WebMasters
Подключаюсь к VPN…
Доступ закрыт
Этот VPN — только по приглашению.
Это приватная корпоративная сеть. Для получения доступа отправь заявку через бота.
Доступ отозван
Ты выпал из списка избранных.
Чтобы вернуться — напиши царю
администратор для восстановления доступа.
WebMasters · VPN
Привет,
Твой VPN готов.
Слоты и защита
Слот = одно твоё устройство (iPhone, Mac, рабочий ноут). У каждого свой QR / ссылка подписки. Если поделишься ссылкой с коллегой — система это поймёт.
Нужно подключить ещё одно устройство? Открой «Мои устройства» → «+ Добавить». Нужен +1 слот? Попроси админа — придёт уведомление.
Используешь с двух своих сетей (домашний Wi-Fi + 4G мобильный) — расскажи админу, выдадим дополнительный слот.
Выбери устройство
Нажми платформу, на которой подключаешь VPN — дальше всё по шагам.
Другие устройства
Моя статистика
● онлайн🟣 Через VPN всё: даже Сбер, Т-Банк и Госуслуги идут через VPN. Немного медленнее, банки могут чаще запрашивать SMS-код. Включай когда нужна максимальная приватность.
У тебя уже есть этой платформы. Выбери ниже что делать.
Подключим новое устройство. Слот займётся только после нажатия «Создать».
Свободных слотов нет — выбери, что делать дальше.
Если это тот же — нажми «Открыть в Happ» внизу.
Если новое физическое устройство — создай отдельный слот (одна и та же ссылка на двух разных устройствах = блокировка за передачу доступа).
Эта ссылка уже импортирована — Happ просто откроется. Подключайся только с того устройства, где уже стоит.
Новое
Это имя ты увидишь в Happ как название сервера: «VPN-Имя-». И в списке «Мои устройства» — чтобы отличать.
Ссылка перестанет работать в Happ на нём, новое получит свой QR. Освобождённый слот займёт новое устройство.
Слот из · «»
Не открылось? Запасной способ
Сканируй из Happ на втором устройстве.
Совсем-совсем ничего не работает?
Что-то пошло не так?
• Debian/Ubuntu: sudo apt install ./Happ.linux.x64.deb
• Fedora: sudo dnf install ./Happ.linux.x64.rpm
• Arch: установи пакет .pkg.tar.zst
Запусти Happ → вернись сюда → «Подключить VPN» (откроется по deeplink). Если VPN-туннель не стартует — Happ запросит права (pkexec/sudo) для настройки TUN; разреши.
Нужна помощь? Свяжись с администратором.
Готово, вечеринка началась!
Открой YouTube, Discord, ChatGPT — всё работает.
Сбер, Госуслуги и банки лучше открывай через браузер.
- ✓ Через VPN: YouTube, Discord, ChatGPT, Telegram
- ! Банки и MAX — лучше выключай VPN или открывай в браузере
- ✓ Mobile и Wi-Fi — работает везде
WebMasters · admin
Командный центр
Пользователи
Юзер считается «онлайн» если был активен в последние 15 минут.
Лента активности новое обновляется каждые 15 сек
Ожидают /start
Пригласить тестера
Введи Telegram username приглашаемого. Когда он напишет /start — автоматически получит QR и доступ.
Маршрутизация трафика
только админЧерез VPN всё — даже Сбер и Госуслуги через VPN (для приватности).
Трафик
загрузка...Устройства
Соединений:
авто-удаление
Алёрты
Лимиты пользователя
Сутки сбрасываются в 00:00 МСК. Месяц — 1-го числа. Всего — пожизненно (только восстановление вручную).
Истекает: · после даты доступ автоматически отзывается.
Эффект на пользователя зависит от глобального режима в Настройках → «Приложения — режим»: только лог — попытки записываются в «Уведомления» без блокировки; блокировать — реальный блок на серверах.
Legacy UUID
Admin
Настройки
Тихие часы
В это окно информационные уведомления только записываются в журнал, не отправляются в Telegram. Предупреждения и тревоги приходят всегда.
Утренняя сводка
Авто-одобрение заявок на доступ
Список @username'ов через запятую или с новой строки. Заявки от этих юзеров одобряются автоматически (без подтверждения админа). Пусто = все вручную.
Квоты по умолчанию
Дефолтная квота устройств для новых юзеров. Существующих можно менять в их карточке.
99 = безлимит. 0 = новые пользователи не могут добавить устройство сами (только через одобрение админом).
Telegram-уведомления
Когда выключено — все алёрты, утренние сводки, push'и о подключениях не приходят в Telegram. Всё видно только в Mini App в разделе «Уведомления».
🔔 Норма — добавляет warn: новая страна, всплеск трафика, 80% от лимита. Рекомендую.
🔊 Шумно — плюс info: каждое подключение/отключение и каждый новый IP.
Мобильный CGNAT меняет IP каждый час — отсев одной строкой даёт −90% шума. В БД событие остаётся, видно в «Уведомлениях».
Реальное отключение по лимиту трафика
Когда включено — при превышении monthly_quota_gb на устройстве оно автоматически отзывается в Xray + push юзеру. Когда выключено — только warn-алёрт в Mini App.
Четыре механизма фильтрации — чем отличаются
Пример: Иванову блокируем категорию «соцсети» — он не зайдёт на vk.com и instagram, но Google, Сбер и всё остальное работает. Петрову ничего не блокируется → он ходит куда хочет.
Пример: Иванову блокируем TikTok — у него tiktok.com не открывается, остальные приложения работают.
Если режим «блокировать» и есть домены в списке — разрешены ТОЛЬКО они, всё остальное → блок. Это «корпоративный режим».
Пример: добавил в whitelist work.com, jira.com, mail.com → все юзеры могут на ЭТИ 3 сайта, больше никуда.
Зеркало белого: «всё разрешено КРОМЕ этих». Удобно когда нужно точечно заблокировать пару конкретных доменов, не сужая всё до корпоративного режима.
Пример: добавил в blacklist torrent-tracker.com, leak-site.io → эти 2 сайта недоступны для всех, остальной интернет работает как обычно.
При оба=block: blacklist срабатывает раньше whitelist — явный запрет сильнее явного разрешения.
Категории сайтов — режим
Влияет только на юзеров, которым назначены категории в их карточке.
выкл — категории игнорируются.
наблюдение — пишем визиты на сайты заблокированных категорий в «Уведомления», но не блокируем.
блокировать — реальный блок на серверах через Xray routing (visits → отбрасываются).
⚠️ В режиме «блокировать» каждое сохранение политик автоматически перезагружает Xray (~5-15 сек разрыва активных сессий). Несколько изменений за 2 секунды объединяются в один restart.
Приложения — режим (TikTok / Instagram / …)
Влияет только на юзеров, у которых выбраны приложения в карточке.
выкл — каталог приложений игнорируется.
только лог — пишем визиты в «Уведомления», без блокировки.
блокировать — реальный блок на серверах.
⚠️ В режиме «блокировать» изменение списка приложений у юзера автоматически перезагружает Xray (~5-15 сек). Объединяется с блоком категорий в один restart.
Белый список — режим работы
Влияет на ВСЕХ юзеров одновременно (не персонально). Управление списком — в разделе «Белый список доменов» из главного экрана.
выкл — белый список не применяется.
только лог — визиты на не-разрешённые домены пишутся в «Нарушения», без блока.
блокировать — корпоративный режим: разрешены ТОЛЬКО домены из списка, всё остальное отбрасывается на серверах.
Чёрный список — режим работы
Влияет на ВСЕХ юзеров одновременно (не персонально). Управление списком — в разделе «Чёрный список доменов» из главного экрана.
выкл — чёрный список не применяется.
только лог — визиты на запрещённые домены пишутся в «Нарушения», без блока.
блокировать — реальный блок на серверах: ЭТИ домены недоступны для всех, остальное работает.
Применение правил на серверах
Кнопка «Сохранить и применить» выше делает это автоматически. Если нужно принудительно (например после ручной правки в БД) — нажми ниже.
Есть несохранённые изменения
Admin
Заявки на доступ
Незарегистрированные юзеры просят доступ к VPN. Approve → им открывается возможность нажать /start.
·
Admin
Категории сайтов
Шаблоны для блокировки или наблюдения. Применяются индивидуально к каждому пользователю через его карточку.
·
Редактирование Новая категория
example.com матчит example.com и *.example.com
Admin
📊 Эффективность сотрудников
Кто и в какие категории ходил. Чем больше посещений — тем больше отвлечений от работы.
Показываются только домены из категорий, включённых вами для мониторинга. Нажмите на сотрудника, чтобы увидеть какие именно сайты он посещал.
Admin
Уведомления
Admin
Посещаемые сайты
Куда ходили устройства (сводка по часам).
Admin
Заявки на устройства
Пользователи просят расширить квоту устройств. Принимай или отклоняй.
Admin
Белый список доменов
Глобальный список разрешённых сайтов — действует на всех юзеров одновременно. Если режим «блокировать» — разрешены ТОЛЬКО домены из списка ниже, всё остальное отбрасывается. Для запрета отдельных сайтов конкретному юзеру (соцсети только Иванову) — используй «Категории сайтов» в карточке юзера.
Сейчас режим: . Изменить в Настройках.
Сейчас ничего не блокируется — потому что нет ни одного разрешённого домена, и система не создаёт правил блокировки. Это безопасное поведение (не блокируем всё подряд по ошибке), но фактически режим не работает.
Чтобы заработало: добавь ниже хотя бы 1 домен который разрешён (например work.com), потом нажми «Применить правила на серверах» в Настройках.
Все остальные домены станут недоступны для ВСЕХ юзеров.
Для всех активных юзеров разрешены только домены из списка ниже ( правил). Всё остальное → блокируется. Изменения в списке применяются автоматически (debounce ~2 сек).
Юзеры могут ходить куда угодно. Мы только записываем визиты на не-разрешённые домены в «Нарушения» ниже — чтобы ты сначала понял что они обычно используют, потом включил блокировку без сюрпризов.
Разрешённые домены
Шаблон example.com совпадает с example.com и любым поддоменом (*.example.com).
Нарушения
Визиты юзеров на домены не из белого списка. В режиме «только лог» — пишутся сюда, в режиме «блокировать» — пишутся и блокируются.
Admin
Чёрный список доменов
Глобальный список запрещённых сайтов — действует на всех юзеров одновременно. Если режим «блокировать» — ЭТИ домены недоступны для всех, остальной интернет работает как обычно. Для запрета сайтов конкретному юзеру (только Иванову) — используй «Категории сайтов» в карточке юзера.
Сейчас режим: . Изменить в Настройках.
Сейчас ничего не блокируется — нет ни одного запрещённого домена, и система не создаёт правил блокировки.
Чтобы заработало: добавь ниже домены, которые нужно запретить (например torrent-tracker.com), и они станут недоступны для всех юзеров. Остальные сайты будут работать как обычно.
Для всех активных юзеров запрещены домены из списка ниже ( правил). Остальной интернет открыт. Изменения в списке применяются автоматически (debounce ~2 сек).
Юзеры могут ходить куда угодно. Мы только записываем визиты на запрещённые домены в «Нарушения» ниже — чтобы ты сначала увидел реальный трафик, потом включил блокировку без сюрпризов.
Запрещённые домены
Шаблон example.com совпадает с example.com и любым поддоменом (*.example.com).
Нарушения
Визиты юзеров на домены из чёрного списка. В режиме «только лог» — пишутся сюда, в режиме «блокировать» — пишутся и блокируются.
Администраторы
У всех админов одинаковый доступ: полное управление юзерами/устройствами/настройками и все системные TG-уведомления. Снять админа можно с любого, кроме себя и последнего активного.
Маршрутизация (/ включено)
Категории сервисов и куда они идут. Включай тумблером и выбирай маршрут:
Изменения применяются сразу (юзеры получают при обновлении подписки / reconnect).
Домены ()
Домены ()
Домены ()
*.. Без http:// и путей.
Состояние стека
Командный центр · Инфраструктура
Схема серверов и трафика
Новый VPN-сервер
Добавит запись в БД и обновит registry (≤10 сек). Для rf-edge: sync_clients
реплицирует юзеров на новый edge в течение ≤60 сек.
SSH-доступ + Xray / AmneziaWG должны быть настроены на сервере заранее
(см. runbook multi-edge-management.md).
Инструкция для роли «»
🇷🇺 RF-edge — приём VLESS трафика юзеров через DDoS-Guard CDN
Это РФ-сервер на который CDN направляет коннекты клиентов Happ/Hiddify. Xray-inbound + nginx camouflage + AmneziaWG outbound к foreign-edge.
- Купить VPS в РФ (Yandex Cloud / Selectel / Hetzner / VPS-провайдер). 1-2 vCPU / 1-2 GB RAM / 20+ GB диск, Ubuntu 22.04/24.04. IP желательно в whitelist РКН/ТСПУ (в режиме «суверенного интернета» только whitelist-AS пропускаются; вне sovereign — будет работать через CDN-фронт DDoS-Guard на любом IP).
- Дать SSH-доступ — добавить наш public key:
ssh-ed25519 AAAA... vpnpanelЧерез панель провайдера:echo "ssh-ed25519 ..." >> ~/.ssh/authorized_keys - Открыть порты:
443/tcp(для nginx) +22/tcp(SSH).
- Запись в БД, registry refresh (≤10с)
- Запуск автобутстрапа через
edge.sh bootstrap: apt install (nginx/xray/amneziawg/nftables) + копирование sync-scripts + конфиги + генерация AmneziaWG keypair (~3-5 мин) - Sync 12 существующих юзеров на новый Xray
- Зарегистрировать новый rf-edge как peer на каждом foreign-edge (команда покажется в выводе bootstrap).
- Добавить IP в DDoS-Guard backend pool: panel.ddos-guard.net → service
stream.gamesport.com→ Backend pool → Add IP. ssh root@<ip> 'systemctl enable --now awg-quick@awg0'
🌐 Foreign-edge — exit-сервер за рубежом (AmneziaWG inbound)
VPN-туннель завершается здесь. Трафик юзеров выходит в Internet с уникальных IPv6 (per-device SNAT через nftables). Сюда коннектятся все rf-edges через AWG.
- Купить VPS не в РФ (Hetzner FSN/LHR/HEL / DigitalOcean / OVH). Обязательно: IPv6 /64 subnet (для SNAT-rotation, anti-detect). Hetzner CPX22 €4.59/мес + €0.70 IPv4.
- Дать SSH root-доступ — public key в
~/.ssh/authorized_keys. - Открыть порт
51820/udp(AmneziaWG inbound) +22/tcp.
- Запись в БД + registry refresh
- apt install:
amneziawg, nftables, conntrack - Копирование
vpn-snat-user-sync.sh+ units + sync.env
- Создать
/etc/amnezia/amneziawg/awg0.confс peer-секцией для каждого rf-edge (нужны их PublicKey + AllowedIPs). Шаблон в runbook. systemctl enable --now awg-quick@awg0- nftables правила для SNAT — в runbook
multi-edge-management.md.
☁️ CDN-front — внешний CDN-провайдер (обычно ОДИН)
Запись для отрисовки в блок-схеме. SSH-доступа нет (CDN не наш). Сейчас единственный — ddos-guard (AS262254).
- Только если завёл второй CDN (Cloudflare / другой DDoS-Guard аккаунт).
- Регистрация в их панели + DNS — вне нашей системы.
- В UI это просто узел в топологии, никаких SSH-операций.
Bootstrap-скрипт пропустит этот тип (нет SSH).
🌍 Destination — Internet (технический узел)
Конечная точка трафика — Internet. Уже есть запись internet, дополнительные обычно не нужны.
Используется только для отрисовки в топологии. Никаких SSH/конфигов.
Топология
Последние события
awg ↓ ↑
Устройства
Мои устройства
Новое устройство
Выбери тип — получишь свой уникальный QR / подписку.
Запрос на устройство
Опиши кратко, для чего нужно ещё одно устройство — админ увидит в Telegram и одобрит или отклонит.
Проверить пинг (клиент ↔ сервер)
Поделиться (короткая ссылка с истечением)
Подробности и vless://
История anti-share
Устройство # · trust /100 · последние 50 инцидентов
· ,
История trust score
Каждое изменение trust score устройства с причиной.
Нужно открыть заново
Подпись Telegram устарела — это нормально, бывает раз в сутки.
Жми кнопку ниже — откроется чат с ботом. В нём нажми /start или кнопку меню — и всё снова заработает.