dpl/docs/maintenance/NODE_ONBOARDING.md

节点与订阅网关接入

后续接入的参数与命令唯一入口：节点接入执行手册。首次初始化与追加节点分别执行，不自动改订阅地址、套餐或用户关联。

首节点历史核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 本聊天已正常访问，DNS/严格 TLS、有效订阅响应、HTTP/2 与 gzip 解码已复核；两个专用订阅区域的全域缓存绕过、两机场订阅路径 BIC 例外及原机场严格回源已部署并复验。已实施范围与可选未实施调优见下文。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。

2026-10-17 三个日本节点批量接入

按用户授权新增日本 JP - 02/03/04，分别部署于 node-jp03/04/05；展示编号、VPS、部署key和数据库ID独立。三台均为本次登录核实的 Debian11/x86_64、JP IPv4出口；新建独立 AnyTLS 24443、DNS only A记录及中转规则 dpl-jp03/04/05-anytls，入口47203/47204/47205，总规则25→28。收发Proxy Protocol均关闭，未改原443规则。

三个隔离QA分别实测严格TLS/SNI、实际IPv4出口与国家、双向流量及在线心跳，经一个核查验收助手逐报告摘要复核后，主协调者以append预览/应用，只将新节点加入基础节点组1并禁用本次QA。QA账号19/20/18分别属于jp03/04/05；节点/机器ID分别4/5/3，不能据数据库ID推断展示顺序。

本次使用既有正式组有效管理员账号ID1，确认其在五节点实际下发集合中；未为正式验收另建账号或更改该账号权限/密码，不代表普通付费用户、购买或套餐流程验收。正式有效订阅实取后包含美国01和日本01至04共五个AnyTLS出站，官方sing-box 1.14.3逐一实际联网；五个端点均严格TLS，出口/国家分别与节点登记相符，完整订阅DNS/路由校验通过。三个QA订阅均403且不在节点实际用户下发集合；既有全部套餐、正式用户组/套餐关联、订阅地址和旧两节点关键配置逐字段符合基线。四个新旧网关容器ID、启动时间及重启计数保持原值；未部署生产应用代码、改价格/套餐或重启共享网关。

三张独立证书有效期至2027-01-14 UTC，沿用既有Snap Certbot调度，独立renewal与仅重启dpl-node的deploy hook；逐台续期dry-run成功，原XrayR 443保留。例外：jp03旧XrayR在DPL尚未安装时因既有QUIC sniffer越界panic，经systemd自动恢复（198435→215765）；前检自动停止后保留原基线/哈希、事故日志、两次稳定采样和diff，经独立复核仅更新任务进程检查字段。其余两台旧PID保持。未修改旧XrayR配置、程序或服务；无原配置哈希，不宣称前后哈希一致。不能把此次结果写成三台原PID全程不变。

源码6af6764已提交并推送；独立运维提交b8d10fac963d63825c97d36d41ff7f525116bbfd已推送codex/node-batch-20261017并部署到面板/网关/三台新节点。PHP语法检查、9项/65断言面板隔离测试与11项批量进程测试通过；真实通知/用户下发由本次在线和实际用户集合补充验证，未演练生产故障回退。

唯一任务计划与账本：codex/output/node-batch-20261017/batch.json、ledger/jp03-jp04-jp05-20261017-reviewed；证据包括*-evidence.json、formal-evidence.json、final-metadata.json和后台截图，均不入Git。远端面板/节点私有备份为/root/codex-backups/dpl/node-onboarding-20261017-jp03/04/05；面板全批旧资源基线在/root/codex-backups/dpl/node-batch-20261017；网关正式验收在/var/lib/dpl-sgw/qa-batch-20261017。面板回退按各自promotion-journal逐字段预览，不恢复整库；DNS/中转/节点服务分别专项回退。

自动audit会检查三条新端点集合、报告摘要和QA403；冻结任务适配器未自动逐一核对旧两节点结果、每个出口IP及QA拒绝文件摘要/身份/时间，须由主协调与助手独立对照完整五节点实测报告及原始文件补齐，本次按此执行。三节点账本已全部complete。管理面板浏览器已验证节点/服务器列表切换、五台在线及保存后的名称、端口、基础节点组显示，未额外提交编辑表单默认值。未进行本机/手机客户端GUI、TUN、多地区或多设备并发测试；三节点调度验证不等于十节点耗时承诺。

2026-10-16 日本节点接入

本轮选择 node-jp02；现场确认 IPv4 出口地区 JP、24443 空闲、无既有 DPL 服务，生产原来只有美国节点，故未重复接入。新节点运行接入及正式开放完成，管理面板浏览器验收已通过；下文首节点历史验收范围不自动扩大到本轮。

• 新节点/机器 ID 均为 2，名称 🇯🇵 日本 JP - 01（同日按独立编号规则修正；数据库 ID 2 和部署 key jp02 保留）；AnyTLS 独立 dpl-node，24443。中转新增 dpl-jp02-anytls，入口 haiwi.lshan.eu.org:47202，目标 193.111.31.52:24443；原 jp02 的 46202 → 443、原美国规则均保留，规则总数由 24 变为 25，收发 Proxy Protocol 均禁用。
• jp02.deeplink-subscribe.com 新增 A=193.111.31.52、DNS only；证书有效至 2027-01-14。沿用节点既有 Snap Certbot 续期调度，新证书独立 renewal 配置，deploy hook 以 /bin/sh /opt/dpl-node/provision/renew-node.sh 调用，只重启新服务。dry-run 加 --no-random-sleep-on-renew --run-deploy-hooks --no-directory-hooks 后通过，原 XrayR PID 1419132、启动时间保持原值。首次演练因随机等待超出 SSH 超时而 BrokenPipe，不记为通过；随后无随机等待重试成功。
• 网关上以隔离测试账号的完整 sing-box 订阅实际联网通过：严格 TLS、日本出口 193.111.31.52/JP、目标 HTTPS TLSv1.3，完整 DNS/路由启动；订阅 200、gzip JSON、private/no-store、DYNAMIC，无 Age 或挑战头。面板收到上下行 11354/125812 字节。中转后台入口至目标诊断成功。
• 按既有套餐范围 1/6/7/8，将节点加入基础节点组 1；没有新增套餐/现有用户分组关联，没有改价格、流量、周期、设备限制。测试用户 ID 16 已禁用、订阅 403。正式有效用户订阅复核同时包含美国 47101、日本 47202，二者严格 TLS。
• 运维代码通过已推送 Git 提交 b05c3215505c6ea70042aed0b102c682406528be 的 bundle 检出到 /opt/dpl-node/provision；独立二进制 v1.13 的 SHA256 与本文固定值一致，面板运行代码未改。节点缺 Git，原 Debian11 源包下载 404，任务临时使用 Debian 官方 HTTPS 归档索引安装 Git 及必要依赖；未改 /etc/apt/sources.list，没有全量升级系统。
• 机器配置/令牌及 QA 参数通过严格主机密钥校验、经白色机的 SSH 流式传送，未生成本地秘密副本。节点配置及网关独立 QA 文件均 600、父目录 700。备份：面板和节点各自 /root/codex-backups/dpl/node-onboarding-20261016-jp02，正式关联回退使用面板 before-promotion.json 精确恢复，不恢复整库。

管理界面经已登记主站反代实际登录、节点列表及服务器列表切换通过；两台服务器均在线，日本节点名称、基础节点组、47202/24443、SNI 和严格校验开关回读一致，编辑表单只检查后取消，未额外提交默认表单值。

最终回归：原美国节点关键配置和套餐全部字段与本轮前快照一致；面板实际下发用户集合不包含 QA 用户 16。共享网关四容器的 ID、启动时间、重启计数均保持原值。内核使用内存配置，磁盘 kernel 目录只见节点证书；没有把未找到 JSON 配置误判为服务故障。

后台访问按 CoDocs DPL 档案 → PRX-020 到已登记反代；账号凭据只在 CoDocs 私有凭据正文，不写入项目。证据截图位于 codex/output/node-jp02-20261016/。未执行本机节点直连、手机 GUI、TUN、多地区或并发验收；不把服务器侧通过写成这些项目通过。

当前连接关系

订阅：客户端 → c2.deeplink-subscribe.com（Cloudflare 橙云 HTTPS）→ gateway-01 宿主 Nginx → dpl 独立 SubSieve → dpl 面板。

流量链路按部署key分列；2026-10-17正式五节点订阅逐条联网复验通过：

部署 key	VPS（不代表展示编号）	中转入口	落地	TLS 名称	证据
us01	node-us01	haiwi.lshan.eu.org:47101	64.44.115.18:24443	us01.deeplink-subscribe.com	2026-10-11 首节点验收
jp02	node-jp02	haiwi.lshan.eu.org:47202	193.111.31.52:24443	jp02.deeplink-subscribe.com	本文2026-10-16日本节点接入
jp03	node-jp03	haiwi.lshan.eu.org:47203	185.200.65.70:24443	jp03.deeplink-subscribe.com	本文2026-10-17批量接入
jp04	node-jp04	haiwi.lshan.eu.org:47204	85.113.70.174:24443	jp04.deeplink-subscribe.com	本文2026-10-17批量接入
jp05	node-jp05	haiwi.lshan.eu.org:47205	45.153.246.171:24443	jp05.deeplink-subscribe.com	本文2026-10-17批量接入

客户端 → 对应中转入口 → 对应落地 → 目标网络。五条链路均使用严格 AnyTLS TLS；普通 Cloudflare 橙云用于订阅 HTTP，不用于原生 AnyTLS 流量。完整对象关联见CoDocs DPL档案。

资源	DPL独立资源（各次接入）	必须保留的原有资源
node-us01	dpl-node，TCP 24443，机器/节点 ID 1（2026-10-11）	XrayR，TCP 443
node-jp02	dpl-node，TCP 24443，机器/节点 ID 2（2026-10-16）	XrayR，TCP 443；原中转 46202 → 443
node-jp03	dpl-node，TCP 24443，机器/节点 ID 4（2026-10-17）	XrayR，TCP 443；自身panic恢复例外见本次记录
node-jp04	dpl-node，TCP 24443，机器/节点 ID 5（2026-10-17）	XrayR，TCP 443
node-jp05	dpl-node，TCP 24443，机器/节点 ID 3（2026-10-17）	XrayR，TCP 443
中转	五条独立AnyTLS规则，链路见上表	原443链路及其他规则
gateway-01	dpl-subscribe-gateway、dpl-subscribe-admin	subscribe-gateway、subscribe-admin
网关回环端口	18080 / 18443，管理 16444	8080 / 8443，管理 64444
Docker 存储	dpl_sgw_config、dpl_sgw_logs	sgw_gw_config、sgw_gw_logs
Docker 网络	dpl_sgw_net，172.28.31.0/24	原项目网络

现场 SubSieve 的接口和界面只有一个上游，没有发现直接维护两个机场的上游列表。因此采用同机第二实例，独立配置、凭据、卷和端口。新网关限制 160MB，管理容器限制 128MB，分别限制 0.5 CPU；管理端口不开放公网。以后新增 dpl 节点复用这套网关，无需重复部署。

节点使用官方 cedar2025/Xboard-Node v1.13，Linux amd64 文件 SHA256 为 55bf71fa9d9f2048d3255ae7c0af929a41897ca7743f6ead34132a6ca4c79043。独立 systemd 服务及配置目录，不更新或重启 XrayR。网关固定镜像 ID 见 scripts/node-onboarding/gateway.compose.yml。共享宿主机的容量须在每次变更前重新核验。

DNS、真实 IP 和证书

2026-10-11首节点记录：Namecheap 已委托至 bradley.ns.cloudflare.com、jewel.ns.cloudflare.com。导入的原有记录保留。c2 指向网关并启用代理；us01 指向节点，DNS only。两张源站证书有效期至 2027-01-09，公网订阅 HTTPS 可用。后续日本节点独立DNS与证书见各次接入记录。

2026-10-11 本聊天通过正常浏览器访问直接复核：dpl 区域 SSL/TLS 为 Full (strict)。初次只读审查没有配置/源站/请求或响应标头转换/URL 改写/重定向规则，旧式 Page Rules 为零。后续按具体授权新增订阅路径 BIC 配置规则，未设置 SSL，严格模式保持。

订阅 Cache Rule 最初由用户另行创建的聊天部署，旧名为 Bypass cache - c2.deeplink-subscribe.com、精确匹配 c2。用户随后要求考虑订阅子域名更换，现已在原规则上改为 Bypass cache - deeplink-subscribe.com (all hosts)，所有传入请求（true），Bypass cache、活动、顺序 1、唯一生效；不添加重复规则。该范围仅是此区域经 CF 代理的 HTTP 请求，不把 DNS only 的节点流量接入橙云。DNS 页面确认 c2 的 A=65.99.193.129、已代理；us01 的 A=64.44.115.18、仅 DNS。

初次只读审查之后实际保存了上述缓存调整和 BIC 规则。BIC 仅在精确 c2 主机的 /api/v1/client/subscribe 与 /s/ 路径关闭，其他路径/主机保留区域默认检查，源站过滤与限流不改。配置最终保存后，已授权套餐的有效用户令牌只在生产服务器进程内存使用：标准路径连续两次和短路径均 200、有效 sing-box JSON、DYNAMIC、private/no-store，无 Age/HIT/cf-mitigated；没有输出、复制或保存令牌，也未启用临时用户。gzip 解码通过，先前独立请求实测 HTTP/2 并广告 h3。当前聊天访问成功不代表源聊天保存的拒绝记录已清除。

依据 Cloudflare 官方说明：Full (strict)、创建 Cache Rule、规则顺序。上述页面配置及本轮响应验收均已完成；这些请求来自生产服务器，不代表手机、TUN 或多地区验收。

宿主 Nginx 只信任 Cloudflare 官方网段的 CF-Connecting-IP，再向新容器发送清洗后的真实 IP。新容器仅信任本项目网桥 172.28.31.1。实际公网请求的 Cloudflare trace IP 与新网关日志已逐值比对一致，文档不保留个人 IP。

按用户追加授权，原机场两个订阅 vhost 也已加入 /etc/nginx/dpl-cloudflare-realip.conf，其余内容保留。写入前备份、nginx -t 和平滑重载通过；vhost 级信任列表替代继承的旧静态列表。原容器内的网桥信任配置保留，原订阅经 Cloudflare 的请求也已核对到访问者出口 IP。

dpl-cloudflare-ips.timer 每日宿主机时间 02:00 执行，随机延迟最多 15 分钟。脚本下载官方 ips-v4 / ips-v6，校验地址族、CIDR、数量、重复和过宽网段，完整有效才原子替换；下载/校验失败保留上次文件，Nginx 检查/重载失败回退文件。当前成功同步 22 段、定时器启用。不是实时推送；失败记录在 journal，没有主动告警，尚未执行故障注入验收。

新网关 Certbot 独立使用 /etc/dpl-letsencrypt，由 dpl-gateway-cert.timer 每日 03:00、随机延迟最多一小时续期。--no-directory-hooks 避开原机场全局钩子，专用钩子只检查/重载新网关、新管理容器和宿主 Nginx。新网关和新节点的续期 dry-run 均已通过；网关专用 deploy hook 实际执行检查/重载通过，原容器启动时间未变。ACME webroot 为 /var/lib/dpl-sgw/acme，父目录须允许 Nginx worker 遍历；admin.env 保持 600，验收目录保持 700。

节点续期钩子只匹配 /etc/dpl-node/certificate-domain 中的域名并 try-restart dpl-node，不操作 XrayR。首次签发前须审计既有 pre/post/deploy 钩子及 renewal 配置；不能认为签发新域名仅影响新服务。

首次签发期间的原网关重启

首次 c2 签发前未充分审计既有 Certbot 全局 deploy hook，触发它重启了一次原 subscribe-gateway，时间为 2026-10-11 08:14:19 UTC。原管理容器未重启。已告知用户，后续将新证书注册/续期迁至独立目录并禁用原目录钩子；原钩子本身未修改。

原网关重启后运行正常，原订阅路由回归通过，容器 ID 保持原值；之后的新证书钩子及 IP 同步未再次重启原容器。不能据后续回归通过声称整个任务中原网关从未重启，或证明当时所有用户均无感。

Cloudflare 扩展审查与后续复用

2026-10-11 用户进一步要求核查交接清单本身的遗漏，尤其是 Cloudflare 调优。本轮从订阅 API 的使用场景重建检查项，不以既有待办清单作为完整性证明。详见 Cloudflare 审查记录。实际确认严格 TLS、缓存隔离、边缘证书、HTTP/2、HTTP/3、TLS 1.3、IPv6、真实 IP 请求头保留、Worker/转换规则和安全挑战状态；后续按追加授权实施了客户端兼容及原机场配置。

后续接入或调整 c2 时，必须同时核对：有效订阅及 UA/压缩格式、缓存规则顺序与响应头、Bot Fight/Under Attack/BIC、Pseudo IPv4 与删除访问者 IP 的托管转换、Worker 路由与规则覆盖、边缘/源站证书和续期、共享网关 IP 同步。不要把“HTTPS 200”或一份旧清单当成这些检查已完成。HTML/JS/图片优化按钮和缓存付费产品不作为订阅接口的默认调优步骤。

原机场 fu101.gembox-sub.com 的唯一活动 Cache Rule 也覆盖整个 gembox-sub.com 区域；新增仅匹配 fu101 的 SSL=Strict 规则，以及仅匹配其原生 /sub/ 和兼容订阅 API 路径的 BIC=Off 规则。管理入口不在 BIC 例外中。原机场 sing-box/Clash 有效订阅、no-store、无缓存命中复验通过；空 UA 仍按原网关规则被拒绝。此次 CF 调优没有重启新旧容器，也未更改原上游、端口、卷或过滤。

BIC 是用户获知请求头筛查减少的风险后具体批准的兼容调整，不能认定为历史失败的根因。dpl 最低边缘 TLS 仍为 1.0，提升至 1.2 尚未实施；当前免费套餐普通设置覆盖区域全部代理主机，须核对兼容性，不得误当作只作用于 c2。

订阅域名更换

这两个专用订阅区域已经按用户要求使用全域 Cache Rule；在同一区域换前缀无需改缓存范围，跨到新购区域必须重新配置。规则只负责绕过边缘缓存，不能自动使新域名可用。更换时逐项核对 DNS/代理、宿主 Nginx vhost、证书及续期、网关允许的 Host/上游、面板订阅 URL、精确主机 BIC/TLS 配置，并验收有效订阅及原机场回归。新增静态站点需重新考虑区域级缓存范围，不能盲目套用。

节点命名与编号

本节是 DPL 节点命名的唯一规则正文。展示编号按国家分别从 01 起递增，采用“旗帜 中文国家 国家代码 - 两位序号”的格式，例如 🇺🇸 美国 US - 01、🇯🇵 日本 JP - 01。接入前先查询生产节点清单，按该国家已有编号分配下一号，核对名称和编号均不冲突；不得从 VPS 代号截取数字作为节点展示编号。

VPS 代号、数据库节点/机器 ID、部署 key 与展示编号各自独立。部署 key 是唯一且稳定的运维标识，不承担展示序号含义；选择服务器或迁移宿主不自动改变节点编号。接入参数单必须明确记录展示名称、部署 key、实际 VPS 和面板 ID 的对应关系。

例如，DPL 第一条日本节点部署在 node-jp02 上，展示名应为 🇯🇵 日本 JP - 01。本轮已有部署 key jp02、机器名 dpl-jp02、数据库 ID 2 均保留；修正展示名不连带重命名 DNS、证书、中转、服务、备份目录或其他内部资源。

新节点参数单

参数、冲突检查与模式选择统一见执行手册，不沿用首节点示例作为后续默认值。命名仍以本文前一节为准。

重复执行步骤

按统一接入顺序执行；先区分首次 initialize 与已有组 append。promote.php必须显式mode；append只修改新节点及本次QA，默认预览、apply才写入。2026-10-17已通过隔离测试并部署独立运维快照，具体版本与现场范围见STATUS；不能用未知版本旧脚本替代。

依赖检查在创建面板资源前完成；证书演练、完整订阅验收、精确回退与现有脚本限制均在执行手册维护，不在多处复制命令。面板正式开放/精确回退与多节点验证入口的测试、部署及现场范围见执行手册和STATUS。远程服务/DNS/中转仍按专项恢复。

数据库默认 sing-box 模板已迁移新 DNS/路由格式，保留原分流和选择逻辑；现代本地 DoH 使用默认 dialer，不绕到空 direct 出站。仓库原默认资源和其他机场模板不改。apply-template.php 仅接受原默认模板，或与显式 expected-current-sha256 完全匹配的旧版本，逐次备份后只更新该模板/缓存。用户定制或未知模板须先审查，不能强行覆盖。

回退与排障

节点变更先按精确回退入口与证据契约确定本次对象及 before/after。下列专项恢复说明继续适用；历史 before-promotion 不保证包含所有 after 值，不能盲目恢复。

• 单节点：停用本次节点/新增中转，停止新 dpl-node；保留 XrayR、原规则和审计数据。
• 正式关联：依据 before-promotion.json 精确恢复本次套餐/用户组及订阅域名，先确认当前值仍是本次写入值，避免覆盖后续业务。不恢复整库。
• 模板：从对应私密模板备份恢复该条内容并清理模板缓存，不替换整个设置表。
• 网关：只停新 Compose 项目、撤回新域名 vhost，检查后平滑重载。不能停止原项目、删原卷或改原上游；独立证书目录和定时器按本次备份回退。
• IP 同步：检查 dpl-cloudflare-ips.service、journal 和最后有效文件，不退化为信任所有来源。原 vhost 的追加授权变更可按专用备份独立回退。
• Cloudflare：缓存扩大在原规则 ID 上恢复旧主机条件；不删除原本已有的 dpl 规则。BIC/原机场 Strict 只停用本次新增规则，区域默认保留。具体名称、原条件备份与恢复顺序见 CLOUD_FLARE_AUDIT.md。
• 浏览器保存拒绝：检查 Codex Settings → Browser → Agent permissions 的 Browse 网站规则及覆盖规则；仍拦截则重新启动应用后复核。不能用其他控制方式绕过拒绝，公网结果不能替代账户设置核验。

节点登记及验收边界

机场	节点	协议	落地	中转	面板 ID	状态
dpl	🇺🇸 美国 US - 01 / node-us01	AnyTLS	24443	haiwi.lshan.eu.org:47101	1	已上线；基础节点组，正式套餐 1/6/7/8
dpl	🇯🇵 日本 JP - 01 / node-jp02	AnyTLS	24443	haiwi.lshan.eu.org:47202	2	2026-10-16 运行上线；基础节点组 1，正式套餐 1/6/7/8；浏览器验收通过
dpl	🇯🇵 日本 JP - 02 / node-jp03	AnyTLS	24443	haiwi.lshan.eu.org:47203	4	2026-10-17 append上线；组1，正式五节点订阅及QA403通过
dpl	🇯🇵 日本 JP - 03 / node-jp04	AnyTLS	24443	haiwi.lshan.eu.org:47204	5	2026-10-17 append上线；组1，正式五节点订阅及QA403通过
dpl	🇯🇵 日本 JP - 04 / node-jp05	AnyTLS	24443	haiwi.lshan.eu.org:47205	3	2026-10-17 append上线；组1，正式五节点订阅及QA403通过

已完成：独立服务、节点 TLS、新中转、新网关、DNS/橙云、真实 IP 比对、新旧订阅 vhost 官方 IP 自动同步、两张证书续期演练。官方 sing-box 1.14.3 的完整实际订阅（仅把入站替换为临时本机 SOCKS）经中转联网，出口 64.44.115.18、US、HTTPS TLSv1.3，严格节点证书校验；完整 DNS 和远程分流规则实际启动通过，面板已记录上下行流量。

用户随后具体授权正式开放：套餐 1/6/7/8 和其中 1 位现有无组用户已关联基础节点组，界面核对节点在线、命名和组名正确；站点设置订阅 URL 实际显示 c2。临时用户已禁用，订阅返回 403，实际下发用户集合不再包含该用户；正式用户可见该节点。价格、周期、流量和设备限制未改。本机临时客户端已停止。

核心代码发布为 3b72c3e3c182313ebdae9f81a6e83712775942a3；节点/网关独立运维仓库为 b05c3215505c6ea70042aed0b102c682406528be。面板生产已有教程及文件模式差异保留。最初本机至中转出现 EOF，节点直连 TLS 正常；网关主机环境的完整中转客户端测试通过，不能据该结果保证用户所在所有地区路径可达。截图见 codex/output/node-us01-planning/node-live.png 与 relay-created.png。

最终分段复核：本机与已测通网关的入口 DNS 均为 199.30.91.63，本机直连 64.44.115.18:24443 的严格 TLSv1.3 握手成功，但本机到中转 47101 仍为 TLS EOF。现有后台只有隧道 17517，新增表单未提供备用监听 IP；仅查看后取消，没有创建额外规则。用户确认本机开启代理，随后明确要求跳过本地连通测试，已停止这一排查。本地结果记为跳过且原因未定位，不再作为本次交付阻塞项，也不记为通过；用户网络可达性没有保证。

Cloudflare 页面和最终规则保存后的有效订阅复核已完成。全域缓存绕过、两个机场订阅路径 BIC 例外及原机场严格回源已实施；提高 dpl TLS 下限、更频繁 IP 同步/告警仍为可选未实施项，见 CLOUD_FLARE_AUDIT.md。当前聊天已正常访问，源聊天权限是否恢复未核验。本地连通按用户要求跳过；GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。

后续可直接给维护代理：“按 docs/maintenance/NODE_ONBOARDING.md 接入 dpl 的下一节点，先填参数单、复核共享资源和证书钩子，只新增，不动原机场；完整订阅实测后再开放指定套餐，更新登记与 STATUS。”本文不启动聊天结束后的自动维护。