174 lines
23 KiB
Markdown
174 lines
23 KiB
Markdown
# 节点与订阅网关接入
|
||
|
||
首节点历史核对日期：2026-10-11。本文是后续新增 dpl 节点的执行入口。首节点部署、服务器侧完整订阅联网与正式套餐开放已完成；用户明确要求跳过本地连通测试。Cloudflare 本聊天已正常访问，DNS/严格 TLS、有效订阅响应、HTTP/2 与 gzip 解码已复核；两个专用订阅区域的全域缓存绕过、两机场订阅路径 BIC 例外及原机场严格回源已部署并复验。已实施范围与可选未实施调优见下文。凭据、机器令牌、用户 UUID 与订阅令牌只存受保护文件，不写入本文或 Git。
|
||
|
||
## 2026-10-16 日本节点接入
|
||
|
||
本轮选择 `node-jp02`；现场确认 IPv4 出口地区 JP、24443 空闲、无既有 DPL 服务，生产原来只有美国节点，故未重复接入。新节点运行接入及正式开放完成，管理面板浏览器验收已通过；下文首节点历史验收范围不自动扩大到本轮。
|
||
|
||
- 新节点/机器 ID 均为 2，名称 `🇯🇵 日本 JP - 02`（数据库 UTF-8 字节核对正确）；AnyTLS 独立 `dpl-node`，24443。中转新增 `dpl-jp02-anytls`，入口 `haiwi.lshan.eu.org:47202`，目标 `193.111.31.52:24443`；原 `jp02` 的 46202 → 443、原美国规则均保留，规则总数由 24 变为 25，收发 Proxy Protocol 均禁用。
|
||
- `jp02.deeplink-subscribe.com` 新增 A=193.111.31.52、DNS only；证书有效至 2027-01-14。沿用节点既有 Snap Certbot 续期调度，新证书独立 renewal 配置，deploy hook 以 `/bin/sh /opt/dpl-node/provision/renew-node.sh` 调用，只重启新服务。dry-run 加 `--no-random-sleep-on-renew --run-deploy-hooks --no-directory-hooks` 后通过，原 XrayR PID 1419132、启动时间保持原值。首次演练因随机等待超出 SSH 超时而 BrokenPipe，不记为通过；随后无随机等待重试成功。
|
||
- 网关上以隔离测试账号的完整 sing-box 订阅实际联网通过：严格 TLS、日本出口 193.111.31.52/JP、目标 HTTPS TLSv1.3，完整 DNS/路由启动；订阅 200、gzip JSON、private/no-store、DYNAMIC，无 Age 或挑战头。面板收到上下行 11354/125812 字节。中转后台入口至目标诊断成功。
|
||
- 按既有套餐范围 1/6/7/8，将节点加入基础节点组 1；没有新增套餐/现有用户分组关联，没有改价格、流量、周期、设备限制。测试用户 ID 16 已禁用、订阅 403。正式有效用户订阅复核同时包含美国 47101、日本 47202，二者严格 TLS。
|
||
- 运维代码通过已推送 Git 提交 `b05c3215505c6ea70042aed0b102c682406528be` 的 bundle 检出到 `/opt/dpl-node/provision`；独立二进制 v1.13 的 SHA256 与本文固定值一致，面板运行代码未改。节点缺 Git，原 Debian11 源包下载 404，任务临时使用 Debian 官方 HTTPS 归档索引安装 Git 及必要依赖；未改 `/etc/apt/sources.list`，没有全量升级系统。
|
||
- 机器配置/令牌及 QA 参数通过严格主机密钥校验、经白色机的 SSH 流式传送，未生成本地秘密副本。节点配置及网关独立 QA 文件均 600、父目录 700。备份：面板和节点各自 `/root/codex-backups/dpl/node-onboarding-20261016-jp02`，正式关联回退使用面板 `before-promotion.json` 精确恢复，不恢复整库。
|
||
|
||
管理界面经已登记主站反代实际登录、节点列表及服务器列表切换通过；两台服务器均在线，日本节点名称、基础节点组、47202/24443、SNI 和严格校验开关回读一致，编辑表单只检查后取消，未额外提交默认表单值。
|
||
|
||
最终回归：原美国节点关键配置和套餐全部字段与本轮前快照一致；面板实际下发用户集合不包含 QA 用户 16。共享网关四容器的 ID、启动时间、重启计数均保持原值。内核使用内存配置，磁盘 kernel 目录只见节点证书；没有把未找到 JSON 配置误判为服务故障。
|
||
|
||
后台访问按 CoDocs DPL 档案 → PRX-020 到已登记反代；账号凭据只在 CoDocs 私有凭据正文，不写入项目。证据截图位于 `codex/output/node-jp02-20261016/`。未执行本机节点直连、手机 GUI、TUN、多地区或并发验收；不把服务器侧通过写成这些项目通过。
|
||
|
||
## 当前连接关系
|
||
|
||
订阅：客户端 → c2.deeplink-subscribe.com（Cloudflare 橙云 HTTPS）→ gateway-01 宿主 Nginx → dpl 独立 SubSieve → dpl 面板。
|
||
|
||
流量：客户端 → haiwi.lshan.eu.org:47101 → node-us01 64.44.115.18:24443 → 目标网络。AnyTLS 使用 us01.deeplink-subscribe.com 的有效证书，订阅要求严格校验。普通 Cloudflare 橙云只用于订阅 HTTP，不用于原生 AnyTLS 流量。
|
||
|
||
| 资源 | 本次新增 | 必须保留的原有资源 |
|
||
| --- | --- | --- |
|
||
| node-us01 | dpl-node，TCP 24443，机器/节点 ID 1 | XrayR，TCP 443 |
|
||
| 中转 | dpl-us01-anytls，47101 → 24443 | us01，46101 → 443；其他规则 |
|
||
| gateway-01 | dpl-subscribe-gateway、dpl-subscribe-admin | subscribe-gateway、subscribe-admin |
|
||
| 网关回环端口 | 18080 / 18443，管理 16444 | 8080 / 8443，管理 64444 |
|
||
| Docker 存储 | dpl_sgw_config、dpl_sgw_logs | sgw_gw_config、sgw_gw_logs |
|
||
| Docker 网络 | dpl_sgw_net，172.28.31.0/24 | 原项目网络 |
|
||
|
||
现场 SubSieve 的接口和界面只有一个上游，没有发现直接维护两个机场的上游列表。因此采用同机第二实例，独立配置、凭据、卷和端口。新网关限制 160MB，管理容器限制 128MB，分别限制 0.5 CPU；管理端口不开放公网。以后新增 dpl 节点复用这套网关，无需重复部署。
|
||
|
||
节点使用官方 cedar2025/Xboard-Node v1.13，Linux amd64 文件 SHA256 为 55bf71fa9d9f2048d3255ae7c0af929a41897ca7743f6ead34132a6ca4c79043。独立 systemd 服务及配置目录，不更新或重启 XrayR。网关固定镜像 ID 见 scripts/node-onboarding/gateway.compose.yml。共享宿主机的容量须在每次变更前重新核验。
|
||
|
||
## DNS、真实 IP 和证书
|
||
|
||
Namecheap 已委托至 bradley.ns.cloudflare.com、jewel.ns.cloudflare.com。导入的原有记录保留。c2 指向网关并启用代理；us01 指向节点，DNS only。两张源站证书有效期至 2027-01-09，公网订阅 HTTPS 可用。
|
||
|
||
2026-10-11 本聊天通过正常浏览器访问直接复核：dpl 区域 SSL/TLS 为 Full (strict)。初次只读审查没有配置/源站/请求或响应标头转换/URL 改写/重定向规则，旧式 Page Rules 为零。后续按具体授权新增订阅路径 BIC 配置规则，未设置 SSL，严格模式保持。
|
||
|
||
订阅 Cache Rule 最初由用户另行创建的聊天部署，旧名为 `Bypass cache - c2.deeplink-subscribe.com`、精确匹配 c2。用户随后要求考虑订阅子域名更换，现已在原规则上改为 `Bypass cache - deeplink-subscribe.com (all hosts)`，所有传入请求（`true`），Bypass cache、活动、顺序 1、唯一生效；不添加重复规则。该范围仅是此区域经 CF 代理的 HTTP 请求，不把 DNS only 的节点流量接入橙云。DNS 页面确认 c2 的 A=65.99.193.129、已代理；us01 的 A=64.44.115.18、仅 DNS。
|
||
|
||
初次只读审查之后实际保存了上述缓存调整和 BIC 规则。BIC 仅在精确 c2 主机的 `/api/v1/client/subscribe` 与 `/s/` 路径关闭，其他路径/主机保留区域默认检查，源站过滤与限流不改。配置最终保存后，已授权套餐的有效用户令牌只在生产服务器进程内存使用：标准路径连续两次和短路径均 200、有效 sing-box JSON、DYNAMIC、private/no-store，无 Age/HIT/cf-mitigated；没有输出、复制或保存令牌，也未启用临时用户。gzip 解码通过，先前独立请求实测 HTTP/2 并广告 h3。当前聊天访问成功不代表源聊天保存的拒绝记录已清除。
|
||
|
||
依据 Cloudflare 官方说明：[Full (strict)](https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/)、[创建 Cache Rule](https://developers.cloudflare.com/cache/how-to/cache-rules/create-dashboard/)、[规则顺序](https://developers.cloudflare.com/cache/how-to/cache-rules/order/)。上述页面配置及本轮响应验收均已完成；这些请求来自生产服务器，不代表手机、TUN 或多地区验收。
|
||
|
||
宿主 Nginx 只信任 Cloudflare 官方网段的 CF-Connecting-IP，再向新容器发送清洗后的真实 IP。新容器仅信任本项目网桥 172.28.31.1。实际公网请求的 Cloudflare trace IP 与新网关日志已逐值比对一致，文档不保留个人 IP。
|
||
|
||
按用户追加授权，原机场两个订阅 vhost 也已加入 /etc/nginx/dpl-cloudflare-realip.conf，其余内容保留。写入前备份、nginx -t 和平滑重载通过；vhost 级信任列表替代继承的旧静态列表。原容器内的网桥信任配置保留，原订阅经 Cloudflare 的请求也已核对到访问者出口 IP。
|
||
|
||
dpl-cloudflare-ips.timer 每日宿主机时间 02:00 执行，随机延迟最多 15 分钟。脚本下载官方 ips-v4 / ips-v6，校验地址族、CIDR、数量、重复和过宽网段，完整有效才原子替换；下载/校验失败保留上次文件，Nginx 检查/重载失败回退文件。当前成功同步 22 段、定时器启用。不是实时推送；失败记录在 journal，没有主动告警，尚未执行故障注入验收。
|
||
|
||
新网关 Certbot 独立使用 /etc/dpl-letsencrypt，由 dpl-gateway-cert.timer 每日 03:00、随机延迟最多一小时续期。--no-directory-hooks 避开原机场全局钩子，专用钩子只检查/重载新网关、新管理容器和宿主 Nginx。新网关和新节点的续期 dry-run 均已通过；网关专用 deploy hook 实际执行检查/重载通过，原容器启动时间未变。ACME webroot 为 /var/lib/dpl-sgw/acme，父目录须允许 Nginx worker 遍历；admin.env 保持 600，验收目录保持 700。
|
||
|
||
节点续期钩子只匹配 /etc/dpl-node/certificate-domain 中的域名并 try-restart dpl-node，不操作 XrayR。首次签发前须审计既有 pre/post/deploy 钩子及 renewal 配置；不能认为签发新域名仅影响新服务。
|
||
|
||
### 首次签发期间的原网关重启
|
||
|
||
首次 c2 签发前未充分审计既有 Certbot 全局 deploy hook，触发它重启了一次原 subscribe-gateway，时间为 2026-10-11 08:14:19 UTC。原管理容器未重启。已告知用户，后续将新证书注册/续期迁至独立目录并禁用原目录钩子；原钩子本身未修改。
|
||
|
||
原网关重启后运行正常，原订阅路由回归通过，容器 ID 保持原值；之后的新证书钩子及 IP 同步未再次重启原容器。不能据后续回归通过声称整个任务中原网关从未重启，或证明当时所有用户均无感。
|
||
|
||
## Cloudflare 扩展审查与后续复用
|
||
|
||
2026-10-11 用户进一步要求核查交接清单本身的遗漏，尤其是 Cloudflare 调优。本轮从订阅 API 的使用场景重建检查项，不以既有待办清单作为完整性证明。详见 [Cloudflare 审查记录](CLOUD_FLARE_AUDIT.md)。实际确认严格 TLS、缓存隔离、边缘证书、HTTP/2、HTTP/3、TLS 1.3、IPv6、真实 IP 请求头保留、Worker/转换规则和安全挑战状态；后续按追加授权实施了客户端兼容及原机场配置。
|
||
|
||
后续接入或调整 c2 时，必须同时核对：有效订阅及 UA/压缩格式、缓存规则顺序与响应头、Bot Fight/Under Attack/BIC、Pseudo IPv4 与删除访问者 IP 的托管转换、Worker 路由与规则覆盖、边缘/源站证书和续期、共享网关 IP 同步。不要把“HTTPS 200”或一份旧清单当成这些检查已完成。HTML/JS/图片优化按钮和缓存付费产品不作为订阅接口的默认调优步骤。
|
||
|
||
原机场 fu101.gembox-sub.com 的唯一活动 Cache Rule 也覆盖整个 gembox-sub.com 区域；新增仅匹配 fu101 的 SSL=Strict 规则，以及仅匹配其原生 `/sub/` 和兼容订阅 API 路径的 BIC=Off 规则。管理入口不在 BIC 例外中。原机场 sing-box/Clash 有效订阅、no-store、无缓存命中复验通过；空 UA 仍按原网关规则被拒绝。此次 CF 调优没有重启新旧容器，也未更改原上游、端口、卷或过滤。
|
||
|
||
BIC 是用户获知请求头筛查减少的风险后具体批准的兼容调整，不能认定为历史失败的根因。dpl 最低边缘 TLS 仍为 1.0，提升至 1.2 尚未实施；当前免费套餐普通设置覆盖区域全部代理主机，须核对兼容性，不得误当作只作用于 c2。
|
||
|
||
### 订阅域名更换
|
||
|
||
这两个专用订阅区域已经按用户要求使用全域 Cache Rule；在同一区域换前缀无需改缓存范围，跨到新购区域必须重新配置。规则只负责绕过边缘缓存，不能自动使新域名可用。更换时逐项核对 DNS/代理、宿主 Nginx vhost、证书及续期、网关允许的 Host/上游、面板订阅 URL、精确主机 BIC/TLS 配置，并验收有效订阅及原机场回归。新增静态站点需重新考虑区域级缓存范围，不能盲目套用。
|
||
|
||
## 新节点参数单
|
||
|
||
| 参数 | 首次实例 | 后续填写规则 |
|
||
| --- | --- | --- |
|
||
| key / name | us01 / 🇺🇸 美国 US - 01 | 唯一 key；旗帜、中文国家、国家代码、两位序号 |
|
||
| server | node-us01 | 从 CoDocs 项目关系及连接资料确认 |
|
||
| listen-port | 24443 | 当场核对 TCP/UDP 和防火墙，不复用过期判断 |
|
||
| relay-host / relay-port | haiwi.lshan.eu.org / 47101 | 新增规则，不改原规则 |
|
||
| tls-domain | us01.deeplink-subscribe.com | DNS only，有效证书 |
|
||
| group / plans | 首次隔离组；套餐 1、6、7、8 | 当前真实 ID 和授权集合 |
|
||
| backup | /root/codex-backups/dpl/node-onboarding-20261011-us01 | 每节点独立时间/key 目录 |
|
||
|
||
## 重复执行步骤
|
||
|
||
1. 读取根 AGENTS、维护入口和本文。经 CoDocs 白色机中转访问服务器；本地网页使用指定访问域名。记录原服务 PID/启动时间/端口、中转规则、Docker ID/启动时间、原订阅结果；审计资源、防火墙、所有证书钩子。受保护备份本次将修改的配置和 Git 差异，不输出私密内容。
|
||
2. 非敏感脚本和模板先 Git 提交/推送，再更新服务器到明确提交，保留生产原有差异。无法直接拉取时可传输已推送提交的 Git bundle 后 fetch/fast-forward，不能用压缩包覆盖。scripts/node-onboarding 可 subtree split 为独立运维仓库；面板 .env 不送到节点。
|
||
3. 在生产应用根目录按参数单运行 stage.php，创建机器、AnyTLS 节点、隔离组和 100MB/一天的临时用户。节点虽启用显示，正式用户没有隔离组权限。相同 manifest 重跑只报告已创建；同名资源存在却缺少 manifest 时停止，不自动接管。
|
||
|
||
```sh
|
||
php scripts/node-onboarding/stage.php \
|
||
--key=us01 --name='🇺🇸 美国 US - 01' \
|
||
--relay-host=haiwi.lshan.eu.org --relay-port=47101 \
|
||
--listen-port=24443 --tls-domain=us01.deeplink-subscribe.com \
|
||
--backup=/root/codex-backups/dpl/node-onboarding-20261011-us01
|
||
```
|
||
|
||
4. 将受保护备份的 node-config.yml、node-secret.env 经白机安装到节点 /etc/dpl-node/config.yml、secret.env，均 600；运维仓库 checkout 明确 Git 版本到 /opt/dpl-node/provision。首次安装使用下面命令。脚本检查参数、配置、端口、已有后端及 XrayR 状态，校验官方二进制并安装独立 unit，不自动启动。已有 dpl-node 时不能重跑覆盖；升级须单独复核。
|
||
|
||
```sh
|
||
bash /opt/dpl-node/provision/install-node.sh \
|
||
--listen-port=24443 --tls-domain=us01.deeplink-subscribe.com
|
||
```
|
||
|
||
5. 配置 DNS only、有效证书并审计/安装仅匹配新域名的续期钩子，再启用 dpl-node。在中转后台只新增 dpl-<key>-anytls，核对保存后的入口/目标和诊断结果。本次未启用收发 Proxy Protocol，以后启用前须同时确认入口和后端支持。
|
||
6. 后续 dpl 节点复用 c2 及当前网关，不再次更换 NS。另一个机场需要不同上游时才新增独立实例；不得改已有上游、运行原项目 setup/update/down 或复用旧卷。
|
||
7. 在网关创建本次验收目录（700），以 600 保存 stage.php 生成的 QA 私密文件和实际订阅；准备官方客户端并校验官方发布摘要。首轮已校验的 Linux 1.14.3 客户端保留于 /opt/dpl-gateway/acceptance/，下述命令可复用它。拉取临时用户完整订阅到私密文件；sing-box 使用正常版本 UA（如 sing-box/1.14.3），不要使用覆盖版本识别的裸 flag=sing-box。核验名称、入口、SNI、严格 TLS、缓存头和真实 IP；先官方客户端 check，再完整配置实际联网，核对出口、DNS、上下行计费与上报。
|
||
|
||
```sh
|
||
python3 /opt/dpl-gateway/provision/verify-node.py \
|
||
--qa /var/lib/dpl-sgw/qa/qa.json \
|
||
--binary /opt/dpl-gateway/acceptance/sing-box-1.14.3-linux-amd64/sing-box \
|
||
--subscription /var/lib/dpl-sgw/qa/subscription.json \
|
||
--expected-exit 64.44.115.18
|
||
```
|
||
|
||
helper 仅替换 TUN 等入站为临时本机 SOCKS，保留订阅 DNS、分流及出站，退出时停止客户端；失败日志留在同一私密目录。这不等于手机 GUI、系统 TUN、多地区、超额或多设备并发验收。某环境到入口不通时分段诊断并换环境核验，HTTP 200 不能替代联网。
|
||
|
||
8. 上述验收通过后，在生产根目录运行 readiness.php 和 promote.php，显式指定当前套餐集合。已有正式组时额外传 --group=<ID>。只关联所选尚无组的套餐及这些套餐现有无组用户，不改价格、周期、流量或设备限制。
|
||
|
||
```sh
|
||
php scripts/node-onboarding/readiness.php \
|
||
--backup=/root/codex-backups/dpl/node-onboarding-20261011-us01
|
||
php scripts/node-onboarding/promote.php \
|
||
--backup=/root/codex-backups/dpl/node-onboarding-20261011-us01 \
|
||
--plans=1,6,7,8
|
||
```
|
||
|
||
首次隔离组改为基础节点、订阅域名设置为 c2，以后复用正式组。脚本要求节点在线且临时用户已有流量，保存 before-promotion.json，最后禁用临时用户并写 promoted.json。清理本次客户端和私密传输副本，保留服务器备份、禁用用户与审计记录。
|
||
|
||
9. 回归原机场服务/规则/订阅，实际核对正式组权限、面板节点及订阅域名保存，确认测试用户禁用且不再下发。更新本文及 STATUS，分别记录提交、发布、真实验收及未完成项。
|
||
|
||
数据库默认 sing-box 模板已迁移新 DNS/路由格式，保留原分流和选择逻辑；现代本地 DoH 使用默认 dialer，不绕到空 direct 出站。仓库原默认资源和其他机场模板不改。apply-template.php 仅接受原默认模板，或与显式 expected-current-sha256 完全匹配的旧版本，逐次备份后只更新该模板/缓存。用户定制或未知模板须先审查，不能强行覆盖。
|
||
|
||
## 回退与排障
|
||
|
||
- 单节点：停用本次节点/新增中转，停止新 dpl-node；保留 XrayR、原规则和审计数据。
|
||
- 正式关联：依据 before-promotion.json 精确恢复本次套餐/用户组及订阅域名，先确认当前值仍是本次写入值，避免覆盖后续业务。不恢复整库。
|
||
- 模板：从对应私密模板备份恢复该条内容并清理模板缓存，不替换整个设置表。
|
||
- 网关：只停新 Compose 项目、撤回新域名 vhost，检查后平滑重载。不能停止原项目、删原卷或改原上游；独立证书目录和定时器按本次备份回退。
|
||
- IP 同步：检查 dpl-cloudflare-ips.service、journal 和最后有效文件，不退化为信任所有来源。原 vhost 的追加授权变更可按专用备份独立回退。
|
||
- Cloudflare：缓存扩大在原规则 ID 上恢复旧主机条件；不删除原本已有的 dpl 规则。BIC/原机场 Strict 只停用本次新增规则，区域默认保留。具体名称、原条件备份与恢复顺序见 CLOUD_FLARE_AUDIT.md。
|
||
- 浏览器保存拒绝：检查 Codex Settings → Browser → Agent permissions 的 Browse 网站规则及覆盖规则；仍拦截则重新启动应用后复核。不能用其他控制方式绕过拒绝，公网结果不能替代账户设置核验。
|
||
|
||
## 节点登记及验收边界
|
||
|
||
| 机场 | 节点 | 协议 | 落地 | 中转 | 面板 ID | 状态 |
|
||
| --- | --- | --- | --- | --- | --- | --- |
|
||
| dpl | 🇺🇸 美国 US - 01 / node-us01 | AnyTLS | 24443 | haiwi.lshan.eu.org:47101 | 1 | 已上线；基础节点组，正式套餐 1/6/7/8 |
|
||
| dpl | 🇯🇵 日本 JP - 02 / node-jp02 | AnyTLS | 24443 | haiwi.lshan.eu.org:47202 | 2 | 2026-10-16 运行上线；基础节点组 1，正式套餐 1/6/7/8；浏览器验收通过 |
|
||
|
||
已完成：独立服务、节点 TLS、新中转、新网关、DNS/橙云、真实 IP 比对、新旧订阅 vhost 官方 IP 自动同步、两张证书续期演练。官方 sing-box 1.14.3 的完整实际订阅（仅把入站替换为临时本机 SOCKS）经中转联网，出口 64.44.115.18、US、HTTPS TLSv1.3，严格节点证书校验；完整 DNS 和远程分流规则实际启动通过，面板已记录上下行流量。
|
||
|
||
用户随后具体授权正式开放：套餐 1/6/7/8 和其中 1 位现有无组用户已关联基础节点组，界面核对节点在线、命名和组名正确；站点设置订阅 URL 实际显示 c2。临时用户已禁用，订阅返回 403，实际下发用户集合不再包含该用户；正式用户可见该节点。价格、周期、流量和设备限制未改。本机临时客户端已停止。
|
||
|
||
核心代码发布为 3b72c3e3c182313ebdae9f81a6e83712775942a3；节点/网关独立运维仓库为 b05c3215505c6ea70042aed0b102c682406528be。面板生产已有教程及文件模式差异保留。最初本机至中转出现 EOF，节点直连 TLS 正常；网关主机环境的完整中转客户端测试通过，不能据该结果保证用户所在所有地区路径可达。截图见 codex/output/node-us01-planning/node-live.png 与 relay-created.png。
|
||
|
||
最终分段复核：本机与已测通网关的入口 DNS 均为 199.30.91.63，本机直连 64.44.115.18:24443 的严格 TLSv1.3 握手成功，但本机到中转 47101 仍为 TLS EOF。现有后台只有隧道 17517，新增表单未提供备用监听 IP；仅查看后取消，没有创建额外规则。用户确认本机开启代理，随后明确要求跳过本地连通测试，已停止这一排查。本地结果记为跳过且原因未定位，不再作为本次交付阻塞项，也不记为通过；用户网络可达性没有保证。
|
||
|
||
Cloudflare 页面和最终规则保存后的有效订阅复核已完成。全域缓存绕过、两个机场订阅路径 BIC 例外及原机场严格回源已实施；提高 dpl TLS 下限、更频繁 IP 同步/告警仍为可选未实施项，见 CLOUD_FLARE_AUDIT.md。当前聊天已正常访问，源聊天权限是否恢复未核验。本地连通按用户要求跳过；GUI/手机导入、系统 TUN、多地区、超额及多设备并发不在已执行验收范围内。
|
||
|
||
后续可直接给维护代理：“按 docs/maintenance/NODE_ONBOARDING.md 接入 dpl 的下一节点，先填参数单、复核共享资源和证书钩子，只新增，不动原机场；完整订阅实测后再开放指定套餐，更新登记与 STATUS。”本文不启动聊天结束后的自动维护。
|