release: v0.1.10

Author: zengyufei

CHANGELOG.en.md

@@ -6,6 +6,19 @@ All notable changes to `ii` are documented here. The default Chinese version is
 
 Nothing yet.
 
+## 0.1.10 - 2026-07-17
+
+### Changed
+
+- Added `ii relay --tls <domain> --cert <path> --key <path>` for HTTPS relays using operator-provided PEM certificate and key files.
+- TLS mode no longer exposes a public HTTP relay; certificate files and the domain are owned by the operator.
+- Removed ACME certificate issuance, certificate renewal, and QUIC address discovery while retaining the HTTP-only default relay.
+- Made `ii doctor` check `3340/tcp` by default.
+
+### Documentation
+
+- Updated manual-certificate HTTPS and relay port guidance.
+
 ## 0.1.9 - 2026-07-17
 
 ### Added

CHANGELOG.md

@@ -6,6 +6,19 @@
 
 暂无。
 
+## 0.1.10 - 2026-07-17
+
+### 变更
+
+- `ii relay` 新增 `--tls <domain> --cert <path> --key <path>`，使用运维方提供的 PEM 证书和私钥启动 HTTPS relay。
+- TLS 模式不再开放公网 HTTP relay；证书和域名必须由运维方负责。
+- 移除 ACME 自动证书、自动续期和 QUIC 地址发现，默认 relay 保持纯 HTTP。
+- `ii doctor` 默认检查 `3340/tcp`。
+
+### 文档
+
+- 更新 HTTPS 手工证书和 relay 端口说明。
+
 ## 0.1.9 - 2026-07-17
 
 ### 新增

Cargo.lock

@@ -1,6 +1,6 @@
 [package]
 name = "ii"
-version = "0.1.9"
+version = "0.1.10"
 edition = "2024"
 rust-version = "1.91"
 license = "MIT"

Cargo.toml

@@ -197,7 +197,13 @@ Clients use it with:
 ii send .\video.mp4 --relay http://SERVER_PUBLIC_IP:3340
 ```
 
-Configure HTTPS, a domain, ACME certificates, or QUIC address discovery only when needed by editing `relay.toml` and starting with `--config`. See [ii.md](ii.md) for the full configuration and Nginx reverse-proxy setup. Plain HTTP is not suitable for a long-lived public deployment.
+For HTTPS and a domain, explicitly provide an existing certificate and private key:
+
+```powershell
+ii relay --tls relay.example.com -H 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
+```
+
+Clients use `https://relay.example.com:8443`. `ii` does not issue or renew certificates; the operator owns those files. See [ii.md](ii.md) for the full configuration. Plain HTTP is not suitable for a long-lived public deployment.
 
 ## Full Manual
 
@@ -209,7 +215,7 @@ Release changes are documented in [CHANGELOG.en.md](CHANGELOG.en.md). The defaul
 
 ## Version
 
-The current version is managed by Git tags. This repository currently uses `v0.1.9`.
+The current version is managed by Git tags. This repository currently uses `v0.1.10`.
 
 ## License
 

README.en.md

@@ -208,7 +208,13 @@ ii relay
 ii send .\video.mp4 --relay http://服务器公网IP:3340
 ```
 
-需要 HTTPS、域名、ACME 证书或 QUIC 地址发现时，再编辑 `relay.toml` 并通过 `--config` 启动。完整配置和 Nginx 反向代理方式见 [ii.md](ii.md)。纯 HTTP 不适合不受信任的公网长期部署。
+需要 HTTPS 和域名时，显式提供已有证书和私钥：
+
+```powershell
+ii relay --tls relay.example.com -H 8443 --cert D:\certs\fullchain.pem --key D:\certs\privkey.pem
+```
+
+客户端使用 `https://relay.example.com:8443`。`ii` 不申请、不续期证书；证书文件由运维方负责。完整配置见 [ii.md](ii.md)。纯 HTTP 不适合不受信任的公网长期部署。
 
 ## 详细手册
 
@@ -220,7 +226,7 @@ ii send .\video.mp4 --relay http://服务器公网IP:3340
 
 ## 版本
 
-当前版本由 Git tag 管理。仓库内已使用 `v0.1.9`。
+当前版本由 Git tag 管理。仓库内已使用 `v0.1.10`。
 
 ## 许可证
 

README.md

@@ -11,7 +11,7 @@
 ```text
 ii send [<path>] [--name <name>] [-t] [-c] [-o <path>] [--s3] [--webdav] [--profile <name>] [-d] [-p] [--local] [--relay <url>] [--no-relay]
 ii recv <ticket> [-o <dir>] [--stdout] [--overwrite] [--resume] [--local] [--trace]
-ii relay [--config <path>] [--http <port>] [--https <port>] [--quic <port>] [--metrics <port>]
+ii relay [--config <path>] [--port <port>] [--metrics <port>] [--tls <domain> --cert <path> --key <path>]
 ii doctor
 ii version
 ```
@@ -262,7 +262,7 @@ iroh-relay
 ii relay
 ii relay --config .\relay.toml
 ii relay -H 8080
-ii relay --config .\relay.toml -S 8443 -Q 7843
+ii relay --tls relay.example.com -H 8443 --cert .\fullchain.pem --key .\privkey.pem
 ```
 
 ### 默认启动
@@ -286,7 +286,7 @@ ii send .\video.mp4 --relay http://203.0.113.10:3340
 
 这是默认路径。公网 HTTP 没有 TLS 保护，只适合临时、受信任的网络；要长期公开提供 relay，再配置 HTTPS。
 
-旧版自动生成的空 LetsEncrypt 模板会被识别并忽略，`ii relay` 会回退到 HTTP，不再因缺域名启动失败。
+旧版自动生成的不完整 TLS 模板会被识别并忽略，`ii relay` 会回退到 HTTP，不再因缺域名启动失败。
 
 ### 配置文件路径
 
@@ -314,79 +314,54 @@ ii send .\video.mp4 --relay http://203.0.113.10:8080
 
 端口参数：
 
-- `--http <port>` / `-H <port>`：HTTP 端口，对应 `http_bind_addr`
-- `--https <port>` / `-S <port>`：HTTPS 端口，必须已有 `[tls]` 配置
-- `--quic <port>` / `-Q <port>`：QUIC 地址发现端口，必须已有 `[tls]` 配置
+- 默认或未传 `--tls` 时，`--port <port>` / `-H <port>` 是 HTTP relay 端口，对应 `http_bind_addr`
+- 传了 `--tls` 时，`-H <port>` 改为 HTTPS relay 端口，默认 `443`
 - `--metrics <port>` / `-M <port>`：开启 metrics 并设置 metrics 端口，对应 `metrics_bind_addr`
 
-### HTTPS、域名和 QUIC
+### HTTPS 和域名
 
-这些全是进阶配置，不是 `ii relay` 的前置条件。先创建并编辑配置文件，再启动：
+HTTPS 是显式进阶模式，必须同时给域名、完整证书链和私钥：
 
 ```powershell
-ii relay --config .\relay.toml
+ii relay --tls relay.example.com -H 8443 --cert .\fullchain.pem --key .\privkey.pem
 ```
 
-Cloudflare、Nginx 或其他反向代理已经占用 `80/443` 时，建议让它负责公网 TLS，`ii relay` 监听后端端口。ACME 由 `ii relay` 自己签发时，域名必须解析到该机器，并且验证请求必须能到达它。
-
-一个 ACME + QUIC 示例：
+域名必须已经解析到 relay 服务器；`--cert` 指向 PEM 格式的完整证书链，`--key` 指向匹配的 PEM 私钥。证书的 SAN 必须包含 `--tls` 指定的域名。`ii` 不申请、不续期证书，也不要求联系邮箱。
 
-```toml
-http_bind_addr = "0.0.0.0:8080"
-enable_quic_addr_discovery = true
+客户端使用 HTTPS：
 
-[tls]
-https_bind_addr = "0.0.0.0:8443"
-quic_bind_addr = "0.0.0.0:7843"
-cert_mode = "LetsEncrypt"
-hostname = ["relay.example.com"]
-contact = "ops@example.com"
-prod_tls = true
+```powershell
+ii send .\video.mp4 --relay https://relay.example.com:8443
 ```
 
-启动时可覆盖端口：
+TLS 模式不会在公网开放 HTTP relay。底层所需的 HTTP 探测监听只绑定本机随机端口，因此下面的地址不成立：
 
 ```powershell
-ii relay --config .\relay.toml -S 8443 -Q 7843
+ii send .\video.mp4 --relay http://relay.example.com:8443
 ```
 
-客户端：
+`--config` 也可保存手工 TLS 配置：
 
-```powershell
-ii send .\video.mp4 --relay https://relay.example.com:8443
+```toml
+[tls]
+domain = "relay.example.com"
+https_bind_addr = "0.0.0.0:8443"
+cert_path = "/etc/ii/fullchain.pem"
+key_path = "/etc/ii/privkey.pem"
 ```
 
 端口职责：
 
 - `3340/tcp`：默认 HTTP relay
-- `443/tcp` 或自定义 TCP 端口：启用 `[tls]` 后的 HTTPS relay
-- `7842/udp` 或自定义 UDP 端口：启用 `[tls]` 后的 QUIC 地址发现
-- `9090/tcp`：metrics，默认关闭
+- `443/tcp` 或 `-H` 指定的 TCP 端口：启用 `--tls` 后的 HTTPS relay
+- `9090/tcp`：metrics，默认关闭；官方 release 当前未启用 metrics，传 `-M` 会报错
 
 - 反向代理必须支持 WebSocket / HTTP upgrade。
-- `7842/udp` 不能由普通 HTTP 反向代理代替；不需要 QUIC 就保持 `enable_quic_addr_discovery = false`。
-- `--https` 和 `--quic` 不会替你猜域名或证书；没有 `[tls]` 时会明确报错。
+- `--cert` 或 `--key` 缺任意一个都会拒绝启动。
 
 ### TLS 来源
 
-显式配置 `[tls]` 后，HTTPS 可使用 ACME 自动签发、手工证书或文件重载。ACME 需要公网 IP、已解析到 relay 的 DNS 名和联系邮箱；IP 地址本身不能用于 LetsEncrypt 签发。
-
-可调项：
-
-- `IROH_RELAY_ACME_URL`：覆盖 ACME directory URL
-- `IROH_RELAY_ACME_CA`：给本地 ACME 测试服务器额外信任根证书
-
-手工证书模式读取：
-
-- `default.crt`
-- `default.key`
-
-也可以显式覆盖：
-
-- `manual_cert_path`
-- `manual_key_path`
-
-还有 `Reloading` 模式，用于按证书文件重载。
+TLS 只读取用户显式指定的 `--cert` 和 `--key`，或 `relay.toml` 里的 `cert_path` 和 `key_path`。ACME、LetsEncrypt 和证书自动续期不属于 `ii`。
 
 ## `ii doctor`
 

ii.md

@@ -48,10 +48,11 @@ pub struct RecvArgs {
 #[derive(Debug, Clone, Default)]
 pub struct RelayArgs {
     pub config: Option<PathBuf>,
-    pub http: Option<u16>,
-    pub https: Option<u16>,
-    pub quic: Option<u16>,
+    pub port: Option<u16>,
     pub metrics: Option<u16>,
+    pub tls_domain: Option<String>,
+    pub cert: Option<PathBuf>,
+    pub key: Option<PathBuf>,
 }
 
 impl Cli {
@@ -248,25 +249,32 @@ fn parse_relay(args: Vec<String>) -> Result<RelayArgs, ParseAction> {
     while let Some(arg) = iter.next() {
         match split_long_value(&arg) {
             Some(("config", value)) => out.config = Some(PathBuf::from(value)),
-            Some(("http", value)) => out.http = Some(parse_port("--http", value)?),
-            Some(("https", value)) => out.https = Some(parse_port("--https", value)?),
-            Some(("quic", value)) => out.quic = Some(parse_port("--quic", value)?),
+            Some(("port", value)) | Some(("http", value)) => {
+                out.port = Some(parse_port("--port", value)?)
+            }
             Some(("metrics", value)) => out.metrics = Some(parse_port("--metrics", value)?),
+            Some(("tls", value)) => out.tls_domain = Some(value.to_string()),
+            Some(("cert", value)) => out.cert = Some(PathBuf::from(value)),
+            Some(("key", value)) => out.key = Some(PathBuf::from(value)),
             Some((flag, _)) => {
                 return Err(ParseAction::error(format!("unknown option `--{flag}`")));
             }
             None => match arg.as_str() {
                 "-h" | "--help" => return Err(ParseAction::help(RELAY_HELP)),
                 "-c" | "--config" => out.config = Some(PathBuf::from(iter.value(&arg)?)),
-                "-H" | "--http" => out.http = Some(parse_port(&arg, &iter.value(&arg)?)?),
-                "-S" | "--https" => out.https = Some(parse_port(&arg, &iter.value(&arg)?)?),
-                "-Q" | "--quic" => out.quic = Some(parse_port(&arg, &iter.value(&arg)?)?),
+                "-H" | "--port" | "--http" => {
+                    out.port = Some(parse_port(&arg, &iter.value(&arg)?)?)
+                }
                 "-M" | "--metrics" => out.metrics = Some(parse_port(&arg, &iter.value(&arg)?)?),
+                "--tls" => out.tls_domain = Some(iter.value("--tls")?),
+                "--cert" => out.cert = Some(PathBuf::from(iter.value("--cert")?)),
+                "--key" => out.key = Some(PathBuf::from(iter.value("--key")?)),
                 _ => return Err(ParseAction::error(format!("unexpected argument `{arg}`"))),
             },
         }
     }
 
+    validate_relay(&out)?;
     Ok(out)
 }
 
@@ -295,6 +303,30 @@ fn validate_send(args: &SendArgs) -> Result<(), ParseAction> {
     Ok(())
 }
 
+fn validate_relay(args: &RelayArgs) -> Result<(), ParseAction> {
+    if let Some(domain) = &args.tls_domain {
+        if domain.is_empty()
+            || domain.contains("://")
+            || domain.contains('/')
+            || domain.contains(':')
+        {
+            return Err(ParseAction::error(
+                "--tls expects a bare DNS name such as relay.example.com",
+            ));
+        }
+    }
+
+    match (&args.tls_domain, &args.cert, &args.key) {
+        (Some(_), Some(_), Some(_)) | (None, None, None) => Ok(()),
+        (Some(_), _, _) => Err(ParseAction::error(
+            "--tls requires both --cert <path> and --key <path>",
+        )),
+        (None, _, _) => Err(ParseAction::error(
+            "--cert and --key require --tls <domain>",
+        )),
+    }
+}
+
 fn reject_extra(command: &str, args: Vec<String>) -> Result<(), ParseAction> {
     if args.iter().any(|arg| is_help(arg)) {
         return Err(ParseAction::help(match command {
@@ -400,10 +432,11 @@ Usage:
 
 Options:
   -c, --config <path>
-  -H, --http <port>
-  -S, --https <port>
-  -Q, --quic <port>
+  -H, --port <port>
   -M, --metrics <port>
+  --tls <domain>
+  --cert <path>
+  --key <path>
 ";
 
 const DOCTOR_HELP: &str = "Usage:\n  ii doctor";
@@ -492,18 +525,51 @@ mod tests {
     }
 
     #[test]
-    fn relay_accepts_short_ports() {
-        let cli = Cli::parse_from(["ii", "relay", "-H", "8080", "-S", "8443", "-Q", "7843"]);
+    fn relay_accepts_tls_with_manual_certificate_paths() {
+        let cli = Cli::parse_from([
+            "ii",
+            "relay",
+            "--tls",
+            "relay.example.com",
+            "-H",
+            "8443",
+            "--cert",
+            "fullchain.pem",
+            "--key",
+            "privkey.pem",
+        ]);
         match cli.command {
             Command::Relay(args) => {
-                assert_eq!(args.http, Some(8080));
-                assert_eq!(args.https, Some(8443));
-                assert_eq!(args.quic, Some(7843));
+                assert_eq!(args.port, Some(8443));
+                assert_eq!(args.tls_domain.as_deref(), Some("relay.example.com"));
+                assert_eq!(args.cert, Some(PathBuf::from("fullchain.pem")));
+                assert_eq!(args.key, Some(PathBuf::from("privkey.pem")));
             }
             _ => panic!("expected relay command"),
         }
     }
 
+    #[test]
+    fn relay_rejects_incomplete_tls_arguments() {
+        let result = parse_args(["ii", "relay", "--tls", "relay.example.com"]);
+        assert!(matches!(result, Err(ParseAction::Print { code: 2, .. })));
+    }
+
+    #[test]
+    fn relay_rejects_tls_url_instead_of_domain() {
+        let result = parse_args([
+            "ii",
+            "relay",
+            "--tls",
+            "https://relay.example.com",
+            "--cert",
+            "fullchain.pem",
+            "--key",
+            "privkey.pem",
+        ]);
+        assert!(matches!(result, Err(ParseAction::Print { code: 2, .. })));
+    }
+
     #[test]
     fn relay_rejects_removed_dev_mode() {
         let result = parse_args(["ii", "relay", "--dev"]);