YANG JIANKUAN
5326c572a2
迁入通用节点部署工具、离线交付页生成器和共用技能，隔离真实配置与交付产物。统一 Codex 与 Claude Code 开发约定，补充节点迁移与运维文档。 完善 FINAL、策略组引用、输入校验、Surge 字段编码与 AI DNS 例外保护，增加隔离测试和订阅验证工具。 验证：全量类型检查、44 项单测、前端构建、脚本语法、技能入口与凭据隔离检查均通过。
3.6 KiB
裸 nginx、QUIC 与既有节点维护
脚本从各节点原工作副本迁入，历史 -sg／-rn 后缀保留；这些后缀表示流程分支，不表示脚本只能在该站点使用。所有 .sh 从本机通过 SSH 修改 VPS。命令中的 scripts/ 指私有节点工作目录里的副本。
选择部署分支
| 步骤 | aaPanel 管理 nginx | 裸 nginx |
|---|---|---|
| 准备机器 | 00-preflight.sh |
00-preflight-sg.sh（含 swap、BBR、apt nginx） |
| DNS | 02-cf-dns.py |
同左 |
| 证书 | 03-sign-wildcard-cert.sh |
03-sign-cert-sg.sh，证书在 /etc/nginx/ssl/<root>/ |
| nginx | 04-install-aapanel.sh、04b-install-nginx.sh、05-harden-aapanel.sh |
已由 preflight 安装，跳过 aaPanel 步骤 |
| WARP | 06-install-warp.sh、06b-warp-watchdog.sh |
同左 |
| TCP 节点 | 07-install-3xui.sh、08-xui-bootstrap.sh |
同左 |
| 站点 | 09-aapanel-sites.sh、09b-default-444.sh |
09-nginx-sites-sg.sh |
| 防火墙 | 10-ufw.sh（核对实际面板端口） |
10-ufw-sg.sh（TCP 22/80/443） |
| TCP 验收 | 12-smoke-test.sh |
12-smoke-test-sg.sh |
11-monitoring.sh 是可选监控安装。既有站点以自己的实际配置为准；不要把完整部署流水线当成日常维护命令。
QUIC
在私有 scripts/config.env 设置所需的 PORT_HY2_DIRECT／PORT_HY2_WARP 或 PORT_TUIC_DIRECT／PORT_TUIC_WARP，未设置的线路跳过。Hysteria2 使用 NODE_PASSWORD，可设置 HY2_OBFS_PASSWORD（salamander）及带宽；TUIC 使用 XUI_UUID＋NODE_PASSWORD。
裸 nginx 分支执行 bash scripts/13-install-singbox-quic.sh，它推送 13-singbox-config.py、生成 sing-box 配置、做 sing-box check、开放配置的 UDP 端口并启动服务。aaPanel 节点需要先按实际证书目录适配，不能直接采用默认 /etc/nginx/ssl/<root>/。
该脚本的续期动作面向裸 nginx，会设为 systemctl reload nginx; systemctl restart sing-box。既有机器若已有集中证书复制或其他服务动作，先读取并保留旧钩子，再合并；不能直接用此步骤替换旧配置。UFW 之外还要核对供应商云安全组。
10-ufw-rn.sh 是四条 QUIC 线路都存在时的历史防火墙分支，要求两条 HY2 与两条 TUIC 端口，不用于仅 HY2 的机器。
生成链接在本机执行：
umask 077
python3 scripts/14-generate-links-and-qr.py
python3 scripts/15-generate-quic-links.py
第二个脚本读取 HY2_OBFS_PASSWORD；仅 TUIC 时也保留该字段为空。新增占位配置默认 QUIC 端口为空，不会隐式部署 QUIC。配置生成器能省略混淆，但现有链接生成器始终写 salamander；生成 HY2 链接时应提供非空混淆密码，或先同步修改链接与服务端逻辑。
3x-ui 升级与 SOCKS5
新 08-xui-bootstrap.py 已写入 settings.clients，旧部署用 08b-embed-settings-clients.py 补齐。该 Python 文件在 VPS 上执行，默认会重启 x-ui；XUI_DB 可指定数据库，RESTART_XUI=0 可由任务安排重启。修改前备份数据库，完成后重新核对六条 TCP 线路与 WARP 规则。
16-add-socks5.py 是在 VPS 上运行的可选内部 SOCKS5 入站工具，通过 SOCKS_PORT、SOCKS_USER、SOCKS_PASS、SERVER_IP 等环境变量配置，默认监听公网且会重启 x-ui。按访问意图设置 LISTEN；用户名密码认证本身不加密。它不是标准六条线路部署步骤，也不是 Proxy Station 可导入类型。
这里保存的是已有部署工具的流程说明。涉及新版本安装或升级时，先核对官方版本兼容性，再在授权范围执行；本次工程迁移没有对生产节点执行这些脚本。