 eli
|
057a77f8ff
|
docs: cdn-bypass 注释/CLAUDE.md 对齐新架构（客户端流量同样经 nft 筛选；direct 出站带 255 的典型症状；188 官方 CIDR；drop-in 20- 前缀）
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 13:10:11 +08:00 |
|
|
eli
|
23e75dab24
|
fix: cdn-bypass drop-in 改名 20- 前缀——官方 xray 安装脚本自带 10-donot_touch_single_conf.conf 会在同前缀 ASCII 序后加载盖掉我们的 -confdir；卸载同时清 10-/20- 两种残留
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 13:04:50 +08:00 |
|
|
eli
|
12189de816
|
fix: systemd drop-in ExecStart 从新版 {path=...;argv[]=...} 形式正确抽出 argv[]
新版 systemd systemctl show -p ExecStart --value 输出复合形式，
先前直接把整串写进 drop-in ExecStart= 会被 systemd 拒绝
（'argv[]=' 不是合法可执行名），xray 用旧 ExecStart 起来没挂 confdir，
dokodemo 永远不起。
drop-in 现在从 argv[]= 提取纯命令行再附加 -confdir。
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 12:51:23 +08:00 |
|
|
eli
|
d4e238cd75
|
refactor: 端口过滤下沉到 nft 层（xray 不再做端口筛选），架构对齐 nft 全筛原则
- nft mangle 打标链加 `th dport { 53, 80, 443 }`：非 web/DNS 端口的 CDN 流量
根本不进 tproxy，直接直连。省 upstream 流量的同时 QuIC(udp/443) 自动覆盖。
- xray routing 删 port 过滤：交给 nft 预筛，不再有重复筛分层。
- 测试断言同步反向：xray 不应再写 "port": "53,80,443"。
设计原则：get/post 只在一个地方 —— nft 决定哪些包进 tproxy；xray 只决定
「进来的包走哪个 upstream」。两套筛选条件不重叠就不会出现「nft 抓了 xray
不认」或反过来。
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 11:50:01 +08:00 |
|
|
eli
|
68c29d97d1
|
fix: cdn-bypass 清单只保留三家公司官方段（401→188，剔除 213 条来源不明的 LE 回源 IP）
2026-09 期间治理 LE 证书续期时，把 LE 验证回源节点的 GCP/Linode IP 误当 CDN 段
加进清单；经 Whois+CF/Fastly/Akamai 官方清单逐条审计后：
- CF 15 条（cloudflare.com/ips-v4）
- Fastly 19 条（api.fastly.com/public-ip-list）
- Akamai/Linode 154 条（AS20940/AS16625/AS63949/AS36183）
共 188 条；剔掉 NTT/Level3/CenturyLink/Verizon/GTT/IBM Cloud/Zayo/AAPT/
CAT Telecom/Softbank/HE/Microsoft/Cologix/PCCW/TPG/IDNIC/Reliance/Telstra/
Telefonica/e-Trade/Fortinet 等 213 条非 CDN 段。
测试断言放宽到 [180,200]，防止再次膨胀。
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 11:34:52 +08:00 |
|
|
eli
|
1b5a0f25e3
|
fix: cdn-bypass 与 gcoregon 实战清单合并(287→401) + routing 端口过滤
- CDN CIDR 快照 stale：2026-09 扩到 400 条时没回灌脚本，补入 114 条缺失段
(103.x/122.252/128.241/139.177/157.238/165.254 等 Akamai)，只多 1 条 /32
- routing 片段 catch-all → network tcp,udp + port 53,80,443：
nft 已按 CDN 网段预筛，xray 只补 dokodemo 入站的端口层过滤，
非 web/DNS 端口直接直连以省上游流量（上游常为计费/限流节点）
- 头注释更新：说明两层的分工、客户端入站不在本脚本范围
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-28 08:00:56 +08:00 |
|
|
eli
|
8cbd977d22
|
feat: 新增 setup_cdn_bypass_tproxy.sh —— CDN 绕行透明代理
面向 GCP 等封锁/计费 CDN（Cloudflare/Fastly/Akamai）出口的 VPS：本机到
287 段 CDN 网段的流量经 nft 打标 → ip rule → lo → xray dokodemo tproxy →
上游不限流节点。粘贴 vless:// 链接即用；xray 配置经 confdir 注入不碰原
config.json；ip rule/route 由 oneshot service 持久化；出站 mark 255 防回环。
Co-Authored-By: Claude Code <noreply@anthropic.com>
|
2026-09-26 12:25:30 +08:00 |
|