ScienceOS Team VPN 用户帮助
================================

远程查看本说明：
  curl -fsSL https://vpn2.scienceos.top/help

无需安装或升级，远程检查本机实际配置：
  curl -fsSL https://vpn2.scienceos.top/help.sh | bash

已有 SSH 代理客户端修复或升级（保留原私钥，不消耗邀请码）：
  curl --noproxy '*' -fsSL https://vpn2.scienceos.top/repair.sh | bash

安装完成后查看本机实际配置和连接状态：
  scienceos-vpn-help

首次安装：
  使用管理员提供的完整命令。每个邀请码只能成功使用一次，
  每台服务器需要独立邀请码，请勿在群聊或公开页面转发邀请码。

Clash Verge / FlClash：
  打开管理员提供的私有加入页面，点击一键导入，或者在客户端的
  “配置 → URL”中粘贴页面显示的订阅地址。每台设备必须使用一个
  独立链接。订阅由 Clash/Mihomo 内核直接建立 WireGuard 连接，
  不需要另外运行 SSH 命令。

自动选择的两种接入模式
----------------------
1. WireGuard 全局模式
   条件：Linux 主机能够创建 WireGuard 接口并具有 NET_ADMIN 权限。
   效果：本机 IPv4 默认出口通过 VPN，通常不需要设置应用代理。
   接口：scienceos0
   配置：/etc/wireguard/scienceos0.conf

2. SSH HTTP/SOCKS5 模式
   条件：K8s 用户容器或其他无 NET_ADMIN 权限的环境。
   效果：只有读取代理变量或显式配置代理的程序通过 VPN，不是透明全局 VPN。
   HTTP 代理：127.0.0.1:1081
   SOCKS5：   127.0.0.1:1080
   配置目录：~/.config/scienceos-vpn
   环境文件：~/.config/scienceos-vpn/env.sh
   日志文件：~/.config/scienceos-vpn/proxy.log

   当前 shell 立即加载：
     source ~/.config/scienceos-vpn/env.sh

   如果机器同时运行 Clash、Whalent 或其他代理，使用以下命令避免
   环境变量互相覆盖：
     scienceos-vpn-run codex
     scienceos-vpn-run claude

   等价快捷命令：
     scienceos-codex
     scienceos-claude
     scienceos-cursor

   运行器只覆盖目标程序进程树的代理，不关闭其他代理，也不修改
   当前终端。启动目标程序前会验证 ScienceOS 出口是否可用。

   新开的 Bash 登录 shell 会自动加载代理变量。
   Codex、Claude Code、Cursor、Git、npm/pnpm 等优先使用
   HTTP_PROXY/HTTPS_PROXY；ALL_PROXY 提供 SOCKS5 回退。

常用验证
--------
  scienceos-vpn-help
  curl https://api.ipify.org
  env | grep -i proxy

正常 VPN 出口应为：
  166.88.54.106

注意
----
- 不要公开私钥、~/.config/scienceos-vpn/proxy_key 或邀请码。
- 无特权模式只代理支持 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY 的程序。
- 新安装后若 Cursor/远程 IDE 已经在运行，请重连远程会话以继承代理变量。
- 遇到问题时，把 scienceos-vpn-help 的输出和 proxy.log 的最后 30 行发给管理员；
  不要发送私钥文件。