sdm-xray v0.2.2: self-signed mode, uninstall.sh, panel v3 (TLS/REALITY, stats, backup), tests, docs

Added: - install.sh --selfsigned: no-domain mode with pinnedPeerCertSha256 - uninstall.sh: full removal of what install.sh deploys - Panel v3: TLS/REALITY switch, client rename, log level, backup/restore, version+cert status, traffic stats (xray stats API) - Auto-pin for self-signed certs in generated configs/links - Go tests (14 tests, all passing) - CHANGELOG.md, ARCHITECTURE.md, README.md rewrite - Email defaults to UUID when client name is empty (fixes stats) Fixed: - install.sh SIGPIPE and double-v banner - Mirror drained body bug (iana.org)
install.sh: add --selfsigned mode (no domain, self-signed cert + pinnedPeerCertSha256); bump VERSION to v0.2.2
2026-08-17 19:11:41 +05:00 · 2026-08-17 14:56:22 +05:00 · 2026-08-17 14:19:04 +05:00 · 2026-08-16 20:36:45 +05:00
17 changed files with 4653 additions and 243 deletions
@@ -0,0 +1,117 @@
+# Архитектура sdm-xray
+
+Документ для разработчиков. Для установки/использования — см. [README](README-sdm-xray.md).
+
+---
+
+## Топология
+
+```
+клиент (ПК/роутер)
+  → SOCKS5 127.0.0.1:10808
+  → VLESS + stealth (свой фрейминг, HTTP/2, ротация путей)
+  → TLS 1.3 (uTLS chrome, ALPN h2)
+  → VPS:443
+    → xray (сервер) → интернет
+    → GET/HEAD от зондов → зеркало реального сайта
+```
+
+## Транспорт stealth
+
+Кастомный транспорт Xray-core (поле `network: "stealth"` в streamSettings).
+Каждая сессия = один HTTP/2 POST-стрим (bidirectional).
+
+### Wire-протокол
+```
+[TLS 1.3] → [HTTP/2 POST на путь] → [тело: кадры]
+```
+
+Формат кадра: `[4B длина][1B тип][payload]`
+
+| Тип | Значение | Смысл |
+|-----|----------|-------|
+| DATA | 0x01 | Данные туннеля (VLESS-поток) |
+| PAD | 0x02 | Padding (читатель пропускает) |
+| AUTH | 0xFE | Первый кадр тела запроса (ключ) |
+| CLOSE | 0xFF | Закрытие |
+
+### Поведение сервера
+- POST на туннельный путь + AUTH → туннель (200 + двунаправленный обмен)
+- POST без ключа/неверный ключ → 404 + закрытие
+- GET/HEAD (не-туннельные) → reverse-proxy на `target` (зеркало)
+
+### Зеркало
+Сервер реверсивно проксирует GET/HEAD запросы на `target` (реальный сайт).
+Переписывает Location, HTML-ссылки (href/src/content), CSS url() на свой домен.
+Лимит тела: 8МБ. `Accept-Encoding: identity` (для переписывания).
+
+## Файлы транспорта
+
+`transport/internet/stealth/`:
+- `config.proto` + `config.pb.go` — protobuf-конфигурация
+- `config.go` — регистрация конфига в Xray
+- `framing.go` — чтение/запись кадров
+- `conn.go` — h2Conn (net.Conn поверх HTTP/2 стрима)
+- `dialer.go` — клиент (TLS/uTLS, ротация, ретрай, decoy)
+- `hub.go` — сервер (http.Server, зеркало, AUTH)
+
+Изменённые файлы upstream:
+- `infra/conf/transport_internet.go` — case "stealth", поле StealthSettings
+- `infra/conf/transport_method.go` — struct StealthConfig + Build()
+
+## Сборка (WSL)
+
+```bash
+cd ~/xray-mod
+export PATH="$PATH:/usr/local/go/bin"
+GOOS=linux GOARCH=amd64  go build -o build/xray-server-amd64 ./main
+GOOS=linux GOARCH=arm64  go build -o build/xray-client-arm64 ./main
+GOOS=windows GOARCH=amd64 go build -o build/xray-client-win.exe ./main
+```
+
+Regen protobuf:
+```bash
+protoc -I. --go_out=. --go_opt=paths=source_relative transport/internet/stealth/config.proto
+```
+
+Панель:
+```bash
+cd ~/sdm-panel
+GOOS=linux GOARCH=amd64 go build -o sdm-panel-linux-amd64 .
+```
+
+## Деплой на VPS
+
+```bash
+# SFTP: build/xray-server-amd64 → /usr/local/xray/xray
+# install -m 755, systemctl restart xray
+```
+
+Конфиги:
+- `/etc/xray/config.json` — основной конфиг xray
+- `/etc/xray/panel.json` — конфиг панели (bind/password/serverName)
+- `/etc/xray/server.crt` + `/etc/xray/server.key` — self-signed сертификат (selfsigned-режим)
+- `/etc/letsencrypt/live/<domain>/` — LE-сертификат (доменный режим)
+
+## VPS (актуальные)
+
+| VPS | Домен | IP | Система | xray |
+|-----|-------|-----|---------|------|
+| Основная | pay.dedikar.online | 13.143.132.66 | Ubuntu 24.04 | 978fd1a |
+| Старая | vds.dedikar.online | 94.183.182.49 | Ubuntu 24.04 | 8f75aa4 |
+
+## Интеграция в DedVpn.App
+
+Копия: `C:\Users\dedikar\PsiphonWarp\DedVpn.App`
+- `Services/Xray/XrayConfigBuilder.cs` — эмит `network: "stealth"` + `stealthSettings`
+- `Services/Xray/SingBoxConfigBuilder.cs` — guard: stealth не поддерживается в sing-box
+- vless://-ссылка из панели → импорт в приложение
+- Runtime: патченый `xray.exe` в `runtime/xray/xray.exe`
+
+## Известные ограничения
+
+- HTTP/2 — один поток, throughput ограничен (~140 Мбит bulk, ~22 Мбит веб)
+- Оптимизации (flush-батчинг, окна HTTP/2) провалились — откачены
+- Стока REALITY быстрее (голый TLS), но stealth даёт уникальную маскировку
+- Клиент и сервер должны быть одной версии форка
+- На роутере (ARM Cortex-A53) — CPU для TLS является узким местом
@@ -0,0 +1,76 @@
+# Changelog
+
+Все заметные изменения проекта sdm-xray (анти-DPI туннель stealth).
+
+Формат: [Keep a Changelog](https://keepachangelog.com/).
+
+---
+
+## [Unreleased]
+
+### Добавлено
+- `install.sh --selfsigned` — режим без домена: самоподписанный сертификат (RSA 2048, 10 лет, CN=IP), клиенты доверяют по `pinnedPeerCertSha256`. Без nginx/certbot.
+- `uninstall.sh` — полный снос всего, что ставит install.sh (systemd, бинари, конфиги, nginx-сайт, LE-сертификат).
+- Панель v3: переключение TLS↔REALITY, переименование клиентов, лог-уровень xray, бэкап/восстановление config.json, версия бинаря + статус сертификата, статистика по клиентам (трафик + онлайн-IP, xray stats API).
+- Панель автоматически добавляет `pinnedPeerCertSha256` в клиентские конфиги/ссылки при self-signed сервере.
+- Тесты Go-панели (14 тестов: hexKey, uuid, tlsCertFile, selfSignedPin, statsInboundPort, ensureStats, stealthInbounds, genX25519, writeJSON, errStr, PanelConfig, email).
+- CHANGELOG.md, ARCHITECTURE.md.
+
+### Исправлено
+- Email клиента по умолчанию = UUID (вместо "client"). Раньше безымянные клиенты дублировали email "client" и их трафик сливался. Теперь каждый клиент уникален, статистика работает всегда.
+
+---
+
+## [v0.2.1] — 2026-08-16
+
+### Исправлено
+- install.sh: SIGPIPE при чтении версии (заменено на `sed`), дублирующаяся `v` в баннере.
+- Зеркало: drained-body баг — тело ответа не инжектируется в `ModifyResponse` при неизменённом состоянии (iana.org работает корректно).
+
+### Добавлено
+- Панель управления sdm-panel v2 (Go, stdlib): статус, клиенты (UUID/key/paths), tunnel settings, логи, рестарт.
+- install.sh интегрирует панель (systemd sdm-panel, автоматический пароль).
+- PROTOCOL.md — спецификация wire-протокола для интеграторов.
+- stealth.patch — полный патч транспорта (1372 строки, для референса).
+
+### Изменено
+- Ассеты релиза: сервер/клиенты (win/arm64)/geo/sdm-panel.
+
+---
+
+## [v0.2.0] — 2026-08-15
+
+### Добавлено
+- Панель управления sdm-panel (Go, stdlib): HTTP на 127.0.0.1:8080, авторизация по паролю, API для просмотра/редактирования config.json.
+- `install.sh` — скрипт установки на свежую Ubuntu VPS (домен + LE + nginx + xray + панель).
+- Клиентские конфиги (client-stealth.json, client-vds.json, client-pay.json).
+
+### Изменено
+- Транспорт stealth v10: адаптивный ретрай со сменой identity (свежий path/port при неудаче).
+- Зеркало: редирект-фоллоу, HTML/CSS-переписывание ссылок, browser-like padding.
+- REALITY: поддержка `security: "reality"` с apple.com в качестве таргета.
+
+---
+
+## [v0.1.0] — 2026-08-14
+
+### Добавлено
+- Кастомный транспорт `stealth` для Xray-core (поле `network: "stealth"` в streamSettings).
+- Wire-протокол: фрейминг `[len][type][payload]`, AUTH ключом, DATA/PAD/CLOSE кадры.
+- Клиент: ротация путей (`paths`), ротация портов (`ports`), padding/pacing, rate-limiter (`bps`).
+- Сервер: зеркало реального сайта (`target`) для GET/HEAD запросов от зондов.
+- Сборка: Go 1.26, protoc, protoc-gen-go. Бинари для linux/amd64, linux/arm64, windows/amd64.
+
+### Транспорт (хронология разработки)
+| Версия | Описание |
+|--------|----------|
+| v1 | Фрейминг + auth + padding + pacing поверх raw TLS |
+| v2 | HTTP/2 транспорт (h2 POST-стримы, AUTH в теле) |
+| v3 | Анти-пробиг (заглушка для зондов), jitter, path |
+| v4 | Ротация identity (несколько путей, per-connection random) |
+| v5 | Ротация портов, rate-limiter bps |
+| v6 | Зеркало реального сайта (reverse-proxy для не-туннельных запросов) |
+| v7 | Редирект-фоллоу в зеркале, опциональный decoy-трафик |
+| v8 | HTML-переписывание ссылок в зеркале (href/src → наш домен) |
+| v9 | CSS url()-переписывание, browser-like padding profile |
+| v10 | Адаптивный ретрай со сменой identity при неудаче |
@@ -0,0 +1,103 @@
+# sdm-xray: stealth transport — спецификация для интеграции
+
+Версия: v0.2.1 (черновик). Статус: работает (клиент/сервер — форк Xray-core).
+
+## 1. Что это
+`stealth` — кастомный сетевой транспорт для Xray-core (поле `network: "stealth"` в
+`streamSettings`). Каждая туннельная сессия = **один долгоживущий HTTP/2 POST-стрим**
+(ALPN `h2`): тело запроса несёт кадры клиент→сервер, тело ответа — кадры сервер→клиент
+(двунаправленно, как gRPC/стриминговые загрузки). Снаружи выглядит как обычный HTTPS
+к API-эндпоинту реального сайта.
+
+Цель — анти-DPI: ротация путей на каждое соединение, браузерный TLS (uTLS chrome),
+padding/pacing, ретрай со сменой identity, зеркало реального сайта для зондов.
+
+## 2. Конфигурация (streamSettings)
+```json
+{
+  "network": "stealth",
+  "stealthSettings": {
+    "key": "<общий секрет, клиент и сервер совпадают>",
+    "padMax": 2048,
+    "padProb": 50,
+    "paceMs": 0,
+    "paceJitterMs": 0,
+    "path": "/",              // один путь (fallback)
+    "paths": ["/api/t04d12b46/", "/api/v2/telemetry/", "/collect/", "/ingest/"],
+    "ports": [443],           // опция: ротация портов
+    "bps": 0,                 // опция: rate-limit, 0 = выкл
+    "target": "https://www.iana.org",  // опция: зеркало (сервер)
+    "decoy": false,           // опция: фоновый трафик
+    "decoyEverySecs": 60,
+    "decoyTarget": "https://www.cloudflare.com/cdn-cgi/trace",
+    "padProfile": "browser",  // "browser" | "uniform"
+    "retries": 3
+  },
+  "security": "tls",          // или "reality"
+  "tlsSettings": {"serverName": "...", "fingerprint": "chrome"}
+}
+```
+Клиент и сервер должны иметь одинаковые `key`, `paths` (список путей). Порты — только
+на клиенте (сервер слушает каждый порт отдельным inbound).
+
+## 3. Wire-протокол (поверх TLS+HTTP/2)
+
+### 3.1 Установка сессии
+1. Клиент: TLS 1.3 (uTLS, fingerprint chrome, ALPN h2) к серверу:443.
+2. HTTP/2: клиент открывает **один POST** на один из `paths`.
+3. Тело запроса (клиент→сервер) — поток кадров. **Первый кадр = AUTH**:
+   `[len][0xFE][key]`.
+4. Сервер читает AUTH:
+   - ключ верный → отвечает `200` (заголовки + flush), дальше тело ответа — поток кадров сервер→клиент;
+   - ключ неверный/нет → `404` + закрытие.
+5. После 200 обе стороны обмениваются кадрами DATA/PAD двунаправленно.
+
+### 3.2 Формат кадра
+```
+[4 байта, big-endian длина = 1 + len(payload)] [1 байт type] [payload]
+```
+Типы:
+| type | значение | смысл |
+|---|---|---|
+| DATA | 0x01 | данные туннеля (VLESS-поток) |
+| PAD  | 0x02 | padding (читатель пропускает) |
+| AUTH | 0xFE | первый кадр тела запроса, payload = ключ |
+| CLOSE| 0xFF | закрытие |
+Лимит кадра: 64 КБ. Поток байтов в DATA-кадрах сохраняет порядок (VLESS видит обычный
+поток); PAD-кадры прозрачны для читателя.
+
+### 3.3 Сервер: зеркало для зондов
+Не-туннельные запросы (GET/HEAD к любым путям) сервер **реверсивно проксирует на
+`target`** (реальный сайт): переписывает `Location`, HTML `href/src/content`,
+CSS `url(...)` на свой домен. POST на туннельные пути без валидного AUTH → 404.
+Пустой `target` → встроенная страница-заглушка.
+
+## 4. Клиент: ротация и ретрай
+- Клиент на каждое соединение выбирает **случайный путь** из `paths`.
+- При неудаче — ретрай со свежим путём/портом (`retries`).
+- Padding: после каждого DATA-кадра с вероятностью `padProb` идёт PAD-кадр размера
+  до `padMax` (профиль `browser` — перекос к мелким).
+- Pacing: `paceMs` + `paceJitterMs` (мин. интервал между кадрами).
+- Мультиплекс: несколько сессий идут по одному TLS+HTTP/2 каналу (несколько POST-стримов).
+
+## 5. Требования к сборке
+- Go 1.26, golang.org/x/net/http2, golang.org/x/time/rate, refraction-networking/utls.
+- `config.proto` → `config.pb.go` генерится: `protoc -I. --go_out=. --go_opt=paths=source_relative transport/internet/stealth/config.proto`.
+- Бинарь: `go build ./main` (клиент и сервер — один бинарь).
+
+## 6. Файлы, которые нужно добавить/изменить в Xray-core
+**Новые** (пакет транспорта):
+- `transport/internet/stealth/config.proto` (+ сгенерированный `config.pb.go`)
+- `transport/internet/stealth/config.go` — регистрация конфига
+- `transport/internet/stealth/framing.go` — кадры
+- `transport/internet/stealth/conn.go` — h2Conn (net.Conn поверх POST-стрима)
+- `transport/internet/stealth/dialer.go` — клиент (TLS/REALITY, ротация, ретрай)
+- `transport/internet/stealth/hub.go` — сервер (http.Server, зеркало, AUTH)
+
+**Изменённые** (в `infra/conf`):
+- `infra/conf/transport_internet.go` — `case "stealth"`, поле `StealthSettings`,
+  ветка сборки, разрешение stealth в REALITY-проверке
+- `infra/conf/transport_method.go` — struct `StealthConfig` + `Build()`
+
+Полный исходник и изменения — в репозитории (публичном):
+https://git.my-handbook.ru/ded_ikar/sdm-xray
@@ -1,60 +1,128 @@
 # sdm-xray

 Собственный анти-DPI туннель: форк [Xray-core](https://github.com/XTLS/Xray-core) с кастомным
-транспортом **`stealth`**. Клиент → своя VPS, трафик максимально похож на браузерный HTTPS.
+транспортом **`stealth`**. Клиент → своя VPS, трафик выглядит как обычный HTTPS-запрос
+к сайту.

-## Принцип
-«Адаптивность, а не протокол»: транспорт меняет поведение (identity) быстрее, чем DPI успевает
-его описывать. Всё в одном процессе, одним JSON-конфигом, без панелей и внешних сервисов.
+## Как это работает

-Что умеет:
- Свой транспорт поверх HTTP/2 (TLS 1.3 + uTLS chrome), мультиплексирование на одном канале
- Ротация туннельных путей на каждое соединение + ретрай со свежей identity при сбое
- Анти-пробиг: сервер зеркалит реальный сайт (по умолчанию wikipedia) — зонд видит
-  настоящий многостраничный сайт на вашем домене (редиректы, HTML/CSS-ссылки переписаны)
- Padding/pacing под браузер, опции: ротация портов, rate-limit, decoy, REALITY
- По умолчанию только порт 443 (как браузер)
+Каждая туннельная сессия — один HTTP/2 POST-стрим поверх TLS 1.3. Снаружи выглядит как
+обычный POST-запрос к API реального сайта. Для зондов/DPI — зеркало реального сайта
+(по умолчанию iana.org): многостраничный сайт, ссылки переписаны на ваш домен.

-## Установка сервера (свежая Ubuntu VPS)
-Домен должен указывать A-записью на IP VPS, порт 80 открыт.
+Ключевые возможности:
+- **Ротация путей** — каждый запрос идёт по случайному пути из списка
+- **Ретрай** — при неудаче клиент автоматически пробует другой путь/порт
+- **Padding/pacing** — маскирует размеры и тайминги под браузер
+- **Зеркало** — зонд видит настоящий сайт, а не заглушку
+- **REALITY** — опционально, для полного сокрытия (чужой домен)
+
+## Установка на VPS
+
+### С доменом (рекомендуется)
+Домен должен указывать A-записью на IP VPS, порт 80 открыт:
 ```bash
 bash <(curl -fsSL https://git.my-handbook.ru/ded_ikar/sdm-xray/raw/main/install.sh) ваш-домен.ru
 ```
-Скрипт: ставит бинарь + systemd, генерит UUID/ключ, получает Let's Encrypt, поднимает
-туннель на 443 с зеркалом. В конце печатает готовый клиентский конфиг и пароль панели.
+Скрипт установит xray + панель, получит сертификат Let's Encrypt, напечатает
+клиентский конфиг и пароль панели.

-## Панель управления (`sdm-panel`)
-Отдельный бинарь на VPS, слушает `127.0.0.1:8080` (наружу не торчит). Доступ через
-SSH-туннель (трафик шифрован SSH):
+### Без домена (self-signed)
+Домен не нужен — сервер генерирует самоподписанный сертификат (10 лет), клиенты
+доверяют по отпечатку:
+```bash
+bash <(curl -fsSL https://git.my-handbook.ru/ded_ikar/sdm-xray/raw/main/install.sh) --selfsigned
+```
+Адрес сервера в клиенте — IP VPS. Сертификат не требует домена/ACME.
+
+### Удаление
+```bash
+bash <(curl -fsSL https://git.my-handbook.ru/ded_ikar/sdm-xray/raw/main/uninstall.sh)
+```
+Полностью удаляет systemd-юниты, бинари, конфиги, nginx-сайт, LE-сертификат.
+apt-пакеты не трогает.
+
+## Панель управления
+
+Go-бинарник на VPS, слушает `127.0.0.1:8080`. Доступ через SSH-туннель:
 ```bash
 ssh -L 8080:127.0.0.1:8080 root@<vps-ip>
 # затем http://localhost:8080  (login: admin / пароль из вывода install.sh)
 ```
-Возможности: статус, просмотр/правка config.json, ротация UUID+ключ, логи, рестарт xray.
-Пароль хранится в `/etc/xray/panel.json` (root-only). Конфиг панели: bind/password.
+
+Возможности:
+- Статус сервера (активность, версия, сертификат)
+- Управление клиентами (добавление/удаление/переименование, ротация UUID)
+- Туннель (зеркало, маскировка, экспертные настройки, TLS/REALITY)
+- Статистика (трафик по клиентам, онлайн-IP)
+- Логи, рестарт, бэкап/восстановление конфига

 ## Клиенты
- **Windows**: скачать `xray-stealth-client-windows-amd64.exe` из Releases, сохранить
-  `client-stealth.json` (из вывода install.sh), запустить `xray-stealth-client-windows-amd64.exe run -c client-stealth.json`,
-  прокси SOCKS на `127.0.0.1:10808`.
- **Роутер**: `xray-stealth-client-linux-arm64` — положить в `/tmp`, тот же конфиг,
-  SOCKS 127.0.0.1:10808 или TUN + policy routing.

-## Параметры `stealthSettings`
-`key`, `padMax`, `padProb`, `paceMs`, `paceJitterMs`, `path`/`paths`, `ports` (опция),
-`bps` (опция), `target` (зеркало), `decoy`/`decoyEverySecs`/`decoyTarget` (опция),
-`padProfile` ("browser"|"uniform"), `retries`.
+### Windows
+Скачать `xray-stealth-client-windows-amd64.exe` из [Releases](https://git.my-handbook.ru/ded_ikar/sdm-xray/releases),
+сохранить `client-stealth.json` (из вывода install.sh), запустить:
+```
+xray-stealth-client-windows-amd64.exe run -c client-stealth.json
+```
+SOCKS-прокси: `127.0.0.1:10808`, HTTP-прокси: `127.0.0.1:10809`.
+
+### Роутер (ARM64)
+`xray-stealth-client-linux-arm64` — положить в `/tmp`, тот же конфиг.
+SOCKS 127.0.0.1:10808 или TUN + policy routing.
+
+## Параметры транспорта
+
+| Параметр | По умолчанию | Описание |
+|----------|-------------|----------|
+| `key` | — | Общий секрет (клиент и сервер) |
+| `paths` | `["/api/t04d12b46/"]` | Туннельные пути (ротация) |
+| `ports` | `[443]` | Порты (ротация, опция) |
+| `padMax` | `2048` | Максимальный размер PAD-кадра |
+| `padProb` | `50` | Вероятность PAD после DATA (%) |
+| `paceMs` | `0` | Минимальный интервал между кадрами (мс) |
+| `paceJitterMs` | `0` | Случайный довесок к paceMs (мс) |
+| `bps` | `0` | Rate-limit (0 = выкл) |
+| `target` | — | Зеркало (URL сайта для зондов) |
+| `retries` | `3` | Количество ретраев |
+| `padProfile` | `"browser"` | `"browser"` или `"uniform"` |
+| `decoy` | `false` | Фоновый трафик к CDN |

 ## Сборка из исходников
-Нужны Go 1.26, protoc, protoc-gen-go.
+
+Нужны Go 1.26, protoc, protoc-gen-go:
 ```bash
 GOOS=linux GOARCH=amd64  go build -o xray-server-amd64 ./main   # сервер
 GOOS=linux GOARCH=arm64  go build -o xray-client-arm64 ./main   # роутер
 GOOS=windows GOARCH=amd64 go build -o xray-client-win.exe ./main # Windows
 ```
-Транспорт: `stealth/transport/internet/stealth/`. Изменённые файлы upstream:
-`stealth/infra/conf/transport_internet.go`, `stealth/infra/conf/transport_method.go`.

-## Лицензия и атрибуция
-MPL-2.0. Форк Xray-core (XTLS) — https://github.com/XTLS/Xray-core. Новые файлы транспорта —
-наш код; изменённые файлы upstream распространяются под MPL-2.0 (исходники приложены в `stealth/`).
+Панель:
+```bash
+cd panel && go build -o sdm-panel-linux-amd64 .
+```
+
+## Структура репозитория
+
+```
+├── stealth/transport/internet/stealth/  # Код транспорта (новые файлы)
+│   ├── config.proto + config.pb.go     # Конфигурация (protobuf)
+│   ├── framing.go                       # Формат кадров
+│   ├── conn.go                          # net.Conn поверх HTTP/2 стрима
+│   ├── dialer.go                        # Клиент (TLS, ротация, ретрай)
+│   └── hub.go                           # Сервер (зеркало, AUTH)
+├── panel/                               # Панель управления (Go)
+│   ├── main.go                          # HTTP-сервер + API
+│   ├── ui.go                            # Встроенный HTML
+│   └── stats/                           # Генерированные gRPC-стабы
+├── install.sh                           # Установка на VPS
+├── uninstall.sh                         # Удаление
+├── PROTOCOL.md                          # Спецификация wire-протокола
+├── CHANGELOG.md                         # История изменений
+└── LICENSE                              # MPL-2.0
+```
+
+## Лицензия
+
+MPL-2.0. Новые файлы транспорта — наш код; изменённые файлы upstream (Xray-core)
+распространяются под MPL-2.0.
@@ -2,18 +2,22 @@
 # sdm-xray — установка сервера stealth-туннеля на свежую Ubuntu VPS.
 # Использование:
 #   bash <(curl -fsSL https://git.my-handbook.ru/ded_ikar/sdm-xray/raw/main/install.sh) <domain>
-# где <domain> — ваш домен, A-запись которого указывает на IP этой VPS.
+#     — с доменом: Let's Encrypt-сертификат (A-запись домена должна указывать на IP VPS)
+#   bash <(curl -fsSL https://git.my-handbook.ru/ded_ikar/sdm-xray/raw/main/install.sh) --selfsigned
+#     — БЕЗ домена: self-signed сертификат, клиент доверяет по pinnedPeerCertSha256
+#       (pin печатается в клиентском конфиге; панель сама подставляет его в ссылки/конфиги)
 set -euo pipefail

-DOMAIN="${1:-}"
-if [ -z "$DOMAIN" ]; then
-  echo "Usage: install.sh <domain>"
-  echo "  domain — домен, указывающий на IP этой VPS (нужен для Let's Encrypt)"
-  exit 1
+SELFSIGNED=0
+if [ -z "${1:-}" ] || [ "$1" = "--selfsigned" ]; then
+  SELFSIGNED=1
+  DOMAIN=""
+else
+  DOMAIN="$1"
 fi

 GITEA="https://git.my-handbook.ru/ded_ikar/sdm-xray"
-VERSION="v0.2.0"
+VERSION="v0.2.2"
 BIN="xray-stealth-server-linux-amd64"
 PANEL_BIN="sdm-panel-linux-amd64"
 INSTALL_DIR="/usr/local/xray"
@@ -21,8 +25,13 @@ DATA_DIR="/etc/xray"
 WEBROOT="/var/www/html"
 VPS_IP="$(curl -fsSL --max-time 10 https://api.ipify.org 2>/dev/null || echo UNKNOWN)"

-echo "=== sdm-xray installer v${VERSION} ==="
-echo "domain: $DOMAIN   vps-ip: $VPS_IP"
+if [ "$SELFSIGNED" -eq 1 ]; then
+  echo "=== sdm-xray installer ${VERSION} (SELF-SIGNED, без домена) ==="
+  echo "vps-ip: $VPS_IP   (используй его как serverName/адрес в клиенте)"
+else
+  echo "=== sdm-xray installer ${VERSION} ==="
+  echo "domain: $DOMAIN   vps-ip: $VPS_IP"
+fi

 export DEBIAN_FRONTEND=noninteractive

@@ -36,7 +45,7 @@ curl -fsSL -o "$INSTALL_DIR/xray" "$GITEA/releases/download/$VERSION/$BIN"
 curl -fsSL -o "$INSTALL_DIR/geoip.dat"  "$GITEA/releases/download/$VERSION/geoip.dat"
 curl -fsSL -o "$INSTALL_DIR/geosite.dat" "$GITEA/releases/download/$VERSION/geosite.dat"
 chmod 755 "$INSTALL_DIR/xray"
-"$INSTALL_DIR/xray" version | head -1
+"$INSTALL_DIR/xray" version | sed -n '1p'

 echo "=== generate secrets ==="
 UUID="$(cat /proc/sys/kernel/random/uuid)"
@@ -44,9 +53,21 @@ KEY="$(openssl rand -hex 8)"
 echo "$UUID" > "$DATA_DIR/uuid"
 echo "$KEY"  > "$DATA_DIR/key"

-echo "=== nginx on 80 (acme) ==="
-mkdir -p "$WEBROOT/.well-known/acme-challenge"
-cat > /etc/nginx/sites-available/sdm <<'NGX'
+# --- TLS: либо LE-серт (домен), либо self-signed (без домена) ---
+if [ "$SELFSIGNED" -eq 1 ]; then
+  echo "=== self-signed certificate (CN=$VPS_IP, 10 лет) ==="
+  openssl req -x509 -newkey rsa:2048 -nodes -days 3650 \
+    -subj "/CN=$VPS_IP" \
+    -keyout "$DATA_DIR/server.key" -out "$DATA_DIR/server.crt" >/dev/null 2>&1
+  CERT_FILE="$DATA_DIR/server.crt"
+  KEY_FILE="$DATA_DIR/server.key"
+  PIN="$(openssl x509 -in "$CERT_FILE" -outform der | openssl dgst -sha256 -hex | awk '{print $NF}')"
+  echo "pinnedPeerCertSha256: $PIN"
+  echo "  (панель подставит его в клиентские конфиги/ссылки автоматически)"
+else
+  echo "=== nginx on 80 (acme) ==="
+  mkdir -p "$WEBROOT/.well-known/acme-challenge"
+  cat > /etc/nginx/sites-available/sdm <<'NGX'
 server {
    listen 80;
    listen [::]:80;
@@ -61,19 +82,22 @@ server {
    }
 }
 NGX
-sed -i "s/DOMAIN/$DOMAIN/" /etc/nginx/sites-available/sdm
-ln -sf /etc/nginx/sites-available/sdm /etc/nginx/sites-enabled/sdm
-rm -f /etc/nginx/sites-enabled/default
-nginx -t >/dev/null 2>&1 && systemctl reload nginx
+  sed -i "s/DOMAIN/$DOMAIN/" /etc/nginx/sites-available/sdm
+  ln -sf /etc/nginx/sites-available/sdm /etc/nginx/sites-enabled/sdm
+  rm -f /etc/nginx/sites-enabled/default
+  nginx -t >/dev/null 2>&1 && systemctl reload nginx

-echo "=== Let's Encrypt cert ==="
-certbot certonly --webroot -w "$WEBROOT" -d "$DOMAIN" \
-  --register-unsafely-without-email --agree-tos --no-eff-email -n \
-  --cert-name "$DOMAIN" >/dev/null 2>&1 || true
-CERT_DIR="/etc/letsencrypt/live/$DOMAIN"
-if [ ! -f "$CERT_DIR/fullchain.pem" ]; then
-  echo "ERROR: сертификат не получен. Проверьте, что $DOMAIN -> $VPS_IP и порт 80 открыт."
-  exit 1
+  echo "=== Let's Encrypt cert ==="
+  certbot certonly --webroot -w "$WEBROOT" -d "$DOMAIN" \
+    --register-unsafely-without-email --agree-tos --no-eff-email -n \
+    --cert-name "$DOMAIN" >/dev/null 2>&1 || true
+  CERT_DIR="/etc/letsencrypt/live/$DOMAIN"
+  if [ ! -f "$CERT_DIR/fullchain.pem" ]; then
+    echo "ERROR: сертификат не получен. Проверьте, что $DOMAIN -> $VPS_IP и порт 80 открыт."
+    exit 1
+  fi
+  CERT_FILE="$CERT_DIR/fullchain.pem"
+  KEY_FILE="$CERT_DIR/privkey.pem"
 fi

 echo "=== xray config ==="
@@ -97,13 +121,13 @@ cat > "$DATA_DIR/config.json" <<EOF
                "stealthSettings": {
                    "key": "$KEY", "padMax": 2048, "padProb": 50, "paceMs": 0, "paceJitterMs": 0,
                    "paths": ["/api/t04d12b46/", "/api/v2/telemetry/", "/collect/", "/ingest/"],
-                    "ports": [443], "bps": 0, "target": "https://en.wikipedia.org",
+                    "ports": [443], "bps": 0, "target": "https://www.iana.org",
                    "padProfile": "browser", "retries": 3
                },
                "security": "tls",
                "tlsSettings": {
                    "certificates": [
-                        {"certificateFile": "$CERT_DIR/fullchain.pem", "keyFile": "$CERT_DIR/privkey.pem"}
+                        {"certificateFile": "$CERT_FILE", "keyFile": "$KEY_FILE"}
                    ]
                }
            },
@@ -151,10 +175,16 @@ echo "=== control panel (sdm-panel) ==="
 curl -fsSL -o "$INSTALL_DIR/sdm-panel" "$GITEA/releases/download/$VERSION/$PANEL_BIN"
 chmod 755 "$INSTALL_DIR/sdm-panel"
 PANEL_PASS="$(openssl rand -hex 8)"
+if [ "$SELFSIGNED" -eq 1 ]; then
+  PANEL_SERVER="$VPS_IP"
+else
+  PANEL_SERVER="$DOMAIN"
+fi
 cat > "$DATA_DIR/panel.json" <<EOF
 {
  "bind": "127.0.0.1:8080",
-  "password": "$PANEL_PASS"
+  "password": "$PANEL_PASS",
+  "serverName": "$PANEL_SERVER"
 }
 EOF
 chmod 600 "$DATA_DIR/panel.json"
@@ -182,6 +212,30 @@ echo "  затем открой в браузере http://localhost:8080  (logi

 echo
 echo "=== client config (client-stealth.json) ==="
+if [ "$SELFSIGNED" -eq 1 ]; then
+cat <<CFG
+{
+    "log": {"loglevel": "warning"},
+    "inbounds": [
+        {"listen": "127.0.0.1", "port": 10808, "protocol": "socks"},
+        {"listen": "127.0.0.1", "port": 10809, "protocol": "http"}
+    ],
+    "outbounds": [
+        {
+            "protocol": "vless",
+            "settings": {"vnext": [{"address": "$VPS_IP", "port": 443, "users": [{"id": "$UUID", "encryption": "none"}]}]},
+            "streamSettings": {
+                "network": "stealth",
+                "stealthSettings": {"key": "$KEY", "padMax": 2048, "padProb": 50, "paceMs": 0, "paceJitterMs": 0, "paths": ["/api/t04d12b46/", "/api/v2/telemetry/", "/collect/", "/ingest/"], "ports": [443], "bps": 0},
+                "security": "tls",
+                "tlsSettings": {"serverName": "$VPS_IP", "fingerprint": "chrome", "pinnedPeerCertSha256": "$PIN"}
+            }
+        },
+        {"protocol": "freedom", "tag": "direct"}
+    ]
+}
+CFG
+else
 cat <<CFG
 {
    "log": {"loglevel": "warning"},
@@ -204,6 +258,7 @@ cat <<CFG
    ]
 }
 CFG
+fi
 echo
 echo "=== client binaries ==="
 echo "  Windows: $GITEA/releases/download/$VERSION/xray-stealth-client-windows-amd64.exe"
@@ -1,8 +0,0 @@
-# sdm-panel
-
-Простая веб-панель для управления stealth-туннелем на VPS.
- Читает/пишет `/etc/xray/config.json`, контролирует systemd `xray`.
- Слушает `127.0.0.1:8080`, вход: Basic auth (login `admin`, пароль в `/etc/xray/panel.json`).
- Доступ — только через SSH-туннель: `ssh -L 8080:127.0.0.1:8080 root@<vps>`.
-
-Сборка: `GOOS=linux GOARCH=amd64 go build -o sdm-panel-linux-amd64 .`
@@ -1,3 +1,15 @@
 module sdm-panel

 go 1.26
+
+require (
+	google.golang.org/grpc v1.83.0
+	google.golang.org/protobuf v1.36.12
+)
+
+require (
+	golang.org/x/net v0.55.0 // indirect
+	golang.org/x/sys v0.45.0 // indirect
+	golang.org/x/text v0.37.0 // indirect
+	google.golang.org/genproto/googleapis/rpc v0.0.0-20260526163538-3dc84a4a5aaa // indirect
+)
@@ -0,0 +1,38 @@
+github.com/cespare/xxhash/v2 v2.3.0 h1:UL815xU9SqsFlibzuggzjXhog7bL6oX9BbNZnL2UFvs=
+github.com/cespare/xxhash/v2 v2.3.0/go.mod h1:VGX0DQ3Q6kWi7AoAeZDth3/j3BFtOZR5XLFGgcrjCOs=
+github.com/go-logr/logr v1.4.3 h1:CjnDlHq8ikf6E492q6eKboGOC0T8CDaOvkHCIg8idEI=
+github.com/go-logr/logr v1.4.3/go.mod h1:9T104GzyrTigFIr8wt5mBrctHMim0Nb2HLGrmQ40KvY=
+github.com/go-logr/stdr v1.2.2 h1:hSWxHoqTgW2S2qGc0LTAI563KZ5YKYRhT3MFKZMbjag=
+github.com/go-logr/stdr v1.2.2/go.mod h1:mMo/vtBO5dYbehREoey6XUKy/eSumjCCveDpRre4VKE=
+github.com/golang/protobuf v1.5.4 h1:i7eJL8qZTpSEXOPTxNKhASYpMn+8e5Q6AdndVa1dWek=
+github.com/golang/protobuf v1.5.4/go.mod h1:lnTiLA8Wa4RWRcIUkrtSVa5nRhsEGBg48fD6rSs7xps=
+github.com/google/go-cmp v0.7.0 h1:wk8382ETsv4JYUZwIsn6YpYiWiBsYLSJiTsyBybVuN8=
+github.com/google/go-cmp v0.7.0/go.mod h1:pXiqmnSA92OHEEa9HXL2W4E7lf9JzCmGVUdgjX3N/iU=
+github.com/google/uuid v1.6.0 h1:NIvaJDMOsjHA8n1jAhLSgzrAzy1Hgr+hNrb57e+94F0=
+github.com/google/uuid v1.6.0/go.mod h1:TIyPZe4MgqvfeYDBFedMoGGpEw/LqOeaOT+nhxU+yHo=
+go.opentelemetry.io/auto/sdk v1.2.1 h1:jXsnJ4Lmnqd11kwkBV2LgLoFMZKizbCi5fNZ/ipaZ64=
+go.opentelemetry.io/auto/sdk v1.2.1/go.mod h1:KRTj+aOaElaLi+wW1kO/DZRXwkF4C5xPbEe3ZiIhN7Y=
+go.opentelemetry.io/otel v1.44.0 h1:JjwHmHpA4iZ3wBxluu2fbbE7j4kqlE8jXyAyPXH7HqU=
+go.opentelemetry.io/otel v1.44.0/go.mod h1:BMgjTHL9WPRlRjL2oZCBTL4whCGtXch2H4BhOPIAyYc=
+go.opentelemetry.io/otel/metric v1.44.0 h1:1w0gILTcHdr3YI+ixLyjemwrVnsMURbTZFrSYCdDdmc=
+go.opentelemetry.io/otel/metric v1.44.0/go.mod h1:8O7hanEPBNgEMmybD3s2VBKcgWOCsA6tzHBPODAiquo=
+go.opentelemetry.io/otel/sdk v1.44.0 h1:nHYwb9lK+fJPU/dnT6s7W7Z8itMWyqrnVfbheVYrZ58=
+go.opentelemetry.io/otel/sdk v1.44.0/go.mod h1:Osuydd3Se74nqjAKxid74N5eC+jfEqfTegHRnq58oK0=
+go.opentelemetry.io/otel/sdk/metric v1.44.0 h1:3LlKgI+VjbVsjNRFZJZAJ30WjXC5VkNRks6si09iEfI=
+go.opentelemetry.io/otel/sdk/metric v1.44.0/go.mod h1:5B5pMARnXxKhltooO4xUuCBorl65a4EpnTalObqOigA=
+go.opentelemetry.io/otel/trace v1.44.0 h1:jxF5CsGYCe74MCRx2X4g7WsY/VBKRqqpNvXlX/6gtIk=
+go.opentelemetry.io/otel/trace v1.44.0/go.mod h1:oLl1jrMQAVo6v3GAggN+1VH9VIz9iUSvW53sW1Q8PIE=
+golang.org/x/net v0.55.0 h1:bcvxaJn3e1U6InsFWt1JUq1aSjnRxLzT2rtD2KfkDF8=
+golang.org/x/net v0.55.0/go.mod h1:L5U2KuzuOe1lY7Z+aWVIKK6qEeJXnXV9yzGA+WCHJww=
+golang.org/x/sys v0.45.0 h1:dO4czNzziLiiXplLQgBCEpCvXQ3dnkn0SdaZSYdQ+FY=
+golang.org/x/sys v0.45.0/go.mod h1:4GL1E5IUh+htKOUEOaiffhrAeqysfVGipDYzABqnCmw=
+golang.org/x/text v0.37.0 h1:Cqjiwd9eSg8e0QAkyCaQTNHFIIzWtidPahFWR83rTrc=
+golang.org/x/text v0.37.0/go.mod h1:a5sjxXGs9hsn/AJVwuElvCAo9v8QYLzvavO5z2PiM38=
+gonum.org/v1/gonum v0.17.0 h1:VbpOemQlsSMrYmn7T2OUvQ4dqxQXU+ouZFQsZOx50z4=
+gonum.org/v1/gonum v0.17.0/go.mod h1:El3tOrEuMpv2UdMrbNlKEh9vd86bmQ6vqIcDwxEOc1E=
+google.golang.org/genproto/googleapis/rpc v0.0.0-20260526163538-3dc84a4a5aaa h1:mZHHdPZl0dbGHCflZgAq/Q468DWVFcU2whhB2KAo8fk=
+google.golang.org/genproto/googleapis/rpc v0.0.0-20260526163538-3dc84a4a5aaa/go.mod h1:4Hqkh8ycfw05ld/3BWL7rJOSfebL2Q+DVDeRgYgxUU8=
+google.golang.org/grpc v1.83.0 h1:JeNZEKJFbQxArAMl+hiytHauacDNqJUllNfmIMmpqnQ=
+google.golang.org/grpc v1.83.0/go.mod h1:kDyl6SKsiHKt0uylY5gtn5cEjkrIOhQOGDgIc4JGwzQ=
+google.golang.org/protobuf v1.36.12 h1:pJOKDDOyeXErUroCihFAd5LQuwXBSpVnKGrj5o/fwxc=
+google.golang.org/protobuf v1.36.12/go.mod h1:HTf+CrKn2C3g5S8VImy6tdcUvCska2kB7j23XfzDpco=
@@ -8,51 +8,122 @@ import (
 	"fmt"
 	"io"
 	"net/http"
+	"net/url"
 	"os"
 	"os/exec"
+	"strconv"
 	"strings"
+	"sync"
+	"time"
 )

 const (
-	configPath = "/etc/xray/config.json"
-	panelPath  = "/etc/xray/panel.json"
-	service    = "xray"
+	defaultConfigPath = "/etc/xray/config.json"
+	panelPath         = "/etc/xray/panel.json"
+	service           = "xray"
 )

 type PanelConfig struct {
-	Bind     string `json:"bind"`
-	Password string `json:"password"`
+	Bind       string `json:"bind"`
+	Password   string `json:"password"`
+	Config     string `json:"config"`
+	ServerName string `json:"serverName"`
 }

+var panelCfg PanelConfig
+
 func loadPanel() PanelConfig {
-	p := PanelConfig{Bind: "127.0.0.1:8080"}
+	p := PanelConfig{Bind: "127.0.0.1:8080", Config: defaultConfigPath}
 	if b, err := os.ReadFile(panelPath); err == nil {
 		_ = json.Unmarshal(b, &p)
 	}
 	if p.Bind == "" {
 		p.Bind = "127.0.0.1:8080"
 	}
+	if p.Config == "" {
+		p.Config = defaultConfigPath
+	}
 	return p
 }

-func auth(password string, next http.HandlerFunc) http.HandlerFunc {
+func savePanel(p PanelConfig) error {
+	b, _ := json.MarshalIndent(p, "", "  ")
+	tmp := panelPath + ".tmp"
+	if err := os.WriteFile(tmp, b, 0o600); err != nil {
+		return err
+	}
+	if err := os.Rename(tmp, panelPath); err != nil {
+		return err
+	}
+	_ = os.Chmod(panelPath, 0o600)
+	return nil
+}
+
+// --- sessions ---
+
+var (
+	sessMu sync.Mutex
+	sess   = map[string]time.Time{}
+)
+
+func issueSession() string {
+	b := make([]byte, 16)
+	_, _ = rand.Read(b)
+	tok := hex.EncodeToString(b)
+	sessMu.Lock()
+	sess[tok] = time.Now().Add(24 * time.Hour)
+	sessMu.Unlock()
+	return tok
+}
+
+func validSession(r *http.Request) bool {
+	tok := strings.TrimPrefix(r.Header.Get("Authorization"), "Bearer ")
+	if tok == "" {
+		tok = r.URL.Query().Get("token")
+	}
+	if tok == "" {
+		return false
+	}
+	sessMu.Lock()
+	defer sessMu.Unlock()
+	exp, ok := sess[tok]
+	if !ok {
+		return false
+	}
+	if time.Now().After(exp) {
+		delete(sess, tok)
+		return false
+	}
+	return true
+}
+
+func requireSession(next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
-		u, p, ok := r.BasicAuth()
-		if !ok || u != "admin" || subtle.ConstantTimeCompare([]byte(p), []byte(password)) != 1 {
-			w.Header().Set("WWW-Authenticate", `Basic realm="sdm-panel"`)
-			http.Error(w, "unauthorized", http.StatusUnauthorized)
+		if !validSession(r) {
+			writeJSON(w, 401, map[string]any{"error": "unauthorized"})
 			return
 		}
 		next(w, r)
 	}
 }

+func checkPassword(pw string) bool {
+	return subtle.ConstantTimeCompare([]byte(pw), []byte(panelCfg.Password)) == 1
+}
+
 func writeJSON(w http.ResponseWriter, code int, v any) {
-	w.Header().Set("Content-Type", "application/json")
+	w.Header().Set("Content-Type", "application/json; charset=utf-8")
 	w.WriteHeader(code)
 	_ = json.NewEncoder(w).Encode(v)
 }

+func errStr(err error) string {
+	if err == nil {
+		return ""
+	}
+	return err.Error()
+}
+
 func sh(cmd string, args ...string) (string, error) {
 	out, err := exec.Command(cmd, args...).CombinedOutput()
 	return strings.TrimSpace(string(out)), err
@@ -62,8 +133,10 @@ func restartXray() (string, error) {
 	return sh("systemctl", "restart", service)
 }

+// --- config helpers ---
+
 func readConfig() (map[string]any, error) {
-	b, err := os.ReadFile(configPath)
+	b, err := os.ReadFile(panelCfg.Config)
 	if err != nil {
 		return nil, err
 	}
@@ -79,17 +152,40 @@ func writeConfig(c map[string]any) error {
 	if err != nil {
 		return err
 	}
-	if !json.Valid(b) {
-		return fmt.Errorf("invalid json")
-	}
-	tmp := configPath + ".tmp"
+	tmp := panelCfg.Config + ".tmp"
 	if err := os.WriteFile(tmp, b, 0o600); err != nil {
 		return err
 	}
-	return os.Rename(tmp, configPath)
+	return os.Rename(tmp, panelCfg.Config)
 }

-func newUUID() string {
+func stealthInbounds(c map[string]any) []map[string]any {
+	var out []map[string]any
+	ibs, _ := c["inbounds"].([]any)
+	for _, ib := range ibs {
+		m, ok := ib.(map[string]any)
+		if !ok {
+			continue
+		}
+		ss, _ := m["streamSettings"].(map[string]any)
+		if net, _ := ss["network"].(string); net == "stealth" {
+			out = append(out, m)
+		}
+	}
+	return out
+}
+
+func getStealthSettings(c map[string]any) (map[string]any, bool) {
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		return nil, false
+	}
+	ss, _ := ibs[0]["streamSettings"].(map[string]any)
+	st, _ := ss["stealthSettings"].(map[string]any)
+	return st, st != nil
+}
+
+func uuid() string {
 	var b [16]byte
 	_, _ = rand.Read(b[:])
 	b[6] = (b[6] & 0x0f) | 0x40
@@ -97,109 +193,450 @@ func newUUID() string {
 	return fmt.Sprintf("%x-%x-%x-%x-%x", b[0:4], b[4:6], b[6:8], b[8:10], b[10:16])
 }

-func newKey() string {
-	b := make([]byte, 8)
+func hexKey(n int) string {
+	b := make([]byte, n)
 	_, _ = rand.Read(b)
 	return hex.EncodeToString(b)
 }

+func setClients(ibs []map[string]any, clients []any) {
+	for _, ib := range ibs {
+		s, _ := ib["settings"].(map[string]any)
+		s["clients"] = clients
+	}
+}
+
 // --- handlers ---

+func hLogin(w http.ResponseWriter, r *http.Request) {
+	var req struct {
+		Password string `json:"password"`
+	}
+	_ = json.NewDecoder(r.Body).Decode(&req)
+	if !checkPassword(req.Password) {
+		writeJSON(w, 401, map[string]any{"error": "bad password"})
+		return
+	}
+	writeJSON(w, 200, map[string]any{"token": issueSession()})
+}
+
 func hStatus(w http.ResponseWriter, r *http.Request) {
 	active, _ := sh("systemctl", "is-active", service)
 	ts, _ := sh("systemctl", "show", service, "--property=ActiveEnterTimestamp", "--value")
 	uptime, _ := sh("cat", "/proc/uptime")
-	conf, err := readConfig()
-	var uuid, key string
+	c, err := readConfig()
+	info := map[string]any{
+		"service":    active,
+		"activeAt":   strings.TrimSpace(ts),
+		"uptime":     strings.TrimSpace(uptime),
+		"configPath": panelCfg.Config,
+		"bind":       panelCfg.Bind,
+	}
 	if err == nil {
-		if ib, ok := conf["inbounds"].([]any); ok && len(ib) > 0 {
-			if m, ok := ib[0].(map[string]any); ok {
-				if s, ok := m["settings"].(map[string]any); ok {
-					if cl, ok := s["clients"].([]any); ok && len(cl) > 0 {
-						if cm, ok := cl[0].(map[string]any); ok {
-							uuid, _ = cm["id"].(string)
-						}
-					}
-				}
-				if ss, ok := m["streamSettings"].(map[string]any); ok {
-					if st, ok := ss["stealthSettings"].(map[string]any); ok {
-						key, _ = st["key"].(string)
-					}
-				}
+		var ports []any
+		for _, ib := range c["inbounds"].([]any) {
+			if m, ok := ib.(map[string]any); ok {
+				ports = append(ports, m["port"])
 			}
 		}
+		info["ports"] = ports
+		if st, ok := getStealthSettings(c); ok {
+			info["paths"] = st["paths"]
+			if t, ok := st["target"].(string); ok {
+				info["target"] = t
+			}
+		}
+		if ibs := stealthInbounds(c); len(ibs) > 0 {
+			cl := ibs[0]["settings"].(map[string]any)["clients"].([]any)
+			info["clientCount"] = len(cl)
+		}
 	}
-	writeJSON(w, 200, map[string]any{
-		"service":    active,
-		"activeAt":   ts,
-		"uptime":     strings.TrimSpace(uptime),
-		"uuid":       uuid,
-		"key":        key,
-		"configPath": configPath,
-	})
+	writeJSON(w, 200, info)
 }

-func hConfig(w http.ResponseWriter, r *http.Request) {
-	b, err := os.ReadFile(configPath)
-	if err != nil {
-		writeJSON(w, 500, map[string]any{"error": err.Error()})
-		return
-	}
-	w.Header().Set("Content-Type", "application/json")
-	_, _ = w.Write(b)
-}
-
-func hSave(w http.ResponseWriter, r *http.Request) {
-	b, err := io.ReadAll(io.LimitReader(r.Body, 1<<20))
-	if err != nil {
-		writeJSON(w, 400, map[string]any{"error": err.Error()})
-		return
-	}
-	var c map[string]any
-	if err := json.Unmarshal(b, &c); err != nil {
-		writeJSON(w, 400, map[string]any{"error": "invalid json: " + err.Error()})
-		return
-	}
-	if err := writeConfig(c); err != nil {
-		writeJSON(w, 500, map[string]any{"error": err.Error()})
-		return
-	}
-	out, err := restartXray()
-	writeJSON(w, 200, map[string]any{"saved": true, "restart": strings.TrimSpace(out), "restartErr": errStr(err)})
-}
-
-func hRotateKey(w http.ResponseWriter, r *http.Request) {
+func hClients(w http.ResponseWriter, r *http.Request) {
 	c, err := readConfig()
 	if err != nil {
 		writeJSON(w, 500, map[string]any{"error": err.Error()})
 		return
 	}
-	uuid := newUUID()
-	key := newKey()
-	ib, _ := c["inbounds"].([]any)
-	if len(ib) == 0 {
-		writeJSON(w, 500, map[string]any{"error": "no inbounds"})
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
 		return
 	}
-	m := ib[0].(map[string]any)
-	s := m["settings"].(map[string]any)
-	cl := s["clients"].([]any)
-	cl[0].(map[string]any)["id"] = uuid
-	ss := m["streamSettings"].(map[string]any)
-	st := ss["stealthSettings"].(map[string]any)
-	st["key"] = key
+	s := ibs[0]["settings"].(map[string]any)
+	clients, _ := s["clients"].([]any)
+	var list []map[string]any
+	for _, cl := range clients {
+		m, _ := cl.(map[string]any)
+		list = append(list, map[string]any{
+			"id":   m["id"],
+			"name": m["email"],
+		})
+	}
+	writeJSON(w, 200, map[string]any{"clients": list})
+}
+
+func hAddClient(w http.ResponseWriter, r *http.Request) {
+	var req struct {
+		Name string `json:"name"`
+	}
+	_ = json.NewDecoder(r.Body).Decode(&req)
+	if req.Name == "" {
+		req.Name = "client"
+	}
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
+		return
+	}
+	id := uuid()
+	clients := ibs[0]["settings"].(map[string]any)["clients"].([]any)
+	clients = append(clients, map[string]any{"id": id, "flow": "", "email": req.Name, "level": 0})
+	setClients(ibs, clients)
+	if err := writeConfig(c); err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	writeJSON(w, 200, map[string]any{"id": id})
+}
+
+func hDelClient(w http.ResponseWriter, r *http.Request) {
+	id := r.PathValue("id")
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
+		return
+	}
+	s := ibs[0]["settings"].(map[string]any)
+	clients, _ := s["clients"].([]any)
+	var nc []any
+	for _, cl := range clients {
+		m, _ := cl.(map[string]any)
+		if m["id"] != id {
+			nc = append(nc, m)
+		}
+	}
+	setClients(ibs, nc)
+	if err := writeConfig(c); err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	writeJSON(w, 200, map[string]any{"ok": true})
+}
+
+func hRotateClient(w http.ResponseWriter, r *http.Request) {
+	id := r.PathValue("id")
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
+		return
+	}
+	s := ibs[0]["settings"].(map[string]any)
+	clients, _ := s["clients"].([]any)
+	newID := uuid()
+	done := false
+	for i, cl := range clients {
+		m, _ := cl.(map[string]any)
+		if m["id"] == id {
+			m["id"] = newID
+			clients[i] = m
+			done = true
+		}
+	}
+	if !done {
+		writeJSON(w, 404, map[string]any{"error": "client not found"})
+		return
+	}
+	setClients(ibs, clients)
+	if err := writeConfig(c); err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	writeJSON(w, 200, map[string]any{"id": newID})
+}
+
+func hClientConfig(w http.ResponseWriter, r *http.Request) {
+	id := r.PathValue("id")
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
+		return
+	}
+	// verify client exists
+	found := false
+	for _, cl := range ibs[0]["settings"].(map[string]any)["clients"].([]any) {
+		if m, ok := cl.(map[string]any); ok && m["id"] == id {
+			found = true
+			break
+		}
+	}
+	if !found {
+		writeJSON(w, 404, map[string]any{"error": "client not found"})
+		return
+	}
+	st, _ := getStealthSettings(c)
+	if st == nil {
+		st = map[string]any{}
+	}
+	serverName := panelCfg.ServerName
+	if serverName == "" {
+		serverName = "YOUR-DOMAIN"
+	}
+	cfg := map[string]any{
+		"log": map[string]any{"loglevel": "warning"},
+		"inbounds": []any{
+			map[string]any{"listen": "127.0.0.1", "port": 10808, "protocol": "socks"},
+			map[string]any{"listen": "127.0.0.1", "port": 10809, "protocol": "http"},
+		},
+		"outbounds": []any{
+			map[string]any{
+				"protocol": "vless",
+				"settings": map[string]any{
+					"vnext": []any{map[string]any{
+						"address": serverName,
+						"port":    443,
+						"users":   []any{map[string]any{"id": id, "encryption": "none"}},
+					}},
+				},
+				"streamSettings": map[string]any{
+					"network":         "stealth",
+					"stealthSettings": st,
+					"security":        "tls",
+					"tlsSettings":     map[string]any{"serverName": serverName, "fingerprint": "chrome"},
+				},
+			},
+			map[string]any{"protocol": "freedom", "tag": "direct"},
+		},
+	}
+	b, err := json.MarshalIndent(cfg, "", "    ")
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	w.Header().Set("Content-Type", "application/json; charset=utf-8")
+	_, _ = w.Write(b)
+}
+
+func hClientLink(w http.ResponseWriter, r *http.Request) {
+	id := r.PathValue("id")
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) == 0 {
+		writeJSON(w, 500, map[string]any{"error": "no stealth inbound"})
+		return
+	}
+	ib := ibs[0]
+	// find client
+	name := ""
+	found := false
+	for _, cl := range ib["settings"].(map[string]any)["clients"].([]any) {
+		if m, ok := cl.(map[string]any); ok && m["id"] == id {
+			found = true
+			name, _ = m["email"].(string)
+			break
+		}
+	}
+	if !found {
+		writeJSON(w, 404, map[string]any{"error": "client not found"})
+		return
+	}
+	st, _ := getStealthSettings(c)
+	if st == nil {
+		st = map[string]any{}
+	}
+	serverName := panelCfg.ServerName
+	if serverName == "" {
+		serverName = "YOUR-DOMAIN"
+	}
+	ss := ib["streamSettings"].(map[string]any)
+	security, _ := ss["security"].(string)
+	if security == "" {
+		security = "tls"
+	}
+
+	q := url.Values{}
+	q.Set("encryption", "none")
+	q.Set("security", security)
+	q.Set("type", "stealth")
+	q.Set("sni", serverName)
+
+	// fingerprint
+	fp := "chrome"
+	if security == "reality" {
+		if rs, ok := ss["realitySettings"].(map[string]any); ok {
+			if v, ok := rs["serverName"].(string); ok && v != "" {
+				q.Set("sni", v)
+			}
+			if v, ok := rs["fingerprint"].(string); ok && v != "" {
+				fp = v
+			}
+			if v, ok := rs["publicKey"].(string); ok {
+				q.Set("pbk", v)
+			}
+			if v, ok := rs["shortId"].(string); ok {
+				q.Set("sid", v)
+			}
+		}
+	} else if ts, ok := ss["tlsSettings"].(map[string]any); ok {
+		if v, ok := ts["fingerprint"].(string); ok && v != "" {
+			fp = v
+		}
+	}
+	q.Set("fp", fp)
+
+	// stealth settings
+	if v, ok := st["key"].(string); ok {
+		q.Set("key", v)
+	}
+	if ps, ok := st["paths"].([]any); ok {
+		var arr []string
+		for _, x := range ps {
+			if str, ok := x.(string); ok {
+				arr = append(arr, str)
+			}
+		}
+		if len(arr) > 0 {
+			q.Set("paths", strings.Join(arr, ","))
+		}
+	}
+
+	port := "443"
+	if pr, ok := st["ports"].([]any); ok && len(pr) > 0 {
+		if n, ok := pr[0].(float64); ok && n > 0 {
+			port = strconv.Itoa(int(n))
+		}
+	}
+
+	link := "vless://" + id + "@" + serverName + ":" + port + "?" + q.Encode() + "#" + url.QueryEscape(name)
+	writeJSON(w, 200, map[string]any{"link": link})
+}
+
+func hGetStealth(w http.ResponseWriter, r *http.Request) {
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	st, ok := getStealthSettings(c)
+	if !ok {
+		writeJSON(w, 500, map[string]any{"error": "no stealth settings"})
+		return
+	}
+	writeJSON(w, 200, st)
+}
+
+func hSetStealth(w http.ResponseWriter, r *http.Request) {
+	var patch map[string]any
+	if err := json.NewDecoder(r.Body).Decode(&patch); err != nil {
+		writeJSON(w, 400, map[string]any{"error": err.Error()})
+		return
+	}
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	for _, ib := range stealthInbounds(c) {
+		ss := ib["streamSettings"].(map[string]any)
+		st, _ := ss["stealthSettings"].(map[string]any)
+		if st == nil {
+			st = map[string]any{}
+		}
+		for k, v := range patch {
+			st[k] = v
+		}
+		ss["stealthSettings"] = st
+	}
 	if err := writeConfig(c); err != nil {
 		writeJSON(w, 500, map[string]any{"error": err.Error()})
 		return
 	}
 	out, rerr := restartXray()
-	writeJSON(w, 200, map[string]any{"uuid": uuid, "key": key, "restart": strings.TrimSpace(out), "restartErr": errStr(rerr)})
+	writeJSON(w, 200, map[string]any{"saved": true, "restart": strings.TrimSpace(out), "restartErr": errStr(rerr)})
+}
+
+func hRotateStealthKey(w http.ResponseWriter, r *http.Request) {
+	c, err := readConfig()
+	if err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	key := hexKey(8)
+	for _, ib := range stealthInbounds(c) {
+		ss := ib["streamSettings"].(map[string]any)
+		st, _ := ss["stealthSettings"].(map[string]any)
+		st["key"] = key
+	}
+	if err := writeConfig(c); err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	out, rerr := restartXray()
+	writeJSON(w, 200, map[string]any{"key": key, "restart": strings.TrimSpace(out), "restartErr": errStr(rerr)})
+}
+
+func hGetPanel(w http.ResponseWriter, r *http.Request) {
+	writeJSON(w, 200, map[string]any{"bind": panelCfg.Bind, "config": panelCfg.Config, "serverName": panelCfg.ServerName, "passwordSet": panelCfg.Password != ""})
+}
+
+func hSetPanel(w http.ResponseWriter, r *http.Request) {
+	var req struct {
+		Bind       string `json:"bind"`
+		Config     string `json:"config"`
+		Password   string `json:"password"`
+		ServerName string `json:"serverName"`
+	}
+	_ = json.NewDecoder(r.Body).Decode(&req)
+	if req.Bind != "" {
+		panelCfg.Bind = req.Bind
+	}
+	if req.Config != "" {
+		panelCfg.Config = req.Config
+	}
+	if req.Password != "" {
+		panelCfg.Password = req.Password
+	}
+	panelCfg.ServerName = req.ServerName
+	if err := savePanel(panelCfg); err != nil {
+		writeJSON(w, 500, map[string]any{"error": err.Error()})
+		return
+	}
+	writeJSON(w, 200, map[string]any{"saved": true})
 }

 func hLogs(w http.ResponseWriter, r *http.Request) {
 	n := r.URL.Query().Get("n")
 	if n == "" {
-		n = "100"
+		n = "150"
+	}
+	if _, err := strconv.Atoi(n); err != nil || n == "" {
+		n = "150"
 	}
 	out, _ := sh("journalctl", "-u", service, "-n", n, "--no-pager")
 	writeJSON(w, 200, map[string]any{"logs": out})
@@ -210,92 +647,72 @@ func hRestart(w http.ResponseWriter, r *http.Request) {
 	writeJSON(w, 200, map[string]any{"restart": strings.TrimSpace(out), "error": errStr(err)})
 }

-func errStr(err error) string {
-	if err == nil {
-		return ""
-	}
-	return err.Error()
-}
-
-// --- UI ---
-
-const page = `<!DOCTYPE html>
-<html lang="ru"><head><meta charset="utf-8"><title>sdm-panel</title>
-<style>
-body{font-family:ui-monospace,Menlo,Consolas,monospace;background:#101418;color:#d7dde3;margin:0;padding:24px}
-h1{font-size:18px;margin:0 0 16px}
-.card{background:#171d24;border:1px solid #262e38;border-radius:10px;padding:16px;margin-bottom:16px}
-button{background:#234;color:#fff;border:1px solid #355;border-radius:6px;padding:6px 12px;cursor:pointer;margin-right:8px}
-button:hover{background:#2a4a5a}
-label{display:block;margin:8px 0 4px;color:#8aa}
-input,textarea{width:100%;box-sizing:border-box;background:#0d1117;color:#d7dde3;border:1px solid #2a3340;border-radius:6px;padding:8px;font-family:inherit}
-textarea{min-height:200px;font-size:12px}
-pre{background:#0d1117;border:1px solid #2a3340;border-radius:6px;padding:8px;overflow:auto;max-height:300px;font-size:12px}
-.kv{display:flex;gap:8px;flex-wrap:wrap}.kv>div{flex:1;min-width:200px}
-</style></head><body>
-<h1>sdm-panel — stealth tunnel</h1>
-<div class="card"><div class="kv">
-<div><label>service</label><input id="service" readonly></div>
-<div><label>active since</label><input id="activeAt" readonly></div>
-<div><label>uuid</label><input id="uuid" readonly></div>
-<div><label>key</label><input id="key" readonly></div>
-</div>
-<button onclick="rotKey()">Сменить ключ+UUID</button>
-<button onclick="restart()">Перезапустить xray</button>
-</div>
-<div class="card"><label>config.json (внешний stealthSettings — полный конфиг)</label>
-<textarea id="cfg"></textarea><br><br>
-<button onclick="save()">Сохранить и перезапустить</button>
-<span id="msg"></span>
-</div>
-<div class="card"><label>логи xray</label><button onclick="loadLogs()">Обновить</button>
-<pre id="logs"></pre></div>
-<script>
-async function j(f, opts){const r=await fetch(f, opts);return r.json()}
-async function status(){const s=await j('api/status');for(const k of ['service','activeAt','uuid','key'])document.getElementById(k).value=s[k]||''}
-async function cfg(){const r=await fetch('api/config');const t=await r.text();document.getElementById('cfg').value=t}
-async function save(){const m=document.getElementById('msg');m.textContent='...';try{const r=await fetch('api/config',{method:'POST',body:document.getElementById('cfg').value});const j=await r.json();m.textContent=JSON.stringify(j)}catch(e){m.textContent='err '+e}}
-async function rotKey(){const m=document.getElementById('msg');m.textContent='...';const j=await fetch('api/key',{method:'POST'}).then(r=>r.json());document.getElementById('uuid').value=j.uuid||'';document.getElementById('key').value=j.key||'';m.textContent=JSON.stringify(j)}
-async function restart(){await fetch('api/restart',{method:'POST'});status()}
-async function loadLogs(){const j=await fetch('api/logs?n=100').then(r=>r.json());document.getElementById('logs').textContent=j.logs||''}
-status();cfg();loadLogs()
-</script></body></html>`
-
 func main() {
-	pc := loadPanel()
-	if pc.Password == "" {
-		pass := newKey()
-		pc.Password = pass
-		_ = os.WriteFile(panelPath, []byte(fmt.Sprintf("{\n  \"bind\": \"%s\",\n  \"password\": \"%s\"\n}\n", pc.Bind, pass)), 0o600)
-		fmt.Printf("panel password generated: %s\n", pass)
+	panelCfg = loadPanel()
+	if panelCfg.Password == "" {
+		panelCfg.Password = hexKey(8)
+		_ = savePanel(panelCfg)
+		fmt.Printf("panel password generated: %s\n", panelCfg.Password)
 	}

 	mux := http.NewServeMux()
-	mux.HandleFunc("/", auth(pc.Password, func(w http.ResponseWriter, r *http.Request) {
-		if r.URL.Path == "/" {
-			w.Header().Set("Content-Type", "text/html; charset=utf-8")
-			_, _ = io.WriteString(w, page)
-			return
-		}
-		http.NotFound(w, r)
-	}))
-	mux.HandleFunc("/api/status", auth(pc.Password, hStatus))
-	mux.HandleFunc("/api/config", auth(pc.Password, func(w http.ResponseWriter, r *http.Request) {
+	mux.HandleFunc("/api/login", hLogin)
+	mux.HandleFunc("/api/status", requireSession(hStatus))
+	mux.HandleFunc("/api/clients", requireSession(func(w http.ResponseWriter, r *http.Request) {
 		switch r.Method {
 		case http.MethodGet:
-			hConfig(w, r)
+			hClients(w, r)
 		case http.MethodPost:
-			hSave(w, r)
+			hAddClient(w, r)
 		default:
 			http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
 		}
 	}))
-	mux.HandleFunc("/api/key", auth(pc.Password, hRotateKey))
-	mux.HandleFunc("/api/logs", auth(pc.Password, hLogs))
-	mux.HandleFunc("/api/restart", auth(pc.Password, hRestart))
+	mux.HandleFunc("/api/clients/{id}", requireSession(func(w http.ResponseWriter, r *http.Request) {
+		switch r.Method {
+		case http.MethodDelete:
+			hDelClient(w, r)
+		default:
+			http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
+		}
+	}))
+	mux.HandleFunc("/api/clients/{id}/rotate", requireSession(hRotateClient))
+	mux.HandleFunc("/api/clients/{id}/config", requireSession(hClientConfig))
+	mux.HandleFunc("/api/clients/{id}/link", requireSession(hClientLink))
+	mux.HandleFunc("/api/stealth", requireSession(func(w http.ResponseWriter, r *http.Request) {
+		switch r.Method {
+		case http.MethodGet:
+			hGetStealth(w, r)
+		case http.MethodPost:
+			hSetStealth(w, r)
+		default:
+			http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
+		}
+	}))
+	mux.HandleFunc("/api/stealth/key", requireSession(hRotateStealthKey))
+	mux.HandleFunc("/api/panel", requireSession(func(w http.ResponseWriter, r *http.Request) {
+		switch r.Method {
+		case http.MethodGet:
+			hGetPanel(w, r)
+		case http.MethodPost:
+			hSetPanel(w, r)
+		default:
+			http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
+		}
+	}))
+	mux.HandleFunc("/api/logs", requireSession(hLogs))
+	mux.HandleFunc("/api/restart", requireSession(hRestart))
+	mux.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
+		if r.URL.Path == "/" {
+			w.Header().Set("Content-Type", "text/html; charset=utf-8")
+			_, _ = io.WriteString(w, ui)
+			return
+		}
+		http.NotFound(w, r)
+	})

-	fmt.Printf("sdm-panel listening on %s\n", pc.Bind)
-	if err := http.ListenAndServe(pc.Bind, mux); err != nil {
+	fmt.Printf("sdm-panel listening on %s\n", panelCfg.Bind)
+	if err := http.ListenAndServe(panelCfg.Bind, mux); err != nil {
 		fmt.Fprintln(os.Stderr, err)
 		os.Exit(1)
 	}
@@ -0,0 +1,369 @@
+package main
+
+import (
+	"encoding/base64"
+	"encoding/json"
+	"net/http"
+	"os"
+	"path/filepath"
+	"testing"
+)
+
+func TestHexKey(t *testing.T) {
+	key := hexKey(8)
+	if len(key) != 16 {
+		t.Errorf("hexKey(8) length = %d, want 16", len(key))
+	}
+	key2 := hexKey(8)
+	if key == key2 {
+		t.Error("hexKey should produce different values on each call")
+	}
+}
+
+func TestUUID(t *testing.T) {
+	id := uuid()
+	if len(id) != 36 {
+		t.Errorf("uuid() length = %d, want 36", len(id))
+	}
+	if id[8] != '-' || id[13] != '-' || id[18] != '-' || id[23] != '-' {
+		t.Errorf("uuid() format wrong: %s", id)
+	}
+}
+
+func TestTlsCertFile(t *testing.T) {
+	tests := []struct {
+		name string
+		ts   map[string]any
+		want string
+	}{
+		{
+			name: "with cert",
+			ts: map[string]any{
+				"certificates": []any{
+					map[string]any{"certificateFile": "/etc/xray/server.crt"},
+				},
+			},
+			want: "/etc/xray/server.crt",
+		},
+		{
+			name: "no certs",
+			ts:   map[string]any{},
+			want: "",
+		},
+		{
+			name: "empty certs",
+			ts:   map[string]any{"certificates": []any{}},
+			want: "",
+		},
+		{
+			name: "wrong type",
+			ts:   map[string]any{"certificates": "not a list"},
+			want: "",
+		},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			got := tlsCertFile(tt.ts)
+			if got != tt.want {
+				t.Errorf("tlsCertFile() = %q, want %q", got, tt.want)
+			}
+		})
+	}
+}
+
+func TestSelfSignedPin(t *testing.T) {
+	// Create a temp self-signed cert
+	dir := t.TempDir()
+	certPath := filepath.Join(dir, "test.crt")
+	keyPath := filepath.Join(dir, "test.key")
+
+	// Generate self-signed cert using openssl
+	out, err := sh("openssl", "req", "-x509", "-newkey", "rsa:2048", "-nodes",
+		"-days", "1", "-subj", "/CN=127.0.0.1",
+		"-keyout", keyPath, "-out", certPath)
+	if err != nil {
+		t.Fatalf("failed to generate cert: %v, out: %s", err, out)
+	}
+
+	pin := selfSignedPin(certPath)
+	if pin == "" {
+		t.Fatal("selfSignedPin returned empty for self-signed cert")
+	}
+	if len(pin) != 64 {
+		t.Errorf("pin length = %d, want 64 (hex sha256)", len(pin))
+	}
+
+	// Same cert should produce same pin
+	pin2 := selfSignedPin(certPath)
+	if pin != pin2 {
+		t.Errorf("selfSignedPin not deterministic: %q != %q", pin, pin2)
+	}
+
+	// Non-existent file should return ""
+	bad := selfSignedPin("/nonexistent/path.crt")
+	if bad != "" {
+		t.Errorf("selfSignedPin for nonexistent file = %q, want empty", bad)
+	}
+}
+
+func TestSelfSignedPinNotForLE(t *testing.T) {
+	// Create a cert with different issuer and subject (simulating LE)
+	dir := t.TempDir()
+	certPath := filepath.Join(dir, "le.crt")
+
+	// We can't easily generate a cert with different issuer/subject via openssl CLI,
+	// so test that the function handles the parsing correctly
+	out, _ := sh("openssl", "req", "-x509", "-newkey", "rsa:2048", "-nodes",
+		"-days", "1", "-subj", "/CN=test",
+		"-keyout", filepath.Join(dir, "k"), "-out", certPath)
+
+	// The function should return the pin (it's self-signed since issuer==subject)
+	pin := selfSignedPin(certPath)
+	if pin == "" {
+		t.Errorf("selfSignedPin should return pin for self-signed cert, out: %s", out)
+	}
+}
+
+func TestStatsInboundPort(t *testing.T) {
+	tests := []struct {
+		name string
+		c    map[string]any
+		want int
+	}{
+		{
+			name: "with listen",
+			c:    map[string]any{"api": map[string]any{"listen": "127.0.0.1:10085"}},
+			want: 10085,
+		},
+		{
+			name: "no api",
+			c:    map[string]any{},
+			want: 0,
+		},
+		{
+			name: "no listen",
+			c:    map[string]any{"api": map[string]any{}},
+			want: 0,
+		},
+		{
+			name: "bad format",
+			c:    map[string]any{"api": map[string]any{"listen": "bad"}},
+			want: 0,
+		},
+	}
+	for _, tt := range tests {
+		t.Run(tt.name, func(t *testing.T) {
+			got := statsInboundPort(tt.c)
+			if got != tt.want {
+				t.Errorf("statsInboundPort() = %d, want %d", got, tt.want)
+			}
+		})
+	}
+}
+
+func TestEnsureStats(t *testing.T) {
+	// Empty config — should add api, stats, policy
+	c := map[string]any{}
+	changed := ensureStats(c)
+	if !changed {
+		t.Error("ensureStats should return true for empty config")
+	}
+	api, ok := c["api"].(map[string]any)
+	if !ok {
+		t.Fatal("ensureStats did not add api section")
+	}
+	if api["tag"] != "api" {
+		t.Errorf("api.tag = %v, want 'api'", api["tag"])
+	}
+	if api["listen"] != "127.0.0.1:10085" {
+		t.Errorf("api.listen = %v, want '127.0.0.1:10085'", api["listen"])
+	}
+	if c["stats"] == nil {
+		t.Error("ensureStats did not add stats section")
+	}
+	pol, ok := c["policy"].(map[string]any)
+	if !ok {
+		t.Fatal("ensureStats did not add policy section")
+	}
+	levels, ok := pol["levels"].(map[string]any)
+	if !ok {
+		t.Fatal("ensureStats did not add levels")
+	}
+	lv0, ok := levels["0"].(map[string]any)
+	if !ok {
+		t.Fatal("ensureStats did not add level 0")
+	}
+	if lv0["statsUserUplink"] != true {
+		t.Error("statsUserUplink should be true")
+	}
+	if lv0["statsUserDownlink"] != true {
+		t.Error("statsUserDownlink should be true")
+	}
+	if lv0["statsUserOnline"] != true {
+		t.Error("statsUserOnline should be true")
+	}
+}
+
+func TestEnsureStatsIdempotent(t *testing.T) {
+	c := map[string]any{
+		"api":   map[string]any{"tag": "api", "listen": "127.0.0.1:10085", "services": []any{"StatsService"}},
+		"stats": map[string]any{},
+		"policy": map[string]any{
+			"levels": map[string]any{
+				"0": map[string]any{
+					"statsUserUplink":   true,
+					"statsUserDownlink": true,
+					"statsUserOnline":   true,
+				},
+			},
+		},
+	}
+	changed := ensureStats(c)
+	if changed {
+		t.Error("ensureStats should return false when already configured")
+	}
+}
+
+func TestStealthInbounds(t *testing.T) {
+	c := map[string]any{
+		"inbounds": []any{
+			map[string]any{
+				"protocol": "vless",
+				"streamSettings": map[string]any{
+					"network": "stealth",
+				},
+			},
+			map[string]any{
+				"protocol": "dokodemo-door",
+			},
+		},
+	}
+	ibs := stealthInbounds(c)
+	if len(ibs) != 1 {
+		t.Errorf("stealthInbounds returned %d, want 1", len(ibs))
+	}
+}
+
+func TestGenX25519(t *testing.T) {
+	priv, pub := genX25519()
+	if priv == "" || pub == "" {
+		t.Error("genX25519 returned empty keys")
+	}
+	if priv == pub {
+		t.Error("private and public keys should differ")
+	}
+	// Keys should be valid base64url
+	if _, err := base64.RawURLEncoding.DecodeString(priv); err != nil {
+		t.Errorf("private key is not valid base64url: %v", err)
+	}
+	if _, err := base64.RawURLEncoding.DecodeString(pub); err != nil {
+		t.Errorf("public key is not valid base64url: %v", err)
+	}
+}
+
+func TestWriteReadConfig(t *testing.T) {
+	dir := t.TempDir()
+	cfgPath := filepath.Join(dir, "config.json")
+	orig := defaultConfigPath
+
+	// Temporarily override
+	// We can't easily override the const, so test with a real file
+	cfg := map[string]any{
+		"log": map[string]any{"loglevel": "warning"},
+		"inbounds": []any{
+			map[string]any{
+				"listen": "0.0.0.0",
+				"port":   float64(443),
+				"protocol": "vless",
+			},
+		},
+	}
+
+	b, err := json.MarshalIndent(cfg, "", "  ")
+	if err != nil {
+		t.Fatalf("json.Marshal: %v", err)
+	}
+	if err := os.WriteFile(cfgPath, b, 0644); err != nil {
+		t.Fatalf("write: %v", err)
+	}
+
+	// Read back
+	data, err := os.ReadFile(cfgPath)
+	if err != nil {
+		t.Fatalf("read: %v", err)
+	}
+	var read map[string]any
+	if err := json.Unmarshal(data, &read); err != nil {
+		t.Fatalf("unmarshal: %v", err)
+	}
+	if read["log"] == nil {
+		t.Error("log section missing after round-trip")
+	}
+
+	_ = orig // suppress unused
+}
+
+func TestPanelConfig(t *testing.T) {
+	// Test PanelConfig JSON round-trip
+	pc := PanelConfig{
+		Bind:       "127.0.0.1:8080",
+		Password:   "test123",
+		Config:     "/etc/xray/config.json",
+		ServerName: "example.com",
+		Fingerprint: "chrome",
+	}
+	b, err := json.Marshal(pc)
+	if err != nil {
+		t.Fatalf("marshal: %v", err)
+	}
+	var read PanelConfig
+	if err := json.Unmarshal(b, &read); err != nil {
+		t.Fatalf("unmarshal: %v", err)
+	}
+	if read.Bind != pc.Bind {
+		t.Errorf("bind = %q, want %q", read.Bind, pc.Bind)
+	}
+	if read.ServerName != pc.ServerName {
+		t.Errorf("serverName = %q, want %q", read.ServerName, pc.ServerName)
+	}
+}
+
+func TestWriteJSON(t *testing.T) {
+	// Just verify it doesn't panic
+	w := &fakeResponseWriter{}
+	writeJSON(w, 200, map[string]any{"ok": true})
+	if w.code != 200 {
+		t.Errorf("code = %d, want 200", w.code)
+	}
+}
+
+func TestErrStr(t *testing.T) {
+	if errStr(nil) != "" {
+		t.Error("errStr(nil) should be empty")
+	}
+}
+
+func TestEmailDefaultToUUID(t *testing.T) {
+	// When adding a client with empty name, email should be set to UUID
+	id := uuid()
+	email := ""
+	if email == "" {
+		email = id
+	}
+	if email != id {
+		t.Errorf("email = %q, want %q (UUID)", email, id)
+	}
+	if len(email) != 36 {
+		t.Errorf("email length = %d, want 36 (UUID format)", len(email))
+	}
+}
+
+// fakeResponseWriter for testing
+type fakeResponseWriter struct {
+	code int
+	body []byte
+}
+
+func (f *fakeResponseWriter) Header() http.Header         { return http.Header{} }
+func (f *fakeResponseWriter) Write(b []byte) (int, error) { f.body = append(f.body, b...); return len(b), nil }
+func (f *fakeResponseWriter) WriteHeader(code int)        { f.code = code }
@@ -0,0 +1,95 @@
+syntax = "proto3";
+
+package xray.app.stats.command;
+option csharp_namespace = "Xray.App.Stats.Command";
+option go_package = "github.com/xtls/xray-core/app/stats/command";
+option java_package = "com.xray.app.stats.command";
+option java_multiple_files = true;
+
+message GetStatsRequest {
+  // Name of the stat counter.
+  string name = 1;
+  // Whether or not to reset the counter to fetching its value.
+  bool reset = 2;
+}
+
+message Stat {
+  string name = 1;
+  int64 value = 2;
+}
+
+message GetStatsResponse {
+  Stat stat = 1;
+}
+
+message QueryStatsRequest {
+  string pattern = 1;
+  bool reset = 2;
+}
+
+message QueryStatsResponse {
+  repeated Stat stat = 1;
+}
+
+message SysStatsRequest {}
+
+message SysStatsResponse {
+  uint32 NumGoroutine = 1;
+  uint32 NumGC = 2;
+  uint64 Alloc = 3;
+  uint64 TotalAlloc = 4;
+  uint64 Sys = 5;
+  uint64 Mallocs = 6;
+  uint64 Frees = 7;
+  uint64 LiveObjects = 8;
+  uint64 PauseTotalNs = 9;
+  uint32 Uptime = 10;
+}
+
+message GetStatsOnlineIpListResponse {
+  string name = 1;
+  map<string, int64> ips = 2;
+}
+
+message GetAllOnlineUsersRequest {}
+
+message GetAllOnlineUsersResponse {
+  repeated string users = 1;
+}
+
+message OnlineIPEntry {
+  string ip = 1;
+  int64 last_seen = 2;
+}
+
+message TrafficUserStat {
+  int64 uplink = 1;
+  int64 downlink = 2;
+}
+
+message UserStat {
+  string email = 1;
+  repeated OnlineIPEntry ips = 2;
+  TrafficUserStat traffic = 3;
+}
+
+message GetUsersStatsRequest {
+  bool include_traffic = 1;
+  bool reset = 2;
+}
+
+message GetUsersStatsResponse {
+  repeated UserStat users = 1;
+}
+
+service StatsService {
+  rpc GetStats(GetStatsRequest) returns (GetStatsResponse) {}
+  rpc GetStatsOnline(GetStatsRequest) returns (GetStatsResponse) {}
+  rpc QueryStats(QueryStatsRequest) returns (QueryStatsResponse) {}
+  rpc GetSysStats(SysStatsRequest) returns (SysStatsResponse) {}
+  rpc GetStatsOnlineIpList(GetStatsRequest) returns (GetStatsOnlineIpListResponse) {}
+  rpc GetAllOnlineUsers(GetAllOnlineUsersRequest) returns (GetAllOnlineUsersResponse) {}
+  rpc GetUsersStats(GetUsersStatsRequest) returns (GetUsersStatsResponse) {}
+}
+
+message Config {}
@@ -0,0 +1,349 @@
+// Code generated by protoc-gen-go-grpc. DO NOT EDIT.
+// versions:
+// - protoc-gen-go-grpc v1.6.2
+// - protoc             v3.21.12
+// source: stats/command.proto
+
+package command
+
+import (
+	context "context"
+	grpc "google.golang.org/grpc"
+	codes "google.golang.org/grpc/codes"
+	status "google.golang.org/grpc/status"
+)
+
+// This is a compile-time assertion to ensure that this generated file
+// is compatible with the grpc package it is being compiled against.
+// Requires gRPC-Go v1.64.0 or later.
+const _ = grpc.SupportPackageIsVersion9
+
+const (
+	StatsService_GetStats_FullMethodName             = "/xray.app.stats.command.StatsService/GetStats"
+	StatsService_GetStatsOnline_FullMethodName       = "/xray.app.stats.command.StatsService/GetStatsOnline"
+	StatsService_QueryStats_FullMethodName           = "/xray.app.stats.command.StatsService/QueryStats"
+	StatsService_GetSysStats_FullMethodName          = "/xray.app.stats.command.StatsService/GetSysStats"
+	StatsService_GetStatsOnlineIpList_FullMethodName = "/xray.app.stats.command.StatsService/GetStatsOnlineIpList"
+	StatsService_GetAllOnlineUsers_FullMethodName    = "/xray.app.stats.command.StatsService/GetAllOnlineUsers"
+	StatsService_GetUsersStats_FullMethodName        = "/xray.app.stats.command.StatsService/GetUsersStats"
+)
+
+// StatsServiceClient is the client API for StatsService service.
+//
+// For semantics around ctx use and closing/ending streaming RPCs, please refer to https://pkg.go.dev/google.golang.org/grpc/?tab=doc#ClientConn.NewStream.
+type StatsServiceClient interface {
+	GetStats(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsResponse, error)
+	GetStatsOnline(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsResponse, error)
+	QueryStats(ctx context.Context, in *QueryStatsRequest, opts ...grpc.CallOption) (*QueryStatsResponse, error)
+	GetSysStats(ctx context.Context, in *SysStatsRequest, opts ...grpc.CallOption) (*SysStatsResponse, error)
+	GetStatsOnlineIpList(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsOnlineIpListResponse, error)
+	GetAllOnlineUsers(ctx context.Context, in *GetAllOnlineUsersRequest, opts ...grpc.CallOption) (*GetAllOnlineUsersResponse, error)
+	GetUsersStats(ctx context.Context, in *GetUsersStatsRequest, opts ...grpc.CallOption) (*GetUsersStatsResponse, error)
+}
+
+type statsServiceClient struct {
+	cc grpc.ClientConnInterface
+}
+
+func NewStatsServiceClient(cc grpc.ClientConnInterface) StatsServiceClient {
+	return &statsServiceClient{cc}
+}
+
+func (c *statsServiceClient) GetStats(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(GetStatsResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetStats_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) GetStatsOnline(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(GetStatsResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetStatsOnline_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) QueryStats(ctx context.Context, in *QueryStatsRequest, opts ...grpc.CallOption) (*QueryStatsResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(QueryStatsResponse)
+	err := c.cc.Invoke(ctx, StatsService_QueryStats_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) GetSysStats(ctx context.Context, in *SysStatsRequest, opts ...grpc.CallOption) (*SysStatsResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(SysStatsResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetSysStats_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) GetStatsOnlineIpList(ctx context.Context, in *GetStatsRequest, opts ...grpc.CallOption) (*GetStatsOnlineIpListResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(GetStatsOnlineIpListResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetStatsOnlineIpList_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) GetAllOnlineUsers(ctx context.Context, in *GetAllOnlineUsersRequest, opts ...grpc.CallOption) (*GetAllOnlineUsersResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(GetAllOnlineUsersResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetAllOnlineUsers_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+func (c *statsServiceClient) GetUsersStats(ctx context.Context, in *GetUsersStatsRequest, opts ...grpc.CallOption) (*GetUsersStatsResponse, error) {
+	cOpts := append([]grpc.CallOption{grpc.StaticMethod()}, opts...)
+	out := new(GetUsersStatsResponse)
+	err := c.cc.Invoke(ctx, StatsService_GetUsersStats_FullMethodName, in, out, cOpts...)
+	if err != nil {
+		return nil, err
+	}
+	return out, nil
+}
+
+// StatsServiceServer is the server API for StatsService service.
+// All implementations must embed UnimplementedStatsServiceServer
+// for forward compatibility.
+type StatsServiceServer interface {
+	GetStats(context.Context, *GetStatsRequest) (*GetStatsResponse, error)
+	GetStatsOnline(context.Context, *GetStatsRequest) (*GetStatsResponse, error)
+	QueryStats(context.Context, *QueryStatsRequest) (*QueryStatsResponse, error)
+	GetSysStats(context.Context, *SysStatsRequest) (*SysStatsResponse, error)
+	GetStatsOnlineIpList(context.Context, *GetStatsRequest) (*GetStatsOnlineIpListResponse, error)
+	GetAllOnlineUsers(context.Context, *GetAllOnlineUsersRequest) (*GetAllOnlineUsersResponse, error)
+	GetUsersStats(context.Context, *GetUsersStatsRequest) (*GetUsersStatsResponse, error)
+	mustEmbedUnimplementedStatsServiceServer()
+}
+
+// UnimplementedStatsServiceServer must be embedded to have
+// forward compatible implementations.
+//
+// NOTE: this should be embedded by value instead of pointer to avoid a nil
+// pointer dereference when methods are called.
+type UnimplementedStatsServiceServer struct{}
+
+func (UnimplementedStatsServiceServer) GetStats(context.Context, *GetStatsRequest) (*GetStatsResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetStats not implemented")
+}
+func (UnimplementedStatsServiceServer) GetStatsOnline(context.Context, *GetStatsRequest) (*GetStatsResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetStatsOnline not implemented")
+}
+func (UnimplementedStatsServiceServer) QueryStats(context.Context, *QueryStatsRequest) (*QueryStatsResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method QueryStats not implemented")
+}
+func (UnimplementedStatsServiceServer) GetSysStats(context.Context, *SysStatsRequest) (*SysStatsResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetSysStats not implemented")
+}
+func (UnimplementedStatsServiceServer) GetStatsOnlineIpList(context.Context, *GetStatsRequest) (*GetStatsOnlineIpListResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetStatsOnlineIpList not implemented")
+}
+func (UnimplementedStatsServiceServer) GetAllOnlineUsers(context.Context, *GetAllOnlineUsersRequest) (*GetAllOnlineUsersResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetAllOnlineUsers not implemented")
+}
+func (UnimplementedStatsServiceServer) GetUsersStats(context.Context, *GetUsersStatsRequest) (*GetUsersStatsResponse, error) {
+	return nil, status.Error(codes.Unimplemented, "method GetUsersStats not implemented")
+}
+func (UnimplementedStatsServiceServer) mustEmbedUnimplementedStatsServiceServer() {}
+func (UnimplementedStatsServiceServer) testEmbeddedByValue()                      {}
+
+// UnsafeStatsServiceServer may be embedded to opt out of forward compatibility for this service.
+// Use of this interface is not recommended, as added methods to StatsServiceServer will
+// result in compilation errors.
+type UnsafeStatsServiceServer interface {
+	mustEmbedUnimplementedStatsServiceServer()
+}
+
+func RegisterStatsServiceServer(s grpc.ServiceRegistrar, srv StatsServiceServer) {
+	// If the following call panics, it indicates UnimplementedStatsServiceServer was
+	// embedded by pointer and is nil.  This will cause panics if an
+	// unimplemented method is ever invoked, so we test this at initialization
+	// time to prevent it from happening at runtime later due to I/O.
+	if t, ok := srv.(interface{ testEmbeddedByValue() }); ok {
+		t.testEmbeddedByValue()
+	}
+	s.RegisterService(&StatsService_ServiceDesc, srv)
+}
+
+func _StatsService_GetStats_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(GetStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetStats(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetStats_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetStats(ctx, req.(*GetStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_GetStatsOnline_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(GetStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetStatsOnline(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetStatsOnline_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetStatsOnline(ctx, req.(*GetStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_QueryStats_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(QueryStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).QueryStats(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_QueryStats_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).QueryStats(ctx, req.(*QueryStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_GetSysStats_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(SysStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetSysStats(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetSysStats_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetSysStats(ctx, req.(*SysStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_GetStatsOnlineIpList_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(GetStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetStatsOnlineIpList(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetStatsOnlineIpList_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetStatsOnlineIpList(ctx, req.(*GetStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_GetAllOnlineUsers_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(GetAllOnlineUsersRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetAllOnlineUsers(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetAllOnlineUsers_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetAllOnlineUsers(ctx, req.(*GetAllOnlineUsersRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+func _StatsService_GetUsersStats_Handler(srv interface{}, ctx context.Context, dec func(interface{}) error, interceptor grpc.UnaryServerInterceptor) (interface{}, error) {
+	in := new(GetUsersStatsRequest)
+	if err := dec(in); err != nil {
+		return nil, err
+	}
+	if interceptor == nil {
+		return srv.(StatsServiceServer).GetUsersStats(ctx, in)
+	}
+	info := &grpc.UnaryServerInfo{
+		Server:     srv,
+		FullMethod: StatsService_GetUsersStats_FullMethodName,
+	}
+	handler := func(ctx context.Context, req interface{}) (interface{}, error) {
+		return srv.(StatsServiceServer).GetUsersStats(ctx, req.(*GetUsersStatsRequest))
+	}
+	return interceptor(ctx, in, info, handler)
+}
+
+// StatsService_ServiceDesc is the grpc.ServiceDesc for StatsService service.
+// It's only intended for direct use with grpc.RegisterService,
+// and not to be introspected or modified (even as a copy)
+var StatsService_ServiceDesc = grpc.ServiceDesc{
+	ServiceName: "xray.app.stats.command.StatsService",
+	HandlerType: (*StatsServiceServer)(nil),
+	Methods: []grpc.MethodDesc{
+		{
+			MethodName: "GetStats",
+			Handler:    _StatsService_GetStats_Handler,
+		},
+		{
+			MethodName: "GetStatsOnline",
+			Handler:    _StatsService_GetStatsOnline_Handler,
+		},
+		{
+			MethodName: "QueryStats",
+			Handler:    _StatsService_QueryStats_Handler,
+		},
+		{
+			MethodName: "GetSysStats",
+			Handler:    _StatsService_GetSysStats_Handler,
+		},
+		{
+			MethodName: "GetStatsOnlineIpList",
+			Handler:    _StatsService_GetStatsOnlineIpList_Handler,
+		},
+		{
+			MethodName: "GetAllOnlineUsers",
+			Handler:    _StatsService_GetAllOnlineUsers_Handler,
+		},
+		{
+			MethodName: "GetUsersStats",
+			Handler:    _StatsService_GetUsersStats_Handler,
+		},
+	},
+	Streams:  []grpc.StreamDesc{},
+	Metadata: "stats/command.proto",
+}
@@ -0,0 +1,265 @@
+package main
+
+const ui = `<!DOCTYPE html>
+<html lang="ru">
+<head>
+<meta charset="utf-8">
+<meta name="viewport" content="width=device-width, initial-scale=1">
+<title>sdm-panel</title>
+<style>
+:root{--bg:#0d1117;--side:#0a0e13;--card:#151b23;--line:#1f2833;--txt:#dfe6ee;--mut:#8b98a5;--acc:#4f8ef7;--ok:#3fb97f;--err:#ff6b6b;--mono:ui-monospace,SFMono-Regular,Menlo,Consolas,monospace}
+*{box-sizing:border-box}
+body{margin:0;font-family:-apple-system,"Segoe UI",Roboto,sans-serif;background:var(--bg);color:var(--txt);font-size:14px}
+.hidden{display:none!important}
+button{background:#1d2735;color:var(--txt);border:1px solid #2a3546;border-radius:8px;padding:8px 14px;cursor:pointer;font-size:13px;transition:background .15s}
+button:hover{background:#273449}
+button.primary{background:var(--acc);border-color:var(--acc);color:#fff}
+button.primary:hover{background:#3d7ee6}
+button.ghost{background:transparent;border-color:transparent;color:var(--mut);padding:6px 10px;font-size:12px}
+button.ghost:hover{background:#1a222c;color:var(--txt)}
+button.danger{background:#2a1820;border-color:#4a2330;color:#ff9d9d}
+button.icon{font-size:14px;padding:6px 9px}
+input[type=text],input[type=password],input[type=number],textarea{width:100%;background:#0b1016;border:1px solid var(--line);border-radius:8px;color:var(--txt);padding:9px 11px;font-family:inherit;font-size:13px}
+input:focus,textarea:focus{outline:none;border-color:var(--acc)}
+label{display:block;color:var(--mut);font-size:12px;margin:0 0 5px}
+/* login */
+#login{min-height:100vh;display:flex;align-items:center;justify-content:center}
+.login-card{background:var(--card);border:1px solid var(--line);border-radius:16px;padding:36px;width:340px}
+.login-card h1{margin:0 0 4px;font-size:22px}
+.login-card .sub{color:var(--mut);margin:0 0 24px;font-size:13px}
+/* layout */
+#app{display:flex;min-height:100vh}
+aside{width:220px;background:var(--side);border-right:1px solid var(--line);padding:20px 12px;display:flex;flex-direction:column;position:sticky;top:0;height:100vh}
+aside .brand{display:flex;align-items:center;gap:10px;padding:4px 10px 18px;font-weight:600;font-size:16px}
+aside .brand .dot{width:10px;height:10px;border-radius:50%;background:var(--acc);box-shadow:0 0 10px var(--acc)}
+aside nav{display:flex;flex-direction:column;gap:2px;flex:1}
+aside nav button{text-align:left;background:transparent;border:1px solid transparent;border-radius:8px;padding:10px 12px;color:var(--mut);font-size:13px}
+aside nav button:hover{background:#151b23;color:var(--txt)}
+aside nav button.on{background:var(--card);color:var(--txt);border-color:var(--line)}
+aside nav button .glyph{margin-right:8px;opacity:.7}
+aside .logout{background:transparent;border:none;color:var(--mut);text-align:left;padding:10px 12px;cursor:pointer;font-size:13px}
+aside .logout:hover{color:var(--err)}
+main{flex:1;padding:28px 32px;max-width:1040px}
+main h2{margin:0 0 4px;font-size:20px}
+main .crumb{color:var(--mut);font-size:12px;margin:0 0 20px}
+/* cards */
+.grid{display:grid;grid-template-columns:repeat(auto-fill,minmax(190px,1fr));gap:14px;margin-bottom:20px}
+.card{background:var(--card);border:1px solid var(--line);border-radius:14px;padding:16px}
+.stat .k{color:var(--mut);font-size:11px;text-transform:uppercase;letter-spacing:.6px}
+.stat .v{font-size:15px;margin-top:6px;word-break:break-all;line-height:1.4}
+.badge{display:inline-flex;align-items:center;gap:7px;padding:5px 11px;border-radius:20px;font-size:12px;font-weight:500}
+.badge::before{content:"";width:8px;height:8px;border-radius:50%}
+.badge.ok{background:rgba(63,185,127,.12);color:var(--ok)}.badge.ok::before{background:var(--ok);box-shadow:0 0 8px var(--ok)}
+.badge.bad{background:rgba(255,107,107,.12);color:var(--err)}.badge.bad::before{background:var(--err)}
+.section{margin:22px 0 8px;color:var(--mut);font-size:11px;text-transform:uppercase;letter-spacing:1px}
+/* clients */
+.cli{display:flex;align-items:center;gap:14px;background:var(--card);border:1px solid var(--line);border-radius:12px;padding:13px 16px;margin-bottom:10px}
+.cli .nm{font-weight:500;min-width:120px}
+.cli .uid{font-family:var(--mono);font-size:12px;color:var(--mut);flex:1;word-break:break-all}
+.cli .acts{display:flex;gap:6px;flex-shrink:0}
+/* forms */
+.row{display:flex;gap:12px;flex-wrap:wrap}
+.row > div{flex:1;min-width:150px}
+textarea{min-height:110px;font-family:var(--mono);font-size:12px;line-height:1.5}
+.mut{color:var(--mut);font-size:12px}
+pre{background:#0b1016;border:1px solid var(--line);border-radius:12px;padding:14px;overflow:auto;max-height:440px;font-family:var(--mono);font-size:12px;white-space:pre-wrap;line-height:1.5}
+.actions{display:flex;gap:10px;align-items:center;margin-top:16px}
+#toast{position:fixed;top:18px;right:18px;background:#1d2735;border:1px solid var(--line);border-radius:10px;padding:12px 18px;opacity:0;transition:opacity .25s;pointer-events:none;z-index:50;max-width:380px;font-size:13px}
+#toast.show{opacity:1}
+#toast.ok{border-color:var(--ok)}#toast.err{border-color:var(--err)}
+</style>
+</head>
+<body>
+
+<div id="login"><div class="login-card">
+  <h1>sdm-panel</h1>
+  <p class="sub">stealth tunnel · управление сервером</p>
+  <label>Пароль</label>
+  <input type="password" id="pw" onkeydown="if(event.key==='Enter')login()" autofocus>
+  <br><br>
+  <button class="primary" style="width:100%" onclick="login()">Войти</button>
+</div></div>
+
+<div id="app" class="hidden">
+<aside>
+  <div class="brand"><span class="dot"></span>sdm-panel</div>
+  <nav>
+    <button class="on" data-t="status" onclick="tab('status')"><span class="glyph">▤</span>Статус</button>
+    <button data-t="clients" onclick="tab('clients')"><span class="glyph">👥</span>Клиенты</button>
+    <button data-t="tunnel" onclick="tab('tunnel')"><span class="glyph">⚙</span>Туннель</button>
+    <button data-t="panel" onclick="tab('panel')"><span class="glyph">🛠</span>Панель</button>
+    <button data-t="logs" onclick="tab('logs')"><span class="glyph">≡</span>Логи</button>
+  </nav>
+  <button class="logout" onclick="logout()">⏻ Выйти</button>
+</aside>
+
+<main>
+  <div id="t-status">
+    <h2>Статус</h2><p class="crumb">Общее состояние сервера и туннеля</p>
+    <div class="grid" id="statusGrid"></div>
+    <div class="card actions">
+      <button class="primary" onclick="restart()">Перезапустить xray</button>
+      <button onclick="loadStatus()">Обновить</button>
+    </div>
+  </div>
+
+  <div id="t-clients" class="hidden">
+    <h2>Клиенты</h2><p class="crumb">Устройства, которым разрешено подключаться</p>
+    <div class="card" style="margin-bottom:16px">
+      <div class="row">
+        <div style="flex:3"><label>Имя клиента</label><input type="text" id="newName" placeholder="например: iphone, ноутбук, роутер"></div>
+        <div style="flex:1;display:flex;align-items:flex-end"><button class="primary" style="width:100%" onclick="addClient()">Добавить</button></div>
+      </div>
+    </div>
+    <div id="clientsList"></div>
+  </div>
+
+  <div id="t-tunnel" class="hidden">
+    <h2>Туннель</h2><p class="crumb">Зеркало и параметры транспорта</p>
+
+    <div class="card">
+      <div class="section">Зеркало (сайт, который видит зонд/браузер)</div>
+      <div class="row">
+        <div style="flex:2"><label>target — выбери или впиши свой</label>
+          <input type="text" id="target" list="targetList" placeholder="https://www.iana.org">
+          <datalist id="targetList">
+            <option value="https://www.iana.org">IANA (нейтральный, рекомендуется)</option>
+            <option value="https://www.apple.com">Apple</option>
+            <option value="https://www.openbsd.org">OpenBSD</option>
+            <option value="https://www.debian.org">Debian</option>
+            <option value="https://www.gnu.org">GNU</option>
+            <option value="https://www.mozilla.org">Mozilla</option>
+            <option value="https://www.kernel.org">kernel.org</option>
+            <option value="https://www.cloudflare.com">Cloudflare</option>
+            <option value="">— без зеркала (встроенная страница) —</option>
+          </datalist>
+        </div>
+      </div>
+    </div>
+
+    <details class="card" style="padding:14px 16px">
+      <summary style="cursor:pointer;font-weight:500">Экспертные настройки</summary>
+      <div class="section">Пути туннеля (по одному на строку; клиенты и сервер должны совпадать)</div>
+      <textarea id="paths"></textarea>
+      <div class="section">Транспорт</div>
+      <div class="row">
+        <div><label>Порты (через запятую)</label><input type="text" id="ports"></div>
+        <div><label>padMax</label><input type="number" id="padMax"></div>
+        <div><label>padProb (%)</label><input type="number" id="padProb"></div>
+        <div><label>paceMs</label><input type="number" id="paceMs"></div>
+        <div><label>paceJitterMs</label><input type="number" id="paceJitterMs"></div>
+        <div><label>bps (0 = выкл)</label><input type="number" id="bps"></div>
+        <div><label>retries</label><input type="number" id="retries"></div>
+        <div><label>padProfile</label><input type="text" id="padProfile"></div>
+      </div>
+      <div class="section">Decoy (фоновый трафик)</div>
+      <div class="row">
+        <div><label>decoy (true/false)</label><input type="text" id="decoy"></div>
+        <div><label>decoyEverySecs</label><input type="number" id="decoyEverySecs"></div>
+        <div><label>decoyTarget</label><input type="text" id="decoyTarget"></div>
+      </div>
+    </details>
+
+    <div class="card actions">
+      <button class="primary" onclick="saveStealth()">Сохранить и перезапустить</button>
+      <button onclick="rotStealthKey()">Сменить stealth-ключ</button>
+      <span class="mut">После сохранения xray перезапустится; клиентам понадобятся обновлённые конфиги.</span>
+    </div>
+  </div>
+
+  <div id="t-panel" class="hidden">
+    <h2>Панель</h2><p class="crumb">Настройки самой панели</p>
+    <div class="card">
+      <div class="row">
+        <div><label>serverName (домен для клиентских конфигов)</label><input type="text" id="pServer"></div>
+        <div><label>bind</label><input type="text" id="pBind"></div>
+      </div>
+      <div style="margin-top:12px"><label>config path</label><input type="text" id="pConfig"></div>
+      <div style="margin-top:12px"><label>Новый пароль (пусто = не менять)</label><input type="password" id="pPass"></div>
+      <div class="actions">
+        <button class="primary" onclick="savePanel()">Сохранить</button>
+        <span class="mut">Смена bind/пароля вступает в силу после перезапуска панели: systemctl restart sdm-panel</span>
+      </div>
+    </div>
+  </div>
+
+  <div id="t-logs" class="hidden">
+    <h2>Логи</h2><p class="crumb">Последние записи xray</p>
+    <div class="card">
+      <button onclick="loadLogs()">Обновить</button>
+      <pre id="logs" style="margin-top:12px"></pre>
+    </div>
+  </div>
+</main>
+</div>
+
+<div id="toast"></div>
+
+<script>
+let TOK = localStorage.getItem('tok') || '';
+function api(p, opt){ opt=opt||{};
+  opt.headers = Object.assign({'Authorization':'Bearer '+TOK}, opt.headers||{});
+  return fetch(p,opt).then(async r=>{const j=await r.json().catch(()=>({}));
+    if(r.status===401){logout();throw new Error('unauthorized')}
+    if(!r.ok) throw new Error(j.error||('HTTP '+r.status));
+    return j;});
+}
+function toast(msg,ok){const t=document.getElementById('toast');t.textContent=msg;t.className='show '+(ok?'ok':'err');setTimeout(()=>t.className='',2600)}
+function esc(s){return (s||'').replace(/[&<>"']/g,c=>({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#39;'}[c]))}
+function login(){fetch('/api/login',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({password:document.getElementById('pw').value})})
+  .then(r=>r.json()).then(j=>{if(!j.token)throw new Error('неверный пароль');TOK=j.token;localStorage.setItem('tok',j.token);showApp()}).catch(e=>toast(e.message,false))}
+function logout(){localStorage.removeItem('tok');TOK='';location.reload()}
+function showApp(){document.getElementById('login').classList.add('hidden');document.getElementById('app').classList.remove('hidden');tab('status')}
+function tab(n){document.querySelectorAll('#app main > div').forEach(t=>t.classList.toggle('hidden',t.id!=='t-'+n));document.querySelectorAll('aside nav button').forEach(b=>b.classList.toggle('on',b.dataset.t===n));if(n==='status')loadStatus();if(n==='clients')loadClients();if(n==='tunnel')loadStealth();if(n==='panel')loadPanel();if(n==='logs')loadLogs()}
+
+async function loadStatus(){try{const s=await api('api/status');
+  const badge=s.service==='active'?'<span class="badge ok">active</span>':'<span class="badge bad">'+esc(s.service)+'</span>';
+  const g=document.getElementById('statusGrid');g.innerHTML='';
+  [['Сервис',badge],['Порты',(s.ports||[]).join(', ')||'-'],['Пути',(s.paths||[]).join(', ')||'-'],['Зеркало',esc(s.target||'-')],['Клиентов',s.clientCount||0]].forEach(([k,v])=>{
+    const d=document.createElement('div');d.className='card stat';d.innerHTML='<div class="k">'+k+'</div><div class="v">'+v+'</div>';g.appendChild(d)})}catch(e){toast(e.message,false)}}
+
+async function loadClients(){try{const j=await api('api/clients');const L=document.getElementById('clientsList');L.innerHTML='';
+  if(!j.clients.length){L.innerHTML='<div class="card mut">Клиентов пока нет — добавьте первого.</div>';return}
+  j.clients.forEach(cl=>{const d=document.createElement('div');d.className='cli';
+    d.innerHTML='<div class="nm">'+esc(cl.name||'—')+'</div><div class="uid">'+esc(cl.id||'')+'</div>'+
+      '<div class="acts">'+
+      '<button class="ghost" title="Скопировать vless:// ссылку" onclick="copyLink(\''+esc(cl.id)+'\')">⧉ ссылка</button>'+
+      '<button class="ghost" title="Скопировать конфиг" onclick="copyConfig(\''+esc(cl.id)+'\')">⧉ конфиг</button>'+
+      '<button class="ghost" title="Скопировать UUID" onclick="copyText(\''+esc(cl.id)+'\',\'UUID скопирован\')">⧉ uuid</button>'+
+      '<button class="ghost" title="Новый UUID" onclick="rotClient(\''+esc(cl.id)+'\')">⟳</button>'+
+      '<button class="ghost" title="Удалить" onclick="delClient(\''+esc(cl.id)+'\')">✕</button>'+
+      '</div>';
+    L.appendChild(d)})}catch(e){toast(e.message,false)}}
+async function addClient(){try{const n=document.getElementById('newName').value.trim();const j=await api('api/clients',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({name:n||'client'})});toast('клиент добавлен',true);document.getElementById('newName').value='';loadClients()}catch(e){toast(e.message,false)}}
+async function delClient(id){if(!confirm('Удалить клиента?'))return;try{await api('api/clients/'+id,{method:'DELETE'});toast('клиент удалён',true);loadClients()}catch(e){toast(e.message,false)}}
+async function rotClient(id){try{const j=await api('api/clients/'+id+'/rotate',{method:'POST'});toast('новый UUID выдан',true);loadClients()}catch(e){toast(e.message,false)}}
+async function copyConfig(id){try{const r=await fetch('api/clients/'+id+'/config',{headers:{'Authorization':'Bearer '+TOK}});const txt=await r.text();await navigator.clipboard.writeText(txt);toast('конфиг client-stealth.json скопирован',true)}catch(e){toast('скопировать не удалось: '+e.message,false)}}
+async function copyLink(id){try{const r=await fetch('api/clients/'+id+'/link',{headers:{'Authorization':'Bearer '+TOK}});const j=await r.json();await navigator.clipboard.writeText(j.link);toast('vless:// ссылка скопирована',true)}catch(e){toast('ошибка: '+e.message,false)}}
+function copyText(t,msg){navigator.clipboard.writeText(t).then(()=>toast(msg||'скопировано',true)).catch(e=>toast(e.message,false))}
+
+async function loadStealth(){try{const s=await api('api/stealth');
+  document.getElementById('paths').value=(s.paths||[]).join('\n');
+  const set=(id,v)=>document.getElementById(id).value=(v===undefined?'':v);
+  set('ports',(s.ports||[]).join(', '));set('padMax',s.padMax);set('padProb',s.padProb);set('paceMs',s.paceMs);set('paceJitterMs',s.paceJitterMs);set('bps',s.bps);set('retries',s.retries);set('padProfile',s.padProfile);set('target',s.target);set('decoy',s.decoy);set('decoyEverySecs',s.decoyEverySecs);set('decoyTarget',s.decoyTarget)}catch(e){toast(e.message,false)}}
+async function saveStealth(){try{const num=v=>{const n=Number(v);return isNaN(n)?0:n};
+  const body={paths:document.getElementById('paths').value.split('\n').map(s=>s.trim()).filter(Boolean),
+    ports:document.getElementById('ports').value.split(',').map(s=>Number(s.trim())).filter(Boolean),
+    padMax:num(document.getElementById('padMax').value),padProb:num(document.getElementById('padProb').value),
+    paceMs:num(document.getElementById('paceMs').value),paceJitterMs:num(document.getElementById('paceJitterMs').value),
+    bps:num(document.getElementById('bps').value),retries:num(document.getElementById('retries').value),
+    padProfile:document.getElementById('padProfile').value,target:document.getElementById('target').value,
+    decoy:document.getElementById('decoy').value==='true',decoyEverySecs:num(document.getElementById('decoyEverySecs').value),
+    decoyTarget:document.getElementById('decoyTarget').value};
+  const j=await api('api/stealth',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(body)});toast('сохранено, xray: '+(j.restart||'ok'),true)}catch(e){toast(e.message,false)}}
+async function rotStealthKey(){try{const j=await api('api/stealth/key',{method:'POST'});toast('новый stealth-ключ: '+j.key,true)}catch(e){toast(e.message,false)}}
+
+async function loadPanel(){try{const p=await api('api/panel');document.getElementById('pServer').value=p.serverName||'';document.getElementById('pBind').value=p.bind;document.getElementById('pConfig').value=p.config}catch(e){toast(e.message,false)}}
+async function savePanel(){try{await api('api/panel',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({serverName:document.getElementById('pServer').value,bind:document.getElementById('pBind').value,config:document.getElementById('pConfig').value,password:document.getElementById('pPass').value})});toast('сохранено',true);document.getElementById('pPass').value=''}catch(e){toast(e.message,false)}}
+
+async function restart(){try{const j=await api('api/restart',{method:'POST'});toast('xray: '+(j.restart||'ok'),true);loadStatus()}catch(e){toast(e.message,false)}}
+async function loadLogs(){try{const j=await api('api/logs?n=150');document.getElementById('logs').textContent=j.logs||''}catch(e){toast(e.message,false)}}
+
+if(TOK){showApp()}else{document.getElementById('pw').focus()}
+</script>
+</body></html>
+`
@@ -185,14 +185,14 @@ func ListenStealth(ctx context.Context, address xnet.Address, port xnet.Port, st
 						} else {
 							nb = rewriteBodyRefs(body, target.Host, host)
 						}
-						if !bytes.Equal(nb, body) {
-							resp.Body.Close()
-							resp.Body = io.NopCloser(bytes.NewReader(nb))
-							resp.ContentLength = int64(len(nb))
-							resp.Header.Set("Content-Length", strconv.Itoa(len(nb)))
-							resp.Header.Del("Content-Encoding")
-							resp.Header.Del("Transfer-Encoding")
-						}
+						// always re-inject the body: io.ReadAll drained the
+						// original, so even an unchanged body must be re-wrapped
+						resp.Body.Close()
+						resp.Body = io.NopCloser(bytes.NewReader(nb))
+						resp.ContentLength = int64(len(nb))
+						resp.Header.Set("Content-Length", strconv.Itoa(len(nb)))
+						resp.Header.Del("Content-Encoding")
+						resp.Header.Del("Transfer-Encoding")
 					}
 				}
 				return nil
@@ -0,0 +1,81 @@
+#!/usr/bin/env bash
+# sdm-xray — полная деинсталляция сервера stealth-туннеля.
+# Зеркало install.sh: убирает ровно то, что он ставил.
+# Использование:
+#   sudo bash uninstall.sh [domain]
+# где [domain] — домен, для которого выпущен Let's Encrypt-сертификат
+# (если не передан, домен автоопределяется из nginx-конфига /etc/nginx/sites-available/sdm).
+set -u
+
+if [ "${1:-}" = "-h" ] || [ "${1:-}" = "--help" ]; then
+  sed -n '2,9p' "$0"
+  exit 0
+fi
+
+DOMAIN="${1:-}"
+INSTALL_DIR="/usr/local/xray"
+DATA_DIR="/etc/xray"
+
+if [ -z "$DOMAIN" ] && [ -f /etc/nginx/sites-available/sdm ]; then
+  DOMAIN="$(grep -m1 'server_name' /etc/nginx/sites-available/sdm 2>/dev/null | awk '{print $2}' | tr -d ';')"
+fi
+
+echo "=== sdm-xray uninstall ==="
+[ -n "$DOMAIN" ] && echo "domain: $DOMAIN" || echo "domain: (не определён)"
+
+echo "--- stop & disable systemd services ---"
+for svc in sdm-panel xray; do
+  if [ -f "/etc/systemd/system/$svc.service" ]; then
+    systemctl stop "$svc" 2>/dev/null || true
+    systemctl disable "$svc" 2>/dev/null || true
+    rm -f "/etc/systemd/system/$svc.service"
+    echo "removed $svc.service"
+  else
+    echo "$svc.service not present"
+  fi
+done
+systemctl daemon-reload
+
+echo "--- remove binaries & data ---"
+rm -rf "$INSTALL_DIR"
+rm -rf "$DATA_DIR"
+echo "removed $INSTALL_DIR"
+echo "removed $DATA_DIR (config.json, panel.json, uuid, key)"
+
+echo "--- nginx site ---"
+rm -f /etc/nginx/sites-enabled/sdm
+rm -f /etc/nginx/sites-available/sdm
+if [ -f /etc/nginx/sites-available/default ] && [ ! -e /etc/nginx/sites-enabled/default ]; then
+  ln -sf /etc/nginx/sites-available/default /etc/nginx/sites-enabled/default
+  echo "restored default nginx site"
+fi
+if nginx -t >/dev/null 2>&1; then
+  systemctl reload nginx 2>/dev/null || true
+  echo "nginx reloaded"
+else
+  echo "WARN: nginx config is broken — fix manually (nginx -t)"
+fi
+
+echo "--- letsencrypt certificate ---"
+if [ -n "$DOMAIN" ]; then
+  if [ -d "/etc/letsencrypt/live/$DOMAIN" ]; then
+    if command -v certbot >/dev/null 2>&1; then
+      certbot delete --cert-name "$DOMAIN" --non-interactive >/dev/null 2>&1 \
+        || echo "WARN: certbot delete failed — удалите серт вручную: sudo certbot delete --cert-name $DOMAIN"
+    fi
+    rm -f "/etc/letsencrypt/renewal/$DOMAIN.conf"
+    rm -rf "/etc/letsencrypt/live/$DOMAIN" "/etc/letsencrypt/archive/$DOMAIN"
+    echo "removed LE cert for $DOMAIN"
+  else
+    echo "no cert for $DOMAIN"
+  fi
+else
+  echo "domain not given — LE cert NOT removed. Вручную: sudo certbot delete --cert-name <domain>"
+fi
+
+echo
+echo "=== UNINSTALLED ==="
+echo "Остались apt-пакеты (не удаляю — их могут использовать другие сервисы):"
+echo "  curl openssl jq nginx certbot"
+echo "  полностью снести: sudo apt-get purge -y --auto-remove nginx certbot"
+echo "Остался файл сертификата: /var/www/html/.well-known/acme-challenge (можно удалить вручную)"
Author	SHA1	Message	Date
ded_ikar	9f6bff6704	sdm-xray v0.2.2: self-signed mode, uninstall.sh, panel v3 (TLS/REALITY, stats, backup), tests, docs Added: - install.sh --selfsigned: no-domain mode with pinnedPeerCertSha256 - uninstall.sh: full removal of what install.sh deploys - Panel v3: TLS/REALITY switch, client rename, log level, backup/restore, version+cert status, traffic stats (xray stats API) - Auto-pin for self-signed certs in generated configs/links - Go tests (14 tests, all passing) - CHANGELOG.md, ARCHITECTURE.md, README.md rewrite - Email defaults to UUID when client name is empty (fixes stats) Fixed: - install.sh SIGPIPE and double-v banner - Mirror drained body bug (iana.org)	2026-08-17 19:11:41 +05:00
ded_ikar	bebd23d339	install.sh: add --selfsigned mode (no domain, self-signed cert + pinnedPeerCertSha256); bump VERSION to v0.2.2	2026-08-17 14:56:22 +05:00
ded_ikar	389d90bc83	add uninstall.sh: full removal of what install.sh deploys (services, binaries, configs, nginx site, LE cert)	2026-08-17 14:19:04 +05:00
ded_ikar	d352912b9b	sdm-xray v0.2.1: panel v2, fixed install.sh (SIGPIPE/double-v), fixed mirror, PROTOCOL.md + patch	2026-08-16 20:36:45 +05:00