{{H1}}

0文档维护说明（给未来的我 / AI）

• 每次改动配置或排查，请在文末 「变更与迭代日志」 追加一条，并更新顶部「最后更新」与「当前状态」。
• 状态图标约定：🟢 正常 🟡 部分可用 · 待优化 🔴 故障
• 命令、IP、端口等关键信息以代码块记录，方便复制和 AI 解析。
• 本文档为脱敏版：服务器 IP、IPv6 地址、设备 ID 均以占位符呈现，真实值在本机 private/secrets.json。

1架构概览

数据路径示意

2原始诉求（问题）

1. 界面模糊、卡顿 —— 原因是什么，如何解决。
2. 用二级域名代替 IP —— 是否更好、怎么配。

3诊断结论速览（TL;DR）

4已验证的服务器配置（均正常 ✅）

4.1 UFW 防火墙（端口已全部放通）

21115:21119/tcp   ALLOW IN   Anywhere      ✅
21116/udp         ALLOW IN   Anywhere      ✅ 打洞关键端口
（v6 规则同样已放通）

• 另有 Fail2Ban 自动封禁大量恶意 SSH IP（正常防护，无需处理）。
• 已开放的其他端口：22 (SSH)、80、443、8633 (tcp/udp)；2096 为 DENY。

4.2 服务进程与监听

sudo ss -tulnp | grep 2111

udp  *:21116  hbbs (pid 3954199)   ✅ 打洞 UDP 在监听
tcp  *:21115  hbbs
tcp  *:21116  hbbs
tcp  *:21117  hbbr
tcp  *:21118  hbbs
tcp  *:21119  hbbr

4.3 端口职责对照表

5已解决：IPv6 直连 ✅ 2026-06-13

根因确认

服务器侧无误，打洞失败根本原因是双端均为 CGNAT（IPv4 层），但两端均有公网 IPv6，IPv6 无 NAT，可直接 P2P。

各端 IPv6 信息

当前生效的连接方式（域名直连，双向互控）

两台机器均可互为主控 / 被控，连接时填域名即可，IP 变化自动跟踪。

各端配置详情

DDNS 日志查看

Get-Content C:\Scripts\ddns.log -Tail 10

5.1已确认：B→A 直连单向失败 2026-06-14 · 历史

现象

结论

疑为电信侧单向封锁：电信 IPv6 出方向对联通 21118 端口有过滤或运营商 ACL 拦截，但联通→电信方向正常。此问题在用户侧无法修复。

当前 B→A 的可用替代方案

1. 让 A 主动连 B（A→B 直连正常）—— 需要在 A 端操作，不能从 B 发起。
2. B→A 走中继（Relay 模式）—— 可用，但有新 Bug，见 5.2。

5.2已定位：中继时画面套娃（Screen Inception）根因 ✅ 2026-06-14

复现路径

1. 用 ToDesk 远程连入 B（电信）
2. 在 B 上打开 RustDesk，用 A 的 RustDesk ID 中继连接 A（联通）
3. 连接成功后，画面出现多层叠加任务栏，无限嵌套闪烁

根因（已截图确认）

屏幕捕获递归（Screen Inception），不是 Bug，是物理规律：

A 上的 ToDesk 是循环的关键节点。只要 A 有 ToDesk 会话开着，B 通过 RustDesk 看到的 A 就会包含 B 自己的内容。

解决方案

1. 通过 B 的 RustDesk 窗口点进 A 的桌面
2. 右键 A 任务栏托盘中的 ToDesk 图标 → 退出
3. 或 Ctrl + Alt + Del → 任务管理器 → 结束 ToDesk 进程
4. ToDesk 关闭后循环立即断开，画面稳定

正确工作流（B 控制 A，无套娃）

1. 物理到 B 旁边（或通过不涉及 A 屏幕的方式控制 B）
2. 确认 A 上 ToDesk 已退出（无活跃会话）
3. 在 B 的 RustDesk 里输入 A 的 ID（A 机 RustDesk ID）→ 连接
4. 画面正常，无套娃

6客户端画质优化（无论直连 / 中继都先做）

参考 RustDesk 远程窗口顶部工具栏菜单：

7信令 / 中继服务器域名化 ✅ 2026-06-14 已完成

已生效配置 · Cloudflare DNS 记录

A 机 + B 机 RustDesk 配置文件（已批量替换）

配置文件路径：%APPDATA%\RustDesk\config\RustDesk2.toml

# 执行命令（A 机和 B 机各执行一次，管理员 PowerShell）
$config = "$env:APPDATA\RustDesk\config\RustDesk2.toml"
(Get-Content $config) `
  -replace "rendezvous_server = '<旧IP>:21116'", "rendezvous_server = 'rd.<主域名>:21116'" `
  -replace "relay-server = '<旧IP>'", "relay-server = 'rd.<主域名>'" `
  -replace "custom-rendezvous-server = '<旧IP>'", "custom-rendezvous-server = 'rd.<主域名>'" |
  Set-Content $config

Restart-Service RustDesk

验证：

Get-Content "$env:APPDATA\RustDesk\config\RustDesk2.toml" | Select-String "server"
# 三行均应显示 rd.<主域名>，RustDesk 界面底部状态显示「就绪」

7.1服务器 Key 轮换标准流程 ✅ 2026-07-05 已验证

服务器端（SSH 到实例）

# ① 备份并删除旧密钥（在宿主机数据卷目录操作）
cd /home/ubuntu/rustdesk/data
sudo mv id_ed25519 id_ed25519.bak
sudo mv id_ed25519.pub id_ed25519.pub.bak

# ② 重启容器，hbbs 发现无密钥会自动生成新的一对
sudo docker restart hbbs hbbr

# ③ 获取新公钥（这一串就是发给客户端的新 Key，44 字符左右，以 = 结尾）
sudo cat /home/ubuntu/rustdesk/data/id_ed25519.pub

# ④ 验证服务正常：应有 6 行监听（21115-21119 TCP + 21116 UDP）
sudo ss -tulnp | grep 2111

客户端（A / B / C / D 四台都要更新）

否则通过 ID 的信令 / 中继连不上。

方式一（图形界面）：RustDesk → 设置 → 网络 → 解锁 → Key 栏粘贴新公钥（ID 服务器保持 rd.<主域名>）。

方式二（管理员 PowerShell 批量替换）：

$config = "$env:APPDATA\RustDesk\config\RustDesk2.toml"
(Get-Content $config) -replace "key = '.*'", "key = '<新公钥>'" | Set-Content $config
Restart-Service RustDesk

验证：每台 RustDesk 主界面底部显示「就绪」。

影响范围

8关键信息速查

9变更与迭代日志

按时间升序记录，最新一条在最下方。

10待办事项

🔴 当前阻塞：让连接从「中继」变「直连」

• ✓① 确认被控端所在网络 —— 中国电信家宽，有公网 IPv6。
• ✓② 两端各测 IPv6 —— 主控联通 / 被控电信 / 服务器 Oracle，三端均有公网 IPv6。
• ✓③ IPv6 直连验证 —— 采用直接 IP 直连方式，连接成功，P2P 直连实现。
• ✓⑤ 验收 —— 直连成功，不再走中继。
• ✓⑨ IPv6 DDNS 稳定化 —— 双端均已配置 Cloudflare DDNS + Windows 计划任务，连接改用域名，IP 变化自动跟踪。

🟡 优化项（直连成功后或并行做）

• ⑥ 客户端画质 —— 缩放改「原始尺寸」+ 画质「高清」+ 开硬件编码 H264/H265 + 勾「显示质量监控」。
• ✓⑦ 二级域名 —— rd.<主域名> A 记录已建（灰云），A/B 机 RustDesk2.toml 已全部替换，验证通过。

🖥️ 扩展：C 机和 D 机接入

• ✓⑩ 确认 C / D 机网络 —— C 机联通（IPv6 已记录）；D 机电信（非 B 机）。
• ✓⑪ 确认子域名命名 —— rust-c.<主域名> / rust-d.<主域名>。
• ⑫ C 机装 DDNS —— ⚠️ C 已换电信，IPv6 已变，原联通地址和「A→C 已验证」均失效。装 DDNS（脚本同 A/B/D，$SUBDOMAIN 改 rust-c.<主域名>）+ 计划任务后，连接改用 rust-c.<主域名>:21118 并重测。
• ✓⑬ D 机装 DDNS —— 已完成（2026-07-05）：DDNS 脚本 + 计划任务已装，C 机用 rust-d.<主域名>:21118 域名直连验证成功。
• !㉑ 全电信后重测各方向直连 —— 四台已全为电信，旧跨运营商封锁结论作废，预期两两可通：B→A（填 rust-a.<主域名>:21118）、D→C（待 C 装 DDNS 后填 rust-c.<主域名>:21118）、D→B（填 rust-b.<主域名>:21118，即原 ⑲）。全部通过后 ⑭ 验收即可关闭。
• ⑭ 验收 —— 四台机器两两连接测试，确认均为直连 P2P。
• –⑲ 测试电信→电信直连（D→B） —— 已并入 ㉑（四台全电信后统一重测）。

🗑️ 可以清理的任务

• ⑳ 删除 A 机的 DDNS 定时任务 —— A 机永远只作主控端，不需要被远程控制。可删除 RustDesk-DDNS-Boot 和 RustDesk-DDNS-Repeat 两个计划任务及 DDNS 脚本。B 机的同名任务必须保留（A 连 B 依赖它）。⚠️ 2026-07-05：建议暂缓 —— A 换电信后 B→A 直连可能恢复（㉑ 待测），若测通且需要反向控制 A，则 A 的 DDNS 必须保留。

🔧 可选优化

• ✓⑮ 调整 DDNS 检测间隔为 1 小时（IPv6 地址基本不变，1 小时完全够用，已执行）。

# A 机和 B 机各执行一次（/ri 单位：分钟）
schtasks /change /tn "RustDesk-DDNS-Repeat" /ri 60

改为更长间隔（一天 / 一周 / 一月）：schtasks /change 改不了调度类型（/sc），需用 /f 覆盖重建任务。在目标机器管理员 PowerShell 执行下面其中一条即可：

# 每天一次（每天 09:00）
schtasks /create /tn "RustDesk-DDNS-Repeat" /tr "powershell -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\update-rustdesk-ipv6.ps1" /sc daily /mo 1 /st 09:00 /ru SYSTEM /rl HIGHEST /f

# 每周一次（每周一 09:00）
schtasks /create /tn "RustDesk-DDNS-Repeat" /tr "powershell -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\update-rustdesk-ipv6.ps1" /sc weekly /d MON /st 09:00 /ru SYSTEM /rl HIGHEST /f

# 每月一次（每月 1 号 09:00）
schtasks /create /tn "RustDesk-DDNS-Repeat" /tr "powershell -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\update-rustdesk-ipv6.ps1" /sc monthly /mo 1 /d 1 /st 09:00 /ru SYSTEM /rl HIGHEST /f

# 改完验证
schtasks /query /tn "RustDesk-DDNS-Repeat" /v /fo list

🔴 B→A 连接问题

• ✓⑯ 排查 B→A 单向失败根因 —— 已确认：ISP 封锁（电信→联通 IPv6 路由不通），用户侧无法修复。
• ⑰ 验证 Screen Inception 修复 —— 待实地到 B 旁边测试：连接前在 A 上退出 ToDesk，再从 B 用 A 的 ID 中继连 A，确认画面正常。
• ⑱ 重设 B 的 RustDesk 永久密码 —— B 的 RustDesk.toml 被误删，密码已重置，需在 B 的 RustDesk → 设置 → 安全 → 重新设置永久密码。

📝 文档待补全

• ⑧ 补全第 8 节速查表 —— 服务器公网 IP、域名、Key 等占位信息（Key 注意脱敏勿外泄）。