Compare commits
| Author | SHA1 | Date | |
|---|---|---|---|
 hacker07
|
a70dd14542 | ||
|
hacker07
|
934077c56f | ||
|
hacker07
|
ada50ae24e | ||
|
hacker07
|
2e875aaa2f | ||
|
hacker07
|
88af9444c0 | ||
|
hacker07
|
e0ddf8fe25 | ||
|
hacker07
|
c83fde40e4 | ||
|
hacker07
|
211053a36b | ||
|
hacker07
|
80258f1d45 | ||
|
hacker07
|
7b30cd9b23 | ||
|
hacker07
|
45b8d1c783 |
@@ -0,0 +1 @@
|
||||
* text=auto eol=lf
|
||||
@@ -0,0 +1,57 @@
|
||||
# Что нового в сборке форка
|
||||
|
||||
Здесь записи о наших версиях. Файл автора (`CHANGELOG.md`) мы не трогаем — так обновления
|
||||
автора не конфликтуют с нашими записями.
|
||||
|
||||
## v1.2.4: проверка релиза отдельной командой
|
||||
|
||||
* Флаг `--verify-only`: скачать релиз, проверить подпись `SHA256SUMS` и SHA256 установщика и выйти —
|
||||
можно проверить канал на сервере, ничего не устанавливая.
|
||||
* Порядок шагов изменён: проверка подписи теперь идёт до предполётных проверок и до любых
|
||||
изменений на сервере, чтобы чужой код не запускался раньше проверки.
|
||||
|
||||
## v1.2.3: установка одной командой (`scripts/3x-ui-local.sh`)
|
||||
|
||||
* Один скрипт на чистом VPS: проверка сервера → скачивание нашего релиза → проверка подписи
|
||||
`SHA256SUMS` и SHA256 самого установщика → установщик автора (панель 3X-UI, протоколы,
|
||||
сайт-заглушка, маскировка, сертификат, подписка, ufw) → наши дополнения → проверка.
|
||||
* По умолчанию досыпает: закрыть ответ на ping (правилом ufw), включить обновления безопасности,
|
||||
`kit fix` (время и безопасные починки), в конце `kit check` и сводку `kit local hardening`.
|
||||
Отключается флагами `--no-harden`, `--no-time`, `--no-check`.
|
||||
* Второй порт SSH — только по явному флагу `--ssh-port N`: прежний порт продолжает работать,
|
||||
закрытие — отдельным шагом `kit local ssh --close-old N`. Автоматически доступ не запираем.
|
||||
* Все флаги установщика автора (`--domain`, `--sni`, `--panel-on`, `--host`, `--restore` …)
|
||||
передаются как есть; есть `--dry-run` (план без изменений) и `--help`.
|
||||
* Публичный ключ форка вшит в обёртку — подпись проверяется до запуска чужого кода; при смене
|
||||
ключа обновляется и здесь, и в `kit`.
|
||||
|
||||
## v1.2.2: команды защиты сервера (поведение из StressOzz/vps-setup)
|
||||
|
||||
* Новые команды `kit local`: `ssh <порт>` (добавить порт SSH), `ssh --close-old` (закрыть прежние
|
||||
порты), `ping off|on` (не отвечать на ICMP echo), `passwd [--generate]` (сменить пароль),
|
||||
`upgrades on|off|status` (автообновления безопасности), `hardening` (сводка по защите сервера).
|
||||
* Сделано безопаснее, чем в источнике: конфиг sshd проверяется через `sshd -t` **до** перезапуска,
|
||||
новый порт сначала открывается в ufw, прежний порт продолжает работать до отдельного шага
|
||||
`--close-old`, у правок есть `--dry-run`, а копии изменённых файлов остаются в
|
||||
`/root/kit-local-backup-<дата>/` (не в `/tmp`).
|
||||
* `apt full-upgrade` из источника не выполняется: вместо него включаются обновления безопасности
|
||||
(только security, без самовольной перезагрузки) — это не затрагивает закреплённые версии панели
|
||||
и ядра, которые ставятся не из apt.
|
||||
* Учтён Ubuntu 24.04: если SSH слушает systemd (`ssh.socket`), порт добавляется socket-drop-in'ом,
|
||||
а закрытие старых портов не делается автоматически — там ошибка запирает доступ к серверу.
|
||||
* Ping отключается правилом ufw (`before.rules`), а не общесистемным `icmp_echo_ignore_all`:
|
||||
видно в `ufw status`, отменяется одной командой и не глушит ICMP для внутренних интерфейсов.
|
||||
|
||||
## v1.2.1: сборка форка поверх 3X-UI KIT 1.2
|
||||
|
||||
* Источник файлов и обновлений — свой репозиторий Gitea: установка и `kit update` берут релиз
|
||||
оттуда, а подпись релиза проверяется ключом форка. Авторский ночной апдейт приходит в наш
|
||||
канал, поэтому наши доработки не стираются ночью.
|
||||
* Дополнения форка живут отдельным файлом `/usr/local/lib/kit/kit-local.sh` и подключаются одной
|
||||
строкой: `kit local help | version | channel | seams | masking`.
|
||||
* Наш файл едет в том же подписанном релизе, что и код автора: он входит в `SHA256SUMS`,
|
||||
проверяется по подписи и обновляется вместе с `kit`.
|
||||
* Швы в коде автора описаны в `tools/fork_apply.py` (источник правды), синхронизация с автором и
|
||||
проверки — `tools/fork-sync.sh`.
|
||||
|
||||
Основа — 3X-UI KIT 1.2 (панель 3X-UI v3.9.0, ядро Xray v26.6.27). Что нового у автора — в `CHANGELOG.md`.
|
||||
@@ -0,0 +1,108 @@
|
||||
# Форк 3X-UI KIT (hacker07)
|
||||
|
||||
Это личный форк [3X-UI KIT](https://github.com/itsnotkubrick/3X-UI_KIT): наш код живёт рядом с
|
||||
кодом автора и не ломается, когда автор обновляет свой. Здесь описано, как это устроено и что
|
||||
делать после каждого обновления автора.
|
||||
|
||||
## Что где лежит
|
||||
|
||||
| Что | Где | Правит |
|
||||
|---|---|---|
|
||||
| Наши доработки (команды, хуки) | `scripts/kit-local.sh` | только мы |
|
||||
| Описание «швов» в коде автора | `tools/fork_apply.py` | только мы |
|
||||
| Синхронизация с автором и проверки | `tools/fork-sync.sh` | только мы |
|
||||
| Файлы автора (`scripts/kit.sh`, `scripts/3x-ui.sh`, …) | как есть | только автор |
|
||||
|
||||
Ключевая идея: **в файлах автора мы правим только «швы»** — несколько констант и одну строку
|
||||
подключения. Всё, что мы дописываем по существу, лежит в нашем файле, которого автор не знает.
|
||||
Швы описаны в одном месте (`tools/fork_apply.py`) и накатываются только на чистое дерево автора;
|
||||
если автор изменил нужную строку — инструмент останавливается и говорит об этом, а не делает
|
||||
полу-патч.
|
||||
|
||||
## Ветки
|
||||
|
||||
- `upstream` — точная копия ветки автора (`main`), только вперёд.
|
||||
- `dev` — наша сборка: `upstream` + швы + наш файл. Из неё делаются релизы.
|
||||
- релизы — теги `v<номера>`; номер = `<версия автора>.<наш уровень>` (например, автор 1.2 → наш
|
||||
первый релиз 1.2.1, следующий наш — 1.2.2, после релиза автора 1.3 — 1.3.1).
|
||||
|
||||
Номер обязан строго расти: на серверах `kit update` не принимает откат назад.
|
||||
|
||||
## Обновление автора (по шагам)
|
||||
|
||||
```bash
|
||||
cd H:/My_Proj/Fork_3X-UI_KIT
|
||||
bash tools/fork-sync.sh # подтянуть автора, перенести наши правки, прогнать проверки
|
||||
# при конфликте — разобрать его вручную, инструмент сам ничего не публикует
|
||||
|
||||
bash tools/release.sh ~/.ssh/3x-ui-kit-fork/release_key # SHA256SUMS + подпись нашим ключом
|
||||
git add -A && git commit -m "Релиз v$(cat VERSION): швы форка + подпись"
|
||||
git tag v$(cat VERSION)
|
||||
git push origin dev v$(cat VERSION) upstream
|
||||
```
|
||||
|
||||
## Установка и обновление из этого репозитория
|
||||
|
||||
```bash
|
||||
# установка одной командой: наш релиз, подпись проверяется до запуска установщика,
|
||||
# в конце — закрытие ping, автообновления безопасности, kit fix и kit check
|
||||
bash <(curl -fsSL https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main/scripts/3x-ui-local.sh) --domain vpn.example.com
|
||||
|
||||
# «а что вы вообще собираетесь запускать?» — проверка подписи релиза без установки
|
||||
bash <(curl -fsSL …/scripts/3x-ui-local.sh) --verify-only
|
||||
# план установки без изменений
|
||||
bash <(curl -fsSL …/scripts/3x-ui-local.sh) --dry-run --domain vpn.example.com
|
||||
|
||||
# то же, но без защиты (--no-harden) и с добавлением второго порта SSH
|
||||
bash <(curl -fsSL …/scripts/3x-ui-local.sh) --sni dl.google.com --no-harden --ssh-port 2222
|
||||
|
||||
# только установщик автора, без наших дополнений
|
||||
bash <(curl -fsSL https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main/scripts/3x-ui.sh)
|
||||
|
||||
# обновление уже стоящего сервера (тянет наш релиз и проверяет нашу подпись)
|
||||
kit update --force && kit check
|
||||
```
|
||||
|
||||
Внутри `kit` источником файлов служит `KIT_RAW`/`kit_ref_raw()` — они указывают на этот
|
||||
репозиторий, а подпись релиза проверяется ключом из `KIT_SIGNERS` (только ключ форка).
|
||||
|
||||
## Подпись релизов
|
||||
|
||||
- Открытая часть ключа — `tools/fork-signer.pub` и в `KIT_SIGNERS` (в `scripts/kit.sh`).
|
||||
- Закрытая часть — только на рабочей станции владельца (`~/.ssh/3x-ui-kit-fork/release_key`),
|
||||
с паролем; в репозиторий, CI и на серверы не попадает. Кто получит ключ — получит root на всех
|
||||
серверах, которые обновляются из этого репозитория.
|
||||
- Смена ключа: подпиши новый релиз старым ключом, иначе серверы его не примут.
|
||||
|
||||
## Наши команды
|
||||
|
||||
```bash
|
||||
kit local help # справка по дополнениям форка
|
||||
kit local version # версия, источник обновлений, дата сборки нашего файла
|
||||
kit local channel # откуда берутся обновления и чем проверяется подпись
|
||||
kit local seams # какие швы форка сейчас в установленном /usr/local/bin/kit
|
||||
kit local masking # состояние маскировки
|
||||
kit local hardening # сводка по защите сервера
|
||||
|
||||
# защита сервера (поведение из StressOzz/vps-setup, сделано безопаснее)
|
||||
kit local ssh 2222 # добавить порт SSH (прежние продолжают работать)
|
||||
kit local ssh --close-old 2222 # закрыть прежние порты после проверки
|
||||
kit local ping off # не отвечать на ping (правилом ufw)
|
||||
kit local upgrades on # автообновления безопасности
|
||||
kit local passwd --generate # сменить пароль root и показать его один раз
|
||||
```
|
||||
|
||||
У любой правки можно добавить `--dry-run` — покажет план и ничего не изменит.
|
||||
|
||||
## Грабли, о которых стоит помнить
|
||||
|
||||
1. **Ночное автообновление** (`kit-update.timer`, 03:00) перезаписывает `/usr/local/bin/kit`
|
||||
подписанным релизом из настроенного репозитория. Поэтому канал обновления и швы — один шаг:
|
||||
сервер должен смотреть в этот репозиторий, иначе наши правки исчезнут ночью.
|
||||
2. **Переводы строк.** Релиз подписывается по контрольным суммам файлов в рабочей копии, а сервер
|
||||
сверяет их с файлами из Gitea. При `core.autocrlf=true` суммы не сойдутся (CRLF против LF):
|
||||
в этом клоне должно быть `git config core.autocrlf false`.
|
||||
3. **Наш файл обязан быть в списке релиза** (`tools/release.sh`, `FILES=(…)`) и в списке загрузки
|
||||
`fetch_release()` — иначе при обновлении `kit.sh` приедет новый, а `kit-local.sh` останется старым.
|
||||
4. **Панель 3X-UI ставится с GitHub** по закреплённой версии и SHA256 — это шаг автора, форк его не
|
||||
трогает. Для установки с нуля серверу нужен доступ к GitHub.
|
||||
+8
-6
@@ -1,6 +1,8 @@
|
||||
# 3X-UI KIT 1.2
|
||||
2d7a0f0dcc26ea4f8bab3d60e1900e7046a9673a88fef85c03630502120961f0 scripts/3x-ui.sh
|
||||
ec3d62ecee39d14ea98ccc367ebd34febbb2e57a28a4e2405f70bcc7b26e45ab scripts/hysteria2.sh
|
||||
ce4889af8e9d1ce70508166f96986d33a5f4e3829b8223f8035e380f45ca7760 scripts/kit.sh
|
||||
eac3e47491ce86487f05160952ff5b4ad8a3821954f082eee3516e40575fb574 scripts/kit-sub.py
|
||||
44804414f85bef9588f60086587fd6e8871b39123c831ec129624f4d81a95fea VERSION
|
||||
# 3X-UI KIT 1.2.4
|
||||
567e5326890669659bfab769a5ddb2a2863eb51493a975e16c84df6973ec5170 *scripts/3x-ui.sh
|
||||
62fc23d886f91bb59ba47c4fb932d8fe49680271476c94e61238a0dde3002cd9 *scripts/hysteria2.sh
|
||||
f63388be2e61a4fc546b78b3d8c640179f7ce41ac30bf4a329efb1b3e97faa5b *scripts/kit.sh
|
||||
eac3e47491ce86487f05160952ff5b4ad8a3821954f082eee3516e40575fb574 *scripts/kit-sub.py
|
||||
30579dfae24239d1c797dc8efac5b2b49116bc05058923df184b382f33fe265b *scripts/kit-local.sh
|
||||
e97d3ac23f97d95fcc3d04b5e6751b28a4425ccb1bcb6c5a252bb9a9e52b1ade *scripts/3x-ui-local.sh
|
||||
563a0b4eec3c77bbc34ac630d4fa5214f5c6726ae01468404fd704473110084e *VERSION
|
||||
|
||||
+4
-4
@@ -1,6 +1,6 @@
|
||||
-----BEGIN SSH SIGNATURE-----
|
||||
U1NIU0lHAAAAAQAAADMAAAALc3NoLWVkMjU1MTkAAAAgatMYIOGGebxc7V6Sk8m5JZFUIm
|
||||
IWK6kSyl9DFxsQGbMAAAARM3gtdWkta2l0LXJlbGVhc2UAAAAAAAAABnNoYTUxMgAAAFMA
|
||||
AAALc3NoLWVkMjU1MTkAAABAdFL7PZOiEBqM7mNXcIUk96bj1YnqSR6BijHEd07ij1IG05
|
||||
Vjb8nVmTjlvGMbhxZw0lNAbdeQLSDpBgBS2JFGBQ==
|
||||
U1NIU0lHAAAAAQAAADMAAAALc3NoLWVkMjU1MTkAAAAgozRJ+f9RB6qO9S9j3BWCDtC0bV
|
||||
FHakRSSqtQPljLoQUAAAARM3gtdWkta2l0LXJlbGVhc2UAAAAAAAAABnNoYTUxMgAAAFMA
|
||||
AAALc3NoLWVkMjU1MTkAAABA3dMDUsb5LWkr0YJ5X/rCfLxNTuwzHymGpDwOd+XIRWsnYY
|
||||
eA60VFXtz5uCxAdiyKXXgg7Prs6nCq819EYCU2Ag==
|
||||
-----END SSH SIGNATURE-----
|
||||
|
||||
@@ -0,0 +1,200 @@
|
||||
#!/usr/bin/env bash
|
||||
# 3X-UI KIT (форк hacker07) — установка сервера одной командой из нашего канала.
|
||||
#
|
||||
# Что делает (по шагам):
|
||||
# 1) проверяет, что мы на чистом Debian/Ubuntu и под root, и что есть curl, ssh-keygen, openssl;
|
||||
# 2) берёт из нашего Gitea релиз своей же версии, проверяет ПОДПИСЬ SHA256SUMS и SHA256 установщика;
|
||||
# 3) запускает установщик автора (scripts/3x-ui.sh) — панель 3X-UI, протоколы, сайт-заглушка,
|
||||
# маскировка, сертификат, подписка, ufw; все обычные флаги установщика можно передавать как есть;
|
||||
# 4) досыпает то, чего у автора нет (поведение из StressOzz/vps-setup, но безопаснее):
|
||||
# ответ на ping закрывается правилом ufw, включаются обновления безопасности;
|
||||
# 5) при желании добавляет второй порт SSH (--ssh-port 2222) — прежний остаётся рабочим;
|
||||
# 6) в конце: kit fix (время и безопасные починки), kit check, kit local hardening.
|
||||
#
|
||||
# Запуск (примеры):
|
||||
# bash <(curl -fsSL https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v1.2.3/scripts/3x-ui-local.sh) --domain vpn.example.com
|
||||
# ... 3x-ui-local.sh --sni dl.google.com --harden
|
||||
# ... 3x-ui-local.sh --ssh-port 2222 --no-harden
|
||||
#
|
||||
# Флаги самого обёрточного скрипта (остальные уходят установщику автора):
|
||||
# --no-harden не отключать ping и не включать автообновления безопасности
|
||||
# --ssh-port N добавить порт SSH N (прежний порт продолжает работать)
|
||||
# --no-time не запускать kit fix (синхронизация времени и безопасные починки)
|
||||
# --no-check не запускать в конце kit check
|
||||
# --dry-run показать план и ничего не делать
|
||||
# -h | --help эта справка
|
||||
#
|
||||
# Наш файл: авторские релизы его не перезаписывают, а правки форка живут в scripts/kit-local.sh.
|
||||
|
||||
set -Eeuo pipefail
|
||||
|
||||
KIT_VERSION="1.2.4" # версия сборки форка; должна совпадать с VERSION релиза
|
||||
GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
|
||||
NS="3x-ui-kit-release"
|
||||
SIG_ID="releases@3x-ui-kit"
|
||||
# Публичный ключ форка. Меняется только вместе с ключом подписи (тогда обновляется и здесь, и в kit).
|
||||
SIGNER_PUB='ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKM0Sfn/UQeqjvUvY9wVgg7QtG1RR2pEUkqrUD5Yy6EF 3X-UI KIT fork releases (hacker07)'
|
||||
|
||||
G=$'\e[32m'; Y=$'\e[33m'; R=$'\e[31m'; B=$'\e[1m'; D=$'\e[2m'; N=$'\e[0m'
|
||||
[[ -t 1 ]] || { G=; Y=; R=; B=; D=; N=; }
|
||||
say() { printf '%s\n' "${G}==>${N} $*"; }
|
||||
warn() { printf '%s\n' "${Y}!${N} $*" >&2; }
|
||||
die() { printf '%s\n' "${R}✗${N} $*" >&2; exit 1; }
|
||||
|
||||
usage() {
|
||||
cat <<'EOF'
|
||||
3X-UI KIT (форк hacker07) — установка сервера одной командой из нашего канала.
|
||||
|
||||
bash <(curl -fsSL <наш Gitea>/raw/tag/v<версия>/scripts/3x-ui-local.sh) [флаги…]
|
||||
|
||||
Всё, что скрипт не знает сам, он передаёт установщику автора как есть:
|
||||
--domain vpn.example.com свой домен для маскировки (A-запись на этот сервер, свободный 80)
|
||||
--sni сайт.com маскировка под чужой сайт
|
||||
--panel-on domain | ip где открывать панель и подписку
|
||||
--host IP, --user имя, --port N, --protocols …, --restore файл
|
||||
|
||||
Флаги этого скрипта:
|
||||
--no-harden не отключать ответ на ping и не включать автообновления безопасности
|
||||
--ssh-port N добавить порт SSH N (прежний порт продолжает работать)
|
||||
--no-time не запускать kit fix (время и безопасные починки)
|
||||
--no-check не запускать в конце kit check
|
||||
--verify-only только проверить релиз (подпись и SHA256) и выйти
|
||||
--dry-run показать план и ничего не делать
|
||||
-h | --help эта справка
|
||||
|
||||
Что скрипт делает: проверяет сервер → скачивает релиз своей же версии из нашего Gitea,
|
||||
проверяет подпись SHA256SUMS и SHA256 установщика → запускает установщик автора → досыпает
|
||||
защиту (ping off правилом ufw, автообновления безопасности, при желании второй порт SSH) →
|
||||
kit fix и kit check.
|
||||
EOF
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ разбор флагов
|
||||
|
||||
INSTALLER_ARGS=(); harden=yes; ssh_port=""; fix_time=yes; do_check=yes; dry=no; verify_only=no
|
||||
while (($#)); do
|
||||
case $1 in
|
||||
--no-harden) harden=no ;;
|
||||
--ssh-port) ssh_port=${2:-}; shift || die "--ssh-port: нужен номер порта" ;;
|
||||
--ssh-port=*) ssh_port=${1#*=} ;;
|
||||
--no-time) fix_time=no ;;
|
||||
--no-check) do_check=no ;;
|
||||
--verify-only) verify_only=yes ;;
|
||||
--dry-run) dry=yes ;;
|
||||
-h | --help) usage; exit 0 ;;
|
||||
*) INSTALLER_ARGS+=("$1") ;;
|
||||
esac
|
||||
shift
|
||||
done
|
||||
[[ -z $ssh_port || $ssh_port =~ ^[0-9]{1,5}$ ]] || die "--ssh-port: нужен номер порта, например 2222"
|
||||
|
||||
pre() { printf ' %s\n' "$*"; }
|
||||
|
||||
if [[ $dry == yes ]]; then
|
||||
say "план установки (--dry-run: ничего не делаю)"
|
||||
pre "версия сборки: $KIT_VERSION"
|
||||
pre "откуда: $GITEA (тег v$KIT_VERSION), подпись проверяется ключом форка"
|
||||
if ((${#INSTALLER_ARGS[@]})); then pre "установщик автора: bash scripts/3x-ui.sh ${INSTALLER_ARGS[*]}"; else pre "установщик автора: bash scripts/3x-ui.sh (без доп. флагов)"; fi
|
||||
pre "маскировка: своя заглушка/домен — как решит установщик автора"
|
||||
if [[ $harden == yes ]]; then pre "защита: ping off (правилом ufw) + автообновления безопасности"; else pre "защита: пропускаю (--no-harden)"; fi
|
||||
[[ -n $ssh_port ]] && pre "порт SSH: добавляю $ssh_port (прежний остаётся рабочим)"
|
||||
[[ $fix_time == yes ]] && pre "после: kit fix (время, безопасные починки)"
|
||||
[[ $do_check == yes ]] && pre "проверка: kit check + kit local hardening"
|
||||
echo
|
||||
say "запуск без --dry-run выполнит всё это на сервере"
|
||||
exit 0
|
||||
fi
|
||||
|
||||
# ------------------------------------------------------------------ релиз: скачать и проверить подпись
|
||||
|
||||
# Подпись проверяем ДО запуска чужого кода, поэтому здесь нужны только curl/ssh-keygen/openssl.
|
||||
for c in curl ssh-keygen openssl; do command -v "$c" >/dev/null || die "нет $c — поставьте: apt-get update && apt-get install -y $c"; done
|
||||
|
||||
say "беру релиз v$KIT_VERSION и проверяю подпись"
|
||||
tmp=$(mktemp -d)
|
||||
trap 'rm -rf "$tmp"' EXIT
|
||||
raw="$GITEA/raw/tag/v$KIT_VERSION"
|
||||
for f in SHA256SUMS SHA256SUMS.sig scripts/3x-ui.sh; do
|
||||
mkdir -p "$tmp/$(dirname "$f")"
|
||||
curl -fsSL --retry 3 -m 60 -o "$tmp/$f" "$raw/$f" || die "не скачался $f из $raw (Gitea доступна с сервера?)"
|
||||
done
|
||||
printf '%s namespaces="%s" %s\n' "$SIG_ID" "$NS" "$SIGNER_PUB" >"$tmp/allowed_signers"
|
||||
ssh-keygen -Y verify -f "$tmp/allowed_signers" -I "$SIG_ID" -n "$NS" -s "$tmp/SHA256SUMS.sig" <"$tmp/SHA256SUMS" >/dev/null 2>&1 \
|
||||
|| die "подпись релиза v$KIT_VERSION не сошлась с ключом форка — это не наш релиз, ничего не запускаю"
|
||||
sum=$(awk '$2 == "scripts/3x-ui.sh" {print $1}' "$tmp/SHA256SUMS")
|
||||
[[ $(printf '%s' "$sum" | wc -c) -eq 64 ]] || die "в SHA256SUMS нет установщика — релиз собран неверно"
|
||||
got=$(sha256sum "$tmp/scripts/3x-ui.sh" | awk '{print $1}')
|
||||
[[ $got == "$sum" ]] || die "SHA256 установщика не совпал с подписанным — не запускаю"
|
||||
bash -n "$tmp/scripts/3x-ui.sh" || die "установщик не проходит проверку синтаксиса"
|
||||
printf ' ✓ подпись сошлась, SHA256 установщика совпал\n'
|
||||
|
||||
if [[ $verify_only == yes ]]; then
|
||||
say "релиз v$KIT_VERSION проверен: подпись и SHA256 сошлись, установщик не запускался"
|
||||
exit 0
|
||||
fi
|
||||
|
||||
# ------------------------------------------------------------------ предполётные проверки
|
||||
|
||||
say "проверяю сервер"
|
||||
[[ ${EUID:-0} -eq 0 ]] || die "нужен root: запустите от root (на чистом VPS обычно так и есть)"
|
||||
[[ -r /etc/os-release ]] || die "не вижу /etc/os-release — это не Debian/Ubuntu?"
|
||||
# shellcheck disable=SC1091
|
||||
. /etc/os-release
|
||||
case ${ID:-} in debian | ubuntu | raspbian) ;; *) warn "система ${PRETTY_NAME:-?}: поддерживаются Debian и Ubuntu" ;; esac
|
||||
printf ' %s\n' "${PRETTY_NAME:-Linux}, ядро $(uname -r), памяти $(awk '/MemTotal/ {printf "%.1f ГБ", $2 / 1048576}' /proc/meminfo 2>/dev/null || echo '?')"
|
||||
df -P / | awk 'NR==2 {gsub("%","",$5); if ($5 >= 95) exit 1}' || warn "диск занят почти полностью — установка может не пройти"
|
||||
for p in 443 80; do ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE "[:.]$p\$" && warn "порт $p уже кем-то занят"; done
|
||||
|
||||
# ------------------------------------------------------------------ установка
|
||||
|
||||
say "запускаю установщик автора (панель 3X-UI, протоколы, сайт-заглушка, подписка)"
|
||||
if ((${#INSTALLER_ARGS[@]})); then printf ' флаги: %s\n' "${INSTALLER_ARGS[*]}"; fi
|
||||
# stdin: если есть терминал — отдаём его установщику (там есть вопросы), иначе /dev/null,
|
||||
# иначе установщик начнёт читать наш собственный скрипт вместо ответов.
|
||||
if [[ -t 0 ]] || { : </dev/tty; } 2>/dev/null; then
|
||||
bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/tty || die "установщик остановился с ошибкой — он ничего не тронул дальше своего лога"
|
||||
else
|
||||
bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/null || die "установщик остановился с ошибкой (нет терминала — вопросы задать некому)"
|
||||
fi
|
||||
command -v kit >/dev/null || die "после установки нет команды kit — что-то пошло не так, смотрите вывод выше"
|
||||
|
||||
# ------------------------------------------------------------------ наши дополнения
|
||||
|
||||
if [[ $fix_time == yes ]]; then
|
||||
say "kit fix: синхронизация времени и безопасные починки (авторская команда, ничего необратимого)"
|
||||
kit fix || warn "kit fix завершился с замечаниями — посмотрите вывод"
|
||||
fi
|
||||
|
||||
if [[ $harden == yes ]]; then
|
||||
say "защита сервера: закрываю ответ на ping и включаю обновления безопасности"
|
||||
kit local ping off || warn "не удалось закрыть ping — повторите: kit local ping off"
|
||||
kit local upgrades on || warn "не удалось включить автообновления — повторите: kit local upgrades on"
|
||||
fi
|
||||
|
||||
if [[ -n $ssh_port ]]; then
|
||||
say "добавляю порт SSH $ssh_port (прежний порт продолжает работать)"
|
||||
kit local ssh "$ssh_port" || warn "порт не добавился — сделайте это отдельно: kit local ssh $ssh_port"
|
||||
cat <<EOF
|
||||
|
||||
${Y}Дальше обязательно:${N}
|
||||
проверьте вход во ВТОРОМ окне: ssh -p $ssh_port root@<IP сервера>
|
||||
убедились — закройте прежние порты: kit local ssh --close-old $ssh_port
|
||||
EOF
|
||||
fi
|
||||
|
||||
# ------------------------------------------------------------------ проверка
|
||||
|
||||
if [[ $do_check == yes ]]; then
|
||||
say "проверяю, что получилось"
|
||||
kit check || warn "kit check нашёл замечания — читайте выше; безопасные починки: kit fix"
|
||||
kit local hardening
|
||||
fi
|
||||
|
||||
cat <<EOF
|
||||
|
||||
${G}${B}Готово.${N} Сервер поставлен из нашей сборки (3X-UI KIT $KIT_VERSION, канал: наш Gitea).
|
||||
|
||||
подписка и ссылки: kit user link admin (или страница подписки из вывода установщика)
|
||||
если что-то не так: kit check --deep, затем kit fix
|
||||
вернуться к авторскому каналу: положить авторский kit поверх и выполнить kit update --force
|
||||
EOF
|
||||
+12
-3
@@ -30,9 +30,9 @@ wait_apt_idle() {
|
||||
XUI_VERSION="v3.9.0"
|
||||
# SHA256 установщика 3X-UI этой версии: тег могут передвинуть, а хеш – нет (проверено 2026-09-30).
|
||||
XUI_INSTALL_SHA256="18616fe26c8f6c92db6daa2dcd7cd53c5143ee69ecfd26d8ea6dc9b2c78607a6"
|
||||
KIT_VERSION="1.2"
|
||||
KIT_VERSION="1.2.4"
|
||||
# kit и kit-sub берём из того же релиза, что и этот скрипт, а не из меняющейся ветки main.
|
||||
KIT_RAW="https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/v$KIT_VERSION"
|
||||
KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$KIT_VERSION"
|
||||
# Ядро Xray для панели. С 26.7.x клиенты на Mihomo и sing-box (Hiddify, FlClash,
|
||||
# Clash Verge, Mihomo в XKeen) не проходят REALITY – проверено 2026-09-25.
|
||||
# 26.6.27 – последняя версия, с которой работают все клиенты и которую принимает 3X-UI.
|
||||
@@ -1270,6 +1270,7 @@ awg_attach() { # имя subId [лимит-байт] [срок-мс] [устро
|
||||
}
|
||||
|
||||
KIT_CLI_URL="$KIT_RAW/scripts/kit.sh"
|
||||
KIT_LOCAL_URL="$KIT_RAW/scripts/kit-local.sh"
|
||||
|
||||
install_kit_cli() {
|
||||
install -d -m 700 /etc/kit
|
||||
@@ -1293,10 +1294,18 @@ install_kit_file() {
|
||||
[[ -f $d/kit.sh && ${BASH_SOURCE[0]} != /dev/fd/* ]] && src=$d/kit.sh
|
||||
if [[ -n $src ]]; then install -m 755 "$src" /usr/local/bin/kit
|
||||
else curl -fsSL --retry 3 -o /usr/local/bin/kit "$KIT_CLI_URL" && chmod 755 /usr/local/bin/kit; fi
|
||||
# Форк: ставим наши локальные дополнения (см. scripts/kit-local.sh).
|
||||
install -d -m 755 /usr/local/lib/kit
|
||||
if [[ -n $src && -f $d/kit-local.sh ]]; then
|
||||
install -m 644 "$d/kit-local.sh" /usr/local/lib/kit/kit-local.sh
|
||||
else
|
||||
curl -fsSL --retry 3 -o /usr/local/lib/kit/kit-local.sh "$KIT_LOCAL_URL" \
|
||||
|| warn "Локальные дополнения kit не скачались: kit local не будет работать"
|
||||
fi
|
||||
bash -n /usr/local/bin/kit || die "Команда kit скачалась повреждённой"
|
||||
}
|
||||
|
||||
KIT_INSTALL_CMD="bash <(curl -fsSL https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/main/scripts/3x-ui.sh)"
|
||||
KIT_INSTALL_CMD="bash <(curl -fsSL https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main/scripts/3x-ui.sh)"
|
||||
|
||||
# После «x-ui → Uninstall» меню подсказывает команду официального установщика –
|
||||
# меняем её на нашу. Только в echo: вызов установщика в «Update» не трогаем.
|
||||
|
||||
@@ -8,7 +8,7 @@
|
||||
# Код выхода 1 при любом запуске (и при `__update_binary`) – старый `hy2 update` на нём
|
||||
# останавливается и не заменяет команду hy2.
|
||||
|
||||
KIT_VERSION="1.2"
|
||||
KIT_VERSION="1.2.4"
|
||||
|
||||
cat >&2 <<'MSG'
|
||||
Отдельный установщик Hysteria2 больше не поддерживается.
|
||||
|
||||
@@ -0,0 +1,486 @@
|
||||
#!/usr/bin/env bash
|
||||
# 3X-UI_KIT (форк hacker07) — локальные дополнения.
|
||||
#
|
||||
# Этот файл наш: автор его не знает и не правит, поэтому обновления автора его не ломают.
|
||||
# kit подключает его одной строкой из kit.sh (шов в tools/fork_apply.py) и передаёт сюда
|
||||
# аргументы командной строки. Всё, что мы дописываем к kit, живёт ЗДЕСЬ.
|
||||
#
|
||||
# Команды: kit local <команда> (справка: kit local help)
|
||||
#
|
||||
# Часть команд повторяет поведение проекта StressOzz/vps-setup (добавить порт SSH, отключить
|
||||
# ответ на ping, сменить пароль root). Там нет файла лицензии, поэтому код свой, а поведение
|
||||
# сделано безопаснее, чем в источнике:
|
||||
# * конфиг sshd проверяется (`sshd -t`) ДО перезапуска, новый порт сначала открывается в ufw;
|
||||
# * прежний порт продолжает работать, пока новый не проверен (`--close-old` — отдельный шаг);
|
||||
# * у каждой правки есть --dry-run и копия затронутого файла в /root/kit-local-backup-<дата>/;
|
||||
# * apt full-upgrade из источника НЕ выполняется (он тянет систему вперёд и может сломать
|
||||
# закреплённые версии панели и ядра) — вместо него автообновления безопасности.
|
||||
#
|
||||
# Правила работы с файлом: только функции, никакого кода на верхнем уровне (он выполняется при
|
||||
# каждом запуске kit), и никаких зависимостей от функций автора: наш вызов идёт в самом начале
|
||||
# kit.sh, когда авторские say/warn ещё не объявлены.
|
||||
|
||||
KL_BACKUP_DIR="/root/kit-local-backup-$(date +%Y%m%d)"
|
||||
KL_SSHD_CONF="/etc/ssh/sshd_config"
|
||||
KL_SSHD_DROPIN="/etc/ssh/sshd_config.d/99-kit-local-port.conf"
|
||||
KL_SOCKET_DROPIN="/etc/systemd/system/ssh.socket.d/99-kit-local-port.conf"
|
||||
KL_UFW_RULES=/etc/ufw/before.rules
|
||||
KL_UFW6_RULES=/etc/ufw/before6.rules
|
||||
KL_SYSCTL_DROPIN=/etc/sysctl.d/99-kit-local-icmp.conf
|
||||
|
||||
kl_say() { printf '\033[1m==>\033[0m %s\n' "$*"; }
|
||||
kl_ok() { printf ' ✓ %s\n' "$*"; }
|
||||
kl_warn() { printf ' ! %s\n' "$*" >&2; }
|
||||
kl_step() { printf '\n\033[1m%s\033[0m\n' "$*"; }
|
||||
kl_die() { printf '✗ %s\n' "$*" >&2; return 1; }
|
||||
kl_have() { command -v "$1" >/dev/null 2>&1; }
|
||||
kl_dry() { [[ ${KL_DRY:-no} == yes ]]; }
|
||||
kl_run() { if kl_dry; then printf ' (dry-run) %s\n' "$*"; return 0; fi; "$@"; }
|
||||
|
||||
# Разбор аргументов: --dry-run поднимаем в KL_DRY, остальное складываем в KL_REST.
|
||||
kl_args() {
|
||||
KL_DRY=no; KL_REST=()
|
||||
local a
|
||||
for a in "$@"; do
|
||||
case $a in
|
||||
--dry-run) KL_DRY=yes ;;
|
||||
*) KL_REST+=("$a") ;;
|
||||
esac
|
||||
done
|
||||
}
|
||||
|
||||
kl_backup() { # файл → копия рядом с релизом, не в /tmp (там её переживёт только до перезагрузки)
|
||||
[[ -e $1 ]] || return 0
|
||||
local dst="$KL_BACKUP_DIR/$(printf '%s' "$1" | tr '/' '_')"
|
||||
if kl_dry; then printf ' (dry-run) сохранил бы %s → %s\n' "$1" "$dst"; return 0; fi
|
||||
install -d -m 700 "$KL_BACKUP_DIR"
|
||||
cp -p "$1" "$dst" && printf ' ✓ копия: %s\n' "$dst"
|
||||
return 0
|
||||
}
|
||||
|
||||
kl_need_root() { [[ ${EUID:-0} -eq 0 ]] || kl_die "нужен root"; }
|
||||
|
||||
# ------------------------------------------------------------------ справка
|
||||
|
||||
kit_local_help() {
|
||||
cat <<'EOF'
|
||||
3X-UI KIT — дополнения форка (hacker07):
|
||||
|
||||
Состояние
|
||||
kit local эта справка
|
||||
kit local version версия kit, источник обновлений, дата сборки нашего файла
|
||||
kit local channel откуда берутся обновления и чем проверяется подпись
|
||||
kit local seams какие места форк правит в файлах автора
|
||||
kit local masking состояние маскировки (у REALITY должен быть свой домен)
|
||||
kit local hardening сводка по защите сервера и что ещё можно включить
|
||||
|
||||
Защита сервера (поведение взято из StressOzz/vps-setup, сделано безопаснее)
|
||||
kit local ssh 2222 добавить порт SSH (прежние продолжают работать)
|
||||
kit local ssh --status какие порты SSH слушаются сейчас
|
||||
kit local ssh --close-old 2222 закрыть прежние порты после проверки нового
|
||||
kit local ping off|on отключить/вернуть ответ на ICMP echo (ping) через ufw
|
||||
kit local ping status состояние ответа на ping
|
||||
kit local passwd [юзер] сменить пароль (спросит дважды, в логи не попадает)
|
||||
kit local passwd --generate сгенерировать пароль и показать один раз
|
||||
kit local upgrades on|off|status автообновления безопасности
|
||||
|
||||
У любой правки можно добавить --dry-run: покажет план и ничего не изменит.
|
||||
Копии изменённых файлов — в /root/kit-local-backup-<дата>/.
|
||||
|
||||
Оговорки:
|
||||
* прежний порт SSH сам не закрывается: сначала проверьте новый из отдельного окна;
|
||||
* ping отключаем правилом ufw (видно в `ufw status`), а не общесистемным sysctl: отменяется
|
||||
одной командой и не глушит диагностику для внутренних интерфейсов;
|
||||
* apt full-upgrade из источника не делаем: вместо него — обновления безопасности.
|
||||
EOF
|
||||
}
|
||||
|
||||
kit_local_version() {
|
||||
printf 'kit: %s (форк hacker07)\n' "${KIT_VERSION:-?}"
|
||||
printf 'источник: %s\n' "${KIT_RAW:-?}"
|
||||
local lib=${KIT_LOCAL_LIB:-/usr/local/lib/kit/kit-local.sh}
|
||||
printf 'наш файл: %s\n' "$lib"
|
||||
[[ -r $lib ]] && printf 'собран: %s\n' "$(date -r "$lib" '+%Y-%m-%d %H:%M' 2>/dev/null || echo '?')"
|
||||
local latest
|
||||
latest=$(cat /etc/kit/latest-version 2>/dev/null || true)
|
||||
[[ -n $latest ]] && printf 'последняя: %s\n' "$latest"
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_channel() {
|
||||
printf 'файлы релиза: %s\n' "${KIT_RAW:-?}"
|
||||
printf 'подпись: id=%s namespace=%s\n' "${KIT_SIG_ID:-?}" "${KIT_SIG_NS:-?}"
|
||||
local n=0 k
|
||||
for k in "${KIT_SIGNERS[@]:-}"; do [[ -n $k ]] && n=$((n + 1)); done
|
||||
printf 'ключей в KIT_SIGNERS: %d (должен быть только ключ форка)\n' "$n"
|
||||
if [[ $n -eq 0 ]]; then
|
||||
printf 'ВНИМАНИЕ: список ключей пуст — обновление не пройдёт проверку подписи.\n'
|
||||
fi
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_seams() {
|
||||
local bin=/usr/local/bin/kit
|
||||
[[ -r $bin ]] || { printf 'нет %s\n' "$bin"; return 1; }
|
||||
grep -n '3X-UI_KIT (форк hacker07)' "$bin" 2>/dev/null \
|
||||
|| printf 'метки форка в %s не найдены — сборка не наша?\n' "$bin"
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_masking() {
|
||||
kl_have kit || { printf 'нет команды kit\n'; return 1; }
|
||||
kit net site 2>/dev/null || printf 'посмотреть: kit net site\n'
|
||||
return 0
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ SSH: порты
|
||||
|
||||
kl_ssh_ports() {
|
||||
{ sshd -T 2>/dev/null | awk '$1 == "port" {print $2}'
|
||||
kl_have ss && ss -H -ltnp 2>/dev/null | awk '/sshd/ {n = split($4, a, ":"); print a[n]}'
|
||||
[[ -n ${SSH_CONNECTION:-} ]] && awk '{print $4}' <<<"$SSH_CONNECTION"
|
||||
[[ -n ${SSH_CLIENT:-} ]] && awk '{print $2}' <<<"$SSH_CLIENT"
|
||||
} 2>/dev/null | grep -E '^[0-9]+$' | sort -un | tr '\n' ' '
|
||||
}
|
||||
|
||||
kl_ssh_socket_active() { kl_have systemctl && systemctl is-active --quiet ssh.socket 2>/dev/null; }
|
||||
|
||||
kl_ufw_active() { kl_have ufw && ufw status 2>/dev/null | grep -q '^Status: active'; }
|
||||
|
||||
kl_ssh_status() {
|
||||
local ports; ports=$(kl_ssh_ports)
|
||||
printf 'порты SSH сейчас: %s\n' "${ports:-не удалось определить}"
|
||||
if kl_ssh_socket_active; then
|
||||
printf 'слушает: systemd (ssh.socket — так в Ubuntu 24.04)\n'
|
||||
[[ -f $KL_SOCKET_DROPIN ]] && grep -H 'ListenStream' "$KL_SOCKET_DROPIN"
|
||||
else
|
||||
printf 'слушает: sshd по %s\n' "$KL_SSHD_CONF"
|
||||
[[ -f $KL_SSHD_DROPIN ]] && grep -H '^Port' "$KL_SSHD_DROPIN"
|
||||
fi
|
||||
kl_ufw_active && printf 'ufw: %s\n' "$(ufw status 2>/dev/null | awk '$2 == "ALLOW" && $1 ~ /\/tcp$/ {printf "%s ", $1}')"
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_ssh() {
|
||||
kl_args "$@"
|
||||
local arg=${KL_REST[0]:-} second=${KL_REST[1]:-} close_old=no new
|
||||
[[ $arg == --close-old ]] && { close_old=yes; new=$second; }
|
||||
[[ $second == --close-old ]] && close_old=yes
|
||||
|
||||
if [[ -z $arg || $arg == --status ]]; then kl_ssh_status; return 0; fi
|
||||
kl_need_root || return 1
|
||||
[[ $close_old == no ]] && new=$arg
|
||||
[[ $new =~ ^[0-9]+$ ]] && ((new >= 1 && new <= 65535)) \
|
||||
|| { kl_die "порт — число 1..65535, например: kit local ssh 2222"; return 1; }
|
||||
|
||||
local cur; cur=$(kl_ssh_ports)
|
||||
|
||||
if [[ $close_old == yes ]]; then
|
||||
kl_say "закрываю прежние порты SSH, оставляю только $new"
|
||||
printf ' было: %s\n' "${cur:-?}"
|
||||
if [[ -z $cur ]]; then
|
||||
kl_warn "не удалось определить текущие порты SSH — закройте прежний порт вручную (файл sshd или ssh.socket)"
|
||||
return 1
|
||||
fi
|
||||
if kl_ssh_socket_active; then
|
||||
cat <<EOF
|
||||
! SSH слушает systemd (ssh.socket): закрытие старых портов делается правкой
|
||||
$KL_SOCKET_DROPIN — первой строкой там должен идти «ListenStream=» (сброс списка),
|
||||
затем «ListenStream=$new», после чего: systemctl daemon-reload && systemctl restart ssh.socket.
|
||||
Автоматически не делаю: ошибка здесь запирает доступ к серверу.
|
||||
EOF
|
||||
return 0
|
||||
fi
|
||||
local p
|
||||
for p in $cur; do
|
||||
[[ $p == "$new" ]] && continue
|
||||
kl_backup "$KL_SSHD_CONF"
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) закрыл бы порт %s в %s и снял правило ufw %s/tcp\n' "$p" "$KL_SSHD_CONF" "$p"
|
||||
continue
|
||||
fi
|
||||
sed -i -E "s|^[[:space:]]*Port[[:space:]]+$p[[:space:]]*$|# Port $p (закрыт kit local $(date +%F))|" "$KL_SSHD_CONF"
|
||||
kl_ufw_active && ufw delete allow "$p/tcp" >/dev/null 2>&1
|
||||
kl_ok "порт $p закрыт"
|
||||
done
|
||||
kl_run sshd -t || { kl_warn "sshd -t не принял конфиг — верните файл из $KL_BACKUP_DIR"; return 1; }
|
||||
kl_run systemctl restart ssh
|
||||
kl_say "остался только порт $new. Проверьте вход в НОВОМ окне, это не закрывая."
|
||||
return 0
|
||||
fi
|
||||
|
||||
kl_say "добавляю порт SSH $new (прежние: ${cur:-?})"
|
||||
if [[ " $cur " == *" $new "* ]]; then kl_warn "порт $new уже слушается — ничего не меняю"; return 0; fi
|
||||
if kl_have ss && ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE "[:.]$new\$"; then
|
||||
kl_die "порт $new занят другой службой — выберите другой"; return 1
|
||||
fi
|
||||
|
||||
if kl_ufw_active; then
|
||||
kl_run ufw allow "$new/tcp" && kl_ok "ufw: открыт $new/tcp — сделано до перезапуска, чтобы не запереть себя"
|
||||
else
|
||||
kl_warn "ufw не активен: проверьте, что порт $new открыт у хостера"
|
||||
fi
|
||||
|
||||
if kl_ssh_socket_active; then
|
||||
kl_backup "$KL_SOCKET_DROPIN"
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) записал бы в %s: [Socket] + ListenStream=%s (старый порт остаётся)\n' "$KL_SOCKET_DROPIN" "$new"
|
||||
else
|
||||
install -d -m 755 "$(dirname "$KL_SOCKET_DROPIN")"
|
||||
printf '# 3X-UI KIT (форк): дополнительный порт SSH, добавлен %s\n[Socket]\nListenStream=%s\n' "$(date +%F)" "$new" >"$KL_SOCKET_DROPIN"
|
||||
kl_ok "добавлен $KL_SOCKET_DROPIN"
|
||||
fi
|
||||
kl_run systemctl daemon-reload
|
||||
kl_run systemctl restart ssh.socket
|
||||
else
|
||||
kl_backup "$KL_SSHD_DROPIN"
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) записал бы в %s: Port %s (старый порт остаётся)\n' "$KL_SSHD_DROPIN" "$new"
|
||||
else
|
||||
install -d -m 755 /etc/ssh/sshd_config.d
|
||||
printf '# 3X-UI KIT (форк): дополнительный порт SSH, добавлен %s\nPort %s\n' "$(date +%F)" "$new" >"$KL_SSHD_DROPIN"
|
||||
kl_ok "добавлен $KL_SSHD_DROPIN"
|
||||
fi
|
||||
kl_run sshd -t || { kl_warn "sshd -t не принял конфиг — убираю наш файл, ничего не перезапускаю"; kl_dry || rm -f "$KL_SSHD_DROPIN"; return 1; }
|
||||
kl_run systemctl restart ssh || kl_run systemctl restart sshd
|
||||
fi
|
||||
|
||||
if ! kl_dry; then
|
||||
sleep 2
|
||||
if ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE "[:.]$new\$"; then kl_ok "sshd слушает $new"
|
||||
else kl_warn "порт $new пока не слушается — смотрите: journalctl -u ssh -n 30"; fi
|
||||
fi
|
||||
cat <<EOF
|
||||
|
||||
Дальше обязательно:
|
||||
1) во ВТОРОМ окне проверьте вход: ssh -p $new root@<IP сервера>
|
||||
2) заработало — закройте прежние порты: kit local ssh --close-old $new
|
||||
3) поменяйте порт у себя в ~/.ssh/config и в мониторинге, если он там есть
|
||||
EOF
|
||||
return 0
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ ping (ICMP echo)
|
||||
|
||||
kl_ping_state() {
|
||||
if kl_have ufw && [[ -f $KL_UFW_RULES ]]; then
|
||||
grep -qE '^-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT' "$KL_UFW_RULES" && echo allow || echo deny
|
||||
elif [[ -f $KL_SYSCTL_DROPIN ]]; then
|
||||
grep -q 'icmp_echo_ignore_all = 1' "$KL_SYSCTL_DROPIN" && echo deny || echo allow
|
||||
else
|
||||
echo "?"
|
||||
fi
|
||||
}
|
||||
|
||||
kit_local_ping() {
|
||||
kl_args "$@"
|
||||
local want=${KL_REST[0]:-status}
|
||||
case $want in
|
||||
status | "")
|
||||
printf 'ответ на ping: %s\n' "$(kl_ping_state)"
|
||||
if kl_have ufw && [[ -f $KL_UFW_RULES ]]; then
|
||||
printf ' ufw before.rules: echo-request %s\n' "$(grep -qE '^# -A ufw-before-input -p icmp --icmp-type echo-request' "$KL_UFW_RULES" && echo 'закрыт (строка закомментирована)' || echo 'открыт')"
|
||||
[[ -f $KL_UFW6_RULES ]] && printf ' ufw before6.rules: echo-request %s\n' "$(grep -qE '^# -A ufw6-before-input' "$KL_UFW6_RULES" && echo 'закрыт' || echo 'открыт')"
|
||||
fi
|
||||
printf ' sysctl icmp_echo_ignore_all=%s\n' "$(sysctl -n net.ipv4.icmp_echo_ignore_all 2>/dev/null || echo '?')"
|
||||
return 0 ;;
|
||||
off | on) ;;
|
||||
*) kl_die "kit local ping off|on|status"; return 1 ;;
|
||||
esac
|
||||
kl_need_root || return 1
|
||||
|
||||
if kl_ufw_active; then
|
||||
kl_backup "$KL_UFW_RULES"; kl_backup "$KL_UFW6_RULES"
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) %s в %s и before6.rules правило «icmp echo-request», затем ufw reload\n' \
|
||||
"$([[ $want == off ]] && echo 'закомментировал бы' || echo 'вернул бы')" "$KL_UFW_RULES"
|
||||
return 0
|
||||
fi
|
||||
local f
|
||||
for f in "$KL_UFW_RULES" "$KL_UFW6_RULES"; do
|
||||
[[ -f $f ]] || continue
|
||||
if [[ $want == off ]]; then
|
||||
sed -i -E 's|^(-A ufw6?-before-input -p icmp6? --icmp6?-type echo-request -j ACCEPT)|# \1 # kit local: закрыт|' "$f"
|
||||
else
|
||||
sed -i -E 's|^# (-A ufw6?-before-input -p icmp6? --icmp6?-type echo-request -j ACCEPT).*$|\1|' "$f"
|
||||
fi
|
||||
done
|
||||
ufw reload >/dev/null 2>&1 || kl_warn "ufw reload не прошёл — проверьте: ufw status"
|
||||
rm -f "$KL_SYSCTL_DROPIN"
|
||||
if [[ $want == off ]]; then
|
||||
kl_ok "сервер больше не отвечает на ping"
|
||||
kl_warn "ICMP-мониторинг этого сервера из дома работать перестанет (проба «ping» даст сбой)"
|
||||
kl_warn "вернуть: kit local ping on"
|
||||
else
|
||||
kl_ok "сервер снова отвечает на ping"
|
||||
fi
|
||||
return 0
|
||||
fi
|
||||
|
||||
kl_warn "ufw не активен — использую общесистемный запрет ICMP echo (это шире: глушит ping и для внутренних интерфейсов)"
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) записал бы %s с icmp_echo_ignore_all=%s\n' "$KL_SYSCTL_DROPIN" "$([[ $want == off ]] && echo 1 || echo 0)"
|
||||
return 0
|
||||
fi
|
||||
printf 'net.ipv4.icmp_echo_ignore_all = %s\n' "$([[ $want == off ]] && echo 1 || echo 0)" >"$KL_SYSCTL_DROPIN"
|
||||
sysctl -p "$KL_SYSCTL_DROPIN" >/dev/null 2>&1
|
||||
kl_ok "готово (файл $KL_SYSCTL_DROPIN); вернуть: kit local ping on"
|
||||
return 0
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ пароль
|
||||
|
||||
kit_local_passwd() {
|
||||
kl_args "$@"
|
||||
local user=${KL_REST[0]:-root} gen=no
|
||||
[[ $user == --generate ]] && { user=root; gen=yes; }
|
||||
[[ ${KL_REST[1]:-} == --generate ]] && gen=yes
|
||||
kl_need_root || return 1
|
||||
id "$user" >/dev/null 2>&1 || { kl_die "нет пользователя $user"; return 1; }
|
||||
|
||||
if [[ $gen == yes ]]; then
|
||||
if kl_dry; then printf ' (dry-run) сгенерировал бы пароль пользователю %s и показал бы один раз\n' "$user"; return 0; fi
|
||||
local pw; pw=$(openssl rand -base64 24 | tr -d '/+=' | cut -c1-20)
|
||||
printf '%s:%s\n' "$user" "$pw" | chpasswd || { kl_die "chpasswd не сработал"; return 1; }
|
||||
cat <<EOF
|
||||
|
||||
Пароль пользователя $user сменён. Показываю ОДИН раз:
|
||||
|
||||
$pw
|
||||
|
||||
Перенесите в CREDENTIALS.md и очистите прокрутку терминала (clear).
|
||||
EOF
|
||||
else
|
||||
kl_say "меняю пароль $user — спросит дважды, в историю команд не попадёт"
|
||||
if kl_dry; then printf ' (dry-run) запустил бы passwd %s\n' "$user"; return 0; fi
|
||||
passwd "$user" || return 1
|
||||
fi
|
||||
kl_dry || passwd -S "$user" 2>/dev/null
|
||||
sshd -T 2>/dev/null | grep -qi '^passwordauthentication no' \
|
||||
&& kl_warn "в sshd вход по паролю выключен — пароль пригодится только для консоли хостера"
|
||||
return 0
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ автообновления безопасности
|
||||
|
||||
kit_local_upgrades_status() {
|
||||
printf 'автообновления безопасности: %s\n' "$([[ -f /etc/apt/apt.conf.d/20auto-upgrades ]] && echo включены || echo выключены)"
|
||||
kl_have systemctl && printf ' служба unattended-upgrades: %s\n' "$(systemctl is-active unattended-upgrades 2>/dev/null || echo 'нет')"
|
||||
[[ -f /etc/apt/apt.conf.d/20auto-upgrades ]] && sed -n '1,4p' /etc/apt/apt.conf.d/20auto-upgrades | sed 's/^/ /'
|
||||
if [[ -f /var/log/unattended-upgrades/unattended-upgrades.log ]]; then
|
||||
printf ' последние запуски:\n'
|
||||
tail -n 3 /var/log/unattended-upgrades/unattended-upgrades.log | cut -c1-110 | sed 's/^/ /'
|
||||
fi
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_upgrades() {
|
||||
kl_args "$@"
|
||||
local want=${KL_REST[0]:-status}
|
||||
case $want in
|
||||
status | "") kit_local_upgrades_status; return 0 ;;
|
||||
on | off) ;;
|
||||
*) kl_die "kit local upgrades on|off|status"; return 1 ;;
|
||||
esac
|
||||
kl_need_root || return 1
|
||||
|
||||
if [[ $want == off ]]; then
|
||||
kl_say "выключаю автообновления безопасности"
|
||||
kl_run rm -f /etc/apt/apt.conf.d/20auto-upgrades /etc/apt/apt.conf.d/52-kit-local-upgrades
|
||||
kl_run systemctl disable --now unattended-upgrades
|
||||
kl_ok "готово (пакет оставлен)"
|
||||
return 0
|
||||
fi
|
||||
|
||||
kl_say "включаю автообновления безопасности (только security, без перезагрузки)"
|
||||
if ! kl_dry && ! dpkg -s unattended-upgrades >/dev/null 2>&1; then
|
||||
DEBIAN_FRONTEND=noninteractive apt-get install -y -qq unattended-upgrades \
|
||||
|| { kl_die "пакет не поставился"; return 1; }
|
||||
fi
|
||||
if kl_dry; then
|
||||
printf ' (dry-run) записал бы /etc/apt/apt.conf.d/20auto-upgrades и 52-kit-local-upgrades, включил бы службу\n'
|
||||
return 0
|
||||
fi
|
||||
cat >/etc/apt/apt.conf.d/20auto-upgrades <<'EOF'
|
||||
APT::Periodic::Update-Package-Lists "1";
|
||||
APT::Periodic::Unattended-Upgrade "1";
|
||||
APT::Periodic::Download-Upgradeable-Packages "1";
|
||||
APT::Periodic::AutocleanInterval "7";
|
||||
EOF
|
||||
cat >/etc/apt/apt.conf.d/52-kit-local-upgrades <<'EOF'
|
||||
// 3X-UI KIT (форк): только обновления безопасности, никакой самовольной перезагрузки.
|
||||
Unattended-Upgrade::Automatic-Reboot "false";
|
||||
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
|
||||
EOF
|
||||
systemctl enable --now unattended-upgrades >/dev/null 2>&1 || kl_warn "служба не включилась — проверьте: systemctl status unattended-upgrades"
|
||||
kl_ok "включено: обновления безопасности ставятся сами"
|
||||
kl_ok "панель и ядро это не затрагивает — они ставятся не из apt, а из своих релизов"
|
||||
kl_warn "обновление ядра применится только после перезагрузки, сам сервер не перезагружается"
|
||||
return 0
|
||||
}
|
||||
|
||||
# ------------------------------------------------------------------ сводка
|
||||
|
||||
kit_local_hardening() {
|
||||
kl_args "$@"
|
||||
local ports; ports=$(kl_ssh_ports)
|
||||
kl_step "Защита сервера — состояние"
|
||||
printf 'порты SSH: %s\n' "${ports:-?}$(kl_ssh_socket_active && echo ' — через systemd ssh.socket')"
|
||||
printf 'ответ на ping: %s\n' "$(kl_ping_state)"
|
||||
printf 'ufw: %s\n' "$(kl_ufw_active && echo 'активен' || echo 'не активен')"
|
||||
kl_ufw_active && printf 'открытые порты: %s\n' "$(ufw status 2>/dev/null | awk '$2 == "ALLOW" {printf "%s ", $1}')"
|
||||
printf 'автообновления: %s\n' "$([[ -f /etc/apt/apt.conf.d/20auto-upgrades ]] && echo включены || echo выключены)"
|
||||
printf 'вход по паролю в sshd: %s\n' "$(sshd -T 2>/dev/null | awk '/^passwordauthentication/ {print $2}' || echo '?')"
|
||||
printf 'смена пароля root: %s\n' "$(chage -l root 2>/dev/null | awk -F': ' '/Last password change/ {print $2}')"
|
||||
printf 'продление сертификата: %s\n' "$(crontab -l 2>/dev/null | grep -c acme) задач acme в cron"
|
||||
|
||||
cat <<'EOF'
|
||||
|
||||
Чего здесь НЕТ и почему (в отличие от vps-setup):
|
||||
* apt full-upgrade — тянет систему вперёд и может сломать закреплённые панель и ядро;
|
||||
вместо него включены обновления безопасности;
|
||||
* автоматическая перезагрузка после правок — сервер не должен вставать без вашего решения;
|
||||
* общесистемный icmp_echo_ignore_all — правило ufw видно в `ufw status` и отменяется одной
|
||||
командой, не глушит диагностику внутренних интерфейсов.
|
||||
|
||||
Что включить при желании:
|
||||
kit local ssh 2222 добавить порт SSH
|
||||
kit local ping off не отвечать на ping
|
||||
kit local upgrades on обновления безопасности
|
||||
kit local passwd --generate сменить пароль root
|
||||
EOF
|
||||
return 0
|
||||
}
|
||||
|
||||
kit_local_cmd() {
|
||||
case ${1:-help} in
|
||||
help | -h | --help) kit_local_help ;;
|
||||
version | -v) kit_local_version ;;
|
||||
channel) kit_local_channel ;;
|
||||
seams) kit_local_seams ;;
|
||||
masking | mask) kit_local_masking ;;
|
||||
ssh | ssh-port) shift; kit_local_ssh "$@" ;;
|
||||
ping | icmp) shift; kit_local_ping "$@" ;;
|
||||
passwd | pass) shift; kit_local_passwd "$@" ;;
|
||||
upgrades | auto) shift; kit_local_upgrades "$@" ;;
|
||||
hardening | hard) shift; kit_local_hardening "$@" ;;
|
||||
*)
|
||||
printf 'Неизвестная команда форка: %s\n' "$1" >&2
|
||||
kit_local_help >&2
|
||||
return 2
|
||||
;;
|
||||
esac
|
||||
}
|
||||
|
||||
# Точка входа: вызывается из kit.sh с аргументами командной строки.
|
||||
# Если команда не наша — возвращаем 0, и kit работает ровно как раньше.
|
||||
kit_local_dispatch() {
|
||||
case ${1:-} in
|
||||
local)
|
||||
shift
|
||||
kit_local_cmd "$@"
|
||||
exit $?
|
||||
;;
|
||||
*) return 0 ;;
|
||||
esac
|
||||
}
|
||||
+17
-7
@@ -12,10 +12,17 @@
|
||||
set -Eeuo pipefail
|
||||
export LC_ALL=C.UTF-8 # ширина колонок по символам, а не байтам
|
||||
|
||||
KIT_VERSION="1.2"
|
||||
KIT_RAW="https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/main"
|
||||
KIT_VERSION="1.2.4"
|
||||
KIT_RAW="https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main"
|
||||
# Файлы новой версии берём из её тега, а не из меняющейся ветки main.
|
||||
kit_ref_raw() { echo "https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/v$1"; }
|
||||
kit_ref_raw() { echo "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/tag/v$1"; }
|
||||
|
||||
# --- 3X-UI_KIT (форк hacker07): локальные команды и хуки ---
|
||||
# Подключаем scripts/kit-local.sh, если он установлен. Наш файл: правки автора его не касаются.
|
||||
# Все команды форка — под «kit local …» (см. kit local help).
|
||||
KIT_LOCAL_LIB="${KIT_LOCAL_LIB:-/usr/local/lib/kit/kit-local.sh}"
|
||||
if [[ -r $KIT_LOCAL_LIB ]]; then . "$KIT_LOCAL_LIB"; kit_local_dispatch "$@"; fi
|
||||
|
||||
|
||||
XUI_ENV=/etc/x-ui/install-result.env
|
||||
KIT_ENV=/etc/kit/kit.env
|
||||
@@ -454,8 +461,8 @@ cmd_del() {
|
||||
# есть только у автора, поэтому подменить обновление, взломав один GitHub, не выйдет.
|
||||
# Новый ключ приходит только в релизе, подписанном старым.
|
||||
KIT_SIGNERS=(
|
||||
# SHA256:VDuGgJ8dOeCNXB4nBZf3+kRlWthw3+vh8rfMxzMSRIM (itsnotkubrick, 2026-09-30)
|
||||
"ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGrTGCDhhnm8XO1ekpPJuSWRVCJiFiupEspfQxcbEBmz 3X-UI KIT releases"
|
||||
# Ключ подписи форка (владелец: hacker07). Закрытая часть — только на рабочей станции.
|
||||
"ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKM0Sfn/UQeqjvUvY9wVgg7QtG1RR2pEUkqrUD5Yy6EF 3X-UI KIT fork releases (hacker07)"
|
||||
)
|
||||
KIT_SIG_NS="3x-ui-kit-release"
|
||||
KIT_SIG_ID="releases@3x-ui-kit"
|
||||
@@ -498,7 +505,7 @@ cmd_version() {
|
||||
|
||||
# Что нового в версии $1 – из CHANGELOG.md, без разметки.
|
||||
changelog_of() {
|
||||
curl -fsS -m 5 "$KIT_RAW/CHANGELOG.md" 2>/dev/null | awk -v v="## v$1" '
|
||||
{ curl -fsS -m 5 "$KIT_RAW/CHANGELOG.md" 2>/dev/null; curl -fsS -m 5 "$KIT_RAW/FORK-CHANGELOG.md" 2>/dev/null; } | awk -v v="## v$1" '
|
||||
index($0, v) == 1 { on = 1; t = substr($0, length(v) + 1); sub(/^[: ]+/, "", t); if (t != "") print t; next } on && /^## / { exit } on' | sed -E 's/ ?Спасибо .*$//; s/\[([^]]*)\]\([^)]*\)/\1/g; s/\*\*//g; s/`//g' | grep -v '^[[:space:]]*$' | head -40 || true
|
||||
}
|
||||
|
||||
@@ -519,7 +526,7 @@ fetch_release() { # версия каталог
|
||||
fi
|
||||
# Версия записана внутри подписанного файла: старый подписанный релиз под видом нового не пройдёт.
|
||||
grep -qx "# 3X-UI KIT $v" "$d/SHA256SUMS" || { warn "Подписанный релиз не той версии – ничего не ставлю."; return 1; }
|
||||
for f in scripts/kit.sh scripts/kit-sub.py; do
|
||||
for f in scripts/kit.sh scripts/kit-sub.py scripts/kit-local.sh; do
|
||||
sum=$(awk -v f="$f" '$2 == f {print $1}' "$d/SHA256SUMS")
|
||||
[[ $sum =~ ^[0-9a-f]{64}$ ]] || { warn "В подписанном списке нет $f."; return 1; }
|
||||
curl -fsSL --retry 3 -o "$d/${f##*/}" "$raw/$f" || { warn "Не удалось скачать $f."; return 1; }
|
||||
@@ -715,6 +722,9 @@ cmd_update() {
|
||||
|
||||
# Через rename: bash дочитывает текущий kit по ходу работы, его файл трогать нельзя.
|
||||
install -m 755 "$tmp/kit.sh" /usr/local/bin/kit.new && mv -f /usr/local/bin/kit.new /usr/local/bin/kit
|
||||
# Форк: ставим наши локальные дополнения из того же подписанного релиза.
|
||||
install -d -m 755 /usr/local/lib/kit
|
||||
install -m 644 "$tmp/kit-local.sh" /usr/local/lib/kit/kit-local.sh
|
||||
# Новые пути подписки (Clash и JSON) подключает уже новая версия kit.
|
||||
/usr/local/bin/kit __subextra >/dev/null 2>&1 || warn "Дополнительные пути подписки не подключились: kit update --force"
|
||||
echo
|
||||
|
||||
@@ -0,0 +1 @@
|
||||
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKM0Sfn/UQeqjvUvY9wVgg7QtG1RR2pEUkqrUD5Yy6EF 3X-UI KIT fork releases (hacker07)
|
||||
@@ -0,0 +1,93 @@
|
||||
#!/usr/bin/env bash
|
||||
# 3X-UI_KIT (форк hacker07): подтянуть обновление автора в ветку dev и прогнать проверки.
|
||||
#
|
||||
# Ничего не публикует и ничего не обновляет на серверах: после проверок печатает, что делать
|
||||
# дальше (версия, подпись, тег, push). Запускать с рабочей станции, по шагам.
|
||||
#
|
||||
# bash tools/fork-sync.sh # подтянуть автора и проверить
|
||||
# bash tools/fork-sync.sh --apply # ещё и вписать VERSION/KIT_VERSION (номер версии)
|
||||
#
|
||||
# Логика версии: у автора 1.3 → наш номер 1.3.1; если база та же, а мы что-то доработали —
|
||||
# 1.3.2. Номер обязан строго расти: kit у серверов не принимает откат назад.
|
||||
set -Eeuo pipefail
|
||||
|
||||
cd "$(dirname "${BASH_SOURCE[0]}")/.."
|
||||
|
||||
PY=${PY:-$(command -v python3 || command -v python || true)}
|
||||
[[ -n $PY ]] || { echo "! нужен python3" >&2; exit 1; }
|
||||
|
||||
apply=no
|
||||
case ${1:-} in --apply) apply=yes ;; "") ;; *) echo "Использование: bash tools/fork-sync.sh [--apply]" >&2; exit 1 ;; esac
|
||||
|
||||
say() { printf '\n\033[1m==> %s\033[0m\n' "$*"; }
|
||||
die() { printf '! %s\n' "$*" >&2; exit 1; }
|
||||
|
||||
[[ -z $(git status --porcelain) ]] || die "в рабочей копии есть незакоммиченные правки — сначала закоммить или убери их"
|
||||
|
||||
say "Забираю ветку автора"
|
||||
git fetch --prune upstream 'refs/heads/main:refs/heads/upstream'
|
||||
author_version=$(git show upstream:VERSION | tr -d '[:space:]')
|
||||
echo "у автора: $author_version"
|
||||
|
||||
say "Переношу наши правки на свежую ветку автора"
|
||||
git checkout -q dev
|
||||
if ! git rebase upstream; then
|
||||
echo
|
||||
echo "Конфликт при переносе. Это ожидаемо, если автор переписал те же строки."
|
||||
echo " 1) разбери конфликт: git status, правь файлы, git add, git rebase --continue"
|
||||
echo " 2) если проще собрать швы заново: git rebase --abort, затем"
|
||||
echo " git checkout -B dev upstream && $PY tools/fork_apply.py && git commit -am 'fork: швы'"
|
||||
die "остановился, ничего не публикую"
|
||||
fi
|
||||
|
||||
say "Проверяю, что наши швы ещё на месте"
|
||||
"$PY" tools/fork_apply.py --check
|
||||
|
||||
say "Проверки кода (как на стороне сервера и в CI автора)"
|
||||
for f in scripts/*.sh tools/*.sh; do bash -n "$f" || die "$f: синтаксис"; done
|
||||
echo " ✓ bash -n"
|
||||
"$PY" -m py_compile scripts/kit-sub.py && echo " ✓ python-скрипты собираются"
|
||||
if grep -qU $'\r' scripts/*.sh tools/*.sh VERSION 2>/dev/null; then
|
||||
die "в файлах есть CRLF — сервер сверяет SHA256, и его сумма не сойдётся. Проверь core.autocrlf (нужен false)"
|
||||
fi
|
||||
echo " ✓ переводы строк LF"
|
||||
if command -v shellcheck >/dev/null; then
|
||||
shellcheck -S warning -e SC1090,SC2034,SC2211 scripts/*.sh tools/release.sh tools/fork-sync.sh && echo " ✓ shellcheck"
|
||||
else
|
||||
echo " – shellcheck не установлен, пропускаю"
|
||||
fi
|
||||
if command -v node >/dev/null; then
|
||||
node --test tools/test/*.test.js >/dev/null && echo " ✓ node --test"
|
||||
else
|
||||
echo " – node нет, пропускаю тесты генераторов"
|
||||
fi
|
||||
"$PY" tools/test/restore_env_test.py >/dev/null && "$PY" tools/test/restore_archive_test.py >/dev/null \
|
||||
&& echo " ✓ тесты копии (--restore)"
|
||||
|
||||
say "Готово: наши правки лежат на свежем коде автора"
|
||||
git --no-pager log --oneline upstream..dev
|
||||
echo
|
||||
echo "Версия автора: $author_version · наша сейчас: $(tr -d '[:space:]' <VERSION)"
|
||||
|
||||
if [[ $apply == yes ]]; then
|
||||
base=${author_version%%.*}
|
||||
cur=$(tr -d '[:space:]' <VERSION)
|
||||
if [[ ${cur%%.*} == "$base" ]]; then
|
||||
new="$base.$(( ${cur##*.} + 1 ))"
|
||||
else
|
||||
new="$author_version.1"
|
||||
fi
|
||||
printf '%s\n' "$new" >VERSION
|
||||
"$PY" tools/fork_apply.py >/dev/null
|
||||
echo "Версия сборки → $new (VERSION и KIT_VERSION в трёх скриптах)"
|
||||
fi
|
||||
|
||||
cat <<'NEXT'
|
||||
|
||||
Дальше вручную, по шагам:
|
||||
1) подпись и релиз: bash tools/release.sh ~/.ssh/3x-ui-kit-fork/release_key
|
||||
2) коммит и тег: git add -A && git commit -m "Релиз v$(cat VERSION): швы форка + подпись"
|
||||
git tag v$(cat VERSION)
|
||||
3) публикация: git push origin dev v$(cat VERSION) upstream
|
||||
4) на сервере: kit update --force && kit check
|
||||
NEXT
|
||||
@@ -0,0 +1,243 @@
|
||||
#!/usr/bin/env python3
|
||||
"""3X-UI_KIT (форк hacker07): накатывает наши «швы» на чистый код автора.
|
||||
|
||||
Это источник правды для форка: единственное место, где описано, ЧТО именно мы правим в
|
||||
файлах автора. Всё, что мы дописываем по существу, живёт в scripts/kit-local.sh — файле,
|
||||
который автор не трогает, поэтому обновления автора его не ломают.
|
||||
|
||||
Правила:
|
||||
* каждый якорь обязан найтись РОВНО один раз, иначе — стоп (автор изменил код, правку
|
||||
надо пересмотреть руками);
|
||||
* при любой ошибке ничего не пишется наполовину: сначала прогоняй --check;
|
||||
* открытый ключ подписи берётся из tools/fork-signer.pub (закрытая часть — только на
|
||||
рабочей станции владельца, в репозиторий не попадает).
|
||||
|
||||
Использование:
|
||||
python3 tools/fork_apply.py --check [корень-репозитория]
|
||||
python3 tools/fork_apply.py [корень-репозитория]
|
||||
"""
|
||||
|
||||
import os
|
||||
import pathlib
|
||||
import re
|
||||
import sys
|
||||
|
||||
GITEA = os.environ.get("FORK_GITEA_BASE", "https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS")
|
||||
SIGNER_FILE = os.environ.get("FORK_SIGNER_PUB", "tools/fork-signer.pub")
|
||||
|
||||
HOOK = """
|
||||
# --- 3X-UI_KIT (форк hacker07): локальные команды и хуки ---
|
||||
# Подключаем scripts/kit-local.sh, если он установлен. Наш файл: правки автора его не касаются.
|
||||
# Все команды форка — под «kit local …» (см. kit local help).
|
||||
KIT_LOCAL_LIB="${KIT_LOCAL_LIB:-/usr/local/lib/kit/kit-local.sh}"
|
||||
if [[ -r $KIT_LOCAL_LIB ]]; then . "$KIT_LOCAL_LIB"; kit_local_dispatch "$@"; fi
|
||||
"""
|
||||
|
||||
|
||||
def die(msg):
|
||||
print("! " + msg, file=sys.stderr)
|
||||
sys.exit(1)
|
||||
|
||||
|
||||
def ok(msg):
|
||||
print("==> " + msg)
|
||||
|
||||
|
||||
def count(text, anchor, regex):
|
||||
if regex:
|
||||
return len(re.findall(anchor, text, re.MULTILINE))
|
||||
return text.count(anchor)
|
||||
|
||||
|
||||
def main():
|
||||
args = [a for a in sys.argv[1:]]
|
||||
check = False
|
||||
if "--check" in args:
|
||||
check = True
|
||||
args.remove("--check")
|
||||
root = pathlib.Path(args[0] if args else ".").resolve()
|
||||
if not (root / "VERSION").exists():
|
||||
die("%s не похож на репозиторий 3X-UI KIT (нет VERSION)" % root)
|
||||
os.chdir(root)
|
||||
|
||||
version = (root / "VERSION").read_text(encoding="utf-8").strip()
|
||||
if not re.fullmatch(r"[0-9]+(\.[0-9]+)+", version):
|
||||
die("VERSION=%r: нужен числовой номер вида 1.2.1" % version)
|
||||
|
||||
signer_path = pathlib.Path(SIGNER_FILE)
|
||||
if not signer_path.exists():
|
||||
die(
|
||||
"нет %s — сначала создай ключ подписи:\n"
|
||||
" ssh-keygen -t ed25519 -C \"3X-UI KIT fork releases\" -f ~/.ssh/3x-ui-kit-fork/release_key\n"
|
||||
" mkdir -p tools && ssh-keygen -y -f ~/.ssh/3x-ui-kit-fork/release_key > tools/fork-signer.pub"
|
||||
% SIGNER_FILE
|
||||
)
|
||||
pub = ""
|
||||
for line in signer_path.read_text(encoding="utf-8").splitlines():
|
||||
line = line.strip()
|
||||
if line.startswith(("ssh-ed25519 ", "ssh-rsa ")):
|
||||
pub = line
|
||||
break
|
||||
if not pub:
|
||||
die("%s: не нашёл строку открытого ключа (ssh-ed25519 …)" % signer_path)
|
||||
|
||||
version_re = r'^KIT_VERSION="[0-9.]+"$'
|
||||
edits = [
|
||||
# --- scripts/kit.sh -------------------------------------------------
|
||||
("scripts/kit.sh", version_re, True, 'KIT_VERSION="%s"' % version, "версия сборки форка"),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
'KIT_RAW="https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/main"',
|
||||
False,
|
||||
'KIT_RAW="%s/raw/branch/main"' % GITEA,
|
||||
"источник VERSION и подсказки об обновлении",
|
||||
),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
'kit_ref_raw() { echo "https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/v$1"; }',
|
||||
False,
|
||||
'kit_ref_raw() { echo "%s/raw/tag/v$1"; }' % GITEA + "\n" + HOOK,
|
||||
"файлы релиза из нашего тега + подключение kit-local.sh",
|
||||
),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
r' # SHA256:[^\n]*\n "ssh-ed25519 [^\n]*"\n',
|
||||
True,
|
||||
' # Ключ подписи форка (владелец: hacker07). Закрытая часть — только на рабочей станции.\n'
|
||||
' "%s"\n' % pub,
|
||||
"ключ проверки подписи релизов",
|
||||
),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
"for f in scripts/kit.sh scripts/kit-sub.py; do",
|
||||
False,
|
||||
"for f in scripts/kit.sh scripts/kit-sub.py scripts/kit-local.sh; do",
|
||||
"наш файл в списке проверяемых и скачиваемых",
|
||||
),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
' install -m 755 "$tmp/kit.sh" /usr/local/bin/kit.new && mv -f /usr/local/bin/kit.new /usr/local/bin/kit',
|
||||
False,
|
||||
' install -m 755 "$tmp/kit.sh" /usr/local/bin/kit.new && mv -f /usr/local/bin/kit.new /usr/local/bin/kit\n'
|
||||
" # Форк: ставим наши локальные дополнения из того же подписанного релиза.\n"
|
||||
" install -d -m 755 /usr/local/lib/kit\n"
|
||||
' install -m 644 "$tmp/kit-local.sh" /usr/local/lib/kit/kit-local.sh',
|
||||
"установка kit-local.sh при обновлении",
|
||||
),
|
||||
# --- scripts/3x-ui.sh -----------------------------------------------
|
||||
("scripts/3x-ui.sh", version_re, True, 'KIT_VERSION="%s"' % version, "версия сборки форка"),
|
||||
(
|
||||
"scripts/3x-ui.sh",
|
||||
'KIT_RAW="https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/v$KIT_VERSION"',
|
||||
False,
|
||||
'KIT_RAW="%s/raw/tag/v$KIT_VERSION"' % GITEA,
|
||||
"запасная загрузка kit из нашего релиза",
|
||||
),
|
||||
(
|
||||
"scripts/3x-ui.sh",
|
||||
'KIT_CLI_URL="$KIT_RAW/scripts/kit.sh"',
|
||||
False,
|
||||
'KIT_CLI_URL="$KIT_RAW/scripts/kit.sh"\nKIT_LOCAL_URL="$KIT_RAW/scripts/kit-local.sh"',
|
||||
"адрес нашего файла для установщика",
|
||||
),
|
||||
(
|
||||
"scripts/3x-ui.sh",
|
||||
'KIT_INSTALL_CMD="bash <(curl -fsSL https://raw.githubusercontent.com/itsnotkubrick/3X-UI_KIT/main/scripts/3x-ui.sh)"',
|
||||
False,
|
||||
'KIT_INSTALL_CMD="bash <(curl -fsSL %s/raw/branch/main/scripts/3x-ui.sh)"' % GITEA,
|
||||
"команда установки, которую показывает панель",
|
||||
),
|
||||
(
|
||||
"scripts/3x-ui.sh",
|
||||
' bash -n /usr/local/bin/kit || die "Команда kit скачалась повреждённой"',
|
||||
False,
|
||||
" # Форк: ставим наши локальные дополнения (см. scripts/kit-local.sh).\n"
|
||||
" install -d -m 755 /usr/local/lib/kit\n"
|
||||
' if [[ -n $src && -f $d/kit-local.sh ]]; then\n'
|
||||
' install -m 644 "$d/kit-local.sh" /usr/local/lib/kit/kit-local.sh\n'
|
||||
" else\n"
|
||||
' curl -fsSL --retry 3 -o /usr/local/lib/kit/kit-local.sh "$KIT_LOCAL_URL" \\\n'
|
||||
' || warn "Локальные дополнения kit не скачались: kit local не будет работать"\n'
|
||||
" fi\n"
|
||||
' bash -n /usr/local/bin/kit || die "Команда kit скачалась повреждённой"',
|
||||
"установка kit-local.sh установщиком",
|
||||
),
|
||||
# --- scripts/hysteria2.sh -------------------------------------------
|
||||
("scripts/hysteria2.sh", version_re, True, 'KIT_VERSION="%s"' % version, "версия сборки форка"),
|
||||
# --- tools/release.sh -----------------------------------------------
|
||||
(
|
||||
"tools/release.sh",
|
||||
"FILES=(scripts/3x-ui.sh scripts/hysteria2.sh scripts/kit.sh scripts/kit-sub.py VERSION)",
|
||||
False,
|
||||
"FILES=(scripts/3x-ui.sh scripts/hysteria2.sh scripts/kit.sh scripts/kit-sub.py scripts/kit-local.sh scripts/3x-ui-local.sh VERSION)",
|
||||
"наш файл в подписанном списке релиза",
|
||||
),
|
||||
# --- свои записи о версии (наш файл, авторский CHANGELOG не трогаем) ----
|
||||
(
|
||||
"tools/release.sh",
|
||||
'grep -q "^## v$v" CHANGELOG.md || die "В CHANGELOG.md нет раздела ## v$v"',
|
||||
False,
|
||||
'(grep -q "^## v$v" CHANGELOG.md || grep -q "^## v$v" FORK-CHANGELOG.md)'
|
||||
' || die "Нет раздела ## v$v ни в CHANGELOG.md, ни в FORK-CHANGELOG.md (форк ведёт свои записи в FORK-CHANGELOG.md)"',
|
||||
"раздел версии форка — в нашем файле",
|
||||
),
|
||||
(
|
||||
"tools/release.sh",
|
||||
'[[ -z $(git status --porcelain -- "${FILES[@]}" CHANGELOG.md) ]]',
|
||||
False,
|
||||
'[[ -z $(git status --porcelain -- "${FILES[@]}" CHANGELOG.md FORK-CHANGELOG.md) ]]',
|
||||
"наш файл записей тоже должен быть закоммичен",
|
||||
),
|
||||
(
|
||||
"scripts/kit.sh",
|
||||
' curl -fsS -m 5 "$KIT_RAW/CHANGELOG.md" 2>/dev/null | awk -v v="## v$1" \'',
|
||||
False,
|
||||
' { curl -fsS -m 5 "$KIT_RAW/CHANGELOG.md" 2>/dev/null; curl -fsS -m 5 "$KIT_RAW/FORK-CHANGELOG.md" 2>/dev/null; } | awk -v v="## v$1" \'',
|
||||
"«что нового» ищет и в наших записях",
|
||||
),
|
||||
]
|
||||
|
||||
bad = 0
|
||||
for path, anchor, is_re, new, why in edits:
|
||||
p = pathlib.Path(path)
|
||||
if not p.exists():
|
||||
print("✗ %s: файла нет" % path)
|
||||
bad += 1
|
||||
continue
|
||||
text = p.read_text(encoding="utf-8", newline="")
|
||||
if check:
|
||||
# --check смотрит на готовое дерево dev: наш шов обязан быть на месте и ровно один раз
|
||||
n = text.count(new)
|
||||
what, shown = "наш шов", new
|
||||
else:
|
||||
# применение — только на чистое дерево автора: якорь обязан найтись ровно один раз
|
||||
n = count(text, anchor, is_re)
|
||||
what, shown = "якорь автора", anchor
|
||||
short = shown if len(shown) <= 54 else shown[:51] + "…"
|
||||
short = short.replace("\n", "⏎")
|
||||
if n != 1:
|
||||
print("✗ %-20s %-56s %s найден %d раз (%s)" % (path, short, what, n, why))
|
||||
bad += 1
|
||||
continue
|
||||
if check:
|
||||
print("✓ %-20s %-56s (%s)" % (path, short, why))
|
||||
continue
|
||||
if is_re:
|
||||
text = re.sub(anchor, new, text, count=1, flags=re.MULTILINE)
|
||||
else:
|
||||
text = text.replace(anchor, new, 1)
|
||||
p.write_text(text, encoding="utf-8", newline="")
|
||||
print("✓ %-20s %-56s (%s)" % (path, short, why))
|
||||
|
||||
if bad:
|
||||
if check:
|
||||
die("якорей не найдено: %d — автор изменил код, пересмотри правки в tools/fork_apply.py" % bad)
|
||||
die("якорей не найдено: %d — правки не применены" % bad)
|
||||
if check:
|
||||
ok("все якоря на месте (версия сборки %s)" % version)
|
||||
else:
|
||||
ok("швы накатаны, версия сборки %s" % version)
|
||||
|
||||
|
||||
if __name__ == "__main__":
|
||||
main()
|
||||
+3
-3
@@ -19,17 +19,17 @@ key=${1:-$HOME/.ssh/3xui_kit_release}
|
||||
[[ -f $key ]] || die "Нет закрытого ключа $key. Создать: ssh-keygen -t ed25519 -C \"3X-UI KIT releases\" -f $key"
|
||||
NS="3x-ui-kit-release"
|
||||
ID="releases@3x-ui-kit"
|
||||
FILES=(scripts/3x-ui.sh scripts/hysteria2.sh scripts/kit.sh scripts/kit-sub.py VERSION)
|
||||
FILES=(scripts/3x-ui.sh scripts/hysteria2.sh scripts/kit.sh scripts/kit-sub.py scripts/kit-local.sh scripts/3x-ui-local.sh VERSION)
|
||||
|
||||
v=$(tr -d '[:space:]' <VERSION)
|
||||
[[ $v =~ ^[0-9]+(\.[0-9]+)+$ ]] || die "VERSION: $v"
|
||||
for f in scripts/3x-ui.sh scripts/hysteria2.sh scripts/kit.sh; do
|
||||
grep -qx "KIT_VERSION=\"$v\"" "$f" || die "$f: KIT_VERSION не $v"
|
||||
done
|
||||
grep -q "^## v$v" CHANGELOG.md || die "В CHANGELOG.md нет раздела ## v$v"
|
||||
(grep -q "^## v$v" CHANGELOG.md || grep -q "^## v$v" FORK-CHANGELOG.md) || die "Нет раздела ## v$v ни в CHANGELOG.md, ни в FORK-CHANGELOG.md (форк ведёт свои записи в FORK-CHANGELOG.md)"
|
||||
ok "Версия $v во всех скриптах и в CHANGELOG"
|
||||
|
||||
[[ -z $(git status --porcelain -- "${FILES[@]}" CHANGELOG.md) ]] || die "Есть незакоммиченные изменения в файлах релиза – сначала коммит."
|
||||
[[ -z $(git status --porcelain -- "${FILES[@]}" CHANGELOG.md FORK-CHANGELOG.md) ]] || die "Есть незакоммиченные изменения в файлах релиза – сначала коммит."
|
||||
|
||||
# Установщик 3X-UI: хеш в скрипте должен совпадать с тем, что сейчас лежит на GitHub.
|
||||
xv=$(sed -n 's/^XUI_VERSION="\(.*\)"/\1/p' scripts/3x-ui.sh)
|
||||
|
||||
Reference in New Issue
Block a user