mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-18 14:50:45 +00:00
xmz7891
a53a3eee21
== 架构（最终形态）==
用户 --HTTPS--> Cloudflare CDN --HTTP/HTTPS--> nginx --+--> 127.0.0.1:13245
yk.xxmxxs.top 13.54.30.196
中转只绑 127.0.0.1，公网只能经 nginx 进来 —— 少一个暴露面
（实测公网直连 :13245 返回 000，符合预期）。
== 这一轮加的 ==
1. **nginx 反代**（_build/setup_nginx.py）
Cloudflare 只能回源到特定端口（80/8080/443/2053…），
中转跑的 13245 不在列表里，所以中间必须有一层。
配置要点：
/download/ proxy_buffering on
/v1/ proxy_read_timeout 180s + **proxy_buffering off**
（长轮询要挂 60 秒；关缓冲，否则要等整个响应完
才吐给客户端，那就不是长轮询了）
2. **源站 TLS 证书**（_build/setup_tls_origin.py）
Cloudflare 的 SSL 模式是 Full(strict)，回源走 443，源站只有 80
-> 522。用 certbot 的 nginx 插件签了 Let's Encrypt 证书。
开着橙色云朵也能签：HTTP-01 挑战经 Cloudflare 回源到 80 能验证。
踩的坑：第一次用 example.com 当邮箱，Let's Encrypt 拒收保留域名。
3. **公共 DNS**（_build/fix_server_dns.py）
换域名之后 **服务器自己解析不了** yk.xxmxxs.top：
Lightsail 默认的内网解析器 172.26.0.2 还缓存着"不存在"（负缓存），
而 1.1.1.1 / 8.8.8.8 已经能解析。
后果不只是监测误报 —— 服务器上任何解析该域名的东西都会失败。
配上公共 DNS，内网那个降为后备（它对 AWS 自家服务更快）。
4. **监测与预案重写**（relay/monitor-lightsail.sh、rescue-lightsail.sh）
分两层探测，才能分清是哪一层坏的：
PRIMARY https://域名 用户实际走的
FALLBACK 127.0.0.1:13245 中转本身
PRIMARY 挂 + FALLBACK 好 -> edge 层 -> 动 nginx
两个都挂 -> core 层 -> 动中转
不区分的话只能瞎重启，而 edge 层的问题重启中转一万次也没用。
做法上也改了：不再"SSH 过去用嵌套 heredoc 现场打补丁"
（这一轮因此踩了五次转义/求值/百分号格式化的坑），
改成**本地写完整文件、整份上传**，能进 git 做版本管理。
5. **后台口令改由服务器持有**（_build/set_admin_password.py）
密码只写进 /opt/ykxmz-relay/data/admin_password.txt（600），
**不进代码、不进仓库**。本地脚本从环境变量或
_build/.admin_password（已 gitignore）读取。
这个仓库已经吃过一次"管理员密码硬编码进提交历史"的教训了。
6. **验证脚本**（_build/verify_admin_login.py）
第一版只看登录请求的状态码，结果"对的密码/错的密码/不带凭据"
**全是 302** —— 等于没测。改成看 cookie 再访问 /admin，
区分拿到的是登录页还是后台页。实测：
正确密码 -> cookie 1 条 -> 后台页
错误密码 -> cookie 0 条 -> 登录页
账号写错 -> cookie 0 条 -> 登录页
经 Cloudflare 域名 -> 后台页
== 其他修复 ==
* 下载响应有**两条** Cache-Control（nginx 和 relay 各发一条），
Cloudflare 遇到重复的缓存指令可能直接跳过缓存 -> 去掉 nginx 那条
* 监测探测地址跟着监听地址改（改入口必须回头看所有探测入口）
* curl 加 -L 跟跳转（certbot 加了 http->https 301）
* 旧服务器（随身 WiFi 那台）的服务全部停掉并取消自启，
但**没关机、没删文件** —— 保持可逆
全量回归 46 个阶段通过；594 个 Python 文件语法通过。
140 lines
5.2 KiB
Python
140 lines
5.2 KiB
Python
# -*- coding: utf-8 -*-
|
||
r'''给服务器配上公共 DNS，让它能解析自己的域名。
|
||
|
||
== 问题 ==
|
||
|
||
Lightsail 默认用内网解析器 172.26.0.2：
|
||
|
||
Current DNS Server: 172.26.0.2
|
||
dig @172.26.0.2 yk.xxmxxs.top -> 空
|
||
dig @1.1.1.1 yk.xxmxxs.top -> 104.21.54.45 ✅
|
||
dig @8.8.8.8 yk.xxmxxs.top -> 104.21.54.45 ✅
|
||
|
||
用户刚加完 DNS 记录，公共解析器已经更新，但 Amazon 那个内网解析器
|
||
**还缓存着"这个域名不存在"**（负缓存，通常几分钟到一小时）。
|
||
|
||
后果不只是"监测误报"——任何在服务器上解析该域名的东西都会失败。
|
||
所以配上公共 DNS，既有 IPv4 也有 IPv6，并且让内网那个当后备
|
||
（内网解析器对 AWS 自家服务更快，留着有用）。
|
||
|
||
== 怎么配（Debian 13 + systemd-resolved）==
|
||
|
||
/etc/systemd/resolved.conf.d/ 下放一个 drop-in：
|
||
|
||
[Resolve]
|
||
DNS=1.1.1.1 8.8.8.8 2606:4700:4700::1111 2606:4700:4700::1001
|
||
FallbackDNS=172.26.0.2
|
||
Domains=~.
|
||
|
||
`Domains=~.` 表示"所有域名都用上面这些"，把内网那个降为后备。
|
||
|
||
改完 `systemctl restart systemd-resolved` 生效。
|
||
|
||
== 为什么不直接改 /etc/resolv.conf ==
|
||
|
||
它是指向 systemd-resolved stub（127.0.0.53）的软链接，
|
||
手改会被覆盖。要改就改 resolved 的配置。
|
||
'''
|
||
from __future__ import annotations
|
||
|
||
import sys
|
||
import tempfile
|
||
from pathlib import Path
|
||
|
||
ROOT = Path(__file__).resolve().parent.parent
|
||
sys.path.insert(0, str(ROOT / "_build"))
|
||
from lssh import run, upload # noqa: E402
|
||
|
||
DOMAIN = "yk.xxmxxs.top"
|
||
|
||
CONF = '''# ykxmz：给这台服务器配上公共 DNS。
|
||
#
|
||
# 起因：Lightsail 默认用内网解析器 172.26.0.2，而用户刚加的
|
||
# yk.xxmxxs.top 记录它**还缓存着"不存在"**（负缓存），
|
||
# 导致服务器自己解析不了这个域名 —— 监测单元因此一直误报网站挂了。
|
||
#
|
||
# 公共解析器（1.1.1.1 / 8.8.8.8）已经能正确解析，所以配上来。
|
||
# 内网解析器降为后备：它对 AWS 自家服务（比如实例元数据、
|
||
# S3 内网端点）响应更快，留着有用。
|
||
[Resolve]
|
||
DNS=1.1.1.1 8.8.8.8 2606:4700:4700::1111 2606:4700:4700::1001
|
||
FallbackDNS=172.26.0.2
|
||
# 所有域名都用上面这些（内网那个只在全部失败时才用）
|
||
Domains=~.
|
||
# 顺便开一下 DNSSEC 校验
|
||
DNSSEC=allow-downgrade
|
||
DNSOverTLS=no
|
||
Cache=yes
|
||
'''
|
||
|
||
|
||
def main() -> int:
|
||
print("=" * 62)
|
||
print(" 给服务器配公共 DNS")
|
||
print("=" * 62)
|
||
|
||
print()
|
||
print(" ── 1. 写 drop-in 配置 ──")
|
||
run("sudo mkdir -p /etc/systemd/resolved.conf.d", timeout=120, quiet=True)
|
||
tmp = Path(tempfile.gettempdir()) / "ykxmz-dns.conf"
|
||
tmp.write_text(CONF, encoding="utf-8", newline="\n")
|
||
upload(str(tmp), "/tmp/ykxmz-dns.conf")
|
||
out = run("sudo mv /tmp/ykxmz-dns.conf /etc/systemd/resolved.conf.d/ykxmz.conf "
|
||
"&& echo ' 已装'", timeout=120, quiet=True)
|
||
for ln in out[1].strip().splitlines():
|
||
print(" " + ln)
|
||
|
||
print()
|
||
print(" ── 2. 重启 systemd-resolved ──")
|
||
out = run("sudo systemctl restart systemd-resolved; sleep 3; "
|
||
"systemctl is-active systemd-resolved; "
|
||
"echo ' --- 现在用的 DNS ---'; "
|
||
"resolvectl status 2>/dev/null | grep -E 'DNS Servers|Fallback|Current DNS' "
|
||
"| head -6", timeout=180, quiet=True)
|
||
for ln in out[1].strip().splitlines():
|
||
print(" " + ln)
|
||
|
||
print()
|
||
print(" ── 3. 刷新缓存 + 验证解析 ──")
|
||
out = run("sudo resolvectl flush-caches 2>/dev/null; "
|
||
"echo ' getent:'; getent hosts %s | sed 's/^/ /'; "
|
||
"echo ' dig 默认:'; dig +short +time=5 %s | sed 's/^/ /'; "
|
||
"echo ' python:'; python3 -c \"import socket;"
|
||
"print(' ', [a[4][0] for a in socket.getaddrinfo('%s',443)])\""
|
||
% (DOMAIN, DOMAIN, DOMAIN), timeout=180, quiet=True)
|
||
for ln in out[1].strip().splitlines():
|
||
print(" " + ln)
|
||
|
||
print()
|
||
print(" ── 4. curl 域名（监测单元就是这么查的）──")
|
||
out = run(
|
||
"printf ' %-30s %s\\n' 'https 域名' "
|
||
"\"$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 "
|
||
"https://%s/v1/health)\"; "
|
||
"printf ' %-30s %s\\n' 'http 域名（会 301）' "
|
||
"\"$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 "
|
||
"http://%s/v1/health)\"; "
|
||
"printf ' %-30s %s\\n' 'https 域名 -L（跟跳转）' "
|
||
"\"$(curl -sL -o /dev/null -w '%{http_code}' --max-time 15 "
|
||
"https://%s/v1/health)\"; "
|
||
"printf ' %-30s %s\\n' '中转本机' "
|
||
"\"$(curl -s -o /dev/null -w '%{http_code}' --max-time 8 "
|
||
"http://127.0.0.1:13245/v1/health)\""
|
||
% (DOMAIN, DOMAIN, DOMAIN), timeout=180, quiet=True)
|
||
for ln in out[1].strip().splitlines():
|
||
print(ln)
|
||
|
||
print()
|
||
print(" ── 5. 重跑监测 ──")
|
||
run("printf 'fails=0\\nlast_rescue=0\\n' > "
|
||
"/opt/ykxmz-relay/monitor_state.txt", timeout=60, quiet=True)
|
||
run("bash /opt/ykxmz-relay/monitor.sh", timeout=180, quiet=True)
|
||
out = run("cat /opt/ykxmz-relay/monitor_state.txt", timeout=60, quiet=True)
|
||
for ln in out[1].strip().splitlines():
|
||
print(" " + ln)
|
||
return 0
|
||
|
||
|
||
if __name__ == "__main__":
|
||
sys.exit(main())
|