节点

节点是运行 Mistgate Agent（mistgate-node）的服务器。面板会告诉 Agent 要运行哪些协议配置，Agent 会报告自身状态、流量和主机信息。本页按标签页介绍节点部分和节点页面。要连接新服务器，请参阅添加节点。

节点列表#

页眉显示节点数、在线人数和有问题的节点数（「3 个节点 · 12 人在线 · 1 个有问题」）。添加节点会打开通过 SSH 安装节点的对话框，或生成手动安装命令：请参阅添加节点。

表格上方有：

• 状态标签：全部、有问题和正常，每项都显示数量；
• 全部协议：只显示运行某一种协议配置的节点；
• 所有国家：只显示某个国家的节点。

在手机上，表格会变成每个节点一张卡片，显示相同的信息。列表每 10 秒刷新一次。列表中不显示已退役的节点。

如果正常节点上的 Agent 版本早于面板附带的版本，节点会显示 正常 · Agent 版本过旧 和当前版本；该行链接到更新。请参阅更新。

节点状态#

问题状态包括红色状态和需要关注，但不包括时钟警告：时钟警告会显示，但不会计入问题数量。这些数量会显示在节点列表页眉、概览页和菜单中。

节点页面#

页眉显示国家代码、名称、状态；如果节点有 WARP 账户，还会显示 WARP 标签（WARP 正常运行时，标签显示 Cloudflare 数据中心，并链接到 WARP 卡片）。名称下方显示位置、服务商、地址、Agent 版本；有较新版本时还会显示Agent 版本过旧。

右侧有两个按钮：

• 重启协议配置会重启此节点上的所有协议配置。对话框会说明有多少人会断开几秒；他们会自动重新连接。Agent 未连接或节点上没有协议配置时，此按钮不可用。
• 诊断会打开诊断标签页。

页眉下方的横幅会说明当前状态以及相应的操作：

「无法连接」横幅中的命令需要通过 SSH 在节点上运行：

systemctl restart mistgate-node && journalctl -u mistgate-node -n 50 --no-pager

页面有七个标签页：概览、协议配置、用户、日志、事件、诊断和设置。协议配置标签页显示启动失败的协议配置数量；诊断标签页显示需要关注的检查项数量。

概览#

• CPU、RAM、DISK、NETWORK：最近一次读数。CPU 条会用另一种颜色显示 softirq（网络中断）部分，并显示 vCPU 数量和负载。Agent 连接几秒后会收到读数；离线节点会保留最近一次读数，并显示离线时间。
• 流量 · 24 小时：此节点每小时的流量。
• 告警：此节点未关闭的告警，按钮与运行状况页面上的按钮相同；还显示最近关闭的三条告警。所有告警会打开运行状况页面。没有告警时不显示此卡片。
• 客户端视角检测：每个协议配置一行，显示延迟和出口 IP，或失败原因。点击一行可打开其 24 小时历史记录。立即检测会对该节点启动一轮检测。
• 按协议统计在线人数：按协议显示当前连接人数。
• 主机信息：主机名、操作系统、内核、架构、CPU、RAM、磁盘、虚拟化、IPv6、启动时间和引擎版本。

检查、告警和诊断的说明见运行状况。

协议配置#

节点上的每个协议配置占一行。名称链接到协议配置页面；下方显示所用协议。

Hysteria2 行显示：

• 端口：此节点使用的 UDP 端口；
• 域名（SNI）：证书中的服务器名称；
• 证书：到期日期（剩余不足 14 天时显示琥珀色，不足 3 天时显示红色）、自签名，已固定指纹，或无：协议配置未运行。

AmneziaWG 行显示端口、后端（内核或用户态及其版本）、出口（直连或WARP）和设备（「5 · 2 个在线」），以及显示最近一次握手的状态行。

右侧显示状态：运行中、启动中、启动失败或已关闭。协议配置启动失败时，系统会显示原因说明和 Agent 返回的错误文本。原因明确时，会显示相应按钮：更换端口（对话框中已预填一个空闲端口）、设置域名或打开 WARP。

每行有以下操作：

• 编辑：只设置此节点的端口和域名（SNI），以及已启用开关。关闭协议配置后，它仍保留在节点上，但会从订阅中移除。
• 重启：只重启此协议配置。其连接会中断几秒。
• 移除：从节点上移除此协议配置。对话框会说明受影响对象：下次更新订阅时将无法获得此节点的用户，或（对于 AmneziaWG）将停止工作的设备。若将协议配置重新放回同一节点，他们的密钥会恢复使用。

添加协议配置会打开将协议配置部署到此节点的对话框：请参阅协议配置。面板还没有任何协议配置时，对话框会提供创建 Hysteria2 协议配置并部署到此节点的选项，端口为 443（或第一个空闲端口）；另一个选项是手动设置。

用户#

• 当前连接到此节点：显示连接用户、设备型号、协议和当前下载速度。
• 今日流量最高：显示从 00:00 UTC 起经此节点传输流量最多的 10 位用户。

日志#

由面板转发的 Agent 及其引擎实时日志。首先显示最近 200 行，随后显示新写入的行；屏幕最多保留 1,000 行。

• 全部、信息、警告、错误按级别筛选；搜索日志按文本筛选。
• 暂停会冻结屏幕，后台仍会接收新行；继续会重新显示日志。
• 下载会将已接收的内容保存为 <node>-agent.log。

Agent 已连接（正常或无流量）时，此标签页可用。如果连接中断，系统会每 5 秒重新连接。只有所有者能查看日志，其中包含客户端地址。

事件#

按日期分组的节点历史记录：连接、失去响应、恢复连接、添加协议配置、协议配置启动、启动失败和重启、应用设置、Agent 更新和回滚、证书续期、AmneziaWG 模块构建，以及识别出的 BitTorrent 尝试。相关事件会合并为一行。BitTorrent 事件会包含入站和协议，但不包含地址（客户端地址或目标地址）；只有节点能可靠识别用户时，面板才会添加用户名。

全部、问题、协议配置和Agent标签可筛选列表。详情会打开该行对应的原始事件，显示事件代码、准确时间、来源（节点 Agent、面板或管理员操作）和参数。事件按页显示，每页 50 条（也可请求 25 条或 100 条），按时间从新到旧排列；较早会返回更早的事件，较新会回到进入当前页前所在的页面。页码保存在地址中，因此刷新页面或复制链接后仍会保留。筛选结果在当前页为空时，继续搜索会转到更早的一页。

诊断#

节点自身的主机检查分为需要关注、已标记为正常、全部正常和未检查，并列出面板可执行的修复和其余项目的手动步骤。重新检查会要求节点生成新报告。Agent 连接后约 30 秒会收到第一份报告；Agent 版本过旧而无法运行诊断时，会显示指向更新的链接。请参阅运行状况。

端口#

检测端口会从一个已连接的集群节点（或可用时从面板主机）运行两项检查：UDP 可达性和 TCP 可达性。每行显示端口、检测结果、检测时间和来源，以及监听该端口的协议配置。

UDP。 检查会从一个已连接的集群节点（或可用时从面板主机）向此节点发送探测包，并询问 Agent 收到了多少个包。它只能说明从该发送端所在网络路径发出的 UDP 包能否送达。检测通过不代表所有客户端都能访问该端口；检测失败也可能由发送端、路由或基于来源的过滤造成。调查 UDP 可达性时，可将它作为一个观测点。

TCP。 检查会连接节点应当响应的每个 TCP 端口，并确认连接是否抵达 Mistgate 本身，而不是节点前方的其他服务器。节点有 ACME 证书名称时会检查端口 80：Agent 会准备一个一次性令牌，发送端再按 Let’s Encrypt 的方式请求该令牌。Hysteria2 站点端口和每个 VLESS TCP 端口都会针对预期名称执行 TLS 握手。REALITY 目标为其他站点的 VLESS 协议配置，会根据该目标的证书判断。

如果某行显示未检查和简短原因，表示无法探测该端口（Agent 版本过旧、发送端没有到节点的路由、另一项检查正在运行，或检查失败）。完全没有发送端可执行探测时，会保留上次保存的结果。从节点自身主机发送的检查无法证明服务商的过滤情况，因此面板会说明这一点，并且不保存结果。

在各行下方，会显示节点的 Let’s Encrypt 证书能否续期：

• 端口 80 已开放：证书会通过端口 80 续期。
• 端口 80 已关闭，但 TCP 443 可响应 Let’s Encrypt：证书会通过 443 上的 TLS 续期。需要有监听器在 443 上响应，例如 Hysteria2 站点，或 REALITY 目标为本节点站点的 VLESS 协议配置。
• 端口 80 已关闭，且 TCP 443 无法响应 Let’s Encrypt：证书将无法继续续期。如果有 VLESS 协议配置使用其他站点占用 443，此行会显示其名称。在服务商处开放 TCP 80、将 VLESS 移到 8443，或将其 REALITY 目标改为本节点站点。

节点没有 ACME 证书名称，或无法探测端口 80 时，不会显示此行。端口 80 的检测结果也会决定 VLESS 协议配置暂停 Hysteria2 站点时所显示的证书提示：在同一节点上运行 VLESS 和 Hysteria2。

在 VPS 安装中，面板每 6 小时会为每个在线且具备 udpcheck 能力、并有已启用入站的节点重复运行检测。检测到丢包或故障时，会立即再检查一次以确认结果；告警根据最近一次检测结果触发。同一计划任务也会刷新 TCP 行，但这些行不会单独触发告警。

设置#

此标签页从上到下包含 WARP 卡片、节点字段、SSH 凭据卡片（通过 SSH 安装的节点）、AmneziaWG 后端卡片、仅所有者可见的新安装命令和危险区域。WARP 详见 WARP，后端详见 AmneziaWG。新安装命令适用于证书丢失或服务器重装的情况：请参阅添加节点。SSH 凭据卡片显示已保存的 SSH 服务器和用户名；重新登录确认后，显示密码会显示密码。密码的保存和更改方式见通过 SSH 安装节点。

保存只会提交更改过的内容。大多数设置无需重新连接即可生效；更改 BitTorrent 设置会重启节点上的 Hysteria2 协议配置。

测量网络带宽#

服务商通常不会说明实际带宽，虚拟服务器的网卡也不会报告套餐上限，因此节点可以测量自身到互联网的速度。所有者可在网络带宽旁点击测速。每次测量连续运行三轮，每轮间隔一秒，分别取每个方向的最快结果。每轮中，Agent 会通过 6 个并行连接从无需账户的公开测速服务器下载约 5 秒；忽略第一秒（TCP 仍在提速）；随后通过 4 个连接向同一服务器上传约 2 秒。Agent 按以下顺序选择服务器：

1. 最近的 Ookla（Speedtest.net）服务器。 节点会查询公开的 Speedtest.net 服务器列表；列表根据节点自身地址地理定位，因此会返回节点附近（通常位于其服务商网络内）的服务器。Agent 会向每台服务器发送简短的 HTTPS 请求，选用延迟最低的服务器；如果它无法提供服务，则选用延迟第二低的服务器。测试会向该服务器发送 GET /download?size=N 和 POST /upload 请求。这些服务器通常比 Cloudflare 更近、速度更快，也更少受限制；有些国家会限制 Cloudflare。
2. 如果列表或其中的服务器没有响应，则使用 speed.cloudflare.com。Cloudflare 会限制同一地址的请求频率（HTTP 429），因此每轮间隔 3 秒；遇到 HTTP 429 时，按 Retry-After 最多等待 2 秒后继续，不会终止本轮；每个请求都会申请允许的最大数据量 50 MB。
3. 如果也无法连接 Cloudflare，则依次使用 proof.ovh.net 和 cachefly.net 上的文件（仅下载）。

整个测量约需 30 秒，最多传输 1.5 GB（每轮最多下载 400 MB、上传 100 MB），无论服务器状况如何，都会在 45 秒内结束。同一节点一次只能运行一项测量。

面板会显示「测得：940 Mbps ↓ · 870 ↑」，旁边有使用 870。它会将两个方向中较慢的速率四舍五入后填入字段（低于 100 时取 5 的倍数，低于 1,000 时取 10 的倍数，高于此值时取 50 的倍数）：VPN 节点需要双向转发每个字节，而服务商经常不限制入站流量，却会限制出站流量（1 Gbit/s 套餐中的节点可能测得下载 5,000 Mbps、上传 1,000 Mbps）；没有上传数据时则使用下载速率。新节点的首次测量会保存相同数值；只有点击保存后才会保存其他更改，测量本身不会自动覆盖你输入的数值。上传测试使用 Ookla 和 Cloudflare；如果节点改用 OVH 或 CacheFly，便不会测量上传速度。

面板会说明各轮测量结果。 数值下方会显示所用服务器（「经由 Ookla · MTS，莫斯科」表示 Ookla 服务器的赞助方和城市）以及成功轮数；全部成功时显示「3 轮中的最佳结果」。部分轮次失败时会说明失败情况和原因：「3 轮中有 1 轮成功：其他轮次失败，服务器限制了请求」。原因包括：服务器限制请求（HTTP 429）、未能及时响应、完全没有响应、返回错误代码，或剩余时间不足以开始测量。成功轮数越少，结果越不可靠，因为轮数较少时测出的最快值通常更低：请再次点击测速。

节点上现有用户的流量也会计入。 每轮计入的时间段内，Agent 还会读取节点主网络接口的字节计数器（节点负载读数也来自同一计数器）。每轮中，每个方向的估值取测速本身传输量和该时间段内整个网络接口传输量中的较大值，因此测速期间节点用户传输的数据也会计入带宽估值。若网络接口的传输量超过测速本身（并计入测速自身的协议开销），面板会添加「包含用户流量：35 Mbps ↓」。这部分已经包含在数值中，不会额外叠加。无法读取计数器时，只计算测速数据。

此数值是估算值，不是服务商的带宽上限：

• 这是三次短时测试，结果取决于节点到测速服务器的路由；这条路由可能比节点到用户的路由更慢或更快。
• 测量反映节点当前可用的带宽，用户会受到测速影响：在这 30 秒内，用户速度可能下降。
• 极快的链路（超过几 Gbit/s）会在一两秒内触及每轮下载 400 MB 的上限，因此结果只是下限。
• 结果会说明哪台服务器作出响应以及成功轮数。如果服务商说明了带宽上限，请使用服务商给出的数值。

只有所有者可以测速（API 会拒绝令牌和 MCP 请求），每次测量都会写入审计日志（node.bandwidth_measure）。节点需要运行此版本或更新版本的 Agent；Agent 版本过旧时，面板会显示「Agent 过旧」且不会发送请求；同时节点必须保持连接。节点必须能够通过出站 HTTPS 访问测速服务器：www.speedtest.net（服务器列表）和列表中的 Ookla 服务器（端口 8080），或备用服务器。

新节点会自动测量一次：Agent 首次在安装后连接约 45 秒后，如果网络带宽仍为 0，则执行测量。这是面板唯一会自动写入该字段的情况，且仅当字段为 0 时才会写入。结果会记录在节点事件（「首次启动时测得网络带宽」）和审计日志（node.bandwidth_auto）中。面板保存两个方向中较慢的速率，且只有同时测得上传速率时才会保存：如果仅下载测试有响应（测速服务器拒绝上传），则不会写入数值，并会生成警告事件（「首次测量未能……，没有上传数据」），因为链路下载快于上传时，仅使用下载结果会高估带宽。请点击测速并手动填写数值。Agent 版本过旧或测速失败的节点会被跳过且不显示消息：请自行点击测速或输入数值。

拦截已识别的 BitTorrent 流量默认关闭。开启后，节点会拦截其用户发起的明文 BitTorrent 流量（AmneziaWG 在内核中拦截，Hysteria2 在其引擎中拦截），并写入不含地址的 torrent_attempt 事件。此功能需要支持该功能的 Agent。请参阅BT 下载拦截。

客户端 IPv6默认开启（所有节点此前一直如此），只有所有者可以更改。如果服务商分配的 IPv6 地址位于与节点不同的国家，请关闭此选项：应用会按网站选择 IPv4 或 IPv6，因此用户可能随机显示为来自两个国家（IPv4 出口显示节点所在国家，IPv6 出口显示另一个国家，Google 或 YouTube 随后会显示错误的区域）。关闭后，若客户端 IPv6 流量会通过节点自身的上行链路离开，节点会返回 ICMPv6「管理上禁止」，而不是静默丢弃，使应用立即改用 IPv4，无需等待超时。不支持 nftables reject 操作的内核无法执行此操作：此时节点会静默丢弃 IPv6（应用可能等待超时；如果连规则都无法设置，则完全不会阻止 IPv6），并写入警告事件。隧道仍会正常工作。Agent 每 10 分钟重试一次；reject 恢复后会记录恢复事件。

• AmneziaWG。 Agent 会在自身防火墙表（mistgate_awg）中添加一条 reject 规则；重新开启此设置时会将其移除。客户端配置不会更改：客户端 IPv6 地址和 ::/0 路由仍保留在隧道中，因此用户的真实 IPv6 地址不会离开 VPN。发往隧道自身地址的 IPv6 不受影响。预设中的 IPv6 DNS 服务器也会被拒绝，因此设备会改用 IPv4 DNS 服务器。
• Hysteria2。 节点的直连出站连接只使用 IPv4；只有 IPv6 地址的域名将无法访问。已经打开的连接会继续使用原来的地址族；新连接会使用 IPv4。节点自身的名称解析（此节点的 DNS 服务器）保持原样。
• 经 WARP 出口不受影响。 WARP 出口属于 Cloudflare，而不是节点的上行链路，因此节点地址段的地理位置与此无关。

此设置需要报告 client-ipv6/1 的 Agent。旧版 Agent 会将开关显示为灰色，并提示「请更新此节点的 Agent，以关闭该设置」；面板不会向其发送该设置。重新开启 IPv6 始终有效。每次更改都会写入审计日志（node.update，其中的 client_ipv6 为开启或关闭）。

此节点的 DNS 服务器不是应用收到的 DNS 预设；诊断也会单独检查服务器自身的解析器：请参阅 DNS。

用户页面上的 DNS 选择是节点的单独设置，不要与上述解析器混淆。所有者在此勾选用户可在此服务器页面上选择的 DNS 预设（顺序即为页面上的显示顺序），并指定此节点的默认项。只有所有者可以更改此设置；更改会写入审计日志（node_dns_options）。未提供预设的节点不会显示选择项。只有在订阅 → 用户页面中开启页面上的 DNS 选择时，此设置才会生效；它适用于 AmneziaWG 密钥和 Mihomo 配置中的 AmneziaWG 代理。请参阅 DNS。

重命名节点#

更改名称并保存。节点名称会显示在面板和 AmneziaWG 配置文件名中；只有模板使用 {node} 时，它才会显示在应用的服务器名称中。默认模板使用国家和协议配置名称。请参阅订阅。

危险区域：退役节点#

从集群退役会永久移除节点。对话框会列出后续影响：

• 用户的订阅中不再包含此节点；他们的链接保持不变；
• 节点证书会被吊销，其 Agent 会收到停止运行的指令；服务器上的文件会保留；
• 节点记录及其流量历史会保留在审计日志中。

输入节点名称以确认。之后，节点会从列表中消失；如果打开其页面，会显示「此节点已退役」。已退役的 Agent 无法再次连接。只有所有者可以退役节点。

通过 SSH 安装的节点退役后仍会保留SSH 凭据卡片：面板不再更改此服务器，但你仍可查看已保存的密码；清除已保存的凭据需要重新验证并确认两次，之后会永久删除凭据。如果保存的密码由面板生成，退役对话框会先发出警告，因为只有面板知道该密码。

如果节点处于离线状态，Agent 不会收到指令，并会继续为现有用户提供服务。此时面板会停留在节点页面，并显示「{name} 未收到指令」以及手动清理服务器所需的命令；这些命令与添加节点中「移除节点」部分相同。

没有其他删除节点的方式：退役即为移除。之后如需清理服务器，请以 root 身份运行：

systemctl disable --now mistgate-node
rm /etc/systemd/system/mistgate-node.service /usr/local/bin/mistgate-node
rm -r /var/lib/mistgate-node

这些路径是 mistgate-node install 的默认值；如果安装时使用了其他 --bin 或 --state-dir 值，请使用相应路径。

Agent 版本和状态漂移#

• Agent 版本过旧。 面板知道当前附带的最新 Agent 版本。运行旧版本的节点会在列表和页眉中标记为Agent 版本过旧。某些功能需要较新的 Agent，例如诊断、WARP 和自动构建 AmneziaWG 内核模块。请从更新页面更新。
• 能力。 Agent 会列出自己支持的功能，面板只向列出该功能的 Agent 发送它。user-rate-limit/1 表示 Agent 能在节点上让同一用户的多台设备共享一个限速（Hysteria2 和 VLESS）。缺少它的 Agent 所在的节点，会把每台设备限制在用户限速和设备限速中较小的一个，节点的设置标签页会对此作出提示：「此节点上的 Agent 无法在同一用户的多台设备之间共享限速……」。更新 Agent 后，用户限速才会生效。参见用户和分组。
• 状态漂移。 面板会将完整的期望状态发送给每个节点，并比较期望状态与节点已应用状态的哈希值。两者不同时，面板会重新发送状态（事件为「节点状态与面板不一致，已重新发送」）。节点仍应用不同状态时，会显示需要关注和「节点状态与面板不一致」，并触发告警。请重启协议配置；如果问题再次出现，请查看节点日志。
• 时钟偏差。 服务器时钟与面板不一致时，节点会显示相关提示。时钟错误会导致证书和握手失败；请在服务器上开启时间同步（timedatectl set-ntp true）。

谁可以执行哪些操作#

所有管理员都可以查看节点。所有者和协作者可以更改节点设置并重启协议配置。只有所有者可以通过 SSH 安装节点、生成安装命令、查看和清除已保存的 SSH 凭据、退役节点、查看日志、将协议配置部署到节点、关闭或开启客户端 IPv6以及构建 AmneziaWG 内核模块。请参阅安全。