192.168.1.1: Новая страница: «= HAPP Gateway — централизованный прокси-шлюз RAMBA ART = '''HAPP Gateway''' — отдельный сетевой шлюз в инфраструктуре RAMBA ART, предназначенный для централизованного доступа внутренних сервисов к внешним ресурсам через VLESS/HAPP. Шлюз используется, в частности, для работы Tel...»

2026-08-28T08:27:49Z

Новая страница: «= HAPP Gateway — централизованный прокси-шлюз RAMBA ART = '''HAPP Gateway''' — отдельный сетевой шлюз в инфраструктуре RAMBA ART, предназначенный для централизованного доступа внутренних сервисов к внешним ресурсам через VLESS/HAPP. Шлюз используется, в частности, для работы Tel...»

Новая страница

= HAPP Gateway — централизованный прокси-шлюз RAMBA ART =

'''HAPP Gateway''' — отдельный сетевой шлюз в инфраструктуре RAMBA ART, предназначенный для централизованного доступа внутренних сервисов к внешним ресурсам через VLESS/HAPP.

Шлюз используется, в частности, для работы Telegram-ботов и сервисов, которым требуется стабильный SOCKS5/HTTP-прокси.

Основная идея заключается в том, что настройки HAPP и VLESS не требуется устанавливать отдельно на каждый сервер или контейнер. В инфраструктуре работает один выделенный LXC-контейнер, предоставляющий прокси остальным узлам локальной сети.

== Общая архитектура ==

<pre>
Интернет
│
│ VLESS
▼
┌─────────────────┐
│ HAPP Server │
│ лучший сервер │
└────────┬────────┘
│
│
┌────────▼────────┐
│ happ-gateway │
│ LXC CT 502 │
│ 192.168.1.52 │
│ │
│ HAPP CLI / Xray │
└────────┬────────┘
│
┌─────────────┴─────────────┐
│ │
▼ ▼
SOCKS5 proxy HTTP proxy
192.168.1.52:11080 192.168.1.52:11081
│ │
└─────────────┬─────────────┘
│
локальная сеть RAMBA ART
│
┌──────────────┼──────────────┐
▼ ▼ ▼
Telegram Bot OpenAI API другие сервисы
</pre>

== Параметры шлюза ==

{| class="wikitable"
! Параметр
! Значение
|-
| Контейнер
| CT 502
|-
| Hostname
| <code>happ-gateway</code>
|-
| IP
| <code>192.168.1.52</code>
|-
| ОС
| Debian
|-
| SOCKS5 для LAN
| <code>192.168.1.52:11080</code>
|-
| HTTP Proxy для LAN
| <code>192.168.1.52:11081</code>
|-
| Внутренний SOCKS5
| <code>127.0.0.1:10808</code>
|-
| Внутренний HTTP Proxy
| <code>127.0.0.1:10809</code>
|-
| HAPP subscription
| <code>ramba</code>
|-
| Часовой пояс
| <code>Europe/Moscow</code>
|}

== HAPP CLI ==

Для управления подпиской используется консольный клиент HAPP.

Конфигурация хранится в:

<pre>
/root/.config/happ-cli
</pre>

Просмотр доступных серверов:

<syntaxhighlight lang="bash">
happ --home /root/.config/happ-cli list
</syntaxhighlight>

Обновление подписки:

<syntaxhighlight lang="bash">
happ --home /root/.config/happ-cli sub update ramba
</syntaxhighlight>

Запуск конкретного сервера в режиме локального proxy:

<syntaxhighlight lang="bash">
happ --home /root/.config/happ-cli \
connect "Швеция" \
--mode proxy \
--socks 10808 \
--http 10809
</syntaxhighlight>

Важно: сервер выбирается '''по текстовому тегу страны, а не по его номеру'''.

Это было сделано после обнаружения особенности HAPP: после обновления подписки порядковые номера серверов могут изменяться.

Например:

<pre>
до обновления:

#32 → Нидерланды

после обновления:

#32 → Финляндия
#33 → Нидерланды
</pre>

Поэтому конфигурация вида:

<pre>
connect 32
</pre>

небезопасна.

Используется:

<pre>
connect "Швеция"
</pre>

Таким образом изменение порядка серверов в подписке не приводит к подключению к другой стране.

== Основной systemd-сервис ==

HAPP запускается автоматически через systemd.

Файл:

<pre>
/etc/systemd/system/happ-gateway.service
</pre>

Конфигурация:

<syntaxhighlight lang="ini">
[Unit]
Description=HAPP VLESS Proxy Gateway
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=root
Environment=HOME=/root
ExecStart=/usr/local/bin/happ --home /root/.config/happ-cli connect "Швеция" --mode proxy --socks 10808 --http 10809
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target
</syntaxhighlight>

Управление:

<syntaxhighlight lang="bash">
systemctl status happ-gateway.service
systemctl restart happ-gateway.service
systemctl stop happ-gateway.service
</syntaxhighlight>

Просмотр журнала:

<syntaxhighlight lang="bash">
journalctl -u happ-gateway.service
</syntaxhighlight>

== Публикация proxy в локальную сеть ==

Сам HAPP создаёт локальные proxy:

<pre>
SOCKS5: 127.0.0.1:10808
HTTP: 127.0.0.1:10809
</pre>

Для использования другими машинами инфраструктуры proxy публикуются в LAN.

В рабочей конфигурации используются:

<pre>
SOCKS5:
192.168.1.52:11080

HTTP:
192.168.1.52:11081
</pre>

Это позволяет другим контейнерам использовать HAPP Gateway без установки HAPP/Xray на каждом из них.

Например:

<syntaxhighlight lang="bash">
curl --proxy socks5h://192.168.1.52:11080 \
https://api.ipify.org
</syntaxhighlight>

Параметр <code>socks5h</code> важен: DNS-разрешение выполняется через proxy, а не локальной машиной.

== Проверка внешнего IP ==

Непосредственно на HAPP Gateway:

<syntaxhighlight lang="bash">
curl -sS --max-time 15 \
--proxy socks5h://127.0.0.1:10808 \
https://api.ipify.org
echo
</syntaxhighlight>

Во время настройки при использовании сервера Швеции был получен внешний IP:

<pre>
87.251.85.130
</pre>

Внешний IP не является постоянным и может измениться при переключении HAPP-сервера.

== Автоматический выбор лучшего сервера ==

Для повышения стабильности был реализован собственный механизм автоматического тестирования HAPP-серверов.

Скрипт:

<pre>
/usr/local/sbin/happ-autoselect.sh
</pre>

Он периодически проверяет доступные серверы и выбирает наиболее быстрый рабочий сервер.

=== Почему не используется обычный ping ===

ICMP ping не всегда отражает реальное качество proxy-соединения.

Для Telegram-ботов значительно важнее фактическое время выполнения HTTPS-запроса через:

<pre>
клиент
↓
HAPP
↓
VLESS
↓
удалённый сервер
↓
Telegram API
</pre>

Поэтому каждый сервер тестируется реальным HTTPS-запросом через временный SOCKS5 proxy.

Тестовая цель:

<pre>
https://api.telegram.org
</pre>

=== Алгоритм проверки ===

Для каждой страны выполняются три запроса.

<pre>
HAPP candidate
│
▼
127.0.0.1:12080
│
│ SOCKS5
▼
api.telegram.org
</pre>

Из трёх результатов рассчитывается '''медиана времени ответа'''.

Использование медианы позволяет уменьшить влияние единичного скачка задержки.

Например:

<pre>
0.19 s
0.21 s
0.85 s

median = 0.21 s
</pre>

Сервер считается рабочим, если успешно выполнено не менее двух из трёх запросов.

=== Серверы с ошибками ===

Если сервер не обеспечивает стабильное соединение:

<pre>
test 1: TIMEOUT/ERROR
test 2: TIMEOUT/ERROR
test 3: TIMEOUT/ERROR

REJECTED
</pre>

он исключается из текущего выбора.

При тестировании, например, некоторые серверы Польши, Эстонии, Франции и Сингапура не обеспечивали соединение с Telegram API и автоматически отбрасывались.

Это не означает, что сервер навсегда исключён: при следующей проверке он тестируется снова.

== Защита от постоянного переключения серверов ==

Выбирать сервер только по минимальной задержке недостаточно.

Например:

<pre>
текущий сервер: 220 ms
другой сервер: 215 ms
</pre>

Переключение ради 5 ms не имеет практического смысла и приводит к ненужным перезапускам HAPP.

Поэтому используется порог:

<pre>
15 %
</pre>

Новый сервер выбирается только если он быстрее текущего как минимум на 15%.

Логика:

<pre>
лучший сервер
│
▼
быстрее текущего ≥ 15% ?
│
┌──┴──┐
│ │
НЕТ ДА
│ │
▼ ▼
ничего изменить
не сервер
делать │
▼
restart HAPP
</pre>

== Результаты тестирования ==

Во время настройки были получены, например, следующие значения:

{| class="wikitable sortable"
! Сервер
! Медиана
! Результат
|-
| Швеция
| ~0.20–0.22 s
| '''Лучший'''
|-
| Финляндия
| ~0.24–0.25 s
| Работает
|-
| Нидерланды
| ~0.25–0.28 s
| Работает
|-
| Литва
| ~0.27–0.29 s
| Работает
|-
| Казахстан
| ~0.64–0.71 s
| Работает
|-
| Канада
| ~0.83–0.84 s
| Работает
|-
| Дубай
| ~0.95–0.96 s
| Работает
|-
| Бразилия
| ~1.50 s
| Работает
|-
| Япония
| ~1.65 s
| Работает
|-
| Германия
| ~1.5–2.1 s
| Работает нестабильно
|-
| США
| ~2.4 s
| Высокая задержка
|-
| Польша
| TIMEOUT
| Отклонён
|-
| Эстония
| TIMEOUT
| Отклонён
|-
| Франция
| TIMEOUT
| Отклонён
|-
| Сингапур
| TIMEOUT
| Отклонён
|}

На момент настройки наиболее быстрым маршрутом оказался сервер:

<pre>
🇸🇪 Швеция
swsq2.aquafinas.org:443
</pre>

== systemd timer автоматической проверки ==

Для автоматического запуска используется:

<pre>
/etc/systemd/system/happ-autoselect.service
</pre>

<syntaxhighlight lang="ini">
[Unit]
Description=HAPP automatic best server selector
After=network-online.target happ-gateway.service
Wants=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/happ-autoselect.sh
</syntaxhighlight>

Таймер:

<pre>
/etc/systemd/system/happ-autoselect.timer
</pre>

<syntaxhighlight lang="ini">
[Unit]
Description=Benchmark HAPP servers every hour

[Timer]
OnBootSec=5min
OnUnitActiveSec=1h
RandomizedDelaySec=2min
Persistent=true

[Install]
WantedBy=timers.target
</syntaxhighlight>

Активация:

<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now happ-autoselect.timer
</syntaxhighlight>

Проверка:

<syntaxhighlight lang="bash">
systemctl status happ-autoselect.timer --no-pager
systemctl list-timers --all | grep happ
</syntaxhighlight>

Таким образом benchmark выполняется приблизительно один раз в час.

<code>RandomizedDelaySec=2min</code> добавляет небольшой случайный сдвиг времени запуска.

== Важное решение: не обновлять подписку каждый час ==

Изначально <code>happ-autoselect.sh</code> перед каждым benchmark выполнял:

<syntaxhighlight lang="bash">
happ --home /root/.config/happ-cli sub update ramba
</syntaxhighlight>

Во время тестирования обновление подписки один раз завершилось ошибкой.

В результате список серверов временно не был доступен для скрипта:

<pre>
WARNING: subscription update failed
Skipping США: not found
Skipping Литва: not found
...
ERROR: no working servers found
</pre>

Основной HAPP Gateway при этом продолжил работать на текущем сервере.

После анализа было принято решение '''разделить две независимые операции''':

# обновление подписки;
# benchmark серверов.

Часовой benchmark больше не выполняет <code>sub update</code>.

Он работает с уже имеющейся локальной подпиской.

Это делает автоматический выбор сервера безопаснее: временная недоступность сервера подписки не влияет на уже работающий proxy.

== Отказоустойчивость ==

Система построена по принципу:

<pre>
не удалось провести benchmark
│
▼
НЕ менять сервер
│
▼
оставить работающий HAPP
на текущем сервере
</pre>

То есть ошибка системы мониторинга не должна ломать рабочее соединение.

Это особенно важно для сервисов, которые постоянно используют шлюз.

== Просмотр логов автоматического выбора ==

Последние события:

<syntaxhighlight lang="bash">
journalctl -t happ-autoselect -n 100 --no-pager
</syntaxhighlight>

Наблюдение в реальном времени:

<syntaxhighlight lang="bash">
journalctl -t happ-autoselect -f
</syntaxhighlight>

Типичный успешный результат:

<pre>
Best server: Швеция (0.217001s)
Current Швеция: 0.217001s
Improvement: 0.0%
Already using best server: Швеция
Keeping current server: Швеция
=== HAPP benchmark finished ===
</pre>

Если другой сервер значительно быстрее:

<pre>
Best server: Швеция (0.202160s)
Improvement: 18.4%
Switching ...
Switch successful
</pre>

== Настройка часового пояса ==

Первоначально контейнер использовал UTC:

<pre>
Local time: 07:50 UTC
Time zone: Etc/UTC
</pre>

Для удобства администрирования установлен московский часовой пояс:

<syntaxhighlight lang="bash">
timedatectl set-timezone Europe/Moscow
</syntaxhighlight>

Проверка:

<syntaxhighlight lang="bash">
timedatectl
date
</syntaxhighlight>

После настройки:

<pre>
Local time: 10:50 MSK
Universal time: 07:50 UTC
Time zone: Europe/Moscow (MSK, +0300)
System clock synchronized: yes
</pre>

После изменения timezone systemd автоматически начал отображать время таймеров и журналов в MSK.

== Использование HAPP Gateway приложениями ==

Для приложений в локальной сети рекомендуется использовать:

<pre>
SOCKS5:

socks5://192.168.1.52:11080
</pre>

или при использовании curl:

<pre>
socks5h://192.168.1.52:11080
</pre>

HTTP Proxy:

<pre>
http://192.168.1.52:11081
</pre>

Таким образом приложение не знает ничего о VLESS, Xray, подписках и конкретном внешнем сервере.

Для него HAPP Gateway является обычным proxy:

<pre>
Приложение
│
│ SOCKS5
▼
192.168.1.52:11080
│
▼
HAPP Gateway
│
│ VLESS
▼
лучший внешний сервер
│
▼
Интернет
</pre>

== Итоговая схема ==

<pre>
RAMBA ART LAN
│
┌─────────────────┼─────────────────┐
│ │ │
▼ ▼ ▼
Telegram Bot Kuzya 2.0 другие сервисы
│ │ │
└─────────────────┼─────────────────┘
│
│ SOCKS5
▼
192.168.1.52:11080
│
┌────────▼────────┐
│ HAPP Gateway │
│ CT 502 │
│ │
│ HAPP CLI + Xray │
└────────┬────────┘
│
│ VLESS
▼
выбранный сервер
│
▼
Internet

Каждый час:

happ-autoselect.timer
│
▼
happ-autoselect.sh
│
▼
проверка серверов
через Telegram HTTPS
│
▼
расчёт median
│
▼
лучший быстрее ≥15% ?
┌──┴───┐
│ │
НЕТ ДА
│ │
▼ ▼
оставить изменить
текущий сервер
│
▼
restart HAPP
</pre>

== Текущее состояние ==

На момент завершения настройки:

* HAPP Gateway работает в отдельном LXC-контейнере;
* SOCKS5 и HTTP proxy доступны другим узлам LAN;
* основной HAPP управляется через systemd;
* сервер задаётся по стабильному текстовому тегу страны;
* реализован автоматический benchmark серверов;
* benchmark выполняется примерно раз в час;
* проверяется реальная доступность Telegram API через proxy;
* используется медиана трёх измерений;
* неработающие серверы автоматически отбрасываются;
* переключение выполняется только при выигрыше не менее 15%;
* ошибка benchmark не отключает рабочий proxy;
* обновление HAPP-подписки отделено от механизма автоматического выбора;
* системное время контейнера отображается в MSK;
* HAPP Gateway готов для использования Telegram-ботами и другими сервисами RAMBA ART.

[[Категория:RAMBA ART]]
[[Категория:Инфраструктура]]
[[Категория:Linux]]
[[Категория:Proxmox]]
[[Категория:Сеть]]

Happ-gateway - История изменений