feat: bundle and sync official Hysteria2 install script locally

Store install_server.sh in role files, compare SHA256 with get.hy2.sh on the control node before install/update, refresh the bundled copy when upstream changes, then copy and run it on VPS.

Co-authored-by: Cursor <cursoragent@cursor.com>

Makefile

@@ -5,6 +5,8 @@
 SHELL := /bin/bash
 .DEFAULT_GOAL := help
 
+export EDITOR="nano"
+
 ANSIBLE         ?= ansible-playbook
 ANSIBLE_ADHOC   ?= ansible
 INVENTORY       ?= inventory/hosts.yml

README.md

@@ -1,23 +1,56 @@
-# Ansible-роль: Hysteria2 Server
+# Hysteria2 Ansible — ветка **Salamander**
 
-Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS: ACME-сертификат, masquerade под nginx, несколько пользователей, экспорт URL/QR и HTML-каталог.
+> **Ветка:** `salamander`  
+> **Режим:** **Salamander obfs** — запутывание пакетов для обхода DPI  
+> **Основная ветка:** [`main`](https://git.antropoff.ru/DevOpsTools/hysteria2/src/branch/main) — masquerade под HTTPS-сайт nginx
+
+Ansible-роль для установки [Hysteria 2](https://v2.hysteria.network/) на Debian/Ubuntu VPS с **Salamander obfs** — когда masquerade под «обычный сайт» недостаточен.
+
+---
+
+## Выбор ветки: `main` или `salamander`
+
+| | **`main`** | **`salamander` (эта ветка)** |
+|---|---|---|
+| Маскировка | HTTPS-сайт nginx + Let's Encrypt | **Salamander obfs** — пакеты выглядят как шум |
+| Порт 80/tcp | **Нужен** (ACME HTTP + masquerade) | **Не нужен** |
+| ACME | `type: http` | `type: tls` (TLS-ALPN на 443) |
+| Сайт-заглушка | `/var/www/masq` (nginx welcome) | **Нет** |
+| Obfs-пароль | — | **Обязателен** (один на сервер) |
+| URI клиента | `hysteria2://user:pass@domain:443` | + `obfs=salamander&obfs-password=...` |
+| Лучше когда | Нужен «легитимный» сайт в браузере | Агрессивный DPI, блокировка QUIC fingerprint |
+
+### Когда выбирать `salamander`
+
+- masquerade из `main` **блокируют** или распознают по fingerprint;
+- не нужен фейковый сайт в браузере;
+- готовы хранить **дополнительный** obfs-пароль.
+
+### Когда выбирать `main`
+
+- нужен **нормальный HTTPS-сайт** при открытии домена;
+- достаточно маскировки под nginx;
+- хотите **минимум параметров** в URI клиента.
+
+---
 
 ## Быстрый старт
 
 ```bash
-cd ~/Разработка/hysteria2
+git clone https://git.antropoff.ru/DevOpsTools/hysteria2.git
+cd hysteria2
+git checkout salamander
 
-make init            # inventory, group_vars, vault, .vault_pass
+make init
-# отредактировать:
+# отредактировать inventory/hosts.yml, group_vars/all.yml, vault
-#   inventory/hosts.yml
-#   group_vars/all.yml
-#   group_vars/hysteria2_servers/vault.yml
 
-make vault-encrypt   # зашифровать пароли VPS
+make vault-encrypt
-make ping            # проверить SSH
+make ping
-make install         # установка → output/ → браузер откроется сам
+make install    # → output/index.html откроется в браузере
 ```
 
+---
+
 ## Makefile
 
 | Команда | Описание |
@@ -26,23 +59,24 @@ make install         # установка → output/ → браузер отк
 | `make init` | Создать конфиги из `.example` |
 | `make ping` | Проверить SSH к VPS |
 | `make status` | `systemctl status hysteria-server` |
-| `make install` | Установка + экспорт + `output/index.html` + открытие в браузере |
+| `make install` | Установка Salamander + экспорт URL/QR/HTML |
 | `make update` | Обновить бинарник, конфиг, перевыпустить экспорт |
-| `make export` | Только экспорт URL/QR/HTML |
+| `make export` | Только экспорт (URL, QR, HTML) |
 | `make uninstall` | Удалить Hysteria2 с VPS |
 | `make vault-encrypt` | Зашифровать vault |
 | `make vault-edit` | Редактировать vault |
 
-### Примеры
-
 ```bash
 make install LIMIT=vps-de
 make update LIMIT=vps-nl
 make export
 make uninstall LIMIT=vps-de EXTRA_VARS='hysteria2_uninstall_remove_local_output=true'
-make install EXTRA_VARS='hysteria2_open_browser=false'   # без авто-открытия браузера
+make install EXTRA_VARS='hysteria2_open_browser=false'
+make update EXTRA_VARS='hysteria2_wait_for_acme=false'
 ```
 
+---
+
 ## Inventory
 
 ```yaml
@@ -55,7 +89,7 @@ all:
           ansible_port: 2222              # SSH-порт (если не 22)
           ansible_user: root
           ansible_password: "{{ vault_ssh_passwords['vps-de'] }}"
-          hysteria2_domain: vpn-de.example.com
+          hysteria2_domain: vpn-de.example.com   # для TLS/SNI и ACME
           hysteria2_users:
             - my
             - friend
@@ -70,7 +104,7 @@ all:
             - bob
 ```
 
-### SSH-подключение к VPS
+### SSH (VPS)
 
 | Параметр | Где | Описание |
 |---|---|---|
@@ -78,7 +112,7 @@ all:
 | `ansible_port` | inventory | SSH-порт (по умолчанию `22`) |
 | `ansible_user` | inventory | Пользователь SSH (обычно `root`) |
 | `ansible_password` | inventory + vault | Пароль из `vault_ssh_passwords` |
-| `ansible_ssh_private_key_file` | inventory | Альтернатива паролю — SSH-ключ |
+| `ansible_ssh_private_key_file` | inventory | Альтернатива — SSH-ключ |
 
 ```yaml
 # group_vars/hysteria2_servers/vault.yml
@@ -89,9 +123,59 @@ vault_ssh_passwords:
 
 Ключи в `vault_ssh_passwords` совпадают с **именами хостов** в inventory.
 
-## Пароли VPN-пользователей
+---
 
-1. **Vault** (рекомендуется):
+## Как работает Salamander в этом проекте
+
+### Сервер (`/etc/hysteria/config.yaml`)
+
+```yaml
+listen: 0.0.0.0:443
+
+acme:
+  type: tls                    # сертификат без порта 80
+  domains:
+    - vpn-de.example.com
+  email: admin@example.com
+
+auth:
+  type: userpass
+  userpass:
+    my: "..."
+    friend: "..."
+
+obfs:
+  type: salamander
+  salamander:
+    password: "общий_obfs_пароль_сервера"
+```
+
+### Клиент (генерируется автоматически)
+
+```yaml
+server: vpn-de.example.com:443
+auth: my:password
+obfs:
+  type: salamander
+  salamander:
+    password: общий_obfs_пароль_сервера
+```
+
+### URI (пример)
+
+```
+hysteria2://my:password@vpn-de.example.com:443?obfs=salamander&obfs-password=OBFS_PASS#my
+```
+
+Роль вызывает `hysteria share` — URI и QR уже содержат параметры Salamander.
+
+---
+
+## Пароли
+
+### VPN-пользователи (`userpass`)
+
+1. **Vault (рекомендуется):**
 
 ```yaml
 vault_hysteria2_user_passwords:
@@ -99,54 +183,99 @@ vault_hysteria2_user_passwords:
     friend: "Aingae0Okit1eek4eeZahFohVei4akee"
 ```
 
-2. **Per-host в inventory**:
+Подключается через `group_vars/hysteria2_servers/vars.yml`:
+
+```yaml
+```
+
+2. **Per-host в inventory:**
 
 ```yaml
 hysteria2_user_passwords:
   friend: "custom-password"
 ```
 
-3. **Автогенерация** — `pwgen -s 40`, если пароль не задан.
+3. **Автогенерация** — Ansible `password` lookup (длина `hysteria2_password_length`), если пароль не задан.
 
 При `make update` пароли подтягиваются из `output/<server>/server-info.yml`, если не указаны в vault/inventory.
 
+### Salamander obfs (один на сервер)
+
+1. **Vault (рекомендуется):**
+
+```yaml
+vault_hysteria2_obfs_passwords:
+  vps-de: "cry_me_a_r1ver_salamander_obfs"
+```
+
+Подключается через `group_vars/hysteria2_servers/vars.yml`:
+
+```yaml
+```
+
+2. **Авто:** Ansible `password` lookup (`hysteria2_obfs_password_length`) при первой установке  
+3. **При update:** загружается из `output/<server>/server-info.yml`
+
+> **Важно:** obfs-пароль на сервере и клиенте должен **совпадать**. При `make update` без vault пароль сохраняется из предыдущего экспорта.
+
+---
+
+## Let's Encrypt — обновление сертификата
+
+**Да, Hysteria2 обновляет сертификат автоматически.**
+
+При блоке `acme:` в конфиге встроенный ACME-клиент Hysteria2 сам получает и **продлевает** сертификат Let's Encrypt (срок ~90 дней). Повторный `make install` или certbot для продления **не нужны** — процесс `hysteria-server` делает это сам.
+
+**Условия для авто-продления (ветка `salamander`):**
+
+- сервер **запущен** и доступен из интернета;
+- домен указывает на IP VPS;
+- порт **443/tcp** открыт (ACME TLS-ALPN challenge);
+- конфиг `acme` не удалён.
+
+Проверка логов: `journalctl -u hysteria-server -f`
+
+---
+
+## Firewall
+
+По умолчанию открываются только порты Hysteria2:
+
+- **443/tcp**
+- **443/udp**
+
+**Порт 80 не используется** — в отличие от ветки `main`.
+
+---
+
 ## Результат: папка `output/`
 
 ```
 output/
-├── index.html              ← общий каталог всех серверов (открывается в браузере)
+├── index.html                 ← все серверы (открывается в браузере)
 ├── vps-de/
-│   ├── index.html          ← страница сервера
+│   ├── index.html             ← страница сервера + obfs-пароль
-│   ├── my.url
+│   ├── my.url                 ← URI с obfs=salamander
 │   ├── my.png                 ← QR PNG
 │   ├── my.qr.txt             ← QR ASCII
 │   ├── my.txt
-│   └── server-info.yml
+│   └── server-info.yml        ← mode, obfs_password, users
 └── vps-nl/
     └── ...
 ```
 
-### HTML-страницы
+HTML-страницы показывают:
 
-**`output/index.html`** — общий каталог:
+- режим **Salamander** и **obfs-password** с кнопкой копирования;
-- все серверы и пользователи на одной странице
+- пароль и URL каждого пользователя;
-- навигация по серверам
+- QR-коды;
-- поля ссылки/пароля с кнопкой копирования
+- ссылки на файлы и страницы серверов.
-- QR-коды
-- ссылки на файлы и страницы серверов
-
-**`output/<server>/index.html`** — страница одного сервера (тот же стиль, все пользователи сервера).
 
 После `make install`, `make update` и `make export` **`output/index.html` автоматически открывается в браузере** (macOS: `open`, Linux: `xdg-open`).
 
-Отключить авто-открытие:
+Отключить: `hysteria2_open_browser: false` в `group_vars/all.yml` или `EXTRA_VARS`.
 
-```yaml
+---
-# group_vars/all.yml
-hysteria2_open_browser: false
-```
-
-Или: `make install EXTRA_VARS='hysteria2_open_browser=false'`
 
 ## QR-коды
 
@@ -158,29 +287,80 @@ PNG генерируются средствами Ansible (без Python):
 
 ASCII QR — `hysteria share --qr` → `user.qr.txt`.
 
+---
+
 ## Переменные
 
 | Переменная | Где | Описание |
 |---|---|---|
-| `hysteria2_domain` | host | Домен с A-записью на IP |
+| `hysteria2_mode` | defaults | `salamander` (информативно) |
-| `hysteria2_users` | host | Список имён VPN-пользователей |
+| `hysteria2_domain` | host | Домен для TLS/SNI/ACME |
-| `hysteria2_acme_email` | group | Email для Let's Encrypt |
+| `hysteria2_users` | host | VPN-пользователи |
+| `hysteria2_acme_email` | group | Email Let's Encrypt |
 | `hysteria2_user_passwords` | host/vault | Свои пароли VPN |
+| `hysteria2_obfs_password` | host/vault | Пароль Salamander (или авто) |
+| `hysteria2_obfs_password_length` | group | Длина автопароля obfs (32) |
 | `hysteria2_output_dir` | group | Папка экспорта (по умолчанию `./output`) |
-| `hysteria2_output_name` | host | Имя подпапки (по умолчанию `inventory_hostname`) |
+| `hysteria2_listen_port` | group | Порт (443) |
 | `hysteria2_generate_qr_png` | group | PNG QR через `qrencode` |
 | `hysteria2_open_browser` | group | Открыть `output/index.html` после экспорта |
 | `hysteria2_uninstall_remove_local_output` | extra-vars | Удалить `output/<server>/` при uninstall |
+| `vault_hysteria2_obfs_passwords` | vault | obfs-пароли по серверам |
+
+---
 
 ## Безопасность
 
-- `output/` содержит пароли и URL — в `.gitignore`
+- `output/` содержит пароли, obfs-ключи и URL — **не коммитить** (в `.gitignore`)
 - `inventory/hosts.yml`, `vault.yml`, `.vault_pass` — не коммитить
 - После `make init` выполните `make vault-encrypt`
+- Salamander **не делает** вас невидимым: IP VPS и UDP-поток всё ещё можно анализировать
+
+---
 
 ## Требования
 
 - Ansible 2.14+
 - Debian/Ubuntu VPS с sudo
-- Домен с A-записью на IP сервера
+- Домен с A-записью на IP (для ACME TLS)
+- Клиент Hysteria2 с поддержкой Salamander (Shadowrocket, NekoBox, Hiddify и др.)
 - Для авто-открытия браузера: macOS или Linux с `xdg-open`
+
+---
+
+## Структура роли
+
+```
+roles/hysteria2/
+├── tasks/
+│   ├── obfs.yml          ← генерация/загрузка obfs-пароля
+│   ├── configure.yml     ← Salamander, без masquerade
+│   ├── export.yml        ← URL, QR, HTML сервера
+│   └── export_global.yml ← общий output/index.html
+└── templates/
+    ├── config.yaml.j2    ← acme tls + obfs salamander
+    ├── client.yaml.j2    ← клиент с obfs
+    └── export/           ← HTML-каталоги
+```
+
+---
+
+## Переключение между ветками
+
+```bash
+git fetch origin
+git checkout main        # masquerade + nginx
+git checkout salamander  # Salamander obfs (эта ветка)
+```
+
+Конфиги на **уже установленном** сервере **не меняются** при переключении ветки в git.  
+Чтобы применить другой режим на VPS:
+
+```bash
+git checkout main         # или salamander
+make install              # перекатит конфиг сервера
+# или
+make update
+```
+
+> Переключение режима **меняет** `/etc/hysteria/config.yaml` на сервере. Клиентские URI/QR нужно **перевыпустить** (`make export` или `make update`).

ansible.cfg

@@ -3,7 +3,8 @@ inventory = inventory/hosts.yml
 roles_path = roles
 host_key_checking = False
 retry_files_enabled = False
-stdout_callback = yaml
+stdout_callback = default
+result_format = yaml
 interpreter_python = auto_silent
 
 [privilege_escalation]

group_vars/all.yml.example

@@ -2,7 +2,7 @@
 # Email для Let's Encrypt (ACME)
 hysteria2_acme_email: admin@example.com
 
-# Длина автогенерируемых паролей (pwgen)
+# Длина автогенерируемых паролей VPN-пользователей
 hysteria2_password_length: 40
 
 # Обновлять систему перед установкой (apt update && apt upgrade)
@@ -17,8 +17,11 @@ hysteria2_output_dir: "{{ playbook_dir }}/output"
 # Открывать output/index.html в браузере после install/update/export
 # hysteria2_open_browser: true
 
-# Порт Hysteria2
+# Порт Hysteria2 (Salamander — достаточно открыть только его, 80/tcp не нужен)
 hysteria2_listen_port: 443
 
-# Открывать порты в ufw (80/tcp, 443/tcp, 443/udp)
+# Открывать порты в ufw ({{ hysteria2_listen_port }}/tcp и /udp)
 hysteria2_configure_firewall: true
+
+# Длина пароля Salamander obfs
+# hysteria2_obfs_password_length: 32

group_vars/hysteria2_servers/vars.yml.example

@@ -3,3 +3,5 @@
 # Файл group_vars/hysteria2_servers/vault.yml должен быть зашифрован (make vault-encrypt).
 
 # Проброс VPN-паролей из vault в переменные роли (опционально)
+
+# Опционально: фиксированный пароль Salamander obfs для сервера

group_vars/hysteria2_servers/vault.yml.example

@@ -14,5 +14,8 @@ vault_ssh_passwords:
 # vault_hysteria2_user_passwords:
 #   vps-de:
 #     friend: "Aingae0Okit1eek4eeZahFohVei4akee"
-#   vps-nl:
+
-#     alice: "CustomAlicePassword40chars................"
+# Опционально: пароль Salamander obfs (один на сервер)
+# vault_hysteria2_obfs_passwords:
+#   vps-de: "cry_me_a_r1ver_salamander_obfs_pass"
+#   vps-nl: "another_obfs_password_32chars!!"

playbook.yml

@@ -9,6 +9,7 @@
   hosts: localhost
   connection: local
   gather_facts: true
+  become: false
   tags: [install, update, export]
   tasks:
     - name: Generate global index.html and open in browser

roles/hysteria2/defaults/main.yml

@@ -1,5 +1,8 @@
 ---
-# Домен сервера (A-запись → IP VPS). Задаётся per-host в inventory.
+# Режим развёртывания (ветка salamander)
+hysteria2_mode: salamander
+
+# Домен сервера (A-запись → IP VPS). Используется для TLS/SNI и ACME.
 hysteria2_domain: ""
 
 # Email для ACME / Let's Encrypt
@@ -9,34 +12,37 @@ hysteria2_acme_email: ""
 hysteria2_users: []
 
 # Опционально: фиксированные пароли { username: password }
-# Пустое значение или отсутствие ключа — автогенерация через pwgen
+
+# Пароль обфускации Salamander (общий для сервера).
+# Пусто — автогенерация на control node (Ansible password lookup) или загрузка из output/<server>/server-info.yml
+hysteria2_obfs_password: ""
 
 hysteria2_password_length: 40
+hysteria2_obfs_password_length: 32
 hysteria2_listen_port: 443
 hysteria2_upgrade_system: true
 hysteria2_configure_firewall: true
 
-hysteria2_masq_dir: /var/www/masq
 hysteria2_config_path: /etc/hysteria/config.yaml
 hysteria2_service_name: hysteria-server
 
-# Локальный каталог для экспорта URL и QR (на control node)
+# Официальный install_server.sh: хранится в roles/hysteria2/files/, синхронизируется с get.hy2.sh
+hysteria2_install_script_url: "https://get.hy2.sh/"
+hysteria2_install_script_name: install_server.sh
+hysteria2_install_script_staging_dir: "{{ playbook_dir }}/.cache/hysteria2"
+hysteria2_install_script_remote_path: /tmp/hysteria2-install_server.sh
+
 hysteria2_output_dir: "{{ playbook_dir }}/output"
 hysteria2_output_name: "{{ inventory_hostname }}"
 
-# Генерировать PNG QR-коды через qrencode (apt на VPS, fetch на control node)
 hysteria2_generate_qr_png: true
 hysteria2_qr_png_size: 6
 hysteria2_qr_png_margin: 2
 hysteria2_qr_png_error_correction: M
 
-# Ждать ACME при первом запуске (отключите при update: make update)
 hysteria2_wait_for_acme: true
-
-# Открыть output/index.html в браузере после install/update/export
 hysteria2_open_browser: true
 
 # --- uninstall ---
 hysteria2_uninstall_remove_config: true
-hysteria2_uninstall_remove_masq: true
 hysteria2_uninstall_remove_local_output: false

roles/hysteria2/meta/main.yml

@@ -2,7 +2,7 @@
 galaxy_info:
   role_name: hysteria2
   author: inecs
-  description: Install Hysteria2 VPN server with masquerade site and export client URLs with QR codes
+  description: Install Hysteria2 VPN server with Salamander obfs and export client URLs with QR codes
   license: MIT
   min_ansible_version: "2.14"
   platforms:

roles/hysteria2/tasks/configure.yml

@@ -1,24 +1,11 @@
 ---
-- name: Create masquerade web directory
-  ansible.builtin.file:
-    path: "{{ hysteria2_masq_dir }}"
-    state: directory
-    mode: "0755"
-
-- name: Deploy masquerade index.html
-  ansible.builtin.template:
-    src: masq/index.html.j2
-    dest: "{{ hysteria2_masq_dir }}/index.html"
-    mode: "0644"
-  notify: Restart hysteria-server
-
 - name: Remove default Hysteria config if present
   ansible.builtin.file:
     path: "{{ hysteria2_config_path }}"
     state: absent
   when: not ansible_check_mode
 
-- name: Deploy Hysteria2 server config
+- name: Deploy Hysteria2 Salamander server config
   ansible.builtin.template:
     src: config.yaml.j2
     dest: "{{ hysteria2_config_path }}"
@@ -42,12 +29,11 @@
   failed_when: false
   when: hysteria2_configure_firewall | bool
 
-- name: Allow HTTP and HTTPS in ufw
+- name: Allow Hysteria2 port in ufw (Salamander — только {{ hysteria2_listen_port }})
   ansible.builtin.command: "ufw allow {{ item }}"
   loop:
-    - 80/tcp
+    - "{{ hysteria2_listen_port }}/tcp"
-    - 443/tcp
+    - "{{ hysteria2_listen_port }}/udp"
-    - 443/udp
   register: _hysteria2_ufw_allow
   changed_when: "'Skipping' not in (_hysteria2_ufw_allow.stdout | default(''))"
   failed_when: false
@@ -55,10 +41,10 @@
     - hysteria2_configure_firewall | bool
     - "'active' in (_hysteria2_ufw_status.stdout | default(''))"
 
-- name: Wait for ACME certificate (first start may take several minutes)
+- name: Wait for ACME TLS certificate (first start may take several minutes)
   ansible.builtin.pause:
     seconds: 30
-    prompt: "Ожидание получения ACME-сертификата для {{ hysteria2_domain }}..."
+    prompt: "Ожидание получения ACME TLS-сертификата для {{ hysteria2_domain }}..."
   when: hysteria2_wait_for_acme | default(true) | bool
 
 - name: Verify hysteria-server is running

roles/hysteria2/tasks/export.yml

@@ -31,8 +31,10 @@
     mode: "0600"
     content: |
       server: {{ hysteria2_output_name }}
+      mode: salamander
       domain: {{ hysteria2_domain }}
       port: {{ hysteria2_listen_port }}
+      obfs_password: "{{ hysteria2_obfs_password }}"
       users:
       {% for user in hysteria2_export_users %}
         - name: {{ user.name }}
@@ -52,7 +54,8 @@
     dest: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/index.html"
     mode: "0644"
   vars:
-    generated_at: "{{ ansible_date_time.date }} {{ ansible_date_time.time }}"
+    generated_at: "{{ now(utc=false, fmt='%Y-%m-%d %H:%M:%S') }}"
+    hysteria2_obfs_password: "{{ hysteria2_obfs_password }}"
   delegate_to: localhost
   become: false
 

roles/hysteria2/tasks/export_global.yml

@@ -33,6 +33,8 @@
       name: "{{ _info.server }}"
       domain: "{{ _info.domain }}"
       port: "{{ _info.port }}"
+      mode: "{{ _info.mode | default('salamander') }}"
+      obfs_password: "{{ _info.obfs_password | default('') }}"
       dir: "{{ item.item.path | dirname | basename }}"
       users: "{{ _info.users }}"
   become: false
@@ -49,7 +51,7 @@
     dest: "{{ hysteria2_output_dir }}/index.html"
     mode: "0644"
   vars:
-    generated_at: "{{ ansible_date_time.date }} {{ ansible_date_time.time }}"
+    generated_at: "{{ now(utc=false, fmt='%Y-%m-%d %H:%M:%S') }}"
     total_users: "{{ hysteria2_global_servers | map(attribute='users') | map('length') | sum }}"
   when: hysteria2_global_servers | default([]) | length > 0
   become: false
@@ -60,7 +62,7 @@
   when:
     - hysteria2_open_browser | bool
     - hysteria2_global_servers | default([]) | length > 0
-    - ansible_system == 'Darwin'
+    - ansible_facts['system'] == 'Darwin'
   changed_when: false
   become: false
 
@@ -70,7 +72,7 @@
   when:
     - hysteria2_open_browser | bool
     - hysteria2_global_servers | default([]) | length > 0
-    - ansible_system == 'Linux'
+    - ansible_facts['system'] == 'Linux'
   changed_when: false
   become: false
   failed_when: false

roles/hysteria2/tasks/install.yml

@@ -11,7 +11,7 @@
       ansible.builtin.apt:
         upgrade: dist
 
-- name: Install curl, micro, pwgen and qrencode
+- name: Install curl, micro and qrencode
   ansible.builtin.apt:
     name: "{{ _hysteria2_apt_packages }}"
     state: present
@@ -19,15 +19,22 @@
   vars:
     _hysteria2_apt_packages: >-
       {{
-        ['curl', 'micro', 'pwgen']
+        ['curl', 'micro']
         + (['qrencode'] if hysteria2_generate_qr_png | bool else [])
       }}
 
+- name: Sync official Hysteria2 install script on control node
+  ansible.builtin.import_tasks: sync_install_script.yml
+
+- name: Copy Hysteria2 install script to server
+  ansible.builtin.copy:
+    src: "{{ hysteria2_install_script_name }}"
+    dest: "{{ hysteria2_install_script_remote_path }}"
+    mode: "0755"
+
 - name: Install Hysteria2 via official script
-  ansible.builtin.shell:
+  ansible.builtin.command:
-    cmd: bash <(curl -fsSL https://get.hy2.sh/)
+    cmd: "{{ hysteria2_install_script_remote_path }}"
-    executable: /bin/bash
-  args:
     creates: /usr/local/bin/hysteria
   register: _hysteria2_install
 

roles/hysteria2/tasks/main.yml

@@ -7,6 +7,10 @@
   ansible.builtin.import_tasks: users.yml
   tags: [install, update, export]
 
+- name: Resolve Salamander obfs password
+  ansible.builtin.import_tasks: obfs.yml
+  tags: [install, update, export]
+
 - name: Install packages and Hysteria2 binary
   ansible.builtin.import_tasks: install.yml
   tags: [install]

roles/hysteria2/tasks/obfs.yml

@@ -0,0 +1,58 @@
+---
+- name: Check for saved Salamander password from previous install
+  ansible.builtin.stat:
+    path: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/server-info.yml"
+  register: _hysteria2_saved_info
+  delegate_to: localhost
+  become: false
+  tags:
+    - install
+    - update
+    - export
+
+- name: Load saved Salamander obfs password
+  when: _hysteria2_saved_info.stat.exists
+  block:
+    - name: Read server-info.yml for obfs password
+      ansible.builtin.slurp:
+        path: "{{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/server-info.yml"
+      register: _hysteria2_saved_info_raw
+      delegate_to: localhost
+      become: false
+
+    - name: Parse saved obfs password
+      ansible.builtin.set_fact:
+        _hysteria2_saved_obfs_password: "{{ (_hysteria2_saved_info_raw.content | b64decode | from_yaml).obfs_password | default('') }}"
+      delegate_to: localhost
+      become: false
+  tags:
+    - install
+    - update
+    - export
+
+- name: Resolve Salamander obfs password
+  ansible.builtin.set_fact:
+    hysteria2_obfs_password: >-
+      {{
+        hysteria2_obfs_password
+        | default(_hysteria2_saved_obfs_password | default(''), true)
+      }}
+  tags:
+    - install
+    - update
+    - export
+
+- name: Generate Salamander obfs password
+  ansible.builtin.set_fact:
+    hysteria2_obfs_password: >-
+      {{
+        lookup(
+          'password',
+          '/dev/null chars=ascii_letters,digits length=' ~ (hysteria2_obfs_password_length | string)
+        )
+      }}
+  when: hysteria2_obfs_password | length == 0
+  tags:
+    - install
+    - update
+    - export

roles/hysteria2/tasks/share_user.yml

@@ -34,6 +34,8 @@
       Domain: {{ hysteria2_domain }}:{{ hysteria2_listen_port }}
       User: {{ hysteria2_current_user.name }}
       Password: {{ hysteria2_current_user.password }}
+      Mode: salamander
+      Obfs password: {{ hysteria2_obfs_password }}
 
       URL:
       {{ _hysteria2_client_url }}

roles/hysteria2/tasks/sync_install_script.yml

@@ -0,0 +1,64 @@
+---
+- name: Ensure staging directory for install script sync
+  ansible.builtin.file:
+    path: "{{ hysteria2_install_script_staging_dir }}"
+    state: directory
+    mode: "0700"
+  delegate_to: localhost
+  become: false
+  run_once: true
+
+- name: Fetch official install script for version check
+  ansible.builtin.get_url:
+    url: "{{ hysteria2_install_script_url }}"
+    dest: "{{ hysteria2_install_script_staging_dir }}/{{ hysteria2_install_script_name }}.remote"
+    mode: "0644"
+    force: true
+  delegate_to: localhost
+  become: false
+  run_once: true
+  register: _hysteria2_remote_script
+
+- name: Stat local install script in role files
+  ansible.builtin.stat:
+    path: "{{ role_path }}/files/{{ hysteria2_install_script_name }}"
+    checksum_algorithm: sha256
+  delegate_to: localhost
+  become: false
+  run_once: true
+  register: _hysteria2_local_script
+
+- name: Stat remote install script from official server
+  ansible.builtin.stat:
+    path: "{{ hysteria2_install_script_staging_dir }}/{{ hysteria2_install_script_name }}.remote"
+    checksum_algorithm: sha256
+  delegate_to: localhost
+  become: false
+  run_once: true
+  register: _hysteria2_remote_script_stat
+
+- name: Update bundled install script when official version is newer
+  ansible.builtin.copy:
+    src: "{{ hysteria2_install_script_staging_dir }}/{{ hysteria2_install_script_name }}.remote"
+    dest: "{{ role_path }}/files/{{ hysteria2_install_script_name }}"
+    mode: "0755"
+  delegate_to: localhost
+  become: false
+  run_once: true
+  when: >-
+    not _hysteria2_local_script.stat.exists
+    or _hysteria2_local_script.stat.checksum
+       != _hysteria2_remote_script_stat.stat.checksum
+  register: _hysteria2_script_updated
+
+- name: Report install script sync result
+  ansible.builtin.debug:
+    msg: >-
+      {{
+        'Официальный install_server.sh обновлён в roles/hysteria2/files/'
+        if (_hysteria2_script_updated.changed | default(false))
+        else 'Локальный install_server.sh актуален (совпадает с ' ~ hysteria2_install_script_url ~ ')'
+      }}
+  delegate_to: localhost
+  become: false
+  run_once: true

roles/hysteria2/tasks/uninstall.yml

@@ -19,12 +19,6 @@
     state: absent
   when: hysteria2_uninstall_remove_config | bool
 
-- name: Remove masquerade web directory
-  ansible.builtin.file:
-    path: "{{ hysteria2_masq_dir }}"
-    state: absent
-  when: hysteria2_uninstall_remove_masq | bool
-
 - name: Reload systemd after uninstall
   ansible.builtin.systemd:
     daemon_reload: true
@@ -32,7 +26,7 @@
 - name: Show uninstall result
   ansible.builtin.debug:
     msg: >-
-      Hysteria2 удалён с {{ inventory_hostname }}.
+      Hysteria2 (Salamander) удалён с {{ inventory_hostname }}.
       {% if not hysteria2_uninstall_remove_local_output | bool %}
       Локальные URL/QR в {{ hysteria2_output_dir }}/{{ hysteria2_output_name }}/ сохранены.
       {% endif %}

roles/hysteria2/tasks/update.yml

@@ -1,8 +1,16 @@
 ---
+- name: Sync official Hysteria2 install script on control node
+  ansible.builtin.import_tasks: sync_install_script.yml
+
+- name: Copy Hysteria2 install script to server
+  ansible.builtin.copy:
+    src: "{{ hysteria2_install_script_name }}"
+    dest: "{{ hysteria2_install_script_remote_path }}"
+    mode: "0755"
+
 - name: Update Hysteria2 binary via official script
-  ansible.builtin.shell:
+  ansible.builtin.command:
-    cmd: bash <(curl -fsSL https://get.hy2.sh/)
+    cmd: "{{ hysteria2_install_script_remote_path }} --force"
-    executable: /bin/bash
   register: _hysteria2_update
   notify: Restart hysteria-server
 

roles/hysteria2/tasks/users.yml

@@ -60,16 +60,24 @@
     - update
     - export
 
-- name: Generate missing user passwords with pwgen
+- name: Generate missing user passwords
-  ansible.builtin.command:
+  ansible.builtin.set_fact:
-    cmd: "pwgen -s {{ hysteria2_password_length }} 1"
+    _hysteria2_users_with_passwords: "{{ _hysteria2_users_with_passwords | default([]) + [ _entry ] }}"
-  register: _hysteria2_pwgen
+  vars:
-  changed_when: false
+    _entry:
-  when: item.password | length == 0
+      name: "{{ item.name }}"
+      password: >-
+        {{
+          lookup(
+            'password',
+            '/dev/null chars=ascii_letters,digits length=' ~ (hysteria2_password_length | string)
+          )
+          if item.password | length == 0
+          else item.password
+        }}
   loop: "{{ hysteria2_resolved_users }}"
   loop_control:
     label: "{{ item.name }}"
-    index_var: _hysteria2_user_idx
   tags:
     - install
     - update
@@ -77,25 +85,7 @@
 
 - name: Apply generated passwords
   ansible.builtin.set_fact:
-    hysteria2_resolved_users: "{{ hysteria2_resolved_users | default([]) + [ _entry ] }}"
+    hysteria2_resolved_users: "{{ _hysteria2_users_with_passwords }}"
-  vars:
-    _generated: >-
-      {{
-        _hysteria2_pwgen.results[_hysteria2_user_idx].stdout | default('')
-        if (
-          item.password | length == 0
-          and not (_hysteria2_pwgen.results[_hysteria2_user_idx].skipped | default(false))
-        )
-        else item.password
-      }}
-    _entry:
-      name: "{{ item.name }}"
-      password: "{{ _generated }}"
-  loop: "{{ hysteria2_resolved_users }}"
-  loop_control:
-    label: "{{ item.name }}"
-    index_var: _hysteria2_user_idx
-  when: _hysteria2_pwgen is defined
   tags:
     - install
     - update

roles/hysteria2/tasks/validate.yml

@@ -7,7 +7,7 @@
       - hysteria2_users | length > 0
     fail_msg: |
       Задайте для каждого хоста:
-        hysteria2_domain — домен с A-записью на IP сервера
+        hysteria2_domain — домен с A-записью на IP сервера (используется для TLS/SNI)
         hysteria2_users — список имён пользователей, например [my, friend]
       И в group_vars/all.yml:
         hysteria2_acme_email — email для Let's Encrypt

roles/hysteria2/templates/client.yaml.j2

@@ -1,3 +1,8 @@
 server: {{ hysteria2_domain }}:{{ hysteria2_listen_port }}
 
 auth: {{ hysteria2_current_user.name }}:{{ hysteria2_current_user.password }}
+
+obfs:
+  type: salamander
+  salamander:
+    password: {{ hysteria2_obfs_password }}

roles/hysteria2/templates/config.yaml.j2

@@ -1,7 +1,7 @@
 listen: 0.0.0.0:{{ hysteria2_listen_port }}
 
 acme:
-  type: http
+  type: tls
   domains:
     - {{ hysteria2_domain }}
   email: {{ hysteria2_acme_email }}
@@ -13,10 +13,7 @@ auth:
     {{ user.name }}: "{{ user.password }}"
 {% endfor %}
 
-masquerade:
+obfs:
-  type: file
+  type: salamander
-  file:
+  salamander:
-    dir: {{ hysteria2_masq_dir }}
+    password: "{{ hysteria2_obfs_password }}"
-  listenHTTP: :80
-  listenHTTPS: :{{ hysteria2_listen_port }}
-  forceHTTPS: true

roles/hysteria2/templates/export/global-index.html.j2

@@ -160,6 +160,17 @@
       font-weight: 600;
     }
     .server-link:hover { background: var(--accent-soft); border-color: var(--accent); }
+    .badge-salamander {
+      display: inline-block;
+      margin-top: 0.35rem;
+      padding: 0.2rem 0.6rem;
+      border-radius: 999px;
+      font-size: 0.72rem;
+      font-weight: 700;
+      background: var(--accent-soft-2);
+      color: var(--accent-2);
+    }
+    .server-obfs { margin-top: 0.75rem; width: 100%; }
     .users-grid {
       display: grid;
       grid-template-columns: repeat(auto-fill, minmax(300px, 1fr));
@@ -286,8 +297,8 @@
 </head>
 <body>
   <header class="hero">
-    <h1>Hysteria2</h1>
+    <h1>Hysteria2 · Salamander</h1>
-    <p>Общий каталог VPN-подключений</p>
+    <p>Общий каталог VPN-подключений с обфускацией Salamander</p>
     <div class="stats">
       <div class="stat"><span>{{ hysteria2_global_servers | length }}</span> серверов</div>
       <div class="stat"><span>{{ total_users }}</span> пользователей</div>
@@ -307,6 +318,18 @@
         <div>
           <h2>{{ server.name | e }}</h2>
           <p class="domain">{{ server.domain | e }}:{{ server.port }}</p>
+          <span class="badge-salamander">Salamander</span>
+{% if server.obfs_password | default('') | length > 0 %}
+          <div class="field server-obfs">
+            <label for="obfs-{{ server.dir | e }}">Пароль обфускации</label>
+            <div class="input-row">
+              <input type="text" id="obfs-{{ server.dir | e }}" value="{{ server.obfs_password | e }}" readonly>
+              <button type="button" class="btn-copy" onclick="copyField('obfs-{{ server.dir | e }}', this)" title="Копировать obfs-password" aria-label="Копировать obfs-password">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2"><rect x="9" y="9" width="13" height="13" rx="2"/><path d="M5 15H4a2 2 0 0 1-2-2V4a2 2 0 0 1 2-2h9a2 2 0 0 1 2 2v1"/></svg>
+              </button>
+            </div>
+          </div>
+{% endif %}
         </div>
         <a class="server-link" href="{{ server.dir | e }}/index.html">Страница сервера →</a>
       </div>

roles/hysteria2/templates/export/index.html.j2

@@ -75,6 +75,15 @@
       font-size: 0.8rem;
       font-weight: 600;
     }
+    .badge-salamander {
+      margin-left: 0.35rem;
+      background: rgba(163, 113, 247, 0.18);
+      color: #a371f7;
+    }
+    .server-obfs {
+      margin-top: 1.25rem;
+      max-width: 100%;
+    }
     .user-card {
       background: var(--bg-card);
       border: 1px solid var(--border);
@@ -235,6 +244,17 @@
         Домен: <strong>{{ hysteria2_domain }}:{{ hysteria2_listen_port }}</strong>
       </p>
       <span class="badge">{{ hysteria2_export_users | length }} {{ 'пользователь' if hysteria2_export_users | length == 1 else 'пользователей' }}</span>
+      <span class="badge badge-salamander">Salamander</span>
+
+      <div class="field server-obfs">
+        <label for="obfs-server">Пароль обфускации (Salamander)</label>
+        <div class="input-row">
+          <input type="text" id="obfs-server" value="{{ hysteria2_obfs_password | e }}" readonly>
+          <button type="button" class="btn-copy" onclick="copyField('obfs-server', this)" title="Копировать obfs-password" aria-label="Копировать obfs-password">
+            <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><rect x="9" y="9" width="13" height="13" rx="2"/><path d="M5 15H4a2 2 0 0 1-2-2V4a2 2 0 0 1 2-2h9a2 2 0 0 1 2 2v1"/></svg>
+          </button>
+        </div>
+      </div>
     </header>
 
 {% for user in hysteria2_export_users %}

roles/hysteria2/templates/masq/index.html.j2

@@ -1,27 +0,0 @@
-<!DOCTYPE html>
-<html>
-<head>
-<title>Welcome to nginx!</title>
-<style>
-html { color-scheme: light dark; }
-body { width: 35em; margin: 0 auto;
-font-family: Tahoma, Verdana, Arial, sans-serif; }
-</style>
-</head>
-<body>
-<h1>Welcome to nginx!</h1>
-<p>If you see this page, nginx is successfully installed and working.
-Further configuration is required for the web server, reverse proxy, 
-API gateway, load balancer, content cache, or other features.</p>
-
-<p>For online documentation and support please refer to
-<a href="https://nginx.org/">nginx.org</a>.<br/>
-To engage with the community please visit
-<a href="https://community.nginx.org/">community.nginx.org</a>.<br/>
-For enterprise grade support, professional services, additional 
-security features and capabilities please refer to
-<a href="https://f5.com/nginx">f5.com/nginx</a>.</p>
-
-<p><em>Thank you for using nginx.</em></p>
-</body>
-</html>