，所有传入请求（`true`），Bypass cache、活动、顺序 1、唯一生效；不添加重复规则。该范围仅是此区域经 CF 代理的 HTTP 请求，不把 DNS only 的节点流量接入橙云。DNS 页面确认 c2 的 A=65.99.193.129、已代理；us01 的 A=64.44.115.18、仅 DNS。

-1. 在 deeplink-subscribe.com 的 SSL/TLS 页面读取保存后的模式，确认 Full (strict)，同时核对是否有覆盖 c2 的 Configuration Rule。源站已有有效域名证书；不能只看浏览器锁标志判断回源校验模式。
-2. 在 Cache Rules 新增 `dpl-c2-subscription-bypass`，Custom filter expression 为 `http.host eq "c2.deeplink-subscribe.com"`，Cache eligibility 选择 Bypass cache。c2 专用于订阅，因此整个该主机绕过缓存；其他主机不匹配。
-3. 检查既有规则，将这条规则置于可能匹配 c2 的缓存资格规则之后，避免后续规则覆盖。部署后刷新页面复核名称、条件、动作及顺序，再核对订阅响应仍为 private/no-store，且没有 HIT 或 Age。
+初次只读审查之后实际保存了上述缓存调整和 BIC 规则。BIC 仅在精确 c2 主机的 `/api/v1/client/subscribe` 与 `/s/` 路径关闭，其他路径/主机保留区域默认检查，源站过滤与限流不改。配置最终保存后，已授权套餐的有效用户令牌只在生产服务器进程内存使用：标准路径连续两次和短路径均 200、有效 sing-box JSON、DYNAMIC、private/no-store，无 Age/HIT/cf-mitigated；没有输出、复制或保存令牌，也未启用临时用户。gzip 解码通过，先前独立请求实测 HTTP/2 并广告 h3。当前聊天访问成功不代表源聊天保存的拒绝记录已清除。

-依据 Cloudflare 官方说明：[Full (strict)](https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/)、[创建 Cache Rule](https://developers.cloudflare.com/cache/how-to/cache-rules/create-dashboard/)、[规则顺序](https://developers.cloudflare.com/cache/how-to/cache-rules/order/)。上述内容是待执行配置，不是完成记录。
+依据 Cloudflare 官方说明：[Full (strict)](https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/)、[创建 Cache Rule](https://developers.cloudflare.com/cache/how-to/cache-rules/create-dashboard/)、[规则顺序](https://developers.cloudflare.com/cache/how-to/cache-rules/order/)。上述页面配置及本轮响应验收均已完成；这些请求来自生产服务器，不代表手机、TUN 或多地区验收。

 宿主 Nginx 只信任 Cloudflare 官方网段的 CF-Connecting-IP，再向新容器发送清洗后的真实 IP。新容器仅信任本项目网桥 172.28.31.1。实际公网请求的 Cloudflare trace IP 与新网关日志已逐值比对一致，文档不保留个人 IP。

@ -51,6 +49,20 @@ dpl-cloudflare-ips.timer 每日宿主机时间 02:00 执行，随机延迟最多

 原网关重启后运行正常，原订阅路由回归通过，容器 ID 保持原值；之后的新证书钩子及 IP 同步未再次重启原容器。不能据后续回归通过声称整个任务中原网关从未重启，或证明当时所有用户均无感。

+## Cloudflare 扩展审查与后续复用
+
+2026-10-11 用户进一步要求核查交接清单本身的遗漏，尤其是 Cloudflare 调优。本轮从订阅 API 的使用场景重建检查项，不以既有待办清单作为完整性证明。详见 [Cloudflare 审查记录](CLOUD_FLARE_AUDIT.md)。实际确认严格 TLS、缓存隔离、边缘证书、HTTP/2、HTTP/3、TLS 1.3、IPv6、真实 IP 请求头保留、Worker/转换规则和安全挑战状态；后续按追加授权实施了客户端兼容及原机场配置。
+
+后续接入或调整 c2 时，必须同时核对：有效订阅及 UA/压缩格式、缓存规则顺序与响应头、Bot Fight/Under Attack/BIC、Pseudo IPv4 与删除访问者 IP 的托管转换、Worker 路由与规则覆盖、边缘/源站证书和续期、共享网关 IP 同步。不要把“HTTPS 200”或一份旧清单当成这些检查已完成。HTML/JS/图片优化按钮和缓存付费产品不作为订阅接口的默认调优步骤。
+
+原机场 fu101.gembox-sub.com 的唯一活动 Cache Rule 也覆盖整个 gembox-sub.com 区域；新增仅匹配 fu101 的 SSL=Strict 规则，以及仅匹配其原生 `/sub/` 和兼容订阅 API 路径的 BIC=Off 规则。管理入口不在 BIC 例外中。原机场 sing-box/Clash 有效订阅、no-store、无缓存命中复验通过；空 UA 仍按原网关规则被拒绝。此次 CF 调优没有重启新旧容器，也未更改原上游、端口、卷或过滤。
+
+BIC 是用户获知请求头筛查减少的风险后具体批准的兼容调整，不能认定为历史失败的根因。dpl 最低边缘 TLS 仍为 1.0，提升至 1.2 尚未实施；当前免费套餐普通设置覆盖区域全部代理主机，须核对兼容性，不得误当作只作用于 c2。
+
+### 订阅域名更换
+
+这两个专用订阅区域已经按用户要求使用全域 Cache Rule；在同一区域换前缀无需改缓存范围，跨到新购区域必须重新配置。规则只负责绕过边缘缓存，不能自动使新域名可用。更换时逐项核对 DNS/代理、宿主 Nginx vhost、证书及续期、网关允许的 Host/上游、面板订阅 URL、精确主机 BIC/TLS 配置，并验收有效订阅及原机场回归。新增静态站点需重新考虑区域级缓存范围，不能盲目套用。
+
 ## 新节点参数单

 | 参数 | 首次实例 | 后续填写规则 |
@ -121,6 +133,7 @@ php scripts/node-onboarding/promote.php \
 - 模板：从对应私密模板备份恢复该条内容并清理模板缓存，不替换整个设置表。
 - 网关：只停新 Compose 项目、撤回新域名 vhost，检查后平滑重载。不能停止原项目、删原卷或改原上游；独立证书目录和定时器按本次备份回退。
 - IP 同步：检查 dpl-cloudflare-ips.service、journal 和最后有效文件，不退化为信任所有来源。原 vhost 的追加授权变更可按专用备份独立回退。
+- Cloudflare：缓存扩大在原规则 ID 上恢复旧主机条件；不删除原本已有的 dpl 规则。BIC/原机场 Strict 只停用本次新增规则，区域默认保留。具体名称、原条件备份与恢复顺序见 CLOUD_FLARE_AUDIT.md。
 - 浏览器保存拒绝：检查 Codex Settings → Browser → Agent permissions 的 Browse 网站规则及覆盖规则；仍拦截则重新启动应用后复核。不能用其他控制方式绕过拒绝，公网结果不能替代账户设置核验。

 ## 节点登记及验收边界
@ -137,6 +150,6 @@ php scripts/node-onboarding/promote.php \

 最终分段复核：本机与已测通网关的入口 DNS 均为 199.30.91.63，本机直连 64.44.115.18:24443 的严格 TLSv1.3 握手成功，但本机到中转 47101 仍为 TLS EOF。现有后台只有隧道 17517，新增表单未提供备用监听 IP；仅查看后取消，没有创建额外规则。用户确认本机开启代理，随后明确要求跳过本地连通测试，已停止这一排查。本地结果记为跳过且原因未定位，不再作为本次交付阻塞项，也不记为通过；用户网络可达性没有保证。

-仍待完成：Cloudflare Full (strict) 后验及显式缓存规则；工具仍报告 dash.cloudflare.com 被保存的拒绝权限拦截，用户需解除实际规则或重启应用后再核验。本地连通按用户要求跳过；GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。
+Cloudflare 页面和最终规则保存后的有效订阅复核已完成。全域缓存绕过、两个机场订阅路径 BIC 例外及原机场严格回源已实施；提高 dpl TLS 下限、更频繁 IP 同步/告警仍为可选未实施项，见 CLOUD_FLARE_AUDIT.md。当前聊天已正常访问，源聊天权限是否恢复未核验。本地连通按用户要求跳过；GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。

 后续可直接给维护代理：“按 docs/maintenance/NODE_ONBOARDING.md 接入 dpl 的下一节点，先填参数单、复核共享资源和证书钩子，只新增，不动原机场；完整订阅实测后再开放指定套餐，更新登记与 STATUS。”本文不启动聊天结束后的自动维护。
--- a/docs/maintenance/README.md
+++ b/docs/maintenance/README.md
@ -20,6 +20,7 @@
 | DEPLOYMENT.md | Git 发布、备份、运行依赖、恢复及故障排查 |
 | TELEGRAM_TICKETS.md | Telegram 工单接入、绑定、权限及故障处理 |
 | STATUS.md | 最近验证基线、已知限制与待验收项目 |
+| CLOUD_FLARE_AUDIT.md | 两机场 Cloudflare 审查、已部署调优、域名轮换与回退及可选未实施项 |
 | NODE_ONBOARDING.md | 共享资源隔离、订阅网关与新增节点流程及待验收状态 |

 这些说明用于辅助 AI 接手，不代表 AI 会在聊天结束后自动持续运行。应用定时任务在服务器执行，AI 维护任务需要会话或明确配置的自动化来启动。
--- a/docs/maintenance/STATUS.md
+++ b/docs/maintenance/STATUS.md
@ -113,3 +113,33 @@ Resend 发信、常规 SMTP、配额回退、投递事件回调、master 一次
 尚未完成：Cloudflare Full (strict) 提交后的账户状态复核、显式订阅缓存绕过规则。dash.cloudflare.com 被浏览器保存拒绝持续拦截；用户多次修改设置后实际重试仍失败，需要清除覆盖规则或重新启动应用后再核对。公网 HTTPS 正常和 no-store 不能代替这些账户检查，整体任务尚未全部完成。

 最终分段补查：本机与网关解析入口均为 199.30.91.63，本机直连落地 24443 严格 TLSv1.3 成功，但本机至入口 47101 仍在 TLS 握手阶段 EOF。已查看新增规则表单，仅有隧道 17517 且无备用监听 IP，取消未保存；没有修改原规则或创建诊断规则。网关环境的完整实际订阅已测通，不代表本机或所有用户网络已通过。用户确认本机开启代理，随后明确要求跳过本地连通测试；已停止该排查，标记为跳过而非通过，不再作为本次交付阻塞项。Cloudflare 两项仍待完成，准确配置与复核步骤已写入 NODE_ONBOARDING.md。
+
+
+## 2026-10-11 Cloudflare 遗漏项复核
+
+用户要求核对此前权限阻塞是否导致必要操作遗漏。本聊天通过正常浏览器成功访问并直接确认 Full (strict)、c2 唯一活动的缓存绕过规则（顺序 1，名称 Bypass cache - c2.deeplink-subscribe.com）、c2 橙云及 us01 DNS only。规则总览没有配置规则、源站规则或标头转换规则，旧式页面规则为零。缓存规则由用户另行创建的配置聊天先前部署，本轮没有重复创建或修改线上设置。
+
+上文的 Cloudflare 两项“仍受权限阻塞、未完成”是历史状态，现已由上述现场核验替代；NODE_ONBOARDING 已同步。本聊天访问成功不表示源聊天旧拒绝记录已清除。尚未完成：显式规则部署后使用有效订阅重新检查 private/no-store、无 HIT 或 Age；先前响应记录不能代替本次验收。本轮没有读取正式用户订阅令牌、重启服务或恢复临时用户。服务器真实 IP、官方网段同步及证书续期沿用历史验收，本轮未重新核验。用户指定的本地连通测试仍为跳过；手机/TUN、多地区、超额、多设备和 IP 同步故障注入均未执行。
+
+
+## 2026-10-11 从原始目标重建 Cloudflare 调优检查
+
+用户指出交接清单本身可能遗漏，并强调 Cloudflare 配置和调优。本轮独立重建检查项，读区域 DNS、边缘证书、SSL/TLS、规则、网络、安全、协议/内容优化及 Worker 页面；经白色跳板只读复核网关、节点与面板。正式有效订阅（令牌仅进程内存使用）连续标准路径请求、短路径及 H2/gzip 请求通过：200、有效 JSON、DYNAMIC、private/no-store，无 Age/HIT/cf-mitigated。此前“规则部署后有效响应仍未验收”的状态已由本轮结果替代。
+
+新增发现：BIC 仍全域开启且无 c2 主机例外，最低边缘 TLS 仍为 1.0。二者是可评估的兼容性/安全调优，尚未实施；不能从现状认定它们由权限阻塞造成或是旧地区失败根因。HTTP/2、HTTP/3、TLS 1.3、IPv6 均已开；Pseudo IPv4 与移除访问者 IP 托管转换关闭；Bot Fight、Under Attack 关闭，无 Worker 路由或相关改写规则。官方 IP 信任文件当前 22 段与官方下载一致，定时器 active，但频率为每日、无主动失败告警、未故障注入。完整表格与补充调优方案见 CLOUD_FLARE_AUDIT.md，后续接入清单已扩展。
+
+本轮没有修改 Cloudflare/线上数据库/服务，没有重启或产生正式用户代理流量。文档本地修改尚未提交/推送/发布。原网关历史签发期间一次重启的记录继续保留；当前运行和隔离复核不能覆盖该历史事实。GUI/TUN、多地区、IPv6 端到端和 H3 等未执行，用户指定本地连通测试继续跳过。
+
+## 2026-10-11 两机场 Cloudflare 调优与订阅域名轮换
+
+用户追加授权原机场一起调优，并在获知关闭 BIC 会减少一层请求头筛查后明确批准只针对两机场订阅路径操作。此前自动审批拒绝具体安全调整；获得具体批准后正常浏览器部署成功。上节“BIC 未实施”是历史阶段，现已由如下结果替代：
+
+- dpl 新增 Subscription client compatibility - c2，精确 c2 主机的标准 API 与 /s/ 路径 BIC=Off，活动；其余路径、区域默认及源站过滤保留，区域 Full (strict) 不变。
+- 原机场新增 Strict origin TLS - fu101.gembox-sub.com，仅该主机 SSL=Strict，活动、顺序 1；原区域 Full/自动模式不改。新增 Subscription client compatibility - fu101，仅原生 /sub/ 与兼容订阅 API 的 BIC=Off，活动、顺序 2。管理入口保留默认检查。
+- 用户要求将来更换订阅前缀不再修改缓存：两个区域分别将唯一活动 Cache Rule 改为 Bypass cache - deeplink-subscribe.com (all hosts) 和 Bypass cache - gembox-sub.com (all hosts)，所有传入请求（true）、绕过缓存、顺序 1。没有新增重复规则或修改浏览器 TTL。旧规则值已记录供精确回退。
+
+最终保存后再次用正式有效订阅复验：dpl 标准路径连续两次与短路径均 200、有效 sing-box JSON、严格 AnyTLS 参数、private/no-store、DYNAMIC；原机场 /sub/ 的 sing-box JSON、Clash YAML 均 200、正确格式、no-store、DYNAMIC；均无 Age/HIT/cf-mitigated，gzip JSON 解码通过。额外空 UA 请求仍为 403，现场原网关 map 明确拒绝空 UA，本次未削弱该过滤。不是所有 UA 或多地区验收。
+
+新旧四个网关/管理容器仍运行，ID/启动时间与本轮变更前一致，宿主 Nginx 语法通过；没有改原上游、卷、端口、服务代码或用户配置，没有重启或产生正式节点代理流量。原机场 DNS 仍为 fu101 A=65.99.193.129、已代理；IPv6 开、Pseudo IPv4 关，区域默认 BIC 开、Bot Fight/Precursor 关；H2/H3/TLS1.3 页面已启用，未证明实际 h2 回源或 H3 协商。
+
+同一区域换子域名前缀会自动覆盖缓存，仍需同步 DNS、vhost、证书/续期、网关 Host、面板订阅 URL、精确主机 BIC/TLS 规则并有效订阅复验；跨新区域不自动覆盖。已同步 NODE_ONBOARDING 与 CLOUD_FLARE_AUDIT 的已实施状态、轮换步骤和回退方式。最低 TLS 收紧、更频繁 IP 同步和告警等可选项未实施；本地连通按用户要求继续跳过。截图与缓存原值记录位于 codex/output/cloudflare-audit-20261011/；文档 Git 状态以本轮交付记录为准。