147 lines
6.3 KiB
Bash
147 lines
6.3 KiB
Bash
#!/bin/bash
|
||
# ROS-DPI Linux 一键部署（debug18）：下载二进制 → 安装 systemd 服务 → 自动启动
|
||
# 用法：curl -fsSL https://raw.githubusercontent.com/suyijun8182/ros-dpi/main/install.sh | bash
|
||
# 可用环境变量：ROS_DPI_PORT（默认 8080）、ROS_DPI_DIR（默认 /opt/ros-dpi）
|
||
# 自定义配置（DATABASE_URL、ADMIN_PASSWORD 等）写在 /etc/ros-dpi.env，重装 / 升级都不会覆盖
|
||
set -euo pipefail
|
||
|
||
REPO="suyijun8182/ros-dpi"
|
||
PORT="${ROS_DPI_PORT:-8080}"
|
||
DIR="${ROS_DPI_DIR:-/opt/ros-dpi}"
|
||
BIN="$DIR/bin/ros-dpi" # 放在安装目录下，服务账号可写：一键自更新要原地替换它
|
||
LINK="/usr/local/bin/ros-dpi"
|
||
ENV_FILE="/etc/ros-dpi.env"
|
||
SVC_USER="ros-dpi"
|
||
|
||
[ "$(id -u)" = 0 ] || { echo "请用 root 运行（sudo curl ... | sudo bash）"; exit 1; }
|
||
|
||
ARCH="$(uname -m)"
|
||
case "$ARCH" in
|
||
x86_64) ASSET="ros-dpi-linux-amd64.tar.gz" ;;
|
||
aarch64 | arm64) ASSET="ros-dpi-linux-arm64.tar.gz" ;;
|
||
*) echo "不支持的架构：$ARCH"; exit 1 ;;
|
||
esac
|
||
|
||
echo "==> 获取最新版本号"
|
||
URL="https://api.github.com/repos/${REPO}/releases/latest"
|
||
# 不用 grep -P（BusyBox / 部分发行版的 grep 不支持），sed 取 "tag_name": "vX.Y.Z"
|
||
TAG=$(curl -fsSL "$URL" | sed -n 's/.*"tag_name"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n 1 || true)
|
||
[ -n "$TAG" ] || { echo "取不到最新版本（网络问题？）"; exit 1; }
|
||
echo " 最新版本 $TAG"
|
||
|
||
echo "==> 下载 $ASSET ($TAG)"
|
||
TMP=$(mktemp -d)
|
||
trap 'rm -rf "$TMP"' EXIT
|
||
BASE="https://github.com/${REPO}/releases/download/${TAG}"
|
||
curl -fsSL "$BASE/${ASSET}" -o "$TMP/${ASSET}"
|
||
|
||
echo "==> 校验 SHA256"
|
||
curl -fsSL "$BASE/SHA256SUMS" -o "$TMP/SHA256SUMS" || { echo "该版本没有 SHA256SUMS 校验文件，为安全起见停止安装"; exit 1; }
|
||
grep -q " [*]\{0,1\}${ASSET}\$" "$TMP/SHA256SUMS" || { echo "SHA256SUMS 里没有 ${ASSET}，停止安装"; exit 1; }
|
||
(cd "$TMP" && grep " [*]\{0,1\}${ASSET}\$" SHA256SUMS | sha256sum -c -) || { echo "校验失败：下载的文件已损坏或被篡改"; exit 1; }
|
||
tar -xzf "$TMP/${ASSET}" -C "$TMP"
|
||
|
||
echo "==> 安装"
|
||
REINSTALL=0
|
||
[ -f /etc/systemd/system/ros-dpi.service ] && REINSTALL=1
|
||
# 专用系统账号运行服务（0.6.22 及以前是 root）：不能登录、没有家目录
|
||
if ! id "$SVC_USER" >/dev/null 2>&1; then
|
||
NOLOGIN=$(command -v nologin || echo /bin/false)
|
||
if command -v useradd >/dev/null 2>&1; then
|
||
useradd --system --user-group --no-create-home --home-dir "$DIR" --shell "$NOLOGIN" "$SVC_USER"
|
||
else # BusyBox / Alpine
|
||
addgroup -S "$SVC_USER" 2>/dev/null || true
|
||
adduser -S -D -H -h "$DIR" -s "$NOLOGIN" -G "$SVC_USER" "$SVC_USER"
|
||
fi
|
||
fi
|
||
mkdir -p "$DIR/bin" "$DIR/data"
|
||
install -m 755 "$TMP/ros-dpi" "$BIN"
|
||
# 旧版把二进制装在 /usr/local/bin（只有 root 可写）：换成指向安装目录的软链接，命令行照常可用
|
||
rm -f "$LINK.bak"
|
||
ln -sfn "$BIN" "$LINK"
|
||
# 数据目录里的 SQLite 库存着 JWT 签名密钥和各类密码：只给服务账号读写（旧版装出来的是 root 的 644 文件）
|
||
chown -R "$SVC_USER:$SVC_USER" "$DIR/bin" "$DIR/data"
|
||
chmod 700 "$DIR/data"
|
||
chmod -R go-rwx "$DIR/data"
|
||
|
||
# 用户配置单独放在 EnvironmentFile：只在不存在时创建（全是注释示例），重装 / 升级都不覆盖
|
||
NEW_ENV=0
|
||
if [ ! -f "$ENV_FILE" ]; then
|
||
NEW_ENV=1
|
||
cat > "$ENV_FILE" <<'ENVF'
|
||
# ROS-DPI 自定义配置：取消注释并修改后执行 systemctl restart ros-dpi
|
||
# 本文件不会被 install.sh 覆盖；端口和数据目录由服务文件给出，这里设置会覆盖它们
|
||
#
|
||
# 用 MySQL 代替默认 SQLite：
|
||
# DATABASE_URL=mysql+pymysql://rosdpi:密码@127.0.0.1:3306/rosdpi?charset=utf8mb4
|
||
# 管理员 admin 的初始密码（强烈建议设置；留空则首次打开网页时设置）：
|
||
# ADMIN_PASSWORD=
|
||
# 内网网段（之后也可在 系统设置 → 网络 里改）：
|
||
# LAN_CIDRS=192.168.88.0/24
|
||
# RouterOS 只读 API（可选）：
|
||
# ROS_URL=https://192.168.88.1
|
||
# ROS_USER=
|
||
# ROS_PASSWORD=
|
||
ENVF
|
||
# 0.6.21 及以前的配置写在服务文件里（Environment=DATABASE_URL=…）：搬进来，否则重装后会退回 SQLite，看起来像数据全丢了
|
||
if [ "$REINSTALL" = 1 ]; then
|
||
grep '^Environment=' /etc/systemd/system/ros-dpi.service \
|
||
| grep -v -e '^Environment="\{0,1\}HTTP_PORT=' -e '^Environment="\{0,1\}DATA_DIR=' \
|
||
| sed -e 's/^Environment=//' -e 's/^"\(.*\)"$/\1/' >> "$ENV_FILE" || true
|
||
fi
|
||
fi
|
||
chmod 600 "$ENV_FILE"
|
||
|
||
# 以专用账号运行。一键自更新只需要写 $DIR/bin，重启靠进程退出后 Restart=always 拉起，不需要 systemctl 权限；
|
||
# 环境文件由 systemd 以 root 读取，服务账号本身读不到（chmod 600 root）
|
||
cat > /etc/systemd/system/ros-dpi.service <<UNIT
|
||
[Unit]
|
||
Description=ROS-DPI 终端流量与应用统计
|
||
After=network-online.target
|
||
Wants=network-online.target
|
||
|
||
[Service]
|
||
User=$SVC_USER
|
||
Group=$SVC_USER
|
||
WorkingDirectory=$DIR
|
||
Environment=HTTP_PORT=$PORT
|
||
Environment=DATA_DIR=$DIR/data
|
||
EnvironmentFile=-$ENV_FILE
|
||
ExecStart=$BIN
|
||
Restart=always
|
||
RestartSec=3
|
||
UMask=0077
|
||
# Web 端口改成 1024 以下（如 80）时需要绑定特权端口的能力；除此之外不给任何能力
|
||
AmbientCapabilities=CAP_NET_BIND_SERVICE
|
||
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
|
||
NoNewPrivileges=yes
|
||
PrivateTmp=yes
|
||
PrivateDevices=yes
|
||
ProtectHome=yes
|
||
ProtectSystem=strict
|
||
ReadWritePaths=$DIR/bin $DIR/data
|
||
ProtectKernelTunables=yes
|
||
ProtectKernelModules=yes
|
||
ProtectControlGroups=yes
|
||
RestrictSUIDSGID=yes
|
||
LockPersonality=yes
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
UNIT
|
||
|
||
systemctl daemon-reload
|
||
systemctl enable ros-dpi >/dev/null 2>&1
|
||
# 重装 / 升级：restart 让新二进制和新服务文件立即生效（enable --now 对已运行的服务不会重启）
|
||
if [ "$REINSTALL" = 1 ]; then systemctl restart ros-dpi; else systemctl start ros-dpi; fi
|
||
sleep 2
|
||
systemctl is-active ros-dpi >/dev/null && STATE="运行中" || STATE="启动失败（journalctl -u ros-dpi 查看）"
|
||
|
||
IP=$(hostname -I 2>/dev/null | awk '{print $1}')
|
||
echo
|
||
echo "==> 完成：$STATE"
|
||
echo " 浏览器打开 http://${IP:-本机IP}:$PORT"
|
||
echo " 数据目录 $DIR/data（默认 SQLite，想用 MySQL 在 $ENV_FILE 里设 DATABASE_URL 后 systemctl restart ros-dpi）"
|
||
echo " 建议在 $ENV_FILE 里设置 ADMIN_PASSWORD，或立即打开网页设置管理员密码"
|
||
echo " 流量采集：RouterOS 的 Traffic-Flow(udp/2055) 与 TZSP(udp/37008) 指到本机地址"
|