Add guarded IP certificate flow and renewal history

docs/deploy.md

@@ -56,7 +56,7 @@ sudo ss -tlnp | grep ':18080'
 
 内置方案复用管理域名与证书；先在「设置 → 飞书身份」启用身份服务并同步公网路由，Nginx 仅允许固定 `/id/` 身份路径。创建并启动唯一一条使用当前域名的 OpenVPN OIDC 测试专线后再次同步，才会把 `/oauth2/` 转发到其本机认证组件 `127.0.0.1:19090+`。未启动专线时不会开放 `/oauth2/` 路由。不要把认证端口或 OpenVPN 管理 socket 暴露到公网。详见 [接入说明](../README.md#openvpn-飞书--oidc-浏览器认证)。
 
-该域名须由你控制并解析到公网入口。管理员可在“设置 → 域名与证书”保存 `test-link.appx365.com`，由 Nginx 处理公网监听；`VPN_TLS_DOMAIN` 等环境变量优先于页面配置。保存配置并不会自动安装 Nginx、开放安全组或签发证书。HTTP 可以使用 IPv4 与自定义端口；HTTPS 签发仍要求域名。
+该域名须由你控制并解析到公网入口。管理员可在“设置 → 域名与证书”保存 `test-link.appx365.com`，由 Nginx 处理公网监听；`VPN_TLS_DOMAIN` 等环境变量优先于页面配置。保存配置并不会自动安装 Nginx、开放安全组或签发证书。HTTP 可以使用 IPv4 与自定义端口。HTTPS IPv4 证书为约六天的短期证书，需要 Certbot 5.4+（支持 IP webroot 与短期 profile）、公网 80 可达和有效定时续签；服务器现有 Ubuntu Certbot 2.9.0 不具备此能力，不能仅凭页面保存地址就认为已启用 IP HTTPS。
 
 旧实例如果显式配置 `data/tls-mode=autocert` 或 `VPN_TLS_MODE=autocert`，仍沿用 Go 直监听 80/443 以避免升级时断网，但页面不再提供切换入口模式，也不允许在旧模式下保存新的公网入口。迁移时先备份入口模式、程序和证书，在维护窗口内准备 Nginx/Certbot 与可回退的站点配置，停用占用公网端口的 Go 管理进程，将入口模式显式改为 `nginx`，启用 Nginx 站点，再启动管理进程并核对登录、OIDC 发现文档、OpenVPN 浏览器回调和证书续签。任何验证失败都应恢复备份的配置、站点和程序。不能只修改模式文件后重启：未准备好站点会让公网入口不可用。新实例未写模式配置时默认为 `nginx`，不会自行监听公网端口。
 
@@ -70,6 +70,8 @@ sudo ss -tlnp | grep ':18080'
 2. 点击启用操作后，服务生成 HTTP-01 站点并校验 `nginx -t`，使用 `certbot certonly --webroot` 申请证书；失败时页面展示过程与错误，并保留 HTTP 验证站点供重试。Certbot 当前使用无邮箱注册，续签异常不会发送邮件提醒。
 3. 证书签出后程序自动追加 HTTPS 站点、检查配置并重载，同时安装固定续签钩子（`nginx -t` + `systemctl reload nginx`）。确认 Certbot 续签定时器运行，执行 `certbot renew --dry-run` 检查续签；生产验证时再核对 `--run-deploy-hooks` 对钩子的实际效果。证书状态页读取实际的证书到期日；不要仅以站点文件存在判断公网可用。
 
+新版续签钩子仅在 Certbot **成功续签并重载 Nginx 后**追加时间和证书标识到权限受限的 `/var/log/opsx-vpn/cert-renewals.log`，证书页展示最近记录；没有记录不代表续签失败，可能尚未到期。定时检查与失败原因查 `systemctl status certbot.timer`、`journalctl -u certbot.service` 和 `/var/log/letsencrypt/letsencrypt.log`。HTTP（包括 HTTP IP）不使用证书，也没有续签记录。
+
 2026-10-22 生产实例已启用 `test-link.appx365.com`，证书有效至 2027-01-19，`certbot renew --dry-run --run-deploy-hooks --non-interactive` 模拟续签成功。当前管理服务仍在公网 `:18080` 监听，沿用 HTTP 地址的客户端可绕过 Nginx 的路径白名单；完成客户端地址迁移后，需限制 18080 仅回环访问。模拟续签执行钩子时 `nginx -t` 的正常 stderr 被 Certbot 记录为警告，但退出成功。
 4. 确认入口模式为 Nginx，启动或重启 opsx-vpn 并设置 `VPN_LISTEN_ADDR=127.0.0.1:18080`；确认 `https://<域名>/api/health`、登录及各业务页面可用，未知路径断开，80 的挑战仍可读，然后收紧 18080 公网安全组。若现有业务必须从公网直连 18080，先迁移这些客户端。