node-setup

Установщик одной командой для VPS-ноды на Remnawave: TLS-фронт на nginx для XHTTP-профиля Xray, сайт-заглушка и переустановка Remnawave Node в Docker.

One command to turn a fresh Debian/Ubuntu VPS into a Remnawave node behind nginx + Let's Encrypt, with an XHTTP Xray profile and a static site on every other path.

Текущая версия: 1.6.0 — публичный HTTPS-порт теперь свой (случайный свободный, не 443; --https-port N), вместе с установкой ставится Psiphon (egress для Gemini, --no-psiphon — пропустить), в правило Gemini профиля добавлены 5 доменов. Установки до 1.6.0 остаются на 443. Подробности — в CHANGELOG.md.

На VPS, от root (нужны Debian или Ubuntu):

bash <(curl -fsSL https://raw.githubusercontent.com/goji-app/goji-node-setup/main/xhttp-tls/install.sh)

Скрипт сам спросит всё нужное:

Все ответы можно передать флагами, тогда вопросов не будет:

bash install.sh node.example.com --secret-key '...' --node-port 2222 --panel-ip 203.0.113.10 --email me@example.com

Перед запуском: нода добавлена в панели, домен указывает на сервер, порт 80 свободен для nginx. Порт 443 не нужен: HTTPS-порт скрипт выбирает сам (случайный свободный), его можно задать --https-port N.

flowchart LR
    C[Клиент] -- "TLS 1.2/1.3, h2, :HTTPS-порт" --> N[nginx]
    N -- "/случайный/путь/  (h2c)" --> X["Xray XHTTP<br/>127.0.0.1:10443"]
    N -- "любой другой путь" --> S[Статический сайт-заглушка]
    N -. "чужой SNI / голый IP" .-> D[обрыв рукопожатия]
    P[Панель Remnawave] -- "NODE_PORT, только с IP панели" --> R[Remnawave Node]
    R --- X

• nginx держит публичный HTTPS-порт (случайный свободный в диапазоне 20000–32000, не 443; хранится в /etc/goji-node/install.conf) и сертификат Let's Encrypt, а Xray слушает только 127.0.0.1. Порт 80 остаётся для проверки Let's Encrypt и редиректа (на https://домен:порт).
• Путь XHTTP проксируется в Xray, все остальные пути отдают статический сайт. На каждой новой установке путь случайный (вида /assets/sync/3f9a1c0b7d2e/), при переустановке сохраняется прежний; задать свой — --path, сменить на новый случайный — --path random (после этого обновите профиль и хост в Remnawave). Общий путь /api/v2/telemetry/ из старых версий goji-node check помечает предупреждением: по нему ноду можно найти одним запросом.
• Запрос с неизвестным именем сервера или по голому IP получает обрыв TLS-рукопожатия.
• Remnawave Node запускается в Docker с network_mode: host, чтобы Xray и nginx видели друг друга на 127.0.0.1.

Скрипт можно запускать повторно: уже выпущенный и автопродляемый сертификат он не трогает, установленная заглушка остаётся прежней.

xhttp-tls/xray-node-profile.json — универсальный профиль, его достаточно один раз создать в панели и назначить нодам:

• inbound XHTTP-TLS: 127.0.0.1:10443, VLESS, транспорт xhttp, security: none (TLS заканчивается на nginx);
• блокируются: QUIC (UDP 443), исходящий SMTP на порт 25, BitTorrent, частные адреса и домены, реклама и трекеры;
• outbound psiphon-out (SOCKS5 Psiphon) и balancer для доменов Gemini и связанных сервисов Google AI (в том числе geminiweb-pa, waa-pa, appsgenaiserver-pa, signaler-pa, ogads-pa на clients6.google.com) с автоматическим переключением на DIRECT, если прокси не отвечает; адрес и порт Psiphon установщик подставляет сам при показе профиля (goji-node profile);
• журнал доступа выключен.

Если Psiphon не установлен (--no-psiphon), трафик для этих доменов просто пойдёт напрямую. Psiphon не принимает UDP; QUIC (UDP 443) в профиле блокируется, поэтому до Psiphon доходит только TCP.

Путь должен совпадать на сервере и в хосте символ в символ. Лишний пробел в конце поля Path в панели не виден, но клиент после этого получает «недоступен». Лучше набирать путь вручную, а не копировать.

Скрипт разворачивает один из шаблонов из xhttp-tls/templates/:

Заглушку можно выбрать в меню при установке или флагом --template; без терминала выбирается случайная. При повторном запуске сохраняется выбранный шаблон, сменить его позже: goji-node decoy (меню) или goji-node decoy <имя>. Шаблоны Start Bootstrap взяты из dist/ репозиториев, изображения пересжаты, рекламные тексты и ссылки на сайт-источник заменены, скрипт стороннего сервиса форм удалён. Часть шаблонов подгружает Bootstrap-скрипт, шрифты и иконки с публичных CDN (jsDelivr, Google Fonts, Font Awesome), как и оригиналы. Лицензии сторонних шаблонов лежат рядом с ними и отдаются как LICENSE.txt.

Свой шаблон: положите папку в xhttp-tls/templates/<имя>/ и выполните python xhttp-tls/build.py. Он заново встроит шаблоны в install.sh, чтобы скрипт оставался одним самодостаточным файлом.

goji-node decoy                 # меню выбора среди установленных шаблонов
goji-node decoy blog            # поставить конкретную (или random)
goji-node decoy --list          # список шаблонов, текущая отмечена
goji-node decoy --pull          # скачать свежие шаблоны из репозитория (codeload.github.com)
goji-node decoy --from ~/mysite # свой сайт: каталог, .tar.gz/.zip или https-ссылка на архив
goji-node decoy --undo          # вернуть предыдущий сайт

Свой сайт должен содержать index.html (в корне или в единственной вложенной папке). Он сохраняется как custom-<имя>, переживает install.sh --resume и не затрагивается --pull. Архивы с путями ../абсолютными отклоняются, ссылки удаляются, максимум 200 МБ. Перед каждой заменой делается резервная копия в /var/backups/goji-node/ (5 последних). --pull обновляет только шаблоны сайтов, не сам скрипт и не настройки сервера. После install.sh --resume версии стандартных шаблонов возвращаются к встроенным в скрипт.

Скрипт сам проверяет, вышла ли новая версия в этом репозитории (файл xhttp-tls/VERSION), и сообщает об этом: в меню goji-node, в конце goji-node check, при запуске install.sh и при входе root по SSH. Проверка идёт не чаще раза в сутки (раз в сутки обновляет кэш cron), запрос только к raw.githubusercontent.com.

goji-node update            # показать, что изменилось, скачать новый install.sh и предложить применить
goji-node update --check    # только проверить (код выхода 10, если есть обновление)
goji-node update --notes    # только список изменений
goji-node update --yes      # без вопросов
goji-node update --no-apply # скачать, но не применять
bash install.sh --update    # то же, если goji-node ещё не установлен
goji-node update --off      # отключить проверки и уведомления (--on — включить снова)

Скачанный файл проверяется (размер, bash -n, версия внутри, sha256 из install.sh.sha256) и сохраняется как /usr/share/goji-node/install.sh; предыдущая версия — install.sh.prev. «Применить» — это повторный проход install.sh --resume --wait 0 с сохранёнными настройками. Контрольная сумма лежит в том же репозитории, поэтому защищает от повреждённой загрузки, но не от подмены самого репозитория. Версии до 1.4.0 команды update не имеют: один раз скачайте новый install.sh вручную и запустите bash install.sh --resume.

CHANGELOG.md              история версий
xhttp-tls/
├── install.sh            готовый установщик (шаблоны встроены, один файл)
├── install.template.sh   исходник установщика
├── VERSION, install.sh.sha256   версия и контрольная сумма (для goji-node update; создаёт build.py)
├── build.py              встраивает templates/ в install.template.sh -> install.sh
├── templates/            сайты-заглушки (+ THIRD-PARTY-NOTICES.md)
├── psiphon/              vps-psiphon (MIT) без изменений: вшивается в install.sh, README с источником и SHA-256
├── nginx-template.conf   эталон конфига nginx, который собирает скрипт
├── xray-node-profile.json  универсальный профиль Xray для Remnawave
└── INSTALL.md            краткая памятка

• сервер с Debian или Ubuntu (используется apt), root-доступ;
• домен с A-записью на сервер, порт 80 свободен (443 не нужен);
• установленная панель Remnawave и добавленная в ней нода (нужен SECRET_KEY);
• на ноде ничего не должно слушать порт 80 и выбранный HTTPS-порт; 443 можно оставить старому профилю.
• Psiphon нужен Docker (ставится вместе с нодой) и зарубежный сервер: на сервере внутри страны, чьи ограничения вы обходите, его ставить нельзя. Образ swarupsengupta2007/psiphon:latest сторонний и не закреплён по версии; примерно 35 ГБ трафика в месяц на проверки (--psiphon-args "--bulk-test-mb 0" отключает).

• Скрипт переустанавливает контейнер Remnawave Node на этой машине: нода будет недоступна около минуты. Старый compose-файл сохраняется как /opt/remnanode/docker-compose.yml.bak-<дата>, но подключённые папки и соседние сервисы из него в новый не переносятся, сверьте их.
• SECRET_KEY записывается в /opt/remnanode/docker-compose.yml с правами только для root.
• Установщик настраивает только описанное выше. Остальная конфигурация сервера (SSH, файрвол, сеть) остаётся на вас.
• Это установщик инфраструктуры. Его не запускали на всех поддерживаемых версиях ОС; прежде чем раскатывать на все ноды, проверьте на одной.
• Репозиторий не содержит ключей, UUID пользователей и адресов реальных нод. Не добавляйте их в публичный репозиторий.

MIT, © 2026 goji-app. Сторонние шаблоны в xhttp-tls/templates/ распространяются под своими лицензиями (тоже MIT), их тексты лежат в папках шаблонов.