ykxmz/_build/setup_nginx.py

# -*- coding: utf-8 -*-
r'''在 Lightsail 上装 nginx，把 yk.xxmxxs.top 反代到中转。

== 架构 ==

    用户 ──HTTPS──> Cloudflare CDN ──HTTP:80──> nginx ──> 127.0.0.1:13245
                     (yk.xxmxxs.top)              <源站IP>

== 为什么要加 nginx 这一层 ==

1. **Cloudflare 只能回源到特定端口**
   （HTTP: 80/8080/8880/2052/2082/2086/2095，
     HTTPS: 443/2053/2083/2087/2096/8443）
   中转跑的 13245 **不在列表里** —— Cloudflare 没法直接回源。

2. **顺便把中转藏起来**
   加了 nginx 之后，可以让 relay 只监听 127.0.0.1，
   公网只能通过 nginx 进来。少一个暴露面。

3. **以后上 HTTPS 有地方挂证书**
   现在先用 Cloudflare 的"灵活"模式（CF→源站走 HTTP），
   以后要"完全(严格)"就把源站证书挂到 nginx 上。

== 关于端口 80 的安全 ==

nginx 监听 80 是**必须的**（Cloudflare 的开源端口）。
但要注意：如果有人知道 <源站IP>，也能直接打 80 绕过 Cloudflare。
所以配置里加了：

    * 只接受来自 Cloudflare 网段的请求（可选，见 allowlist 那段）
    * 或者更简单：不启用 allowlist，但把 relay 绑到 127.0.0.1，
      反正绕不绕过都是同一个网站，没有额外信息泄露

这里选后者（简单、不容易把自己锁在外面）。
'''
from __future__ import annotations

import sys
import tempfile
from pathlib import Path

ROOT = Path(__file__).resolve().parent.parent
sys.path.insert(0, str(ROOT / "_build"))
from lssh import run, upload      # noqa: E402

DOMAIN = "yk.xxmxxs.top"
RELAY_PORT = "13245"

NGINX_SITE = '''# ykxmz 中转 —— 给 Cloudflare 回源用的
#
# Cloudflare 只能回源到特定端口，中转跑的 %(port)s 不在列表里，
# 所以中间放一层 nginx（监听 80）。
#
# 客户端拿到的大文件（安装包 15MB）会被 Cloudflare 缓存 ——
# 第二次下载就不回源了，速度取决于离用户最近的 CF 边缘节点。

server {
    listen 80;
    listen [::]:80;
    server_name %(domain)s;

    # 日志：单独一份，方便排查"到底是 CF 打的还是别人直接打的"
    access_log /var/log/nginx/ykxmz-access.log;
    error_log  /var/log/nginx/ykxmz-error.log;

    # ---- 下载：让 Cloudflare 放心缓存 ----
    #
    # 文件名带版本号（ykxmz-setup-2.1.3.exe），同一个名字内容永不改变，
    # 所以可以长缓存。中转自己也发过 Cache-Control，
    # 这里显式再写一遍是为了让 CF 一定看到。
    location /download/ {
        proxy_pass http://127.0.0.1:%(port)s;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header CF-Connecting-IP $http_cf_connecting_ip;

        proxy_buffering on;
        proxy_cache_valid 200 7d;
        add_header Cache-Control "public, max-age=604800, immutable" always;
    }

    # ---- 长轮询 ----
    #
    # 中转的 /v1/agent/poll 要挂 60 秒。nginx 默认 60 秒就断，
    # 必须放宽，否则手表那边会一直掉线重连。
    location /v1/ {
        proxy_pass http://127.0.0.1:%(port)s;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header CF-Connecting-IP $http_cf_connecting_ip;

        proxy_read_timeout 180s;
        proxy_send_timeout 180s;
        proxy_connect_timeout 30s;
        # 长轮询不能缓冲，否则要等整个响应完才吐给客户端 —— 那就不是长轮询了
        proxy_buffering off;
        proxy_cache off;
    }

    # ---- 其余（官网 / 管理页 / 抢救报告 / 截图）----
    location / {
        proxy_pass http://127.0.0.1:%(port)s;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header CF-Connecting-IP $http_cf_connecting_ip;

        proxy_read_timeout 180s;
        proxy_connect_timeout 30s;
    }

    # 别把 nginx 版本号报出去
    server_tokens off;
    client_max_body_size 200m;
}
'''


def main() -> int:
    print("=" * 62)
    print("  装 nginx，把 %s 反代到中转" % DOMAIN)
    print("=" * 62)

    print()
    print("  ── 1. 装 nginx ──")
    out = run("which nginx >/dev/null 2>&1 && echo ALREADY || "
              "(sudo apt-get update -qq && "
              "sudo DEBIAN_FRONTEND=noninteractive apt-get install -y -qq nginx) "
              "&& echo OK; nginx -v 2>&1", timeout=600, quiet=True)
    for ln in out[1].strip().splitlines()[-4:]:
        print("    " + ln)

    print()
    print("  ── 2. 写站点配置 ──")
    conf = NGINX_SITE % {"domain": DOMAIN, "port": RELAY_PORT}
    tmp = Path(tempfile.gettempdir()) / "ykxmz.conf"
    tmp.write_text(conf, encoding="utf-8", newline="\n")
    upload(str(tmp), "/tmp/ykxmz.conf")
    out = run("sudo mv /tmp/ykxmz.conf /etc/nginx/sites-available/ykxmz && "
              "sudo ln -sf /etc/nginx/sites-available/ykxmz "
              "/etc/nginx/sites-enabled/ykxmz && "
              # 关掉默认站点，免得抢 80
              "sudo rm -f /etc/nginx/sites-enabled/default && "
              "sudo nginx -t 2>&1 | tail -3", timeout=180, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 3. 重启 nginx ──")
    out = run("sudo systemctl enable nginx >/dev/null 2>&1; "
              "sudo systemctl restart nginx; sleep 2; "
              "systemctl is-active nginx", timeout=180, quiet=True)
    print("    nginx: " + out[1].strip())

    print()
    print("  ── 4. 中转改为只监听 127.0.0.1（不再直接对公网）──")
    # 公网只能通过 nginx 进来，少一个暴露面。
    out = run("sudo sed -i 's/^Environment=RELAY_BIND=.*$/"
              "Environment=RELAY_BIND=127.0.0.1/' "
              "/etc/systemd/system/ykxmz-relay.service && "
              "grep RELAY_BIND /etc/systemd/system/ykxmz-relay.service && "
              "sudo systemctl daemon-reload && "
              "sudo systemctl restart ykxmz-relay && sleep 3 && "
              "systemctl is-active ykxmz-relay", timeout=180, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 5. 验证 ──")
    script = (
        'printf "  %-22s %s\\n" "nginx 直连(本机:80)" '
        '"$(curl -s -o /dev/null -w \'%{http_code}\' --max-time 8 '
        'http://127.0.0.1:80/v1/health)"\n'
        'printf "  %-22s %s\\n" "带 Host 头" '
        '"$(curl -s -o /dev/null -w \'%{http_code}\' --max-time 8 '
        '-H \'Host: ' + DOMAIN + '\' http://127.0.0.1:80/v1/health)"\n'
        'printf "  %-22s %s\\n" "公网 80(IP)" '
        '"$(curl -s -o /dev/null -w \'%{http_code}\' --max-time 15 '
        'http://<源站IP>:80/v1/health)"\n'
        'printf "  %-22s %s\\n" "中转本机(13245)" '
        '"$(curl -s -o /dev/null -w \'%{http_code}\' --max-time 8 '
        'http://127.0.0.1:13245/v1/health)"\n'
        'printf "  %-22s %s\\n" "中转是否还暴露公网" '
        '"$(curl -s -o /dev/null -w \'%{http_code}\' --max-time 8 '
        'http://<源站IP>:13245/v1/health)"\n'
    )
    out = run(script, timeout=180, quiet=True)
    for ln in out[1].strip().splitlines():
        print(ln)

    print()
    print("  说明：上面「中转是否还暴露公网」应该是 000（连不上）——")
    print("        那正说明它已经只认 127.0.0.1，公网只能走 nginx。")
    return 0


if __name__ == "__main__":
    sys.exit(main())