公网中继 lileikeji/dsh-public-relay

DSH 公共中继

让一个跑在 NAT 之后的 DeepSeek Harness (DSH) 本地 Web UI，能被任意地点的手机/远程浏览器通过一个公共域名访问——不需要公网 IP、不需要端口映射、不依赖第三方隧道服务（ngrok/cloudflared 等）。

一个极简的自托管中继：用一台公共 VPS 加一条反向 SSH 隧道，把 NAT 之后的 DSH web UI 暴露到公网——不需要公网 IP、不需要端口映射、不依赖第三方隧道。

手机(任意位置)
│ https://relay.example.com/r/<hostId>/...
▼
[ 公共中继服务器 VPS ] │ nginx → broker(:39100) ┌── 这台就是你的桌面 ▼ │ dsh web (127.0.0.1:3081) ssh -R 反向隧道 127.0.0.1:<relayPort> ────────────► 127.0.0.1:<webport>

组件

| 目录 | 内容 | 跑在哪 |
| relay-broker/ | dsh-relay-broker.mjs（Node HTTP broker）、systemd 单元、env 模板 | 公共 VPS |
| nginx/ | 公网域名 vhost（server_name、/r/<hostId>/ 转发、/plugins/ 直连、占位页） | 公共 VPS |
| launcher/ | 桌面侧 PowerShell：launch-dsh.ps1 + dsh-common.ps1 + dsh-supervisor.ps1 + setup-dsh-public-relay.ps1 + diag-relay.ps1 | 桌面 (Windows) |

工作原理

1. 注册：桌面启动时带共享的 join token 调用 POST /_relay/register（附 hostId + deviceSecret）。broker 校验 token 后为其分配一个仅本机监听的中继端口 41000–41999，并持久化注册表。
2. 隧道：桌面用 ssh -R 127.0.0.1:<relayPort>:127.0.0.1:<webPort> root@<server> 建反向隧道，把服务器上的该端口反向映射回桌面的 dsh web。
3. 访问：用户打开 https://<domain>/r/<hostId>/...，nginx 转发给 broker；broker 根据 hostId 找到对应中继端口、剥掉 /r/<hostId>/ 前缀后转发；双端通过 dsh_relay_host cookie 把该浏览器的根相对资源（/plugins/、/api/、/m/、WebSocket）都钉在同一台桌面。

安全模型

- joinToken（≥32 字符，Bearer）门槛注册；hostId 为不透明 32 位十六进制；deviceSecret（48–128 hex）证明主机在重复注册时的所有权。
- broker 只连 127.0.0.1:<分配端口>，绝不连任意外部目标。
- 仓库内无任何真实密钥/IP/域名——全部来自环境变量（见下）。

部署

A. 公共 VPS（博主侧）

1. 放 broker 与 service：
mkdir -p /opt/dsh-relay-broker /var/lib/dsh-relay-broker
cp relay-broker/dsh-relay-broker.mjs /opt/dsh-relay-broker/
cp relay-broker/dsh-relay-broker.service /etc/systemd/system/
cp relay-broker/dsh-relay-broker.env.example /etc/dsh-relay-broker.env
编辑 /etc/dsh-relay-broker.env，填 DSH_RELAY_PUBLIC_HOST + DSH_RELAY_JOIN_TOKEN
systemctl daemon-reload && systemctl enable --now dsh-relay-broker

2. 配 nginx（参考 nginx/relay.example.com.conf，把 relay.example.com 换成你的域名，配好 TLS/ACME）。
3. ⚠️ 若域名挂了 CDN/WAF：在 CDN 控制台给 /plugins/（建议连 /api/、/m/）加「不缓存 / 放行」规则，否则边缘会拦掉 DSH 插件 bundle（详见 docs/TROUBLESHOOTING.md）。

B. 桌面（Windows）

1. 设环境变量（也可写进 dsh-common.ps1 顶部的默认值）： $env:DSH_RELAY_PUBLIC_HOST = "relay.example.com" # 公网域名 $env:DSH_RELAY_HOST = "123.45.67.89" # VPS 的 SSH host $env:DSH_RELAY_USER = "root" $env:DSH_RELAY_KEY_PATH = "$env:USERPROFILE\.ssh\id_rsa" # 能免密 SSH 的私钥 $env:DSH_WEB_PORT = "3081"

2. 一次性注册（把 <你的joinToken> 换成 VPS 上 DSH_RELAY_JOIN_TOKEN 的值）： .\launcher\setup-dsh-public-relay.ps1 -JoinToken <你的joinToken>

3. 启动（会注册→起 web→建隧道→拉起 supervisor）： .\launcher\launch-dsh.ps1

4. 手机/远程浏览器打开启动日志里打印的公网地址即可；桌面 DSH 的「手机远程」（remote-web-ui）面板也会自动同步 publicBaseUrl。

环境变量一览（桌面侧，dsh-common.ps1）

| 变量 | 默认 | 说明 |
| DSH_RELAY_PUBLIC_HOST | relay.example.com | 公网域名（nginx server_name）|
| DSH_RELAY_HOST | relay.example.com | VPS SSH 目标 |
| DSH_RELAY_USER | root | VPS SSH 用户 |
| DSH_RELAY_KEY_PATH | ~/.ssh/id_rsa | 免密 SSH 私钥 |
| DSH_RELAY_API | https://<PUBLIC_HOST>/_relay/register | 注册端点（一般不用改）|
| DSH_RELAY_JOIN_TOKEN | — | 首启动注册 token |
| DSH_WEB_PORT | 3081 | 本地 dsh web 端口 |

许可证

MIT。