На Android каталог рядом с бинарём read-only, ID не сохранялся и
ротировался на каждый запуск, ломая allowlist. Пробуем каталог бинаря,
UserConfigDir и TempDir по порядку.
При провале CreatePermission refresh pion роняет permission без ошибки,
relay молча дропает пакеты, стрим висит и ест свою долю WG-трафика.
Watchdog: tx растёт, rx заморожен 20с, отменяем turnctx и делаем свежий
allocate через TURNLoop.
ТСПУ читает SNI из ClientHello и инжектит delayed RST в TLS до VK
(login.vk.ru и др.). Дробим первый Write через SplitFirstWriteConn,
SNI уезжает во второй сегмент. Вписано в tls-client через
WithProxyDialerFactory без proxyUrl: прямой транспорт, резолвер сохранён.
Cert генерируется заново на каждый Dial вместо переиспользования через
sync.Once: каждая TURN-сессия и реконнект получают свой fingerprint,
чтобы N параллельных стримов с одного IP не коррелировались как ботный
трафик.
Стрим 1 поднимается первым и сигналит okchan; стримы 2..N ждут сигнал
(или ctx/safety-timeout 20s) и переиспользуют тёплый кэш credentials
вместо N одновременных запросов к VK — снимает thundering herd на
старте (частая причина rate-limit/captcha).
WrapInPlace/UnwrapInPlace работают прямо в wire-буфере: ingress читает
payload сразу за RTP-заголовком, egress отдаёт subslice расшифровки.
Убирает 2 memcpy (~1400B) и 2 буфера на пакет в obf-режиме, плюс
atomic-запись адреса пайпа теперь один раз. WrapInto/Unwrap делегируют,
wire-формат не изменён.
Tagging-фаза матчит title PR против паттерна и требует И компонент
(= package-name free-turn-proxy), И версию. Прошлый паттерн нёс только
версию -> 'PR component undefined does not match free-turn-proxy' -> релиз
не строился, тег не создавался. Полный формат chore: release COMPONENT VERSION
закрывает оба условия. Тег остаётся v1.0.0 (include-component-in-tag false).
Повторный сброс: manifest 0.0.0, CHANGELOG очищен.
Заголовок group/manifest release-PR брался из group-pull-request-title-pattern
(default по имени ветки -> 'chore: release master'), без версии. Tagging-фаза
матчит title против паттерна и извлекает версию из него, поэтому тег не
создавался. Теперь обе паттерн-опции кладут версию в заголовок.
Плюс повторный сброс: manifest 0.0.0, CHANGELOG очищен.
- manifest 0.0.0, CHANGELOG очищен (старт с нуля)
- убран skip-github-release (отменял создание тега, не только релиза)
- задан pull-request-title-pattern с версией: версия попадает в title PR,
иначе для manifest-root title генерился по имени ветки и tagging-фаза
не могла извлечь версию из заголовка
- manifest 0.0.0 (release-please пересчитает версию с нуля)
- CHANGELOG очищен под регенерацию
- skip-github-release: true — GitHub-релиз создаёт только GoReleaser
(убирает двойное создание релиза release-please + goreleaser,
из-за которого плодились черновики и падал Release-workflow)
Два Windows-specific бага мешали ставить /32-маршруты к TURN-реле:
- log.Printf пишет в stderr, а usage гонит `2>&1 | routes.ps1`.
В Windows PowerShell 5.1 `2>&1` на нативном exe оборачивает каждую
stderr-строку в ErrorRecord (нет метода .Trim()) — `$_.Trim()` бросал
исключение на каждой строке, ни одна не матчилась. Заменено на $_.Trim(),
который коэрсит и String, и ErrorRecord в текст строки лога.
- New-NetRoute требует -InterfaceIndex (параметр mandatory); без него
в non-interactive пайпе cmdlet падал. InterfaceIndex берётся из того же
default-route, что и NextHop.
Чинит тихий выход после выбора метода (set -e + установка WireGuard
в мастере убивали скрипт без диагностики) и неудобный выбор.
- trap ERR с номером строки и командой вместо тихой смерти
- WireGuard только детектится (порт бэкенда), без авто-установки
- whiptail-TUI: gauge-прелоадеры (pull/up/download/deps), меню с
--default-item, backtitle, валидация портов/hex-ключа; fallback на
текст со спиннером, чтение из /dev/tty (работает через curl | bash)
- non-interactive режим: -y + флаги (--method/--mode/--obf-key/
--version/--update/--uninstall/--purge), CLI бьёт install.conf
- health-check после старта (docker inspect / systemctl is-active):
падение даёт ошибку с логами, а не ложное «Готово»
- docs: curl | bash one-liner + примеры non-interactive
VK TURN реджектит standalone CreatePermission refresh с 400 Bad Request
каждые 120s, засоряя логи. Данные идут через ChannelData; channel-bind
refresh (RFC 8656 §9) держит permission живым, потому отдельный refresh
избыточен. Выставляем PermissionRefreshInterval в 24h.
android-бинарь libfreeturn.so пакуется в два архива (android + raw-android),
из-за чего sboms.artifacts=binary грузил один SBOM-файл дважды под одним
именем → 422 already_exists. artifacts=archive привязывает SBOM к уникальному
имени архива.
Тег, созданный через GITHUB_TOKEN, не триггерит release.yml (защита
GitHub от циклов). PAT пушит тег от имени юзера — GoReleaser
запускается по vX.Y.Z.
Клиент всегда отправляет Client ID первой DTLS app-record, сервер
всегда читает. Флаг -auth и URI-параметр auth удалены — рассинхрон
client/server невозможен. -clients-file на сервере включает только
проверку ID по allowlist clients.json.
Также:
- clients.json и client_config.json пишутся с правами 0o600
- исправлены все находки golangci-lint (errcheck, gosec, govet shadow)
Примечание: удалён флаг -auth и URI-параметр auth; Client ID теперь
всегда в первой записи туннеля — старые клиенты/серверы несовместимы.
Повторный запуск install-server.sh обнаруживает установку и предлагает меню: обновить версию (конфиг сохраняется), переконфигурировать, удалить.
- конфиг установки в /opt/free-turn-proxy/install.conf (chmod 600)
- выбор версии релиза при установке (список с GitHub API, дефолт latest)
- iptables -C перед -I: нет дублей правил при повторе
- атомарная подмена бинарника systemd + restart
- docker compose pull для подтягивания нового образа
samosvalishe