feat: start relay over HTTP by default

Author: zengyufei

CHANGELOG.en.md

@@ -2,6 +2,14 @@
 
 All notable changes to `ii` are documented here. The default Chinese version is [CHANGELOG.md](CHANGELOG.md).
 
+## 0.2.8 - 2026-08-03
+
+### Changed
+
+- `ii relay` now starts an HTTP relay without arguments on a random port and supports `--port` for a fixed port; it prints reachable IPv4 URLs and other interface URLs.
+- `--tls` is now an optional self-signed HTTPS switch, `--domain` selects the TLS name, and `--cert` plus `--key` replace the generated certificate; `--public` and `-H` were removed.
+- `ii send --relay` and `ii tunnel -s --relay` accept HTTP or HTTPS URLs; `-k` is HTTPS-only.
+
 ## 0.2.7 - 2026-08-03
 
 ### Changed

CHANGELOG.md

@@ -2,6 +2,14 @@
 
 本文件记录 `ii` 的重要变更。默认中文版本在这里，英文版本见 [CHANGELOG.en.md](CHANGELOG.en.md)。
 
+## 0.2.8 - 2026-08-03
+
+### 变更
+
+- `ii relay` 改为无参启动 HTTP relay，默认随机端口，支持 `--port` 固定端口；终端输出可访问 IPv4 URL 和 `other:` 网卡 URL。
+- `--tls` 改为可选自签 HTTPS 开关，`--domain` 指定 TLS 域名，`--cert` 和 `--key` 可替换自动证书；删除 `--public` 与 `-H`。
+- `ii send --relay` 与 `ii tunnel -s --relay` 支持 HTTP 或 HTTPS URL；`-k` 仅可用于 HTTPS relay。
+
 ## 0.2.7 - 2026-08-03
 
 ### 变更

Cargo.lock

@@ -4,7 +4,7 @@ exclude = ["vendor/iroh", "vendor/suppaftp"]
 resolver = "3"
 
 [workspace.package]
-version = "0.2.7"
+version = "0.2.8"
 edition = "2024"
 rust-version = "1.91"
 license = "MIT"

Cargo.toml

@@ -163,8 +163,8 @@ ii tunnel -c ii1k7v...x9a --listen 0.0.0.0:8022
 Connections to B's listener travel over an encrypted Iroh connection to A, where A connects to the target TCP port. Direct paths are preferred and the default Iroh relay remains available. For a self-hosted public relay, specify it on A; the ticket carries the relay and self-signed trust policy to B:
 
 ```powershell
-ii relay --public https://PUBLIC_IP:8443
-ii tunnel -s 192.168.1.10:5000 --relay https://PUBLIC_IP:8443 -k
+ii relay --port 8443
+ii tunnel -s 192.168.1.10:5000 --relay http://PUBLIC_IP:8443
 ```
 
 The relay forwards encrypted Iroh traffic only. It does not expose the target TCP port to the public Internet. The ticket contains this tunnel's bearer access key, so anyone holding it can connect until A stops the service. The first release supports TCP only.
@@ -256,40 +256,50 @@ ii version
 
 You do not need to understand relay hosting to send ordinary files. This section is only for running your own relay service or using a fixed relay entrypoint in a company network.
 
-Start a self-signed HTTPS relay:
+Start an HTTP relay:
 
 ```powershell
-ii relay --public https://SERVER_PUBLIC_IP:8443
+ii relay
 ```
 
-You can use a domain too:
+By default it listens on `0.0.0.0` at a random free port and prints the primary IPv4 URL plus other local IPv4 interfaces. `0.0.0.0` is only a bind address, never a client address; clients use a reachable LAN or public IP with the printed port. A cloud public IP may be NAT-provided and therefore absent from the interface list.
+
+Choose a fixed port:
 
 ```powershell
-ii relay --public https://relay.example.com
+ii relay --port 8443
 ```
 
-`--public` is the public HTTPS address used by clients and must be `https://host[:port]`. On first start, `ii` generates and persists a self-signed certificate and key in the relay state directory. It listens on the public URL port, or on `443` when the URL has no port. Use `-H` for a different local backend port behind NAT or a reverse proxy:
+Send through the HTTP relay:
 
 ```powershell
-ii relay --public https://relay.example.com:8443 -H 9443
+ii send .\video.mp4 --relay http://SERVER_PUBLIC_IP:8443
 ```
 
-Send through the relay:
+For HTTPS, let `ii` generate a self-signed certificate for this process:
 
 ```powershell
+ii relay --tls --port 8443
 ii send .\video.mp4 --relay https://SERVER_PUBLIC_IP:8443 -k
 ```
 
-`-k` accepts the self-signed certificate and puts that policy in the ticket; the receiver needs no certificate installation or relay configuration. A first connection can still be replaced by a man-in-the-middle.
+`-k` is HTTPS-only. It skips certificate verification for that relay and puts the policy in the ticket; the receiver needs no certificate installation or relay configuration. A first connection can still be replaced by a man-in-the-middle.
+
+For a named self-signed TLS relay:
+
+```powershell
+ii relay --tls --domain relay.example.com --port 8443
+ii send .\video.mp4 --relay https://relay.example.com:8443 -k
+```
 
-With a domain and PEM certificate files, use manual TLS:
+To replace the generated certificate with PEM files:
 
 ```powershell
-ii relay --tls relay.example.com -H 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
+ii relay --tls --domain relay.example.com --port 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
 ii send .\video.mp4 --relay https://relay.example.com:8443
 ```
 
-Manual TLS does not use `-k`; clients use normal system TLS verification. Both `--relay` modes force HTTPS relay-only transport and skip UDP and direct paths. See [ii.md](ii.md) for ports, state paths, and the security boundary. FTP and SFTP configuration, tickets, and security limits are documented in [ftp.md](ftp.md) and [sftp.md](sftp.md).
+Manual TLS does not use `-k`; clients use normal system TLS verification. HTTP and HTTPS `--relay` modes both force relay-only transport and skip UDP and direct paths. See [ii.md](ii.md) for ports, TLS, public NAT boundaries, and the security boundary. FTP and SFTP configuration, tickets, and security limits are documented in [ftp.md](ftp.md) and [sftp.md](sftp.md).
 
 ## Full Manual
 

README.en.md

@@ -166,8 +166,8 @@ ii tunnel -c ii1k7v...x9a --listen 0.0.0.0:8022
 本机连接 B 的监听端口，流量会经 Iroh 加密连接送到 A，再由 A 连接目标 TCP 端口。直连失败时默认可用 Iroh relay；自建公网 relay 时，在 A 上指定它，ticket 会把 relay 和自签信任策略带给 B：
 
 ```powershell
-ii relay --public https://公网IP:8443
-ii tunnel -s 192.168.1.10:5000 --relay https://公网IP:8443 -k
+ii relay --port 8443
+ii tunnel -s 192.168.1.10:5000 --relay http://公网IP:8443
 ```
 
 relay 只转发加密 Iroh 流量，不会把目标 TCP 端口直接开放到公网。ticket 内含本次 tunnel 的访问密钥，持有者可接入直到 A 停止服务，不要泄露。首版只支持 TCP。
@@ -268,40 +268,50 @@ ii version
 
 普通发文件不需要先理解 relay。只有你要自建中继服务，或者公司网络环境需要固定中继入口时，才需要看这一段。
 
-启动自签 HTTPS relay：
+直接启动 HTTP relay：
 
 ```powershell
-ii relay --public https://服务器公网IP:8443
+ii relay
 ```
 
-也可以使用域名：
+默认监听 `0.0.0.0` 的随机空闲端口，终端会打印主网卡 URL 和 `other:` 下的其余 IPv4 网卡 URL。`0.0.0.0` 仅用于监听，不能作为客户端地址；客户端使用实际可达的局域网 IP 或公网 IP 加打印出的端口。云服务器的公网 IP 可能由 NAT 提供，不一定出现在网卡列表中。
+
+固定端口：
 
 ```powershell
-ii relay --public https://relay.example.com
+ii relay --port 8443
 ```
 
-`--public` 是客户端实际访问的公网 HTTPS 地址，必须是 `https://主机[:端口]`。首次启动会自动在 relay 状态目录生成并持久化自签证书和私钥。默认监听 `--public` 的端口，未写端口就是 `443`；NAT 或反向代理需要转到不同后端端口时，用 `-H`：
+发送端指定 HTTP relay：
 
 ```powershell
-ii relay --public https://relay.example.com:8443 -H 9443
+ii send .\video.mp4 --relay http://服务器公网IP:8443
 ```
 
-发送端指定 relay：
+需要 HTTPS 时由 `ii` 自动生成当前进程使用的自签证书：
 
 ```powershell
+ii relay --tls --port 8443
 ii send .\video.mp4 --relay https://服务器公网IP:8443 -k
 ```
 
-`-k` 表示接受自签证书，并把该策略带进 ticket；接收方无需安装证书或配置 relay。首次连接仍可能遭遇中间人替换。
+`-k` 只用于 HTTPS，表示跳过该 relay 的证书校验，并把该策略带进 ticket；接收方无需安装证书或配置 relay。首次连接仍可能遭遇中间人替换。
+
+自签 TLS 需要域名显示时：
+
+```powershell
+ii relay --tls --domain relay.example.com --port 8443
+ii send .\video.mp4 --relay https://relay.example.com:8443 -k
+```
 
-已有域名和 PEM 证书时，使用手工证书模式：
+已有 PEM 证书时，使用手工证书替换自签证书：
 
 ```powershell
-ii relay --tls relay.example.com -H 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
+ii relay --tls --domain relay.example.com --port 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
 ii send .\video.mp4 --relay https://relay.example.com:8443
 ```
 
-手工证书模式不带 `-k`，客户端使用系统正常 TLS 校验。两种 `--relay` 都只走 HTTPS relay，不尝试 UDP 或直连；完整端口、状态路径和安全边界见 [ii.md](ii.md)。FTP 和 SFTP 的配置、ticket 和安全限制分别见 [ftp.md](ftp.md) 与 [sftp.md](sftp.md)。
+手工证书模式不带 `-k`，客户端使用系统正常 TLS 校验。HTTP 或 HTTPS 的 `--relay` 都只走 relay-only，不尝试 UDP 或直连；完整端口、TLS 和公网 NAT 边界见 [ii.md](ii.md)。FTP 和 SFTP 的配置、ticket 和安全限制分别见 [ftp.md](ftp.md) 与 [sftp.md](sftp.md)。
 
 ## 详细手册
 

README.md

@@ -10,13 +10,13 @@
 
 ```text
 ii help [<command>]
-ii send [<path>] [--name <name>] [-t] [-c] [-o <path>] [--web [--port <port>] [--token [<value>]] [--upload] [--path <dir>] | --s3 | --webdav | --ftp | --sftp] [--profile <name>] [-d] [-p] [--local] [--relay <https-url> [-k]] [--no-relay]
+ii send [<path>] [--name <name>] [-t] [-c] [-o <path>] [--web [--port <port>] [--token [<value>]] [--upload] [--path <dir>] | --s3 | --webdav | --ftp | --sftp] [--profile <name>] [-d] [-p] [--local] [--relay <url> [-k]] [--no-relay]
 ii web [<目录>] [--port <port>] [--token [<value>]] [--upload] [--path <目录>]
 ii webrtc [--port <port>] [--token [<value>]]
-ii tunnel -s <target-host:port> [--relay <https-url> [-k]]
+ii tunnel -s <target-host:port> [--relay <url> [-k]]
 ii tunnel -c <ticket> [--listen <ip:port>]
 ii recv <ticket> [-o <dir>] [--stdout] [--overwrite] [--resume] [--local] [--trace]
-ii relay (--public <https-url> | --tls <domain> --cert <path> --key <path>) [-H <bind-port>]
+ii relay [--port <port>] [--tls [--domain <name>] [--cert <path> --key <path>]]
 ii doctor
 ii version
 ```
@@ -103,13 +103,13 @@ tar czf - .\project | ii send --name project.tar.gz
 : 只走局域网优先路径，不走公网发现，不走公网 relay。
 
 `--relay <url>`
-: 使用 HTTPS relay-only 模式，URL 必须是 `https://主机[:端口]`。
+: 使用 HTTP 或 HTTPS relay-only 模式，URL 必须是 `http://主机[:端口]` 或 `https://主机[:端口]`。
   发送端和接收端都只通过该 relay 传输，不尝试 UDP、局域网发现或点对点直连。
-  默认按系统证书链校验 relay，适合 `ii relay --tls --cert --key` 的手工证书模式。
+  HTTPS 默认按系统证书链校验，适合 `ii relay --tls --cert --key` 的手工证书模式。
 
 `-k`
-: 只允许和 `--relay` 一起使用，表示接受该 relay 的自签证书。
-  用于 `ii relay --public https://...`。带 `-k` 的 ticket 会让接收端自动沿用自签信任策略。
+: 只允许和 HTTPS `--relay` 一起使用，表示接受该 relay 的自签证书。
+  用于 `ii relay --tls`。带 `-k` 的 ticket 会让接收端自动沿用自签信任策略。
 
 `--no-relay`
 : 禁用 relay，只允许直连和局域网路径。
@@ -147,7 +147,7 @@ tar czf - .\project | ii send --name project.tar.gz
 - `--web`、`--s3`、`--webdav`、`--ftp`、`--sftp`、`--local`、`--relay`、`--no-relay` 互斥。
 - 默认不需要用户选 relay。
 - 如果没有局域网或直连可用，默认会自动退到公网 relay。
-- 指定 `--relay https://...` 后，当前发送会强制走 HTTPS relay-only，不使用默认公网 relay。
+- 指定 `--relay http://...` 或 `--relay https://...` 后，当前发送会强制走 relay-only，不使用默认公网 relay。
 - 手工证书 relay 不带 `-k`；自签 relay 必须带 `-k`。
 
 ## `ii web`
@@ -196,11 +196,11 @@ ii tunnel -c ii1k7v...x9a
 默认先尝试直连和局域网路径，必要时使用 Iroh 默认 relay。指定 relay 时只在 A 上使用：
 
 ```powershell
-ii relay --public https://公网IP:8443
-ii tunnel -s 192.168.1.10:5000 --relay https://公网IP:8443 -k
+ii relay --port 8443
+ii tunnel -s 192.168.1.10:5000 --relay http://公网IP:8443
 ```
 
-`--relay <url>` 必须为 `https://主机[:端口]`，使本次 tunnel 强制走该 HTTPS relay；`-k` 仅和 `-s --relay` 同用，接受自签 relay。ticket 会把 relay URL 和自签信任策略带给 B，B 不需要再次配置。relay 只转发加密 Iroh 流量，不会把目标 TCP 端口直接暴露到公网。
+`--relay <url>` 可为 `http://主机[:端口]` 或 `https://主机[:端口]`，使本次 tunnel 强制走该 relay；`-k` 仅和 HTTPS `-s --relay` 同用，接受自签 relay。ticket 会把 relay URL 和自签信任策略带给 B，B 不需要再次配置。relay 只转发加密 Iroh 流量，不会把目标 TCP 端口直接暴露到公网。
 
 ticket 内有一次随机访问密钥。持有 ticket 的设备可以接入，直到 A 按 `Ctrl+C` 停止 tunnel；不要泄露 ticket。首版不支持 UDP、SOCKS、反向 tunnel 或后台守护。
 
@@ -336,74 +336,65 @@ ticket 里可以带足够完成连接、恢复传输和重复文件判定的最
 
 ## `ii relay`
 
-`ii relay` 支持两种 HTTPS relay-only 服务模式：`--public` 自动生成自签证书，或 `--tls --cert --key` 使用已有证书。
-
-### 自签模式
-
-`--public` 启动自动生成证书的自签 relay，格式只能是 `https://主机[:公网端口]`：
+`ii relay` 默认启动 HTTP relay，不需要参数：
 
 ```powershell
-ii relay --public https://relay.example.com
-ii relay --public https://relay.example.com:8443
+ii relay
+ii relay --port 8443
 ```
 
-不传 `-H` 时，relay 监听 `--public` 中的端口；URL 没写端口时监听 `443`。如果 NAT 或反向代理把公网端口转发到不同的本机端口，用 `-H` 指定本机监听端口：
-
-```powershell
-ii relay --public https://relay.example.com:8443 -H 9443
-```
+它监听 `0.0.0.0:随机端口`，或监听 `--port` 指定的 `0.0.0.0:端口`。终端按 `ii web` 的格式输出主 IPv4 URL 和 `other:` 下的其余物理、虚拟网卡 IPv4 URL，但不显示二维码。`0.0.0.0` 只是 bind 地址，不能作为客户端 URL；客户端必须使用实际可达 IP 或域名。
 
-上例中客户端访问 `https://relay.example.com:8443`，relay 本机监听 `9443/tcp`。必须对外开放公网 HTTPS 端口；relay 不开放 HTTP、UDP 或 QUIC 端口。
+裸机或公网 IP 直接绑在网卡时，打印列表会包含公网地址。云服务器常由 NAT 映射公网 IP，网卡列表只有私网地址；这时从云控制台取得公网 IP，再与终端打印的端口拼成 relay URL。`ii` 不尝试猜测 NAT 映射。
 
-自签 relay 的客户端必须带 `-k`：
+HTTP relay 示例：
 
 ```powershell
-ii send .\video.mp4 --relay https://203.0.113.10:8443 -k
-ii send .\video.mp4 --relay https://relay.example.com -k
+ii relay --port 8443
+ii send .\video.mp4 --relay http://公网IP:8443
+ii tunnel -s 192.168.1.10:5000 --relay http://公网IP:8443
 ```
 
-`-k` 会把“接受自签证书”的策略写入 ticket。接收方只需运行 ticket 打印出的 `ii recv ...`，不需要另装证书、不需要写 relay 配置。
-
-### 自签证书和状态文件
+### TLS
 
-首次成功启动时，`ii relay` 自动生成并持久化自签 TLS 证书和私钥；重启时复用同一份材料：
+`--tls` 开启 HTTPS。没有 `--cert` 和 `--key` 时，`ii` 仅为当前进程生成自签证书；客户端必须带 `-k`：
 
-- Windows：`ii.exe` 同目录的 `relay.toml`、`relay-cert.pem`、`relay-key.pem`
-- Linux/macOS/其他 Unix-like：`/etc/ii/relay.toml`、`/etc/ii/relay-cert.pem`、`/etc/ii/relay-key.pem`
-
-`relay.toml` 记录该 relay 的公网 URL。后续必须继续使用同一 `--public`；若要换公网地址，删除这三个 state 文件后重新启动，让它生成新的 relay 身份。私钥或证书只剩其中一个、或内容损坏时，`ii relay` 会明确报错，不会悄悄换证书。
-
-自签模式不接受 `--tls`、`--cert` 或 `--key`。它不使用 ACME、Let’s Encrypt、HTTP relay、QUIC 或 metrics。
-
-### 手工证书模式
+```powershell
+ii relay --tls --port 8443
+ii send .\video.mp4 --relay https://公网IP:8443 -k
+```
 
-使用已有的 PEM 完整证书链与私钥时：
+需要以域名访问时：
 
 ```powershell
-ii relay --tls relay.example.com -H 8443 --cert .\fullchain.pem --key .\privkey.pem
+ii relay --tls --domain relay.example.com --port 8443
+ii send .\video.mp4 --relay https://relay.example.com:8443 -k
 ```
 
-`--tls` 必须是证书 SAN 包含的裸域名；`--cert` 是 PEM 格式的完整证书链，`--key` 是匹配的 PEM 私钥。手工模式不读、不写 `relay.toml` 或自签证书文件。
+带 `--domain` 时，终端只输出该域名 HTTPS URL；自动证书包含该 DNS SAN。没有 `--domain` 时，终端输出 HTTPS 网卡 IP URL，仍需 `-k`。
 
-客户端使用正常 TLS 校验，不带 `-k`：
+已有 PEM 完整证书链和私钥时，成对提供 `--cert`、`--key` 替换自动证书：
 
 ```powershell
+ii relay --tls --domain relay.example.com --port 8443 --cert .\fullchain.pem --key .\privkey.pem
 ii send .\video.mp4 --relay https://relay.example.com:8443
 ```
 
-两种模式的 `--relay` 都强制 relay-only：不尝试局域网发现、UDP 打洞或点对点直连。
+手工证书模式通常配合 `--domain`，客户端正常校验证书，不带 `-k`。允许不带 `--domain` 使用手工证书；此时终端输出 HTTPS 网卡 IP URL，证书必须包含对应 IP SAN，否则用户需要自行改用匹配证书名或 `-k`。
+
+`--domain` 只能与 `--tls` 同用；`--cert` 和 `--key` 必须成对出现，且也要求 `--tls`。旧 `--public` 与 `-H` 已删除。HTTP 或 HTTPS 的 `--relay` 都强制 relay-only：不尝试局域网发现、UDP 打洞或点对点直连。
 
 ### 安全边界
 
-`-k` 对该 relay 自动接受自签证书，部署最简单，但首次连接时可被中间人替换 relay。Iroh 的端到端节点认证仍在；这个限制只针对 relay HTTPS 连接的首次信任。手工证书模式不带 `-k`，继续使用系统 TLS 证书校验。
+HTTP relay 不提供 relay 连接层 TLS；HTTPS 自签模式的 `-k` 会跳过证书校验，首次连接可能被中间人替换 relay。Iroh 的端到端节点认证仍在；手工证书模式不带 `-k`，继续使用系统 TLS 证书校验。
 
 ### 日志
 
-启动后会输出公网地址、本机监听端口、客户端连接和断开日志。需要更详细的协议日志时设置 `RUST_LOG`，例如：
+启动后会输出可访问 URL、客户端连接和断开日志。需要更详细的协议日志时设置 `RUST_LOG`，例如：
 
 ```powershell
 $env:RUST_LOG="debug"
-ii relay --public https://203.0.113.10:8443
+ii relay --port 8443
 ```
 
 ## `ii doctor`