Compare commits
4 Commits
main
...
4242093ca1
| Author | SHA1 | Date | |
|---|---|---|---|
 Sergey Antropoff
|
4242093ca1 | ||
|
Sergey Antropoff
|
e3d3103dc2 | ||
|
Sergey Antropoff
|
63b21d5df6 | ||
|
Sergey Antropoff
|
0aec9e6e54 |
@@ -5,6 +5,8 @@
|
||||
SHELL := /bin/bash
|
||||
.DEFAULT_GOAL := help
|
||||
|
||||
export EDITOR="nano"
|
||||
|
||||
ANSIBLE ?= ansible-playbook
|
||||
ANSIBLE_ADHOC ?= ansible
|
||||
INVENTORY ?= inventory/hosts.yml
|
||||
@@ -60,7 +62,7 @@ init: ## Создать inventory, group_vars и .vault_pass из примеро
|
||||
@echo "$(GREEN)Готово. Отредактируйте:$(NC)"
|
||||
@echo " inventory/hosts.yml"
|
||||
@echo " group_vars/all.yml"
|
||||
@echo " group_vars/hysteria2_servers/vault.yml → затем: make vault-encrypt"
|
||||
@echo " group_vars/hysteria2_servers/vault.yml → затем: make vault-encrypt"
|
||||
|
||||
check: ## Проверить синтаксис playbook
|
||||
$(ANSIBLE) playbook.yml --syntax-check $(VAULT_ARGS)
|
||||
|
||||
@@ -1,23 +1,56 @@
|
||||
# Ansible-роль: Hysteria2 Server
|
||||
# Hysteria2 Ansible — ветка **Salamander**
|
||||
|
||||
Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS: ACME-сертификат, masquerade под nginx, несколько пользователей, экспорт URL/QR и HTML-каталог.
|
||||
> **Ветка:** `salamander`
|
||||
> **Режим:** **Salamander obfs** — запутывание пакетов для обхода DPI
|
||||
> **Основная ветка:** [`main`](https://git.antropoff.ru/DevOpsTools/hysteria2/src/branch/main) — masquerade под HTTPS-сайт nginx
|
||||
|
||||
Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS с **Salamander obfs** — когда masquerade под «обычный сайт» недостаточен.
|
||||
|
||||
---
|
||||
|
||||
## Выбор ветки: `main` или `salamander`
|
||||
|
||||
| | **`main`** | **`salamander` (эта ветка)** |
|
||||
|---|---|---|
|
||||
| Маскировка | HTTPS-сайт nginx + Let's Encrypt | **Salamander obfs** — пакеты выглядят как шум |
|
||||
| Порт 80/tcp | **Нужен** (ACME HTTP + masquerade) | **Не нужен** |
|
||||
| ACME | `type: http` | `type: tls` (TLS-ALPN на 443) |
|
||||
| Сайт-заглушка | `/var/www/masq` (nginx welcome) | **Нет** |
|
||||
| Obfs-пароль | — | **Обязателен** (один на сервер) |
|
||||
| URI клиента | `hysteria2://user:pass@domain:443` | + `obfs=salamander&obfs-password=...` |
|
||||
| Лучше когда | Нужен «легитимный» сайт в браузере | Агрессивный DPI, блокировка QUIC fingerprint |
|
||||
|
||||
### Когда выбирать `salamander`
|
||||
|
||||
- masquerade из `main` **блокируют** или распознают по fingerprint;
|
||||
- не нужен фейковый сайт в браузере;
|
||||
- готовы хранить **дополнительный** obfs-пароль.
|
||||
|
||||
### Когда выбирать `main`
|
||||
|
||||
- нужен **нормальный HTTPS-сайт** при открытии домена;
|
||||
- достаточно маскировки под nginx;
|
||||
- хотите **минимум параметров** в URI клиента.
|
||||
|
||||
---
|
||||
|
||||
## Быстрый старт
|
||||
|
||||
```bash
|
||||
cd ~/Разработка/hysteria2
|
||||
git clone https://git.antropoff.ru/DevOpsTools/hysteria2.git
|
||||
cd hysteria2
|
||||
git checkout salamander
|
||||
|
||||
make init # inventory, group_vars, vault, .vault_pass
|
||||
# отредактировать:
|
||||
# inventory/hosts.yml
|
||||
# group_vars/all.yml
|
||||
# group_vars/hysteria2_servers/vault.yml
|
||||
make init
|
||||
# отредактировать inventory/hosts.yml, group_vars/all.yml, vault
|
||||
|
||||
make vault-encrypt # зашифровать пароли VPS
|
||||
make ping # проверить SSH
|
||||
make install # установка → output/ → браузер откроется сам
|
||||
make vault-encrypt
|
||||
make ping
|
||||
make install # → output/index.html откроется в браузере
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Makefile
|
||||
|
||||
| Команда | Описание |
|
||||
@@ -26,23 +59,24 @@ make install # установка → output/ → браузер отк
|
||||
| `make init` | Создать конфиги из `.example` |
|
||||
| `make ping` | Проверить SSH к VPS |
|
||||
| `make status` | `systemctl status hysteria-server` |
|
||||
| `make install` | Установка + экспорт + `output/index.html` + открытие в браузере |
|
||||
| `make install` | Установка Salamander + экспорт URL/QR/HTML |
|
||||
| `make update` | Обновить бинарник, конфиг, перевыпустить экспорт |
|
||||
| `make export` | Только экспорт URL/QR/HTML |
|
||||
| `make export` | Только экспорт (URL, QR, HTML) |
|
||||
| `make uninstall` | Удалить Hysteria2 с VPS |
|
||||
| `make vault-encrypt` | Зашифровать vault |
|
||||
| `make vault-edit` | Редактировать vault |
|
||||
|
||||
### Примеры
|
||||
|
||||
```bash
|
||||
make install LIMIT=vps-de
|
||||
make update LIMIT=vps-nl
|
||||
make export
|
||||
make uninstall LIMIT=vps-de EXTRA_VARS='hysteria2_uninstall_remove_local_output=true'
|
||||
make install EXTRA_VARS='hysteria2_open_browser=false' # без авто-открытия браузера
|
||||
make install EXTRA_VARS='hysteria2_open_browser=false'
|
||||
make update EXTRA_VARS='hysteria2_wait_for_acme=false'
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Inventory
|
||||
|
||||
```yaml
|
||||
@@ -55,7 +89,7 @@ all:
|
||||
ansible_port: 2222 # SSH-порт (если не 22)
|
||||
ansible_user: root
|
||||
ansible_password: "{{ vault_ssh_passwords['vps-de'] }}"
|
||||
hysteria2_domain: vpn-de.example.com
|
||||
hysteria2_domain: vpn-de.example.com # для TLS/SNI и ACME
|
||||
hysteria2_users:
|
||||
- my
|
||||
- friend
|
||||
@@ -70,7 +104,7 @@ all:
|
||||
- bob
|
||||
```
|
||||
|
||||
### SSH-подключение к VPS
|
||||
### SSH (VPS)
|
||||
|
||||
| Параметр | Где | Описание |
|
||||
|---|---|---|
|
||||
@@ -78,7 +112,7 @@ all:
|
||||
| `ansible_port` | inventory | SSH-порт (по умолчанию `22`) |
|
||||
| `ansible_user` | inventory | Пользователь SSH (обычно `root`) |
|
||||
| `ansible_password` | inventory + vault | Пароль из `vault_ssh_passwords` |
|
||||
| `ansible_ssh_private_key_file` | inventory | Альтернатива паролю — SSH-ключ |
|
||||
| `ansible_ssh_private_key_file` | inventory | Альтернатива — SSH-ключ |
|
||||
|
||||
```yaml
|
||||
# group_vars/hysteria2_servers/vault.yml
|
||||
@@ -89,9 +123,59 @@ vault_ssh_passwords:
|
||||
|
||||
Ключи в `vault_ssh_passwords` совпадают с **именами хостов** в inventory.
|
||||
|
||||
## Пароли VPN-пользователей
|
||||
---
|
||||
|
||||
1. **Vault** (рекомендуется):
|
||||
## Как работает Salamander в этом проекте
|
||||
|
||||
### Сервер (`/etc/hysteria/config.yaml`)
|
||||
|
||||
```yaml
|
||||
listen: 0.0.0.0:443
|
||||
|
||||
acme:
|
||||
type: tls # сертификат без порта 80
|
||||
domains:
|
||||
- vpn-de.example.com
|
||||
email: admin@example.com
|
||||
|
||||
auth:
|
||||
type: userpass
|
||||
userpass:
|
||||
my: "..."
|
||||
friend: "..."
|
||||
|
||||
obfs:
|
||||
type: salamander
|
||||
salamander:
|
||||
password: "общий_obfs_пароль_сервера"
|
||||
```
|
||||
|
||||
### Клиент (генерируется автоматически)
|
||||
|
||||
```yaml
|
||||
server: vpn-de.example.com:443
|
||||
auth: my:password
|
||||
obfs:
|
||||
type: salamander
|
||||
salamander:
|
||||
password: общий_obfs_пароль_сервера
|
||||
```
|
||||
|
||||
### URI (пример)
|
||||
|
||||
```
|
||||
hysteria2://my:password@vpn-de.example.com:443?obfs=salamander&obfs-password=OBFS_PASS#my
|
||||
```
|
||||
|
||||
Роль вызывает `hysteria share` — URI и QR уже содержат параметры Salamander.
|
||||
|
||||
---
|
||||
|
||||
## Пароли
|
||||
|
||||
### VPN-пользователи (`userpass`)
|
||||
|
||||
1. **Vault (рекомендуется):**
|
||||
|
||||
```yaml
|
||||
vault_hysteria2_user_passwords:
|
||||
@@ -99,54 +183,99 @@ vault_hysteria2_user_passwords:
|
||||
friend: "Aingae0Okit1eek4eeZahFohVei4akee"
|
||||
```
|
||||
|
||||
2. **Per-host в inventory**:
|
||||
Подключается через `group_vars/hysteria2_servers/vars.yml`:
|
||||
|
||||
```yaml
|
||||
```
|
||||
|
||||
2. **Per-host в inventory:**
|
||||
|
||||
```yaml
|
||||
hysteria2_user_passwords:
|
||||
friend: "custom-password"
|
||||
```
|
||||
|
||||
3. **Автогенерация** — `pwgen -s 40`, если пароль не задан.
|
||||
3. **Автогенерация** — Ansible `password` lookup (длина `hysteria2_password_length`), если пароль не задан.
|
||||
|
||||
При `make update` пароли подтягиваются из `output/<server>/server-info.yml`, если не указаны в vault/inventory.
|
||||
|
||||
### Salamander obfs (один на сервер)
|
||||
|
||||
1. **Vault (рекомендуется):**
|
||||
|
||||
```yaml
|
||||
vault_hysteria2_obfs_passwords:
|
||||
vps-de: "cry_me_a_r1ver_salamander_obfs"
|
||||
```
|
||||
|
||||
Подключается через `group_vars/hysteria2_servers/vars.yml`:
|
||||
|
||||
```yaml
|
||||
```
|
||||
|
||||
2. **Авто:** Ansible `password` lookup (`hysteria2_obfs_password_length`) при первой установке
|
||||
3. **При update:** загружается из `output/<server>/server-info.yml`
|
||||
|
||||
> **Важно:** obfs-пароль на сервере и клиенте должен **совпадать**. При `make update` без vault пароль сохраняется из предыдущего экспорта.
|
||||
|
||||
---
|
||||
|
||||
## Let's Encrypt — обновление сертификата
|
||||
|
||||
**Да, Hysteria2 обновляет сертификат автоматически.**
|
||||
|
||||
При блоке `acme:` в конфиге встроенный ACME-клиент Hysteria2 сам получает и **продлевает** сертификат Let's Encrypt (срок ~90 дней). Повторный `make install` или certbot для продления **не нужны** — процесс `hysteria-server` делает это сам.
|
||||
|
||||
**Условия для авто-продления (ветка `salamander`):**
|
||||
|
||||
- сервер **запущен** и доступен из интернета;
|
||||
- домен указывает на IP VPS;
|
||||
- порт **443/tcp** открыт (ACME TLS-ALPN challenge);
|
||||
- конфиг `acme` не удалён.
|
||||
|
||||
Проверка логов: `journalctl -u hysteria-server -f`
|
||||
|
||||
---
|
||||
|
||||
## Firewall
|
||||
|
||||
По умолчанию открываются только порты Hysteria2:
|
||||
|
||||
- **443/tcp**
|
||||
- **443/udp**
|
||||
|
||||
**Порт 80 не используется** — в отличие от ветки `main`.
|
||||
|
||||
---
|
||||
|
||||
## Результат: папка `output/`
|
||||
|
||||
```
|
||||
output/
|
||||
├── index.html ← общий каталог всех серверов (открывается в браузере)
|
||||
├── index.html ← все серверы (открывается в браузере)
|
||||
├── vps-de/
|
||||
│ ├── index.html ← страница сервера
|
||||
│ ├── my.url
|
||||
│ ├── my.png ← QR PNG
|
||||
│ ├── my.qr.txt ← QR ASCII
|
||||
│ ├── index.html ← страница сервера + obfs-пароль
|
||||
│ ├── my.url ← URI с obfs=salamander
|
||||
│ ├── my.png ← QR PNG
|
||||
│ ├── my.qr.txt ← QR ASCII
|
||||
│ ├── my.txt
|
||||
│ └── server-info.yml
|
||||
│ └── server-info.yml ← mode, obfs_password, users
|
||||
└── vps-nl/
|
||||
└── ...
|
||||
```
|
||||
|
||||
### HTML-страницы
|
||||
HTML-страницы показывают:
|
||||
|
||||
**`output/index.html`** — общий каталог:
|
||||
- все серверы и пользователи на одной странице
|
||||
- навигация по серверам
|
||||
- поля ссылки/пароля с кнопкой копирования
|
||||
- QR-коды
|
||||
- ссылки на файлы и страницы серверов
|
||||
|
||||
**`output/<server>/index.html`** — страница одного сервера (тот же стиль, все пользователи сервера).
|
||||
- режим **Salamander** и **obfs-password** с кнопкой копирования;
|
||||
- пароль и URL каждого пользователя;
|
||||
- QR-коды;
|
||||
- ссылки на файлы и страницы серверов.
|
||||
|
||||
После `make install`, `make update` и `make export` **`output/index.html` автоматически открывается в браузере** (macOS: `open`, Linux: `xdg-open`).
|
||||
|
||||
Отключить авто-открытие:
|
||||
Отключить: `hysteria2_open_browser: false` в `group_vars/all.yml` или `EXTRA_VARS`.
|
||||
|
||||
```yaml
|
||||
# group_vars/all.yml
|
||||
hysteria2_open_browser: false
|
||||
```
|
||||
|
||||
Или: `make install EXTRA_VARS='hysteria2_open_browser=false'`
|
||||
---
|
||||
|
||||
## QR-коды
|
||||
|
||||
@@ -158,29 +287,80 @@ PNG генерируются средствами Ansible (без Python):
|
||||
|
||||
ASCII QR — `hysteria share --qr` → `user.qr.txt`.
|
||||
|
||||
---
|
||||
|
||||
## Переменные
|
||||
|
||||
| Переменная | Где | Описание |
|
||||
|---|---|---|
|
||||
| `hysteria2_domain` | host | Домен с A-записью на IP |
|
||||
| `hysteria2_users` | host | Список имён VPN-пользователей |
|
||||
| `hysteria2_acme_email` | group | Email для Let's Encrypt |
|
||||
| `hysteria2_mode` | defaults | `salamander` (информативно) |
|
||||
| `hysteria2_domain` | host | Домен для TLS/SNI/ACME |
|
||||
| `hysteria2_users` | host | VPN-пользователи |
|
||||
| `hysteria2_acme_email` | group | Email Let's Encrypt |
|
||||
| `hysteria2_user_passwords` | host/vault | Свои пароли VPN |
|
||||
| `hysteria2_obfs_password` | host/vault | Пароль Salamander (или авто) |
|
||||
| `hysteria2_obfs_password_length` | group | Длина автопароля obfs (32) |
|
||||
| `hysteria2_output_dir` | group | Папка экспорта (по умолчанию `./output`) |
|
||||
| `hysteria2_output_name` | host | Имя подпапки (по умолчанию `inventory_hostname`) |
|
||||
| `hysteria2_listen_port` | group | Порт (443) |
|
||||
| `hysteria2_generate_qr_png` | group | PNG QR через `qrencode` |
|
||||
| `hysteria2_open_browser` | group | Открыть `output/index.html` после экспорта |
|
||||
| `hysteria2_uninstall_remove_local_output` | extra-vars | Удалить `output/<server>/` при uninstall |
|
||||
| `vault_hysteria2_obfs_passwords` | vault | obfs-пароли по серверам |
|
||||
|
||||
---
|
||||
|
||||
## Безопасность
|
||||
|
||||
- `output/` содержит пароли и URL — в `.gitignore`
|
||||
- `output/` содержит пароли, obfs-ключи и URL — **не коммитить** (в `.gitignore`)
|
||||
- `inventory/hosts.yml`, `vault.yml`, `.vault_pass` — не коммитить
|
||||
- После `make init` выполните `make vault-encrypt`
|
||||
- Salamander **не делает** вас невидимым: IP VPS и UDP-поток всё ещё можно анализировать
|
||||
|
||||
---
|
||||
|
||||
## Требования
|
||||
|
||||
- Ansible 2.14+
|
||||
- Debian/Ubuntu VPS с sudo
|
||||
- Домен с A-записью на IP сервера
|
||||
- Домен с A-записью на IP (для ACME TLS)
|
||||
- Клиент Hysteria2 с поддержкой Salamander (Shadowrocket, NekoBox, Hiddify и др.)
|
||||
- Для авто-открытия браузера: macOS или Linux с `xdg-open`
|
||||
|
||||
---
|
||||
|
||||
## Структура роли
|
||||
|
||||
```
|
||||
roles/hysteria2/
|
||||
├── tasks/
|
||||
│ ├── obfs.yml ← генерация/загрузка obfs-пароля
|
||||
│ ├── configure.yml ← Salamander, без masquerade
|
||||
│ ├── export.yml ← URL, QR, HTML сервера
|
||||
│ └── export_global.yml ← общий output/index.html
|
||||
└── templates/
|
||||
├── config.yaml.j2 ← acme tls + obfs salamander
|
||||
├── client.yaml.j2 ← клиент с obfs
|
||||
└── export/ ← HTML-каталоги
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Переключение между ветками
|
||||
|
||||
```bash
|
||||
git fetch origin
|
||||
git checkout main # masquerade + nginx
|
||||
git checkout salamander # Salamander obfs (эта ветка)
|
||||
```
|
||||
|
||||
Конфиги на **уже установленном** сервере **не меняются** при переключении ветки в git.
|
||||
Чтобы применить другой режим на VPS:
|
||||
|
||||
```bash
|
||||
git checkout main # или salamander
|
||||
make install # перекатит конфиг сервера
|
||||
# или
|
||||
make update
|
||||
```
|
||||
|
||||
> Переключение режима **меняет** `/etc/hysteria/config.yaml` на сервере. Клиентские URI/QR нужно **перевыпустить** (`make export` или `make update`).
|
||||
|
||||
+2
-1
@@ -3,7 +3,8 @@ inventory = inventory/hosts.yml
|
||||
roles_path = roles
|
||||
host_key_checking = False
|
||||
retry_files_enabled = False
|
||||
stdout_callback = yaml
|
||||
stdout_callback = default
|
||||
result_format = yaml
|
||||
interpreter_python = auto_silent
|
||||
|
||||
[privilege_escalation]
|
||||
|
||||
@@ -2,7 +2,7 @@
|
||||
# Email для Let's Encrypt (ACME)
|
||||
hysteria2_acme_email: admin@example.com
|
||||
|
||||
# Длина автогенерируемых паролей (pwgen)
|
||||
# Длина автогенерируемых паролей VPN-пользователей
|
||||
hysteria2_password_length: 40
|
||||
|
||||
# Обновлять систему перед установкой (apt update && apt upgrade)
|
||||
@@ -17,8 +17,11 @@ hysteria2_output_dir: "{{ playbook_dir }}/output"
|
||||
# Открывать output/index.html в браузере после install/update/export
|
||||
# hysteria2_open_browser: true
|
||||
|
||||
# Порт Hysteria2
|
||||
# Порт Hysteria2 (Salamander — достаточно открыть только его, 80/tcp не нужен)
|
||||
hysteria2_listen_port: 443
|
||||
|
||||
# Открывать порты в ufw (80/tcp, 443/tcp, 443/udp)
|
||||
# Открывать порты в ufw ({{ hysteria2_listen_port }}/tcp и /udp)
|
||||
hysteria2_configure_firewall: true
|
||||
|
||||
# Длина пароля Salamander obfs
|
||||
# hysteria2_obfs_password_length: 32
|
||||
|
||||
@@ -3,3 +3,5 @@
|
||||
# Файл group_vars/hysteria2_servers/vault.yml должен быть зашифрован (make vault-encrypt).
|
||||
|
||||
# Проброс VPN-паролей из vault в переменные роли (опционально)
|
||||
|
||||
# Опционально: фиксированный пароль Salamander obfs для сервера
|
||||
|
||||
@@ -14,5 +14,8 @@ vault_ssh_passwords:
|
||||
# vault_hysteria2_user_passwords:
|
||||
# vps-de:
|
||||
# friend: "Aingae0Okit1eek4eeZahFohVei4akee"
|
||||
# vps-nl:
|
||||
# alice: "CustomAlicePassword40chars................"
|
||||
|
||||
# Опционально: пароль Salamander obfs (один на сервер)
|
||||
# vault_hysteria2_obfs_passwords:
|
||||
# vps-de: "cry_me_a_r1ver_salamander_obfs_pass"
|
||||
# vps-nl: "another_obfs_password_32chars!!"
|
||||
|
||||
@@ -1,5 +1,8 @@
|
||||
---
|
||||
# Домен сервера (A-запись → IP VPS). Задаётся per-host в inventory.
|
||||
# Режим развёртывания (ветка salamander)
|
||||
hysteria2_mode: salamander
|
||||
|
||||
# Домен сервера (A-запись → IP VPS). Используется для TLS/SNI и ACME.
|
||||
hysteria2_domain: ""
|
||||
|
||||
# Email для ACME / Let's Encrypt
|
||||
@@ -9,34 +12,31 @@ hysteria2_acme_email: ""
|
||||
hysteria2_users: []
|
||||
|
||||
# Опционально: фиксированные пароли { username: password }
|
||||
# Пустое значение или отсутствие ключа — автогенерация через pwgen
|
||||
|
||||
# Пароль обфускации Salamander (общий для сервера).
|
||||
# Пусто — автогенерация на control node (Ansible password lookup) или загрузка из output/<server>/server-info.yml
|
||||
hysteria2_obfs_password: ""
|
||||
|
||||
hysteria2_password_length: 40
|
||||
hysteria2_obfs_password_length: 32
|
||||
hysteria2_listen_port: 443
|
||||
hysteria2_upgrade_system: true
|
||||
hysteria2_configure_firewall: true
|
||||
|
||||
hysteria2_masq_dir: /var/www/masq
|
||||
hysteria2_config_path: /etc/hysteria/config.yaml
|
||||
hysteria2_service_name: hysteria-server
|
||||
|
||||
# Локальный каталог для экспорта URL и QR (на control node)
|
||||
hysteria2_output_dir: "{{ playbook_dir }}/output"
|
||||
hysteria2_output_name: "{{ inventory_hostname }}"
|
||||
|
||||
# Генерировать PNG QR-коды через qrencode (apt на VPS, fetch на control node)
|
||||
hysteria2_generate_qr_png: true
|
||||
hysteria2_qr_png_size: 6
|
||||
hysteria2_qr_png_margin: 2
|
||||
hysteria2_qr_png_error_correction: M
|
||||
|
||||
# Ждать ACME при первом запуске (отключите при update: make update)
|
||||
hysteria2_wait_for_acme: true
|
||||
|
||||
# Открыть output/index.html в браузере после install/update/export
|
||||
hysteria2_open_browser: true
|
||||
|
||||
# --- uninstall ---
|
||||
hysteria2_uninstall_remove_config: true
|
||||
hysteria2_uninstall_remove_masq: true
|
||||
hysteria2_uninstall_remove_local_output: false
|
||||
|
||||
@@ -2,7 +2,7 @@
|
||||
galaxy_info:
|
||||
role_name: hysteria2
|
||||
author: inecs
|
||||
description: Install Hysteria2 VPN server with masquerade site and export client URLs with QR codes
|
||||
description: Install Hysteria2 VPN server with Salamander obfs and export client URLs with QR codes
|
||||
license: MIT
|
||||
min_ansible_version: "2.14"
|
||||
platforms:
|
||||
|
||||
@@ -1,24 +1,11 @@
|
||||
---
|
||||
- name: Create masquerade web directory
|
||||
ansible.builtin.file:
|
||||
path: "{{ hysteria2_masq_dir }}"
|
||||
state: directory
|
||||
mode: "0755"
|
||||
|
||||
- name: Deploy masquerade index.html
|
||||
ansible.builtin.template:
|
||||
src: masq/index.html.j2
|
||||
dest: "{{ hysteria2_masq_dir }}/index.html"
|
||||
mode: "0644"
|
||||
notify: Restart hysteria-server
|
||||
|
||||
- name: Remove default Hysteria config if present
|
||||
ansible.builtin.file:
|
||||
path: "{{ hysteria2_config_path }}"
|
||||
state: absent
|
||||
when: not ansible_check_mode
|
||||
|
||||
- name: Deploy Hysteria2 server config
|
||||
- name: Deploy Hysteria2 Salamander server config
|
||||
ansible.builtin.template:
|
||||
src: config.yaml.j2
|
||||
dest: "{{ hysteria2_config_path }}"
|
||||
@@ -42,12 +29,11 @@
|
||||
failed_when: false
|
||||
when: hysteria2_configure_firewall | bool
|
||||
|
||||
- name: Allow HTTP and HTTPS in ufw
|
||||
- name: Allow Hysteria2 port in ufw (Salamander — только {{ hysteria2_listen_port }})
|
||||
ansible.builtin.command: "ufw allow {{ item }}"
|
||||
loop:
|
||||
- 80/tcp
|
||||
- 443/tcp
|
||||
- 443/udp
|
||||
- "{{ hysteria2_listen_port }}/tcp"
|
||||
- "{{ hysteria2_listen_port }}/udp"
|
||||
register: _hysteria2_ufw_allow
|
||||
changed_when: "'Skipping' not in (_hysteria2_ufw_allow.stdout | default(''))"
|
||||
failed_when: false
|
||||
@@ -55,10 +41,10 @@
|
||||
- hysteria2_configure_firewall | bool
|
||||
- "'active' in (_hysteria2_ufw_status.stdout | default(''))"
|
||||
|
||||
- name: Wait for ACME certificate (first start may take several minutes)
|
||||
- name: Wait for ACME TLS certificate (first start may take several minutes)
|
||||
ansible.builtin.pause:
|
||||
seconds: 30
|
||||
prompt: "Ожидание получения ACME-сертификата для {{ hysteria2_domain }}..."
|
||||
prompt: "Ожидание получения ACME TLS-сертификата для {{ hysteria2_domain }}..."
|
||||
when: hysteria2_wait_for_acme | default(true) | bool
|
||||
|
||||
- name: Verify hysteria-server is running
|
||||
|
||||
@@ -31,8 +31,10 @@
|
||||
mode: "0600"
|
||||
content: |
|
||||
server: {{ hysteria2_output_name }}
|
||||
mode: salamander
|
||||
domain: {{ hysteria2_domain }}
|
||||
port: {{ hysteria2_listen_port }}
|
||||
obfs_password: "{{ hysteria2_obfs_password }}"
|
||||
users:
|
||||
{% for user in hysteria2_export_users %}
|
||||
- name: {{ user.name }}
|
||||
@@ -53,6 +55,7 @@
|
||||
mode: "0644"
|
||||
vars:
|
||||
generated_at: "{{ ansible_date_time.date }} {{ ansible_date_time.time }}"
|
||||
hysteria2_obfs_password: "{{ hysteria2_obfs_password }}"
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
|
||||
|
||||
@@ -33,6 +33,8 @@
|
||||
name: "{{ _info.server }}"
|
||||
domain: "{{ _info.domain }}"
|
||||
port: "{{ _info.port }}"
|
||||
mode: "{{ _info.mode | default('salamander') }}"
|
||||
obfs_password: "{{ _info.obfs_password | default('') }}"
|
||||
dir: "{{ item.item.path | dirname | basename }}"
|
||||
users: "{{ _info.users }}"
|
||||
become: false
|
||||
|
||||
@@ -11,7 +11,7 @@
|
||||
ansible.builtin.apt:
|
||||
upgrade: dist
|
||||
|
||||
- name: Install curl, micro, pwgen and qrencode
|
||||
- name: Install curl, micro and qrencode
|
||||
ansible.builtin.apt:
|
||||
name: "{{ _hysteria2_apt_packages }}"
|
||||
state: present
|
||||
@@ -19,7 +19,7 @@
|
||||
vars:
|
||||
_hysteria2_apt_packages: >-
|
||||
{{
|
||||
['curl', 'micro', 'pwgen']
|
||||
['curl', 'micro']
|
||||
+ (['qrencode'] if hysteria2_generate_qr_png | bool else [])
|
||||
}}
|
||||
|
||||
|
||||
@@ -7,6 +7,10 @@
|
||||
ansible.builtin.import_tasks: users.yml
|
||||
tags: [install, update, export]
|
||||
|
||||
- name: Resolve Salamander obfs password
|
||||
ansible.builtin.import_tasks: obfs.yml
|
||||
tags: [install, update, export]
|
||||
|
||||
- name: Install packages and Hysteria2 binary
|
||||
ansible.builtin.import_tasks: install.yml
|
||||
tags: [install]
|
||||
|
||||
@@ -0,0 +1,58 @@
|
||||
---
|
||||
- name: Check for saved Salamander password from previous install
|
||||
ansible.builtin.stat:
|
||||
path: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/server-info.yml"
|
||||
register: _hysteria2_saved_info
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
- export
|
||||
|
||||
- name: Load saved Salamander obfs password
|
||||
when: _hysteria2_saved_info.stat.exists
|
||||
block:
|
||||
- name: Read server-info.yml for obfs password
|
||||
ansible.builtin.slurp:
|
||||
path: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/server-info.yml"
|
||||
register: _hysteria2_saved_info_raw
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
|
||||
- name: Parse saved obfs password
|
||||
ansible.builtin.set_fact:
|
||||
_hysteria2_saved_obfs_password: "{{ (_hysteria2_saved_info_raw.content | b64decode | from_yaml).obfs_password | default('') }}"
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
- export
|
||||
|
||||
- name: Resolve Salamander obfs password
|
||||
ansible.builtin.set_fact:
|
||||
hysteria2_obfs_password: >-
|
||||
{{
|
||||
hysteria2_obfs_password
|
||||
| default(_hysteria2_saved_obfs_password | default(''), true)
|
||||
}}
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
- export
|
||||
|
||||
- name: Generate Salamander obfs password
|
||||
ansible.builtin.set_fact:
|
||||
hysteria2_obfs_password: >-
|
||||
{{
|
||||
lookup(
|
||||
'password',
|
||||
'/dev/null chars=ascii_letters,digits length=' ~ (hysteria2_obfs_password_length | string)
|
||||
)
|
||||
}}
|
||||
when: hysteria2_obfs_password | length == 0
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
- export
|
||||
@@ -34,6 +34,8 @@
|
||||
Domain: {{ hysteria2_domain }}:{{ hysteria2_listen_port }}
|
||||
User: {{ hysteria2_current_user.name }}
|
||||
Password: {{ hysteria2_current_user.password }}
|
||||
Mode: salamander
|
||||
Obfs password: {{ hysteria2_obfs_password }}
|
||||
|
||||
URL:
|
||||
{{ _hysteria2_client_url }}
|
||||
|
||||
@@ -19,12 +19,6 @@
|
||||
state: absent
|
||||
when: hysteria2_uninstall_remove_config | bool
|
||||
|
||||
- name: Remove masquerade web directory
|
||||
ansible.builtin.file:
|
||||
path: "{{ hysteria2_masq_dir }}"
|
||||
state: absent
|
||||
when: hysteria2_uninstall_remove_masq | bool
|
||||
|
||||
- name: Reload systemd after uninstall
|
||||
ansible.builtin.systemd:
|
||||
daemon_reload: true
|
||||
@@ -32,7 +26,7 @@
|
||||
- name: Show uninstall result
|
||||
ansible.builtin.debug:
|
||||
msg: >-
|
||||
Hysteria2 удалён с {{ inventory_hostname }}.
|
||||
Hysteria2 (Salamander) удалён с {{ inventory_hostname }}.
|
||||
{% if not hysteria2_uninstall_remove_local_output | bool %}
|
||||
Локальные URL/QR в {{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/ сохранены.
|
||||
{% endif %}
|
||||
|
||||
@@ -60,16 +60,24 @@
|
||||
- update
|
||||
- export
|
||||
|
||||
- name: Generate missing user passwords with pwgen
|
||||
ansible.builtin.command:
|
||||
cmd: "pwgen -s {{ hysteria2_password_length }} 1"
|
||||
register: _hysteria2_pwgen
|
||||
changed_when: false
|
||||
when: item.password | length == 0
|
||||
- name: Generate missing user passwords
|
||||
ansible.builtin.set_fact:
|
||||
_hysteria2_users_with_passwords: "{{ _hysteria2_users_with_passwords | default([]) + [ _entry ] }}"
|
||||
vars:
|
||||
_entry:
|
||||
name: "{{ item.name }}"
|
||||
password: >-
|
||||
{{
|
||||
lookup(
|
||||
'password',
|
||||
'/dev/null chars=ascii_letters,digits length=' ~ (hysteria2_password_length | string)
|
||||
)
|
||||
if item.password | length == 0
|
||||
else item.password
|
||||
}}
|
||||
loop: "{{ hysteria2_resolved_users }}"
|
||||
loop_control:
|
||||
label: "{{ item.name }}"
|
||||
index_var: _hysteria2_user_idx
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
@@ -77,25 +85,7 @@
|
||||
|
||||
- name: Apply generated passwords
|
||||
ansible.builtin.set_fact:
|
||||
hysteria2_resolved_users: "{{ hysteria2_resolved_users | default([]) + [ _entry ] }}"
|
||||
vars:
|
||||
_generated: >-
|
||||
{{
|
||||
_hysteria2_pwgen.results[_hysteria2_user_idx].stdout | default('')
|
||||
if (
|
||||
item.password | length == 0
|
||||
and not (_hysteria2_pwgen.results[_hysteria2_user_idx].skipped | default(false))
|
||||
)
|
||||
else item.password
|
||||
}}
|
||||
_entry:
|
||||
name: "{{ item.name }}"
|
||||
password: "{{ _generated }}"
|
||||
loop: "{{ hysteria2_resolved_users }}"
|
||||
loop_control:
|
||||
label: "{{ item.name }}"
|
||||
index_var: _hysteria2_user_idx
|
||||
when: _hysteria2_pwgen is defined
|
||||
hysteria2_resolved_users: "{{ _hysteria2_users_with_passwords }}"
|
||||
tags:
|
||||
- install
|
||||
- update
|
||||
|
||||
@@ -7,7 +7,7 @@
|
||||
- hysteria2_users | length > 0
|
||||
fail_msg: |
|
||||
Задайте для каждого хоста:
|
||||
hysteria2_domain — домен с A-записью на IP сервера
|
||||
hysteria2_domain — домен с A-записью на IP сервера (используется для TLS/SNI)
|
||||
hysteria2_users — список имён пользователей, например [my, friend]
|
||||
И в group_vars/all.yml:
|
||||
hysteria2_acme_email — email для Let's Encrypt
|
||||
|
||||
@@ -1,3 +1,8 @@
|
||||
server: {{ hysteria2_domain }}:{{ hysteria2_listen_port }}
|
||||
|
||||
auth: {{ hysteria2_current_user.name }}:{{ hysteria2_current_user.password }}
|
||||
|
||||
obfs:
|
||||
type: salamander
|
||||
salamander:
|
||||
password: {{ hysteria2_obfs_password }}
|
||||
|
||||
@@ -1,7 +1,7 @@
|
||||
listen: 0.0.0.0:{{ hysteria2_listen_port }}
|
||||
|
||||
acme:
|
||||
type: http
|
||||
type: tls
|
||||
domains:
|
||||
- {{ hysteria2_domain }}
|
||||
email: {{ hysteria2_acme_email }}
|
||||
@@ -13,10 +13,7 @@ auth:
|
||||
{{ user.name }}: "{{ user.password }}"
|
||||
{% endfor %}
|
||||
|
||||
masquerade:
|
||||
type: file
|
||||
file:
|
||||
dir: {{ hysteria2_masq_dir }}
|
||||
listenHTTP: :80
|
||||
listenHTTPS: :{{ hysteria2_listen_port }}
|
||||
forceHTTPS: true
|
||||
obfs:
|
||||
type: salamander
|
||||
salamander:
|
||||
password: "{{ hysteria2_obfs_password }}"
|
||||
|
||||
@@ -160,6 +160,17 @@
|
||||
font-weight: 600;
|
||||
}
|
||||
.server-link:hover { background: var(--accent-soft); border-color: var(--accent); }
|
||||
.badge-salamander {
|
||||
display: inline-block;
|
||||
margin-top: 0.35rem;
|
||||
padding: 0.2rem 0.6rem;
|
||||
border-radius: 999px;
|
||||
font-size: 0.72rem;
|
||||
font-weight: 700;
|
||||
background: var(--accent-soft-2);
|
||||
color: var(--accent-2);
|
||||
}
|
||||
.server-obfs { margin-top: 0.75rem; width: 100%; }
|
||||
.users-grid {
|
||||
display: grid;
|
||||
grid-template-columns: repeat(auto-fill, minmax(300px, 1fr));
|
||||
@@ -286,8 +297,8 @@
|
||||
</head>
|
||||
<body>
|
||||
<header class="hero">
|
||||
<h1>Hysteria2</h1>
|
||||
<p>Общий каталог VPN-подключений</p>
|
||||
<h1>Hysteria2 · Salamander</h1>
|
||||
<p>Общий каталог VPN-подключений с обфускацией Salamander</p>
|
||||
<div class="stats">
|
||||
<div class="stat"><span>{{ hysteria2_global_servers | length }}</span> серверов</div>
|
||||
<div class="stat"><span>{{ total_users }}</span> пользователей</div>
|
||||
@@ -307,6 +318,18 @@
|
||||
<div>
|
||||
<h2>{{ server.name | e }}</h2>
|
||||
<p class="domain">{{ server.domain | e }}:{{ server.port }}</p>
|
||||
<span class="badge-salamander">Salamander</span>
|
||||
{% if server.obfs_password | default('') | length > 0 %}
|
||||
<div class="field server-obfs">
|
||||
<label for="obfs-{{ server.dir | e }}">Пароль обфускации</label>
|
||||
<div class="input-row">
|
||||
<input type="text" id="obfs-{{ server.dir | e }}" value="{{ server.obfs_password | e }}" readonly>
|
||||
<button type="button" class="btn-copy" onclick="copyField('obfs-{{ server.dir | e }}', this)" title="Копировать obfs-password" aria-label="Копировать obfs-password">
|
||||
<svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2"><rect x="9" y="9" width="13" height="13" rx="2"/><path d="M5 15H4a2 2 0 0 1-2-2V4a2 2 0 0 1 2-2h9a2 2 0 0 1 2 2v1"/></svg>
|
||||
</button>
|
||||
</div>
|
||||
</div>
|
||||
{% endif %}
|
||||
</div>
|
||||
<a class="server-link" href="{{ server.dir | e }}/index.html">Страница сервера →</a>
|
||||
</div>
|
||||
|
||||
@@ -75,6 +75,15 @@
|
||||
font-size: 0.8rem;
|
||||
font-weight: 600;
|
||||
}
|
||||
.badge-salamander {
|
||||
margin-left: 0.35rem;
|
||||
background: rgba(163, 113, 247, 0.18);
|
||||
color: #a371f7;
|
||||
}
|
||||
.server-obfs {
|
||||
margin-top: 1.25rem;
|
||||
max-width: 100%;
|
||||
}
|
||||
.user-card {
|
||||
background: var(--bg-card);
|
||||
border: 1px solid var(--border);
|
||||
@@ -235,6 +244,17 @@
|
||||
Домен: <strong>{{ hysteria2_domain }}:{{ hysteria2_listen_port }}</strong>
|
||||
</p>
|
||||
<span class="badge">{{ hysteria2_export_users | length }} {{ 'пользователь' if hysteria2_export_users | length == 1 else 'пользователей' }}</span>
|
||||
<span class="badge badge-salamander">Salamander</span>
|
||||
|
||||
<div class="field server-obfs">
|
||||
<label for="obfs-server">Пароль обфускации (Salamander)</label>
|
||||
<div class="input-row">
|
||||
<input type="text" id="obfs-server" value="{{ hysteria2_obfs_password | e }}" readonly>
|
||||
<button type="button" class="btn-copy" onclick="copyField('obfs-server', this)" title="Копировать obfs-password" aria-label="Копировать obfs-password">
|
||||
<svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><rect x="9" y="9" width="13" height="13" rx="2"/><path d="M5 15H4a2 2 0 0 1-2-2V4a2 2 0 0 1 2-2h9a2 2 0 0 1 2 2v1"/></svg>
|
||||
</button>
|
||||
</div>
|
||||
</div>
|
||||
</header>
|
||||
|
||||
{% for user in hysteria2_export_users %}
|
||||
|
||||
@@ -1,27 +0,0 @@
|
||||
<!DOCTYPE html>
|
||||
<html>
|
||||
<head>
|
||||
<title>Welcome to nginx!</title>
|
||||
<style>
|
||||
html { color-scheme: light dark; }
|
||||
body { width: 35em; margin: 0 auto;
|
||||
font-family: Tahoma, Verdana, Arial, sans-serif; }
|
||||
</style>
|
||||
</head>
|
||||
<body>
|
||||
<h1>Welcome to nginx!</h1>
|
||||
<p>If you see this page, nginx is successfully installed and working.
|
||||
Further configuration is required for the web server, reverse proxy,
|
||||
API gateway, load balancer, content cache, or other features.</p>
|
||||
|
||||
<p>For online documentation and support please refer to
|
||||
<a href="https://nginx.org/">nginx.org</a>.<br/>
|
||||
To engage with the community please visit
|
||||
<a href="https://community.nginx.org/">community.nginx.org</a>.<br/>
|
||||
For enterprise grade support, professional services, additional
|
||||
security features and capabilities please refer to
|
||||
<a href="https://f5.com/nginx">f5.com/nginx</a>.</p>
|
||||
|
||||
<p><em>Thank you for using nginx.</em></p>
|
||||
</body>
|
||||
</html>
|
||||
Reference in New Issue
Block a user