fix: пересборка output/index.html при uninstall с LIMIT

Второй play перенесён на hysteria2_servers с run_once на localhost,
чтобы LIMIT не пропускал пересборку. Пустой index.html удаляется.

Co-authored-by: Cursor <cursoragent@cursor.com>

Makefile

@@ -85,7 +85,7 @@ update: check ## Обновить бинарник, перекатить кон
 export: check ## Только перевыпустить URL и QR (без изменений на сервере)
 	$(ANSIBLE) playbook.yml --tags export $(ANSIBLE_OPTS)
 
-uninstall: ## Удалить Hysteria2 с VPS
+uninstall: ## Полностью удалить Hysteria2 с VPS (только uninstall, без install/update)
 	@echo "$(YELLOW)Будет выполнено удаление Hysteria2$(NC) $(if $(LIMIT),на $(LIMIT),на всех серверах)"
 	@read -p "Продолжить? [y/N] " c; [[ "$$c" =~ ^[Yy]$$ ]] || exit 1
 	$(ANSIBLE) playbook-uninstall.yml --tags uninstall $(ANSIBLE_OPTS)

README.md

@@ -41,14 +41,23 @@ git clone https://git.antropoff.ru/DevOpsTools/hysteria2.git
 cd hysteria2
 git checkout salamander
 
+# macOS: установить Ansible (если ещё нет)
+brew install ansible
+
 make init
-# отредактировать inventory/hosts.yml, group_vars/all.yml, vault
+# отредактировать:
+#   inventory/hosts.yml
+#   group_vars/all.yml
+#   group_vars/hysteria2_servers/vault.yml
+#   group_vars/hysteria2_servers/vars.yml  (проброс vault → роль)
 
 make vault-encrypt
 make ping
 make install    # → output/index.html откроется в браузере
 ```
 
+После `make init` создаются локальные файлы из `.example` (не коммитятся). Пароль vault хранится в `.vault_pass`.
+
 ---
 
 ## Makefile
@@ -56,26 +65,31 @@ make install    # → output/index.html откроется в браузере
 | Команда | Описание |
 |---|---|
 | `make help` | Справка |
-| `make init` | Создать конфиги из `.example` |
+| `make init` | Создать конфиги из `.example` и `.vault_pass` |
+| `make check` | Проверить синтаксис playbook |
 | `make ping` | Проверить SSH к VPS |
 | `make status` | `systemctl status hysteria-server` |
 | `make install` | Установка Salamander + экспорт URL/QR/HTML |
-| `make update` | Обновить бинарник, конфиг, перевыпустить экспорт |
+| `make update` | Обновить бинарник и конфиг; экспорт только для новых/изменённых пользователей |
-| `make export` | Только экспорт (URL, QR, HTML) |
+| `make export` | Только экспорт (URL, QR, HTML) без изменений на сервере |
-| `make uninstall` | Полное удаление Hysteria2 с VPS + `output/<server>/` + пересборка `output/index.html` |
+| `make uninstall` | Полное удаление с VPS + `output/<server>/` + пересборка `output/index.html` |
-| `make vault-encrypt` | Зашифровать vault |
+| `make vault-init` | Создать `.vault_pass`, включить `vault_password_file` в `ansible.cfg` |
-| `make vault-edit` | Редактировать vault |
+| `make vault-encrypt` | Зашифровать `vault.yml` |
+| `make vault-edit` | Редактировать vault (редактор **nano**, см. `EDITOR` в Makefile) |
+| `make vault-view` | Показать расшифрованный vault |
 
 ```bash
 make install LIMIT=vps-de
 make update LIMIT=vps-nl
 make export
 make uninstall LIMIT=vps-de
-make uninstall LIMIT=vps-de EXTRA_VARS='hysteria2_uninstall_remove_local_output=false'
+make update EXTRA_VARS='hysteria2_force_export=true'   # перевыпустить URL/QR для всех
 make install EXTRA_VARS='hysteria2_open_browser=false'
 make update EXTRA_VARS='hysteria2_wait_for_acme=false'
 ```
 
+`LIMIT` — имя хоста из `inventory/hosts.yml` (например `vps-de`).
+
 ---
 
 ## Inventory
@@ -187,6 +201,7 @@ vault_hysteria2_user_passwords:
 Подключается через `group_vars/hysteria2_servers/vars.yml`:
 
 ```yaml
+hysteria2_user_passwords: "{{ vault_hysteria2_user_passwords[inventory_hostname] | default({}) }}"
 ```
 
 2. **Per-host в inventory:**
@@ -215,6 +230,7 @@ vault_hysteria2_obfs_passwords:
 Подключается через `group_vars/hysteria2_servers/vars.yml`:
 
 ```yaml
+hysteria2_obfs_password: "{{ vault_hysteria2_obfs_passwords[inventory_hostname] | default('') }}"
 ```
 
 2. **Авто:** Ansible `password` lookup (`hysteria2_obfs_password_length`) при первой установке  
@@ -222,6 +238,63 @@ vault_hysteria2_obfs_passwords:
 
 > **Важно:** obfs-пароль на сервере и клиенте должен **совпадать**. При `make update` без vault пароль сохраняется из предыдущего экспорта.
 
+Принудительно перевыпустить URL/QR для всех VPN-пользователей: `hysteria2_force_export: true`.
+
+### Добавить / удалить пользователя
+
+1. Отредактируйте `hysteria2_users` в `inventory/hosts.yml`.
+2. Запустите `make update LIMIT=<хост>`.
+
+Пароли и obfs существующих клиентов **не меняются** (из `server-info.yml`).  
+Новому пользователю генерируется пароль и создаются URL/QR с параметрами Salamander.  
+Удалённый пользователь пропадает из конфига и из `output/<server>/`.
+
+---
+
+## Установка бинарника Hysteria2
+
+Официальный скрипт `install_server.sh` хранится в `roles/hysteria2/files/`.
+
+Перед `make install` / `make update` на **control node**:
+
+1. Скачивается копия с https://get.hy2.sh/
+2. Сравнивается SHA256 с локальным файлом в роли
+3. При отличии — локальная копия обновляется
+4. Скрипт копируется на VPS и запускается оттуда
+
+---
+
+## `make update` — что меняется
+
+| Компонент | Поведение |
+|---|---|
+| Бинарник `hysteria` | Обновляется (`install_server.sh --force`) |
+| `/etc/hysteria/config.yaml` | Перекатывается (auth + obfs) |
+| Пароли VPN / obfs | Сохраняются для существующей конфигурации |
+| URL / QR | Только для новых, изменённых или при `hysteria2_force_export=true` |
+| `apt upgrade` | **Не** выполняется |
+| Ожидание ACME | **Не** выполняется |
+
+---
+
+## `make uninstall` — полная очистка
+
+На **VPS** (официальный `install_server.sh --remove` + дочистка Ansible):
+
+- бинарник `/usr/local/bin/hysteria` и unit-файлы systemd;
+- `/etc/hysteria/` (конфиг и ACME);
+- `/var/lib/hysteria` и пользователь `hysteria`;
+- symlink'и `multi-user.target.wants/hysteria-server*`;
+- временные `/tmp/hysteria-client-*.yaml`;
+- правила ufw: `443/tcp`, `443/udp` (порт из `hysteria2_listen_port`);
+- пакеты `curl`, `micro`, `qrencode`.
+
+На **control node**:
+
+- удаляется `output/<имя_сервера>/`;
+- пересобирается общий `output/index.html` (сервер убирается из списка; при `LIMIT=...` тоже);
+- если серверов не осталось — `output/index.html` удаляется.
+
 ---
 
 ## Let's Encrypt — обновление сертификата
@@ -301,18 +374,25 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 | `hysteria2_domain` | host | Домен для TLS/SNI/ACME |
 | `hysteria2_users` | host | VPN-пользователи |
 | `hysteria2_acme_email` | group | Email Let's Encrypt |
-| `hysteria2_user_passwords` | host/vault | Свои пароли VPN |
+| `hysteria2_user_passwords` | host/vault | Фиксированные пароли VPN |
-| `hysteria2_force_export` | group | Перегенерировать URL/QR для всех пользователей (`false` — только новые/изменённые) |
+| `hysteria2_password_length` | group | Длина автопароля VPN (40) |
+| `hysteria2_force_export` | group | Перегенерировать URL/QR для всех (`false`) |
 | `hysteria2_obfs_password` | host/vault | Пароль Salamander (или авто) |
 | `hysteria2_obfs_password_length` | group | Длина автопароля obfs (32) |
-| `hysteria2_output_dir` | group | Папка экспорта (по умолчанию `./output`) |
+| `hysteria2_output_dir` | group | Папка экспорта (`./output`) |
 | `hysteria2_listen_port` | group | Порт (443) |
+| `hysteria2_upgrade_system` | group | `apt upgrade` перед install |
+| `hysteria2_configure_firewall` | group | Открыть порты в ufw |
 | `hysteria2_generate_qr_png` | group | PNG QR через `qrencode` |
+| `hysteria2_wait_for_acme` | group | Пауза при первом ACME |
 | `hysteria2_open_browser` | group | Открыть `output/index.html` после экспорта |
-| `hysteria2_uninstall_remove_local_output` | group | Удалить `output/<server>/` при uninstall (по умолчанию `true`) |
+| `hysteria2_uninstall_rebuild_global_index` | group | Пересобрать `output/index.html` после uninstall (`true`) |
-| `hysteria2_uninstall_rebuild_global_index` | group | Пересобрать `output/index.html` после uninstall (по умолчанию `true`) |
+| `vault_ssh_passwords` | vault | SSH-пароли root |
+| `vault_hysteria2_user_passwords` | vault | VPN-пароли по серверам |
 | `vault_hysteria2_obfs_passwords` | vault | obfs-пароли по серверам |
 
+Полный список: `roles/hysteria2/defaults/main.yml`, `defaults/uninstall.yml`.
+
 ---
 
 ## Безопасность
@@ -326,11 +406,12 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 
 ## Требования
 
-- Ansible 2.14+
+- **Control node:** macOS или Linux с Ansible **2.14+** (`brew install ansible` на Mac)
-- Debian/Ubuntu VPS с sudo
+- **VPS:** Debian/Ubuntu с sudo
 - Домен с A-записью на IP (для ACME TLS)
+- Порт **443/tcp+udp** доступен с интернета
 - Клиент Hysteria2 с поддержкой Salamander (Shadowrocket, NekoBox, Hiddify и др.)
-- Для авто-открытия браузера: macOS или Linux с `xdg-open`
+- Для авто-открытия браузера: macOS (`open`) или Linux (`xdg-open`)
 
 ---
 
@@ -338,15 +419,30 @@ ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 
 ```
 roles/hysteria2/
+├── defaults/
+│   ├── main.yml
+│   └── uninstall.yml
+├── files/
+│   └── install_server.sh
 ├── tasks/
-│   ├── obfs.yml          ← генерация/загрузка obfs-пароля
+│   ├── main.yml
-│   ├── configure.yml     ← Salamander, без masquerade
+│   ├── validate.yml
-│   ├── export.yml        ← URL, QR, HTML сервера
+│   ├── users.yml
-│   └── export_global.yml ← общий output/index.html
+│   ├── obfs.yml              ← пароль Salamander obfs
+│   ├── sync_install_script.yml
+│   ├── install.yml
+│   ├── configure.yml         ← Salamander, без masquerade
+│   ├── update.yml
+│   ├── export_prepare.yml
+│   ├── export.yml
+│   ├── export_global.yml
+│   ├── share_user.yml
+│   ├── reuse_export_user.yml
+│   └── uninstall.yml
 └── templates/
-    ├── config.yaml.j2    ← acme tls + obfs salamander
+    ├── config.yaml.j2        ← acme tls + obfs salamander
-    ├── client.yaml.j2    ← клиент с obfs
+    ├── client.yaml.j2
-    └── export/           ← HTML-каталоги
+    └── export/
 ```
 
 ---

playbook-uninstall.yml

@@ -2,19 +2,27 @@
 - name: Uninstall Hysteria2 servers
   hosts: hysteria2_servers
   gather_facts: false
-  roles:
-    - role: hysteria2
-      tags: [uninstall]
-
-- name: Rebuild global output index after uninstall
-  hosts: localhost
-  connection: local
-  gather_facts: true
-  become: false
   tags: [uninstall]
   tasks:
-    - name: Regenerate output/index.html from remaining servers
+    - name: Run Hysteria2 uninstall tasks only
       ansible.builtin.include_role:
         name: hysteria2
-        tasks_from: export_global.yml
+        tasks_from: uninstall.yml
+
+- name: Rebuild global output index after uninstall
+  hosts: hysteria2_servers
+  gather_facts: false
+  tags: [uninstall]
+  tasks:
+    - name: Regenerate output/index.html without removed server
+      block:
+        - name: Run global export tasks
+          ansible.builtin.include_role:
+            name: hysteria2
+            tasks_from: export_global.yml
+      vars:
+        hysteria2_open_browser: false
+      run_once: true
+      delegate_to: localhost
+      become: false
       when: hysteria2_uninstall_rebuild_global_index | default(true) | bool

roles/hysteria2/defaults/main.yml

@@ -46,3 +46,10 @@ hysteria2_open_browser: true
 # Перегенерировать URL/QR для всех пользователей (иначе — только новые/изменённые)
 hysteria2_force_export: false
 
+# --- uninstall (см. также defaults/uninstall.yml) ---
+hysteria2_system_user: hysteria
+hysteria2_uninstall_remove_masq: false
+hysteria2_uninstall_rebuild_global_index: true
+hysteria2_uninstall_ufw_rules:
+  - "{{ hysteria2_listen_port }}/tcp"
+  - "{{ hysteria2_listen_port }}/udp"

roles/hysteria2/defaults/uninstall.yml

@@ -2,13 +2,9 @@
 # Системный пользователь Hysteria (создаётся install_server.sh)
 hysteria2_system_user: hysteria
 
-# --- uninstall (Salamander: без masq, порты 443/tcp+udp) ---
+# --- uninstall (Salamander: без masq, порты listen_port/tcp+udp) ---
-hysteria2_uninstall_remove_config: true
+# install_server.sh --remove: бинарник + systemd; остальное — задачи uninstall.yml
 hysteria2_uninstall_remove_masq: false
-hysteria2_uninstall_remove_system_user: true
-hysteria2_uninstall_remove_packages: true
-hysteria2_uninstall_remove_firewall_rules: true
-hysteria2_uninstall_remove_local_output: true
 hysteria2_uninstall_rebuild_global_index: true
 hysteria2_uninstall_ufw_rules:
   - "{{ hysteria2_listen_port }}/tcp"

roles/hysteria2/tasks/export_global.yml

@@ -56,6 +56,13 @@
   when: hysteria2_global_servers | default([]) | length > 0
   become: false
 
+- name: Remove global HTML index when no servers remain
+  ansible.builtin.file:
+    path: "{{ hysteria2_output_dir }}/index.html"
+    state: absent
+  when: hysteria2_global_servers | default([]) | length == 0
+  become: false
+
 - name: Open global index in default browser (macOS)
   ansible.builtin.command:
     cmd: open "{{ hysteria2_output_dir }}/index.html"
@@ -87,6 +94,6 @@
 
 - name: Skip global index when no servers exported
   ansible.builtin.debug:
-    msg: "Глобальный index.html не создан — нет server-info.yml в {{ hysteria2_output_dir }}/"
+    msg: "Глобальный {{ hysteria2_output_dir }}/index.html удалён — нет server-info.yml в output/"
   when: hysteria2_global_servers | default([]) | length == 0
   become: false

roles/hysteria2/tasks/uninstall.yml

@@ -1,14 +1,11 @@
 ---
-- name: Stop and disable hysteria-server
+- name: Stop and disable hysteria-server before removal
   ansible.builtin.systemd:
     name: "{{ hysteria2_service_name }}"
     enabled: false
     state: stopped
   failed_when: false
 
-- name: Sync official Hysteria2 install script on control node
-  ansible.builtin.import_tasks: sync_install_script.yml
-
 - name: Copy Hysteria2 install script to server
   ansible.builtin.copy:
     src: "{{ hysteria2_install_script_name }}"
@@ -22,18 +19,60 @@
   changed_when: _hysteria2_remove.rc == 0
   failed_when: false
 
+- name: Show official script removal output
+  ansible.builtin.debug:
+    msg: "{{ _hysteria2_remove.stdout_lines | default(['install_server.sh --remove: no output']) }}"
+  when: _hysteria2_remove.stdout_lines is defined
+
 - name: Remove Hysteria2 configuration and ACME data
   ansible.builtin.file:
-    path: "{{ hysteria2_config_path | dirname }}"
+    path: "{{ item }}"
     state: absent
-  when: hysteria2_uninstall_remove_config | bool
+  loop:
+    - "{{ hysteria2_config_path | dirname }}"
+    - "/var/lib/{{ hysteria2_system_user | default('hysteria') }}"
+
+- name: Remove enabled hysteria-server systemd symlink
+  ansible.builtin.file:
+    path: /etc/systemd/system/multi-user.target.wants/hysteria-server.service
+    state: absent
+  failed_when: false
+
+- name: Find enabled hysteria-server@ systemd symlinks
+  ansible.builtin.find:
+    paths: /etc/systemd/system/multi-user.target.wants
+    patterns: hysteria-server@*.service
+    file_type: file
+  register: _hysteria2_systemd_instance_wants
+  failed_when: false
+
+- name: Remove enabled hysteria-server@ systemd symlinks
+  ansible.builtin.file:
+    path: "{{ item.path }}"
+    state: absent
+  loop: "{{ _hysteria2_systemd_instance_wants.files | default([]) }}"
+  failed_when: false
 
 - name: Remove Hysteria system user and home directory
   ansible.builtin.user:
-    name: "{{ hysteria2_system_user }}"
+    name: "{{ hysteria2_system_user | default('hysteria') }}"
     state: absent
     remove: true
-  when: hysteria2_uninstall_remove_system_user | bool
+  failed_when: false
+
+- name: Find temporary Hysteria client configs on server
+  ansible.builtin.find:
+    paths: /tmp
+    patterns: hysteria-client-*.yaml
+    file_type: file
+  register: _hysteria2_tmp_client_configs
+  failed_when: false
+
+- name: Remove temporary Hysteria client configs on server
+  ansible.builtin.file:
+    path: "{{ item.path }}"
+    state: absent
+  loop: "{{ _hysteria2_tmp_client_configs.files | default([]) }}"
   failed_when: false
 
 - name: Check if ufw is available and active
@@ -41,7 +80,6 @@
   register: _hysteria2_ufw_status
   changed_when: false
   failed_when: false
-  when: hysteria2_uninstall_remove_firewall_rules | bool
 
 - name: Remove firewall rules added during install
   ansible.builtin.command: "ufw delete allow {{ item }}"
@@ -52,9 +90,7 @@
     and 'Could not delete' not in (_hysteria2_ufw_delete.stdout | default(''))
     and 'Could not find' not in (_hysteria2_ufw_delete.stderr | default(''))
   failed_when: false
-  when:
+  when: "'active' in (_hysteria2_ufw_status.stdout | default(''))"
-    - hysteria2_uninstall_remove_firewall_rules | bool
-    - "'active' in (_hysteria2_ufw_status.stdout | default(''))"
 
 - name: Remove packages installed for Hysteria2
   ansible.builtin.apt:
@@ -66,9 +102,8 @@
     _hysteria2_apt_packages: >-
       {{
         ['curl', 'micro']
-        + (['qrencode'] if hysteria2_generate_qr_png | bool else [])
+        + (['qrencode'] if hysteria2_generate_qr_png | default(true) | bool else [])
       }}
-  when: hysteria2_uninstall_remove_packages | bool
 
 - name: Remove copied install script from server
   ansible.builtin.file:
@@ -79,23 +114,18 @@
   ansible.builtin.systemd:
     daemon_reload: true
 
-- name: Remove local exported client files
+- name: Remove local output directory for this server
   ansible.builtin.file:
     path: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}"
     state: absent
   delegate_to: localhost
   become: false
-  when: hysteria2_uninstall_remove_local_output | bool
 
 - name: Show uninstall result
   ansible.builtin.debug:
     msg: >-
       Hysteria2 (Salamander) полностью удалён с {{ inventory_hostname }}.
-      {% if hysteria2_uninstall_remove_local_output | bool %}
+      Локальная папка {{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/ удалена.
-      Локальные URL/QR в {{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/ удалены.
+      {% if hysteria2_uninstall_rebuild_global_index | default(true) | bool %}
-      {% if hysteria2_uninstall_rebuild_global_index | bool %}
+      {{ hysteria2_output_dir }}/index.html будет пересобран без этого сервера.
-      Глобальный {{ hysteria2_output_dir }}/index.html пересобран.
-      {% endif %}
-      {% else %}
-      Локальные URL/QR в {{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/ сохранены.
       {% endif %}