docs: скачивание .url/.txt/.png/.qr.txt в «Последние обновления»

README.md

@@ -1,10 +1,10 @@
-# Hysteria2 Ansible — ветка **Salamander**
+# Hysteria2 Ansible — ветка **main**
 
-> **Ветка:** `salamander`  
+> **Ветка:** `main`  
-> **Режим:** **Salamander obfs** — запутывание пакетов для обхода DPI  
+> **Режим:** **masquerade** — маскировка под HTTPS-сайт nginx  
-> **Основная ветка:** [`main`](https://git.antropoff.ru/DevOpsTools/hysteria2/src/branch/main) — masquerade под HTTPS-сайт nginx
+> **Альтернатива:** [`salamander`](https://git.antropoff.ru/DevOpsTools/hysteria2/src/branch/salamander) — обфускация Salamander для агрессивного DPI
 
-Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS с **Salamander obfs** — когда masquerade под «обычный сайт» недостаточен.
+Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS: Let's Encrypt, masquerade под nginx, несколько пользователей, экспорт URL/QR и HTML-каталог.
 
 ---
 
@@ -17,13 +17,14 @@ Ansible-роль для установки [Hysteria 2](https://v2.hysteria.netw
 - **Каталог `output/index.html`** — вкладки «Статистика» (по умолчанию) и серверы (`vps-db`, `vps-kz`, …): IP, доступность TCP, пользователи, матрица присутствия.
 - **Страницы серверов** — сетка карточек и визуальный стиль как у главной; ссылка «← Общий каталог».
 - **Lightbox QR** — крупный просмотр на высоту экрана, кнопка скачивания `<сервер>-<пользователь>.png`.
+- **Скачивание файлов** — ссылки `.url` / `.txt` / `.png` / `.qr.txt` принудительно скачивают файл как `<сервер>-<пользователь>.ext`, а не открывают его во вкладке браузера.
 - **`make install` / `make update` / `make export`** — в конце тот же pipeline HTML, что и у `make index`.
 
 ---
 
 ## Выбор ветки: `main` или `salamander`
 
-| | **`main`** | **`salamander` (эта ветка)** |
+| | **`main` (эта ветка)** | **`salamander`** |
 |---|---|---|
 | Маскировка | HTTPS-сайт nginx + Let's Encrypt | **Salamander obfs** — пакеты выглядят как шум |
 | Порт 80/tcp | **Нужен** (ACME HTTP + masquerade) | **Не нужен** |
@@ -33,18 +34,19 @@ Ansible-роль для установки [Hysteria 2](https://v2.hysteria.netw
 | URI клиента | `hysteria2://user:pass@domain:443` | + `obfs=salamander&obfs-password=...` |
 | Лучше когда | Нужен «легитимный» сайт в браузере | Агрессивный DPI, блокировка QUIC fingerprint |
 
+### Когда выбирать `main`
+
+- нужен **нормальный HTTPS-сайт** при открытии домена в браузере;
+- достаточно маскировки под nginx;
+- хотите **минимум параметров** в URI клиента;
+- провайдер не «палит» Hysteria/QUIC внутри TLS.
+
 ### Когда выбирать `salamander`
 
 - masquerade из `main` **блокируют** или распознают по fingerprint;
-- не нужен фейковый сайт в браузере;
+- не нужен фейковый сайт;
 - готовы хранить **дополнительный** obfs-пароль.
 
-### Когда выбирать `main`
-
-- нужен **нормальный HTTPS-сайт** при открытии домена;
-- достаточно маскировки под nginx;
-- хотите **минимум параметров** в URI клиента.
-
 ---
 
 ## Быстрый старт
@@ -52,7 +54,7 @@ Ansible-роль для установки [Hysteria 2](https://v2.hysteria.netw
 ```bash
 git clone https://git.antropoff.ru/DevOpsTools/hysteria2.git
 cd hysteria2
-git checkout salamander
+git checkout main
 
 # macOS: установить Ansible (если ещё нет)
 brew install ansible
@@ -82,7 +84,7 @@ make install    # → output/index.html откроется в браузере
 | `make check` | Проверить синтаксис playbook |
 | `make ping` | Проверить SSH к VPS |
 | `make status` | Краткий статус: active / not installed, uptime, PID, RAM |
-| `make install` | Установка Salamander + экспорт URL/QR/HTML |
+| `make install` | Установка masquerade + экспорт URL/QR/HTML |
 | `make update` | Обновить бинарник и конфиг; экспорт только для новых/изменённых пользователей |
 | `make export` | Только экспорт (URL, QR, HTML) без изменений на сервере |
 | `make index` | Пересобрать HTML всех серверов + общий `output/index.html` и открыть в браузере |
@@ -121,7 +123,7 @@ all:
           ansible_port: 2222              # SSH-порт (если не 22)
           ansible_user: root
           ansible_password: "{{ vault_ssh_passwords['vps-de'] }}"
-          hysteria2_domain: vpn-de.example.com   # для TLS/SNI и ACME
+          hysteria2_domain: vpn-de.example.com
           hysteria2_users:
             - my
             - friend
@@ -157,7 +159,7 @@ vault_ssh_passwords:
 
 ---
 
-## Как работает Salamander в этом проекте
+## Как работает masquerade в этом проекте
 
 ### Сервер (`/etc/hysteria/config.yaml`)
 
@@ -165,7 +167,7 @@ vault_ssh_passwords:
 listen: 0.0.0.0:443
 
 acme:
-  type: tls                    # сертификат без порта 80
+  type: http
   domains:
     - vpn-de.example.com
   email: admin@example.com
@@ -176,36 +178,38 @@ auth:
     my: "..."
     friend: "..."
 
-obfs:
+masquerade:
-  type: salamander
+  type: file
-  salamander:
+  file:
-    password: "общий_obfs_пароль_сервера"
+    dir: /var/www/masq
+  listenHTTP: :80
+  listenHTTPS: :443
+  forceHTTPS: true
 ```
 
+### Сайт-заглушка
+
+В `/var/www/masq/index.html` — официальная страница **Welcome to nginx!**  
+При открытии домена в браузере — валидный HTTPS-сайт с Let's Encrypt.
+
 ### Клиент (генерируется автоматически)
 
 ```yaml
 server: vpn-de.example.com:443
 auth: my:password
-obfs:
-  type: salamander
-  salamander:
-    password: общий_obfs_пароль_сервера
 ```
 
 ### URI (пример)
 
 ```
-hysteria2://my:password@vpn-de.example.com:443?obfs=salamander&obfs-password=OBFS_PASS#my
+hysteria2://my:password@vpn-de.example.com:443#my
 ```
 
-Роль вызывает `hysteria share` — URI и QR уже содержат параметры Salamander.
+Роль вызывает `hysteria share` — URI и QR формируются автоматически.
 
 ---
 
-## Пароли
+## Пароли VPN-пользователей
-
-### VPN-пользователи (`userpass`)
 
 1. **Vault (рекомендуется):**
 
@@ -231,31 +235,11 @@ hysteria2_user_passwords:
 3. **Автогенерация** — Ansible `password` lookup, если пароль не задан ни в inventory/vault, ни в `output/<server>/server-info.yml`.
 
 При `make update` / `make export`:
-- **существующие** пользователи сохраняют пароли из `server-info.yml` (и URL/QR, если домен/порт/obfs не менялись);
+- **существующие** пользователи сохраняют пароли из `server-info.yml` (и URL/QR, если домен/порт не менялись);
 - **новые** получают автогенерацию и полный экспорт;
 - **удалённые** из inventory убираются из конфига Hysteria2 и из `output/<server>/`.
 
-### Salamander obfs (один на сервер)
+Принудительно перевыпустить URL/QR для всех: `hysteria2_force_export: true` (в `group_vars/all.yml` или `EXTRA_VARS`).
-
-1. **Vault (рекомендуется):**
-
-```yaml
-vault_hysteria2_obfs_passwords:
-  vps-de: "cry_me_a_r1ver_salamander_obfs"
-```
-
-Подключается через `group_vars/hysteria2_servers/vars.yml`:
-
-```yaml
-hysteria2_obfs_password: "{{ vault_hysteria2_obfs_passwords[inventory_hostname] | default('') }}"
-```
-
-2. **Авто:** Ansible `password` lookup (`hysteria2_obfs_password_length`) при первой установке  
-3. **При update/export:** загружается из `output/<server>/server-info.yml` (как VPN-пароли)
-
-> **Важно:** obfs-пароль на сервере и клиенте должен **совпадать**. При `make update` без vault пароль сохраняется из предыдущего экспорта.
-
-Принудительно перевыпустить URL/QR для всех VPN-пользователей: `hysteria2_force_export: true`.
 
 ```bash
 make install EXTRA_VARS='hysteria2_force_export=true'
@@ -278,12 +262,12 @@ make install LIMIT=новый-сервер
 
 ### Добавить / удалить пользователя
 
-1. Отредактируйте `hysteria2_users` в `inventory/hosts.yml`.
+1. Отредактируйте `hysteria2_users` в `inventory/hosts.yml` (добавьте имя или уберите).
 2. Запустите `make update LIMIT=<хост>`.
 
-Пароли и obfs существующих клиентов **не меняются** (из `server-info.yml`).  
+Пароли существующих клиентов **не меняются** (берутся из `output/<server>/server-info.yml`).  
-Новому пользователю генерируется пароль и создаются URL/QR с параметрами Salamander.  
+Новому пользователю генерируется пароль и создаются URL/QR.  
-Удалённый пользователь пропадает из конфига и из `output/<server>/`.
+Удалённый пользователь пропадает из `/etc/hysteria/config.yaml` и из папки `output/<server>/`.
 
 ---
 
@@ -291,12 +275,12 @@ make install LIMIT=новый-сервер
 
 Официальный скрипт `install_server.sh` хранится в `roles/hysteria2/files/`.
 
-Перед `make install` / `make update` на **control node**:
+Перед `make install` / `make update` на **control node** (ваш Mac):
 
 1. Скачивается копия с https://get.hy2.sh/
 2. Сравнивается SHA256 с локальным файлом в роли
 3. При отличии — локальная копия обновляется
-4. Скрипт копируется на VPS и запускается оттуда
+4. Скрипт копируется на VPS и запускается оттуда (без `curl | bash` на сервере)
 
 ---
 
@@ -305,11 +289,11 @@ make install LIMIT=новый-сервер
 | Компонент | Поведение |
 |---|---|
 | Бинарник `hysteria` | Обновляется (`install_server.sh --force`) |
-| `/etc/hysteria/config.yaml` | Перекатывается (auth + obfs) |
+| `/etc/hysteria/config.yaml` | Перекатывается под текущий inventory |
-| Пароли VPN / obfs | Сохраняются для существующей конфигурации |
+| Пароли VPN | Сохраняются для существующих пользователей |
 | URL / QR | Только для новых, изменённых или при `hysteria2_force_export=true` |
-| `apt upgrade` | **Не** выполняется |
+| `apt upgrade` | **Не** выполняется (отключено в Makefile) |
-| Ожидание ACME | **Не** выполняется |
+| Ожидание ACME | **Не** выполняется (`hysteria2_wait_for_acme=false`) |
 
 ---
 
@@ -320,9 +304,10 @@ make install LIMIT=новый-сервер
 - бинарник `/usr/local/bin/hysteria` и unit-файлы systemd;
 - `/etc/hysteria/` (конфиг и ACME);
 - `/var/lib/hysteria` и пользователь `hysteria`;
+- `/var/www/masq` (сайт-заглушка, ветка **main**);
 - symlink'и `multi-user.target.wants/hysteria-server*`;
 - временные `/tmp/hysteria-client-*.yaml`;
-- правила ufw: `443/tcp`, `443/udp` (порт из `hysteria2_listen_port`);
+- правила ufw, добавленные при install;
 - пакеты `curl`, `micro`, `qrencode`.
 
 На **control node**:
@@ -339,11 +324,11 @@ make install LIMIT=новый-сервер
 
 При блоке `acme:` в конфиге встроенный ACME-клиент Hysteria2 сам получает и **продлевает** сертификат Let's Encrypt (срок ~90 дней). Повторный `make install` или certbot для продления **не нужны** — процесс `hysteria-server` делает это сам.
 
-**Условия для авто-продления (ветка `salamander`):**
+**Условия для авто-продления (ветка `main`):**
 
 - сервер **запущен** и доступен из интернета;
 - домен указывает на IP VPS;
-- порт **443/tcp** открыт (ACME TLS-ALPN challenge);
+- порты **80/tcp** и **443/tcp** открыты (ACME HTTP challenge + masquerade);
 - конфиг `acme` не удалён.
 
 Проверка логов: `journalctl -u hysteria-server -f`
@@ -352,12 +337,11 @@ make install LIMIT=новый-сервер
 
 ## Firewall
 
-По умолчанию открываются только порты Hysteria2:
+По умолчанию открываются:
 
-- **443/tcp**
+- **80/tcp** — ACME HTTP + masquerade HTTP
-- **443/udp**
+- **443/tcp** — HTTPS masquerade
-
+- **443/udp** — Hysteria2
-**Порт 80 не используется** — в отличие от ветки `main`.
 
 ---
 
@@ -367,20 +351,19 @@ make install LIMIT=новый-сервер
 output/
 ├── index.html                 ← все серверы (открывается в браузере)
 ├── vps-de/
-│   ├── index.html             ← страница сервера + obfs-пароль
+│   ├── index.html             ← страница сервера
-│   ├── my.url                 ← URI с obfs=salamander
+│   ├── my.url
 │   ├── my.png                 ← QR PNG
 │   ├── my.qr.txt             ← QR ASCII
 │   ├── my.txt
-│   └── server-info.yml        ← mode, obfs_password, users
+│   └── server-info.yml
 └── vps-nl/
     └── ...
 ```
 
 HTML-страницы показывают:
 
-- режим **Salamander** и **obfs-password** с кнопкой копирования;
+- пароль и URL каждого пользователя с **кнопкой копирования**;
-- пароль и URL каждого пользователя;
 - QR-коды;
 - ссылки на файлы и страницы серверов.
 
@@ -408,37 +391,33 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 
 | Переменная | Где | Описание |
 |---|---|---|
-| `hysteria2_mode` | defaults | `salamander` (информативно) |
+| `hysteria2_domain` | host | Домен с A-записью на IP |
-| `hysteria2_domain` | host | Домен для TLS/SNI/ACME |
+| `hysteria2_users` | host | Список имён VPN-пользователей |
-| `hysteria2_users` | host | VPN-пользователи |
+| `hysteria2_acme_email` | group | Email для Let's Encrypt |
-| `hysteria2_acme_email` | group | Email Let's Encrypt |
+| `hysteria2_user_passwords` | host/vault | Фиксированные пароли VPN (`vars.yml` + vault) |
-| `hysteria2_user_passwords` | host/vault | Фиксированные пароли VPN |
+| `hysteria2_password_length` | group | Длина автогенерируемого пароля (40) |
-| `hysteria2_password_length` | group | Длина автопароля VPN (40) |
+| `hysteria2_force_export` | group | Перегенерировать URL/QR для всех (`false` по умолчанию) |
-| `hysteria2_force_export` | group | Перегенерировать URL/QR для всех (`false`) |
-| `hysteria2_obfs_password` | host/vault | Пароль Salamander (или авто) |
-| `hysteria2_obfs_password_length` | group | Длина автопароля obfs (32) |
 | `hysteria2_output_dir` | group | Папка экспорта (`./output`) |
-| `hysteria2_listen_port` | group | Порт (443) |
+| `hysteria2_output_name` | host | Подпапка экспорта (`inventory_hostname`) |
-| `hysteria2_upgrade_system` | group | `apt upgrade` перед install |
+| `hysteria2_listen_port` | group | Порт Hysteria2 (443) |
-| `hysteria2_configure_firewall` | group | Открыть порты в ufw |
+| `hysteria2_upgrade_system` | group | `apt upgrade` перед install (`true`) |
+| `hysteria2_configure_firewall` | group | Открыть порты в ufw (`true`) |
 | `hysteria2_generate_qr_png` | group | PNG QR через `qrencode` |
-| `hysteria2_wait_for_acme` | group | Пауза при первом ACME |
+| `hysteria2_wait_for_acme` | group | Пауза при первом ACME (install) |
 | `hysteria2_open_browser` | group | Открыть `output/index.html` после экспорта |
 | `hysteria2_uninstall_rebuild_global_index` | group | Пересобрать `output/index.html` после uninstall (`true`) |
-| `vault_ssh_passwords` | vault | SSH-пароли root |
+| `vault_ssh_passwords` | vault | SSH-пароли root по имени хоста |
 | `vault_hysteria2_user_passwords` | vault | VPN-пароли по серверам |
-| `vault_hysteria2_obfs_passwords` | vault | obfs-пароли по серверам |
 
-Полный список: `roles/hysteria2/defaults/main.yml`, `defaults/uninstall.yml`.
+Полный список defaults: `roles/hysteria2/defaults/main.yml`, `defaults/uninstall.yml`.
 
 ---
 
 ## Безопасность
 
-- `output/` содержит пароли, obfs-ключи и URL — **не коммитить** (в `.gitignore`)
+- `output/` содержит пароли и URL — **не коммитить** (в `.gitignore`)
 - `inventory/hosts.yml`, `vault.yml`, `.vault_pass` — не коммитить
 - После `make init` выполните `make vault-encrypt`
-- Salamander **не делает** вас невидимым: IP VPS и UDP-поток всё ещё можно анализировать
 
 ---
 
@@ -446,9 +425,8 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 
 - **Control node:** macOS или Linux с Ansible **2.14+** (`brew install ansible` на Mac)
 - **VPS:** Debian/Ubuntu с sudo
-- Домен с A-записью на IP (для ACME TLS)
+- Домен с A-записью на IP сервера
-- Порт **443/tcp+udp** доступен с интернета
+- Порты **80/tcp** и **443/tcp+udp** доступны с интернета (ветка `main`)
-- Клиент Hysteria2 с поддержкой Salamander (Shadowrocket, NekoBox, Hiddify и др.)
 - Для авто-открытия браузера: macOS (`open`) или Linux (`xdg-open`)
 
 ---
@@ -458,29 +436,29 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 ```
 roles/hysteria2/
 ├── defaults/
-│   ├── main.yml
+│   ├── main.yml              ← основные переменные
-│   └── uninstall.yml
+│   └── uninstall.yml         ← переменные удаления
 ├── files/
-│   └── install_server.sh
+│   └── install_server.sh     ← официальный скрипт (синхронизация с get.hy2.sh)
 ├── tasks/
-│   ├── main.yml
+│   ├── main.yml              ← порядок задач и теги
 │   ├── validate.yml
-│   ├── users.yml
+│   ├── users.yml             ← пароли (inventory / vault / server-info.yml)
-│   ├── obfs.yml              ← пароль Salamander obfs
 │   ├── sync_install_script.yml
-│   ├── install.yml
+│   ├── install.yml           ← пакеты, бинарник
-│   ├── configure.yml         ← Salamander, без masquerade
+│   ├── configure.yml         ← masquerade + ACME + ufw
-│   ├── update.yml
+│   ├── update.yml            ← обновление бинарника
-│   ├── export_prepare.yml
+│   ├── export_prepare.yml    ← инкрементальный экспорт
-│   ├── export.yml
+│   ├── export.yml            ← URL, QR, HTML сервера
-│   ├── export_global.yml
+│   ├── export_global.yml     ← общий output/index.html
 │   ├── share_user.yml
 │   ├── reuse_export_user.yml
 │   └── uninstall.yml
 └── templates/
-    ├── config.yaml.j2        ← acme tls + obfs salamander
+    ├── config.yaml.j2        ← acme http + masquerade file
     ├── client.yaml.j2
-    └── export/
+    ├── masq/index.html.j2
+    └── export/               ← HTML-каталоги
 ```
 
 ---
@@ -489,15 +467,15 @@ roles/hysteria2/
 
 ```bash
 git fetch origin
-git checkout main        # masquerade + nginx
+git checkout main        # masquerade + nginx (эта ветка)
-git checkout salamander  # Salamander obfs (эта ветка)
+git checkout salamander  # Salamander obfs
 ```
 
 Конфиги на **уже установленном** сервере **не меняются** при переключении ветки в git.  
 Чтобы применить другой режим на VPS:
 
 ```bash
-git checkout main         # или salamander
+git checkout salamander   # или main
 make install              # перекатит конфиг сервера
 # или
 make update