mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-19 07:10:44 +00:00
搬到 Lightsail：nginx 反代 + TLS + 公共 DNS + 后台口令改由服务器持有
== 架构（最终形态）==
用户 --HTTPS--> Cloudflare CDN --HTTP/HTTPS--> nginx --+--> 127.0.0.1:13245
yk.xxmxxs.top 13.54.30.196
中转只绑 127.0.0.1，公网只能经 nginx 进来 —— 少一个暴露面
（实测公网直连 :13245 返回 000，符合预期）。
== 这一轮加的 ==
1. **nginx 反代**（_build/setup_nginx.py）
Cloudflare 只能回源到特定端口（80/8080/443/2053…），
中转跑的 13245 不在列表里，所以中间必须有一层。
配置要点：
/download/ proxy_buffering on
/v1/ proxy_read_timeout 180s + **proxy_buffering off**
（长轮询要挂 60 秒；关缓冲，否则要等整个响应完
才吐给客户端，那就不是长轮询了）
2. **源站 TLS 证书**（_build/setup_tls_origin.py）
Cloudflare 的 SSL 模式是 Full(strict)，回源走 443，源站只有 80
-> 522。用 certbot 的 nginx 插件签了 Let's Encrypt 证书。
开着橙色云朵也能签：HTTP-01 挑战经 Cloudflare 回源到 80 能验证。
踩的坑：第一次用 example.com 当邮箱，Let's Encrypt 拒收保留域名。
3. **公共 DNS**（_build/fix_server_dns.py）
换域名之后 **服务器自己解析不了** yk.xxmxxs.top：
Lightsail 默认的内网解析器 172.26.0.2 还缓存着"不存在"（负缓存），
而 1.1.1.1 / 8.8.8.8 已经能解析。
后果不只是监测误报 —— 服务器上任何解析该域名的东西都会失败。
配上公共 DNS，内网那个降为后备（它对 AWS 自家服务更快）。
4. **监测与预案重写**（relay/monitor-lightsail.sh、rescue-lightsail.sh）
分两层探测，才能分清是哪一层坏的：
PRIMARY https://域名 用户实际走的
FALLBACK 127.0.0.1:13245 中转本身
PRIMARY 挂 + FALLBACK 好 -> edge 层 -> 动 nginx
两个都挂 -> core 层 -> 动中转
不区分的话只能瞎重启，而 edge 层的问题重启中转一万次也没用。
做法上也改了：不再"SSH 过去用嵌套 heredoc 现场打补丁"
（这一轮因此踩了五次转义/求值/百分号格式化的坑），
改成**本地写完整文件、整份上传**，能进 git 做版本管理。
5. **后台口令改由服务器持有**（_build/set_admin_password.py）
密码只写进 /opt/ykxmz-relay/data/admin_password.txt（600），
**不进代码、不进仓库**。本地脚本从环境变量或
_build/.admin_password（已 gitignore）读取。
这个仓库已经吃过一次"管理员密码硬编码进提交历史"的教训了。
6. **验证脚本**（_build/verify_admin_login.py）
第一版只看登录请求的状态码，结果"对的密码/错的密码/不带凭据"
**全是 302** —— 等于没测。改成看 cookie 再访问 /admin，
区分拿到的是登录页还是后台页。实测：
正确密码 -> cookie 1 条 -> 后台页
错误密码 -> cookie 0 条 -> 登录页
账号写错 -> cookie 0 条 -> 登录页
经 Cloudflare 域名 -> 后台页
== 其他修复 ==
* 下载响应有**两条** Cache-Control（nginx 和 relay 各发一条），
Cloudflare 遇到重复的缓存指令可能直接跳过缓存 -> 去掉 nginx 那条
* 监测探测地址跟着监听地址改（改入口必须回头看所有探测入口）
* curl 加 -L 跟跳转（certbot 加了 http->https 301）
* 旧服务器（随身 WiFi 那台）的服务全部停掉并取消自启，
但**没关机、没删文件** —— 保持可逆
全量回归 46 个阶段通过；594 个 Python 文件语法通过。
This commit is contained in:
xmz7891
@@ -0,0 +1,108 @@
|
||||
# -*- coding: utf-8 -*-
|
||||
r'''查 Cloudflare 是不是按 User-Agent 拦请求（403 + error 1010）。
|
||||
|
||||
== 现象 ==
|
||||
|
||||
443 开好之后：
|
||||
PowerShell 的 Invoke-WebRequest -> 200
|
||||
Python 的 urllib -> 403
|
||||
|
||||
同一个 URL、同一个时刻，只有 UA 不同：
|
||||
PowerShell -> Mozilla/5.0 (Windows NT; Windows NT 10.0; ...) PowerShell/5.1
|
||||
Python -> Python-urllib/3.11
|
||||
|
||||
**这正是仓库里早记过的坑**：
|
||||
windows/lanremote/relay.py 文件头写着
|
||||
"（Python-urllib/3.11）判为可疑客户端，返回 403 + error code 1010。
|
||||
实测 LanRemote/1.4.0 能过，用自家标识比伪装浏览器合适。"
|
||||
|
||||
== 为什么这次特别要紧 ==
|
||||
|
||||
服务器上的**监测单元用的是 curl**。如果 Cloudflare 也拦 curl，
|
||||
那监测会**永远判定网站挂了** -> 一直启动紧急预案 -> 死循环折腾。
|
||||
|
||||
所以必须实测清楚：哪些 UA 能过、哪些被拦。
|
||||
'''
|
||||
from __future__ import annotations
|
||||
|
||||
import ssl
|
||||
import sys
|
||||
import urllib.error
|
||||
import urllib.request
|
||||
from pathlib import Path
|
||||
|
||||
ROOT = Path(__file__).resolve().parent.parent
|
||||
sys.path.insert(0, str(ROOT / "_build"))
|
||||
from lssh import run # noqa: E402
|
||||
|
||||
URL = "https://yk.xxmxxs.top/v1/health"
|
||||
|
||||
UAS = [
|
||||
("Python-urllib/3.11", "Python urllib 默认"),
|
||||
("curl/8.5.0", "curl 默认（监测单元用的就是这个！）"),
|
||||
("LanRemote/1.4.0", "本项目自己的标识（旧机器上实测能过）"),
|
||||
("Mozilla/5.0 (Windows NT 10.0; Win64; x64)", "浏览器"),
|
||||
("", "空 UA"),
|
||||
]
|
||||
|
||||
|
||||
def probe(ua: str) -> tuple:
|
||||
req = urllib.request.Request(URL)
|
||||
if ua:
|
||||
req.add_header("User-Agent", ua)
|
||||
else:
|
||||
req.add_header("User-Agent", "")
|
||||
try:
|
||||
with urllib.request.urlopen(req, timeout=30) as r:
|
||||
body = r.read(300).decode("utf-8", "replace")
|
||||
return str(r.status), body[:90].replace("\n", " ")
|
||||
except urllib.error.HTTPError as exc:
|
||||
body = ""
|
||||
try:
|
||||
body = exc.read(300).decode("utf-8", "replace")
|
||||
except Exception: # noqa: BLE001
|
||||
pass
|
||||
return str(exc.code), body[:90].replace("\n", " ")
|
||||
except Exception as exc: # noqa: BLE001
|
||||
return "失败", str(exc)[:70]
|
||||
|
||||
|
||||
def main() -> int:
|
||||
print("=" * 62)
|
||||
print(" Cloudflare 是不是按 UA 拦请求？")
|
||||
print("=" * 62)
|
||||
|
||||
print()
|
||||
print(" 目标: %s" % URL)
|
||||
print()
|
||||
for ua, note in UAS:
|
||||
code, body = probe(ua)
|
||||
mark = "✓" if code == "200" else "✗"
|
||||
print(" %s %-34s %s" % (mark, ("(空)" if not ua else ua)[:34], note))
|
||||
print(" -> HTTP %s %s" % (code, body))
|
||||
print()
|
||||
|
||||
print(" ── 服务器上 curl 实测（监测单元就是这么查的）──")
|
||||
out = run(
|
||||
"echo ' curl 默认 UA:'; "
|
||||
"curl -s -o /dev/null -w ' HTTP %{http_code}\\n' --max-time 15 "
|
||||
"https://yk.xxmxxs.top/v1/health; "
|
||||
"echo ' curl 带 LanRemote UA:'; "
|
||||
"curl -s -o /dev/null -w ' HTTP %{http_code}\\n' --max-time 15 "
|
||||
"-A 'LanRemote/1.4.0' https://yk.xxmxxs.top/v1/health; "
|
||||
"echo ' curl 带浏览器 UA:'; "
|
||||
"curl -s -o /dev/null -w ' HTTP %{http_code}\\n' --max-time 15 "
|
||||
"-A 'Mozilla/5.0 (Windows NT 10.0; Win64; x64)' "
|
||||
"https://yk.xxmxxs.top/v1/health",
|
||||
timeout=180, quiet=True)
|
||||
for ln in out[1].strip().splitlines():
|
||||
print(ln)
|
||||
|
||||
print()
|
||||
print(" 结论提示：如果 curl 默认 UA 被拦、带上标识就通，")
|
||||
print(" 那就得给监测单元的 curl 加 -A。")
|
||||
return 0
|
||||
|
||||
|
||||
if __name__ == "__main__":
|
||||
sys.exit(main())
|
||||
Reference in New Issue
Block a user