mirror of
https://github.com/hackdiaz-dev/free-turn-proxy.git
synced 2026-10-12 09:41:53 +02:00
fix: исправить баги, sentinel-ошибки, устаревшие доки
Баги: - udprelay: errors.Is(DeadlineExceeded) вместо сравнения строк; короткий backoff в ветке lockout; обернуть DTLS-ошибку через %w - bondserver.copyBondToBackend: лимит pending-map в 1024 (паритет с bondclient) - srtpmimicry.RelayPacketConn: bufPool для горячего UDP-пути (паритет с listen.go) - vkauth.token.go: ручной солвер под ctx.WithTimeout(ctx, ...) вместо Background — нет утечки горутины при shutdown Гигиена: - sentinel-ошибки vkauth как var = errors.New(...); вызыватели используют errors.Is - убраны устаревшие комментарии этапов рефакторинга (Pion SPDX, "Package bond", internal/bond, удалённый файл заметок) - .gitignore: *.exe, *.so Тесты + lint проходят.
This commit is contained in:
samosvalishe
@@ -1,2 +1,4 @@
|
||||
.idea
|
||||
.claude
|
||||
*.exe
|
||||
*.so
|
||||
|
||||
@@ -1,6 +1,3 @@
|
||||
// SPDX-FileCopyrightText: 2023 The Pion community <https://pion.ly>
|
||||
// SPDX-License-Identifier: MIT
|
||||
|
||||
package main
|
||||
|
||||
import (
|
||||
|
||||
@@ -2,6 +2,7 @@ package vkauth
|
||||
|
||||
import (
|
||||
"context"
|
||||
"errors"
|
||||
"fmt"
|
||||
"log"
|
||||
"math/rand"
|
||||
@@ -211,7 +212,7 @@ func (c *Client) fetchSerialized(ctx context.Context, link string, streamID int)
|
||||
// fetch loops over c.credentials, returning on first success or terminal error.
|
||||
func (c *Client) fetch(ctx context.Context, link string, streamID int) (string, string, []string, error) {
|
||||
if time.Now().Unix() < c.lockout.Load() {
|
||||
return "", "", nil, fmt.Errorf("CAPTCHA_WAIT_REQUIRED: global lockout active")
|
||||
return "", "", nil, fmt.Errorf("%w: %w", ErrCaptchaWaitRequired, ErrLockoutActive)
|
||||
}
|
||||
|
||||
var lastErr error
|
||||
@@ -227,10 +228,10 @@ func (c *Client) fetch(ctx context.Context, link string, streamID int) (string,
|
||||
lastErr = err
|
||||
log.Printf("[STREAM %d] [VK Auth] Failed with client_id=%s: %v", streamID, creds.ClientID, err)
|
||||
|
||||
es := err.Error()
|
||||
if strings.Contains(es, ErrCaptchaWaitRequired) || strings.Contains(es, "FATAL_CAPTCHA") {
|
||||
if errors.Is(err, ErrCaptchaWaitRequired) || errors.Is(err, ErrFatalCaptchaNoStreams) {
|
||||
return "", "", nil, err
|
||||
}
|
||||
es := err.Error()
|
||||
if strings.Contains(es, "error_code:29") || strings.Contains(es, "error_code: 29") || strings.Contains(es, "Rate limit") {
|
||||
log.Printf("[STREAM %d] [VK Auth] Rate limit detected, trying next credentials...", streamID)
|
||||
}
|
||||
|
||||
@@ -4,7 +4,6 @@ import (
|
||||
"context"
|
||||
"errors"
|
||||
"fmt"
|
||||
"strings"
|
||||
"sync/atomic"
|
||||
"testing"
|
||||
"time"
|
||||
@@ -124,11 +123,11 @@ func TestFetchShortCircuitsOnCaptchaWait(t *testing.T) {
|
||||
var calls atomic.Int32
|
||||
c := newTestClient(t, func(_ context.Context, _ string, _ int, _ VKCredentials, _ tlsclient.CookieJar) (string, string, []string, error) {
|
||||
calls.Add(1)
|
||||
return "", "", nil, errors.New(ErrCaptchaWaitRequired)
|
||||
return "", "", nil, ErrCaptchaWaitRequired
|
||||
})
|
||||
|
||||
_, _, _, err := c.GetCredentials(context.Background(), "L", 0)
|
||||
if err == nil || !strings.Contains(err.Error(), ErrCaptchaWaitRequired) {
|
||||
if err == nil || !errors.Is(err, ErrCaptchaWaitRequired) {
|
||||
t.Fatalf("expected CAPTCHA_WAIT_REQUIRED, got %v", err)
|
||||
}
|
||||
if calls.Load() != 1 {
|
||||
@@ -184,7 +183,7 @@ func TestLockoutBlocksFetch(t *testing.T) {
|
||||
}
|
||||
|
||||
_, _, _, err := c.GetCredentials(context.Background(), "L", 0)
|
||||
if err == nil || !strings.Contains(err.Error(), "global lockout active") {
|
||||
if err == nil || !errors.Is(err, ErrLockoutActive) {
|
||||
t.Fatalf("expected lockout error, got %v", err)
|
||||
}
|
||||
}
|
||||
|
||||
@@ -135,9 +135,9 @@ func (c *Client) getTokenChain(ctx context.Context, link string, streamID int, c
|
||||
c.engageLockout(60 * time.Second)
|
||||
if c.streamsFn() == 0 {
|
||||
log.Printf("[STREAM %d] [FATAL] 0 connected streams and captcha solve modes exhausted.", streamID)
|
||||
return "", "", nil, errors.New(ErrFatalCaptchaNoStreams)
|
||||
return "", "", nil, ErrFatalCaptchaNoStreams
|
||||
}
|
||||
return "", "", nil, errors.New(ErrCaptchaWaitRequired)
|
||||
return "", "", nil, ErrCaptchaWaitRequired
|
||||
}
|
||||
|
||||
var successToken string
|
||||
@@ -164,8 +164,11 @@ func (c *Client) getTokenChain(ctx context.Context, link string, streamID int, c
|
||||
break
|
||||
}
|
||||
log.Printf("[STREAM %d] [Captcha] Triggering manual captcha fallback...", streamID)
|
||||
// Background ctx so a short parent deadline doesn't cut user solve time.
|
||||
manualCtx, manualCancel := context.WithTimeout(context.Background(), 3*time.Minute)
|
||||
// Manual solver gets its own 3-min budget so a tight parent
|
||||
// deadline doesn't cut user solve time. We still propagate
|
||||
// parent cancellation (app shutdown) so the in-flight solver
|
||||
// goroutine doesn't outlive the process.
|
||||
manualCtx, manualCancel := context.WithTimeout(ctx, 3*time.Minute)
|
||||
|
||||
type manualRes struct {
|
||||
token string
|
||||
@@ -193,7 +196,7 @@ func (c *Client) getTokenChain(ctx context.Context, link string, streamID int, c
|
||||
log.Printf("[STREAM %d] [Captcha] manual solver returned error: %v", streamID, solveErr)
|
||||
}
|
||||
case <-manualCtx.Done():
|
||||
if manualCtx.Err() == context.DeadlineExceeded {
|
||||
if errors.Is(manualCtx.Err(), context.DeadlineExceeded) {
|
||||
solveErr = fmt.Errorf("manual captcha timed out after 3m")
|
||||
} else {
|
||||
solveErr = fmt.Errorf("manual captcha interrupted: %w", manualCtx.Err())
|
||||
@@ -212,9 +215,9 @@ func (c *Client) getTokenChain(ctx context.Context, link string, streamID int, c
|
||||
c.engageLockout(60 * time.Second)
|
||||
if c.streamsFn() == 0 {
|
||||
log.Printf("[STREAM %d] [FATAL] 0 connected streams and manual captcha failed/timed out.", streamID)
|
||||
return "", "", nil, errors.New(ErrFatalCaptchaNoStreams)
|
||||
return "", "", nil, ErrFatalCaptchaNoStreams
|
||||
}
|
||||
return "", "", nil, errors.New(ErrCaptchaWaitRequired)
|
||||
return "", "", nil, ErrCaptchaWaitRequired
|
||||
}
|
||||
|
||||
if captchaErr.CaptchaAttempt == "0" || captchaErr.CaptchaAttempt == "" {
|
||||
|
||||
@@ -1,6 +1,9 @@
|
||||
package vkauth
|
||||
|
||||
import "time"
|
||||
import (
|
||||
"errors"
|
||||
"time"
|
||||
)
|
||||
|
||||
// VKCredentials is one app_id/app_secret pair used to obtain anonymous tokens.
|
||||
type VKCredentials struct {
|
||||
@@ -35,10 +38,10 @@ const (
|
||||
DefaultStreamsPerCache = 10
|
||||
)
|
||||
|
||||
// Sentinel error message fragments produced by the auth flow. Consumers match
|
||||
// on substring to preserve wire compatibility with the existing caller logic.
|
||||
const (
|
||||
ErrCaptchaWaitRequired = "CAPTCHA_WAIT_REQUIRED"
|
||||
ErrFatalCaptchaNoStreams = "FATAL_CAPTCHA_FAILED_NO_STREAMS"
|
||||
ErrLockoutActiveSuffix = "global lockout active"
|
||||
// Sentinel errors produced by the auth flow. Callers use errors.Is.
|
||||
// The string forms remain stable for log output.
|
||||
var (
|
||||
ErrCaptchaWaitRequired = errors.New("CAPTCHA_WAIT_REQUIRED")
|
||||
ErrFatalCaptchaNoStreams = errors.New("FATAL_CAPTCHA_FAILED_NO_STREAMS")
|
||||
ErrLockoutActive = errors.New("global lockout active")
|
||||
)
|
||||
|
||||
@@ -4,10 +4,8 @@
|
||||
// wrap key, but do not touch the network, DNS, or process state. main() is
|
||||
// responsible for wiring those side effects after Parse* returns.
|
||||
//
|
||||
// V2-7: options are grouped by domain (TURN, Obf, Proxy, VK, DNS, Log) so the
|
||||
// struct shape mirrors the conceptual layers of the proxy instead of being a
|
||||
// flat bag of bools. CLI flag names, defaults, and behavior are bit-exact
|
||||
// compatible with the pre-V2-7 surface.
|
||||
// Options are grouped by domain (TURN, Obf, Proxy, VK, DNS, Log) so the struct
|
||||
// shape mirrors the conceptual layers of the proxy.
|
||||
package config
|
||||
|
||||
import (
|
||||
|
||||
@@ -1,7 +1,6 @@
|
||||
// Package logx is a minimal leveled logger over stdlib log. It replaces the
|
||||
// per-package Deps{Debug bool, Debugf func} pair: callers receive a Logger and
|
||||
// call Debugf/Infof/Warnf/Errorf directly. Output format is bit-compatible with
|
||||
// the previous `log.Printf`-gated-by-isDebug pattern.
|
||||
// Package logx is a minimal leveled logger over stdlib log. Callers receive a
|
||||
// Logger and call Debugf/Infof/Warnf/Errorf directly; Debugf is gated by a
|
||||
// debug flag, the other levels always print via stdlib log.
|
||||
package logx
|
||||
|
||||
import "log"
|
||||
@@ -24,7 +23,7 @@ type stdLogger struct {
|
||||
}
|
||||
|
||||
// New returns a Logger that prints via stdlib log. If debug is false, Debugf is
|
||||
// a no-op (matches the legacy `if isDebug { log.Printf(...) }` shape).
|
||||
// a no-op.
|
||||
func New(debug bool) Logger {
|
||||
return &stdLogger{debug: debug}
|
||||
}
|
||||
|
||||
@@ -1,7 +1,7 @@
|
||||
// Package bondclient implements the client side of the bonded VLESS lane:
|
||||
// a single accepted TCP connection striped (round-robin) across all currently
|
||||
// live smux sessions in a tcpfwd.SessionPool. Frame wire-format lives in
|
||||
// internal/bond; this package wires the local TCP <-> lanes copy loops.
|
||||
// internal/wire/bondframe; this package wires the local TCP <-> lanes copy loops.
|
||||
package bondclient
|
||||
|
||||
import (
|
||||
|
||||
@@ -1,7 +1,7 @@
|
||||
// Package bondserver implements the server side of the bonded VLESS lane:
|
||||
// a single backend TCP connection multiplexed across N smux streams that all
|
||||
// share a ConnID. Frame wire-format lives in internal/bond; this package wires
|
||||
// the backend TCP <-> lanes copy loops and the per-ConnID registry.
|
||||
// share a ConnID. Frame wire-format lives in internal/wire/bondframe; this package
|
||||
// wires the backend TCP <-> lanes copy loops and the per-ConnID registry.
|
||||
package bondserver
|
||||
|
||||
import (
|
||||
@@ -283,6 +283,13 @@ func (c *serverConn) copyBondToBackend(backendConn net.Conn) {
|
||||
case f := <-c.recvCh:
|
||||
switch f.Type {
|
||||
case bondframe.FrameData:
|
||||
// Bound the reorder buffer so a malicious or buggy peer
|
||||
// that emits seq with permanent gaps cannot exhaust memory.
|
||||
// Matches bondclient.copyBondToTCP.
|
||||
if len(pending) >= 1024 {
|
||||
log.Printf("[bond %d] pending map overflow (>1024), closing", c.id)
|
||||
return
|
||||
}
|
||||
pending[f.Seq] = f.Data
|
||||
case bondframe.FrameFIN:
|
||||
v := f.Seq
|
||||
|
||||
@@ -1,7 +1,7 @@
|
||||
// Package common holds small helpers shared between udprelay and tcpfwd. The
|
||||
// two proxy modes layer DTLS and srtpmimicry differently (see V2-6 decision
|
||||
// in notes/AUDIT_2026-05-19_V2.md), so a full Engine/Handler abstraction was
|
||||
// rejected. This package only collects the bits that are genuinely identical.
|
||||
// Package common holds the few helpers shared by udprelay and tcpfwd
|
||||
// (TURN dial + wrap codec construction). The two proxy modes layer DTLS and
|
||||
// srtpmimicry differently, so a full Engine/Handler abstraction is intentionally
|
||||
// avoided — this package only collects what is genuinely identical.
|
||||
package common
|
||||
|
||||
import (
|
||||
|
||||
@@ -2,8 +2,8 @@
|
||||
// smux sessions. Each accepted local TCP connection is opened as a smux stream
|
||||
// (round-robin across sessions) or, with bond, striped across all live sessions.
|
||||
//
|
||||
// The package exposes SessionPool/PooledSession so that the bond client half
|
||||
// (still living in main during refactor stage 4.2) can operate on them.
|
||||
// SessionPool/PooledSession are exported so the bond client (internal/proxy/bondclient)
|
||||
// can stripe a single TCP connection across multiple live sessions.
|
||||
package tcpfwd
|
||||
|
||||
import (
|
||||
|
||||
@@ -35,8 +35,7 @@ type Params struct {
|
||||
|
||||
// BondHandler stripes one accepted TCP connection across all currently-live
|
||||
// pool sessions. Nil disables bond mode (callers will then use round-robin).
|
||||
// Bond client lives in main during stage 4.2; it will move to internal/bond/client
|
||||
// in stage 5.1.
|
||||
// The bond client implementation lives in internal/proxy/bondclient.
|
||||
type BondHandler func(ctx context.Context, tcpConn net.Conn, connID uint64, lanes []*PooledSession)
|
||||
|
||||
// Deps groups host-process dependencies needed by the VLESS loop.
|
||||
|
||||
@@ -7,15 +7,16 @@ package udprelay
|
||||
|
||||
import (
|
||||
"context"
|
||||
"errors"
|
||||
"fmt"
|
||||
"log"
|
||||
"math/rand"
|
||||
"net"
|
||||
"strings"
|
||||
"sync"
|
||||
"sync/atomic"
|
||||
"time"
|
||||
|
||||
"github.com/cacggghp/vk-turn-proxy/internal/client/vkauth"
|
||||
"github.com/cacggghp/vk-turn-proxy/internal/logx"
|
||||
"github.com/cacggghp/vk-turn-proxy/internal/proxy/common"
|
||||
"github.com/cacggghp/vk-turn-proxy/internal/stats"
|
||||
@@ -50,8 +51,7 @@ type AuthHandler interface {
|
||||
LockoutUntilUnix() int64
|
||||
}
|
||||
|
||||
// Params is the per-stream TURN/wrap configuration shared by the DTLS and TURN
|
||||
// loops. Equivalent of the old client/main.go turnParams.
|
||||
// Params is the per-stream TURN/wrap configuration shared by the DTLS and TURN loops.
|
||||
type Params struct {
|
||||
Host string
|
||||
Port string
|
||||
@@ -92,10 +92,18 @@ func DTLSLoop(ctx context.Context, deps *Deps, peer *net.UDPAddr, listenConn net
|
||||
return
|
||||
default:
|
||||
err := oneDTLS(ctx, deps, peer, listenConn, inboundChan, connchan, okchan, streamID)
|
||||
if err != nil {
|
||||
if time.Now().Unix() < deps.Auth.LockoutUntilUnix() && strings.Contains(err.Error(), "context deadline exceeded") {
|
||||
continue
|
||||
// During captcha lockout the handshake deadline fires before
|
||||
// auth retries can succeed; back off briefly to avoid a tight
|
||||
// retry spin until the lockout clears.
|
||||
if err != nil && time.Now().Unix() < deps.Auth.LockoutUntilUnix() && errors.Is(err, context.DeadlineExceeded) {
|
||||
select {
|
||||
case <-ctx.Done():
|
||||
return
|
||||
case <-time.After(time.Duration(1+rand.Intn(2)) * time.Second):
|
||||
}
|
||||
continue
|
||||
}
|
||||
if err != nil {
|
||||
select {
|
||||
case <-ctx.Done():
|
||||
return
|
||||
@@ -124,15 +132,15 @@ func TURNLoop(ctx context.Context, deps *Deps, params *Params, peer *net.UDPAddr
|
||||
go oneTURN(ctx, deps, params, peer, conn2, streamID, c)
|
||||
|
||||
if err := <-c; err != nil {
|
||||
if strings.Contains(err.Error(), "FATAL_CAPTCHA") {
|
||||
if errors.Is(err, vkauth.ErrFatalCaptchaNoStreams) {
|
||||
log.Printf("[STREAM %d] Fatal manual captcha error. Shutting down application.", streamID)
|
||||
if deps.AppCancel != nil {
|
||||
deps.AppCancel()
|
||||
}
|
||||
return
|
||||
}
|
||||
if strings.Contains(err.Error(), "CAPTCHA_WAIT_REQUIRED") {
|
||||
if !strings.Contains(err.Error(), "global lockout active") {
|
||||
if errors.Is(err, vkauth.ErrCaptchaWaitRequired) {
|
||||
if !errors.Is(err, vkauth.ErrLockoutActive) {
|
||||
log.Printf("[STREAM %d] Backing off for 60 seconds to avoid IP ban...", streamID)
|
||||
select {
|
||||
case <-ctx.Done():
|
||||
@@ -167,6 +175,9 @@ func oneDTLS(ctx context.Context, deps *Deps, peer *net.UDPAddr, listenConn net.
|
||||
defer dtlscancel()
|
||||
|
||||
conn1, conn2 := connutil.AsyncPacketPipe()
|
||||
// TURNLoop may restart oneTURN several times within a single DTLS lifetime,
|
||||
// re-reading conn2 on each restart; keep publishing until the DTLS attempt
|
||||
// itself ends.
|
||||
go func() {
|
||||
for {
|
||||
select {
|
||||
@@ -178,7 +189,7 @@ func oneDTLS(ctx context.Context, deps *Deps, peer *net.UDPAddr, listenConn net.
|
||||
}()
|
||||
dtlsRaw, err1 := deps.DTLSDialer.Dial(dtlsctx, conn1, peer)
|
||||
if err1 != nil {
|
||||
return fmt.Errorf("failed to connect DTLS: %s", err1)
|
||||
return fmt.Errorf("failed to connect DTLS: %w", err1)
|
||||
}
|
||||
var dtlsConn net.Conn = dtlsRaw
|
||||
defer func() {
|
||||
|
||||
@@ -1,4 +1,4 @@
|
||||
// Package bond contains the wire format used by the VLESS bond multi-lane
|
||||
// Package bondframe contains the wire format used by the VLESS bond multi-lane
|
||||
// transport (hello + framed data/FIN). Both the client (initiator) and the
|
||||
// server (acceptor) speak the same encoding.
|
||||
package bondframe
|
||||
|
||||
@@ -19,8 +19,16 @@ func (r *RelayPacketConn) ReadFrom(b []byte) (int, net.Addr, error) {
|
||||
if r.Conn == nil {
|
||||
return r.Relay.ReadFrom(b)
|
||||
}
|
||||
buf := make([]byte, MaxWire(len(b)))
|
||||
n, addr, err := r.Relay.ReadFrom(buf)
|
||||
bp := bufPool.Get().(*[]byte) //nolint:errcheck // pool New always returns *[]byte
|
||||
buf := *bp
|
||||
need := MaxWire(len(b))
|
||||
if cap(buf) < need {
|
||||
buf = make([]byte, need)
|
||||
*bp = buf
|
||||
}
|
||||
defer bufPool.Put(bp)
|
||||
|
||||
n, addr, err := r.Relay.ReadFrom(buf[:cap(buf)])
|
||||
if err != nil {
|
||||
return 0, addr, err
|
||||
}
|
||||
@@ -35,7 +43,17 @@ func (r *RelayPacketConn) WriteTo(b []byte, _ net.Addr) (int, error) {
|
||||
if r.Conn == nil {
|
||||
return r.Relay.WriteTo(b, r.Peer)
|
||||
}
|
||||
out := make([]byte, MaxWire(len(b)))
|
||||
wireLen := MaxWire(len(b))
|
||||
|
||||
bp := bufPool.Get().(*[]byte) //nolint:errcheck // pool New always returns *[]byte
|
||||
out := *bp
|
||||
if cap(out) < wireLen {
|
||||
out = make([]byte, wireLen)
|
||||
*bp = out
|
||||
}
|
||||
out = out[:wireLen]
|
||||
defer bufPool.Put(bp)
|
||||
|
||||
n, err := r.Conn.WrapInto(out, b)
|
||||
if err != nil {
|
||||
return 0, err
|
||||
|
||||
@@ -0,0 +1,108 @@
|
||||
# Независимый аудит — 2026-05-19
|
||||
|
||||
Аудит проведён без опоры на предыдущие AUDIT_* и без учёта обратной совместимости.
|
||||
Билд чистый, `go vet` / `golangci-lint run` без замечаний. Дефекты ниже не ловятся
|
||||
текущими тулзами.
|
||||
|
||||
## 1. Архитектура
|
||||
|
||||
- **`cmd/vk-turn-server/main.go` 396 LoC**: `handleUDPConnection`, `handleVLESSConnection`,
|
||||
`pipeConn`, `prefixedConn` — бизнес-логика. Должны переехать в `internal/proxy/...`.
|
||||
Клиент симметрично уже сделан (`tcpfwd.Run`), сервер отстал.
|
||||
- **Глобалы в server main** (`cmd/vk-turn-server/main.go:27-30`): `logger`,
|
||||
`globalBondRegistry`. Mutable package-vars вместо передачи через стек.
|
||||
- **Asymmetry клиента**: UDP-режим разворачивается inline в
|
||||
`cmd/vk-turn-client/main.go:157-261`. Должен быть `udprelay.Run(...)` симметрично
|
||||
`tcpfwd.Run(...)`.
|
||||
- **Лишние `Deps`-структуры**: bondserver/bondclient/udprelay/tcpfwd. Большая часть
|
||||
содержит только Logger + 1-2 поля. Три разных стиля инициализации.
|
||||
- **Captcha-пакет монолит**: `manual.go` 892 / `slider.go` 627 / `captcha.go` 579 —
|
||||
смешаны HTTP-flow, parsing, PoW-mining, fingerprinting.
|
||||
- **`internal/proxy/common`** существует ради 2 функций (`DialTURN`, `NewClientWrap`).
|
||||
Слить в `turndial`.
|
||||
|
||||
## 2. Корректность / баги
|
||||
|
||||
- **`internal/proxy/udprelay/udprelay.go:96`** — `strings.Contains(err.Error(), "context deadline exceeded")`.
|
||||
Match по строке стандартной ошибки. Должно быть `errors.Is(err, context.DeadlineExceeded)`.
|
||||
Tight-loop risk: ветка `continue` без backoff если oneDTLS быстро возвращает DeadlineExceeded.
|
||||
- **`internal/proxy/udprelay/udprelay.go:170-178`** — бесконечная публикация одного
|
||||
и того же `conn2` в `connchan`. TURNLoop читает один раз. Должно быть одноразово.
|
||||
- **`internal/proxy/bondserver/bondserver.go:269`** — `pending` map без лимита, DoS-risk
|
||||
при дырах в seq. У клиента лимит 1024 есть (`bondclient.go:240`).
|
||||
- **`internal/client/vkauth/token.go:168-202`** — `context.WithTimeout(context.Background(), 3m)`
|
||||
для manual captcha. При отмене parent ctx goroutine `c.manualSolve(...)` живёт 3 мин.
|
||||
Goroutine-leak на shutdown.
|
||||
- **`internal/client/captcha/captcha.go:466`** — `solveCaptchaPoW` ctx-check каждые 4096
|
||||
итераций. Cancel может опоздать на сотни мс.
|
||||
- **`internal/wire/srtpmimicry/relay.go:22,38`** — `make([]byte, MaxWire(...))` на каждый
|
||||
ReadFrom/WriteTo. На горячем пути UDP — GC давление. В `listen.go` есть `bufPool`.
|
||||
- **`internal/client/captcha/captcha.go:47`** — `captchaDebugCache sync.Map` без TTL/eviction.
|
||||
- **`internal/client/vkauth/token.go:36`** — `tlsclient.NewHttpClient` пересоздаётся
|
||||
внутри `getTokenChain` на каждую попытку.
|
||||
- **`cmd/vk-turn-server/main.go:209,219,240,250`** — magic `time.Minute*30` для
|
||||
read/write deadline. Bidir UDP-relay с 30-минутным dead-timeout повисает при простое.
|
||||
- **`internal/client/vkauth/client.go:213-238`** — sentinel-errors через
|
||||
`strings.Contains(err.Error(), "...")`. Хрупко.
|
||||
|
||||
## 3. Stale-комментарии (refactor-history протёк в godoc)
|
||||
|
||||
- `internal/proxy/tcpfwd/tcpfwd.go:38-39` — "Bond client lives in main during stage 4.2;
|
||||
it will move to internal/bond/client in stage 5.1". Уже мигрировано.
|
||||
- `internal/proxy/tcpfwd/pool.go:6` — "bond client half (still living in main during
|
||||
refactor stage 4.2)". Ложь.
|
||||
- `internal/proxy/common/common.go:2-4` — ссылка на `notes/AUDIT_2026-05-19_V2.md`,
|
||||
файл удалён.
|
||||
- `internal/config/config.go:7-10` — "V2-7: options are grouped by domain...".
|
||||
Стадия рефакторинга в публичном godoc.
|
||||
- `internal/proxy/udprelay/udprelay.go:54-55` — "Equivalent of the old
|
||||
client/main.go turnParams". Историческая ссылка.
|
||||
- `cmd/vk-turn-client/main.go:1-2` — `SPDX-FileCopyrightText: 2023 The Pion community`
|
||||
на основном proxy main. Ложный copyright.
|
||||
- `internal/logx/logx.go:1-4` — описывает что заменило, а не что есть.
|
||||
- `internal/proxy/bondclient/bondclient.go:3-4` — "Frame wire-format lives in internal/bond"
|
||||
→ должно быть `internal/wire/bondframe`.
|
||||
|
||||
## 4. Нейминг
|
||||
|
||||
- `internal/wire/bondframe/bondframe.go:1` — godoc `// Package bond ...`, пакет `bondframe`.
|
||||
- `srtpmimicry.Conn` — AEAD-кодек, не `net.Conn`. Лучше `Cipher`/`Codec`.
|
||||
- `kcptun.DtlsPacketConn` / `NewDtlsPacketConn` — экспортированы, используются только внутри.
|
||||
- `udprelay.Pool` — глобальная `sync.Pool` экспортирована, никто извне не дёргает.
|
||||
- `bondclient.lane.dead atomic.Bool` vs `bondserver` slice-search remove — разные стили.
|
||||
- `turndial.Stream` vs `tcpfwd.PooledSession` — концептуальное пересечение.
|
||||
- `connchan` / `okchan` / `cchan` в client/main.go — нечитаемо.
|
||||
- Magic numbers: `2000` (inboundChan), `1024` (recvCh), 4 MiB vs 16 KiB чтение/запись фрейма.
|
||||
|
||||
## 5. Прочее
|
||||
|
||||
- 134 прямых `log.Printf` в 13 файлах при наличии `logx.Logger`. Mix — нельзя
|
||||
глобально перенаправить вывод.
|
||||
- `selfsign.GenerateSelfSigned()` на каждый `dtlsdial.Dial`. Кэшируй.
|
||||
- Hardcoded VK secrets `internal/client/vkauth/types.go:21-27` (известно).
|
||||
- Нет тестов: `bondclient`, `tcpfwd`, `udprelay`, `captcha/captcha.go` (auto-solver),
|
||||
`captcha/slider.go`. Самые гоночные компоненты без тестов.
|
||||
- Артефакты в репо: `client.exe`, `server.exe`, `libvkturn.so` — в `.gitignore` нет.
|
||||
|
||||
## Приоритеты исправлений
|
||||
|
||||
1. **Bugs (P0):**
|
||||
1.1. `udprelay`: `errors.Is(DeadlineExceeded)` вместо string-match + одноразовый conn2 + backoff.
|
||||
1.2. `bondserver`: cap `pending`.
|
||||
1.3. `srtpmimicry.RelayPacketConn`: bufPool как в listen.go.
|
||||
1.4. Goroutine-leak `manualSolve` (на shutdown).
|
||||
|
||||
2. **Stale-комменты / нейминг (P1):**
|
||||
2.1. Убрать stage-4.2 / V2-* / notes/AUDIT_2026-05-19_V2.md / Pion-copyright / "Package bond".
|
||||
2.2. Stale ссылка `internal/bond` → `internal/wire/bondframe`.
|
||||
|
||||
3. **Sentinel errors (P1):** `var ErrXxx = errors.New(...)` + `errors.Is`.
|
||||
|
||||
4. **Server-main → internal (P2):** вынести handle*Connection / pipeConn / prefixedConn,
|
||||
убрать глобалы.
|
||||
|
||||
5. **`udprelay.Run(...)` симметрично tcpfwd.Run (P2).**
|
||||
|
||||
6. **Logger unification (P2):** заменить `log.Printf` на `logx.Logger`.
|
||||
|
||||
7. **`.gitignore`:** `*.exe`, `*.so`.
|
||||
@@ -1,390 +0,0 @@
|
||||
# Архитектурный аудит V2 — vk-turn-proxy
|
||||
|
||||
Дата: 2026-05-19.
|
||||
Контекст: после закрытия этапов 1–6 первого `REFACTOR_PLAN.md` итог не устроил заказчика. Этот документ — независимый повторный аудит (структура + предметная область) и план финализации.
|
||||
|
||||
Предыдущий план: `notes/REFACTOR_PLAN.md`. Не отменяется — закрытые этапы остаются как есть, V2 строится поверх.
|
||||
|
||||
---
|
||||
|
||||
## 1. Снимок текущего состояния
|
||||
|
||||
```
|
||||
client/
|
||||
main.go (272) # package main: wiring + isDebug + debugf
|
||||
manual_captcha.go (875) # package main: HTTP-сервер, browser launch, gzip proxy
|
||||
manual_captcha_test.go
|
||||
internal/
|
||||
browserprofile/ captcha/ dnsdial/ namegen/ vkauth/
|
||||
server/
|
||||
main.go (402) # package main: wiring + globalBondRegistry + debugf
|
||||
internal/
|
||||
bond/{frame.go,client/,server/}
|
||||
config/ dtlsdial/ ish/ netadapt/ proxy/{udp,vless}
|
||||
stats/ turnpipe/ wrap/
|
||||
tcputil/
|
||||
tcputil.go # KCP/smux профили, top-level
|
||||
go.mod
|
||||
notes/ README.md Dockerfile routes-*.{sh,ps1}
|
||||
```
|
||||
|
||||
CLI флаги (текущие):
|
||||
- client: `-turn -port -listen -vk-link -peer -n -udp -no-dtls -vless -vless-bond -wrap -wrap-key -gen-wrap-key -streams-per-cred -debug -manual-captcha -dns -dns-servers`
|
||||
- server: `-listen -connect -vless -vless-bond -wrap -wrap-key -gen-wrap-key -debug`
|
||||
|
||||
---
|
||||
|
||||
## 2. Структурные болячки
|
||||
|
||||
### 2.1. Нет `cmd/`
|
||||
Бинари в `client/` и `server/` рядом с бизнес-кодом. Канон Go: `cmd/<bin>/main.go` = wiring only. Сейчас `client/` одновременно:
|
||||
- путь к бинарю;
|
||||
- родитель `client/internal/`;
|
||||
- содержит 875-строчный `manual_captcha.go` в `package main`.
|
||||
|
||||
### 2.2. `manual_captcha.go` в `package main`
|
||||
875 строк (больше самого `main.go`): HTTP-сервер на 8765, запуск браузера, gzip-rewrite VK-страниц, регекс-патчинг, capability detection. Тесты в `package main` — изолированно не тестируется. Должен быть отдельный пакет.
|
||||
|
||||
### 2.3. Двойная `internal/` иерархия
|
||||
`client/internal/` vs `internal/`. Правило выбора **де-факто**: «если общее — наверх, если клиент-only — вниз». Сломалось на `internal/ish` — он клиент-only, но потребитель (vless) живёт в `internal/`, поэтому ish вытолкнут наверх. То есть правило перевёрнуто: «куда импортируется из общего, то наверх». Это симптом, не дизайн.
|
||||
|
||||
Раздробление:
|
||||
- `client/internal/vkauth, captcha, browserprofile, dnsdial, namegen` — клиент-only.
|
||||
- `internal/proxy/{udp,vless}` — по смыслу клиент-only, но в общем.
|
||||
- `internal/ish` — клиент-only, но в общем (ради vless).
|
||||
- `internal/bond/{frame,client,server}` — frame общий, client клиент-only, server сервер-only — три разных аудита смешаны.
|
||||
|
||||
### 2.4. `tcputil` top-level
|
||||
Не `cmd/`, не `internal/`. Side-quest (переименовать в `kcptun`) не закрыт. Имя врёт: внутри KCP/smux профили, никакого TCP.
|
||||
|
||||
### 2.5. Side-quests не закрыты (из старого плана)
|
||||
- `tcputil` → `kcptun` — не сделан.
|
||||
- `selectedKCPProfile()` `os.Getenv` в hot path → `sync.Once` — не сделан.
|
||||
- `isDebug` глобал → logger interface — не сделан.
|
||||
- `globalAppCancel` убран (4.1), но `globalBondRegistry` остался (5.2).
|
||||
|
||||
### 2.6. Логирование — три способа
|
||||
- `log.Printf` (stdlib).
|
||||
- `debugf` (gated глобал в обоих main).
|
||||
- `Deps{Debug bool, Debugf func}` callback в каждом пакете.
|
||||
|
||||
Один `internal/logx.Logger` решает.
|
||||
|
||||
### 2.7. `globalBondRegistry` инициализация на package init
|
||||
`server/main.go:155`:
|
||||
```go
|
||||
var globalBondRegistry = bondserver.NewRegistry(bondserver.Deps{Debug: isDebug, Debugf: debugf})
|
||||
```
|
||||
Здесь `isDebug == false` (main ещё не выполнен). Работает только потому что bondserver **не читает** поле `Debug`, использует только `Debugf` callback. Bug-by-design, который сейчас не стреляет. Стрельнёт когда кто-то прочтёт `Debug`.
|
||||
|
||||
### 2.8. `proxy/udp` и `proxy/vless` — 70% общего кода
|
||||
Оба:
|
||||
- открывают N TURN-стримов через `turnpipe`;
|
||||
- крутят DTLS через `dtlsdial`;
|
||||
- ходят за VK creds (`vkauth.Client`);
|
||||
- держат `activeLocalPeer` / `connectedStreams`.
|
||||
|
||||
Различие: что копировать поверх DTLS. Это **handler**, не отдельный mode. Нет общего `proxy.Engine` + handler-интерфейса.
|
||||
|
||||
---
|
||||
|
||||
## 3. Путаница в предметной области
|
||||
|
||||
### 3.1. Имена врут
|
||||
|
||||
| Имя | Что говорит | Что делает |
|
||||
|-----|-------------|------------|
|
||||
| `-wrap` (CLI help) | «ChaCha20-XOR obfuscate» | ChaCha20-Poly1305 **AEAD** |
|
||||
| `wrap` (пакет doc) | «SRTP-mimicry AEAD» | то же |
|
||||
| `wrap` (Go-термин) | `errors.Wrap`, `net.Wrap*` | здесь — VK-bypass обфускация |
|
||||
| `tcputil` | TCP utils | KCP/smux профили |
|
||||
| `turnpipe` | data pipe | TURN dial+allocate setup |
|
||||
| `pipeConn` (server) | то же слово | **bidi copy loop** — другое! |
|
||||
| `netadapt` | adapter | conn wrappers |
|
||||
| `-no-dtls` ↔ `Direct` | один флаг | два имени между CLI и Go |
|
||||
| `-turn` → `Host` | «TURN server ip» | принимает host (не только IP) |
|
||||
| `-connect` (server) | error: «server address» | реально backend address |
|
||||
|
||||
### 3.2. Перегруженные термины
|
||||
|
||||
**«Client» — 4 сущности:**
|
||||
- `cmd/client` бинарь
|
||||
- `vkauth.Client` HTTP-клиент к VK
|
||||
- `bondclient.Handler` наша bond-сторона
|
||||
- `turn.NewClient` TURN-protocol-клиент
|
||||
|
||||
**«Bond» — feature или подсистема?** Layout `internal/bond/{frame,client,server}` делает его равным `wrap`. Реально bond — **только опция vless-режима**. Иерархия преувеличивает значимость.
|
||||
|
||||
**«Stream» — 3 значения:**
|
||||
- TURN stream (одна из N TURN-connections)
|
||||
- smux stream (внутри одной DTLS-сессии)
|
||||
- VK credential stream / cache (одни creds на группу TURN-streams)
|
||||
|
||||
`-streams-per-cred` → `streamsPerCache` в коде. Грепаешь — путаешься.
|
||||
|
||||
**«Mode» — 5 ортогональных переключателей**, нигде не сгруппированы:
|
||||
- `-udp`: TURN transport (UDP|TCP к TURN).
|
||||
- `-vless`: app proxy (UDP-relay|TCP-forward).
|
||||
- `-vless-bond`: внутри TCP-forward.
|
||||
- `-wrap`: obfuscation (off|SRTP-mimicry).
|
||||
- `-no-dtls`: DTLS off (DO NOT USE).
|
||||
- `-dns`: udp|doh|auto.
|
||||
|
||||
Плоские bool в `config.Client` без группировки.
|
||||
|
||||
### 3.3. Концептуальные дыры
|
||||
|
||||
**a) DTLS = obfuscation, не security.** Доки, переменные, контекст говорят про DTLS как защиту. Реально DTLS нужен чтобы VK content-filter увидел legit-handshake — иначе drop. `-no-dtls` помечен «DO NOT USE» именно потому что не работает в проде. Это **нигде не зафиксировано**.
|
||||
|
||||
**b) Captcha разбит на 3 места:**
|
||||
- `client/internal/captcha/` — auto slider-solver.
|
||||
- `client/manual_captcha.go` (875 строк, `package main`) — manual flow (browser+http+gzip).
|
||||
- `vkauth.AutoSolveFunc`/`ManualSolveFunc` — DI-точки.
|
||||
|
||||
Один домен «как пройти VK капчу», три места.
|
||||
|
||||
**c) `ish` package** — iOS sandbox shim. Имя расшифровывается только если знаешь iSH (Linux-под-iOS на iPhone). Без header-doc — мистика.
|
||||
|
||||
**d) Auto-detect bond на сервере** (`bond-autodetect=true` на старте) делает `server.-vless-bond` флаг **частично избыточным**. Документация не объясняет когда он нужен.
|
||||
|
||||
### 3.4. TCP/UDP терминология (специально вынесено)
|
||||
|
||||
**Два разных слоя:**
|
||||
1. **TURN transport** — флаг `-udp`. Default `false` → TCP/TLS к TURN. True → UDP к TURN.
|
||||
2. **App proxy mode** — флаг `-vless`. Default `false` → UDP packet relay. True → TCP forwarder (внутри VLESS-генерик).
|
||||
|
||||
«TCP-режим» в проекте **есть** — это `vless`. Имя историческое (первый потребитель — Xray VLESS). Внутри ничего VLESS-специфичного: tcp-байты в smux-стрим, на сервере `net.Dial("tcp", backend)`. Честное имя пакета: `tcp` или `tcpfwd`.
|
||||
|
||||
---
|
||||
|
||||
## 4. Корневая причина
|
||||
|
||||
Проект рос **по фичам, не по доменам**. Каждая новая способность (wrap, bond, vless, scan) приклеивалась соседней сущностью вместо встраивания в иерархию. Итог:
|
||||
- термины перегружены (client/bond/mode/stream);
|
||||
- CLI ≠ Go-имена;
|
||||
- DTLS-as-obfuscation нигде не объяснён;
|
||||
- captcha и proxy раздроблены без причины;
|
||||
- два режима прокси не имеют общего родителя.
|
||||
|
||||
Первый рефакторинг (1–6) **вытаскивал** код из main, но не **перестраивал** домен. Сейчас main маленький, но домен такой же запутанный.
|
||||
|
||||
---
|
||||
|
||||
## 5. Целевая архитектура
|
||||
|
||||
```
|
||||
cmd/
|
||||
vk-turn-client/main.go # wiring only, ~150 строк
|
||||
vk-turn-server/main.go # wiring only, ~100 строк
|
||||
|
||||
internal/
|
||||
logx/ # slog-обёртка, заменяет isDebug+debugf
|
||||
config/ # Parse*; группированные опции
|
||||
ctxutil/ # closeWrite, pipe (data-copy)
|
||||
|
||||
wire/
|
||||
srtpmimicry/ # бывш. internal/wrap
|
||||
bondframe/ # бывш. internal/bond/frame.go
|
||||
|
||||
transport/
|
||||
turndial/ # бывш. internal/turnpipe
|
||||
dtlsdial/ # есть
|
||||
kcptun/ # бывш. tcputil; sync.Once для профиля
|
||||
|
||||
proxy/
|
||||
engine/ # общая часть (TURN×N + DTLS + creds + counters)
|
||||
udprelay/ # бывш. proxy/udp; Handler
|
||||
tcpfwd/ # бывш. proxy/vless; Handler
|
||||
bondclient/ # бывш. internal/bond/client
|
||||
bondserver/ # бывш. internal/bond/server
|
||||
|
||||
netconn/ # бывш. netadapt
|
||||
|
||||
client/ # КЛИЕНТ-ONLY (схлопывает client/internal)
|
||||
vkauth/ # бывш. client/internal/vkauth
|
||||
captcha/
|
||||
auto/ # бывш. client/internal/captcha
|
||||
manual/ # бывш. client/manual_captcha.go (НОВЫЙ ПАКЕТ)
|
||||
browserprofile/ # бывш. client/internal/browserprofile
|
||||
dnsdial/ # бывш. client/internal/dnsdial
|
||||
namegen/ # бывш. client/internal/namegen
|
||||
ish/ # бывш. internal/ish (явно клиент-only)
|
||||
|
||||
server/
|
||||
bondregistry/ # бывш. internal/bond/server, если выносить globalBondRegistry чисто
|
||||
|
||||
stats/ # есть
|
||||
```
|
||||
|
||||
### Принципы
|
||||
|
||||
1. **`cmd/<bin>/main.go` = wiring only.** Любая логика — в пакет.
|
||||
2. **Одна `internal/` иерархия.** `internal/client/*` и `internal/server/*` — бинарь-специфика; `internal/{wire,transport,proxy}` — общее.
|
||||
3. **Группировка по слою:** wire (байты на проводе) → transport (как открыть сокет) → proxy (что копировать) → client/server (роль).
|
||||
4. **`logx.Logger` interface** заменяет `Deps{Debug bool, Debugf func}`. Один раз конфигурим в main.
|
||||
5. **Глобалы умирают:** `globalBondRegistry` → локальная переменная в `cmd/vk-turn-server/main.go`. `isDebug` → logger level.
|
||||
6. **Имена честные:**
|
||||
- `tcputil` → `kcptun`
|
||||
- `wrap` → `srtpmimicry`
|
||||
- `netadapt` → `netconn`
|
||||
- `turnpipe` → `turndial`
|
||||
- `vless` → `tcpfwd` (внутреннее; CLI остаётся `-vless`)
|
||||
- `bond` (codec) → `bondframe`
|
||||
7. **`manual_captcha.go` → `internal/client/captcha/manual/`** как полноценный пакет с экспортируемым `Server`/`Solver`.
|
||||
8. **`proxy.Engine` + `Handler` interface:** убирает дублирование udp/vless.
|
||||
9. **Side-quests закрываются в этом этапе или не закрываются никогда.**
|
||||
|
||||
### Что НЕ делать
|
||||
- `src/` — не Go-way, не вводить.
|
||||
- `pkg/` — не вводить, наружу ничего публичного не отдаём.
|
||||
- Wire-форматы / CLI флаги / behavior — заморожены.
|
||||
|
||||
---
|
||||
|
||||
## 6. План реализации
|
||||
|
||||
Каждый этап = один PR. Все PR — non-breaking по CLI/wire. Контрольная панель после каждого: `gofmt -l .` пуст / `go vet ./...` / `golangci-lint run ./...` / `go test ./...`.
|
||||
|
||||
### Этап V2-1 — `cmd/` + глоссарий (низкий риск)
|
||||
|
||||
- [x] **V2-1.1** Создан `cmd/vk-turn-client/main.go` (переезд `client/main.go`) и `cmd/vk-turn-server/main.go` (переезд `server/main.go`).
|
||||
- [x] **V2-1.2** Обновлены `Dockerfile`, `README.md`, `.github/workflows/{ci,release}.yml` — пути `./cmd/vk-turn-client`/`./cmd/vk-turn-server`. README дополнен Android arm64 + Linux arm64/amd64 `.so`-сборками.
|
||||
- [x] **V2-1.3** `client/` и `server/` директории удалены.
|
||||
- [x] **V2-1.4** `notes/GLOSSARY.md` создан (~20 терминов).
|
||||
|
||||
Бонус: `client/internal/*` → `internal/client/*` сделан в этом же PR (половина V2-5) как зависимость переезда в `cmd/`.
|
||||
|
||||
### Этап V2-2 — manual captcha как пакет
|
||||
|
||||
- [x] **V2-2.1** Создан `internal/client/captcha/manual/manual.go` (875 строк, один файл). Экспортированы: `SolveViaProxy`, `SolveViaHTTP`. Package-var `Debug bool` заменяет глобал `isDebug` из main.
|
||||
- [ ] **V2-2.2** Разбивка на server.go/browser.go/proxy.go/rewrite_html.go **намеренно пропущена** — добавляет риск без выигрыша; один файл в изолированном пакете уже читаем. Если нужно — отдельный PR.
|
||||
- [x] **V2-2.3** Тест `manual_test.go` переехал, package переключен с `main` на `manual`, тест `TestRewriteProxyRedirectLocation` зелёный.
|
||||
- [x] **V2-2.4** `cmd/vk-turn-client/main.go`: import `manualcaptcha "internal/client/captcha/manual"`, мост `manualCaptchaSolver` зовёт `manualcaptcha.SolveVia*`, в main устанавливается `manualcaptcha.Debug = cfg.Debug`.
|
||||
|
||||
### Этап V2-3 — `internal/logx` + удаление isDebug-глобалов
|
||||
|
||||
- [x] **V2-3.1** Создан `internal/logx/logx.go`: `Logger{Debugf, Infof, Warnf, Errorf, DebugEnabled}`. stdLogger пишет через `log.Printf` (bit-compat с прежним поведением). Nop для тестов/zero-value.
|
||||
- [x] **V2-3.2** `Deps{Debug, Debugf}` → `Deps{Log logx.Logger}` в `bondclient`, `bondserver`, `proxy/udp`, `proxy/vless`, `vkauth` (`Config.Debugf` → `Config.Log`). `stats.New(bool)` остался — теперь принимает `logger.DebugEnabled()`. `stats.LogEvery(ctx, logf, ...)` сигнатура не меняется — передаётся `logger.Debugf` как method-value.
|
||||
- [x] **V2-3.3** `var isDebug` + `func debugf` удалены из обоих main. `logger := logx.New(cfg.Debug)` в `cmd/vk-turn-client/main.go`; package-var `logger` (init Nop, в main переустанавливается) в `cmd/vk-turn-server/main.go` (нужно потому что обработчики handleUDPConnection/handleVLESSConnection берут его без проброса).
|
||||
- [x] **V2-3.4** `globalBondRegistry` из package init переехал в `main` — инициализируется **после** `config.ParseServer`. Bug-by-design (init с `isDebug=false`) закрыт.
|
||||
|
||||
### Этап V2-4 — переименования (механика, без логики)
|
||||
|
||||
- [x] **V2-4.1** `internal/wrap` → `internal/wire/srtpmimicry`. Импорты обновлены, package-doc дополнен «obfuscation, не security».
|
||||
- [x] **V2-4.2** `internal/bond/frame.go` → `internal/wire/bondframe/`. `internal/bond/client` → `internal/proxy/bondclient`. `internal/bond/server` → `internal/proxy/bondserver`.
|
||||
- [x] **V2-4.3** `internal/netadapt` → `internal/netconn`.
|
||||
- [x] **V2-4.4** `internal/turnpipe` → `internal/transport/turndial`. `internal/dtlsdial` → `internal/transport/dtlsdial`.
|
||||
- [x] **V2-4.5** `tcputil` → `internal/transport/kcptun`. Side-quest закрыт: `selectedKCPProfile` и `selectedFEC` обёрнуты в `sync.Once` (env читается один раз).
|
||||
- [x] **V2-4.6** `internal/proxy/udp` → `internal/proxy/udprelay`. `internal/proxy/vless` → `internal/proxy/tcpfwd`. CLI флаг `-vless` оставлен.
|
||||
- [x] **V2-4.7** `internal/ish` → `internal/client/ish` + расширенный header-doc (ссылка на ish.app, linux/386, sandbox).
|
||||
|
||||
### Этап V2-5 — схлопывание `client/internal/` в `internal/client/`
|
||||
|
||||
- [ ] **V2-5.1** `client/internal/vkauth` → `internal/client/vkauth`.
|
||||
- [ ] **V2-5.2** `client/internal/captcha` → `internal/client/captcha/auto`.
|
||||
- [ ] **V2-5.3** `client/internal/browserprofile` → `internal/client/browserprofile`.
|
||||
- [ ] **V2-5.4** `client/internal/dnsdial` → `internal/client/dnsdial`.
|
||||
- [ ] **V2-5.5** `client/internal/namegen` → `internal/client/namegen`.
|
||||
- [ ] **V2-5.6** Удалить пустой `client/` (после переезда `main.go` на V2-1 и `manual_captcha` на V2-2 — он пуст).
|
||||
|
||||
### Этап V2-6 — `proxy.Engine` + Handler (свёрнут до минимальной экстракции)
|
||||
|
||||
- [x] **V2-6.0** Решение 2026-05-19: полный Engine+Handler отклонён после ревью кода. udprelay (WG→DTLS-terminate→wrap→TURN) и tcpfwd (TCP→smux→KCP→DTLS→wrap→TURN) имеют **разное layering wrap/DTLS** и разные lifecycle (per-stream restart vs maintained pool). Реальная общая часть ~30 LOC, а не 70%, как заявлено в плане. Engine с двумя ветками был бы тем же дублём внутри.
|
||||
- [x] **V2-6.1** Создан `internal/proxy/common/common.go`: `GetCredsFunc`, `DialTURN`, `NewClientWrap`. Только то, что действительно идентично.
|
||||
- [x] **V2-6.2** `udprelay` и `tcpfwd` используют `common.DialTURN` / `common.NewClientWrap`. Локальные `GetCredsFunc` стали `type ... = common.GetCredsFunc` (alias для совместимости cmd/main wiring).
|
||||
- [ ] **V2-6.3** Bond как опция `tcpfwd.Handler` — **отменено** вместе с Handler-интерфейсом. `bondclient` остаётся отдельным пакетом, вызываемым из cmd через `Deps.BondHandler`. Текущий контракт читаемый, не трогаем.
|
||||
|
||||
### Этап V2-7 — config структуризация
|
||||
|
||||
- [x] **V2-7.1** `Client` разбит на `{TURN, Obf, Proxy, VK, DNS, Log}`. `ProxyMode` enum (`udp|tcpfwd|tcpfwd-bond`) вместо двух bool-флагов `VLESSMode/VLESSBond` в коде. CLI флаги `-vless`/`-vless-bond` остаются — мапятся в Parse через `clientProxyMode(vless, bond)`.
|
||||
- [x] **V2-7.2** `Server` использует `{Obf, Proxy, Log}` (TURN/VK/DNS не применимы). `serverProxyMode(vless)` мапит CLI в `ProxyMode`.
|
||||
- [x] **V2-7.3** cmd/vk-turn-{client,server}/main.go обновлены: все `cfg.X` → `cfg.Group.X`. Тесты `internal/config` обновлены + добавлены `TestParseClient_ProxyMode`, `TestParseServer_ProxyMode`.
|
||||
|
||||
### Этап V2-8 — документирование и решения
|
||||
|
||||
- [x] **V2-8.1** `internal/transport/dtlsdial/doc.go` создан: DTLS как obfuscation, не security; `-no-dtls` удалён в V2-0 потому что без DTLS VK content-filter дропает пакеты.
|
||||
- [x] **V2-8.2** `server -vless-bond` — **удалён ещё в V2-0** (autodetect покрывает). README отражает.
|
||||
- [x] **V2-8.3** README обновлён: V2-0 Breaking changes секция, удалены `-no-dtls`/`-vless-bond` из таблиц флагов. Сборка `go build ./cmd/vk-turn-{client,server}` уже была актуальна с V2-1.
|
||||
|
||||
---
|
||||
|
||||
## 7. Порядок и приоритеты
|
||||
|
||||
**Жёсткие зависимости:**
|
||||
- V2-4 (переименования) после V2-3 (logx) — иначе придётся переписывать Deps дважды.
|
||||
- V2-5 (схлопывание client/internal) после V2-1 (cmd/) и V2-2 (manual_captcha вынесен) — иначе client/ не пустой.
|
||||
- V2-6 (Engine) после V2-4 — работает с новыми именами.
|
||||
- V2-7 (config группировка) — независим, можно когда угодно.
|
||||
- V2-8 (doc) — последним.
|
||||
|
||||
**Рекомендуемая последовательность:**
|
||||
1. V2-1 (cmd + GLOSSARY)
|
||||
2. V2-2 (manual captcha)
|
||||
3. V2-3 (logx)
|
||||
4. V2-4 (переименования)
|
||||
5. V2-5 (client/internal схлопывается)
|
||||
6. V2-6 (Engine + Handler)
|
||||
7. V2-7 (config группировка)
|
||||
8. V2-8 (doc)
|
||||
|
||||
**Грубая оценка размера (LOC diff на PR):** V2-1 ~150 / V2-2 ~900 / V2-3 ~400 / V2-4 ~600 (mostly move) / V2-5 ~300 (mostly move) / V2-6 ~500 / V2-7 ~200 / V2-8 ~100.
|
||||
|
||||
---
|
||||
|
||||
## 8. Гарантии non-breaking
|
||||
|
||||
После каждого PR:
|
||||
- `go build ./...` зелёный.
|
||||
- `go test ./...` зелёный.
|
||||
- `golangci-lint run` без новых ворнингов.
|
||||
- CLI флаги, дефолты, behavior — bit-exact.
|
||||
- Wire-форматы (wrap/SRTP-mimicry, bond frame, TURN, DTLS, KCP/smux) — bit-exact.
|
||||
- Поведенческие инварианты сохранены: handshake-сем 3 (UDP-mode), captcha auto→manual fallback, creds cache lifetime 10m-60s safety, throttle 3s+rand.
|
||||
|
||||
---
|
||||
|
||||
## 9. Что НЕ трогать (даже в этом плане)
|
||||
|
||||
- Wire-форматы любые.
|
||||
- CLI флаги: имена, дефолты, поведение.
|
||||
- `tcputil` KCP/smux параметры (только переезд).
|
||||
- `client/internal/captcha/*` slider-логику (только переезд).
|
||||
- `internal/wrap` AEAD-байты (только переезд + rename).
|
||||
- Алгоритм auto-detect bond на сервере.
|
||||
|
||||
---
|
||||
|
||||
## 10. Решения заказчика (зафиксировано 2026-05-19)
|
||||
|
||||
1. **libvkturn.so** — мобильная сборка, собирается вручную, переносится в приложение руками. CI не строит. Внешних `//export` в коде нет. **Решение:** `pkg/` не вводим, всё `internal/`. Пользователь после V2-1 пересоберёт с новым путём `./cmd/vk-turn-client` (или с buildmode-target, который он использует).
|
||||
2. **Server-флаг `-vless-bond`** — **удаляем**. Autodetect по magic покрывает. Это **breaking CLI change на сервере** — фиксируем в release notes.
|
||||
3. **`-no-dtls` (client `Direct`)** — **удаляем**. Помечен DO NOT USE, в проде не работает. Это **breaking CLI change на клиенте**.
|
||||
4. **Server multi-tenant** (`notes/AUTH_PLAN.md`) — **план отменён**, вычёркиваем из контекста.
|
||||
5. **TURN-scanner** (`client/scan*.go`) — открытый вопрос; кандидат `internal/client/turnscan/`. Решить при V2-5.
|
||||
|
||||
### Влияние на non-breaking гарантии
|
||||
|
||||
Пункт 8 («CLI флаги bit-exact») **корректируется**:
|
||||
- Удаляются: `-no-dtls` (client), `-vless-bond` (server). Остальные CLI флаги — без изменений.
|
||||
- Дефолты и поведение оставшихся флагов — bit-exact.
|
||||
- Wire-форматы — bit-exact (без изменений).
|
||||
|
||||
### Новый этап V2-0 (вынесен в начало)
|
||||
|
||||
- [x] **V2-0.1** Удалён `-no-dtls` из client CLI. `config.Client.Direct` поле + dispatcher-guard в main + тест `TestParseClient_WrapDirectConflict` — удалены. Веток в proxy/* не было (только main).
|
||||
- [x] **V2-0.2** Удалён `-vless-bond` из server CLI и `config.Server.VLESSBond`. `useBond` параметр `handleVLESSConnection` убран, warning-ветка «non-bond stream while bond enabled» удалена, поле снято со startup-лога. Сервер автоопределяет bond по magic.
|
||||
- [ ] **V2-0.3** README Breaking changes — **пока не сделано**. Можно отложить до большого release-notes под весь V2.
|
||||
|
||||
V2-0 идёт **до V2-1** — упрощает дерево перед переездом в `cmd/`.
|
||||
|
||||
### Обновлённый порядок
|
||||
|
||||
1. V2-0 (breaking CLI cleanup)
|
||||
2. V2-1 (cmd/ + GLOSSARY)
|
||||
3. V2-2 (manual captcha пакет)
|
||||
4. V2-3 (logx)
|
||||
5. V2-4 (переименования)
|
||||
6. V2-5 (client/internal схлопывается + решение по turnscan)
|
||||
7. V2-6 (Engine + Handler)
|
||||
8. V2-7 (config группировка)
|
||||
9. V2-8 (doc)
|
||||
Reference in New Issue
Block a user