Skip to content

v1.6.0

Choose a tag to compare

View all tags
@github-actions github-actions released this 18 Oct 15:13
· 334 commits to main since this release
v1.6.0
2b3a256

v1.6.0 — протокол TrustTunnel

English · Русский

Дата: 2026-10-18. Предыдущий выпуск: v1.5.1.

Русский

Что нового

  • TrustTunnel — пятый протокол: VPN от AdGuard, HTTP/2 поверх TLS, только TCP. Он идёт через общий порт 443, поэтому на сервере не открывается ни одного нового порта и нет UDP-правил. Подробно — TRUSTTUNNEL.ru.md.
  • Протокол необязателен и требует свой домен: A-запись на сервер, только DNS (без проксирования CDN), не совпадающий ни с одним другим доменом установки. Сертификат для него выпускает установщик. Теперь установка может потребовать до двенадцати разных доменов.
  • Доступ выдаётся ссылкой tt:// с QR-кодом и файлом TOML — для официальных приложений AdGuard TrustTunnel (iOS, Android) и клиента командной строки. В подписке Clash/mihomo он идёт как прокси type: trusttunnel; в ленте sing-box его нет (у sing-box нет исходящего TrustTunnel), в Surge его политику trust-tunnel нужно настроить вручную.
  • Новый экран «TrustTunnel», колонка в матрице «Узлы и доступы», карточка на обзоре. Ротация выпускает новый пароль.
  • Маршрутизация: правило действует на всю службу TrustTunnel (напрямую, WARP, свой выход, другой узел парка). Отдельных полос для клиентов нет. Всё, кроме прямого выхода, идёт через Xray-router узла.
  • Установщик: необязательный раздел [trusttunnel], ключ domains.trusttunnel, два вопроса мастера, пример examples/installer/core-trusttunnel.toml и скрипт scripts/enable-trusttunnel.sh для сервера, установленного вручную.

Что учесть

  • Endpoint читает учётные данные только при запуске. Каждый новый, изменённый или выключенный доступ ненадолго перезапускает его (изменения за ~2 секунды объединяются): активные сессии обрываются, приложения переподключаются сами.
  • Вход Xray-router для TrustTunnel — SOCKS5 без пароля на 127.0.0.1:45104, только loopback. Любой локальный процесс или контейнер с сетью хоста на узле может использовать этот порт как прокси с политикой службы.
  • Захват существующего доступа и импорт уже существующих пользователей рантайма не поддерживаются: единственная копия пароля — в хранилище панели. Резервируйте /var/lib/trusttunnel-manager.
  • Из клиентов подписок проверен только mihomo; Karing, Shadowrocket, NekoBox и v2rayN в матрице помечены как непроверенные.

Установка на новый сервер

Требования: Ubuntu 24.04 LTS x86-64, собственные DNS-имена (для TrustTunnel — отдельное) и обычный пользователь с sudo. Не запускайте мастер непосредственно от root. Подробно — установка и справочник.

В пустом рабочем каталоге скачайте файлы именно v1.6.0:

curl -fsSLO https://github.com/dubr1k/proxy-control/releases/download/v1.6.0/install-release.sh
curl -fsSLO https://github.com/dubr1k/proxy-control/releases/download/v1.6.0/install-release.sh.sha256
sha256sum --check install-release.sh.sha256
bash install-release.sh

Продолжайте только после успешной проверки SHA-256. Мастер спросит домены и состав установки; на вопрос о TrustTunnel ответьте «да» и введите его домен.

Обновление существующей установки

Сначала сделайте резервную копию. Скачайте и проверьте два файла командами выше, затем вместо запуска мастера выполните:

bash install-release.sh --update

В парке связанных панелей штатный порядок — узлы, затем центр. Обновление не включает TrustTunnel само: на установленном сервере добавьте раздел [trusttunnel] и domains.trusttunnel и запустите установщик снова либо, на сервере, установленном вручную, выполните scripts/enable-trusttunnel.sh --host <домен> из распакованного выпуска (подробнее). Чтобы направить TrustTunnel через Xray-router, роутер должен быть пересобран на этом выпуске — обновление делает это. После обновления проверьте состояние служб и обновите подписку в клиентском приложении. Не удаляйте контейнерные тома, базу или секреты ради обновления.

English

What is new

  • TrustTunnel is the fifth protocol: AdGuard's VPN, HTTP/2 over TLS, TCP only. It goes through the shared port 443, so no new port is opened on the server and there is no UDP rule. Details: TRUSTTUNNEL.en.md.
  • It is optional and needs a domain of its own: an A record to the server, DNS only (no CDN proxying), different from every other domain of the installation. The installer issues its certificate. An installation can now need up to twelve distinct domains.
  • An access is handed out as a tt:// link with a QR code and a TOML file — for the official AdGuard TrustTunnel apps (iOS, Android) and the command-line client. In the Clash/mihomo subscription it is a type: trusttunnel proxy; the sing-box feed leaves it out (sing-box has no TrustTunnel outbound), and in Surge the trust-tunnel policy has to be set up by hand.
  • A new «TrustTunnel» screen, a column in the «Nodes and access» matrix and a card on the overview. Rotation issues a new password.
  • Routing: a rule applies to the whole TrustTunnel service (direct, WARP, your own exit, another node of the fleet). There are no lanes for individual clients. Anything but a direct exit goes through the node's Xray-router.
  • Installer: an optional [trusttunnel] section, the domains.trusttunnel key, two wizard questions, the example examples/installer/core-trusttunnel.toml and the script scripts/enable-trusttunnel.sh for a hand-installed server.

Good to know

  • The endpoint reads credentials only at start. Every new, changed or disabled access briefly restarts it (changes within ~2 seconds are merged): active sessions drop and the apps reconnect by themselves.
  • The Xray-router's ingress for TrustTunnel is a SOCKS5 without a password on 127.0.0.1:45104, loopback only. Any local process or host-network container on the node can use that port as a proxy into the service's policy.
  • Capture of an existing access and import of existing runtime users are not supported: the only copy of the password is in the panel's store. Back up /var/lib/trusttunnel-manager.
  • Of the subscription clients only mihomo is verified; Karing, Shadowrocket, NekoBox and v2rayN are marked unproven in the matrix.

Fresh installation

Use Ubuntu 24.04 LTS x86-64 and a regular user with sudo, not a root login. Prepare your DNS names (a separate one for TrustTunnel) and follow the installation guide and installer reference.

In an empty working directory:

curl -fsSLO https://github.com/dubr1k/proxy-control/releases/download/v1.6.0/install-release.sh
curl -fsSLO https://github.com/dubr1k/proxy-control/releases/download/v1.6.0/install-release.sh.sha256
sha256sum --check install-release.sh.sha256
bash install-release.sh

Continue only after checksum verification succeeds. The wizard asks for domains and components; answer «yes» to the TrustTunnel question and enter its domain.

Upgrading

Make a backup, download and verify the same files, then run:

bash install-release.sh --update

The normal fleet update order is nodes first, central panel last. The update does not switch TrustTunnel on by itself: on an installed server add the [trusttunnel] section and domains.trusttunnel and run the installer again, or on a hand-installed server run scripts/enable-trusttunnel.sh --host <domain> from the unpacked release (details). To route TrustTunnel through the Xray-router the router must be rebuilt on this release — the update does that. Check service health afterwards and refresh the existing subscription. Do not delete Docker volumes, the database or secrets as part of an update.

Assets 8
Loading