Ссылка на подписку — это пароль
Один адрес подписки выдаёт все ваши узлы: адреса, порты и пароли. Кинуть его в чат за помощью, показать на скриншоте, вставить конфигурацию в онлайн-валидатор YAML — каждое из трёх действий отдаёт аккаунт постороннему.
Если конфигурацию действительно надо кому-то показать, сначала уберите ссылку и строки server и password из блока proxies. Оставшихся rules и proxy-groups хватает, чтобы разобрать почти любую проблему.
Про онлайн-валидаторы забывают чаще всего
Вставленный текст перестаёт быть вашим, а логи там ведут многие.
Три двери, открытые наружу
- 1
Порт внешнего управления оставьте локальным
Внешний контроллер по умолчанию слушает 9097, а на давних установках 9090, и нужен для того, чтобы сторонние панели и консольные утилиты дотянулись до ядра. Пока он привязан к 127.0.0.1, всё нормально. Стоит переключить его на все адреса и не задать secret, как любой человек в той же сети сможет переключать ваши узлы и читать список соединений. Нужен удалённый доступ — задавайте secret в тот же заход.
- 2
Переключатель локальной сети возвращайте назад
Доступ из локальной сети существует ради телефона или телевизора рядом. Никакой авторизации за ним нет. Вся его защита держится на допущении, что до порта дотянутся только свои, а в кафе, аэропорту и отеле это допущение неверно.
- 3
Уровень debug записывает посещённые домены
Поднять уровень логов до debug на время разбора проблемы правильно, но в файл попадает каждый DNS-запрос и каждое соединение, а это фактически история браузера. Разобрались — верните info и заодно очистите файлы логов. И прочитайте лог сами, прежде чем кому-то его отправлять.
Последний проход перед уходом
Перед выходом убедитесь, что системный прокси выключен. Клиент прописывает его в настройки системы и направляет на 127.0.0.1:7897, а на старых установках на 7890. Если закрыть программу, а запись оставить, следующий человек за этим компьютером обнаружит, что браузеры никуда не открываются. На общей машине это стоит проверить дважды.
- Установочные файлы берите только с github.com/clash-verge-rev/clash-verge-rev/releases
- Шифрованный DNS в браузере обходит всю выстроенную схему разрешения имён — выключите его
- WebRTC способен напрямую показать ваш настоящий адрес, проверьте это заранее
Частые вопросы
Ссылка на подписку ушла не туда. Это можно исправить?
Зайдите в личный кабинет провайдера и найдите сброс адреса подписки, иногда он называется сбросом токена. Старая ссылка перестаёт работать сразу, и у того, кто её получил, не остаётся ничего. После сброса удалите старый профиль в Clash Verge и импортируйте новый адрес. Кнопки сброса нет — пишите в поддержку: смена пароля от аккаунта сама по себе ссылку обычно не отключает.
Есть ли в файле логов что-то личное?
На уровне info там в основном открытие соединений, срабатывания правил и ошибки: домены встречаются, но не подряд. На уровне debug картина другая — внутри и DNS-запросы, и адрес назначения каждого запроса. Поэтому перед отправкой лога либо верните info и воспроизведите проблему заново, либо прочитайте файл и вручную вычистите домены и адреса узлов.