598 lines
40 KiB
Bash
598 lines
40 KiB
Bash
#!/usr/bin/env bash
|
||
# 3X-UI_autoVPS (форк hacker07) — установка сервера одной командой из нашего канала.
|
||
#
|
||
# Что делает (по шагам):
|
||
# 1) проверяет сервер и наличие curl, ssh-keygen, openssl;
|
||
# 2) берёт из нашего Gitea релиз своей же версии, проверяет ПОДПИСЬ SHA256SUMS и SHA256 установщика;
|
||
# 3) запускает установщик автора (scripts/3x-ui.sh) — панель 3X-UI, протоколы, сайт-заглушка,
|
||
# маскировка, сертификат, подписка, ufw. Флаги установщика можно передавать как есть,
|
||
# а можно ничего не передавать — тогда он задаст вопросы сам (в том числе про домен);
|
||
# 4) спрашивает, какие протоколы ставить: невыбранные не создаются вообще — ни подключения в панели,
|
||
# ни записей в nginx, ни ссылок в подписке (за это отвечает флаг автора --protocols);
|
||
# 5) ставит сайт-заглушку: случайный правдоподобный ИТ-сайт из нашего набора (10 штук;
|
||
# --site N — конкретный, --no-site — не трогать авторскую страницу);
|
||
# 6) спрашивает и делает то, чего у автора нет: закрыть ответ на ping, включить обновления
|
||
# безопасности, перевести SSH на другой порт, сменить пароль root (поведение из StressOzz/vps-setup,
|
||
# но безопаснее);
|
||
# 7) в конце: kit fix (время и безопасные починки), kit check, kit local hardening;
|
||
# 8) последним — подписка, QR-код и ссылки по протоколам: то, что нужно сохранить.
|
||
#
|
||
# Запуск:
|
||
# # одна команда, дальше — вопросы:
|
||
# bash <(curl -fsSL https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS/raw/branch/main/scripts/3x-ui-local.sh)
|
||
# # или сразу с ответами, без вопросов:
|
||
# ... 3x-ui-local.sh --domain vpn.example.com
|
||
# ... 3x-ui-local.sh --sni dl.google.com --no-harden --ssh-port 2222
|
||
# # без вопросов, всё по умолчанию (для автоматизации):
|
||
# ... 3x-ui-local.sh --yes
|
||
#
|
||
# Флаги этого скрипта (остальные уходят установщику автора):
|
||
# --domain ДОМЕН, --sni САЙТ, --panel-on ip|domain, --host IP, --user ИМЯ, --port N, --restore ФАЙЛ
|
||
# --harden закрыть ping и включить автообновления, без вопросов
|
||
# --no-harden не трогать ping и автообновления
|
||
# --ssh-port N добавить порт SSH N (прежний порт продолжает работать)
|
||
# --yes ни о чём не спрашивать (ping закрою, автообновления включу, порт и пароль — нет)
|
||
# --no-time не запускать kit fix
|
||
# --no-check не запускать в конце kit check
|
||
# --clean убрать прошлую установку и поставить заново (SSH не трогает)
|
||
# --auto-sni не предлагать выбор сайта маскировки (иначе покажем меню по скану подсети)
|
||
# --verify-only только проверить релиз (подпись и SHA256) и выйти
|
||
# --dry-run показать план и ничего не делать
|
||
# -h | --help эта справка
|
||
#
|
||
# Наш файл: авторские релизы его не перезаписывают, а правки форка живут в scripts/kit-local.sh.
|
||
|
||
set -Eeuo pipefail
|
||
|
||
KIT_VERSION="1.2.23" # версия сборки форка; должна совпадать с VERSION релиза
|
||
GITEA="${KIT_FORK_BASE:-https://git.rukavishnikoff.ru/hacker07/3X-UI_autoVPS}"
|
||
NS="3x-ui-kit-release"
|
||
SIG_ID="releases@3x-ui-kit"
|
||
# Публичный ключ форка. Меняется только вместе с ключом подписи (тогда обновляется и здесь, и в kit).
|
||
SIGNER_PUB='ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKM0Sfn/UQeqjvUvY9wVgg7QtG1RR2pEUkqrUD5Yy6EF 3X-UI_autoVPS fork releases (hacker07)'
|
||
|
||
G=$'\e[32m'; Y=$'\e[33m'; R=$'\e[31m'; B=$'\e[1m'; D=$'\e[2m'; N=$'\e[0m'
|
||
[[ -t 1 ]] || { G=; Y=; R=; B=; D=; N=; }
|
||
say() { printf '%s\n' "${G}==>${N} $*"; }
|
||
warn() { printf '%s\n' "${Y}!${N} $*" >&2; }
|
||
die() { printf '%s\n' "${R}✗${N} $*" >&2; exit 1; }
|
||
|
||
usage() {
|
||
cat <<'EOF'
|
||
3X-UI_autoVPS (форк hacker07) — установка сервера одной командой из нашего канала.
|
||
|
||
bash <(curl -fsSL <наш Gitea>/raw/branch/main/scripts/3x-ui-local.sh) [флаги…]
|
||
|
||
Без флагов скрипт спрашивает: какие протоколы ставить (невыбранные не создаются вообще),
|
||
маскировку и домен — это вопросы установщика автора; затем про ответ на ping, автообновления,
|
||
второй порт SSH и пароль root — это наши вопросы.
|
||
|
||
Флаги, которые скрипт передаёт установщику автора как есть:
|
||
--domain vpn.example.com свой домен для маскировки (A-запись на этот сервер, свободный 80)
|
||
--sni сайт.com маскировка под чужой сайт
|
||
--panel-on domain | ip где открывать панель и подписку
|
||
--host IP, --user имя, --port N, --protocols …, --restore файл
|
||
|
||
Флаги этого скрипта:
|
||
--harden закрыть ping и включить автообновления, без вопросов
|
||
--no-harden не трогать ping и автообновления
|
||
--ssh-port N перевести SSH на порт N (прежний закроется после проверки входа)
|
||
--yes ни о чём не спрашивать (для автоматизации)
|
||
--site N|random|off сайт-заглушка: конкретный из нашего набора, случайный (по умолчанию) или
|
||
не трогать авторскую страницу (то же: --no-site)
|
||
--no-sub не показывать в конце подписку, доступ к панели и QR-код
|
||
--clean снести прошлую установку и поставить заново (если прошлый запуск оборвался)
|
||
--auto-sni не предлагать выбор сайта маскировки (автоподбор автора)
|
||
--no-time не запускать kit fix (время и безопасные починки)
|
||
--no-check не запускать в конце kit check
|
||
--verify-only только проверить релиз (подпись и SHA256) и выйти
|
||
--dry-run показать план и ничего не делать
|
||
-h | --help эта справка
|
||
EOF
|
||
}
|
||
|
||
# ------------------------------------------------------------------ разбор флагов
|
||
|
||
INSTALLER_ARGS=(); harden=auto; ssh_port=""; fix_time=yes; do_check=yes; dry=no; verify_only=no; assume_yes=no
|
||
site=random # заглушка: случайный сайт из нашего набора (off — не трогать)
|
||
show_sub=yes # в самом конце показать подписку, QR-код и ссылки
|
||
clean=no # --clean: убрать прошлую установку перед новой
|
||
pick_sni=yes # показывать меню выбора сайта маскировки по результатам скана
|
||
while (($#)); do
|
||
case $1 in
|
||
--harden) harden=yes ;;
|
||
--no-harden) harden=no ;;
|
||
--ssh-port) ssh_port=${2:-}; shift || die "--ssh-port: нужен номер порта" ;;
|
||
--ssh-port=*) ssh_port=${1#*=} ;;
|
||
--yes | -y) assume_yes=yes ;;
|
||
--site) site=${2:-random}; shift || die "--site: нужен номер сайта (1..10), random или off" ;;
|
||
--site=*) site=${1#*=} ;;
|
||
--no-site) site=off ;;
|
||
--no-sub) show_sub=no ;;
|
||
--clean) clean=yes ;;
|
||
--auto-sni) pick_sni=no ;;
|
||
--no-time) fix_time=no ;;
|
||
--no-check) do_check=no ;;
|
||
--verify-only) verify_only=yes ;;
|
||
--dry-run) dry=yes ;;
|
||
-h | --help) usage; exit 0 ;;
|
||
*) INSTALLER_ARGS+=("$1") ;;
|
||
esac
|
||
shift
|
||
done
|
||
[[ -z $ssh_port ]] || { [[ $ssh_port =~ ^[0-9]{1,5}$ ]] && ((10#$ssh_port >= 1024 && 10#$ssh_port <= 65535)); } \
|
||
|| die "--ssh-port: нужно число 1024–65535, например 2222"
|
||
if [[ $site != off && $site != random ]]; then
|
||
# 10 — число сайтов в наборе (scripts/kit-local.sh, KL_SITE_TITLES); добавите сайт — поднимите границу
|
||
[[ $site =~ ^[0-9]{1,2}$ ]] && ((10#$site >= 1 && 10#$site <= 10)) \
|
||
|| die "--site: random, off или номер 1..10 (список: kit local site --list)"
|
||
fi
|
||
|
||
# Если --protocols задан флагом — не спрашиваем и не дублируем его.
|
||
proto_flag=""
|
||
for ((_i = 0; _i < ${#INSTALLER_ARGS[@]}; _i++)); do
|
||
[[ ${INSTALLER_ARGS[_i]} == --protocols ]] && proto_flag=${INSTALLER_ARGS[_i + 1]:-all}
|
||
done
|
||
|
||
pre() { printf ' %s\n' "$*"; }
|
||
ASK_SRC=${KIT_ASK_SRC:-/dev/tty} # откуда читать ответы (в тестах подменяется файлом)
|
||
interactive() { [[ $assume_yes == no && -r $ASK_SRC ]]; }
|
||
|
||
if [[ $dry == yes ]]; then
|
||
say "план установки (--dry-run: ничего не делаю)"
|
||
pre "версия сборки: $KIT_VERSION"
|
||
pre "откуда: $GITEA (тег v$KIT_VERSION), подпись проверяется ключом форка"
|
||
[[ $clean == yes ]] && pre "прошлая установка: уберу её перед установкой (--clean), SSH не трону"
|
||
if [[ $pick_sni == yes ]]; then pre "маскировка: просканирую подсеть и предложу выбрать сайт (--auto-sni — автоподбор)"
|
||
else pre "маскировка: подберу сайт сам, без вопросов (--auto-sni)"; fi
|
||
if ((${#INSTALLER_ARGS[@]})); then pre "установщик автора: bash scripts/3x-ui.sh ${INSTALLER_ARGS[*]}"; else pre "установщик автора: bash scripts/3x-ui.sh — спросит про маскировку и домен"; fi
|
||
if [[ $harden == auto ]]; then
|
||
if interactive; then pre "защита: спрошу про ответ на ping и автообновления"
|
||
else pre "защита: без терминала — закрыть ping и включить автообновления"; fi
|
||
elif [[ $harden == yes ]]; then pre "защита: закрыть ping и включить автообновления (--harden)"
|
||
else pre "защита: пропускаю (--no-harden)"; fi
|
||
if [[ -n $proto_flag ]]; then pre "протоколы: ${proto_flag} (задано флагом)"
|
||
elif interactive; then pre "протоколы: спрошу (Enter — REALITY + AmneziaWG-3.1, «все» — набор автора)"
|
||
else pre "протоколы: REALITY + AmneziaWG-3.1 (без терминала вопроса нет)"; fi
|
||
if [[ -n $ssh_port ]]; then pre "порт SSH: перевожу на $ssh_port (прежний — после проверки входа)"
|
||
elif interactive; then pre "порт SSH: спрошу (Enter — оставить текущий)"; fi
|
||
if interactive; then pre "пароль root: спрошу (по умолчанию — не менять)"; fi
|
||
case $site in
|
||
off) pre "заглушка: оставляю авторскую страницу (--no-site)" ;;
|
||
random) pre "заглушка: случайный ИТ-сайт из нашего набора (10 штук)" ;;
|
||
*) pre "заглушка: сайт №$site из нашего набора (список: kit local site --list)" ;;
|
||
esac
|
||
[[ $fix_time == yes ]] && pre "после: kit fix (время, безопасные починки)"
|
||
[[ $do_check == yes ]] && pre "проверка: kit check + kit local hardening"
|
||
[[ $show_sub == yes ]] && pre "в самом конце: доступ к панели 3X-UI, подписка, QR-код и ссылки (--no-sub — не надо)"
|
||
echo
|
||
say "запуск без --dry-run выполнит всё это на сервере"
|
||
exit 0
|
||
fi
|
||
|
||
# ------------------------------------------------------------------ релиз: скачать и проверить подпись
|
||
|
||
# Подпись проверяем ДО запуска чужого кода, поэтому здесь нужны только curl/ssh-keygen/openssl.
|
||
for c in curl ssh-keygen openssl; do command -v "$c" >/dev/null || die "нет $c — поставьте: apt-get update && apt-get install -y $c"; done
|
||
|
||
say "беру релиз v$KIT_VERSION и проверяю подпись"
|
||
tmp=$(mktemp -d)
|
||
trap 'rm -rf "$tmp"' EXIT
|
||
raw="$GITEA/raw/tag/v$KIT_VERSION"
|
||
for f in SHA256SUMS SHA256SUMS.sig scripts/3x-ui.sh; do
|
||
mkdir -p "$tmp/$(dirname "$f")"
|
||
curl -fsSL --retry 3 -m 60 -o "$tmp/$f" "$raw/$f" || die "не скачался $f из $raw (Gitea доступна с сервера?)"
|
||
done
|
||
printf '%s namespaces="%s" %s\n' "$SIG_ID" "$NS" "$SIGNER_PUB" >"$tmp/allowed_signers"
|
||
ssh-keygen -Y verify -f "$tmp/allowed_signers" -I "$SIG_ID" -n "$NS" -s "$tmp/SHA256SUMS.sig" <"$tmp/SHA256SUMS" >/dev/null 2>&1 \
|
||
|| die "подпись релиза v$KIT_VERSION не сошлась с ключом форка — это не наш релиз, ничего не запускаю"
|
||
sum=$(awk '{f = $2; sub(/^\*/, "", f)} f == "scripts/3x-ui.sh" {print $1}' "$tmp/SHA256SUMS")
|
||
[[ $(printf '%s' "$sum" | wc -c) -eq 64 ]] || die "в SHA256SUMS нет установщика — релиз собран неверно"
|
||
got=$(sha256sum "$tmp/scripts/3x-ui.sh" | awk '{print $1}')
|
||
[[ $got == "$sum" ]] || die "SHA256 установщика не совпал с подписанным — не запускаю"
|
||
bash -n "$tmp/scripts/3x-ui.sh" || die "установщик не проходит проверку синтаксиса"
|
||
printf ' ✓ подпись сошлась, SHA256 установщика совпал\n'
|
||
|
||
if [[ $verify_only == yes ]]; then
|
||
say "релиз v$KIT_VERSION проверен: подпись и SHA256 сошлись, установщик не запускался"
|
||
exit 0
|
||
fi
|
||
|
||
# ------------------------------------------------------------------ предполётные проверки
|
||
|
||
say "проверяю сервер"
|
||
[[ ${EUID:-0} -eq 0 ]] || die "нужен root: запустите от root (на чистом VPS обычно так и есть)"
|
||
[[ -r /etc/os-release ]] || die "не вижу /etc/os-release — это не Debian/Ubuntu?"
|
||
# shellcheck disable=SC1091
|
||
. /etc/os-release
|
||
case ${ID:-} in debian | ubuntu | raspbian) ;; *) warn "система ${PRETTY_NAME:-?}: поддерживаются Debian и Ubuntu" ;; esac
|
||
printf ' %s\n' "${PRETTY_NAME:-Linux}, ядро $(uname -r), памяти $(awk '/MemTotal/ {printf "%.1f ГБ", $2 / 1048576}' /proc/meminfo 2>/dev/null || echo '?')"
|
||
df -P / | awk 'NR==2 {gsub("%","",$5); if ($5 >= 95) exit 1}' || warn "диск занят почти полностью — установка может не пройти"
|
||
for p in 443 80; do ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE "[:.]$p\$" && warn "порт $p уже кем-то занят"; done
|
||
|
||
# ------------------------------------------------------------------ какие протоколы ставить
|
||
|
||
# Список, порядок и набор по умолчанию — как у установщика автора (scripts/3x-ui.sh:
|
||
# ALL_PROTOS / DEFAULT_PROTOS). Невыбранные протоколы не создаются вообще: под них не будет
|
||
# ни подключения в панели, ни записей в nginx, ни ссылок в подписке.
|
||
ALL_PROTOS=(reality reality2 hy2 xhttp ws trojan vmess ss tuic wg awg awg3 mtproto)
|
||
PROTO_HINT=(
|
||
"REALITY основной: VLESS + Reality, порт 443"
|
||
"REALITY-2 второй REALITY на случайном высоком порту"
|
||
"Hysteria2 быстрее на плохой сети (UDP 443)"
|
||
"XHTTP VLESS + Reality под другим именем маскировки"
|
||
"VLESS-WS VLESS через WebSocket"
|
||
"Trojan-gRPC Trojan через gRPC"
|
||
"VMess-WS VMess через WebSocket"
|
||
"Shadowsocks Shadowsocks 2022"
|
||
"TUIC быстрый UDP-протокол"
|
||
"WireGuard обычный WireGuard: легко распознаётся, обычно не ставят"
|
||
"AmneziaWG AmneziaWG: Mihomo, роутеры Keenetic"
|
||
"AmneziaWG-3.1 AmneziaWG с защитой заголовков: AmneziaVPN"
|
||
"MTProto прокси для Telegram"
|
||
)
|
||
# Наш набор по умолчанию: VLESS REALITY и AmneziaWG-3.1 — самый совместимый минимум.
|
||
# Набор автора (флаг --protocols all) доступен ответом «все».
|
||
AUTHOR_PROTOS=(reality hy2 xhttp ws trojan vmess ss tuic awg awg3 mtproto)
|
||
DEFAULT_PROTOS=(reality awg3)
|
||
|
||
proto_menu() {
|
||
local i n mark
|
||
say "какие протоколы поставить?" >&2
|
||
for i in "${!ALL_PROTOS[@]}"; do
|
||
n=$((i + 1)) mark=" "
|
||
[[ " ${DEFAULT_PROTOS[*]} " == *" ${ALL_PROTOS[i]} "* ]] && mark="*"
|
||
printf ' %s %2d. %s\n' "$mark" "$n" "${PROTO_HINT[i]}" >&2
|
||
done
|
||
printf ' %s\n' "${D}[* — по умолчанию: REALITY + AmneziaWG-3.1. «все» — набор автора (всё, кроме WireGuard).${N}" >&2
|
||
printf ' %s\n' "${D}[Невыбранные протоколы не создаются вообще: ни подключения, ни записей в nginx, ни ссылок в подписке.]${N}" >&2
|
||
}
|
||
|
||
proto_parse() { # ответ → выбранные имена через запятую; код 1, если не разобрал
|
||
local ans=${1,,} tok i all=" ${ALL_PROTOS[*]} " picked=""
|
||
ans=${ans//[[:space:]]/,} # «1 3 11» и «1,3,11» — одно и то же
|
||
[[ -n $ans ]] || { printf '%s' "$(IFS=,; echo "${DEFAULT_PROTOS[*]}")"; return 0; }
|
||
case $ans in
|
||
all | все | всё) printf '%s' "$(IFS=,; echo "${AUTHOR_PROTOS[*]}")"; return 0 ;;
|
||
minimal | минимум) printf '%s' "reality"; return 0 ;;
|
||
esac
|
||
local IFS=','
|
||
for tok in $ans; do
|
||
[[ -n $tok ]] || continue # двойные запятые и пробелы — не ошибка
|
||
if [[ $tok =~ ^[0-9]{1,2}$ ]]; then
|
||
i=$((10#$tok - 1))
|
||
((i >= 0 && i < ${#ALL_PROTOS[@]})) || return 1
|
||
tok=${ALL_PROTOS[i]}
|
||
fi
|
||
[[ $all == *" $tok "* ]] || return 1 # только имена из списка автора
|
||
[[ ,$picked, == *",$tok,"* ]] || picked+="${picked:+,}$tok"
|
||
done
|
||
[[ -n $picked ]] || return 1
|
||
printf '%s' "$picked"
|
||
}
|
||
|
||
ask_protocols() { # печатает итоговый список через запятую
|
||
local i ans picked
|
||
interactive || { printf '%s' "$(IFS=,; echo "${DEFAULT_PROTOS[*]}")"; return 0; }
|
||
proto_menu
|
||
for i in 1 2 3; do
|
||
printf '\n%sНомера через запятую (например 1,12) или «все»; Enter — REALITY + AmneziaWG-3.1: %s' "$B" "$N" >&2
|
||
ans=""
|
||
read -r -t 300 ans <"$ASK_SRC" 2>/dev/null || true
|
||
if picked=$(proto_parse "$ans"); then printf '%s' "$picked"; return 0; fi
|
||
warn "не понял «$ans» — нужны номера из списка через запятую или «все»"
|
||
done
|
||
warn "оставляю набор по умолчанию"
|
||
printf '%s' "$(IFS=,; echo "${DEFAULT_PROTOS[*]}")"
|
||
}
|
||
|
||
# ------------------------------------------------------------------ снос прошлой установки (--clean)
|
||
|
||
# Нужен, когда прошлая установка оборвалась: авторский установщик в таком случае отказывается работать
|
||
# («3X-UI уже установлена этим скриптом»). Убираем то, что создаёт установка, и ставим заново.
|
||
# SSH не трогаем: ни порт, ни конфиги — иначе можно потерять доступ к серверу.
|
||
clean_previous() {
|
||
say "убираю прошлую установку (--clean)"
|
||
local s p
|
||
for s in x-ui kit-sub kit-update.timer kit-update.service kit-limit.timer kit-limit.service \
|
||
$(systemctl list-unit-files --no-legend 2>/dev/null | awk '{print $1}' | grep -E '^(x-ui|kit-|kit\.)' | grep -E '\.(service|timer)$'); do
|
||
systemctl list-unit-files 2>/dev/null | grep -q "^$s" || continue
|
||
systemctl disable --now "$s" >/dev/null 2>&1 || true
|
||
printf ' остановлено: %s\n' "$s"
|
||
done
|
||
for p in /usr/local/x-ui /etc/x-ui /usr/bin/x-ui /usr/bin/x-ui.new /etc/systemd/system/x-ui.service \
|
||
/usr/local/bin/kit /usr/local/lib/kit /usr/local/lib/kit-sub /etc/kit /etc/kit-sub \
|
||
/etc/systemd/system/kit-sub.service /etc/systemd/system/kit-update.service \
|
||
/etc/systemd/system/kit-update.timer /etc/systemd/system/kit-limit.service \
|
||
/etc/systemd/system/kit-limit.timer \
|
||
/etc/cron.d/kit-nginx-reload /etc/cron.d/kit-xui-menu /etc/cron.d/kit-sub-cert \
|
||
/etc/nginx/kit-stream.conf /etc/nginx/conf.d/kit.conf /var/www/kit \
|
||
/root/3x-ui.txt /root/cert /var/log/kit-install-check.log \
|
||
/root/kit-local-backup-* /root/kit-backup-* /root/x-ui-before-sni-* /root/x-ui-before-update-*; do
|
||
[[ -e $p ]] || continue
|
||
rm -rf $p && printf ' удалено: %s\n' "$p"
|
||
done
|
||
if [[ -f /etc/nginx/nginx.conf ]] && grep -q 'kit-stream\.conf' /etc/nginx/nginx.conf; then
|
||
sed -i '/kit-stream\.conf/d' /etc/nginx/nginx.conf
|
||
printf ' из nginx.conf убрана наша строка включения\n'
|
||
fi
|
||
if id -u kit-sub >/dev/null 2>&1; then
|
||
pkill -u kit-sub >/dev/null 2>&1 || true
|
||
userdel -r kit-sub >/dev/null 2>&1 || true
|
||
printf ' удалён пользователь kit-sub\n'
|
||
fi
|
||
systemctl daemon-reload
|
||
if [[ -f /root/3x-ui.txt && -x /usr/local/x-ui/x-ui ]]; then
|
||
warn "часть файлов прошлой установки осталась — проверьте: ls -la /usr/local/x-ui /root/3x-ui.txt"
|
||
else
|
||
printf ' готово: место под установку свободно\n'
|
||
fi
|
||
}
|
||
|
||
installer_failed() {
|
||
if grep -q "likely firewall problem" /var/log/kit-domain-cert.log 2>/dev/null \
|
||
|| grep -q "Timeout during connect" /var/log/3x-ui-install.log 2>/dev/null; then
|
||
printf '\n%s!%s %s\n' "$Y" "$N" \
|
||
"Let's Encrypt не смог достучаться до порта 80 (в логе acme «Timeout during connect»)." >&2
|
||
printf ' Проверьте по порядку: открыт ли 80 в ufw (скрипт делает это сам) и не режет ли его хостер.\n' >&2
|
||
printf ' Либо ставьте без своего домена: в меню маскировки выберите «общедоступный сайт» —\n' >&2
|
||
printf ' сертификат для домена тогда не нужен, панель останется на самоподписанном.\n' >&2
|
||
fi
|
||
if [[ -f /root/3x-ui.txt && -x /usr/local/x-ui/x-ui ]]; then
|
||
printf '\n%s!%s %s\n' "$Y" "$N" \
|
||
"На сервере осталась прошлая установка (установщик так и пишет). Запустите ещё раз с флагом --clean — он уберёт старое и поставит заново." >&2
|
||
fi
|
||
die "установщик остановился с ошибкой — смотрите его вывод выше"
|
||
}
|
||
|
||
# ------------------------------------------------------------------ установка
|
||
|
||
if [[ -z $proto_flag ]]; then
|
||
protos=$(ask_protocols)
|
||
INSTALLER_ARGS+=(--protocols "$protos")
|
||
else
|
||
protos=$proto_flag
|
||
fi
|
||
say "протоколы: $protos — под остальные не создаётся ничего"
|
||
|
||
# ------------------------------------------------------------------ вопросы (всё спросим ДО установки)
|
||
# После установщика на экране появляются доступы к панели: там вопросы уже неуместны. Поэтому
|
||
# спрашиваем всё заранее, а действия выполняем после установки (см. «наши дополнения» ниже).
|
||
|
||
ask_yes() { # "вопрос" y|n — по умолчанию
|
||
local q=$1 def=$2 ans=""
|
||
interactive || { [[ $def == y ]]; return; }
|
||
printf '\n%s [%s]: ' "$q" "$([[ $def == y ]] && echo 'Y/n' || echo 'y/N'])"
|
||
read -r -t 300 ans <"$ASK_SRC" 2>/dev/null || true
|
||
ans=${ans,,}; ans=${ans//[[:space:]]/}
|
||
[[ -z $ans && $def == y ]] && return 0
|
||
[[ $ans =~ ^(y|yes|д|да)$ ]]
|
||
}
|
||
|
||
# порт SSH: по флагу или по вопросу. Смена делается в два шага: сначала ДОБАВИТЬ новый порт
|
||
# (прежний продолжает работать), потом закрыть прежние — иначе одна опечатка оставляет сервер без доступа.
|
||
ssh_ports_now() {
|
||
local p
|
||
p=$(kit local ssh --status 2>/dev/null | sed -n 's/^порты SSH сейчас: //p')
|
||
[[ -n $p ]] || p=$(sshd -T 2>/dev/null | awk '$1 == "port" {print $2}' | paste -sd, -)
|
||
[[ -n $p ]] || p=$(grep -rhiE '^[[:space:]]*Port[[:space:]]+[0-9]+' /etc/ssh/sshd_config /etc/ssh/sshd_config.d 2>/dev/null | awk '{print $2}' | paste -sd, -)
|
||
printf '%s' "${p:-22}"
|
||
}
|
||
|
||
ask_ssh_port() { # пусто — оставить как есть; иначе номер нового порта
|
||
local cur ans try
|
||
cur=$(ssh_ports_now)
|
||
interactive || return 0
|
||
for try in 1 2 3; do
|
||
printf '\n%sСменить порт SSH? Сейчас %s. Введите новый номер, Enter — оставить как есть: %s' "$B" "$cur" "$N" >&2
|
||
ans=""
|
||
read -r -t 300 ans <"$ASK_SRC" 2>/dev/null || true
|
||
ans=${ans//[[:space:]]/}
|
||
[[ -n $ans ]] || { say "порт SSH оставляю как есть ($cur)" >&2; return 0; }
|
||
if ! [[ $ans =~ ^[0-9]{1,5}$ ]] || ((10#$ans < 1024 || 10#$ans > 65535)); then
|
||
warn "«$ans» не похоже на порт (нужно число 1024–65535)"
|
||
continue
|
||
fi
|
||
if [[ ,$cur, == *",$ans,"* ]]; then
|
||
say "порт $ans уже слушает SSH — менять нечего" >&2; return 0
|
||
fi
|
||
if ss -H -ltn 2>/dev/null | awk '{print $4}' | grep -qE "[:.]$ans\$"; then
|
||
warn "порт $ans/tcp занят другой программой"
|
||
continue
|
||
fi
|
||
printf '%s' "$ans"; return 0
|
||
done
|
||
warn "оставляю прежний порт ($cur)"
|
||
}
|
||
|
||
want_ping=$harden; want_update=$harden
|
||
[[ $want_ping == auto ]] && want_ping=yes
|
||
[[ $want_update == auto ]] && want_update=yes
|
||
if [[ $harden == auto ]] && interactive; then
|
||
if ask_yes "Закрыть ответ сервера на ping? Снаружи пинг перестанет отвечать (подписка и VPN не затрагиваются)." y; then want_ping=yes; else want_ping=no; fi
|
||
if ask_yes "Включить автообновления безопасности? Только security-обновления, без перезагрузки." y; then want_update=yes; else want_update=no; fi
|
||
fi
|
||
|
||
[[ -n $ssh_port ]] || ssh_port=$(ask_ssh_port)
|
||
ssh_ports_before=$(ssh_ports_now) # для подсказки в конце: какие порты закрывать
|
||
want_passwd=no
|
||
if interactive; then
|
||
if ask_yes "Сменить пароль root прямо сейчас? Новый пароль введёте в следующем окне." n; then want_passwd=yes; fi
|
||
fi
|
||
|
||
[[ $clean == yes ]] && clean_previous
|
||
|
||
# Порты для сертификата и маскировки: открываем правила ufw ДО установщика и говорим, где смотреть,
|
||
# если сертификат не выпустится (частая причина — свой файрвол у хостера, а не ufw).
|
||
if command -v ufw >/dev/null 2>&1 && ufw status 2>/dev/null | grep -q "^Status: active"; then
|
||
for _p in 80/tcp 443/tcp; do ufw allow "$_p" >/dev/null 2>&1 || true; done
|
||
say "порты 80 и 443 открыты в ufw (нужны для сертификата и работы маскировки)"
|
||
fi
|
||
printf ' %sесли у хостера свой файрвол — 80 и 443 должны быть разрешены и там.%s\n' "$D" "$N"
|
||
printf ' %sпризнак закрытого 80: сертификат не выпускается, в логе acme «Timeout during connect (likely firewall problem)»%s\n' "$D" "$N"
|
||
|
||
# Меню выбора сайта маскировки: сканируем подсеть один раз и предлагаем выбрать сайт отдельно для
|
||
# REALITY и (если выбраны) для XHTTP/MTProto. Отключается флагом --auto-sni (тогда автоподбор автора).
|
||
if [[ $pick_sni == yes ]]; then export KL_PICK_SNI=1; else export KL_PICK_SNI=0; fi
|
||
|
||
say "запускаю установщик автора (панель 3X-UI, протоколы, сайт-заглушка, подписка)"
|
||
if ((${#INSTALLER_ARGS[@]})); then printf ' флаги: %s\n' "${INSTALLER_ARGS[*]}"; else printf ' флагов нет: установщик задаст вопросы (маскировка, домен)\n'; fi
|
||
# stdin: если есть терминал — отдаём его установщику (там есть вопросы), иначе /dev/null,
|
||
# иначе установщик начнёт читать наш собственный скрипт вместо ответов.
|
||
if [[ -r /dev/tty ]]; then
|
||
bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/tty || installer_failed
|
||
else
|
||
bash "$tmp/scripts/3x-ui.sh" ${INSTALLER_ARGS[@]+"${INSTALLER_ARGS[@]}"} </dev/null || installer_failed
|
||
fi
|
||
command -v kit >/dev/null || die "после установки нет команды kit — что-то пошло не так, смотрите вывод выше"
|
||
|
||
# Ставим нашу заглушку СРАЗУ (а не поверх авторской): страницу кладём до установщика, а его собственную
|
||
# страницу из релиза убираем — иначе она перезапишет нашу на шаге сборки сайта.
|
||
stub_staged=no
|
||
if [[ $site != off ]]; then
|
||
stub_n=""
|
||
case $site in
|
||
random) stub_n=$(( RANDOM % 10 )) ;;
|
||
*) [[ $site =~ ^[0-9]+$ ]] && stub_n=$((10#$site - 1)) ;;
|
||
esac
|
||
if [[ -n $stub_n ]]; then
|
||
install -d -m 755 /var/www/kit
|
||
if ( source "$tmp/scripts/kit-local.sh" 2>/dev/null; kl_site_html "$stub_n" ) >/var/www/kit/index.html 2>/dev/null \
|
||
&& [[ -s /var/www/kit/index.html ]]; then
|
||
stub_staged=yes
|
||
rm -f "$tmp/var/www/kit/index.html"
|
||
say "заглушка: наш сайт №$((stub_n + 1)) — ставится сразу, авторская страница не используется"
|
||
else
|
||
warn "не смог подготовить нашу заглушку — поставлю после установки (kit local site)"
|
||
fi
|
||
fi
|
||
fi
|
||
|
||
# Запоминаем, какие протоколы выбраны: наши команды (kit local site и др.) смотрят сюда и не
|
||
# делают ничего для протоколов, которых в этой установке нет.
|
||
printf '%s\n' "${protos//,/ }" | tr ' ' '\n' | sed '/^$/d' > /etc/kit/kl-protos 2>/dev/null || true
|
||
|
||
# ------------------------------------------------------------------ наши дополнения (только действия)
|
||
|
||
# Ничего не спрашиваем: все ответы собраны до установщика. Здесь только выполняем.
|
||
|
||
# 443 нужен для маскировки и VPN, 80 — для выпуска сертификата: проверяем правила ufw ещё раз.
|
||
if command -v ufw >/dev/null 2>&1 && ufw status 2>/dev/null | grep -q "^Status: active"; then
|
||
for _p in 80/tcp 443/tcp; do ufw allow "$_p" >/dev/null 2>&1 || true; done
|
||
fi
|
||
|
||
# Сайт-заглушка: у автора это случайные «кофейни и пекарни», у нас — правдоподобный ИТ-сайт.
|
||
# Меняем не файл вручную, а командой форка: она же обновляет копию страницы в ответе Hysteria2,
|
||
# иначе 443/tcp и UDP-порт начнут отвечать разными страницами (это видно снаружи).
|
||
case ${stub_staged:-no} in
|
||
yes) say "заглушка уже стоит (поставлена при установке, Hysteria2 синхронизирован тем же файлом)" ;;
|
||
*) case $site in
|
||
off) say "заглушку не трогаю (--no-site): остаётся страница автора" ;;
|
||
random)
|
||
say "ставлю сайт-заглушку: случайный ИТ-сайт из нашего набора"
|
||
kit local site || warn "не удалось поставить заглушку — позже: kit local site"
|
||
;;
|
||
*)
|
||
say "ставлю сайт-заглушку №$site"
|
||
kit local site "$site" || warn "не удалось поставить заглушку — позже: kit local site $site"
|
||
;;
|
||
esac ;;
|
||
esac
|
||
|
||
if [[ $fix_time == yes ]]; then
|
||
say "kit fix: синхронизация времени и безопасные починки (авторская команда, ничего необратимого)"
|
||
kit fix || warn "kit fix завершился с замечаниями — посмотрите вывод"
|
||
fi
|
||
|
||
# Действия по ответам, которые были заданы ДО установщика (см. блок вопросов выше).
|
||
if [[ $want_ping == yes ]]; then
|
||
say "закрываю ответ на ping (правилом ufw)"
|
||
kit local ping off || warn "не удалось — повторите: kit local ping off"
|
||
fi
|
||
if [[ $want_update == yes ]]; then
|
||
say "включаю автообновления безопасности"
|
||
kit local upgrades on || warn "не удалось — повторите: kit local upgrades on"
|
||
fi
|
||
|
||
if [[ $want_passwd == yes ]]; then
|
||
say "меняю пароль root"
|
||
kit local passwd || warn "не получилось — повторите: kit local passwd"
|
||
fi
|
||
|
||
# порт SSH: новый порт добавляем, прежний остаётся рабочим до вашей проверки входа.
|
||
if [[ -n $ssh_port ]]; then
|
||
say "перевожу SSH на порт $ssh_port: новый добавляю, прежний пока остаётся рабочим"
|
||
kit local ssh "$ssh_port" || warn "порт не добавился — сделайте отдельно: kit local ssh $ssh_port"
|
||
fi
|
||
|
||
# ------------------------------------------------------------------ проверка
|
||
|
||
if [[ $do_check == yes ]]; then
|
||
say "проверяю, что получилось"
|
||
kit check || warn "kit check нашёл замечания — читайте выше; безопасные починки: kit fix"
|
||
kit local hardening
|
||
fi
|
||
|
||
cat <<EOF
|
||
|
||
${G}${B}Готово.${N} Сервер поставлен из нашей сборки (3X-UI_autoVPS $KIT_VERSION, канал: наш Gitea).
|
||
|
||
подписка и ссылки: kit user link admin (или страница подписки из вывода установщика)
|
||
если что-то не так: kit check --deep, затем kit fix
|
||
вернуться к авторскому каналу: положить авторский kit поверх и выполнить kit update --force
|
||
EOF
|
||
|
||
# ------------------------------------------------------------------ SSH: как закрыть прежние порты
|
||
|
||
if [[ -n ${ssh_port:-} ]]; then
|
||
cat <<EOF
|
||
|
||
${Y}${B}SSH переведён на порт $ssh_port.${N} Прежние порты (${ssh_ports_before:-22}) пока работают — это
|
||
сделано специально, чтобы вы не потеряли доступ. Порядок обязательный:
|
||
1) во ВТОРОМ окне проверьте вход: ssh -p $ssh_port root@${HOST:-<IP сервера>}
|
||
2) вход работает — закройте прежние порты: ${B}kit local ssh --close-old $ssh_port${N}
|
||
3) поправьте порт у себя: ~/.ssh/config, терминалы, мониторинг
|
||
EOF
|
||
fi
|
||
|
||
# ------------------------------------------------------------------ доступ к панели (перед подпиской)
|
||
|
||
if [[ $show_sub == yes ]]; then
|
||
say "панель 3X-UI: адрес, логин и пароль"
|
||
if [[ -s /root/3x-ui.txt ]]; then
|
||
printf ' файл: /root/3x-ui.txt (виден только root). Сохраните данные себе:\n'
|
||
sed 's/^/ /' /root/3x-ui.txt
|
||
else
|
||
warn "файла /root/3x-ui.txt нет — адрес панели и логин были в выводе установщика выше"
|
||
fi
|
||
fi
|
||
|
||
# ------------------------------------------------------------------ подписка, QR-код и доступы
|
||
|
||
# Показываем в самом конце, после всех проверок: это то, что человек уносит с собой.
|
||
# Печатает авторская команда (подписка + QR-код через qrencode + ссылки по протоколам),
|
||
# поэтому вывод не расходится с тем, что показывает `kit` потом.
|
||
if [[ $show_sub == yes ]]; then
|
||
sub_user=admin
|
||
for ((_i = 0; _i < ${#INSTALLER_ARGS[@]}; _i++)); do
|
||
[[ ${INSTALLER_ARGS[_i]} == --user ]] && sub_user=${INSTALLER_ARGS[_i + 1]:-admin}
|
||
done
|
||
say "подписка и доступы — это то, что стоит сохранить"
|
||
printf ' подписка — одна ссылка на все устройства; QR-код ниже наводите камерой в приложении\n'
|
||
printf ' приложения: Happ, Hiddify, Karing, v2rayN, Clash/Mihomo\n'
|
||
printf ' отдельные ссылки по протоколам — ниже же (если приложение не умеет подписку)\n'
|
||
printf ' %sпозже то же самое: kit user link %s --all (или меню: kit)%s\n' "$D" "$sub_user" "$N"
|
||
[[ -n ${ssh_port:-} ]] && printf ' SSH: новый порт %s, прежние (%s) ещё открыты — закройте их после проверки входа: kit local ssh --close-old %s\n' "$ssh_port" "${ssh_ports_before:-22}" "$ssh_port"
|
||
# Ссылки на каждый протокол показываем только если протоколов больше одного: при одном это лишний шум.
|
||
protos_now=$(tr '\n' ' ' < /etc/kit/kl-protos 2>/dev/null || true)
|
||
if [[ $(wc -w <<<"$protos_now") -gt 1 ]]; then
|
||
if ! kit user link "$sub_user" --all; then
|
||
warn "не смог показать ссылки для «$sub_user» — список пользователей: kit user list"
|
||
fi
|
||
elif ! kit user link "$sub_user"; then
|
||
warn "не смог показать подписку для «$sub_user» — список пользователей: kit user list"
|
||
fi
|
||
else
|
||
say "ссылки и QR-код не показываю (--no-sub). Посмотреть: kit user link admin --all"
|
||
fi
|