نخستین ورود

پس از نصب، نخستین کار شما این است که وارد پنل شوید و آن را ایمن کنید، پیش از آنکه چیز دیگری را در معرض دسترس قرار دهید.

دسترسی به پنل

پنل در این نشانی ارائه می‌شود:

http://<your-server-ip>:<port>/<web-base-path>

پورت پیش‌فرض 2053 و مسیر پایهٔ پیش‌فرض / است — اما نصب با اسکریپت، نام کاربری، رمز عبور، پورت و مسیر پایهٔ وب را به‌صورت تصادفی تولید می‌کند، پس مقادیر واقعی خود را بررسی کنید.

یافتن مشخصات ورود

نصب با اسکریپت پس از پایان، خلاصه‌ای از مشخصات ورود را چاپ می‌کند و آن را در یک فایل ویژهٔ root نیز می‌نویسد:

XUI_USERNAME=...
XUI_PASSWORD=...
XUI_PANEL_PORT=...
XUI_WEB_BASE_PATH=...
XUI_ACCESS_URL=...
XUI_API_TOKEN=...
XUI_DB_TYPE=sqlite

اگر آن‌ها را از دست دادید، از ابزارهای مدیریتی استفاده کنید:

x-ui              # menu → 11 (View Current Settings)
x-ui settings     # or the one-shot form

برای Docker، مشخصات ورود تولیدشده را از لاگ‌های کانتینر بخوانید، یا دستور docker exec -it <container> x-ui setting -show را اجرا کنید.

تغییر مشخصات ورود، پورت و مسیر

یک پورت غیرپیش‌فرض و یک مسیر پایهٔ وب طولانی و تصادفی، یافتن پنل را بسیار دشوارتر می‌کند. آن‌ها را از بخش Panel Settings در رابط کاربری، یا از منوی x-ui تغییر دهید:

• 7 — Reset Username & Password (با امکان غیرفعال‌سازی همزمان 2FA)
• 8 — Reset Web Base Path (آن را تصادفی می‌کند)
• 10 — Change Port

تغییر نام کاربری یا رمز عبور همهٔ نشست‌های موجود را از سیستم خارج می‌کند و اگر احراز هویت دومرحله‌ای فعال بود، آن را غیرفعال می‌سازد.

احراز هویت دومرحله‌ای (2FA)

‏3x-ui از احراز هویت دومرحله‌ای TOTP پشتیبانی می‌کند (سازگار با Google Authenticator، Aegis و غیره). آن را در بخش Panel Settings فعال کنید — پس از فعال‌سازی، صفحهٔ ورود علاوه بر رمز عبور، یک کد ۶ رقمی نیز درخواست می‌کند و فعال کردن آن همه را وادار به ورود مجدد می‌کند. می‌توانید آن را از مرحلهٔ Reset Username & Password در منو یا با دستور x-ui setting -resetTwoFactor غیرفعال کنید.

محافظت داخلی از ورود

• محدودکنندهٔ حملهٔ جستجوی فراگیر: پس از ۵ ورود ناموفق از یک IP/نام کاربری یکسان در بازهٔ ۵ دقیقه، آن ترکیب برای ۱۵ دقیقه مسدود می‌شود.
• خطاهای عمومی: صفحهٔ ورود هم برای مشخصات نادرست و هم برای کدهای 2FA نادرست، پیام «wrong username or password» را نمایش می‌دهد، پس هیچ چیزی فاش نمی‌کند.
• نشست‌ها به مدت sessionMaxAge دقیقه (پیش‌فرض ۳۶۰ = ۶ ساعت) معتبرند و هنگام تغییر مشخصات ورود باطل می‌شوند.
• LDAP را می‌توان به‌عنوان روش جایگزین احراز هویت در Panel Settings فعال کرد.

چک‌لیست ضروری ایمن‌سازی