# 交接单 · relay 落地 R2–R5（**执行会话专用** · 2026-09-16 20:5x 开，23:0x R5 收口）
> **口径指纹（必须校验）**：`tail -n +4 交接单_relay落地R2-R4_20260916.md | md5sum` = `b110b5c4e3eb8afcac08af537d333c99`
> 不符 ⇒ **停下，只报告「口径已更新，需重新接续」**。
> 📌 **状态：R2 → §9 ｜ R3 Step 0 → §10.4 ｜ R3 本体 + R4 → §10.5 ｜ R5 → §11**（全部已执行完毕）。
>
> **怎么用**：先跑工作区根 `state.py` ⇒ 按「覆盖网络线」那一行定位；**本单是唯一执行依据**，
> ⛔ 不读其它会话上下文、⛔ 不 Glob/Grep 全库探索。
> **一轮只做 §3「下一步」那一件事**，做完即停并回报；⛔ 不许顺手做 §9 或别的线。
---
## 1. 已完成（**不要再做**，只作背景）
| 步 | 内容 | 证据 |
|---|---|---|
| R0 | 判据打分表 + 链路画像 + relay 定案 | 方案文档 §9 / §10 |
| R1 | 自研 relay 最小闭环（`src/net/relay/`） | 方案 §11；47⇄本机跑通 |
| R1.5 | 韧性（启停/网络变化/中断/异常/时钟）+ 准入与选点 | 方案 **§12 / §13**；单测 **15/15**、全量 verify **80/79**、47 真机全绿 |
| **R2** | **relay 常驻 47 ＋ nginx 443 暴露 wss** | ✅ **2026-09-16 21:0x 已执行完毕** ⇒ 见本单 **§9**；命令原文级证据 = 方案 **§14.2** |
- 代码仓 `D:/github/dsh_shenxian`（**未 commit**）：`src/net/relay/`（`wire/server/client/keys/placement/rendezvous/index/main`）+ `test/relay.test.mjs`；
改动仅 `src/net/reachability.ts` 加 `VIA_RELAY`、`package.json` 测试列表加一项。
- 分层检查：`node scripts/check-layering.mjs` **无新增违规**（relay 属③能力层）。
- **四条真机硬结论**（改代码前必读，方案 §12.5）：① 重试定时器**不能 `unref`** ② 停机必须 `closeAllConnections` + 硬兜底 ③ 优雅重连用**时窗**不用次数 ④ 满载是唯一硬门、已在册 host 重连优先。
---
## 2. R2 内容（✅ **已执行完毕，⛔ 不要再做** —— 结果见 §9，下一棒直接看 §10）
展开 R2 原指令（历史记录）
R2 = 让 relay 在 47 上**常驻**并**经 nginx 443 暴露 wss**
两个小步，**各自可独立验收、独立回滚**；R2-a 失败不影响 R2-b，反之亦然。
⚠️ 全程**不动 SSH 路径**（`manager-ssh` 照旧在跑），所以 **data plane 零风险**。
### R2-a 常驻（relay 服务端）
1. 只读前置：`command -v node`（取**绝对路径**，systemd 不吃 PATH）、`ss -lntp | grep 20080`（应为空）。
2. 部署产物：`D:/github/dsh_shenxian/lib/net/relay/` ⇒ 47 的 **`/opt/dsh-relay/lib/net/relay/`**
（⛔ **不碰 `/opt/dshs/**`**；在 `/opt/dsh-relay/` 下放 `{"type":"module"}` 的 `package.json`）
3. 密钥：生成**每 worker 一密钥**（`openssl rand -hex 32`），落 **`/etc/dshs/relay-keys.json`**（`chmod 600`），格式：
`{"w-47":"<64hex>","w-106":"<64hex>"}` —— ⛔ 不用共享 token。
4. 单元 `/etc/systemd/system/dshs-relay.service`（全文如下，**`ExecStart` 里的 node 换成第 1 步取到的绝对路径**）：
```ini
[Unit]
Description=dshs relay (loopback-only WebSocket relay for the DSH overlay network)
After=network-online.target
Wants=network-online.target
[Service]
Type=simple
User=root
WorkingDirectory=/opt/dsh-relay
ExecStart=/usr/bin/node /opt/dsh-relay/lib/net/relay/main.js --port 20080 --keys-file /etc/dshs/relay-keys.json --base 20000 --span 1000 --max-hosts 0
Restart=always
RestartSec=1
TimeoutStopSec=5
StandardOutput=journal
StandardError=journal
SyslogIdentifier=dshs-relay
[Install]
WantedBy=multi-user.target
```
5. `daemon-reload` + `enable --now dshs-relay`。
### R2-b 入口（唯一动门户的一步）
6. 只读前置：`nginx -T | grep -n 'dshs-relay'`（应为空）、定位承载 dsh 门户的 **443 server 块**所在 conf
（候选：`/www/server/panel/vhost/nginx/dsh.alotbuy.com.conf`；`0.catchall-443.conf` 是 default_server，**别改它**）。
7. **备份**：`cp .bak--pre-relay`（照该目录既有 `.bak-*` 命名惯例）。
8. 在该 server 块内加**一个** location 并 reload（`nginx -t` 必须先过）：
```nginx
# ── DSH 覆盖网络中继（自研 relay）────────────────────────────────
# 只在**既有 443 server 块**里加一个 location：不新增监听口、不新增证书、不动门户其它路径。
# `/status` 不在此前缀下 ⇒ 不会被代理出去（relay 端也只认 RELAY_PATH 前缀）。
location /dshs-relay {
proxy_pass http://127.0.0.1:20080;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_set_header Host $host;
proxy_read_timeout 3600s;
proxy_send_timeout 3600s;
proxy_buffering off;
}
```
> `map $http_upgrade $connection_upgrade` **已在 `nginx.conf:321`**（R0 已取证）⇒ 直接复用，不要新写 map。
展开
| 步 | 命令（原文） | 期望 |
|---|---|---|
| R2-a | `systemctl is-active dshs-relay` | `active` |
| R2-a | `ss -lntp \| grep 20080` | 只有 `127.0.0.1:20080`（**不是** `0.0.0.0`） |
| R2-a | `curl -s 127.0.0.1:20080/status \| head -c 200` | 含 `"capacity"` |
| R2-a | 本机 `curl -s -m 5 http://47.77.182.89:20080/status` | **不可达**（`rc≠0`）⇒ 零新增公网口 |
| R2-a | `journalctl -u dshs-relay -n 5 --no-pager` | `listening ws://127.0.0.1:20080/dshs-relay (loopback only)` |
| R2-b | `nginx -t` | `syntax is ok` |
| R2-b | `curl -i -s -N --max-time 6 -H "Connection: Upgrade" -H "Upgrade: websocket" -H "Sec-WebSocket-Version: 13" -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" https://dsh.alotbuy.com/dshs-relay \| head -3` | `HTTP/1.1 101 Switching Protocols` |
| R2-b | `ss -lntp \| awk '{print $4}' \| sort -u` 前后对比 | **无新增 `0.0.0.0` / `*` 监听** |
| **端到端** | 本机跑 client 经 `wss://dsh.alotbuy.com/dshs-relay` 拨出（用 R1 的方式：`node lib/net/relay/main.js --client --url wss://… --host local-r2 --keys-file <本地 keys> --ports 20099`） | 日志出现 `registered host=local-r2`；47 上 `curl 127.0.0.1:20080/status` 的 `online` 含 `local-r2` |
---