founder
ddf0ddf71e
Сквозная миграция HY2XS на современную Hysteria (2.12.2) и переход на v1. Build: - версия Hysteria резолвится на этапе сборки из HyNetworks/hysteria и замораживается в metadata пакета (version + immutable url + sha256); - compatibility gate: реальный бинарник должен принять канонический конфиг HY2XS для gecko и salamander до создания пакета; - сборка прогоняет тесты оркестратора и админки. Конфигурационный контракт: - HY2XS_CONFIG_SCHEMA_VERSION=2, чужая схема отклоняется fail-fast; - obfs стал настоящим union gecko|salamander, gecko — default; - obfs-блок рендерится оркестратором целиком, два подтипа одновременно структурно невозможны; - современный baseline: congestion bbr/standard, disableLossCompensation=false, disableStatelessReset=false, полный quic-блок. Исправления: - share URI для gecko: генератор был завязан на Obfs.Salamander.Password и выдавал нерабочую ссылку при любой другой обфускации; - SNI брался только из ACME-блока и уходил пустым при HY2XS_TLS_MODE=file; - экспорт конфига выносил trafficStats.secret, access_token и obfs-пароль; - экспорт терял неизвестные upstream-поля при round-trip через типизированную модель; - renderRuntimeEnv печатал тип обфускации литералом, расходясь с конфигом; - namedotcom удалён из ACME-реестра (нет в Hysteria с 2.11.0). Тесты: - 95 тестов оркестратора: env, рендер, семантика профиля, резолвер, rollover; - тесты URI и экспорта в Go; - tools/test/e2e-hysteria.sh с реальным клиентом Hysteria. UX: - подсказки и примеры в форме создания пира. Прочее: CHANGELOG.md, .gitattributes (LF для target-side файлов), документация на русском.
130 lines
9.5 KiB
Markdown
130 lines
9.5 KiB
Markdown
# Изменения HY2XS
|
||
|
||
Формат основан на [Keep a Changelog](https://keepachangelog.com/ru/1.1.0/).
|
||
Проект использует [семантическое версионирование](https://semver.org/lang/ru/).
|
||
|
||
Версия относится к самому HY2XS, а не к Hysteria: версия Hysteria выбирается
|
||
на этапе сборки пакета и фиксируется в его metadata.
|
||
|
||
## [Unreleased]
|
||
|
||
## [1.0.0] — 2026-08-27
|
||
|
||
Первый релиз линейки `v1`.
|
||
|
||
> **Обновление с `0.x` не поддерживается.**
|
||
> Между `0.x` и `1.0.0` изменились схема конфигурации, тип обфускации
|
||
> по умолчанию и контракт выбора версии Hysteria. Сервер, установленный
|
||
> из пакета `0.x`, нужно поднимать заново: очистка и установка с нуля.
|
||
> Подробности — в разделе «Миграция с 0.x» ниже.
|
||
|
||
### Добавлено
|
||
|
||
- **Разрешение версии Hysteria на этапе сборки.** Builder по умолчанию сам
|
||
определяет последний стабильный upstream-релиз, скачивает артефакт,
|
||
вычисляет SHA-256 и замораживает `version` + `url` + `sha256` в metadata
|
||
пакета. Target-сервер по-прежнему скачивает конкретный неизменяемый
|
||
артефакт и никогда не обращается к moving `latest`.
|
||
- **Compatibility gate в сборке.** До создания release-пакета builder
|
||
рендерит канонический конфиг HY2XS тем же кодом, что и оркестратор, и
|
||
запускает с ним реальный бинарник Hysteria — для обоих профилей
|
||
обфускации. Несовместимый upstream ломает сборку, а не сервер оператора.
|
||
- **Поддержка Gecko-обфускации** (Hysteria 2.9.2+) со сквозной интеграцией:
|
||
оркестратор, шаблон конфига, модель админки, генерация `hysteria2://` URI,
|
||
типы и формы фронтенда.
|
||
- **Версия схемы конфигурации** `HY2XS_CONFIG_SCHEMA_VERSION=2`. Пакет
|
||
отказывается работать с конфигурацией неизвестной схемы вместо того,
|
||
чтобы молча применить чужие значения.
|
||
- **Современный серверный baseline** в генерируемом конфиге:
|
||
`congestion.type: bbr` + `bbrProfile: standard`,
|
||
`bandwidth.disableLossCompensation: false`,
|
||
`quic.disableStatelessReset: false`, а также
|
||
`maxIdleTimeout`, `maxIncomingStreams`, `disablePathMTUDiscovery`.
|
||
- **Модель современной схемы Hysteria в админке**: `obfs.gecko`, `ech`,
|
||
`congestion`, `mimic`, `realm`, `tls.clientCA`,
|
||
`quic.disableStatelessReset`, `bandwidth.disableLossCompensation`,
|
||
`masquerade.proxy.xForwarded`. Поля читаются и отображаются, даже если
|
||
HY2XS не включает их в default-профиль.
|
||
- **Тесты оркестратора** (`bun test`): разбор env, рендер конфига,
|
||
семантические инварианты профиля, резолвер upstream-релизов,
|
||
release rollover.
|
||
- **E2E-проверка с реальным клиентом Hysteria** — `tools/test/e2e-hysteria.sh`:
|
||
TLS и obfs handshake, HTTP auth (допуск и отказ), TCP и UDP forwarding,
|
||
trafficStats, per-peer accounting, переподключение после перезапуска
|
||
сервера и подключение клиента именно по сгенерированной ссылке.
|
||
- **`CHANGELOG.md`** в корне репозитория.
|
||
|
||
### Изменено
|
||
|
||
- **Обфускация по умолчанию для новых установок — Gecko.** Salamander
|
||
остаётся полностью поддержанным режимом совместимости и выбирается через
|
||
`HY2XS_HYSTERIA_OBFS_TYPE=salamander`.
|
||
- **Gecko использует upstream-defaults `512/1200`** и не выносит размеры
|
||
пакетов в env: официальная URI-схема не умеет их передавать, поэтому
|
||
нестандартные значения сделали бы клиентскую ссылку неполной.
|
||
- **Тип обфускации больше не собирается внутри статического YAML.**
|
||
Оркестратор формирует проверенный `obfs`-блок целиком, поэтому
|
||
комбинация вида `type: gecko` рядом с блоком `salamander` структурно
|
||
невозможна.
|
||
- **Экспорт конфига Hysteria работает от исходного YAML**, а не от
|
||
типизированной модели: поля, о которых HY2XS ещё не знает, переживают
|
||
выгрузку.
|
||
- **Smoke-проверки разбирают YAML** и сверяют его с production-профилем,
|
||
вместо поиска подстрок.
|
||
- **Канонический upstream-репозиторий** — `HyNetworks/hysteria`
|
||
(вместо устаревших ссылок на `apernet`).
|
||
- **Реестр ACME DNS-провайдеров во фронтенде** приведён к актуальному
|
||
upstream: добавлены `namecheap`, `njalla`, `porkbun`.
|
||
- **Дефолты формы Hysteria во фронтенде** отражают baseline HY2XS
|
||
(50/50 Mbps, Let's Encrypt, каталог ACME), а не пример из upstream-доки.
|
||
- Сборка запускает тесты оркестратора и админки до упаковки.
|
||
|
||
### Исправлено
|
||
|
||
- **`hysteria2://` для Gecko.** Генератор ссылок был завязан на
|
||
`Obfs.Salamander.Password`, поэтому при любой другой обфускации выдавал
|
||
формально корректную, но неработающую ссылку без параметров `obfs`.
|
||
- **SNI в клиентской ссылке при файловых сертификатах.** SNI брался только
|
||
из ACME-блока, поэтому при `HY2XS_TLS_MODE=file` уходил пустым. Теперь
|
||
источник — ACME-домен, затем `HY2XS_DOMAIN`, затем `HY2XS_PUBLIC_HOST`;
|
||
IP-адрес в качестве SNI не используется.
|
||
- **Утечка секретов в экспорте конфига.** Выгружаемый оператору YAML
|
||
содержал `trafficStats.secret`, `access_token` в auth-URL и пароль
|
||
обфускации. Секреты вырезаются, включая поля, о которых HY2XS ещё
|
||
не знает.
|
||
- **Расхождение runtime-конфига с разобранным.** `renderRuntimeEnv`
|
||
печатал тип обфускации и режим auth литералами, игнорируя фактическую
|
||
конфигурацию, — из-за чего запись `/etc/hy2xs/hy2xs.env` могла разойтись
|
||
с тем, что реально применено.
|
||
- **Смешение веток `obfs` в UI.** Форма склеивала дефолт с ответом API и
|
||
показывала блок обфускации, которого нет в конфиге сервера.
|
||
- **`namedotcom` в списке ACME DNS-провайдеров.** Провайдер удалён из
|
||
Hysteria в 2.11.0; конфигурация с ним больше не запускается.
|
||
- **Отсутствие подсказок в форме создания пира.** У полей «Пир»,
|
||
«Комментарий» и «Секрет» не было ни примеров, ни пояснений: оператор не
|
||
мог понять без документации, что секрет необязателен и генерируется
|
||
автоматически.
|
||
|
||
### Безопасность
|
||
|
||
- Переход на Hysteria 2.12.2 закрывает исправления, вышедшие после 2.8.2,
|
||
включая обход UDP ACL, возможный OOM через sniff и обход ACL через
|
||
домены с завершающей точкой (2.9.2).
|
||
- Экспорт конфига больше не выносит секреты за пределы сервера.
|
||
|
||
### Миграция с 0.x
|
||
|
||
Автоматическая миграция не предусмотрена и не планируется.
|
||
|
||
Порядок перехода:
|
||
|
||
1. Выпишите с работающего сервера список пиров и их секреты.
|
||
2. Разверните `1.0.0` на чистом Debian 13 из release-пакета.
|
||
3. Заведите пиров заново и раздайте новые клиентские ссылки.
|
||
|
||
Клиентские ссылки `0.x` в любом случае перестанут работать: смена
|
||
обфускации — это изменение wire-совместимости.
|
||
|
||
[Unreleased]: https://git.flamy.studio/prod/HY2XS_flamy/compare/v1.0.0...HEAD
|
||
[1.0.0]: https://git.flamy.studio/prod/HY2XS_flamy/releases/tag/v1.0.0
|