تفکیک لینک سابسکریپشن و پنل در مرزبان

[mdjvd]

سلام بر شما. ممکنه نیاز باشه دامنه پنل و دامنه لینک سابسکریپشن رو از همدیگه جدا کنید. (حالا به هر دلیلی)
برای این کار چند روش وجود داره:

۱- میتونید بعد از گرفتن یک سرتیفیکیت برای دامنه اول و فعالسازی SSL در مرزبان، فقط تیک پروکسی دامنه دوم رو فعال کنید و برای پنل یا لینک سابسکریپشن در نظر بگیریدش.

۲- اگر میخواید از یک دامنه یکسان استفاده کنید ولی سابدامنه های متفاوت برای پنل و لینک سابسکریپشن بذارید، میتونید برای دامنه‌تون یک سرتیفیکیت wildcard بگیرید. (پیشنهاد نمیشه. بهتره از دامنه‌های کاملا متفاوت استفاده کنید.)

۳- یک سرتیفیکیت برای دو دامنه بگیرید. توی این آموزش ما این کارو انجام میدیم.

خب برای گرفتن یک سرتیفیکیت برای دو دامنه، ما با acme.sh انجامش میدیم ولی شما میتونید از certbot هم استفاده کنید. (البته با دستورهای خودش)

• اول پیش‌نیازها رو نصب کنید:

apt-get install -y curl cron socat

• با دستور زیر acme.sh رو نصب کنید:
  (به جای [email protected] ایمیل خودتون رو قرار بدید)

curl https://get.acme.sh | sh -s [email protected]

توجه: در مرحله بعد نیازه که پورت 80 روی سرور شما در دسترس و در فایروال (اگر فعاله) باز شده باشه. ممکنه روی سرور از قبل nginx یا apache نصب شده باشه و پورت 80 توسطشون مشغول شده باشه، که میتونید با یکی از این دو دستور سرویس این دو رو موقتا متوقف کنید و بعد از دریافت سرتیفیکیت در صورت نیاز مجددا فعالشون کنید:
systemctl stop nginx
systemctl stop apache2.service

• با دستور زیر سرتیفیکیت رو دریافت کنید:
  (به جای PANEL.DOMAIN1.COM و SUB.DOMAIN2.COM سابدامنه‌های خودتون رو قرار بدید)

~/.acme.sh/acme.sh --set-default-ca --server letsencrypt --issue --force --standalone \
-d PANEL.DOMAIN1.COM -d SUB.DOMAIN2.COM

• بعدش سرتیفیکیت گرفته شده رو در فولدر مرزبان نصب کنید:
  (دقت کنید که توی این دستور باید فقط اولین دامنه در دستور قبلی رو قرار بدید. در نمونه بالا یعنی دامنه PANEL.DOMAIN1.COM)

~/.acme.sh/acme.sh --installcert -d PANEL.DOMAIN1.COM \
--key-file /var/lib/marzban/certs/key.pem \
--fullchain-file /var/lib/marzban/certs/fullchain.pem

• حالا وارد فایل env بشید:

nano /opt/marzban/.env

• مسیر فایل‌های سرتیفیکیت که در مرحله قبل دریافت کردید رو در جای خودشون قرار بدید.
• با حذف کاراکتر # از پشت خط XRAY_SUBSCRIPTION_URL_PREFIX اون رو از حالت کامنت خارج کنید. حالا سابدامنه‌ مربوط به لینک سابسکریپشن رو همراه با پورت پنل در این متغیر قرار بدید. دقت کنید آدرس لینک باید به صورت https باشه.
  (در صورت عدم مقداردهی به این متغیر، لینک سابسکریپشنی که از پنل دریافت میکنید با همون دامنه‌ای هست که وارد پنل شدید)
  تغییرات رو ذخیره کنید و در نهایت مرزبان رو ری‌استارت کنید:

marzban restart

حالا میتونید با دامنه PANEL.DOMAIN1.COM وارد پنل بشید.
همچنین لینک سابسکریپشنی که از پنل دریافت میکنید با آدرس دامنه SUB.DOMAIN2.COM خواهد بود.

توجه کنید که هم پنل و هم لینک سابسکریپشن با هر دو دامنه قابل دسترسی خواهند بود.

نکنه: برای از کار نیفتادن لینک سابسکریپشن قبلی، باید طبق آموزش برای اون دامنه سرتیفیکیت بگیرید. میتونید برای سه یا چند دامنه هم سرتیفیکیت دریافت کنید.
نکته: اگر از HAproxy استفاده میکنید، باید هر دو دامنه رو در کانفیگ HAproxy قرار بدید.

[happybigboy]

[mdjvd]

هر دو دامنه باید توی frontend مربوط به backend مرزبان قرار بگیرن:

 use_backend panel if { req.ssl_sni -m end PANEL.DOMAIN1.COM }
 use_backend panel if { req.ssl_sni -m end SUB.DOMAIN2.COM }

backend panel
 mode tcp
 server srv1 127.0.0.1:10000

[M03ED]

کانفیگ haproxy مقداری تغییرات نیاز داره
روی لینک ساب به هر path به جز /sub دیتایی وارد بشه باید بلاک بشه

[mdjvd]

بله این درست‌تر و بهتره، ممنون.
من ساده‌ ترین حالتشو گفتم که صرفا فقط کار کنه لینک ساب

[mahsamcse]

ممنون میشم بفرمایید تغیرات رو روی ha-proxy
اینطوری مطلب آموزشی این پست هم تکمیل تر میشه

[pooryasho]

کانفیگ haproxy مقداری تغییرات نیاز داره روی لینک ساب به هر path به جز /sub دیتایی وارد بشه باید بلاک بشه

استاد ممکنه این مورد رو توضیح بدین که انجام بدیم؟

[SahandSOne]

خیلی کاربردی بود. دمت گرم

[qirmizialma]

لطفا بفرمایید اگه بخواهیم از سرتیفیکیت های آماده ی کلادفلر استفاده کنیم چجوری باید انجام بدیم

[mdjvd]

فکر نمیکنم بشه. سرتیفیکیتی که کلودفلر issue میکنه فقط برای همون دامنه قابل استفاده هست تا جایی که من میدونم.

[rbsdotnet]

برای تک پورت کردن پنل و کتنفیگ ها شما چه روشی رو پیشنهاد می کنید و اینکه ویدیو آموزشی هم هست معرفی کنید
باتشکر

[mdjvd]

https://gozargah.github.io/marzban/examples/all-on-one-port

[rbsdotnet]

در حالت VLESS TCP فالبک کار نمی کنه آیا شما راه حلی دارید؟

[silvermanq]

عالی بود برای من جواب داد.

[farshadl]

سلام بر شما. ممکنه نیاز باشه دامنه پنل و دامنه لینک سابسکریپشن رو از همدیگه جدا کنید. (حالا به هر دلیلی) برای این کار چند روش وجود داره:

۱- میتونید بعد از گرفتن یک سرتیفیکیت برای دامنه اول و فعالسازی SSL در مرزبان، فقط تیک پروکسی دامنه دوم رو فعال کنید و برای پنل یا لینک سابسکریپشن در نظر بگیریدش.

۲- اگر میخواید از یک دامنه یکسان استفاده کنید ولی سابدامنه های متفاوت برای پنل و لینک سابسکریپشن بذارید، میتونید برای دامنه‌تون یک سرتیفیکیت wildcard بگیرید. (پیشنهاد نمیشه. بهتره از دامنه‌های کاملا متفاوت استفاده کنید.)

۳- یک سرتیفیکیت برای دو دامنه بگیرید. توی این آموزش ما این کارو انجام میدیم.

خب برای گرفتن یک سرتیفیکیت برای دو دامنه، ما با acme.sh انجامش میدیم ولی شما میتونید از certbot هم استفاده کنید. (البته با دستورهای خودش)

الان ما دو تا سرتیفیکیت برای پنل و sub گرفتیم ولی فقط آدرس سرتیفیکیت پنل را وارد فایا env کردیم. کجا باید آدرس سرتیفیکیت sub را بدیم تا اطلاعات ساب‌دامنه sub هم رمزنگاری بشن؟؟؟؟؟؟

[mdjvd]

شما یک سرتیفیکیت برای دو دامنه میگیرید و در نتیجه فایل‌های فقط یک سرتیفیکیت رو به پنل معرفی میکنید، و این سرتیفیکیت برای هر دو دامنه valid هست و کار میکنه.

[Matialz7]

امکانش هست پنل و یا لینک ساب روی 2 پورت مجزا باشه ؟!!

[mdjvd]

به طور ساده نه. با ابزارهایی مثل nginx یا haproxy بله.

[yasinpcs]

برای تمدیدش چیکار باید کرد؟

[mdjvd]

خودش باید خودکار تمدید بشه. ولی برای تمدید دستی از این دستور استفاده کنید. (دامنه اول توی دستوری که باهاش سرتیفیکیت گرفتید رو باید بذارید)

acme.sh --renew -d PANEL.DOMAIN1.COM --force

[shahdad1998]

درود وقت بخیر
من برای پنل قبلا ssl گرفتم. میخوام از همون دامنه (ساب دامنه) برای پنل و لینک ساب استفاده کنم که داره درست کار میکنه فعلا.
ولی میخوام برای یک دامنه جدید ssl بگیرم (یک ساب دامنه بر روی دامنه ای متفاوت از دامنه پنل و لینک ساب) که ازش برای کانفیگ های tls دار استفاده کنم.
امکانش هست؟ و چطور میتونم برای این ساب جدید privatekey و publickey رو بگیرم؟
چون توی مرزبان اینباند جنریتور که میخوام اینباند tls‌دار بسازم این دوتا رو ازم میخواد. ممنون میشم راهنمایی کنید.

[mdjvd]

جداگونه برای دامنه جدیدتون سرتیفیکیت بگیرید و مسیرش رو توی اینباند بذارید. مرتبط به ssl پنل و ساب نیست.

[Mrkalier]

سلام کاربرا با هر دو دامنه میتونن کانفیگها ر اد کنن؟؟

[mdjvd]

سلام. متوجه منظورتون نشدم دقیق، کاربر که به هر دو دامنه دسترسی نداره خب.
شما وقتی متغیر XRAY_SUBSCRIPTION_URL_PREFIX توی فایل .env رو مقداردهی میکنید و دامنه سابسکریپشن رو میذارید، لینک سابسکریپشنی که پنل براتون میسازه با این دامنه ای هست که اینجا گذاشتید. ولی اگه خودتون دستی لینک سابسکریپشن رو ادیت کنید و اون یکی دامنه رو به جاش بذارید با اون دامنه هم سابسکیرپشن کار میکنه براتون.

[alirezanbi]

اگر بخواهیم دامنه رو عوض کنیم باید چیکار کنیم؟

[mdjvd]

سرتیفیکیت جدید بگیرید و دامنه‌تون توی env رو عوض کنید

[arashmo1998]

از کجا میتونیم مسیر path یا همون Dashboard رو تغییر بدیم؟
چون کسی که به سابسکریپشن دسترسی داشته باشه میتونه کلمه Dashboard اضافه کنه به پنل دسترسی پیدا کنه و با یه ddos بریم روی هوا

[mdjvd]

به طور ساده نمیشه هنوز، ولی با nginx میشه تغییرش داد

[mmsh1370]

میشه راه حل این کار رو بهمون بگین
هر کاری کردم با ngnix بتونم مسیر path یا همون Dashboard رو تغییر بدم اخرش حرف داشبورد تو آدرس اضافه میشه
من خیلی روش وقت گذاشتم و به نتیجه نرسیدم
حس میکنم مرزبان از یه تغییر دهنده لینک داخل کد برنامه نویسی شده اش استفاده میکنه

[mdjvd]

خیلی ضرورت خاصی نداره که حتما path رو تغییر بدید. اگه یک یوزرنیم و پسورد قوی بذارید، اتفاقی قرار نیست بیفته.
احتمالا آپشن تغییر path هم بزودی به مرزبان اضافه میشه (یک PR باز هست براش)
باز اگه نیاز به راهنما داشتید، این دو نمونه شاید کمک کنن:

1 2