mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-18 16:00:43 +00:00
xmz7891
5fc2f97be7
用户买了 AWS Lightsail（2G 内存 / 2 vCPU / 60G SSD / 公网 IP
13.54.30.196），中转从随身 WiFi 那台小机器搬过去。
== 为什么这次搬迁解决了一堆老问题 ==
原机器（Debian aarch64、460MB、走 4G）一直有几件搞不定的：
* 线路对 Cloudflare 隧道的 **7844 端口间歇性阻断**（443 通、7844 不通），
隧道每 3~10 分钟掉一次、公网跟着 530 —— 查了很久才从
cloudflared 自己的 precheck 里看清
* 只有 460MB 内存
* 会掉电硬挂（实测 2026-10-08 18:42 一次非正常关机）
新机器**有公网 IP**，中转直接监听，不经隧道、不过 7844。
实测公网延迟从 **1000~2000 ms 降到 1.1 ms**。
== 代码改动 ==
1. **relay.py 的 DATA_DIR 默认值不再写死**
原来是 /root/lanremote-relay。新机器上服务以 admin 普通用户跑
（它没理由要 root），而 /root 是 0700 —— 部署时直接
PermissionError: '/root/lanremote-relay'。
改成"本脚本所在目录下的 data/"，搬到哪都跟着走。
2. **客户端支持"没有证书的中转"**
新服务器是明文 HTTP（没签证书），而两个客户端原来都往 https 走：
* 手表端：裸 IP 会被强制补 https:// -> 永远连不上，
报的还是 SSL 错误，很容易让人白查半天证书
* Android 9+ 默认禁止明文流量，没 usesCleartextTraffic
请求会被系统直接掐掉
Windows 端本来就是对的（正则里把任意纯 IP 都当"用明文"）。
现在手表端规则和它一致，并加了 usesCleartextTraffic。
3. 清掉电脑端一段函数内的重复代码（return 之后还有一份拷贝，
缩进仍在函数体内所以不报错，但读起来很迷惑）。
== 新服务器上的部署 ==
/opt/ykxmz-relay/ 服务端（relay/admin/landing/showcase）
ykxmz-relay.service 监听 0.0.0.0:13245
ykxmz-monitor.service/.timer 每 60 秒查公网，连续 3 次不通就叫预案
rescue-lightsail.sh 四级阶梯抢救（重启中转 / 强杀重拉 /
查防火墙 / 重启整机[默认关]）
预案针对新架构重写过：原来围着隧道转（重启隧道、重施 MSS/MTU），
现在没有隧道，改成重启中转 + 查端口/防火墙。
全量回归 46 个阶段全部通过。
316 lines
17 KiB
Markdown
316 lines
17 KiB
Markdown
## 2.1.3
|
||
|
||
- **支持「自己搭的、没有证书的中转」**（新服务器就是这种）。
|
||
|
||
中转不再是必须挂在 Cloudflare 隧道后面了。现在可以直接跑在
|
||
一台有公网 IP 的机器上，客户端填 `IP:端口` 就能连 —— 延迟、稳定性
|
||
都比隧道好得多。为此改了两处客户端：
|
||
|
||
- **手表端**：填 `13.54.30.196:13245` 这种**没写协议头**的地址时，
|
||
现在会按「IP / localhost / 本地域名 → 明文，域名 → 加密」来猜，
|
||
**和电脑端规则一致**。原来一律补成 `https://`，而那台机器没有证书，
|
||
结果是**永远连不上**，报的还是 SSL 错误，很容易让人白查半天证书。
|
||
|
||
- **手表端**：允许明文流量。Android 9 以上默认禁止，不加这一条的话
|
||
请求会被系统直接掐掉，日志里只有一句含糊的
|
||
「Cleartext HTTP traffic to ... not permitted」。
|
||
|
||
> 说明：中转上跑的内容（配对令牌、画面、文件）本来就是加密过的，
|
||
> 明文只暴露地址和设备名。想要全程加密的话，把域名解析到这台
|
||
> 服务器再签一张免费证书即可。
|
||
|
||
- 顺手清掉了电脑端一段函数内的重复代码（`return` 之后还有一份一样的
|
||
拷贝，缩进仍在函数体内所以不报错，但读起来很迷惑）。
|
||
|
||
## 2.1.2
|
||
|
||
- **隧道稳定性加固**（继续修「网站还是容易挂」）。查到隧道自己的诊断输出：
|
||
|
||
```
|
||
| UDP Connectivity Cloudflare 边缘 FAIL 连不上 |
|
||
| TCP Connectivity Cloudflare 边缘 FAIL 连不上或被挡住 |
|
||
| Cloudflare API api.cloudflare.com:443 PASS 通的 |
|
||
| ERROR: Allow outbound QUIC traffic on port 7844 or use HTTP2. |
|
||
```
|
||
|
||
也就是说：**443 通，7844 不通**，而且是**一阵一阵的**
|
||
（过几分钟自己又好了，然后再次断）。Cloudflare 隧道的边缘连接走 7844，
|
||
这条线路对它是间歇性阻断 —— 这属于运营商那一侧，设备改不了。
|
||
|
||
**但可以让它自己去适应**：
|
||
|
||
- 两条隧道实例原来**各自写死一个协议**（一条只走 QUIC、一条只走 HTTP/2）。
|
||
那一刻如果 7844 的 UDP 和 TCP 都不通，两条一起死，没有退路。
|
||
现在都改成 **自动选择**，cloudflared 自己在 QUIC / HTTP/2 之间挑
|
||
当前能通的那条。等于所有连接都有自适应能力，而不是
|
||
"8 条赌 UDP、2 条赌 TCP"。
|
||
|
||
- 重试次数从 5 提到「一直重试」。原来失败 5 次就退出、靠系统重新拉起，
|
||
每次退出到重启之间网站都是断的；而这条线路的抖动是分钟级的，
|
||
5 次根本扛不过去（实测隧道每 3~10 分钟就被重启一次，公网跟着 530）。
|
||
现在抖动期间连接自己恢复，整条隧道不退出。
|
||
|
||
**改完实测**：连接数 7+2（接近满配 10），公网连测 5 次全部 200。
|
||
|
||
- 顺手加了日志轮转（隧道日志已经涨到 3 MB，这台小机器硬盘不大）。
|
||
|
||
## 2.1.1
|
||
|
||
- **修一个会让网站整个挂掉的死锁**（这是「网站还是容易挂」的真因）。
|
||
|
||
在装了中转服务器的那台机器上，网络调优服务和隧道之间会互相等：
|
||
|
||
```
|
||
网络调优服务（nettune）: "我必须先于隧道启动完"
|
||
网络调优脚本第 4 步: "重启隧道，让新参数生效" ← 卡在这里
|
||
```
|
||
|
||
它在**自己还没结束**的时候去重启一个「必须等自己结束才能启动」的服务，
|
||
系统判定成顺序冲突，那一步就永远不返回。结果网络调优一直卡在
|
||
「正在启动」，隧道被挡着起不来，**公网就是 530**。
|
||
|
||
实测卡了 9 分半。而且**日志里一句报错都没有**，
|
||
手动跑那个脚本却完全正常（那时没有顺序约束）——
|
||
所以特别难查，是靠这次新加的监测单元抓到的
|
||
（它记录到「连续 3 次不通」并把现场留了下来）。
|
||
|
||
**改法**：让脚本知道「这次是服务在调我」，那就跳过重启隧道那一步。
|
||
开机时本来也不需要它 —— 顺序就是调优先、隧道后，那时隧道还没起来。
|
||
|
||
> 这个坑以前一直藏着：设备上那份旧的服务定义里有一个写法错误，
|
||
> 导致它在更早的步骤就报错退出了，反而没走到会死锁的那一步。
|
||
> 把服务定义改对之后，死锁才露出来。
|
||
|
||
- 另外这一版的服务端包也带上了上面那个修复。
|
||
**2.1.0 的服务端包是有问题的**，请用 2.1.1 重新部署。
|
||
|
||
## 2.1.0
|
||
|
||
- **网站挂了会自己救**：中转服务器上常驻一个监测单元，每 60 秒从**公网**
|
||
查一次（不是查本机 —— 本机通不代表用户能打开）。连续 3 次不通就按阶梯
|
||
自动抢救：
|
||
|
||
| 级 | 动作 | 代价 |
|
||
|---|---|---|
|
||
| 1 | 重启隧道 | 不动中转，在线设备不掉线 |
|
||
| 2 | 重启中转服务 | 设备要重连，但很快 |
|
||
| 3 | 重新施加网络调优 | MSS / MTU 跑偏时用 |
|
||
| 4 | 重启无线网卡 | 4G / WiFi 卡死时用 |
|
||
| 5 | 重启整机 | 最后的底牌，**默认不开** |
|
||
|
||
每做完一级立刻复验，好了就停。救完 10 分钟内不再动手（防抖 ——
|
||
否则预案刚重启完隧道还没连上，下一次检查又救一遍，
|
||
来回重启反而永远连不上）。
|
||
|
||
- **网站出问题会自动留下诊断报告**：万一五级都没救回来，服务端会把现场
|
||
（内存、进程、隧道连接数、路由和 MTU、三份日志尾部、内核异常）
|
||
整理成一份 txt 留在服务端，需要排查时直接取来看就行。
|
||
只保留最近 30 份，不会把设备塞满。
|
||
|
||
每次自动抢救成功，也会把「第几级奏效」记进知识库，
|
||
下次同类问题优先试历史上管用的那一级。
|
||
|
||
- **网络热门音效**：手表上新增「音效」按钮，点一下电脑就响。
|
||
内置 8 个（冰冰冰 / 啊哈哈哈 / 老牧师 / 叮 / 当当当 / 警报 / 鼓点 / 弹簧）。
|
||
|
||
> 说明一下**版权**：网上那些「冰冰冰」「啊哈哈哈」是有版权的真实录音，
|
||
> 不能打包进安装包。所以内置的是**程序合成**的版本（正弦/方波现场算），
|
||
> 名字对着感觉来，但不是那些录音本身。
|
||
> 想要一模一样的一手素材，把 mp3/wav 丢进电脑的 `data\sfx\` 目录，
|
||
> 点「刷新」就出现在列表里，照样能远程播。目录里放了一份说明。
|
||
|
||
- **修「安卓设置页一片空白」**：设置页建好了但**忘了挂到窗口上**
|
||
（少了 `root.addView`），`showOnly()` 让它可见也没用 —— 它根本不在
|
||
视图树里。已修，并加了断言盯着「每个面板都必须挂到 root、
|
||
并且纳入 showOnly()」—— 这类漏挂编译不报错、只在运行时表现为空白。
|
||
|
||
- **全量测试改成后台静默**：会开窗口的 6 个阶段（含开**全屏**那个）
|
||
现在跑在独立的 Windows 隐藏桌面上 —— 窗口是**真的**（全屏、可见、
|
||
几何、Win32 枚举都真实），但屏幕上什么都看不到，也不会锁你的屏。
|
||
|
||
顺带修了一个一直误判的检测：判断「锁屏」时只看 `OpenInputDesktop`
|
||
成不成功是不对的 —— **锁屏时它同样成功**（那时输入桌面是 Winlogon）。
|
||
所以截屏类测试在锁屏时被记成 FAIL 而不是 SKIP，把真问题淹掉了。
|
||
改成看输入桌面的**名字**。现在锁屏也能跑全量：该 SKIP 的 SKIP，
|
||
该跑的照跑。
|
||
|
||
## 2.0.0
|
||
|
||
- **安装时就能设中转服务器**：安装向导那一页现在是两个输入框 ——
|
||
**配对码**和**中转服务器**。装的时候是"第一次设置"，那时候最该一次
|
||
把地址填好，不然装完还得去双击 exe 找设置窗口，很容易漏。
|
||
只填域名就行（自动补 `https://`），留空 = 只走局域网。
|
||
批量部署同样支持：`/VERYSILENT /CODE=246810 /RELAY=relay.你的域名`
|
||
|
||
- **手表端新增「设置」页**：以前设置散在首页（只有一个"中转设置"按钮），
|
||
现在统一收进来，在里面调：
|
||
- **中转服务器**（填写 / 一键清空）
|
||
- **记住的配对码**（显示 / 清除）
|
||
- **已配对的电脑**（看数量 / 清空）
|
||
- **关于**（版本号 + 连接顺序说明）
|
||
|
||
- **中转地址改成手动填，默认留空**：以前有一版把作者的服务器地址写死成
|
||
默认值，第一次运行就存进了偏好设置，装新版本也不会清 ——
|
||
看起来就像"默认还是别人的中转站"。现在默认是空的，
|
||
并且会做**一次性迁移**把那个旧的内置地址清掉
|
||
（只清完全相等的，你自己填的不会动）。
|
||
|
||
- **修「局域网连上后要推出去点设备才能控制」**：手表上有四个页面，
|
||
切换时靠手工藏上一页，新加的「局域网连接」页漏藏了 ——
|
||
所以从它连上之后控制面板其实已经显示，却被盖住看不见。
|
||
|
||
- **修「双击 exe 没反应」**：装完之后双击现在会打开设置窗口。
|
||
|
||
- 新增**版本号一致性检查**和**中转地址默认值检查**两道断言，
|
||
防止这类"漏改一处"的问题再出现。
|
||
|
||
## 1.9.0
|
||
|
||
- **被控端终于有设置窗口了**：装完之后双击 `ykxmz.exe` 就能打开，里面可以改
|
||
**配对码**、**中转服务器**、**允许新设备接入**、开机自启。
|
||
以前双击是"什么都不弹"，只能靠命令行参数改配置。
|
||
|
||
> 顺带修了一个很隐蔽的打包问题：PyInstaller 的 `--hidden-import` 里漏了
|
||
> `lanremote.ui`（设置窗口那套 tkinter 代码）。源码跑得好好的，
|
||
> 但**打包出来的 exe 一跑就崩**，用户看到的还是"双击没反应"。
|
||
|
||
- **修「局域网连上后没反应」**：手表上有四个页面，切换时靠手工藏上一页，
|
||
而新加的「局域网连接」页**漏藏了** —— 所以从它连上之后，控制面板其实
|
||
在底下显示了，却被盖住看不见。必须"推出去点一下设备"才看到。
|
||
根子是"每处切换都手写一串 setVisibility"，改成统一入口 `showOnly()`，
|
||
以后加页面不会再漏。
|
||
|
||
- **修「按一下没反应」的真因**：中转那条长轮询（最长 60 秒）和用户操作
|
||
共用了同一个 HTTP 连接，长轮询占着连接时操作请求发不出去，
|
||
线程直接死掉，之后所有操作都没反应。改成各用各的连接。
|
||
|
||
- **中转地址默认留空**：需要跨网络时自己填。只在一个 WiFi 里用就什么都不用配，
|
||
那样手表和电脑直接连，最快也不耗流量。
|
||
|
||
- 新增**版本号一致性检查**：版本号散落在 8 个地方（exe 文件属性、安装包、
|
||
APK、许可页…），靠脚本+人工替换很容易漏。实测就漏了两处：
|
||
`version_info.txt` 和许可页都还写着 1.7.1 —— 用户在"文件属性"里
|
||
看到一个错三个版本的号。现在有断言钉住。
|
||
|
||
## 1.8.2
|
||
|
||
- **下载快了几十倍**：安装包和 APK 改成由 Cloudflare 的边缘节点直接发送。
|
||
原来每次下载都要穿过隧道回到那台 4G 小机器上取文件，实测吞吐只有
|
||
3~67 KB/s，15 MB 的安装包根本下不动（还会中途断掉）。
|
||
现在改走边缘缓存：同一个文件实测从 **17 KB/s 提到 695 KB/s**，
|
||
APK 从 3 KB/s 提到 101 KB/s，并且不再消耗 4G 流量。
|
||
|
||
- **跨网络连接更稳**：隧道改成**两种协议同时跑**，一共 10 条连接。
|
||
两种协议各有各的毛病 —— 实测这条线路上运营商对 UDP 有限制，
|
||
纯 QUIC 的拨号成功率只有 72%；而纯 HTTP/2 一旦丢包就容易卡住
|
||
（一条 TCP 上丢一个包，所有请求一起等）。
|
||
两个一起跑就是互相兜底：QUIC 拨号失败的那部分由 HTTP/2 顶着，
|
||
HTTP/2 卡住的时候 QUIC 的恢复更快。
|
||
实测 25 分钟连续可用率 **50/50 = 100%**（改之前是 96~98%），
|
||
尾部延迟 P99 从 3295ms 降到 2632ms。
|
||
|
||
- 修**网卡 MTU 和 QUIC 不匹配**：之前只给 TCP 做了 MSS 钳制，
|
||
而 QUIC 走 UDP 完全不受保护，包一大就被中间设备悄悄丢掉。
|
||
把网卡 MTU 降到 1400 之后，QUIC 建齐 10 条连接的时间从
|
||
**28 秒缩到 12 秒**。
|
||
|
||
- 修**响应头不一致**：下载接口之前对 GET 和 HEAD 报的缓存信息不一样，
|
||
部分下载工具（IDM、迅雷）探测时会把文件误判成不可缓存甚至空文件。
|
||
|
||
- 修**偶尔闪一下"已断开"**：原来只要有一次请求失败就立刻显示离线，
|
||
而 4G 链路上本来就有 2~4% 的偶发失败、一两秒就自己恢复。
|
||
现在改成**连续失败 3 次**才判离线 —— 真的断了仍然如实显示。
|
||
|
||
## 1.8.1
|
||
|
||
- 修**局域网连接被中转劫持**（重要）：
|
||
只要「中转设置」里填了地址，点「局域网连接」填好 IP、端口、
|
||
配对码之后，程序**仍然走中转**，完全无视你填的局域网地址。
|
||
中转慢的时候要等 40 秒才报错，看起来就像"点了一点反应都没有"。
|
||
现在改成：局域网优先直连（6 秒超时），连不上才退回中转
|
||
|
||
- 修**已配对电脑的地址过期不提示**：
|
||
电脑换了网络之后（比如从 192.168.2.x 换到 192.168.10.x），
|
||
列表里还是旧地址，点一下必然失败。现在会标出「⚠ 地址可能已过期」，
|
||
并且跳过注定失败的直连，直接通过中转查询最新地址
|
||
|
||
- **长轮询从 15 秒延长到 60 秒**，跨网络更稳：
|
||
隧道每次请求要多花 1~2 秒（边缘路由 + 回源），而这个开销是按
|
||
**次数**收的 —— 每次都要吃一遍。拉长到 60 秒把请求数降到 1/4，
|
||
撞上丢包/重连窗口的概率也降到 1/4。
|
||
**命令响应速度不变**：有数据时立刻返回，不是等满 60 秒。
|
||
|
||
- 修局域网直连成功后打出误导性日志的问题
|
||
|
||
## 1.8.0
|
||
|
||
**这一版主要是「修看不见的稳定性问题」。**
|
||
|
||
- 修**跨网络老断**（Error 1033 / 502 / 530 的真因）：
|
||
4G 链路会**静默断开 TCP 连接**（不发 FIN/RST，双方都以为还活着），
|
||
Cloudflare 把请求发到这种"僵尸连接"上就报错。
|
||
而 Linux 默认要 **2 小时**才发现连接死了 —— 中间这段时间
|
||
服务一直"看着在线、实际打不开"。
|
||
现在改成 30 秒探测、60 秒内发现并重连
|
||
|
||
- 修**跨网络抖动**：隧道连接数从 2 提到 4。
|
||
只剩 1 条连接时跨机房回源会失败，实测可用率 0/12；
|
||
提到 4 条后稳定 12/12
|
||
|
||
- 修**掉电重启后恢复太慢**：原来开机要 **2 分 10 秒**公网才恢复，
|
||
那段时间浏览器看到的就是 Error 1033。
|
||
根因是系统里 NetworkManager 和 systemd-networkd 同时在跑，
|
||
后者等一个不归它管的网络，干等 2 分钟超时失败，
|
||
把启动流程一起拖住了。改完 **17 秒**就绪，掉电重启后 24 秒公网可用
|
||
|
||
- 修**看门狗自己制造不稳定**：它每隔 50 秒重启一次隧道，
|
||
但隧道重建 4 条连接要 30~60 秒 —— 每次还没建齐就被下一次打断，
|
||
永远停在"只剩 1 条"的状态。现在重启后有宽限期，
|
||
并且会区分"没建好过"和"建好过又垮"，后者立刻重启
|
||
|
||
- **官网重新设计**：层次更清楚，白色简洁风格
|
||
|
||
- **官网新增产品展示**：手表界面预览（颜色和布局与真实手表一致）、
|
||
电脑端真实截图、两种连接方式对比图
|
||
|
||
- 清理**僵尸设备记录**：设备列表原来只增不减，
|
||
实测一天攒了 75 条无效记录，拖慢手表和网页访问。
|
||
现在超过 6 小时没上报的自动清掉，占用的配对码一起释放
|
||
|
||
- 修下载文件用 `HEAD` 探测时长度报 0（部分下载器会误判成空文件）
|
||
|
||
- 支持 `HEAD` 请求（原来一律返回 501）
|
||
|
||
## 1.7.1
|
||
|
||
- 修**卸载卡死**：从控制面板卸载时进度条永远走不完。
|
||
根因是被控端在无控制台的隐藏进程里调 `AllocConsole` 和
|
||
读控制台输入，会永久阻塞
|
||
- 修**安装回滚**：旧版本程序还在后台跑时，安装器关不掉它，
|
||
弹「无法关闭所有应用程序」，静默安装会整个回滚 ——
|
||
用户看到的是"装了没反应"
|
||
- 修卸载残留：开机自启注册表项没删掉、安装目录留个空壳
|
||
- 修手表连上后**一片白屏**：分页初始化函数从没被调用过，
|
||
标签栏里只剩一个孤立的指示器
|
||
- 修「被控端已关闭新设备配对」把重装手表的人永久挡在外面：
|
||
配对码本身就是钥匙，拿着正确的码就该放行
|
||
- 手表端应用名改成 ykxmz
|
||
- 修跨网络**延迟高**：隧道退回了 QUIC（`--protocol http2` 参数丢失），
|
||
可用率只有 48%；恢复 HTTP/2 后可用率 100%
|
||
- 网络调优持久化：TCP 缓冲 4 MB、FastOpen、
|
||
空闲后不重置拥塞窗口（长轮询场景关键）
|
||
- 手表提示改成自诊断式：连不上时直接打出双方地址，
|
||
一眼看出是网段不同还是连错了 WiFi
|
||
- **官网重新设计**：导航 / 功能 / 三步上手 / 下载 / 常见问题
|
||
- 官网改成白色简洁风格
|
||
|
||
## 1.7.0
|
||
|
||
- 电脑端改成 **Windows 安装包**（Inno Setup），双击安装，不再需要解压 zip
|
||
- 安装向导里填 6 位配对码，装完手表直接连，不用再跑一次设置
|
||
- 安装包支持静默批量部署：`ykxmz-setup-1.7.0.exe /VERYSILENT /CODE=123456`
|
||
- 三份说明文档合并进安装向导，必须接受才能继续
|
||
- 修配置分裂问题：管理员装的配对码，普通用户账号看不到（数据目录改成按安装位置判断）
|
||
- 修装到 Program Files 后报「拒绝访问」：ProgramData 数据目录自动授权
|
||
- 修安装卡死：`--code` 命令处理完不返回
|