F0rc3Run/RailPanel

RailPanel

Dashboard

What is inside

nginx        the only process reachable from outside, on $PORT
railpanel    Node: the panel UI and its API, on 127.0.0.1
xray         the engine, running a config the panel writes

1. Deploy from GitHub

2. Attach a volume — do this before signing in

/data

3. Variables

Hiding the panel

PANEL_PATH = railpanel

4. Generate a Railway domain

8080

public=8080  panel=8090  data=/data

5. First sign-in

Optional: nodes through Cloudflare

6. Add the domain to Cloudflare

7. Point it at Railway — order matters

8. Verify the domain in the panel

9. Generate

10. Hand out access

Test from the server

Telegram alerts

Backup and restore

Notes on cost

پنل سبک VLESS برای Railway، همراه با تولیدکننده‌ی نود پشت کلادفلر.

مستقیم Xray را اجرا می‌کند، بدون هیچ پنل دیگری زیرش، و هیچ وابستگی npm ندارد — همه‌چیز از کتابخانه‌ی استاندارد Node می‌آید، پس بیلد چیزی نصب نمی‌کند و درخت وابستگی‌ای برای بررسی وجود ندارد.

nginx        تنها پروسه‌ی قابل دسترس از بیرون، روی $PORT
railpanel    Node: رابط پنل و API آن، روی 127.0.0.1
xray         موتور، با کانفیگی که پنل می‌نویسد

دو بخش، عمداً جدا از هم:

۱. این ریپازیتوری را fork کن، یا محتوایش را در ریپوی خودت push کن.

۲. در railway.com پروژه بساز → Deploy from GitHub repo → ریپو را انتخاب کن.

۳. Railway فایل Dockerfile را می‌خواند و بیلد می‌کند. بیلد اول چند دقیقه طول می‌کشد چون هسته‌ی Xray را دانلود می‌کند.

صبر کن تا دیپلوی سبز شود، بعد سراغ قدم بعد برو.

Settings → Volumes → Add Volume با مسیر دقیقاً:

/data

بدون آن، هر دیپلوی مجدد تمام اینباندها و کلاینت‌ها و مجموعه‌ی نودت را پاک می‌کند. رایج‌ترین راه از دست دادن یک راه‌اندازی سالم همین است، برای همین قبل از هر چیز دیگری می‌آید.

همه‌چیز پیش‌فرض کارآمد دارد. این‌ها را فقط اگر خواستی تنظیم کن.

PANEL_PATH را روی چیزی بگذار که فقط خودت می‌دانی:

PANEL_PATH = railpanel

آن‌وقت پنل فقط از https://your-domain.com/railpanel/ باز می‌شود. ریشه، هر حدس اشتباه، حتی /api/... — همه یک صفحه‌ی سفید یکسان می‌دهند، پس اسکنر نمی‌تواند بفهمد نزدیک شده یا نه.

لینک‌های ساب روی ریشه می‌مانند (/sub/<id>): آن‌ها به دیگران داده می‌شوند و نباید محل پنل را لو بدهند.

عمداً در متغیر است نه در تنظیمات خود پنل — یک اشتباه تایپی که از داخل رابط ذخیره شود تو را بیرون قفل می‌کند بدون راه برگشت، در حالی که متغیر همیشه از داشبورد Railway قابل تغییر است.

Settings → Networking → Generate Domain و پورت مقصد را بگذار:

8080

اگر Railway پورت دیگری تزریق کرد، خط اول لاگ دیپلوی می‌گوید کدام است:

public=8080  panel=8090  data=/data

هر عددی که جلوی public= بود، همان پورت مقصد است.

Railway چند دامنه روی یک سرویس می‌پذیرد و همه به یک کانتینر می‌رسند، پس می‌توانی دامنه‌ی اختصاصی را هم با همان پورت مقصد کنارش اضافه کنی.

دامنه را باز کن. اولین ورود سه چیز می‌خواهد:

• نام کاربری — railpanel
• رمز عبور — railpanel
• توکن API ریلوی — از Railway → Account Settings → Tokens

توکن قبل از ورود با Railway بررسی می‌شود و دیگر هرگز پرسیده نمی‌شود. کارت اعتبار در داشبورد را همین توکن پر می‌کند: موجودی باقی‌مانده، روزهای مانده، و اینکه آن موجودی چقدر ترافیک می‌خرد.

نام کاربری و رمز را بلافاصله عوض کن. پنل خودش یادآوری می‌کند.

بخش هسته با همان دامنه‌ی Railway کار می‌کند. تولیدکننده‌ی نود به دامنه‌ی خودت پشت کلادفلر نیاز دارد، و دلیلش این است:

کلادفلر HTTPS را روی شش پورت پروکسی می‌کند — ۴۴۳، ۲۰۵۳، ۲۰۸۳، ۲۰۸۷، ۲۰۹۶، ۸۴۴۳ — و از هزاران آدرس لبه. دامنه‌ات را پشتش بگذار و یک سرور به ده‌ها آدرس متمایز تبدیل می‌شود، پس یک IP بلاک‌شده دیگر همه‌چیز را نمی‌خواباند. بدون کلادفلر، یک آدرس روی یک پورت داری و بس.

۱. یک دامنه بخر — .xyz یا .top سالی دو سه دلار است.

۲. در کلادفلر با پلن رایگان اضافه‌اش کن.

۳. نیم‌سرورها را در پنل ثبت‌کننده‌ات به دو نیم‌سروری که کلادفلر می‌دهد تغییر بده.

۴. صبر کن تا کلادفلر دامنه را Active اعلام کند.

۱. Railway → Settings → Networking → Custom Domain. نامی که می‌خواهی را وارد کن، مثلاً game.example.com، با پورت مقصد 8080. Railway یک مقصد CNAME می‌دهد.

۲. کلادفلر → DNS → Add record:

• Type: CNAME
• Name: زیردامنه، مثلاً game
• Target: همان که Railway داد
• Proxy status: ابر خاکستری، DNS only — فعلاً

۳. صبر کن تا تیک سبز کنار دامنه در Railway بیاید. گواهی در همین بازه صادر می‌شود و پروکسی کلادفلر چالش صدور را می‌گیرد و شکستش می‌دهد.

۴. حالا ابر را نارنجی کن.

۵. کلادفلر → SSL/TLS → Overview → Full. نه Full (Strict) که مستندات خود Railway از آن پرهیز می‌دهد، و نه Flexible که باعث می‌شود پنل اتصال را HTTP ساده ببیند و لینک خراب بسازد.

اگر گواهی روی حالت Validating گیر کرد، ابر را خاکستری کن، صبر کن تا تیک بیاید، دوباره نارنجی کن.

نودها → دامنه را وارد کن → بررسی.

پنل یک توکن یک‌بارمصرف می‌سازد و آدرس عمومی خودش را صدا می‌زند تا ببیند همان برمی‌گردد. هر چیز کمتری، دامنه‌ای را می‌پذیرفت که به جای دیگری اشاره می‌کند.

اگر گفت پروکسی خاموش است، یعنی ابر هنوز خاکستری است — آن‌وقت فقط پورت ۴۴۳ کار می‌کند.

نودها → تنظیمات نود.

• آدرس‌ها — خالی بگذار و پنل رکوردهای A و AAAA خود دامنه‌ات را resolve می‌کند که همان هم چند لبه‌ی واقعی کلادفلر می‌دهد. بهتر: از شبکه‌ی خودت اسکن کن و نتیجه را هر خط یکی بچسبان. لیست‌هایی که در کانال‌ها دست‌به‌دست می‌شود همانی است که بقیه هم دارند، پس زودتر از همه بلاک می‌شود.

• پورت‌ها — ۴۴۳ پیش‌فرض روشن است. پنج پورت دیگر از طریق کلادفلر کار می‌کنند ولی خیلی از شبکه‌ها فقط ۴۴۳ را رد می‌کنند؛ بقیه را فقط بعد از تست کردن روشن کن.

• تنظیم دقیق — ALPN را روی http/1.1 نگه دار. اگر h2 مذاکره شود، ارتقا به WebSocket شکست می‌خورد و همه‌ی نودها از کار می‌افتند.

تولید را بزن. یک ریمارک قابل تغییر نام ساخته می‌شود که همه‌ی نودها را نگه می‌دارد. برای ساخت مجموعه‌ی متفاوت اول حذفش کن — کلاینت‌ها می‌مانند و به مجموعه‌ی بعدی وصل می‌شوند.

نودها → کلاینت‌ها → + با هر سقف ترافیک و انقضایی که می‌خواهی، بعد لینک ساب را از ردیف همان کلاینت کپی کن.

یک لینک همه‌جا کار می‌کند: پنل نام خود برنامه را می‌خواند و فرمتی که انتظار دارد را می‌دهد.

باز کردن همان لینک در مرورگر، صفحه‌ای با حجم و زمان باقی‌مانده، کد QR، و دکمه‌های ایمپورت مستقیم نشان می‌دهد.

نودها → تست از روی سرور هر پورت را از داخل کانتینر امتحان می‌کند و گزارش می‌دهد کدام جواب می‌دهد، آیا nginx به Xray مسیر می‌دهد، آیا Xray در حال اجراست، و آیا کلادفلر پروکسی می‌کند.

این با یک کلیک مشکل سرور را از مشکل شبکه جدا می‌کند، که خیلی بیشتر از حدس زدن از روی کلاینتی که وصل نمی‌شود می‌ارزد.

آیکن ربات → اعلان‌های تلگرام.

توکن بات را از @BotFather و شناسه‌ی عددی چت را از @userinfobot بگیر. اول خودت به بات پیام بده — تلگرام اجازه نمی‌دهد باتی به کسی پیام بدهد که با آن حرف نزده.

توکن قبل از ذخیره با فرستادن یک پیام آزمایشی بررسی می‌شود. گزارش‌ها بکاپ فعلی را همراه دارند، پس تازه‌ترین نسخه‌ی قابل بازیابی همیشه در چت هست. بات فقط می‌فرستد و هیچ فرمانی نمی‌پذیرد.

دایره‌ی بکاپ در داشبورد. دانلود یک فایل JSON می‌دهد شامل اینباندها، کلاینت‌ها، مجموعه‌ی نود و تنظیماتش. بازیابی فایل را می‌خواند، می‌گوید چه چیزی داخلش است، و قبل از جایگزینی می‌پرسد.

رمز پنل و توکن Railway عمداً داخلش نیستند: بکاپ معمولاً از یک پیام‌رسان رد می‌شود، و فایل دزدیده‌شده نباید همزمان یعنی حساب دزدیده‌شده.

کانتینر در حالت بی‌کار حدود ۱۰۰ مگابایت رم می‌گیرد که ماهی یک دو دلار است. آنچه واقعاً تمام می‌شود ترافیک خروجی است: ویدیو با گیگابایت در ساعت اندازه گرفته می‌شود، پس عادت به استریم، موجودی پنج دلاری را خیلی سریع‌تر از خود پنل خالی می‌کند. روی کلاینت‌ها سقف ترافیک بگذار، و در Railway یک Usage Limit تعیین کن.