mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-18 13:40:45 +00:00
xmz7891
a53a3eee21
== 架构（最终形态）==
用户 --HTTPS--> Cloudflare CDN --HTTP/HTTPS--> nginx --+--> 127.0.0.1:13245
yk.xxmxxs.top 13.54.30.196
中转只绑 127.0.0.1，公网只能经 nginx 进来 —— 少一个暴露面
（实测公网直连 :13245 返回 000，符合预期）。
== 这一轮加的 ==
1. **nginx 反代**（_build/setup_nginx.py）
Cloudflare 只能回源到特定端口（80/8080/443/2053…），
中转跑的 13245 不在列表里，所以中间必须有一层。
配置要点：
/download/ proxy_buffering on
/v1/ proxy_read_timeout 180s + **proxy_buffering off**
（长轮询要挂 60 秒；关缓冲，否则要等整个响应完
才吐给客户端，那就不是长轮询了）
2. **源站 TLS 证书**（_build/setup_tls_origin.py）
Cloudflare 的 SSL 模式是 Full(strict)，回源走 443，源站只有 80
-> 522。用 certbot 的 nginx 插件签了 Let's Encrypt 证书。
开着橙色云朵也能签：HTTP-01 挑战经 Cloudflare 回源到 80 能验证。
踩的坑：第一次用 example.com 当邮箱，Let's Encrypt 拒收保留域名。
3. **公共 DNS**（_build/fix_server_dns.py）
换域名之后 **服务器自己解析不了** yk.xxmxxs.top：
Lightsail 默认的内网解析器 172.26.0.2 还缓存着"不存在"（负缓存），
而 1.1.1.1 / 8.8.8.8 已经能解析。
后果不只是监测误报 —— 服务器上任何解析该域名的东西都会失败。
配上公共 DNS，内网那个降为后备（它对 AWS 自家服务更快）。
4. **监测与预案重写**（relay/monitor-lightsail.sh、rescue-lightsail.sh）
分两层探测，才能分清是哪一层坏的：
PRIMARY https://域名 用户实际走的
FALLBACK 127.0.0.1:13245 中转本身
PRIMARY 挂 + FALLBACK 好 -> edge 层 -> 动 nginx
两个都挂 -> core 层 -> 动中转
不区分的话只能瞎重启，而 edge 层的问题重启中转一万次也没用。
做法上也改了：不再"SSH 过去用嵌套 heredoc 现场打补丁"
（这一轮因此踩了五次转义/求值/百分号格式化的坑），
改成**本地写完整文件、整份上传**，能进 git 做版本管理。
5. **后台口令改由服务器持有**（_build/set_admin_password.py）
密码只写进 /opt/ykxmz-relay/data/admin_password.txt（600），
**不进代码、不进仓库**。本地脚本从环境变量或
_build/.admin_password（已 gitignore）读取。
这个仓库已经吃过一次"管理员密码硬编码进提交历史"的教训了。
6. **验证脚本**（_build/verify_admin_login.py）
第一版只看登录请求的状态码，结果"对的密码/错的密码/不带凭据"
**全是 302** —— 等于没测。改成看 cookie 再访问 /admin，
区分拿到的是登录页还是后台页。实测：
正确密码 -> cookie 1 条 -> 后台页
错误密码 -> cookie 0 条 -> 登录页
账号写错 -> cookie 0 条 -> 登录页
经 Cloudflare 域名 -> 后台页
== 其他修复 ==
* 下载响应有**两条** Cache-Control（nginx 和 relay 各发一条），
Cloudflare 遇到重复的缓存指令可能直接跳过缓存 -> 去掉 nginx 那条
* 监测探测地址跟着监听地址改（改入口必须回头看所有探测入口）
* curl 加 -L 跟跳转（certbot 加了 http->https 301）
* 旧服务器（随身 WiFi 那台）的服务全部停掉并取消自启，
但**没关机、没删文件** —— 保持可逆
全量回归 46 个阶段通过；594 个 Python 文件语法通过。
116 lines
4.8 KiB
Python
116 lines
4.8 KiB
Python
# -*- coding: utf-8 -*-
|
||
r'''看一眼 Lightsail 上中转服务器的完整状态。
|
||
|
||
⚠ 写这个文件的原因：用 `python -c @"..."@` 传带 `$(...)` 的远端命令，
|
||
PowerShell 会**先在本机求值** `$(systemctl ...)`（报"无法将 systemctl
|
||
项识别为 cmdlet"），还会吃掉引号导致 Python 语法错。
|
||
这个毛病我这一轮犯了四五次 —— **凡是超过两行的远端命令，一律写文件。**
|
||
|
||
用法：
|
||
python _build/check_lightsail.py
|
||
python _build/check_lightsail.py --fix # 顺便修文件属主
|
||
'''
|
||
from __future__ import annotations
|
||
|
||
import sys
|
||
from pathlib import Path
|
||
|
||
ROOT = Path(__file__).resolve().parent.parent
|
||
sys.path.insert(0, str(ROOT / "_build"))
|
||
from lssh import run # noqa: E402
|
||
|
||
PORT = "13245"
|
||
DOMAIN = "yk.xxmxxs.top"
|
||
RELAY_DIR = "/opt/ykxmz-relay"
|
||
|
||
# 三层地址各查一遍：
|
||
# 域名 —— 用户实际走的路（Cloudflare -> nginx -> 中转）
|
||
# IP:80 —— 绕过 Cloudflare，直连 nginx（域名没配好时靠它）
|
||
# :13245 —— **应该不通**（中转已只绑 127.0.0.1，不再对公网）
|
||
DOMAIN_URL = "http://%s" % DOMAIN
|
||
NGINX_URL = "http://13.54.30.196:80"
|
||
DIRECT_URL = "http://13.54.30.196:%s" % PORT
|
||
|
||
REMOTE = r'''
|
||
R=__DIR__
|
||
P=__PORT__
|
||
|
||
echo "════ 服务 ════"
|
||
for s in ykxmz-relay nginx ykxmz-monitor.timer; do
|
||
printf ' %-22s %s\n' "$s" "$(systemctl is-active $s 2>&1)"
|
||
done
|
||
|
||
echo
|
||
echo "════ 三层地址（用户路径 / 绕 CF / 直连中转）════"
|
||
# ⚠ 一律加 -L 跟跳转：nginx 那边 http 会 301 到 https，
|
||
# 不跟跳转拿到的是 301 而不是 200，会看着像"挂了"。
|
||
printf ' %-26s %s\n' "域名 __DOMAIN__" "$(curl -sL -o /dev/null -w '%{http_code}' --max-time 12 __DOMAIN_URL__/v1/health)"
|
||
printf ' %-26s %s\n' "IP:80（nginx）" "$(curl -sL -o /dev/null -w '%{http_code}' --max-time 12 __NGINX_URL__/v1/health)"
|
||
printf ' %-26s %s\n' ":__PORT__（应 000）" "$(curl -s -o /dev/null -w '%{http_code}' --max-time 8 __DIRECT_URL__/v1/health)"
|
||
printf ' %-26s %s\n' "本机 :__PORT__" "$(curl -s -o /dev/null -w '%{http_code}' --max-time 8 http://127.0.0.1:$P/v1/health)"
|
||
printf ' %-26s %s\n' "域名延迟" "$(curl -sL -o /dev/null -w '%{time_total}s' --max-time 12 __DOMAIN_URL__/v1/health)"
|
||
|
||
echo
|
||
echo "════ 首页角标 ════"
|
||
echo " 域名 -> $(curl -sL --max-time 12 __DOMAIN_URL__/ | grep -o '最新版 [0-9.]*' | head -1)"
|
||
echo " IP:80 -> $(curl -sL --max-time 12 __NGINX_URL__/ | grep -o '最新版 [0-9.]*' | head -1)"
|
||
|
||
echo
|
||
echo "════ 缓存头（决定 Cloudflare 缓不缓存）════"
|
||
printf ' %-20s %s 条\n' "下载" "$(curl -sL -I --max-time 12 __DOMAIN_URL__/download/ykxmz-setup-2.1.3.exe | grep -ci cache-control)"
|
||
curl -sL -I --max-time 12 __DOMAIN_URL__/download/ykxmz-setup-2.1.3.exe \
|
||
| grep -i '^cache-control' | sed 's/^/ /'
|
||
printf ' %-20s %s\n' "长轮询" "$(curl -sL -I --max-time 12 __DOMAIN_URL__/v1/health | grep -i '^cache-control' | tr -d '\r')"
|
||
|
||
echo
|
||
echo "════ 监听 / 进程 ════"
|
||
ss -tlnp 2>/dev/null | grep -E ":(80|$P) " | sed 's/^/ /'
|
||
ps -eo pid,rss,etime,cmd --sort=-rss 2>/dev/null | grep 'relay\.py' | grep -v grep | head -1 | sed 's/^/ /'
|
||
|
||
echo
|
||
echo "════ 监测单元 ════"
|
||
cat $R/monitor_state.txt 2>/dev/null | sed 's/^/ /'
|
||
echo " --- 探测的是什么地址 ---"
|
||
grep -E '^(PUBLIC_URL|FALLBACK_URL)=' $R/monitor.sh | sed 's/^/ /'
|
||
echo " --- monitor.log 尾部（只挑非 Permission 的）---"
|
||
grep -v 'Permission denied' $R/monitor.log 2>/dev/null | tail -4 | sed 's/^/ /'
|
||
|
||
echo
|
||
echo "════ 抢救报告 / 知识库 ════"
|
||
echo " 报告 $(ls $R/rescue_reports 2>/dev/null | wc -l) 份"
|
||
echo " 知识库 $(wc -l < $R/rescue_knowledge.md 2>/dev/null || echo 0) 行"
|
||
|
||
echo
|
||
echo "════ 资源 ════"
|
||
free -m 2>/dev/null | sed -n 2p | awk '{printf " 内存 %s/%s MB\n", $3, $2}'
|
||
df -h / | tail -1 | awk '{printf " 磁盘 %s 用 %s\n", $2, $5}'
|
||
uptime | sed 's/^/ /'
|
||
|
||
echo
|
||
echo "════ 文件属主（admin 必须能写日志）════"
|
||
ls -la $R/*.log $R/monitor_state.txt 2>/dev/null | awk '{print " " $3":"$4" "$9}'
|
||
'''
|
||
|
||
|
||
def main() -> int:
|
||
if "--fix" in sys.argv:
|
||
print(" ── 修属主 ──")
|
||
out = run("sudo chown -R admin:admin %s && sudo chmod 755 %s && echo OK"
|
||
% (RELAY_DIR, RELAY_DIR), timeout=120, quiet=True)
|
||
print(" " + out[1].strip())
|
||
|
||
cmd = (REMOTE
|
||
.replace("__DIR__", RELAY_DIR)
|
||
.replace("__PORT__", PORT)
|
||
.replace("__DOMAIN__", DOMAIN)
|
||
.replace("__DOMAIN_URL__", DOMAIN_URL)
|
||
.replace("__NGINX_URL__", NGINX_URL)
|
||
.replace("__DIRECT_URL__", DIRECT_URL))
|
||
out = run(cmd, timeout=300, quiet=True)
|
||
print(out[1] if isinstance(out, tuple) else out)
|
||
return 0
|
||
|
||
|
||
if __name__ == "__main__":
|
||
sys.exit(main())
|