founder
cb20d8d28f
Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним, поэтому сессия, установленная по отозванным учётным данным, была неотличима от законной, и цикл учёта не имел признака, по которому её следовало завершить. У состояния есть путь без единой неудачи — Hysteria регистрирует соединение в Traffic Stats API только после возврата backend-auth, поэтому успешный /kick может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт по старому, пережившая сессия становится orphan. Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4, админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала лимит устройств, учёт трафика и принудительное отключение разом. Адрес зафиксирован, а расхождение файла с ним админка называет. Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним значением, а доступность Traffic Stats API выводилась из него же. Журнал Hysteria разбирается в фактическом формате upstream (time — дробное число), страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в браузер, санитайзер выгрузки следует по YAML-якорям. Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md
36 lines
1.4 KiB
Desktop File
36 lines
1.4 KiB
Desktop File
[Unit]
|
|
Description=HY2XS Hysteria2 server
|
|
After=network-online.target
|
|
Wants=network-online.target
|
|
|
|
[Service]
|
|
Type=simple
|
|
User=hysteria
|
|
Group=hysteria
|
|
Environment=HYSTERIA_LOG_LEVEL=info
|
|
Environment=HYSTERIA_LOG_FORMAT=json
|
|
# Версией Hysteria владеет один источник: versions.env -> сборка -> пакет ->
|
|
# оркестратор. Собственная проверка обновлений upstream (включена по умолчанию,
|
|
# см. app/v2.12.2 root.go) ничего не обновляет, а лишь ходит наружу при каждом
|
|
# старте и печатает в журнал советы, которые к этой установке не относятся.
|
|
# Тестовое окружение продукта её и так отключает — production отличаться не
|
|
# должен.
|
|
Environment=HYSTERIA_DISABLE_UPDATE_CHECK=1
|
|
ExecStart=/usr/local/bin/hysteria server -c /etc/hysteria/config.yaml
|
|
Restart=on-failure
|
|
RestartSec=5s
|
|
AmbientCapabilities=CAP_NET_BIND_SERVICE
|
|
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
|
|
NoNewPrivileges=true
|
|
PrivateTmp=true
|
|
ProtectHome=true
|
|
ProtectSystem=strict
|
|
ReadOnlyPaths=/etc/hysteria/config.yaml
|
|
ReadWritePaths=/var/lib/hysteria
|
|
RestrictAddressFamilies=AF_INET AF_UNIX
|
|
SystemCallArchitectures=native
|
|
LockPersonality=true
|
|
|
|
[Install]
|
|
WantedBy=multi-user.target
|