源站装 TLS 证书 + 停掉旧服务器

== 522 的根因 ==

DNS 配好、橙色云朵生效之后：
    http://yk.xxmxxs.top/     -> 200（经 Cloudflare，反代正常）
    https://yk.xxmxxs.top/    -> 522
    13.54.30.196:443          -> 不通

zone 的 SSL/TLS 模式是 **Full / Full(strict)**，Cloudflare 回源走 443，
而源站只听了 80 —— 因此 522。

== 解决：源站签 Let's Encrypt 证书 ==

用 certbot 的 nginx 插件签（**不需要 webroot**，插件自己处理挑战）：

    Successfully received certificate
    /etc/letsencrypt/live/yk.xxmxxs.top/fullchain.pem
    notAfter = Jan 6 2027（自动续期已启用 certbot.timer）
    nginx 已加 listen 443 + 证书 + http->https 跳转

**开着橙色云朵也能签**：HTTP-01 挑战请求
http://yk.xxmxxs.top/.well-known/acme-challenge/... 会经 Cloudflare
回源到 80，CF 不缓存该路径、会透传，所以验证能过。
比"先关云朵签完再开"省事，也不用等 DNS 传播。

踩的坑：第一次用了 xmz7891@example.com，Let's Encrypt 拒收
example.com 这类保留域名，报"invalid email"。
改用 --register-unsafely-without-email 即可
（续期由 timer 负责，不依赖邮件提醒）。

== 停掉旧服务器 ==

中转已在 Lightsail 跑通，旧那台（随身 WiFi + 两条 CF 隧道 + 网络调优）
全部停掉并取消自启：

    lanremote-relay / lanremote-tunnel / lanremote-tunnel-h2 /
    lanremote-nettune / monitor.timer / watchdog.timer  -> 全 inactive

**只停服务，没关机、没删文件** —— 保持可逆，新服务器稳几天再说。

== 待用户操作 ==

Lightsail 防火墙开 TCP 443（Cloudflare 的 Full(strict) 回源要用）。

_build/_cmsg_tls.txt

@@ -0,0 +1,44 @@
+源站装 TLS 证书 + 停掉旧服务器
+
+== 522 的根因 ==
+
+DNS 配好、橙色云朵生效之后：
+    http://yk.xxmxxs.top/     -> 200（经 Cloudflare，反代正常）
+    https://yk.xxmxxs.top/    -> 522
+    13.54.30.196:443          -> 不通
+
+zone 的 SSL/TLS 模式是 **Full / Full(strict)**，Cloudflare 回源走 443，
+而源站只听了 80 —— 因此 522。
+
+== 解决：源站签 Let's Encrypt 证书 ==
+
+用 certbot 的 nginx 插件签（**不需要 webroot**，插件自己处理挑战）：
+
+    Successfully received certificate
+    /etc/letsencrypt/live/yk.xxmxxs.top/fullchain.pem
+    notAfter = Jan 6 2027（自动续期已启用 certbot.timer）
+    nginx 已加 listen 443 + 证书 + http->https 跳转
+
+**开着橙色云朵也能签**：HTTP-01 挑战请求
+http://yk.xxmxxs.top/.well-known/acme-challenge/... 会经 Cloudflare
+回源到 80，CF 不缓存该路径、会透传，所以验证能过。
+比"先关云朵签完再开"省事，也不用等 DNS 传播。
+
+踩的坑：第一次用了 xmz7891@example.com，Let's Encrypt 拒收
+example.com 这类保留域名，报"invalid email"。
+改用 --register-unsafely-without-email 即可
+（续期由 timer 负责，不依赖邮件提醒）。
+
+== 停掉旧服务器 ==
+
+中转已在 Lightsail 跑通，旧那台（随身 WiFi + 两条 CF 隧道 + 网络调优）
+全部停掉并取消自启：
+
+    lanremote-relay / lanremote-tunnel / lanremote-tunnel-h2 /
+    lanremote-nettune / monitor.timer / watchdog.timer  -> 全 inactive
+
+**只停服务，没关机、没删文件** —— 保持可逆，新服务器稳几天再说。
+
+== 待用户操作 ==
+
+Lightsail 防火墙开 TCP 443（Cloudflare 的 Full(strict) 回源要用）。

_build/check_tls_ready.py

@@ -0,0 +1,113 @@
+# -*- coding: utf-8 -*-
+r'''验证源站的 443 是否就绪（证书签完之后）。
+
+背景：522 是因为 Cloudflare 的 SSL 模式是 Full/Full(strict)，
+回源走 443，而源站只有 80。现在证书签好了、nginx 也配了 443，
+所以要确认：
+
+    1. 本机 443 能自测通（带正确 SNI）
+    2. 从**外面**能不能连上 443
+       —— 这一步取决于用户在 Lightsail 防火墙开没开 443
+'''
+from __future__ import annotations
+
+import socket
+import ssl
+import sys
+import urllib.request
+from pathlib import Path
+
+ROOT = Path(__file__).resolve().parent.parent
+sys.path.insert(0, str(ROOT / "_build"))
+from lssh import run      # noqa: E402
+
+DOMAIN = "yk.xxmxxs.top"
+IP = "13.54.30.196"
+
+
+def tcp(host: str, port: int, timeout: float = 8.0) -> bool:
+    s = socket.socket()
+    s.settimeout(timeout)
+    try:
+        s.connect((host, port))
+        return True
+    except Exception:                                     # noqa: BLE001
+        return False
+    finally:
+        s.close()
+
+
+def https(host: str, port: int = 443) -> tuple:
+    """返回 (状态码文本, 证书主体)。"""
+    ctx = ssl.create_default_context()
+    try:
+        with urllib.request.urlopen(
+                "https://%s:%d/v1/health" % (host, port),
+                timeout=15, context=ctx) as r:
+            r.read(64)
+            return str(r.status), "证书验证通过"
+    except ssl.SSLCertVerificationError as exc:
+        return "证书错误", str(exc)[:70]
+    except Exception as exc:                              # noqa: BLE001
+        return "失败", "%s: %s" % (type(exc).__name__, str(exc)[:60])
+
+
+def main() -> int:
+    print("=" * 62)
+    print("  验证 443 是否就绪")
+    print("=" * 62)
+
+    print()
+    print("  ── 1. 源站内部（从服务器自己看）──")
+    # ⚠ 这里**不能用 % 格式化** —— 远端命令里有 curl 的
+    #   %{http_code}，% 格式化会把 %{ 当成格式符直接抛
+    #   "unsupported format character '{'"。用 replace 更安全。
+    inner = (
+        "echo '  --- 监听 ---'; "
+        "ss -tln 2>/dev/null | grep -E ':(80|443) ' | sed 's/^/    /'; "
+        "echo '  --- 本机 https（带 SNI）---'; "
+        "curl -s -o /dev/null -w '    %{http_code}\\n' --max-time 10 "
+        "--resolve __D__:443:127.0.0.1 https://__D__/v1/health; "
+        "echo '  --- 证书主体 ---'; "
+        "sudo openssl x509 -in /etc/letsencrypt/live/__D__/fullchain.pem "
+        "-noout -subject -dates 2>/dev/null | sed 's/^/    /'; "
+        "echo '  --- nginx 里的 443 段 ---'; "
+        "sudo grep -nE 'listen|ssl_certificate|return 301|server_name' "
+        "/etc/nginx/sites-available/ykxmz | sed 's/^/    /'"
+    ).replace("__D__", DOMAIN)
+    out = run(inner, timeout=180, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print(ln)
+
+    print()
+    print("  ── 2. 从这台电脑直连源站（不经过 Cloudflare）──")
+    for port in (80, 443):
+        ok = tcp(IP, port)
+        print("    %s:%-4d TCP %s" % (IP, port, "通" if ok else "不通 ❌"))
+    code, note = https(IP)
+    print("    https://%s/v1/health -> %s  （%s）" % (IP, code, note))
+    print("    （这里会是证书错误，正常 —— 我们是用 IP 直连，")
+    print("      证书是签给域名的。这一步只看 TCP 通不通。）")
+
+    print()
+    print("  ── 3. 经 Cloudflare 的 HTTPS ──")
+    code, note = https(DOMAIN)
+    print("    https://%s/v1/health -> %s  （%s）" % (DOMAIN, code, note))
+
+    print()
+    print("  ── 4. 结论 ──")
+    if tcp(IP, 443):
+        print("    ✅ 443 从外面**通** —— Cloudflare 的 Full(strict) 能工作")
+        if code == "200":
+            print("    ✅ 全链路已经好了")
+        else:
+            print("    ⚠ 443 通了但 HTTPS 还不通，可能是 Cloudflare")
+            print("      还没切到 Full(strict)，或者配置还在生效中")
+    else:
+        print("    ❌ 443 从外面**不通** —— 需要去 Lightsail 防火墙开 TCP 443")
+        print("       （实例 → 联网 → 防火墙 → 添加规则 → 自定义 TCP 443）")
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())

_build/retire_old_relay.py

@@ -0,0 +1,107 @@
+# -*- coding: utf-8 -*-
+r'''停掉旧那台随身 WiFi 服务器上的中转。
+
+== 为什么可以停 ==
+
+中转已经搬到 AWS Lightsail（有公网 IP、域名 yk.xxmxxs.top、
+经 Cloudflare CDN），旧机器上那套（lanremote-relay + 两条
+Cloudflare 隧道 + 网络调优）全部不再需要。
+
+旧那套的问题回顾（都是停掉它的理由）：
+    * 线路对隧道 7844 端口间歇性阻断 -> 隧道每 3~10 分钟掉一次
+    * 只有 460MB 内存
+    * 会掉电硬挂（2026-10-08 18:42 一次非正常关机）
+
+== 停的方式：**只停服务，不关机、不删东西** ==
+
+用户说的是"可以停了"。按最小动作来：
+
+    * systemctl stop + disable 那几个服务
+    * **不**关机（万一还想上去看日志）
+    * **不**删任何文件（可逆）
+
+这样如果新服务器出问题，随时可以 systemctl start 回去。
+等新服务器稳定跑一阵，再彻底关机/退订也不迟。
+'''
+from __future__ import annotations
+
+import sys
+from pathlib import Path
+
+ROOT = Path(__file__).resolve().parent.parent
+sys.path.insert(0, str(ROOT / "_build"))
+from devssh import run      # noqa: E402
+
+SERVICES = [
+    "lanremote-relay",
+    "lanremote-tunnel",
+    "lanremote-tunnel-h2",
+    "lanremote-nettune",
+    "lanremote-monitor.timer",
+    "lanremote-watchdog.timer",
+]
+
+
+def main() -> int:
+    print("=" * 62)
+    print("  停掉旧服务器（4G 小机器）上的中转")
+    print("=" * 62)
+
+    print()
+    print("  ── 停之前的状态 ──")
+    out = run("for s in %s; do printf '  %%-26s %%s\\n' $s "
+              "\"$(systemctl is-active $s 2>&1)\"; done"
+              % " ".join(SERVICES), timeout=120, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print(ln)
+
+    print()
+    print("  ── 停掉 + 取消开机自启 ──")
+    # 先停 timer（免得它刚好在停服务的时候又触发一次抢救）
+    out = run(
+        "sudo systemctl disable --now lanremote-monitor.timer "
+        "lanremote-watchdog.timer 2>&1 | tail -2; "
+        "for s in lanremote-relay lanremote-tunnel lanremote-tunnel-h2 "
+        "lanremote-nettune; do "
+        "  sudo systemctl disable --now $s 2>&1 | tail -1; "
+        "done; echo DONE", timeout=300, quiet=True)
+    for ln in out[1].strip().splitlines()[-12:]:
+        print("    " + ln)
+
+    print()
+    print("  ── 停之后的状态 ──")
+    out = run("for s in %s; do printf '  %%-26s %%s\\n' $s "
+              "\"$(systemctl is-active $s 2>&1)\"; done"
+              % " ".join(SERVICES), timeout=120, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print(ln)
+
+    print()
+    print("  ── 顺带停掉 cloudflared（隧道进程）──")
+    out = run("pgrep -a cloudflared | head -4; "
+              "sudo pkill -f cloudflared 2>/dev/null; sleep 2; "
+              "echo '  剩余 cloudflared 进程: '\$(pgrep -c cloudflared "
+              "2>/dev/null || echo 0)", timeout=120, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print("    " + ln)
+
+    print()
+    print("  ── 确认网站上不去了（relay.xxmxxs.top 应该 5xx）──")
+    out = run("echo \"  relay.xxmxxs.top -> $(curl -s -o /dev/null "
+              "-w '%%{http_code}' --max-time 15 "
+              "https://relay.xxmxxs.top/v1/health)\"", timeout=120,
+              quiet=True)
+    for ln in out[1].strip().splitlines():
+        print("    " + ln)
+
+    print()
+    print("  说明：**只停了服务，没关机、没删文件** ——")
+    print("        万一新服务器有问题，随时可以 start 回去：")
+    print("          sudo systemctl enable --now lanremote-relay "
+          "lanremote-tunnel lanremote-tunnel-h2")
+    print("        等新服务器稳定跑几天，再考虑关机/退订。")
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())

_build/setup_tls_origin.py

@@ -0,0 +1,127 @@
+# -*- coding: utf-8 -*-
+r'''给源站签一张 Let's Encrypt 证书，让 Cloudflare 的 SSL 能走"完全(严格)"。
+
+== 522 是怎么来的 ==
+
+DNS 配好、橙色云朵生效之后：
+
+    http://yk.xxmxxs.top/       -> 200  （经 Cloudflare，反代是好的）
+    https://yk.xxmxxs.top/      -> 522  （Cloudflare 连不上源站）
+    13.54.30.196:443            -> 不通（源站没听 443）
+
+结论：zone 的 SSL/TLS 模式是 **Full** 或 **Full (strict)**，
+Cloudflare 回源走 443，而源站只有 80 -> 522。
+
+== 两种解法 ==
+
+  A. 把 SSL/TLS 改成 **Flexible**
+     一个下拉框搞定。CF<->用户加密，**CF<->源站明文**。
+     省事，但源站那段不加密 —— 而且 Cloudflare 官方不建议
+     （源站流量在 CF 内网走，风险不大，但"完全"更好）。
+
+  B. 源站装证书，保持 **Full (strict)**   <- 这个脚本做的
+     端到端加密，还能开 HSTS 之类。多花两分钟，值得。
+
+== 为什么开着橙色云朵也能签 Let's Encrypt ==
+
+HTTP-01 验证是：Let's Encrypt 去请求
+    http://yk.xxmxxs.top/.well-known/acme-challenge/<随机串>
+这条请求会经过 Cloudflare 回源到我们的 80 端口。
+Cloudflare 默认**不缓存** .well-known 路径、也会透传，所以能验证成功。
+（这比"先关云朵签完再开"省事，也不用等 DNS 传播。）
+
+== 签完还要做的 ==
+
+  1. 用户在 Lightsail 防火墙**开 443**
+  2. 用户把 Cloudflare 的 SSL/TLS 设为 **Full (strict)**
+'''
+from __future__ import annotations
+
+import sys
+from pathlib import Path
+
+ROOT = Path(__file__).resolve().parent.parent
+sys.path.insert(0, str(ROOT / "_build"))
+from lssh import run      # noqa: E402
+
+DOMAIN = "yk.xxmxxs.top"
+EMAIL = "xmz7891@example.com"      # Let's Encrypt 要一个邮箱（过期提醒）
+
+
+def main() -> int:
+    print("=" * 62)
+    print("  给 %s 签 Let's Encrypt 证书" % DOMAIN)
+    print("=" * 62)
+
+    print()
+    print("  ── 1. 装 certbot ──")
+    out = run("which certbot >/dev/null 2>&1 && echo ALREADY || "
+              "(sudo apt-get update -qq && sudo DEBIAN_FRONTEND=noninteractive "
+              "apt-get install -y -qq certbot python3-certbot-nginx) && "
+              "certbot --version 2>&1", timeout=900, quiet=True)
+    for ln in out[1].strip().splitlines()[-3:]:
+        print("    " + ln)
+
+    print()
+    print("  ── 2. 先确认 HTTP-01 挑战路径能通（走 Cloudflare）──")
+    out = run(
+        "mkdir -p /var/www/html/.well-known/acme-challenge && "
+        "echo 'ykxmz-acme-ok' | sudo tee "
+        "/var/www/html/.well-known/acme-challenge/probe >/dev/null && "
+        "sudo chown -R www-data:www-data /var/www/html 2>/dev/null; "
+        "echo '  本机:'; curl -s --max-time 8 "
+        "http://127.0.0.1:80/.well-known/acme-challenge/probe | sed 's/^/    /'; "
+        "echo '  经 Cloudflare:'; curl -s --max-time 15 "
+        "http://%s/.well-known/acme-challenge/probe | sed 's/^/    /'"
+        % DOMAIN, timeout=180, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print(ln)
+
+    print()
+    print("  ── 3. 签证书 ──")
+    # --nginx 会自动改 nginx 配置加上 443 + 证书路径
+    # --non-interactive 不交互；--agree-tos 同意条款
+    # --redirect 把 http 永久重定向到 https
+    out = run(
+        "sudo certbot --nginx -d %s --non-interactive --agree-tos "
+        "--email %s --redirect --keep-until-expiring 2>&1 | tail -20"
+        % (DOMAIN, EMAIL), timeout=600, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print("    " + ln)
+
+    print()
+    print("  ── 4. 复查 nginx 是否已在 443 上 ──")
+    out = run(
+        "sudo nginx -t 2>&1 | tail -2; "
+        "echo '  --- 监听 ---'; "
+        "ss -tln 2>/dev/null | grep -E ':(80|443) ' | sed 's/^/    /'; "
+        "echo '  --- 证书 ---'; "
+        "sudo ls -la /etc/letsencrypt/live/%s/ 2>/dev/null | tail -5 | "
+        "sed 's/^/    /'; "
+        "echo '  --- 本机 https 自测 ---'; "
+        "curl -sk -o /dev/null -w '    https://127.0.0.1 (SNI %s): %%{http_code}\\n' "
+        "--max-time 10 --resolve %s:443:127.0.0.1 https://%s/v1/health"
+        % (DOMAIN, DOMAIN, DOMAIN, DOMAIN), timeout=180, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print(ln)
+
+    print()
+    print("  ── 5. 自动续期 ──")
+    out = run("systemctl is-enabled certbot.timer 2>&1; "
+              "systemctl is-active certbot.timer 2>&1; "
+              "sudo certbot renew --dry-run 2>&1 | tail -3",
+              timeout=600, quiet=True)
+    for ln in out[1].strip().splitlines():
+        print("    " + ln)
+
+    print()
+    print("=" * 62)
+    print("  接下来要用户做两件事：")
+    print("    1. Lightsail 防火墙开 TCP 443")
+    print("    2. Cloudflare 的 SSL/TLS 设为「完全(严格)」")
+    print("=" * 62)
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())