Майстар «Свой сервер»

Свой сервер — гэта ваш уласны арандаваны сервер (VPS) у інтэрнэце, які робіцца «выходам» для абароненага канала. Майстар падключаецца да яго па SSH, сам ставіць патрэбнае ПЗ і стварае гатовае злучэнне — уручную ўводзіць каманды на серверы не трэба.

Адкрыць: «Прылады і сетка» → «Свой сервер» → «+ Дадаць сервер».

Крок 1. Сервер

Запоўніце даныя доступу:

• Назва — як вы будзеце называць сервер у спісе (напрыклад, «Франкфурт»);
• Адрас (host) — IP-адрас або даменнае імя сервера;
• Порт SSH — звычайна 22;
• Карыстальнік SSH і Правы: root напрамую або ўваход праз sudo;
• Спосаб уваходу — пароль, ключ з файла або агент SSH (апошні даступны не на ўсіх роўтарах);
• Краіна — неабавязкова: для сцяжка на картцы сервера;
• Дамен панэлі — неабавязкова: дамен, на якім панэль кіравання адкрыецца па HTTPS. Яго A-запіс павінен указваць на гэты ж сервер. Ёсць і базавы дамен: з яго праграма прапануе гатовыя імёны панэляў выгляду wg.<дамен> і vl.<дамен>.

Праграма правярае адрас і порт адразу пры ўводзе і не пускае далей, пакуль яны запісаныя няправільна: пад полем з’яўляецца прычына, а кнопка «Далей» застаецца недаступнай. Адрас прымаецца толькі ў выглядзе IP-адраса (203.0.113.10, 2001:db8::1 або [2001:db8::1]) альбо даменнага імя (vpn.kvaspro.su): схема (https://…), порт унутры адраса (vpn.kvaspro.su:8443), прабелы і смецце накшталт 12.12dsds3.2.123232 не прымаюцца — порт указваецца ў суседнім полі «Порт SSH» і павінен быць цэлым лікам ад 1 да 65535.

Поле дамена ўключае толькі HTTPS-панэль і усталяванне не блакуе: сервер ставіцца па IP-адрасе і без дамена. Калі ў полі ўказаць IP-адрас, усталяванне пройдзе, а HTTPS-панэль не будзе наладжвацца — па IP-адрасе панэль вонкі не публікуецца; праграма скажа пра гэта прама і ў падказцы поля, і ў выніку усталявання. Памылкай лічыцца толькі друкавальная памылка ў дамене (vpn..kvaspro.su, https://vpn.kvaspro.su) — яе праграма папросіць выправіць.

Пароль і пароль да ключа патрэбныя адзін раз — для праверкі доступу і ўсталявання; на роўтары яны не захоўваюцца.

Асобныя перамыкачы гэтага крока:

• «Усталяваць уваход па ключы» — паставіць ключ роўтара на сервер і далей уваходзіць па ім, без пароля;
• «Адключыць уваход па паролі» — забараніць парольны ўваход на серверы (гэта выканаецца толькі пасля паспяховага ўсталявання ключа — інакш можна страціць доступ);
• «Ключ ужо загружаны на сервер» — калі публічны ключ вы дадалі самі.

Крок 2. Доступ і пратаколы

Майстар правярае доступ: падключаецца па SSH, вызначае сістэму, наяўнасць systemd і публічны адрас. Вынік відаць адразу — даступны сервер ці не, якая на ім аперацыйная сістэма.

• Пацвердзіце SSH-адбітак. Майстар паказвае адбітак ключа сервера — націсніце «Давяраць адбітку». Так вы абараняецеся ад падмены сервера: калі адбітак не супадае з тым, што вы чакалі, падключэнне лепш спыніць.
• Выберыце пратаколы для ўсталявання — можна некалькі адразу:
  • VLESS (сучасны пратакол маскіроўкі трафіку);
  • WireGuard (хуткі і просты; серверная частка ставіцца праз панэль wg-easy);
  • TrustTunnel. Парты і параметры падбіраюцца аўтаматычна.
• Панэль кіравання Marzban — неабавязковая: VLESS працуе і без яе, а злучэннем кіруе сам Квас Про. Усталяванне панэлі дадае Docker і займае больш часу.

Крок 3. Усталяванне

Майстар выконвае працу і паказвае журнал па стадыях:

1. падключэнне да сервера па SSH;
2. падрыхтоўка сістэмы і залежнасцей;
3. усталяванне сервернай часткі пратакола;
4. усталяванне сервернай панэлі (калі выбрана);
5. генерацыя ключоў і кліенцкага профілю;
6. імпарт гатовага злучэння ў раздзел «Злучэнні».

Калі ўсталяванне перарвалася (зачынілі ваконца, знікла сувязь), майстар пры наступным адкрыцці працягне з таго ж месца — нанова нічога ўводзіць не трэба.

Што ў выніку:

• сервер з’явіўся ў спісе, а побач з ім — статус даступнасці;
• злучэнне з’явілася ў раздзеле Злучэнні і адразу гатовае да працы;
• калі панэль Marzban не ўсталявалася, злучэнне ўсё роўна створанае — панэль можна даўсталяваць пазней кнопкай «Паўтарыць усталяванне панэлі». Лагін і пароль панэлі захоўваюцца на самім серверы ў файле /root/.kvaspro-marzban-admin.

Якая версія панэлі ставіцца і чаму

Разам з панэллю Marzban на сервер прыходзіць яе ўласнае ядро — Xray. Менавіта яно прымае злучэнне з вашага роўтара, таму сумяшчальнасць вызначаецца ім, а не нумарам самой панэлі. Панэль ставіцца замацаванай версіяй вобраза — gozargah/marzban:v0.8.4 з адбіткам, — а не плаваючай меткай latest: ядро ўнутры вобраза змяняецца разам з вобразам, і абнаўленне прыходзіла б на сервер само, без вашага ўдзелу. У замацаваным вобразе — Xray 24.12.31, з ім злучэнне працуе.

Чаму гэта важна. Пачынаючы з ядра 26.9.8 Xray патрабуе ў REALITY пост-квантавага абмену ключамі, якога ядро на роўтары не ўмее. З такім серверам кліент не падключыцца, прычым ні на серверы, ні на роўтары не з’явіцца памылкі: сервер моўчкі вядзе спробу злучэння на старонні сайт, і збоку гэта выглядае як «інтэрнэт знік».

Таму пасля ўсталявання панэлі праграма сама чытае версію ядра на серверы і піша яе ў журнал усталявання: «Ядро сервера Xray 24.12.31 сумяшчальнае з ядром Квас Про». Калі версія апынецца несумяшчальнай альбо яе не ўдасца даведацца, журнал скажа пра гэта словамі і падкажа, што рабіць, — паставіць вобраз панэлі з сумяшчальным ядром.

Пасля ўсталявання

• «Праверыць пратакол» — пінг і тэставы поціск рукі: упэўніцца, што канал сапраўды працуе. Вынік відаць прама ў радку і абнаўляецца на месцы: «Злучэнне ўсталяванае, затрымка N мс», «Endpoint даступны, затрымка не вымяраецца» або сумленнае «Тэст не пройдзены: …» з прычынай. Няўдалая проба таксама паказваецца — экран не застаецца з ранейшым «усё добра».
• «Адкрыць панэль кіравання» — спасылка на панэль. Яна будуецца толькі для дамена: панэль кіравання слухае на серверы лакальны адрас (127.0.0.1) і вонкі не апублікаваная, таму па IP-адрасе загадзя непрацоўнай спасылкі не будзе — замест яе праграма сумленна падказвае, што доступ да панэлі ідзе па SSH або праз наладжаны дамен.
• HTTPS для панэлі — калі дамен панэлі ўказаны, праграма правярае яго A-запіс і наладжвае адваротны проксі з сертыфікатам. Стан відаць на картцы:
  • «HTTPS наладжаны» — дамен указвае на гэты сервер, проксі і сертыфікат гатовыя;
  • «сертыфікат выпускаецца — абнавіце пазней» — выпуск яшчэ ідзе, ёсць кнопка «Паўтарыць наладу HTTPS»;
  • «HTTPS не наладжаны: прычына» — напрыклад, A-запіс дамена вядзе не на гэты сервер або выпуск сертыфіката не ўдаўся; прычына названая прама. Калі дамен зададзены, а проксі не актыўны, праграма так і напіша: «дамен зададзены, але адваротны проксі не актыўны».
• «Пераўсталяваць пратакол» і «Пераўсталяваць сервер» — калі штосьці пайшло не так.
• «Выдаліць пратакол» і «Выдаліць сервер» — з папярэджаннем: разам з сервернай часткай выдаляецца і звязанае злучэнне.

Што далей

• Злучэнні — як уладкаваныя каналы і што з імі можна рабіць.
• Белы спіс — якім даменам які канал дастаецца.