前言¶

DeepSeek Harness (DSH) 採用插件化架構，模型運行在受控環境中，無法直接執行 Shell 命令。在遠程管理 VPN 配置時，直接開放 Shell 權限存在巨大安全風險。dsh-vpn-ops 插件通過嚴格的流程控制、強制身份驗證和密鑰流式傳輸機制，解決了在 DSH 環境下安全部署和管理 WireGuard 與 VLESS Reality 的問題。

插件介紹¶

dsh-vpn-ops 是一個 DeepSeek Harness 插件包，由 zootguru 維護。它將經過審覈的服務器定義轉化爲可重複的預檢、計劃、應用、狀態檢查、驗證、回滾和客戶端導出操作。

核心功能¶

該插件提供以下工具：

• vpn_targets：列出目標服務器。
• vpn_preflight：運行預檢檢查。
• vpn_status：檢查服務器狀態。
• vpn_plan：生成部署計劃。
• vpn_apply：應用 WireGuard 和 VLESS Reality 配置。
• vpn_verify：驗證配置有效性。
• vpn_rollback：回滾更改。
• vpn_export_client：將客戶端密鑰導出到本地文件。

安裝與啓用¶

使用官方命令安裝插件：

dsh plugin --profile my-profile add github:zootguru/dsh-vpn-ops#v0.1.0

安裝後，需在配置文件中啓用功能。默認情況下，遠程變更被禁用 (allowMutations: false)，需要手動在 cordis.patch.yml 中覆蓋配置項。

典型用法¶

部署流程建議按以下順序執行：

1. 調用 vpn_targets 獲取目標列表。
2. 調用 vpn_preflight 和 vpn_status 檢查目標狀態。
3. 調用 vpn_plan 生成部署計劃。
4. 仔細審查計劃內容，確認無誤後，設置 allowMutations: true 並調用 vpn_apply。
5. 配置驗證通過後，將 allowMutations 設回 false。

導出客戶端密鑰時，需臨時啓用 allowSecretExport，調用工具後，密鑰會直接寫入本地文件而非返回給模型。

適用場景與注意¶

• 權限要求：模型無法使用本地 Shell，所有遠程命令通過 argv 數組執行。目標服務器必須允許 root 或非交互式 sudo 權限。
• 目標系統：目標操作系統必須是 Debian 或 Ubuntu，且需安裝 systemd 以及特定命令（如 wg、xray 等）。
• 密鑰安全：客戶端密鑰不會作爲工具返回值返回，僅通過流式傳輸寫入本地文件。
• 生產環境：生產環境部署前需要操作員擁有獨立的預發佈服務器進行驗收測試。