founder
a88268b0cd
fatal_pre_apply мог означать «хост уже изменён». install-state.json пишется сразу после успешного preflight, до установки пакетов, но классификация отказа его не учитывала. Падение apt-get объявлялось как «на сервере ничего не изменено»: откат и обработка состояния пропускались, а маркер оставался на диске и ломал следующую установку по clean-host контракту. Ownership-флаги переформулированы с «шаг успешно завершился» на «операция могла начать менять систему» и взводятся перед мутирующим вызовом: apt-get умеет изменить систему и упасть. fatal_pre_apply теперь недостижим ни при одном взведённом флаге, включая stateWritten. Read-only guard PHASE 0 можно было обойти. Guard стоял на writeText, writeTextAtomic, runVisible, runHidden и runRawVisible, но не на универсальном run, через который в коде проходили и наблюдение (ss, systemctl is-active), и настоящие мутации (useradd, install -d, mkdir, cp -a, tar). Универсального раннера больше нет: runReadOnly/runReadOnlySecret без guard'а и runMutating* под guard'ом, выбор — явное решение на месте вызова. clean-host не замечал часть того, что удаляет purge. /var/lib/hysteria с ACME-состоянием Hysteria, /var/log/hy2xs, /usr/local/lib/hy2xs и /usr/local/bin/hy2xs-orchestrator не были маркерами: сервер, где остался только старый runtime-state Hysteria, проходил проверку и получал свежую установку поверх чужого состояния. Пути, которые install.sh создаёт между фазами, помечены как созданные установщиком, иначе PHASE 1 отказала бы на собственном оркестраторе. purge-v0.sh --keep-hysteria-binary противоречил установщику: скрипт сохранял /usr/local/bin/hysteria и сообщал «хост чист для установки HY2XS v1», хотя clean-host считает этот бинарник legacy-маркером. Флаг удалён. DNS проверялся на существование A-записи, но не на то, куда она ведёт. После принудительной смены IPv4 провайдером doctor отвечал успехом, хотя клиентская ссылка отправляла людей на чужую машину. Проверялся при этом HY2XS_DOMAIN, тогда как в hysteria2:// уезжает HY2XS_PUBLIC_HOST. Добавлен инвариант публичного endpoint: A-записи обязаны принадлежать множеству публичных IPv4, назначенных интерфейсам этого сервера. Проверка живёт в общем preflight, поэтому действует в install, reconfigure и doctor. Адрес определяется локально, без внешних сервисов определения IP. Строгость управляется HY2XS_PUBLIC_ENDPOINT_POLICY (strict по умолчанию); отсутствие A-записи фатально при любом значении. TS-санитайзер приведён к той же формулировке, что и Go: URL-значение определяется по самому значению, а не по имени ключа.
51 lines
2.5 KiB
Bash
51 lines
2.5 KiB
Bash
# HY2XS canonical production runtime config (packaged baseline)
|
|
# Версия схемы конфигурации HY2XS. Пакет понимает только эту версию;
|
|
# установка поверх сервера со схемой v0 не поддерживается — нужна чистая установка.
|
|
HY2XS_CONFIG_SCHEMA_VERSION=2
|
|
HY2XS_IPV6_ENABLED=false
|
|
HY2XS_DOMAIN=fi.api.withen.pro
|
|
HY2XS_DNS_AAAA_POLICY=strict
|
|
# strict | warn | off. Проверка того, что A-записи публичного endpoint ведут на
|
|
# публичные IPv4 ЭТОГО сервера. Ослаблять только для топологий вне baseline
|
|
# (NAT, floating IP): при warn/off устаревший DNS перестаёт останавливать
|
|
# установку и doctor, а клиентская ссылка может вести на другую машину.
|
|
# Отсутствие A-записи остаётся фатальным при любом значении.
|
|
HY2XS_PUBLIC_ENDPOINT_POLICY=strict
|
|
HY2XS_PUBLIC_HOST=fi.api.withen.pro
|
|
HY2XS_PUBLIC_PORT=443
|
|
HY2XS_SSH_PORT=2323
|
|
HY2XS_FIREWALL_MODE=takeover
|
|
HY2XS_FIREWALL_STAGED_APPLY=true
|
|
HY2XS_UI_BIND_HOST=127.0.0.1
|
|
HY2XS_UI_PUBLIC_ACCESS=false
|
|
HY2XS_UI_PORT=8080
|
|
HY2XS_ADMIN_USER=hy2xsadmin
|
|
HY2XS_ADMIN_INITIAL_PASSWORD=__GENERATE__
|
|
HY2XS_ADMIN_CON_PASS=__GENERATE__
|
|
HY2XS_FORCE_PASSWORD_CHANGE=false
|
|
HY2XS_ALLOW_SELF_SIGNED_DEV=false
|
|
HY2XS_TLS_MODE=acme
|
|
HY2XS_ACME_TYPE=http
|
|
HY2XS_ACME_EMAIL=admin@withen.pro
|
|
HY2XS_TLS_CERT_PATH=/etc/hysteria/server.crt
|
|
HY2XS_TLS_KEY_PATH=/etc/hysteria/server.key
|
|
HY2XS_HYSTERIA_BIND_HOST=0.0.0.0
|
|
HY2XS_HYSTERIA_PORT=443
|
|
# fixed in production profile: must remain http
|
|
HY2XS_HYSTERIA_AUTH_MODE=http
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_HOST=127.0.0.1
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_PORT=36712
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET=__GENERATE__
|
|
# gecko | salamander. Gecko — production default HY2XS (upstream помечает его experimental).
|
|
# Salamander остаётся полностью поддержанным compatibility fallback.
|
|
# Смена значения меняет wire-совместимость: клиентам нужна новая ссылка.
|
|
HY2XS_HYSTERIA_OBFS_TYPE=gecko
|
|
HY2XS_HYSTERIA_OBFS_PASSWORD=__GENERATE__
|
|
HY2XS_HYSTERIA_BANDWIDTH_UP=50 mbps
|
|
HY2XS_HYSTERIA_BANDWIDTH_DOWN=50 mbps
|
|
HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH=false
|
|
HY2XS_HYSTERIA_CONFIG_PATH=/etc/hysteria/config.yaml
|
|
HY2XS_INSTALL_DIR=/opt/hy2xs-admin
|
|
HY2XS_DATA_DIR=/var/lib/hy2xs-admin
|
|
HY2XS_LOG_DIR=/var/log/hy2xs
|