一键配置与订阅：当前 DMIT 方案

当前交付

当前站点只向小火箭与 Clash Verge 发布一台 DMIT-LA 节点。两种格式共享同一台服务器、同一个独立随机密码。导入的是可更新的订阅地址，不需要在手机和电脑上分别手工填写单节点参数。

站点入口为 claude.xtabapp.com。输入私有访问码后，选择「小火箭 · iPhone」或「Clash Verge · 电脑」，点导入按钮；如果应用没被唤起，复制同一页给出的 HTTPS 地址，在应用内新增订阅。小火箭页的二维码编码的是整条订阅，不是单节点。

已有 DMIT：重新生成当前订阅

本工作区中，服务器端已在运行，无需重新安装。若仅修改客户端显示名或重新发布页面，可在工作区根目录执行：

./vps-delivery/build-one-click-subscriptions.sh
python3 -m pip install --target /tmp/vps-markdown -r vps-delivery/site/requirements.txt
PYTHONPATH=/tmp/vps-markdown python3 vps-delivery/scripts/build-site.py

第一条命令从本机私有的 DMIT 节点配置生成两种订阅文件，并将客户端显示名设为 DMIT-LA；它不会更改 VPS 上的密码或服务。第二、三条命令生成文章、页面和整组二维码。输出保存在被 Git 忽略的 vps-delivery/private/，包含真实连接凭据。已有的 private/site-token.txt 会被复用，避免每次更新都让客户端换订阅地址。

全新 Ubuntu VPS：一键安装服务端

仅当你开通的是一台全新 Ubuntu VPS，且自己的电脑已有 ~/.ssh/id_rsa 与对应公钥能以 root 登录时，才使用下面的部署脚本。首次 SSH 连接要核对主机指纹；若使用其他密钥路径，请先调整脚本。示例 IP 是保留地址，必须换成自己服务器的公网 IPv4：

./vps-delivery/provision-vps.sh 203.0.113.10 NewDMIT 8390 "$HOME/.config/new-dmit"

脚本把安装程序传到服务器，安装 shadowsocks-libev，生成随机密码，配置 aes-128-gcm、8390/TCP+UDP 与 systemd 开机自启，再把私有客户端文件取回指定目录。重跑同一名称的服务不会自动轮换密码。还要在云平台防火墙允许 8390 的 TCP/UDP，并从手机、电脑的实际网络测试网页和持续下载。不要在当前已经运行的 DMIT 服务上用新名字重跑这条命令，以免额外开出一个不必要的服务。

如果新服务器的系统、SSH 用户或防火墙与脚本假设不同，先逐项核对后再运行；服务显示 active 只是第一层检查，不代表客户端已经能上网。完整判断顺序见 VPS 最终方案与排障。

站点发布与密钥边界

claude.xtabapp.com 使用独立 HTTPS 虚拟主机。公开文章不包含访问码；订阅文件位于 https://claude.xtabapp.com/s/<访问码>/，私有目录禁止索引、访问日志和缓存。已导入的旧订阅地址暂时保留兼容；新导入应使用 Claude 域名。订阅 URL 本身相当于连接凭据，不能发到公开群或仓库；泄露后应轮换节点密码、生成新访问码并更新客户端。

订阅中不含 WireGuard 私钥，也不包含未经端到端验证的实验协议。订阅站点只分发配置，手机/电脑访问网站的代理流量直接到 DMIT。下一步：小火箭与 Clash Verge 导入。