# Trojan、Nginx、Caddy 与 Gitea 迁移实施记录

实施日期：2026-07-26

## 1. 服务器与域名

| 服务器 | Trojan 与管理后台 | Gitea | 宿主机 SSH | Git SSH |
| --- | --- | --- | --- | --- |
| `43.154.35.111` | `www.hk.chermack.top` | `git.hk.chermack.top` | `22` | `2222` |
| `43.159.139.193` | `www.us.chermack.top` | `git.us.chermack.top` | `22` | `2222` |

## 2. 最终架构

```mermaid
flowchart LR
  U[客户端] -->|HTTP :80| N[Nginx]
  U -->|HTTPS :443 / SNI| N
  N -->|www.* HTTP| W[Trojan 管理后台 :8081]
  N -->|www.* TLS 透传| T[Trojan :8443]
  T -->|非 Trojan 流量回落| W
  N -->|git.* HTTP| C1[Caddy :8080]
  N -->|git.* TLS 透传| C2[Caddy :9443]
  C1 --> G[Gitea :3000]
  C2 --> G
  U -->|Git SSH :2222| G
```

公网 `80/443` 只由宿主机 Nginx 监听。Trojan 客户端和 Trojan 管理后台继续共用 `www.*` 域名，不新增 `panel` 域名：Nginx 将 `www.*` 的 TLS 按 SNI 透传到 Trojan；Trojan 对非 Trojan TLS 流量回落到本机管理后台。

## 3. 迁移前备份与检查

在变更前检查原容器和配置：

```bash
docker ps
docker inspect trojan
docker exec trojan cat /usr/local/etc/trojan/config.json
docker exec trojan systemctl cat trojan-web.service
```

已创建的备份目录：

```text
/root/trojan-gitea-migration-backup-20260726-004630  # 香港
/root/trojan-gitea-migration-backup-20260726-014435  # 美国
/root/gitea-pre-reset-20260726-012207                # 香港 Gitea 重置前
```

香港服务器另保留了迁移前 Trojan 镜像快照。

## 4. Trojan 端口调整

容器内 Trojan 配置调整为：

```json
{
  "local_port": 8443,
  "remote_port": 8081
}
```

管理后台 systemd unit 调整为：

```ini
ExecStart=/usr/local/bin/trojan web --host 127.0.0.1 --port 8081
```

重载和启动命令：

```bash
docker exec trojan systemctl daemon-reload
docker exec trojan systemctl enable trojan-web
docker exec trojan systemctl restart trojan
docker exec trojan systemctl restart trojan-web
```

预期监听：Trojan 为 `0.0.0.0:8443`，管理后台为 `127.0.0.1:8081`。这两个端口不应对公网开放。

## 5. Nginx 统一入口

安装并启用：

```bash
apt-get update
apt-get install -y nginx libnginx-mod-stream
systemctl enable --now nginx
nginx -t
```

443 使用 `stream` 和 `ssl_preread` 按 SNI 分流。香港示例（美国替换为 `www.us.chermack.top` 与 `git.us.chermack.top`）：

```nginx
map $ssl_preread_server_name $tls_backend {
    www.hk.chermack.top  127.0.0.1:8443;
    git.hk.chermack.top  127.0.0.1:9443;
    default              127.0.0.1:8443;
}
server {
    listen 443;
    proxy_pass $tls_backend;
    ssl_preread on;
}
```

80 的 `www.*` 虚拟主机反向代理到 `127.0.0.1:8081`，并将 `/.well-known/acme-challenge/` 转发到 `127.0.0.1:8082`；`git.*` 反向代理到 Caddy `127.0.0.1:8080`。

每次配置改动后：

```bash
nginx -t && systemctl reload nginx
```

## 6. Gitea 与 Caddy

`/opt/gitea` 使用 Docker Compose 运行：

- Gitea `1.27.0`：`127.0.0.1:3000->3000`，`2222->22`；
- PostgreSQL `16`：仅 Docker 内网；
- Caddy：`127.0.0.1:8080->80`、`127.0.0.1:9443->443`，反向代理到 Gitea。

```bash
cd /opt/gitea
docker compose up -d
docker compose ps
```

Caddy 管理 `git.*` 的 HTTPS 证书和自动续期；Nginx 对 Git 的 443 流量仅做 TLS 透传。Gitea 初始化时应填写：

```text
ROOT_URL: https://git.<地区>.chermack.top/
SSH 域名: git.<地区>.chermack.top
SSH 端口: 2222
```

香港 Gitea 曾按授权清空数据并重新初始化；再次重置前必须先备份 `/opt/gitea/gitea` 和 `/opt/gitea/postgres`。

## 7. 美国服务器 SSH 端口处理

美国服务器原 OpenSSH 监听 `22`、`2222`、`2223`，与 Gitea Git SSH 的 `2222` 冲突。已保留宿主机 SSH `22`，移除宿主机的 `2222/2223` 监听，并将 `2222` 留给 Gitea。

变更前备份：

```text
/etc/ssh/sshd_config.pre-gitea-20260726-014417
```

安全操作：

```bash
sshd -t
systemctl reload ssh
ss -ltnp | grep sshd
```

修改 SSH 配置时必须保持一条现有的 22 端口会话，验证完成后再断开。

## 8. Trojan 证书续期

Trojan 的 `www.*` 证书仍由容器内 `acme.sh` 管理；Caddy 只管理 `git.*`。由于宿主机 80 已交给 Nginx，Trojan standalone 验证改用本地 8082：

```bash
docker exec trojan /root/.acme.sh/acme.sh --issue \
  --server letsencrypt --standalone --httpport 8082 \
  -d www.hk.chermack.top --ecc --force
docker exec trojan systemctl restart trojan
```

美国服务器替换为 `www.us.chermack.top`。本次两张 Trojan 证书均已成功签发，有效期为 2026-07-25 至 2026-10-23。后续应确认容器内自动续期任务也携带 `--httpport 8082`。

## 9. 重启后不可用：原因与永久修复

### 现象

香港服务器重启后，Nginx、Trojan 容器、Gitea、Caddy 都自动启动，但：

```bash
docker exec trojan systemctl is-active trojan       # inactive
docker exec trojan systemctl is-active trojan-web   # inactive
```

此时没有 `8443` 和 `8081` 监听，因此 `www.hk.chermack.top` 不可用。

### 临时恢复

```bash
docker exec trojan systemctl start trojan
docker exec trojan systemctl start trojan-web
ss -ltnp | grep -E ':(8443|8081)'
```

### 永久兜底

容器内 unit 虽为 `enabled`，但容器启动时没有拉起服务。因此在香港宿主机新增并启用：`/etc/systemd/system/trojan-container-services.service`。

```ini
[Unit]
Description=Start Trojan services inside the trojan container
Requires=docker.service
After=docker.service network-online.target
Wants=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/bin/docker exec trojan /bin/systemctl start trojan.service
ExecStartPost=/usr/bin/docker exec trojan /bin/systemctl start trojan-web.service
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
```

启用并验证：

```bash
systemctl daemon-reload
systemctl enable trojan-container-services.service
systemctl start trojan-container-services.service
systemctl is-enabled trojan-container-services.service
systemctl is-active trojan-container-services.service
docker exec trojan systemctl is-active trojan trojan-web
```

本次已验证该兜底服务为 `enabled`、`active`；Trojan 和 `trojan-web` 均为 `active`，且外部 HTTPS 访问 `https://www.hk.chermack.top/` 成功。

美国服务器也已部署同名的宿主机兜底 unit，并完成验证：`trojan-container-services.service` 为 `enabled`、`active`；Trojan 监听 `0.0.0.0:8443`，管理后台监听 `127.0.0.1:8081`；`https://www.us.chermack.top/` 与 `https://git.us.chermack.top/` 外部访问均成功。

## 10. 日常检查与故障排查

```bash
# 统一入口、监听与容器
nginx -t
ss -ltnp | grep -E ':(80|443|8080|8081|8443|9443|2222)'
docker ps

# Trojan 及后台
docker exec trojan systemctl is-active trojan
docker exec trojan systemctl is-active trojan-web

# Web 链路
curl -kI https://www.hk.chermack.top/
curl -kI https://git.hk.chermack.top/
curl -kI https://www.us.chermack.top/
curl -kI https://git.us.chermack.top/
```

`www.*` 不可访问时，先检查 `trojan-web` 和 `8081`；Trojan 客户端也异常时，再检查 `trojan` 和 `8443`：

```bash
docker exec trojan systemctl restart trojan
docker exec trojan systemctl restart trojan-web
docker exec trojan journalctl -u trojan -u trojan-web --no-pager -n 200
docker logs --tail 200 trojan
```

## 11. 美国服务器 Gitea 初始化记录

初始化页面曾提示数据库密码无效。服务器内核验结果如下：

- `gitea` 容器的 `GITEA__database__*` 与 `gitea-db` 容器的 `POSTGRES_*` 用户、数据库和密码完全一致；
- 使用 Gitea 容器实际注入的密码连接 PostgreSQL 成功；
- `/data/gitea/conf/app.ini` 中落盘的密码也与 PostgreSQL 一致；
- 初始化页面已预填密码，错误由浏览器密码管理器覆盖表单密码或提交了其他密码造成，不是数据库密码失效。

为避免表单再次覆盖，已通过 Gitea CLI 使用明确配置文件完成初始化：

```bash
gitea --work-path /data/gitea \
  --config /data/gitea/conf/app.ini migrate
```

随后创建临时管理员 `admin`，具备管理员权限并设置为首次登录必须修改密码；`INSTALL_LOCK` 已设为 `true`。随机初始密码只保存在美国服务器：

```text
/root/gitea-initial-admin.txt
```

文件权限为 `0600 root:root`。登录并修改密码后应删除该凭据文件。

初始化前备份目录：

```text
/root/gitea-us-pre-init-20260726-041434
```

最终验证结果：数据库中存在一个管理员且 `must_change_password=true`，Gitea 日志无初始化错误，`https://git.us.chermack.top/user/login` 从服务器内外访问均成功。

## 12. 美国管理后台周期性退出的根因（2026-07-26）

故障现象：`https://www.us.chermack.top/` 失效，Nginx 80/443 和 Trojan 8443 正常，但 `trojan-web` 为 `failed`，`127.0.0.1:8081` 无监听。

现场排查排除了磁盘耗尽、内存 OOM、Docker 容器重启、Nginx/Caddy 和本次 ACME 定时任务。关键证据：

```text
宿主机 cgroup：cgroup2fs
容器基础系统：CentOS 7 / systemd 219
容器 systemctl：systemctl.py 1.5.7113（Python 替代实现）
容器启动日志：Failed to allocate manager object, freezing
容器内状态：多个 trojan/web 僵尸进程，无 journal 日志
```

当前镜像的 PID 1 systemd 无法在宿主机 cgroup v2 环境中正常建立 manager；`/usr/bin/systemctl` 实际是一次性 Python 替代脚本，不是持续运行的服务管理器。因此 unit 中的 `Restart=on-failure` 不能可靠监督进程。宿主机现有 `trojan-container-services.service` 也是 `Type=oneshot`，只在开机时执行一次启动，运行中 Web 退出后不会再次拉起。

以前台方式直接运行以下命令持续 15 秒无异常，证明 Go Web 程序、数据库和 8081 端口本身健康：

```bash
docker exec trojan /usr/local/bin/trojan web \
  --host 127.0.0.1 --port 8081
```

探针启动的进程随后继续运行，8081、本地 `/auth/check` 和公网 HTTPS 均恢复 200；但替代 `systemctl` 仍错误显示 `failed`，再次证明问题位于服务管理层。

临时永久化建议：由宿主机真实 systemd 使用前台 `docker exec` 直接监督 `trojan-web`（以及 Trojan core），设置 `Restart=always` 并将 stdout/stderr 写入宿主机 journal。最终解决方案是使用已规划的新镜像，移除 CentOS 7、冻结的容器 systemd 和运行时下载的 systemctl.py。

## 13. 后续维护事项

1. 两台服务器的 `trojan-mariadb` 仍将 `3306` 映射到公网；为避免额外中断，迁移中未改动。确认无外部依赖后，应限制为 `127.0.0.1:3306` 或移除映射。
2. `www.*` 与 `git.*` 使用不同的证书管理者：前者为 Trojan 容器内 acme.sh，后者为 Caddy。
3. 两台服务器均已部署 `trojan-container-services.service`。重启服务器后，优先检查该服务及容器内两个 Trojan 服务状态。