پرش به مطلب اصلی

امنیت

XLADA یک فورک از Remnawave تحت AGPL-3.0-only است که در آن حریم خصوصی و کنترل بر داده‌ها در اولویت جداگانه‌ای قرار گرفته‌اند. این بخش صفحه‌ای مروری است: تنظیمات مشخص در بخش‌های امنیت پنل و پروکسی معکوس توضیح داده شده‌اند.

مدل پایه ساده است: پنل پشت HTTPS قرار دارد، نود اتصال خروجی ندارد و داده‌های کاربران یا جمع‌آوری نمی‌شوند یا پس از مهلت مقرر حذف می‌شوند.

چه کارهایی انجام شده است​

سازوکارجزئیات
محافظت از ورود در برابر حملهٔ نیروی خام5 تلاش برای هر جفت «نام کاربری + IP»، 20 از یک IP، 50 برای هر نام کاربری، با تشدید مسدودسازی
گذرواژه‌هاهش می‌شوند و هرگز در اعلان‌های ورود ناموفق قرار نمی‌گیرند
گزارش اقدامات مدیرجدول admin_audit_log: چه کسی، چه کاری، چه زمانی، IP، نتیجه
اسرار در حالت سکونراز TOTP رمزنگاری شده است (AES-256-GCM)
بدون درخواست خارجیدر باندل ساخته‌شده هیچ درخواستی به سرویس‌های شخص ثالث وجود ندارد: آیکون‌ها، بررسی نسخه و تلمتری حذف شده‌اند
بدنهٔ درخواست‌ها ثبت نمی‌شوددر گزارش فقط متد، مسیر، نتیجه، IP و زمان ثبت می‌شود

کمینه‌سازی داده‌ها​

جمع‌آوری نکردن داده‌های اضافی مطمئن‌تر از پاک‌کردن بعدی آن‌هاست. اگر تاریخچهٔ ترافیک و درخواست‌های اشتراک را لازم ندارید، ثبت آن‌ها را خاموش کنید:

# .env
SERVICE_DISABLE_USER_USAGE_RECORDS=true
SERVICE_DISABLE_SRH_RECORDS=true
USER_USAGE_IGNORE_BELOW_BYTES=4096

برای جدول‌هایی که همچنان پر می‌شوند، retention کار می‌کند. به‌طور پیش‌فرض پاک‌سازی خودکار خاموش است — آن را آگاهانه روشن کنید:

جدولمهلت پیش‌فرضشامل
admin_audit_log30 روزچه کسی، چه کاری، چه زمانی، IP
hwid_user_devices90 روزHWID، سیستم‌عامل، user-agent، IP
user_subscription_request_history30 روزIP، user-agent
nodes_user_usage_history14 روزبدون IP
nodes_usage_history90 روزبدون IP
# .env — یک job هفتگی همهٔ جدول‌ها را پوشش می‌دهد
SERVICE_CLEAN_USAGE_HISTORY=true
SERVICE_CLEAN_OLD_LOGS=true
نکته

فهرست کامل متغیرها و مقادیر پیش‌فرض آن‌ها در بخش متغیرهای محیطی آمده است.

چه چیزی بر عهدهٔ مدیر می‌ماند​

بخشی از کار را نمی‌توان خودکار کرد — به زیرساخت شما بستگی دارد.

خطر

APP_SECRET حیاتی است. تغییر آن ورود، JWT و رازهای TOTP را از کار می‌اندازد. مقدار را در مدیر اسرار نگه دارید و پس از نخستین اجرا تغییرش ندهید.

  • پنل و صفحه اشتراک فقط از طریق HTTPS در دسترس‌اند، HTTP هدایت می‌شود.
  • METRICS_PORT (3001) از بیرون بسته است: متریک‌ها روی 127.0.0.1 ارائه می‌شوند.
  • NODE_PORT (2222) در firewall فقط برای IP پنل باز است.
  • برای مدیران عامل دوم (TOTP) فعال است.
  • لینک کد منبع برای کاربران در دسترس است — بند §13 از AGPL این را الزامی می‌کند.
  • بیلدهای ایمیج فقط از سازمان رسمی xray-panel گرفته می‌شوند.
هشدار

ترمینال SSH به نودها (Settings → Experimental) خط فرمانی روی سرورهای نود می‌دهد. کلید خصوصی به‌صورت رمزنگاری‌شده در مرورگر ذخیره می‌شود و به سرور فرستاده نمی‌شود، اما دسترسی گسترده است. آن را فقط زمانی فعال کنید که پیامدها را می‌دانید.

چک‌لیست​

  • .env دسترسی 600 دارد و در بکاپ‌های دیگران قرار نمی‌گیرد.
  • APP_SECRET در مدیر اسرار ذخیره شده است.
  • HTTPS تنظیم شده و HTTP به HTTPS هدایت می‌شود.
  • METRICS_PORT از بیرون بسته است.
  • NODE_PORT فقط از سرور پنل در دسترس است.
  • TOTP برای همهٔ مدیران فعال است.
  • مهلت‌های retention تعیین و پاک‌سازی خودکار فعال شده است.
  • لینک کد منبع در برندینگ پنل درج شده است.

گام‌های بعدی​