gilfanovrandClaude Opus 5.5
2ab38bc1f8
На ru.ruzzy.dev:443 поднят официальный tproxy-server (relay, carrier websocket) перед официальным MTProxy на loopback. Фронт — nginx в ~/gost, сертификат только на ru.ruzzy.dev. - MTProxy: --nat-info 10.8.1.4:161.97.93.252 вручную — трафик к Telegram выходит через wg0 с IP fr1, автоопределение install.sh ошиблось бы и прокси молча не отвечал бы. - relay на 8090/8091: 8080 занят cadvisor. - telemt удалён окончательно (контейнер, образ, конфиг, том). - certbot до этого не работал вовсе: сертификат был просрочен с 2026-07-01, продлён и запущен. stacks/tproxy/: compose и nginx.conf стека ~/gost, setup-ru1.sh — однократная root-установка relay и MTProxy. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
68 lines
2.3 KiB
Nginx Configuration File
68 lines
2.3 KiB
Nginx Configuration File
events {}
|
|
|
|
http {
|
|
server_tokens off;
|
|
|
|
# Ничего не логируем по ru.ruzzy.dev: в URI bridge-страницы — capability,
|
|
# в Sec-WebSocket-Protocol — токен сессии (требование tproxy-server).
|
|
access_log off;
|
|
|
|
map $http_upgrade $connection_upgrade {
|
|
default upgrade;
|
|
'' "";
|
|
}
|
|
|
|
upstream tproxy_relay {
|
|
server 127.0.0.1:8090; # tproxy-server (systemd), 8080 занят cadvisor
|
|
keepalive 32;
|
|
}
|
|
|
|
server {
|
|
listen 80;
|
|
server_name ru.ruzzy.dev;
|
|
|
|
location /.well-known/acme-challenge/ {
|
|
root /var/www/certbot;
|
|
}
|
|
|
|
location / {
|
|
return 301 https://$host$request_uri;
|
|
}
|
|
}
|
|
|
|
# Mode A из tproxy-server: relay — единственный шлюз хоста, он же отдаёт
|
|
# публичный сайт (/srv/tproxy-site). Никаких отдельных location под сайт,
|
|
# иначе ответы сайта и транспорта станут различимы для зондирования.
|
|
server {
|
|
listen 443 ssl;
|
|
http2 on;
|
|
server_name ru.ruzzy.dev;
|
|
|
|
ssl_certificate /etc/letsencrypt/live/ru.ruzzy.dev/fullchain.pem;
|
|
ssl_certificate_key /etc/letsencrypt/live/ru.ruzzy.dev/privkey.pem;
|
|
ssl_protocols TLSv1.2 TLSv1.3;
|
|
|
|
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
|
|
gzip on;
|
|
|
|
# Пачки uplink до 2 MiB; дефолтный 1 MiB ломает транспорт с 413.
|
|
client_max_body_size 4m;
|
|
|
|
location / {
|
|
proxy_pass http://tproxy_relay;
|
|
proxy_http_version 1.1;
|
|
proxy_set_header Host $host;
|
|
# Ровно один адрес: список relay отвергает.
|
|
proxy_set_header X-Forwarded-For $remote_addr;
|
|
proxy_set_header Upgrade $http_upgrade;
|
|
proxy_set_header Connection $connection_upgrade;
|
|
|
|
# long poll relay — 25 с; не резать и не буферизовать.
|
|
proxy_read_timeout 90s;
|
|
proxy_send_timeout 90s;
|
|
proxy_buffering off;
|
|
proxy_request_buffering off;
|
|
}
|
|
}
|
|
}
|