前言¶

DeepSeek Harness (DSH) 采用插件化架构，模型运行在受控环境中，无法直接执行 Shell 命令。在远程管理 VPN 配置时，直接开放 Shell 权限存在巨大安全风险。dsh-vpn-ops 插件通过严格的流程控制、强制身份验证和密钥流式传输机制，解决了在 DSH 环境下安全部署和管理 WireGuard 与 VLESS Reality 的问题。

插件介绍¶

dsh-vpn-ops 是一个 DeepSeek Harness 插件包，由 zootguru 维护。它将经过审核的服务器定义转化为可重复的预检、计划、应用、状态检查、验证、回滚和客户端导出操作。

核心功能¶

该插件提供以下工具：

• vpn_targets：列出目标服务器。
• vpn_preflight：运行预检检查。
• vpn_status：检查服务器状态。
• vpn_plan：生成部署计划。
• vpn_apply：应用 WireGuard 和 VLESS Reality 配置。
• vpn_verify：验证配置有效性。
• vpn_rollback：回滚更改。
• vpn_export_client：将客户端密钥导出到本地文件。

安装与启用¶

使用官方命令安装插件：

dsh plugin --profile my-profile add github:zootguru/dsh-vpn-ops#v0.1.0

安装后，需在配置文件中启用功能。默认情况下，远程变更被禁用 (allowMutations: false)，需要手动在 cordis.patch.yml 中覆盖配置项。

典型用法¶

部署流程建议按以下顺序执行：

1. 调用 vpn_targets 获取目标列表。
2. 调用 vpn_preflight 和 vpn_status 检查目标状态。
3. 调用 vpn_plan 生成部署计划。
4. 仔细审查计划内容，确认无误后，设置 allowMutations: true 并调用 vpn_apply。
5. 配置验证通过后，将 allowMutations 设回 false。

导出客户端密钥时，需临时启用 allowSecretExport，调用工具后，密钥会直接写入本地文件而非返回给模型。

适用场景与注意¶

• 权限要求：模型无法使用本地 Shell，所有远程命令通过 argv 数组执行。目标服务器必须允许 root 或非交互式 sudo 权限。
• 目标系统：目标操作系统必须是 Debian 或 Ubuntu，且需安装 systemd 以及特定命令（如 wg、xray 等）。
• 密钥安全：客户端密钥不会作为工具返回值返回，仅通过流式传输写入本地文件。
• 生产环境：生产环境部署前需要操作员拥有独立的预发布服务器进行验收测试。