本机还有一个“线路选择”组，是手动总开关，可以在 DMIT、RAK、AWS 三条线路之间直接切换；上面画的是各组默认的归属。2026-10-26 起，DMIT、RAK、AWS 三台的公网 TCP 从国内被封（回程丢包），UDP 不受影响，因此只有走 UDP 的 DMIT-HY2 与 RAK-HY2 稳定可用，Reality 节点会时好时坏。订阅地址同样走 TCP，从国内直接拉会失败。
Claude 隔离环境靠 Linux 网络命名空间实现：命名空间内只有回环网卡，没有默认路由，任何忽略代理的直连都会失败而不是绕到机房出口。主网关 Magpie 通过 Unix socket 转发进隔离环境，不附加转发头。模型列表可读不等于能真实调用。
公网 TCP 被封后，Tailscale 是管理这些机器的主通道；RAK 的 SSH 端口是 28827，DMIT 走默认端口 22。公网 SSH 走不通不代表机器出问题。
服务器
DMIT（主控）
洛杉矶 CN2 GIA，1 核 2GB，Pro TINY 套餐每月 1TB 双向
- 在用Marzban 主控，面板 39721
- 在用Hysteria2（DMIT-HY2，UDP 443）
- 在用Reality 入站改到 127.0.0.1:9444，nginx 按 SNI 分流 443
- 在用Magpie 主网关 13425 / 13430
- 在用new-api 127.0.0.1:13000
- 在用CLIProxyAPI 8317、CPA Manager Plus 18317
- 在用Claude 隔离环境 A：住宅代理桥 7890 / 7891、网关 3425
- 在用Claude 隔离环境 B（ci-dmit-b）：住宅桥 17890 / 17891、网关 3425
- 在用browser-hub 面板 28000 / 28443–28446
- 在用nginx 站点 bom / magpie / magpie-api，均 9443；公网 443 按 SNI 分流
- 在用marzban-aws-tunnel，本地 62060 / 62061
- 已停用老的 xray 服务
- 注意CPA 用量采集已关闭，历史库已清空
RAK（大流量泄洪）
圣何塞共享 VPS，1000G 流量，2027-09-19 到期
- 在用Hysteria2（RAK-HY2，UDP 443），独立部署、自签证书
- 在用Xray + WebSocket（RAK-CDN），经 nginx 反代到 Cloudflare
- 在用nginx 站点，含 rak-cdn 反代；公网 80 / 443 / 9443
- 在用Claude 隔离运行环境与住宅代理桥 7890 / 7891
- 已停用没有运行中的容器：marzban-node、Magpie、new-api 均已停，restart policy 为 no
- 已停用8 个 magpie 回滚容器仍是 Exited，另有 1 个 New API 容器停在 Created
- 已停用claude-desktop、magpie-claude 单元；隔离桌面与 noVNC 入口已关
- 注意安全组是入站白名单，UDP 443 需要单独放行
AWS（纯净出口与容灾）
俄亥俄，专供 Grok/xAI 解锁与容灾
- 未核实2026-11-04 从本机直连和经 DMIT 跳板都认证失败，服务端状态没有现场确认
- 在用DMIT 上通往它的 SSH 隧道 62060 / 62061 仍在运行，但隧道本身不等于节点可用
- 在用作为 AWS-US-Clean 节点提供 Grok 与容灾出口
- 注意国内到该 IP 的 TCP 已被封，出口是否可用取决于当时链路
节点与线路
| 节点 | 服务器 | 协议与端口 | 用途 | 状态 |
|---|
| DMIT-LA | 179.255.119.112 | VLESS Reality，TCP 443（实际监听 127.0.0.1:9444） | 日常主力，AI 与普通流量 | 在用 |
| DMIT-HY2 | 179.255.119.112 | Hysteria2，UDP 443 | TCP 被封时的备用入口 | 在用 |
| RAK-HY2 | 137.175.65.78 | Hysteria2，UDP 443 | 大流量白名单，YouTube、Telegram、Docker | 在用 |
| RAK-CDN | assets.230254.xyz | VLESS + WebSocket，经 Cloudflare | UDP 被限速或被封时的兜底 | 在用 |
| AWS-US-Clean | 18.188.243.223 | VLESS Reality，TCP 443 | Grok/xAI 解锁与容灾 | 未核实 |
| RAK-Bulk-1T | 137.175.65.78 | VLESS Reality，TCP 8443 | 旧 Marzban 节点，客户端已清除 | 已停用 |
模型服务
| 服务 | 位置 | 说明 |
|---|
| new-api | DMIT 127.0.0.1:13000 | BOM 中转站，OpenAI 兼容渠道。数据库来自 RAK 每日备份并通过完整性校验 |
| Magpie 主网关 | DMIT 13425 / 13430 | 登记两个远程子网关：claude-pro（RAK）与 dmit-b（DMIT） |
| Claude 订阅网关 | 命名空间内 3425 | 隔离环境里的 Claude 账号转成可调用的接口，经 Unix socket 转进命名空间 |
| 住宅代理桥 | 127.0.0.1:7890 / 7891 | Xray 转发到住宅 SOCKS5 上游，出口为美国 Comcast 住宅 IP |
| CLIProxyAPI | 127.0.0.1:8317 | 本地回环，管理面板在 /management.html |
| CPA Manager Plus | 127.0.0.1:18317 | 用量面板，根路径跳到 /management.html；用量采集已关闭 |
| Cloudflare 站点 | bom / magpie / magpie-api，均 9443 | 源站 443 由 nginx 按 SNI 分流，Cloudflare 回源 |
已知边界
| 事项 | 说明 |
|---|
| 公网 TCP 被封 | 2026-10-26 起 DMIT、RAK、AWS 三个 IP 的 TCP 从国内不通，回程丢包，UDP 与 ICMP 正常。订阅地址也走 TCP，从国内直接拉会失败 |
| RAK 云盘故障 | 工单 90180815 等待服务商处理；RAK 上旧模型服务已停用，DMIT 是唯一承载模型服务的机器 |
| 账号层风险 | 住宅出口能降低暴露面，但账号注册地区、订阅渠道和客户端特征不在网络层可控范围内 |
| 未验收项 | DMIT 第二账号尚未开通订阅，双上游路由组未建，DMIT 整机重启后的端到端恢复没有验证 |
| AWS 未现场核实 | 2026-11-04 从本机直连与经 DMIT 跳板访问 AWS 都失败在公钥认证，页面上的 AWS 描述来自部署记录，不是当天实测 |
客户端到策略组
组内自动故障转移
手动指定
管理与运维通道