fixes

Author: the2pizza

config-api-example.toml

@@ -45,6 +45,7 @@ db_sync_interval_sec = 1000
 subscription_restore_interval = 600
 subscription_expire_interval = 600
 traffic_persist_interval_sec = 3600
+connection_expire_interval = 600
 
 [pg]
 host = "localhost"

docs/API.md

@@ -449,20 +449,71 @@ Endpoint'ы `/v1/*` используют шифрование RSA+AES, когд
 - **Body:** `GatewayConfigRequest`
   ```json
   {
-    "os_version": "...",
+    "os_version": "ios",
     "app_version": "...",
-    "app_language": "en",
+    "app_language": "ru",
     "installation_uuid": "uuid",
     "user_country_code": "RU",
-    "server_country_code": "DE",
+    "server_country_code": "SWE",
     "service_type": "amnezia-free",
     "service_protocol": "awg",
-    "auth_data": { "id": "uuid" },
-    "public_key": "...",
-    "connection_id": "uuid"
+    "auth_data": {
+      "id": "subscription-uuid"
+    },
+    "publicKey": "TTUZIyQdgxf9Yx4MiwzX6oICsh6ajjgxlWC8sVBMC8I=",
+    "connection_id": "connection-uuid"
+  }
+  ```
+  - `publicKey` для `awg` можно не передавать / игнорировать: сервер сам берёт ключи из структуры connection.
+  - `connection_id` опционален. Если передан — выбирается именно этот connection, иначе первый подходящий по стране и протоколу.
+
+- **Response:** `200 OK` → `GatewayConfigResponse` (зашифрованный envelope)
+  ```json
+  {
+    "config": "<base64(gzip(inner_json))>",
+    "config_version": 2,
+    "supported_protocols": ["vless", "awg"],
+    "api_config": {
+      "server_country_code": "SWE",
+      "service_protocol": "awg",
+      "service_type": "amnezia-free",
+      "user_country_code": "RU"
+    },
+    "service_info": {
+      "name": "SWE",
+      "type": "amnezia-free"
+    }
+  }
+  ```
+
+  Для `awg` поле `config` — это **gzip-сжатый** JSON, закодированный в base64 (стандартный алфавит с паддингом). После декодирования получается:
+
+  ```json
+  {
+    "config_version": 2,
+    "defaultContainer": "amnezia-awg",
+    "description": "FRKN AWG",
+    "dns1": "1.1.1.1",
+    "dns2": "1.0.0.1",
+    "hostName": "91.186.218.62",
+    "name": "FRKN",
+    "containers": [
+      {
+        "container": "amnezia-awg",
+        "amnezia-awg": {
+          "config": "[Interface]\nPrivateKey = Axhy7oMt1BfsuXw9qD3Nbkx5pVD/Yu/RPGzwqsjMlaY=\nAddress = 100.64.0.4/32\nMTU = 1280\nDNS = 1.1.1.1\nJc = 4\nJmin = 56\nJmax = 134\nS1 = 70\nS2 = 55\nH1 = 100000-200000\nH2 = 300000-400000\nH3 = 500000-600000\nH4 = 700000-800000\nS3 = 11\nS4 = 12\nI1 = <r 128>\n[Peer]\nPublicKey = hf0ZY6WULIRaBbeVtR8ox3y7LLEqocPB2DaSif2PTw0=\nAllowedIPs = 0.0.0.0/0, ::/0\nEndpoint = 91.186.218.62:51820\nPersistentKeepalive = 25",
+          "isThirdPartyConfig": true,
+          "last_config": "{\"client_priv_key\":\"Axhy7oMt1BfsuXw9qD3Nbkx5pVD/Yu/RPGzwqsjMlaY=\",\"client_pub_key\":\"B6m2PYhhec2Pe+I50I63pdFB/bR6Psd77MhpWj4TlQE=\",\"client_ip\":\"100.64.0.4/32\",\"mtu\":\"1280\",\"server_pub_key\":\"hf0ZY6WULIRaBbeVtR8ox3y7LLEqocPB2DaSif2PTw0=\",\"psk_key\":\"\",\"port\":51820,\"hostName\":\"91.186.218.62\",\"persistent_keepalive\":\"25\",\"junkPacketCount\":\"4\",\"junkPacketMinSize\":\"56\",\"junkPacketMaxSize\":\"134\",\"initPacketJunkSize\":\"70\",\"responsePacketJunkSize\":\"55\",\"cookieReplyPacketJunkSize\":\"11\",\"transportPacketJunkSize\":\"12\",\"initPacketMagicHeader\":\"100000-200000\",\"responsePacketMagicHeader\":\"300000-400000\",\"underloadPacketMagicHeader\":\"500000-600000\",\"transportPacketMagicHeader\":\"700000-800000\",\"specialJunk1\":\"<r 128>\"}"
+        }
+      }
+    ]
   }
   ```
-- **Response:** `200 OK` → `GatewayConfigResponse` с base64-конфигом Amnezia (зашифрован)
+
+  Важные моменты для AWG:
+  - `config` содержит готовую INI-строку WireGuard/AmneziaWG с **реальным** клиентским приватным ключом.
+  - `last_config` — JSON-строка с теми же ключами и параметрами обфускации.
+  - `client_priv_key` и `client_pub_key` — это ключи из connection, сгенерированные сервером. Публичный ключ пира на сервере создаётся именно для этой пары.
 
 ---
 

src/bin/api/http/admin.html

@@ -500,6 +500,24 @@ <h4>Create connection</h4>
     }
   }
 
+  function formatMetricValue(name, value) {
+    if (value == null) return '-';
+    if (name.startsWith('sys.cpu.')) return value.toFixed(1) + '%';
+    if (name.startsWith('sys.loadavg_')) return value.toFixed(2);
+    if (name.startsWith('sys.mem_') || name.match(/^sys\.disk\.[^.]+\.(used|total)_bytes$/)) {
+      return formatBytes(value);
+    }
+    if (name.startsWith('sys.disk.') && name.endsWith('.usage_percent')) return value.toFixed(1) + '%';
+    if (name.match(/^net\.[^.]+\.(rx|tx|total_rx|total_tx)_bps$/)) return formatBits(value);
+    if (name.startsWith('user.traffic.')) {
+      if (name.endsWith('.online')) return Math.round(value).toString();
+      return formatBytes(value);
+    }
+    if (name.match(/^net\.inbound\.[^.]+\.(uplink|downlink)$/)) return formatBytes(value);
+    if (name.match(/^net\.inbound\.[^.]+\.connections$/)) return Math.round(value).toString();
+    return value.toFixed(2);
+  }
+
   function renderNodeMetrics(nodeId, data) {
     if (!data.metrics || !data.metrics.length) {
       return '<p class="small">No metrics available</p>';
@@ -536,10 +554,12 @@ <h4>Overview</h4>
       <h4 style="margin-top:1rem">All series</h4>
       <table class="small">
         <tr><th>Metric</th><th>Latest</th><th>Points</th></tr>
-        ${data.metrics.map(m => {
-          const last = m.points[m.points.length - 1];
-          return `<tr><td>${m.name}</td><td>${last ? last.y.toFixed(2) : '-'}</td><td>${m.points.length}</td></tr>`;
-        }).join('')}
+        ${data.metrics
+          .filter(m => !m.name.startsWith('user.traffic.'))
+          .map(m => {
+            const last = m.points[m.points.length - 1];
+            return `<tr><td>${m.name}</td><td>${last ? formatMetricValue(m.name, last.y) : '-'}</td><td>${m.points.length}</td></tr>`;
+          }).join('')}
       </table>
     `;
   }
@@ -551,20 +571,20 @@ <h4 style="margin-top:1rem">All series</h4>
     const netTx = data.metrics.filter(m => m.name.match(/^net\..+\.tx_bps$/));
     const loadSeries = data.metrics.filter(m => m.name.startsWith('sys.loadavg_'));
 
-    const merge = (series) => {
+    const merge = (series, multiplier = 1) => {
       const map = new Map();
       series.forEach(s => {
         s.points.forEach(p => {
           const v = map.get(p.x) || 0;
-          map.set(p.x, v + p.y);
+          map.set(p.x, v + p.y * multiplier);
         });
       });
       return Array.from(map.entries()).sort((a, b) => a[0] - b[0]).map(([x, y]) => ({ x, y }));
     };
 
     drawChart(`chart-${nodeId}-cpu`, merge(cpuSeries), 'CPU %', '#1a1a2e');
     drawChart(`chart-${nodeId}-mem`, merge(memSeries), 'Memory used', '#2563eb');
-    drawChart(`chart-${nodeId}-net`, merge([...netRx, ...netTx]), 'bps ×8', '#16a34a');
+    drawChart(`chart-${nodeId}-net`, merge([...netRx, ...netTx], 8), 'Network bps', '#16a34a');
     drawChart(`chart-${nodeId}-load`, merge(loadSeries), 'Load', '#d97706');
   }
 

src/bin/api/http/crypto.rs

@@ -5,20 +5,20 @@ use openssl::symm::{decrypt as aes_decrypt, encrypt as aes_encrypt, Cipher};
 use std::sync::Arc;
 use warp::{Filter, Rejection};
 
-/// AES-контекст, полученный при расшифровке запроса. Используется для шифрования ответа.
+/// AES context obtained while decrypting the request. Used to encrypt the response.
 #[derive(Debug, Clone)]
 pub struct AesContext {
     pub key: Vec<u8>,
     pub iv: Vec<u8>,
 }
 
-/// Ошибка шифрования/расшифровки AGW.
+/// AGW encryption/decryption error.
 #[derive(Debug)]
 pub struct AgwCryptoError(pub String);
 impl warp::reject::Reject for AgwCryptoError {}
 
-/// Расшифровывает зашифрованный запрос. Если тело plain JSON, возвращает его как есть
-/// с пустым AES-контекстом.
+/// Decrypts an encrypted request. If the body is plain JSON, returns it as-is
+/// with an empty AES context.
 pub fn decrypt_request(
     private_key: &PKey<Private>,
     body: serde_json::Value,
@@ -60,7 +60,7 @@ pub fn decrypt_request(
         .get("aes_iv")
         .and_then(|v| v.as_str())
         .ok_or_else(|| AgwCryptoError("aes_iv missing".to_string()))?;
-    // aes_salt передаётся клиентом, но не используется для вывода ключа.
+    // aes_salt is sent by the client but is not used for key derivation.
 
     let aes_key = base64::engine::general_purpose::STANDARD
         .decode(aes_key_b64)
@@ -75,7 +75,7 @@ pub fn decrypt_request(
     let aes_iv = base64::engine::general_purpose::STANDARD
         .decode(aes_iv_b64)
         .map_err(|e| AgwCryptoError(format!("aes_iv base64 decode failed: {e}")))?;
-    // Клиент передаёт 32 байта IV, но AES-256-CBC использует только первые 16.
+    // The client sends 32 bytes of IV, but AES-256-CBC only uses the first 16.
     let aes_iv: Vec<u8> = aes_iv.into_iter().take(16).collect();
     if aes_iv.len() != 16 {
         return Err(AgwCryptoError(format!(
@@ -103,14 +103,14 @@ pub fn decrypt_request(
     ))
 }
 
-/// Шифрует ответ тем же AES-256-CBC с PKCS#7 padding.
+/// Encrypts the response with the same AES-256-CBC using PKCS#7 padding.
 pub fn encrypt_response(ctx: &AesContext, plaintext: &[u8]) -> Result<Vec<u8>, AgwCryptoError> {
     aes_encrypt(Cipher::aes_256_cbc(), &ctx.key, Some(&ctx.iv), plaintext)
         .map_err(|e| AgwCryptoError(format!("AES encryption failed: {e}")))
 }
 
-/// Warp-фильтр: автоматически определяет зашифрованное тело и расшифровывает его.
-/// Если приватный ключ не настроен, а тело зашифровано — возвращает ошибку.
+/// Warp filter: automatically detects an encrypted body and decrypts it.
+/// Returns an error if the body is encrypted but no private key is configured.
 pub fn with_agw_decryption<T>(
     private_key: Option<Arc<PKey<Private>>>,
 ) -> impl Filter<Extract = (T, Option<AesContext>), Error = Rejection> + Clone
@@ -138,7 +138,7 @@ where
         .untuple_one()
 }
 
-/// Шифрует исходящий ответ, если был AES-контекст. Иначе возвращает ответ как есть.
+/// Encrypts the outgoing response if an AES context exists. Otherwise returns the response as-is.
 pub async fn encrypt_gateway_reply(
     response: warp::reply::Response,
     aes_ctx: Option<AesContext>,

src/bin/api/http/filters.rs

@@ -70,8 +70,8 @@ pub fn with_email_store(
     warp::any().map(move || email_store.clone())
 }
 
-/// Аутентификация либо service token, либо admin token.
-/// Используется для management endpoint'ов, которые админка использует с admin token.
+/// Authentication using either a service token or an admin token.
+/// Used for management endpoints that the admin panel calls with an admin token.
 pub fn with_service_or_admin_auth(
     service_token: Arc<String>,
     admin_token: String,
@@ -94,7 +94,7 @@ pub fn with_service_or_admin_auth(
         .untuple_one()
 }
 
-/// Аутентификация премиум-пользователя по Bearer-токену (premium_token).
+/// Premium user authentication via Bearer token (premium_token).
 pub fn with_premium_auth<T, C, S>(
     mem_sync: MemSync<T, C, S>,
 ) -> impl Filter<Extract = (S,), Error = warp::Rejection> + Clone

src/bin/api/http/handlers/amnezia.rs

@@ -203,18 +203,18 @@ pub struct GatewayConfigResponse {
 }
 
 // ============================================================================
-// Хелперы
+// Helpers
 // ============================================================================
 
-/// Извлекает subscription_id из auth_data.
+/// Extracts subscription_id from auth_data.
 fn extract_subscription_id(auth_data: &serde_json::Value) -> Option<uuid::Uuid> {
     auth_data
         .get("id")
         .and_then(|v| v.as_str())
         .and_then(|s| uuid::Uuid::parse_str(s).ok())
 }
 
-/// Проверяет, соответствует ли тег протоколу из запроса клиента.
+/// Checks whether the tag matches the protocol from the client request.
 fn proto_matches(tag: Tag, protocol: &str) -> bool {
     match protocol {
         "awg" => tag == Tag::AmneziaWg,
@@ -229,7 +229,7 @@ fn proto_matches(tag: Tag, protocol: &str) -> bool {
     }
 }
 
-/// Возвращает человекочитаемое название инбаунда по тегу.
+/// Returns a human-readable inbound name for the given tag.
 fn inbound_label(tag: Tag) -> &'static str {
     match tag {
         Tag::VlessTcpReality => "VLESS TCP Reality",
@@ -245,8 +245,8 @@ fn inbound_label(tag: Tag) -> &'static str {
     }
 }
 
-/// Возвращает список connection'ов для заданного протокола.
-/// Для каждой онлайн-ноды с нужным инбаундом ищет matching connection подписки.
+/// Returns the list of connections for the given protocol.
+/// For each online node with the required inbound, finds a matching connection of the subscription.
 fn connections_for_protocol<N, C>(
     nodes: &N,
     protocol: &str,
@@ -271,7 +271,7 @@ where
                 if !proto_matches(tag, protocol) {
                     continue;
                 }
-                // connection можно сопоставить только с нодой, у которой есть точно такой же inbound
+                // A connection can only be matched with a node that has exactly the same inbound.
                 if !node.inbounds.values().any(|i| i.tag == tag) {
                     continue;
                 }
@@ -311,7 +311,7 @@ where
     result
 }
 
-/// Возвращает уникальный список стран из connection'ов (для available_countries).
+/// Returns a unique list of countries from the connections (for available_countries).
 fn available_countries_from_connections(conns: &[GatewayConnection]) -> Vec<GatewayCountry> {
     let mut seen = std::collections::HashSet::new();
     let mut countries = Vec::new();
@@ -328,7 +328,7 @@ fn available_countries_from_connections(conns: &[GatewayConnection]) -> Vec<Gate
     countries
 }
 
-/// Строит Amnezia server config для AWG.
+/// Builds the Amnezia server config for AWG.
 fn build_awg_server_config(
     ini_config: &str,
     client_priv_key: &str,
@@ -411,7 +411,7 @@ fn build_awg_server_config(
     })
 }
 
-/// Строит Amnezia server config для VLESS/XRay из реального inbound.
+/// Builds the Amnezia server config for VLESS/XRay from the real inbound.
 fn build_vless_server_config(
     inbound: &fcore::Inbound,
     conn_id: &uuid::Uuid,
@@ -662,7 +662,7 @@ fn build_vless_server_config(
 }
 
 // ============================================================================
-// Обработчики
+// Handlers
 // ============================================================================
 
 pub async fn gateway_services_handler<N, C, S>(
@@ -684,7 +684,7 @@ where
 {
     let mem = memory.memory.read().await;
 
-    // Если передан subscription_id, берём реальный end_date из подписки и её connections
+    // If subscription_id is provided, use the real subscription end_date and its connections.
     let sub_id = req.auth_data.as_ref().and_then(extract_subscription_id);
     let end_date = sub_id
         .and_then(|sub_id| mem.subscriptions.find_by_id(&sub_id))
@@ -798,7 +798,7 @@ where
     let conns = mem.connections.get_by_subscription_id(&sub_id);
     let active_devices = conns.as_ref().map(|c| c.len() as i64).unwrap_or(0);
 
-    // Собираем issued_configs из реальных connections
+    // Build issued_configs from real connections.
     let issued_configs: Vec<GatewayIssuedConfig> = conns
         .unwrap_or_default()
         .into_iter()
@@ -940,7 +940,7 @@ where
                     continue;
                 }
 
-                // Нода должна иметь точно такой же inbound, как у connection
+                // The node must have exactly the same inbound as the connection.
                 let has_inbound = node.inbounds.values().any(|i| i.tag == conn_tag);
                 if !has_inbound {
                     continue;

src/bin/api/http/handlers/subscription.rs

@@ -187,7 +187,7 @@ where
         .refer_code
         .unwrap_or_else(|| get_uuid_last_octet_simple(&sub_id));
 
-    // Проверяем, что реферальный код существует (если указан и это не системный код).
+    // Verify that the referral code exists (if provided and it is not a system code).
     if let Some(ref_by) = req.referred_by.clone() {
         let mem = memory.memory.read().await;
         if !system_refer_codes.iter().any(|c| c == &ref_by)

src/bin/api/http/handlers/trial.rs

@@ -54,7 +54,7 @@ where
     let ref_by = req.referred_by.clone().unwrap_or_else(|| "WEB".to_string());
     let sub_id = uuid::Uuid::new_v4();
 
-    // Проверяем, что реферальный код существует (если указан и это не системный код).
+    // Verify that the referral code exists (if provided and it is not a system code).
     if let Some(ref_by_code) = req.referred_by.clone() {
         let mem = memory.memory.read().await;
         if !system_refer_codes.iter().any(|c| c == &ref_by_code)

src/bin/api/tasks.rs

@@ -68,6 +68,14 @@ where
                     .connections
                     .iter()
                     .filter_map(|(id, conn)| {
+                        // Connections that belong to a subscription are managed by
+                        // cleanup_expired_subscriptions / restore_subscriptions via the
+                        // sync bus. Only standalone connections with their own expires_at
+                        // should be cleaned up here.
+                        if conn.get_subscription_id().is_some() {
+                            return None;
+                        }
+
                         if let Some(expires_at) = conn.get_expires_at() {
                             if expires_at <= now && !conn.get_deleted() {
                                 Some((*id, conn.clone()))