founder
cb20d8d28f
Отзыв секрета не сходился: `auth_id` при смене секрета оставался прежним, поэтому сессия, установленная по отозванным учётным данным, была неотличима от законной, и цикл учёта не имел признака, по которому её следовало завершить. У состояния есть путь без единой неудачи — Hysteria регистрирует соединение в Traffic Stats API только после возврата backend-auth, поэтому успешный /kick может пройти мимо. Новое поколение credentials получает новый auth_id, kick идёт по старому, пережившая сессия становится orphan. Адрес Traffic Stats API имел два контракта: оркестратор принимал любой IPv4, админка всегда шла на loopback. Валидная по всем гейтам конфигурация выключала лимит устройств, учёт трафика и принудительное отключение разом. Адрес зафиксирован, а расхождение файла с ним админка называет. Состояние службы стало трёхзначным: util.Exec выбрасывал вывод systemctl при ненулевом коде, поэтому «остановлена» и «спросить не удалось» приходили одним значением, а доступность Traffic Stats API выводилась из него же. Журнал Hysteria разбирается в фактическом формате upstream (time — дробное число), страница конфигурации показывает файл вместо дефолтов UI и не возит секреты в браузер, санитайзер выгрузки следует по YAML-якорям. Разбор: docs/acceptance/2026-09-02-v1.0.0-rc4-preflight-findings.md
55 lines
2.8 KiB
Bash
55 lines
2.8 KiB
Bash
# HY2XS canonical production runtime config (packaged baseline)
|
|
# Версия схемы конфигурации HY2XS. Пакет понимает только эту версию;
|
|
# установка поверх сервера со схемой v0 не поддерживается — нужна чистая установка.
|
|
HY2XS_CONFIG_SCHEMA_VERSION=2
|
|
HY2XS_IPV6_ENABLED=false
|
|
HY2XS_DOMAIN=fi.api.withen.pro
|
|
HY2XS_DNS_AAAA_POLICY=strict
|
|
# strict | warn | off. Проверка того, что A-записи публичного endpoint ведут на
|
|
# публичные IPv4 ЭТОГО сервера. Ослаблять только для топологий вне baseline
|
|
# (NAT, floating IP): при warn/off устаревший DNS перестаёт останавливать
|
|
# установку и doctor, а клиентская ссылка может вести на другую машину.
|
|
# Отсутствие A-записи остаётся фатальным при любом значении.
|
|
HY2XS_PUBLIC_ENDPOINT_POLICY=strict
|
|
HY2XS_PUBLIC_HOST=fi.api.withen.pro
|
|
HY2XS_PUBLIC_PORT=443
|
|
HY2XS_SSH_PORT=2323
|
|
HY2XS_FIREWALL_MODE=takeover
|
|
HY2XS_FIREWALL_STAGED_APPLY=true
|
|
HY2XS_UI_BIND_HOST=127.0.0.1
|
|
HY2XS_UI_PUBLIC_ACCESS=false
|
|
HY2XS_UI_PORT=8080
|
|
HY2XS_ADMIN_USER=hy2xsadmin
|
|
HY2XS_ADMIN_INITIAL_PASSWORD=__GENERATE__
|
|
HY2XS_ADMIN_CON_PASS=__GENERATE__
|
|
HY2XS_FORCE_PASSWORD_CHANGE=false
|
|
HY2XS_ALLOW_SELF_SIGNED_DEV=false
|
|
HY2XS_TLS_MODE=acme
|
|
HY2XS_ACME_TYPE=http
|
|
HY2XS_ACME_EMAIL=admin@withen.pro
|
|
HY2XS_TLS_CERT_PATH=/etc/hysteria/server.crt
|
|
HY2XS_TLS_KEY_PATH=/etc/hysteria/server.key
|
|
HY2XS_HYSTERIA_BIND_HOST=0.0.0.0
|
|
HY2XS_HYSTERIA_PORT=443
|
|
# fixed in production profile: must remain http
|
|
HY2XS_HYSTERIA_AUTH_MODE=http
|
|
# fixed in production profile: Traffic Stats API is an internal control plane.
|
|
# The admin backend always reaches it over loopback, so any other address makes
|
|
# Hysteria and the panel talk past each other: the device limit, traffic
|
|
# accounting and forced disconnect stop working at once.
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_HOST=127.0.0.1
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_PORT=36712
|
|
HY2XS_HYSTERIA_TRAFFIC_STATS_SECRET=__GENERATE__
|
|
# gecko | salamander. Gecko — production default HY2XS (upstream помечает его experimental).
|
|
# Salamander остаётся полностью поддержанным compatibility fallback.
|
|
# Смена значения меняет wire-совместимость: клиентам нужна новая ссылка.
|
|
HY2XS_HYSTERIA_OBFS_TYPE=gecko
|
|
HY2XS_HYSTERIA_OBFS_PASSWORD=__GENERATE__
|
|
HY2XS_HYSTERIA_BANDWIDTH_UP=50 mbps
|
|
HY2XS_HYSTERIA_BANDWIDTH_DOWN=50 mbps
|
|
HY2XS_HYSTERIA_IGNORE_CLIENT_BANDWIDTH=false
|
|
HY2XS_HYSTERIA_CONFIG_PATH=/etc/hysteria/config.yaml
|
|
HY2XS_INSTALL_DIR=/opt/hy2xs-admin
|
|
HY2XS_DATA_DIR=/var/lib/hy2xs-admin
|
|
HY2XS_LOG_DIR=/var/log/hy2xs
|