隧道"假活"真因修复 + 中转管理后台重做

用户反馈两件事：
  1. 早上打开 relay.xxmxxs.top 看到 Cloudflare Error 1033 —— "这就是你说的优化好了？"
  2. "中转管理那边 ui 界面大改，现在难看的要死"

============ 一、隧道 1033/502/530 的真因 ============

之前我只测 15~25 次就说"可用率 100%"，太草率 ——
实际是**间歇性假活**：隧道显示 ha_connections=2 连着，
公网却 502/530/000。watchdog 日志把过程记了下来。

根因：**4G 链路静默断开 TCP 连接**（不发 FIN/RST，双方都以为还活着）。
Cloudflare 把请求发到这条僵尸连接上就回错误。
Linux 默认 tcp_keepalive_time = **7200 秒（2 小时）**才发现，
中间这段时间服务一直"看着在线、实际打不开"。

修法（都有实测数据支撑）：
  1. tcp_keepalive 30 秒 + 每 10 秒探测 3 次
     => 最多约 60 秒发现僵尸连接并重连
  2. 隧道连接数 2 -> 4
     （对照实验：http2+2 只有 1 条连上时公网 0/12；
       http2+4 稳定 12/12。连接数太少会出现"只有 1 条"的危险窗口）
  3. 协议定为 http2（cloudflared 自检说 TCP 7844 被墙，
     但实测 http2 反而比 quic 稳）

实测：http2+4 之后公网 40/40 = 100%，最慢 1.3 秒，0 次重连。

============ 二、中转管理后台重做 ============

原来是几百行内联在 relay.py 的 f-string 里（HTML+CSS+JS 全挤一起），
改一处样式要在一堆转义花括号里翻。拆成独立模块 relay/admin.py。

新版设计（对齐官网那套白色简洁）：
  * 吸顶顶栏：品牌 + 运行状态 + 版本/内存/请求数
  * 公网地址给最大权重（这是用户最需要复制的东西）
  * 四个数字卡（在线/会话数带颜色区分）
  * 设备表卡片：状态圆点、等宽配对码、行悬停
  * 工具卡：网络体检 + 下载区并排
  * 空状态改成图标+引导文案，不再是干巴巴一句
  * 窄屏时表格自动变卡片

relay.py 从 2089 行缩到 1550 行。

============ 三、顺手修的两个真 bug ============

1. 设备记录只增不减
   self.devices 从不清理，被控端每次换端口/重装就多一条，
   实测一天攒了 75 条僵尸记录，/v1/health 从几 KB 涨到 20KB。
   加 DEVICE_TTL（6 小时）在 snapshot() 里清。

2. 配对码映射也没清
   RELAY.codes 和 devices 是一对孪生 dict，
   只清 devices 会留下指向已删设备的孤儿条目 ——
   管理页显示"配对码占用 131"，实际一台设备都没有。
   现在一起清。

============ 四、我自己造的两次事故（如实记录） ============

1. 删文件删过头
   用"从 _admin_page 截到文件末尾"的方式替换方法，
   但 _admin_page 后面**还有 _esc/_kb/_uptime/class Server/main()**。
   结果 relay 起不来，systemd 重启 24 次，所有接口 000。
   教训：**"删到文件末尾"之前必须先确认末尾有什么。**

2. ADMIN_PATH 引用了不存在的常量
   路由里写的是字面量，我却在新代码里用了 ADMIN_PATH，
   管理页一访问就 NameError。现在统一定义了常量。

二者都是"改完没立刻验"造成的。现在每次改完都跑一遍
管理页 + 官网 + 关键接口的回归。

_build/finalize_tunnel.sh

@@ -1,117 +1,67 @@
 #!/bin/bash
-# 定稿：ha-connections=2，并做长时间稳定性验证。
-#
-# 实测（见 /root/ha_result.txt）：
-#   ha=4 -> 9/10，而且只成功注册 1 条连接（其余一直在握手超时）
-#   ha=2 -> 10/10，2 条都注册上
-#   ha=1 -> 10/10，1 条
-#
-# 原因很可能是这条 4G 线路对并发 UDP 有节制：
-# 4 条 QUIC 同时握手会互相挤，反而条条失败。
-# ha=2 是甜点：够稳，又还有冗余。
+# 定稿：HTTP/2 + 4 连接，然后做**长时间**验证（这次不看瞬时值）
 set -u
 
-RELAY_DIR=/root/lanremote-relay
 UNIT=/etc/systemd/system/lanremote-tunnel.service
+PUB=https://relay.xxmxxs.top
+RELAY_DIR=/root/lanremote-relay
 
-echo "===== 1. 写入正式配置（ha=2）====="
-cat > "$UNIT" <<'EOF'
-[Unit]
-Description=LanRemote Cloudflare 具名隧道
-After=network-online.target lanremote-relay.service
-# 用 Wants 不用 Requires：Requires 是双向的，
-# 重启中转会把隧道一起停掉，而且没东西会再拉起来。
-Wants=network-online.target lanremote-relay.service
-
-[Service]
-Type=simple
-# 协议：必须 QUIC（默认）。
-#   实测这条线路把 HTTP/2 用的 TCP 7844 挡了（TLS 握手超时），
-#   而 QUIC 走 UDP 7844 是通的。
-# 连接数：ha-connections=2。
-#   实测 4 条并发 QUIC 握手会互相挤，只成功 1 条、可用率 9/10；
-#   降到 2 条后 10/10，且仍有冗余（连两个不同边缘节点）。
-# IPv4：这条线路有 IPv6 地址但实际不通，必须 --edge-ip-version 4。
-ExecStart=/usr/local/bin/cloudflared tunnel --no-autoupdate --edge-ip-version 4 --ha-connections 2 --retries 5 --config /root/.cloudflared/config.yml run lanremote
-Restart=always
-RestartSec=5
-MemoryMax=128M
-StandardOutput=append:/root/lanremote-relay/tunnel.log
-StandardError=append:/root/lanremote-relay/tunnel.log
-
-[Install]
-WantedBy=multi-user.target
-EOF
-
-systemctl stop lanremote-tunnel 2>/dev/null || true
-pkill -f cloudflared 2>/dev/null || true
-sleep 3
-rm -f "$RELAY_DIR/tunnel.log"
+echo "════════ 1. 写回最优配置 ════════"
+sed -i "s/--protocol [a-z0-9]*/--protocol http2/" "$UNIT"
+sed -i "s/--ha-connections [0-9]*/--ha-connections 4/" "$UNIT"
 systemctl daemon-reload
-systemctl enable lanremote-tunnel >/dev/null 2>&1
-systemctl start lanremote-tunnel
+systemctl restart lanremote-tunnel
+echo "  $(grep -oE '\-\-protocol [a-z0-9]+|--ha-connections [0-9]+' "$UNIT" | tr '\n' ' ')"
 
 echo
-echo "===== 2. 等它建齐连接 ====="
-for i in 1 2 3 4 5; do
-    sleep 15
-    N=$(grep -c 'Registered tunnel connection' "$RELAY_DIR/tunnel.log" 2>/dev/null || echo 0)
-    echo "  $((i*15)) 秒：已注册 $N 条"
-    [ "$N" -ge 2 ] && break
+echo "════════ 2. 等连接全部建立 ════════"
+for i in $(seq 1 12); do
+    sleep 5
+    n=$(curl -s --max-time 4 http://127.0.0.1:20241/metrics 2>/dev/null \
+        | grep '^cloudflared_tunnel_ha_connections' | awk '{print $2}')
+    echo "    ${i}0s 内: 连接 $n"
+    [ "$n" = "4" ] && break
 done
 
 echo
-echo "===== 3. 长时间稳定性：连打 30 次，每次隔 3 秒 ====="
-OK=0
-FAIL=0
-FAILED_CODES=""
-for i in $(seq 1 30); do
-    C=$(timeout 20 curl -4 -s -o /dev/null -w '%{http_code}' \
-        -H 'User-Agent: LanRemote/1.4.0' \
-        https://relay.xxmxxs.top/v1/health 2>/dev/null)
-    if [ "$C" = "200" ]; then
-        OK=$((OK + 1)); M="✓"
+echo "════════ 3. 公网连测 40 次（约 2 分钟）════════"
+ok=0; fail=0; worst=0; streak=0; worst_streak=0
+for i in $(seq 1 40); do
+    r=$(curl -s -o /dev/null -w '%{http_code} %{time_total}' --max-time 15 \
+        -H 'User-Agent: LanRemote/1.4.0' "$PUB/v1/health")
+    c=$(echo "$r" | cut -d' ' -f1)
+    t=$(echo "$r" | cut -d' ' -f2)
+    if [ "$c" = "200" ]; then
+        ok=$((ok+1)); streak=0
+        big=$(echo "$t > $worst" | bc 2>/dev/null || echo 0)
+        [ "$big" = "1" ] && worst=$t
     else
-        FAIL=$((FAIL + 1)); M="✗"; FAILED_CODES="$FAILED_CODES ${C:-超时}"
+        fail=$((fail+1)); streak=$((streak+1))
+        [ "$streak" -gt "$worst_streak" ] && worst_streak=$streak
+        [ $((i % 5)) -eq 0 ] && echo "      第 $i 次: $c"
     fi
-    printf "    %2d: %s %s\n" "$i" "$M" "${C:-超时}"
-    sleep 3
+    sleep 2.5
 done
-PCT=$((OK * 100 / 30))
+rate=$(echo "scale=1; $ok * 100 / 40" | bc)
 echo
-echo "  成功 $OK / 30  ($PCT%)"
-[ -n "$FAILED_CODES" ] && echo "  失败的返回码:$FAILED_CODES"
+echo "    可用 $ok/40 = ${rate}%   最慢 ${worst}s"
+echo "    最长连续失败 $worst_streak 次（约 $((worst_streak * 3)) 秒）"
 
 echo
-echo "===== 4. 对照：中转本地（应该 100%）====="
-LOK=0
-for i in $(seq 1 10); do
-    C=$(timeout 8 curl -s -o /dev/null -w '%{http_code}' http://127.0.0.1:8080/v1/health)
-    [ "$C" = "200" ] && LOK=$((LOK + 1))
-done
-echo "  局域网直连 $LOK / 10"
-
-echo
-echo "===== 5. 隧道日志统计 ====="
-echo "  注册成功: $(grep -c 'Registered tunnel connection' "$RELAY_DIR/tunnel.log" 2>/dev/null || echo 0)"
-echo "  连接断开: $(grep -c 'Connection terminated' "$RELAY_DIR/tunnel.log" 2>/dev/null || echo 0)"
-echo "  quic 错误: $(grep -c 'Failed to dial a quic' "$RELAY_DIR/tunnel.log" 2>/dev/null || echo 0)"
-
-echo
-echo "===== 6. 最终服务清单 ====="
-for s in lanremote-relay lanremote-tunnel lanremote-watchdog.timer; do
-    printf "  %-32s %-10s %s\n" "$s" \
-        "$(systemctl is-active $s 2>/dev/null)" \
-        "$(systemctl is-enabled $s 2>/dev/null)"
-done
-echo
-echo "  公网地址: $(cat $RELAY_DIR/public_url.txt)"
-echo "  内存: $(free -m | awk 'NR==2{printf "已用 %s MB / 可用 %s MB", $3, $7}')"
-
-if [ "$PCT" -ge 90 ]; then
-    echo
-    echo "  ✓ 稳定了（$PCT%）—— ha-connections=2 定稿"
-else
-    echo
-    echo "  ~ 还有抖动（$PCT%），看门狗会兜底"
+echo "════════ 4. 这段时间隧道重连了几次 ════════"
+since=$(date -u -d '4 minutes ago' '+%Y-%m-%dT%H:%M:%S' 2>/dev/null || echo "")
+if [ -n "$since" ]; then
+    awk -v s="$since" '$0 >= s' "$RELAY_DIR/tunnel.log" 2>/dev/null > /tmp/recent.log
+    for kw in 'Registered tunnel connection' 'Lost connection' 'Retrying connection' 'i/o timeout'; do
+        printf "    %-32s %s 次\n" "$kw" "$(grep -c "$kw" /tmp/recent.log)"
+    done
 fi
+
+echo
+echo "════════ 5. 现在的落点 ════════"
+grep -E 'Registered tunnel connection' "$RELAY_DIR/tunnel.log" 2>/dev/null | tail -5 \
+    | grep -oE 'ip=[0-9.]+ location=[a-z0-9]+ protocol=[a-z0-9]+' | sed 's/^/    /'
+
+echo
+echo "════════ 6. watchdog 状态 ════════"
+tail -6 "$RELAY_DIR/watchdog.log" 2>/dev/null | sed 's/^/    /'