ipv6 support

Author: alireza0

README.md

@@ -44,14 +44,21 @@ no staged binary for, see the manual install:
 
 ## Firewall
 
-A node listens for the panel on TCP **62050**. That port speaks mTLS and accepts
-the panel's client certificate and nothing else, but there is no reason to leave
-it open to the internet — restrict it to the panel's address:
+A node listens for the panel on TCP **62050**, on IPv4 and IPv6 both (it binds
+`[::]`, which serves v4 too, and falls back to `0.0.0.0` on a host with IPv6
+switched off). That port speaks mTLS and accepts the panel's client certificate
+and nothing else, but there is no reason to leave it open to the internet —
+restrict it to the panel's address:
 
 ```bash
 ufw allow from PANEL_IP to any port 62050 proto tcp
+ufw allow from 2001:db8::1 to any port 62050 proto tcp   # if the panel arrives over IPv6
 ```
 
+A server with only an IPv6 address needs nothing special: add it in the panel as
+`2001:db8::1` (brackets optional) and the panel brackets it wherever a link or a
+client profile needs it.
+
 Client traffic arrives on whatever ports the inbounds assigned to this node use.
 Those are chosen in the panel, so open them there first and here second.
 

docker-compose.yml

@@ -12,7 +12,11 @@ services:
     restart: unless-stopped
     container_name: nexora-node
     environment:
-      NEXORA_NODE_LISTEN: "0.0.0.0:62050"
+      # The IPv6 wildcard, which on a dual-stack host accepts IPv4 too. 0.0.0.0
+      # would leave the node unreachable from a panel that only has IPv6; a host
+      # with IPv6 switched off cannot bind it, and the node falls back to
+      # 0.0.0.0 by itself there.
+      NEXORA_NODE_LISTEN: "[::]:62050"
       NEXORA_NODE_CERT: /app/certs/ssl_cert.pem
       NEXORA_NODE_KEY: /app/certs/ssl_key.pem
       NEXORA_NODE_CLIENT_CA: /app/certs/panel_ca.pem

docs/en/install.md

@@ -16,9 +16,10 @@ cannot reach.
 - A Linux server with systemd — or with Docker, which the installer will use
   instead. amd64, arm64, armv5/v6/v7, 386, s390x and riscv64 are all published.
 - Root, or a user with sudo.
-- TCP **62050** reachable *from the panel*. Outbound access to the panel is
-  needed by the one-line command below, but not by the automatic install, which
-  pushes everything down its own SSH connection.
+- TCP **62050** reachable *from the panel*, over IPv4 or IPv6 — a node listens
+  on both. Outbound access to the panel is needed by the one-line command below,
+  but not by the automatic install, which pushes everything down its own SSH
+  connection.
 - Whatever ports the inbounds you assign to this node will listen on.
 
 A node does not need a licence key of its own. The panel's licence caps how many
@@ -52,7 +53,7 @@ Options you can add to the command:
 
 | Flag | Effect |
 | --- | --- |
-| `--listen ADDR` | bind the control API somewhere other than `0.0.0.0:62050` |
+| `--listen ADDR` | bind the control API somewhere other than `[::]:62050` (the IPv6 wildcard, which serves IPv4 too) |
 | `--method script\|docker` | deploy as a systemd service or a container (default: whatever is already there) |
 | `--source panel\|github` | take the binary from the panel or from a public release |
 | `--version TAG` | install a specific release (implies `--source github`) |
@@ -152,10 +153,46 @@ to advertise it:
 ufw allow from PANEL_IP to any port 62050 proto tcp
 ```
 
+If the panel reaches this node over IPv6, the rule has to name the address it
+actually arrives from — a v4 rule does not cover a v6 connection:
+
+```bash
+ufw allow from 2001:db8::1 to any port 62050 proto tcp
+```
+
 Client-facing ports are a separate matter. They are whatever the inbounds
 assigned to this node use, so they are chosen in the panel — open them here after
 you have assigned the template, not before.
 
+## A node reached over IPv6
+
+Nothing special is required, on either side. The node binds `[::]:62050` by
+default, which on a dual-stack host accepts IPv4 connections as well — so the
+same install works whether the panel reaches it over v4, v6, or both. On a host
+with IPv6 switched off entirely the node cannot bind that address and falls back
+to `0.0.0.0:62050` on its own, which is what that host meant anyway.
+
+A server with **only** an IPv6 address needs nothing extra either. Add it in the
+panel with its address written plainly:
+
+```
+2001:db8::1
+```
+
+Brackets are accepted and stripped — `[2001:db8::1]` and `2001:db8::1` are the
+same node. The panel puts them back where the syntax needs them and leaves them
+off where it does not: a share link comes out as
+`vless://…@[2001:db8::1]:443?…`, a wireguard profile as
+`Endpoint = [2001:db8::1]:51820`, while a clash or sing-box config and an
+OpenVPN `remote` line carry the bare address. The same goes for **Public
+address** (the address published in links, when it differs from the one the
+panel connects to) and for the SSH host of an automatic install.
+
+One thing IPv6 does not change: if an inbound uses TLS with no SNI set, the
+client validates the certificate against the address, so that address has to be
+on the certificate. Reissue the node's certificate with the IPv6 address in its
+SAN list, exactly as you would with an IPv4 one.
+
 ## Panel and node on the same server
 
 **Not recommended.** It works, and nothing in Nexora forbids it — but read why
@@ -238,7 +275,7 @@ panel.
 ```bash
 cat > /opt/nexora-node/config.json <<'JSON'
 {
-  "listen": "0.0.0.0:62050",
+  "listen": "[::]:62050",
   "cert_file": "/var/opt/nexora/certs/ssl_cert.pem",
   "key_file": "/var/opt/nexora/certs/ssl_key.pem",
   "client_ca_file": "/var/opt/nexora/certs/panel_ca.pem"
@@ -344,10 +381,14 @@ dropping the connection. Check, in order:
 systemctl status nexora-node          # on the node
 journalctl -u nexora-node -n 50       # on the node
 nc -vz NODE_IP 62050                  # from the panel server
+nc -vz -6 2001:db8::1 62050           # …if the panel reaches it over IPv6
 ```
 
 A firewall rule that does not include the panel's address is the usual cause; a
-cloud provider security group is the second.
+cloud provider security group is the second. If the node is reached over IPv6,
+check that the firewall rule is a v6 rule — a v4 one does not cover it — and that
+`ss -lnt | grep 62050` shows the node on `[::]` rather than `0.0.0.0`, which
+means IPv6 is switched off on the host and the node fell back.
 
 **The node was reinstalled and the panel refuses it.** A reinstall generates a
 new server certificate, and the panel is still pinning the old one. Delete the

docs/fa/install.md

@@ -16,7 +16,8 @@
 - یک سرور لینوکسی با systemd. معماری‌های amd64، arm64، armv5/v6/v7، ‏386، s390x و
   riscv64 همگی منتشر می‌شوند.
 - دسترسی root.
-- دسترسی خروجی به پنل، و پورت TCP ‏**62050** که *از سمت پنل* در دسترس باشد.
+- دسترسی خروجی به پنل، و پورت TCP ‏**62050** که *از سمت پنل* در دسترس باشد — روی
+  IPv4 یا IPv6؛ نود روی هر دو گوش می‌دهد.
 - هر پورتی که inboundهای اختصاص‌یافته به این نود روی آن گوش می‌دهند.
 
 نود به لایسنس مستقل نیاز ندارد. لایسنس پنل تعیین می‌کند چند نود را می‌تواند
@@ -50,7 +51,7 @@ curl -fsSL https://PANEL/install-node.sh | bash -s -- --panel PANEL --token TOKE
 
 | فلگ | اثر |
 | --- | --- |
-| `--listen ADDR` | بایند کردن API کنترلی روی جایی غیر از `0.0.0.0:62050` |
+| `--listen ADDR` | بایند کردن API کنترلی روی جایی غیر از `[::]:62050` (وایلدکارد IPv6 که IPv4 را هم پاسخ می‌دهد) |
 | `--binary-url URL` | گرفتن باینری از جایی غیر از پنل |
 
 اگر پنل برای معماری این سرور باینری آماده نداشته باشد، نصب در گام ۱ با پیام
@@ -134,10 +135,44 @@ amd64 و arm64 را آماده می‌کند؛ armv7 و ۳۸۶ و s390x و riscv
 ufw allow from PANEL_IP to any port 62050 proto tcp
 ```
 
+اگر پنل از طریق IPv6 به این نود می‌رسد، قانون باید همان آدرسی را نام ببرد که اتصال
+واقعاً از آن می‌آید؛ یک قانون v4 اتصال v6 را پوشش نمی‌دهد:
+
+```bash
+ufw allow from 2001:db8::1 to any port 62050 proto tcp
+```
+
 پورت‌های سمت کاربر موضوع جداگانه‌ای هستند. آن‌ها همان پورت‌هایی‌اند که inboundهای
 اختصاص‌یافته به این نود استفاده می‌کنند، پس در پنل انتخاب می‌شوند — بعد از اینکه
 تمپلیت را اختصاص دادید بازشان کنید، نه قبلش.
 
+## نودی که از طریق IPv6 در دسترس است
+
+هیچ کار خاصی در هیچ‌کدام از دو طرف لازم نیست. نود به‌صورت پیش‌فرض روی `[::]:62050`
+بایند می‌شود که روی یک هاست dual-stack اتصال‌های IPv4 را هم می‌پذیرد — پس یک نصب
+یکسان کار می‌کند، چه پنل از v4 برسد، چه از v6، چه از هر دو. روی هاستی که IPv6 در
+آن کاملاً خاموش است نود نمی‌تواند این آدرس را بایند کند و خودش به `0.0.0.0:62050`
+برمی‌گردد، که همان چیزی است که آن هاست منظورش بوده.
+
+سروری که **فقط** آدرس IPv6 دارد هم چیز اضافه‌ای نمی‌خواهد. در پنل با آدرسش به شکل
+ساده اضافه‌اش کنید:
+
+```
+2001:db8::1
+```
+
+براکت هم پذیرفته و حذف می‌شود — `[2001:db8::1]` و `2001:db8::1` یک نود هستند. پنل
+براکت‌ها را هرجا که نحو لازم دارد برمی‌گرداند و هرجا که لازم ندارد نمی‌گذارد: لینک
+اشتراک‌گذاری به شکل `vless://…@[2001:db8::1]:443?…` درمی‌آید و پروفایل وایرگارد به
+شکل `Endpoint = [2001:db8::1]:51820`، در حالی که کانفیگ clash یا sing-box و خط
+`remote` در OpenVPN آدرس را بدون براکت می‌گیرند. همین قاعده برای **آدرس عمومی**
+(آدرسی که در لینک‌ها منتشر می‌شود، وقتی با آدرسی که پنل به آن وصل می‌شود فرق دارد) و
+برای هاست SSH نصب خودکار هم برقرار است.
+
+یک چیز را IPv6 عوض نمی‌کند: اگر inbound شما TLS دارد و SNI تنظیم نشده، کلاینت گواهی
+را با خود آدرس تطبیق می‌دهد، پس آن آدرس باید روی گواهی باشد. گواهی نود را دقیقاً
+مثل حالت IPv4 با آدرس IPv6 در فهرست SAN دوباره صادر کنید.
+
 ## پنل و نود روی یک سرور
 
 **پیشنهاد نمی‌شود.** کار می‌کند و چیزی در Nexora جلوی آن را نمی‌گیرد — ولی پیش از
@@ -219,7 +254,7 @@ install -m 0755 /tmp/nexora-node/nexora-node /opt/nexora-node/nexora-node
 ```bash
 cat > /opt/nexora-node/config.json <<'JSON'
 {
-  "listen": "0.0.0.0:62050",
+  "listen": "[::]:62050",
   "cert_file": "/var/opt/nexora/certs/ssl_cert.pem",
   "key_file": "/var/opt/nexora/certs/ssl_key.pem",
   "client_ca_file": "/var/opt/nexora/certs/panel_ca.pem"
@@ -323,10 +358,14 @@ rm -rf /opt/nexora-node /var/opt/nexora
 systemctl status nexora-node          # روی نود
 journalctl -u nexora-node -n 50       # روی نود
 nc -vz NODE_IP 62050                  # از سرور پنل
+nc -vz -6 2001:db8::1 62050           # …اگر پنل از طریق IPv6 می‌رسد
 ```
 
 معمول‌ترین علت، قانون فایروالی است که آدرس پنل را در بر نمی‌گیرد؛ دومین علت،
-security group ارائه‌دهندهٔ ابری است.
+security group ارائه‌دهندهٔ ابری است. اگر نود از طریق IPv6 در دسترس است، مطمئن شوید
+قانون فایروال یک قانون v6 است — قانون v4 آن را پوشش نمی‌دهد — و اینکه
+`ss -lnt | grep 62050` نود را روی `[::]` نشان می‌دهد، نه `0.0.0.0`؛ حالت دوم یعنی
+IPv6 روی هاست خاموش است و نود عقب‌نشینی کرده.
 
 **نود دوباره نصب شده و پنل قبولش نمی‌کند.** نصب دوباره گواهی سرور تازه‌ای می‌سازد و
 پنل هنوز گواهی قبلی را پین کرده است. نود را در پنل حذف و دوباره اضافه کنید — پین

docs/ru/install.md

@@ -17,7 +17,8 @@
 - Linux-сервер с systemd. Публикуются amd64, arm64, armv5/v6/v7, 386, s390x и
   riscv64.
 - Доступ root.
-- Исходящий доступ к панели и TCP-порт **62050**, доступный *со стороны панели*.
+- Исходящий доступ к панели и TCP-порт **62050**, доступный *со стороны панели*
+  по IPv4 или IPv6 — нода слушает оба.
 - Порты, на которых будут слушать назначенные этой ноде inbound'ы.
 
 Собственный лицензионный ключ ноде не нужен. Лицензия панели ограничивает,
@@ -49,7 +50,7 @@ curl -fsSL https://PANEL/install-node.sh | bash -s -- --panel PANEL --token TOKE
 
 | Флаг | Действие |
 | --- | --- |
-| `--listen ADDR` | привязать управляющий API не к `0.0.0.0:62050` |
+| `--listen ADDR` | привязать управляющий API не к `[::]:62050` (IPv6-wildcard, который обслуживает и IPv4) |
 | `--binary-url URL` | взять бинарник не с панели |
 
 Если у панели нет подготовленного бинарника для архитектуры этого сервера,
@@ -140,9 +141,45 @@ s390x и riscv64 приходят из релиза). Установка в Dock
 ufw allow from PANEL_IP to any port 62050 proto tcp
 ```
 
+Если панель приходит к этой ноде по IPv6, правило должно называть тот адрес, с
+которого соединение действительно приходит: правило для v4 не покрывает
+соединение по v6:
+
+```bash
+ufw allow from 2001:db8::1 to any port 62050 proto tcp
+```
+
 Клиентские порты — отдельная история. Это порты назначенных ноде inbound'ов, то
 есть они выбираются в панели: открывайте их после назначения шаблона, а не до.
 
+## Нода, доступная по IPv6
+
+Ничего особенного не требуется ни с одной стороны. По умолчанию нода слушает
+`[::]:62050`, что на dual-stack хосте принимает и соединения по IPv4 — то есть
+одна и та же установка работает, приходит ли панель по v4, по v6 или по обоим. На
+хосте, где IPv6 выключен полностью, нода не может привязать этот адрес и сама
+откатывается на `0.0.0.0:62050`, что для такого хоста и имелось в виду.
+
+Серверу **только** с адресом IPv6 тоже не нужно ничего дополнительного. Добавьте
+его в панели, записав адрес просто:
+
+```
+2001:db8::1
+```
+
+Скобки принимаются и отбрасываются — `[2001:db8::1]` и `2001:db8::1` это одна и та
+же нода. Панель возвращает их там, где этого требует синтаксис, и не ставит там,
+где не требует: ссылка получается как `vless://…@[2001:db8::1]:443?…`, профиль
+wireguard — как `Endpoint = [2001:db8::1]:51820`, тогда как конфигурация clash или
+sing-box и строка `remote` в OpenVPN несут голый адрес. То же касается **публичного
+адреса** (адреса, публикуемого в ссылках, когда он отличается от того, к которому
+подключается панель) и SSH-хоста автоматической установки.
+
+Одного IPv6 не меняет: если у inbound'а включён TLS и SNI не задан, клиент
+проверяет сертификат по адресу, а значит этот адрес должен быть в сертификате.
+Перевыпустите сертификат ноды с адресом IPv6 в списке SAN — ровно так же, как
+сделали бы с IPv4.
+
 ## Панель и нода на одном сервере
 
 **Не рекомендуется.** Это работает, и ничто в Nexora этого не запрещает — но
@@ -224,7 +261,7 @@ install -m 0755 /tmp/nexora-node/nexora-node /opt/nexora-node/nexora-node
 ```bash
 cat > /opt/nexora-node/config.json <<'JSON'
 {
-  "listen": "0.0.0.0:62050",
+  "listen": "[::]:62050",
   "cert_file": "/var/opt/nexora/certs/ssl_cert.pem",
   "key_file": "/var/opt/nexora/certs/ssl_key.pem",
   "client_ca_file": "/var/opt/nexora/certs/panel_ca.pem"
@@ -328,10 +365,14 @@ rm -rf /opt/nexora-node /var/opt/nexora
 systemctl status nexora-node          # на ноде
 journalctl -u nexora-node -n 50       # на ноде
 nc -vz NODE_IP 62050                  # с сервера панели
+nc -vz -6 2001:db8::1 62050           # …если панель приходит по IPv6
 ```
 
 Обычная причина — правило файрвола, не включающее адрес панели; вторая по
-частоте — security group облачного провайдера.
+частоте — security group облачного провайдера. Если нода доступна по IPv6,
+проверьте, что правило файрвола именно v6 — правило v4 его не покрывает — и что
+`ss -lnt | grep 62050` показывает ноду на `[::]`, а не на `0.0.0.0`: второе значит,
+что IPv6 на хосте выключен и нода откатилась.
 
 **Нода переустановлена, и панель её не принимает.** Переустановка создаёт новый
 серверный сертификат, а панель всё ещё держит закреплённым старый. Удалите ноду в