CFPP v0.8.0-rc1 统一增强版使用说明

这是 Linux amd64 的候选发布包。它在 TCP 字节流层去除可信入口的 PPv1
前缀并透明转发，通常不需要修改客户业务程序。高防 IP 到普通源站 IP 的
线路和端口映射仍由上游提供方配置，本插件不会创建高防线路或选择国内/海外方向。

适用范围与前提
  Linux x86_64/amd64、IPv4、TCP、Proxy Protocol v1。
  root、systemd、Python 3.7+、支持 ip -j 的 iproute2、iptables、ipset。
  宿主机 TCP 服务和 rootful Docker host/bridge 是本候选版的目标范围。
  Docker bridge 必须是相互不重叠的 RFC1918 直连网段。
  多网卡新安装采用一个共享监听地址，自动选取符合条件的入口。
  特殊网卡可通过 CFPP_INTERFACES=eth0,eth1 指定，必须保留默认路由网卡。
  网关保留真实源 IP，内核会选择新的后端源端口。
  Windows、IPv6、UDP/QUIC、PPv2、Kubernetes/CNI、rootless/overlay 尚未实现。
  原生 Docker nftables、严格 rp_filter、多出口非对称路由尚需单独实测。
  分发系统识别到发行版不代表所有旧版本兼容；旧 iproute2/Python 需先升级。

包的区别
  cfpp-unified-v0.8.0-rc1-release.zip：完整交付，含 source/、runtime/、验证脚本。
  cfpp-unified-install-v0.8.0-rc1.sh：已带 Linux 二进制的单文件安装器。
  cfpp-unified-v0.8.0-rc1.tar.gz：已带二进制的离线目录包。
  cfpp-unified-source-v0.8.0-rc1.zip：源码包，不能当作现成安装器运行。
  *.sha256 和 SHA256SUMS：检查下载后内容是否与本次交付一致。

先在可恢复的 Linux 测试机验证完整交付
  unzip cfpp-unified-v0.8.0-rc1-release.zip
  cd cfpp-unified-v0.8.0-rc1-release
  sha256sum -c SHA256SUMS
  sudo bash source/test/integration/linux_docker_route.sh
  sudo bash source/test/integration/linux_netns.sh "$(pwd)/runtime/cf-pp-gateway" "$(pwd)/source/packaging/network"

两个测试强制使用独立网络和挂载命名空间、私有 /run 和临时配置，不会
操作宿主网络规则，也不查询实际 Docker socket。需要测试机允许 unshare、
netns 和相关内核功能，不能在 macOS 执行。合成测试不能替代真实 Docker/CF 登录验证。

目标主机预检查和安装/升级
  sudo bash runtime/install.sh --check-only
  sudo bash runtime/install.sh

只使用单文件安装器时，把安装器及其 .sha256 文件放在同一目录：
  sha256sum -c cfpp-unified-install-v0.8.0-rc1.sh.sha256
  sudo bash cfpp-unified-install-v0.8.0-rc1.sh --check-only
  sudo bash cfpp-unified-install-v0.8.0-rc1.sh

单文件安装器必须先保存为文件再运行，不能直接 curl | bash：它需要读取
自身内嵌载荷。旧 down.ncck.com/cfpp/install.sh 地址本次没有更新。
如果上传到原来的 /anycast/ 目录，可用以下命令下载；必须先完成上传：
  curl -fL http://118.107.7.133/anycast/cfpp-unified-install-v0.8.0-rc1.sh -o cfpp-unified-install-v0.8.0-rc1.sh
  printf '%s\n' '267835c59afe846b74e2f32b82508f723e3ed65954252e9744e95138bf5f4e84  cfpp-unified-install-v0.8.0-rc1.sh' | sha256sum -c -
  sudo bash cfpp-unified-install-v0.8.0-rc1.sh --check-only
  sudo bash cfpp-unified-install-v0.8.0-rc1.sh

已有 CFPP 安装：保留 config.json、network.env、正在运行的主程序和客户容器；
本次只升级网络帮助脚本和管理命令，并启用 Docker 路由检查/同步计时器。
它不会自动扩大旧配置的 IP/网卡范围，也不会偷偷替换旧 daemon。
新安装：生成多入口配置，创建并启动服务，默认连接保护上限 32768。
可在新安装预检查和实际安装时同样设置 CFPP_MAX_CONNECTIONS=数值（1..500000）。
连接上限不是性能承诺。保留客户配置的升级不会改写已有连接上限。

安装后统一操作
  sudo cfppctl plan                 只读查看新安装的网络发现结果
  sudo cfppctl check                只读预检查已安装配置和冲突
  sudo cfppctl status 19086         只读检查目标端口和网络规则
  sudo cfppctl sync                 仅同步自有 Docker bridge 路由
  sudo cfppctl repair               明确重建自有网络规则，先备份，失败回滚
  sudo cfppctl rollback /var/backups/cf-pp-gateway/unified.XXXXXX
  sudo cfppctl uninstall           停止服务并移除插件自有规则和文件

保留升级输出的 BACKUP 和 ROLLBACK 命令，XXXXXX 使用实际输出。
计时器约每分钟检查一次，仅同步自有路由；配置变化、外来规则或缺失 hook
会报错，不会自动覆盖客户防火墙。检查后使用明确 repair 流程。
不要用已安装的 cfppctl upgrade 下载新版本：升级应运行已校验的新发布包。
更换源站 IP、入口网卡或二进制需要单独协调迁移；普通 rerun 不会改客户配置。
卸载保留系统软件包和备份；运行内核中的容量 sysctl 不会全部立即恢复。

业务验收
  分别测试普通 IP 和高防 IP 的实际业务端口，包含客户 VPN 开/关场景。
  检查业务日志是否看到了访客真实 IP，并确认返回数据及长连接正常。
  HTTP 80 能访问、/readyz 正常或 NETWORK_CHECK=PASS，都不代表 19086 登录正常。
  高防入口必须确实映射该 TCP 端口并提供正确的 PPv1；线路/VPN/上游映射问题
  无法仅通过源站脚本保证解决。客户源地址与容器网段重叠也不能保证透明回程。

当前结果见 TEST-REPORT.txt。本候选版尚未做完整 Linux 发行版/内核矩阵、
真实 Docker/Cloudflare 测试及客户登录验收，请先在测试机验证再分批上线。
