panel-vpn/README.md

VPN Panel

Админ-панель VPN на Go + PostgreSQL 17. Готово к деплою в Dokploy через Docker Compose.

Стек

• Go 1.23 (веб-админка)
• PostgreSQL 17
• Docker Compose
• Reverse proxy + SSL: Caddy / Nginx / Traefik

Быстрый старт (Dokploy / Docker)

1. В Dokploy создайте Docker Compose приложение из этого репозитория.
2. Задайте Environment Variables (.env в git не лежит):

APP_SECRET=long-random-secret
ADMIN_EMAIL=admin@example.com
ADMIN_PASSWORD=strong-password
POSTGRES_PASSWORD=strong-db-password

3. Deploy. Домен в Dokploy → сервис app, порт 8080 (не postgres).
4. Если Bad Gateway: смотрите логи app — чаще всего падение из‑за БД или домен смотрит не на тот порт.

docker compose up -d --build
docker compose logs -f app

Панель: http://localhost:8080 · health: /health

Авторизация админа (из .env)

Переменная	Значение по умолчанию
ADMIN_EMAIL	admin@panel.local
ADMIN_PASSWORD	Admin123!ChangeMe
ADMIN_NAME	Administrator

При первом запуске админ создаётся автоматически из этих переменных.

---

Режим ноды (как Remnawave, но проще)

Панель не гоняет Xray сама — VPN поднимается на отдельных серверах-нодах (как Remnawave Node).

Чем удобнее

Remnawave Node	VPN Panel
Docker вручную + вставить compose	Авто по SSH: host/user/пароль (или ключ) → панель ставит Docker + агент
Или вручную	Ручной режим — тот же compose, если SSH недоступен

Как добавить ноду

1. Админка → Ноды → Добавить ноду
2. Укажите имя, IP/хост, SSH (root + пароль или ключ), порт API ноды (по умолчанию 2222)
3. Режим:
   • Авто по SSH — мастер подключается, ставит Docker (если нет), заливает бинарник vpn-node, поднимает docker compose
   • Вручную — скопируйте docker-compose.yml и бинарник /app/bin/vpn-node на сервер
4. На firewall ноды откройте NODE_PORT только для IP панели
5. Нажмите Проверить online

Агент слушает NODE_PORT, авторизация: Authorization: Bearer <SECRET_KEY>.

Эндпоинты агента: GET /health, GET|POST /api/v1/config, GET /api/v1/status.

SSH-секреты в БД шифруются AES-GCM ключом от APP_SECRET.

Панель в Docker должна иметь сетевой доступ до SSH (22) и NODE_PORT ноды. На VPS/Dokploy это обычно ок.

---

Reverse proxy + SSL (Let's Encrypt)

Примеры лежат в deploy/. Сеть Docker: vpn-panel-net.

Что нужно до выпуска сертификата

1. DNS: A (и при необходимости AAAA) запись DOMAIN → публичный IP сервера.
2. Порты: 80 и 443 открыты на firewall / security group (TCP; для Caddy HTTP/3 ещё 443/udp).
3. Домен в .env:

   DOMAIN=panel.example.com
   ACME_EMAIL=admin@example.com
   

4. Не светить панель наружу на :8080 — только через proxy:

   docker compose -f docker-compose.yml -f deploy/compose.behind-proxy.yml up -d
   

   Либо в Dokploy / compose закомментируйте ports у app, оставьте доступ по внутренней сети app:8080.
5. Прокси обязан передавать заголовки Host, X-Forwarded-Proto, X-Forwarded-For (уже есть в примерах).

Let's Encrypt не выпустит сертификат на localhost / приватный IP. Нужен реальный домен с публичным DNS.

---

Вариант A — Caddy (самый простой, SSL автоматом)

Caddy сам получает и продлевает сертификат.

1. В deploy/caddy/Caddyfile домен берётся из {$DOMAIN:...} (или задайте в .env).
2. Запуск вместе с панелью:

# из корня репозитория
docker compose \
  -f docker-compose.yml \
  -f deploy/compose.behind-proxy.yml \
  -f deploy/caddy/docker-compose.caddy.yml \
  up -d --build

3. Откройте https://panel.example.com.

Файлы: deploy/caddy/Caddyfile, deploy/caddy/docker-compose.caddy.yml.

---

Вариант B — Nginx + Certbot

1. Подставьте свой домен в deploy/nginx/nginx.conf (server_name и пути к сертификатам).
2. Поднимите стек (сначала HTTP + ACME webroot):

docker compose \
  -f docker-compose.yml \
  -f deploy/compose.behind-proxy.yml \
  -f deploy/nginx/docker-compose.nginx.yml \
  up -d --build

3. Выпустите сертификат:

docker compose -f deploy/nginx/docker-compose.nginx.yml run --rm certbot certonly \
  --webroot -w /var/www/certbot \
  -d panel.example.com \
  --email admin@example.com \
  --agree-tos --no-eff-email

4. В deploy/nginx/nginx.conf:
   • раскомментируйте блок server { listen 443 ... };
   • включите return 301 https://$host$request_uri; в HTTP-сервере;
   • закомментируйте временный location / на порту 80 (оставьте только ACME).
5. Перезагрузите nginx:

docker compose -f docker-compose.yml -f deploy/nginx/docker-compose.nginx.yml exec nginx nginx -s reload

Продление: контейнер certbot крутит renew раз в 12 часов; после renew — nginx -s reload.

Файлы: deploy/nginx/.

---

Вариант C — Traefik (свой или Dokploy)

C1. Свой Traefik из репозитория

docker compose \
  -f docker-compose.yml \
  -f deploy/compose.behind-proxy.yml \
  -f deploy/traefik/docker-compose.traefik.yml \
  up -d --build

В .env: DOMAIN, ACME_EMAIL. Сертификат выпускается HTTP-challenge на entrypoint web.

C2. Dokploy (встроенный Traefik)

Dokploy уже поднимает Traefik — не добавляйте deploy/traefik/docker-compose.traefik.yml.

1. В Dokploy укажите домен для сервиса app.
2. Либо добавьте labels к app (см. deploy/traefik/labels.example.yml):

labels:
  - traefik.enable=true
  - traefik.http.routers.vpn-panel.rule=Host(`panel.example.com`)
  - traefik.http.routers.vpn-panel.entrypoints=websecure
  - traefik.http.routers.vpn-panel.tls=true
  - traefik.http.routers.vpn-panel.tls.certresolver=letsencrypt
  - traefik.http.services.vpn-panel.loadbalancer.server.port=8080

Имя certresolver в Dokploy часто letsencrypt — проверьте в настройках (или TRAEFIK_CERT_RESOLVER в .env).

3. Не публикуйте порт 8080 наружу в UI Dokploy, если трафик идёт только через Traefik.

---

Чеклист после включения HTTPS

Проверка	Ожидание
https://DOMAIN/	Главная панель
https://DOMAIN/health	ok
HTTP → HTTPS	Редирект 301 (Caddy/Traefik по умолчанию; Nginx — после шага 4)
Сертификат	Валидный LE, не self-signed
Порт 8080 снаружи	Закрыт

Типичные ошибки

Симптом	Причина
ACME timeout / pending	DNS ещё не указывает на сервер, или закрыт порт 80
502 Bad Gateway	Proxy не в сети vpn-panel-net / сервис app не запущен
Редирект-петля	За приложением HTTPS, а X-Forwarded-Proto не передаётся
Certbot: no such file	Домен в путях nginx.conf не совпадает с -d

---

Протоколы (seed)

WireGuard, OpenVPN, VLESS, VMess, Trojan, Shadowsocks, Hysteria2 — можно включать/выключать в админке.

Локальная разработка без Docker

# нужен локальный Postgres 17 и .env с POSTGRES_HOST=localhost
go mod tidy
go run ./cmd/server

Эндпоинты

• / — главная
• /login — вход
• /admin — дашборд
• /admin/nodes — ноды
• /admin/protocols — протоколы
• /health — healthcheck