Нода Remnawave: установка и подключение к панели

Установка ноды в документации Remnawave выглядит как «скопируй compose из панели и вставь на сервер». Это правда. Остальное (что внутри этого compose, почему порт ноды нельзя оставлять открытым и что делать, когда нода не выходит в online) документация оставляет на тебя.

#Как нода связана с панелью

Панель не содержит Xray-core. Ядро живёт в контейнере remnanode, а панель им управляет: отправляет конфигурацию, забирает статистику, перезапускает.

• Кто кому звонит. Нода слушает порт NODE_PORT и принимает на нём внутренние API-запросы от панели. Больше этот порт ни для чего не используется. Соединение инициирует панель, поэтому на сервере панели для нод ничего открывать не нужно.
• Как защищено. По исходникам ноды это HTTPS-сервер с TLS 1.3 и обязательным клиентским сертификатом (requestCert + rejectUnauthorized), то есть взаимная проверка сертификатов, mTLS.
• Что такое SECRET_KEY. Упакованный набор из сертификата корневого CA панели, сертификата и ключа ноды, подписанных этим CA, и публичного ключа JWT панели. Нода при старте проверяет набор и печатает в лог рамку SECRET_KEY OK или SECRET_KEY INVALID.

Корневой CA хранится в базе панели (таблица keygen). Отсюда два следствия. Дамп базы восстанавливает панель вместе с CA, и старые ноды подключаются как раньше. Потеря базы или команда Reset certs в Rescue CLI означает новый SECRET_KEY для каждой ноды.

#Требования

По документации: Ubuntu или Debian, минимум 1 ядро и 1 ГБ RAM. Сама нода лёгкая, но Xray под нагрузкой может съесть заметно CPU и памяти. Нужен Docker с плагином Compose:

sudo curl -fsSL https://get.docker.com | sh

#Установка

Порядок из документации: сначала нода создаётся в панели, потом compose переносится на сервер.

#1. Каталог на сервере ноды

mkdir /opt/remnanode && cd /opt/remnanode

#2. Нода в панели

Nodes → Management → +. Основные поля:

Дальше кнопка Copy docker-compose.yml.

#3. Compose на сервере

cd /opt/remnanode && nano docker-compose.yml

Вставляешь скопированное. По структуре это совпадает с docker-compose-prod.yml из репозитория ноды, только с твоими значениями:

services:
  remnanode:
    image: remnawave/node:latest
    container_name: remnanode
    hostname: remnanode
    network_mode: host
    restart: always
    cap_add:
      - NET_ADMIN
    ulimits:
      nofile:
        soft: 1048576
        hard: 1048576
    environment:
      - NODE_PORT=2222
      - SECRET_KEY="сюда панель подставит ключ"

• network_mode: host: контейнер живёт в сетевом стеке хоста, Xray слушает порты инбаундов прямо на сервере, публиковать их через ports: не нужно. Побочный эффект: NODE_PORT тоже слушается на всех интерфейсах сервера.
• cap_add: NET_ADMIN: в сообществе после 2.7.4 его добавляли вручную при обновлении ( Установка и обновление). По релизам, начиная с Node 2.6.0 с этой capability нода сбрасывает соединения пользователя, удалённого из Xray ( Релизы). В официальном compose он уже есть.

#4. Запуск

docker compose up -d && docker compose logs -f -t

В логе ищешь рамку SECRET_KEY OK. Если там SECRET_KEY INVALID, ключ скопирован с обрезанными символами или от другой панели.

#5. Профиль конфигурации

В карточке создания ноды Next, выбираешь Config Profile, затем Create.

Config Profile в терминах Remnawave это полная конфигурация Xray-core для ноды со всеми инбаундами и общими настройками. На ноду назначается ровно один профиль, но в профиле может быть сколько угодно инбаундов, и для каждой ноды можно выбрать, какие из них включить. После ноды нужен хост (Hosts): точка входа, которую увидит клиент в подписке. Сразу после установки панели есть автоматически созданный профиль по умолчанию. Рабочий профиль с VLESS и Reality собирается по гайду VLESS + Reality, вариант с XHTTP и своим сайтом-заглушкой в гайде XHTTP и selfsteal.

#Файрвол

Документация отдельно предупреждает: закрой NODE_PORT в файрволе ноды для всех, кроме IP панели.

ufw allow 2222

tcp dport 2222 ip saddr $PANEL_IP accept

За основу бери конфиг из гайда nftables: минимальный файрвол и добавь правила ноды в цепочку input:

define PANEL_IP = 203.0.113.10

table inet filter {
  chain input {
    type filter hook input priority filter; policy drop;
    # ... established, lo, icmp, ssh как в базовом конфиге ...

    # управление нодой: только с IP панели
    tcp dport 2222 ip saddr $PANEL_IP accept

    # порты инбаундов из профиля, например VLESS Reality на 443
    tcp dport 443 accept
  }
}

Замени 2222 на свой NODE_PORT, а список клиентских портов сверь с инбаундами профиля. Если панель ходит к ноде по IPv6, нужно аналогичное правило с ip6 saddr.

Нода работает в network_mode: host, поэтому Docker не создаёт для неё правил проброса портов, и цепочка input действительно фильтрует её трафик. С контейнерами на ports: это не так, подробности в гайде Docker для панелей и ботов.

#sysctl

Дефолтное ядро не рассчитано на сотни клиентов. BBR, буферы и лимиты описаны в гайде sysctl для ноды.

#Проверка, что нода online

• В Nodes → Management статус показывают иконка слева и цвет карточки. У подключённой ноды в карточке видны uptime Xray-core, число подключений, версии Xray и ноды.
• Логи самой ноды:

cd /opt/remnanode && docker compose logs -f -t

• Логи Xray-core внутри контейнера:

docker exec remnanode xlogs

• Конфиг, с которым Xray запущен сейчас (Rescue CLI ноды):

docker exec -it remnanode cli --dump-config

Если SECRET_KEY из панели скопировать не получается, его выдаёт Rescue CLI панели: docker exec -it remnawave cli, пункт Get SECRET_KEY for a Remnawave Node.

#Логи Xray в файл

Официальный рецепт: смонтировать /var/log/remnanode в контейнер (volumes: - '/var/log/remnanode:/var/log/remnanode'), в профиле указать "error": "/var/log/remnanode/error.log" и "access": "/var/log/remnanode/access.log". Документация предупреждает: без ротации логи забьют диск.

/var/log/remnanode/*.log {
      size 50M
      rotate 5
      compress
      missingok
      notifempty
      copytruncate
  }

mkdir -p /var/log/remnanode && logrotate -vf /etc/logrotate.d/remnanode

Бэкапить на ноде почти нечего: конфигурация хранится в панели. В сообществе ноду переподнимают за несколько минут, сохраняя только compose и логи ( Установка и обновление).

#Обновление

cd /opt/remnanode && docker compose pull && docker compose down && docker compose up -d && docker compose logs -f

Сначала панель, потом ноды. Подробности и откат в гайде Обновления без поломок.

#Типовые ошибки

Остальные случаи с датами в индексе ошибок и в разделе Ошибки → фиксы.

#Источники

• Remnawave: Requirements, Remnawave Node, Upgrading
• Remnawave: Nodes, Config Profiles, Common errors, Useful commands, Rescue CLI, исходники документации в remnawave/panel
• remnawave/node 3.4.1: docker-compose-prod.yml, .env.sample, main.ts, config.schema.ts, validate-secret-key.util.ts, релизы
• remnawave/backend 3.4.4: cli.ts, schema.prisma
• Docker Hub: remnawave/node
• Опыт сообщества: Установка и обновление, Docker-compose, Ошибки → фиксы, Релизы, Индекс ошибок