fix: 让 D601 proxy 使用 vpn-server Hysteria2

2026-07-20 05:00:49 +02:00
parent 8dc700db8c
commit a05ba5844c
4 changed files with 96 additions and 7 deletions
@@ -63,7 +63,7 @@ D601/D518 结果必须分表记录：`STATE`、Job/run、duration、`APK/NPM/GO/
  - 集群入口经 Windows 宿主内网 SSH 分发静态客户端到 guest。
  - Windows staging 工件按 YAML URL 获取并校验 SHA-256，Provider/trans 不搬运大二进制。
  - 启动 `k3s-agent` 前必须验证外网 probe。
-  - WireGuard 已建立的 worker 通过隧道地址连接 control-plane `vpn-server`，不为 proxy 单独开放公网端口。
+  - WireGuard 只承载集群三层网络；NAT 或链路不稳定的 worker proxy 消费 `vpn-server` 输出的 Hysteria2 client YAML。
  - containerd 直接通过 host proxy 访问上游 registry，不使用公共镜像站。

 `sub2api-egress-proxy` 的持久化配置从 `config/platform-infra/sub2api.yaml` 渲染，运行面变更必须通过受控 CLI 落地。不要把一次性 `kubectl patch` 留作最终状态。