xinyin025/3x-ui
1
0
Fork 0
mirror of https://github.com/MHSanaei/3x-ui.git synced 2026-08-24 20:07:13 +00:00
Code Issues Packages Projects Releases Wiki Activity
Files
940842495968fc52a38fd0a8f6f8498dd6e70de5
3x-ui/internal/web/translation/ja-JP.json
T
Kuzz007 effcccceac feat(amneziawg): add native AmneziaWG protocol support (#6105) 
* feat(amneziawg): add native AmneziaWG protocol backend

AmneziaWG (WireGuard plus DPI-resistant obfuscation) needs no Docker
here — it runs as a genuine kernel interface via awg-quick/awg, managed
the same way internal/mtproto manages mtg: one Inbound row is one
desired Instance, and a Manager reconciles running interfaces toward
the database every 10s (internal/web/job/amneziawg_job.go) plus
immediately after a client edit (applyLocalAmneziaWG).

Clients reuse model.Client verbatim (the same PrivateKey/PublicKey/
PreSharedKey/AllowedIPs fields WireGuard already uses), so bulk
operations, the QR/share-link modal and subscriptions come from the
shared inbound infrastructure instead of a parallel implementation.
internal/amneziawg owns the obfuscation param generator/validator
(ported from coinman-dev/3ax-ui, upgraded to AmneziaWG 2.0's S3/S4
padding and I1 signature packet) and the exec wrapper around
awg-quick/awg, with fingerprint-based reconcile (noop / reload-via-
syncconf / full restart) mirroring mtproto.Manager so a same-protocol
edit doesn't force an unnecessary interface bounce that would drop
every peer's connection.

Frontend and install.sh's DKMS/awg-tools setup are tracked separately;
this is backend-only.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): add frontend support and fix a Go->Zod generator gap

Wires the amneziawg protocol through the panel UI the same way every
other protocol is registered: a Zod settings schema (nested
{server, clients}, matching the Go JSON exactly), the protocol enum,
the inbound-form's per-protocol fields component and its
tab-visibility allowlist, the default-settings factory, the client
schema dispatcher, and the sniffing-capability exclusion (no Xray
inbound exists for amneziawg, same as mtproto).

Client key/allowedIPs fields are reused rather than duplicated: since
AmneziaWG clients are wire-identical to WireGuard clients (same
model.Client fields), ClientFormModal renders one shared field block
for both, switching only the visible label by which protocol is
active. The private-key input also gets a live public-key sync via a
new useEffect, because unlike WireGuard's Xray-native inbound (which
re-derives its public key at runtime and never stores one),
AmneziaWG's server.publicKey is a real persisted field the Go backend
reads directly — free-typing a new private key without this would
silently save a mismatched keypair.

Adds a downloadable per-client .conf (amneziawgConfig.ts, mirroring
wireguardConfig.ts) with the obfuscation lines, and an
InboundOption.AwgServer field on the Go side so the config builder
gets the full server block in one round trip.

Along the way, running tools/openapigen surfaced a real bug: it
doesn't flatten anonymously-embedded Go structs the way encoding/json
does, so ServerSettings embedding Obfuscation20 produced a Zod schema
with a nested `obfuscation20` key that never matches the real wire
JSON. Fixed by un-embedding (flat fields + an accessor method) and
registering internal/amneziawg in the generator's own package list,
which had been silently emitting a dangling schema reference.

English and Russian translations are complete; the other 10 locale
files still fall back to English for the new keys.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): complete frontend parity for the Inbounds list page

The Clients page (form, CRUD, QR/config) already worked from the
prior commit; this closes the remaining gap on the Inbounds side and
in a couple of protocol allowlists that a plain search for existing
wireguard/mtproto handling turned up.

lib/xray/inbound-link.ts gets amneziawg-specific link/config builders
(genAmneziaWGLink/genAmneziaWGConfig, plus the *s fan-out variants)
mirroring the wireguard ones — AmneziaWG has no legacy peers-array to
fall back to, so these read settings.clients directly and add the
obfuscation lines every client must share with the server. Wired into
genInboundLinks generically, and into three consumers that call the
wireguard builders directly rather than through that dispatcher:
QrCodeModal, InboundInfoModal, and InboundsPage's bulk export.

ClientInfoModal, ClientBulkAddModal, and the bulk attach/detach modals
each had their own protocol allowlist that needed amneziawg added
alongside wireguard/mtproto.

Two real gaps surfaced by grepping every remaining 'wireguard' /
Protocols.WIREGUARD hit in frontend/src rather than trusting the
checklist was exhaustive:
- useInbounds.ts's TRACKED_PROTOCOLS gates the deactive/depleted/
  expiring/online client counts shown per inbound on the list page;
  without amneziawg those counts would silently read zero.
- inbound-tag.ts is an explicit client-side mirror of the Go backend's
  port_conflict.go (the file says so itself: "Keep in sync"). It still
  only special-cased wireguard for UDP, so an amneziawg inbound would
  have fallen through to the TCP default and disagreed with the
  backend's own port-conflict math.

Also finishes translating the AmneziaWG UI strings into the 11 locale
files that were still falling back to English (ar-EG, es-ES, fa-IR,
id-ID, ja-JP, pt-BR, tr-TR, uk-UA, vi-VN, zh-CN, zh-TW), matching
en-US/ru-RU key-for-key (26 new keys, verified by count in every file).

Not run anywhere: npm run typecheck / build. This machine has neither
Node nor npm, so nothing here has compiled — reviewed by hand plus
brace/paren balance checks and cross-referencing the generated Zod/TS
types. Treat this as needing a real typecheck before shipping.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* docs(install): note that AmneziaWG kernel module install is still manual

Tracked separately (not yet ported into this script) — see
coinman-dev/3ax-ui's install_amneziawg for the reference approach
(ppa:amnezia/ppa). Also serves as a real, path-filter-matching change
to get the previous empty commit's CI trigger to actually fire —
release.yml's push trigger is paths-scoped and an empty commit changes
no files, so it never matched.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): add a button to randomize obfuscation parameters

Mirrors the existing key-regenerate button next to the private key
field. Client-side randomization matches the ranges/constraints of
GenerateObfuscation20's "default" preset (internal/amneziawg/params.go)
closely enough for a form suggestion — the user can still hand-edit any
field afterward.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(install): auto-install the AmneziaWG DKMS module + amneziawg-tools

Ports install_amneziawg from coinman-dev/3ax-ui's install.sh, adapted to
this script's broader distro coverage and NONINTERACTIVE convention:

- Ubuntu/Debian/Armbian: ppa:amnezia/ppa (primary, tested path), with a
  reachability pre-check for the Launchpad PPA host — often blocked by
  hosting providers, especially Russian VPS — so a flaky network skips
  the feature instead of hanging apt through several retries.
- Fedora/RHEL-family, Arch/Manjaro/Parch: best-effort fallback to plain
  wireguard-tools (+ AUR amneziawg-dkms via yay/paru when available),
  with a manual-install pointer.
- Everything else: manual-install pointer only.

Also installs ndppd and persists IPv4/IPv6 forwarding (for the future
IPv6/NDP phase, not yet wired into the panel) and adds a Secure Boot
warning at the end of the run, since a DKMS-built module is unsigned
and won't load while it's enabled — a common trap on cloud VPS images.

Never fatal: the panel installs and runs fine either way, an AmneziaWG
inbound just won't bring up its tunnel until the module is present.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): resolve all 3 real CI failures (typecheck/lint/codegen)

Found by checking the fork's Actions tab after the last two pushes —
the release build passed (it doesn't run these checks) but the
separate CI workflow caught three real issues:

- golangci-lint (noctx): every internal/amneziawg/manager.go exec.Command
  call is now exec.CommandContext with a 30s timeout, so a hung
  awg-quick/awg invocation can't block the reconcile job indefinitely
  (mirrors internal/mtproto/process.go's own CommandContext usage).
- tsc --noEmit: frontend/src/schemas/client.ts's hand-maintained
  InboundOptionSchema (used by the useClients hook, separate from the
  auto-generated one in generated/) never got an awgServer field added
  when the AmneziaWG frontend work was done — every read of
  inbound.awgServer.* in amneziawgConfig.ts was typing as {}. Added
  AwgServerOptionSchema, nested (not flattened like wg*) to match what
  amneziawgConfig.ts already expects. Also guarded server.publicKey in
  inbound-link.ts's genAmneziaWGLink against the schema's optional type.
- codegen staleness: frontend/public/openapi.json is produced by a Node
  script (gen:api) this machine can't run; hand-applied the exact diff
  the CI failure log already showed (amneziawg protocol enum entry,
  ServerSettings schema, InboundOption.awgServer, one example payload),
  verified as valid JSON.

Also confirmed independently by this run: install_amneziawg (previous
commit) installed and loaded the DKMS module successfully on both amd64
and arm64 CI runners. The two "Deploy Smoke Tests" failures are
unrelated to this change — this fork has only ever published the
dev-latest pre-release, and GitHub's /releases/latest API deliberately
excludes pre-releases, so the smoke test's no-argument install path
(which resolves "latest") has nothing to find. Not a regression; needs
an actual tagged release whenever that's wanted.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): Phase 2a — IPv6 support + NDP proxy

Adds native dual-stack IPv6 to AmneziaWG inbounds, ported from
coinman-dev/3ax-ui's approach:

- ServerSettings gets ipv6Enabled/ipv6Subnet/ipv6ExternalInterface;
  Instance carries the server's own IPv6 address (first host of the
  subnet) alongside its IPv4 one.
- defaultAmneziaWGClients allocates an IPv6 host address per client
  (second AllowedIPs entry) when the server has IPv6 enabled, reusing
  allocateWireguardAddress — which needed a real fix along the way: it
  always suffixed "/32" regardless of address family, which is wrong
  for an IPv6 host address (needs /128). Now family-aware.
- generateServerConfig's PostUp/PostDown gains IPv6 forward-accept
  rules, proxy_ndp sysctl, and one `ip -6 neigh add/del proxy` entry per
  enabled peer with an IPv6 address — the lightweight per-client
  method, not the ndppd-daemon whole-subnet method (not worth the
  config-file-management complexity at this scale; ndppd itself is
  still installed by install.sh in case that changes later).
- ValidateIPv6Subnet rejects a malformed subnet before save.
- Frontend: ipv6Enabled/ipv6Subnet/ipv6ExternalInterface fields on the
  AmneziaWG inbound form, EN+RU translations, openapi.json/generated/*
  regenerated (the latter via `go run ./tools/openapigen`, pure Go).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): fill in IPv6 fields missed by the Phase 2a commit

Two real gaps the CI caught (both new fields, both my miss):

- inbound-defaults.ts's createDefaultAmneziawgInboundSettings() built a
  server object literal predating ipv6Enabled/ipv6Subnet/
  ipv6ExternalInterface — AmneziawgServer's inferred type now requires
  them (zod .default() fields are non-optional post-parse), so this
  didn't typecheck at all.
- openapi.json's ipv6Enabled property was missing the description the
  real generator attaches (the Go doc comment covering all three IPv6
  fields is attached to the first one) — a one-line diff, but git
  diff --exit-code doesn't care how small.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): Phase 2b — per-client port-forwarding

Admins can now set a per-client ForwardedPorts string (e.g. "80, 443,
8000-8100") that gets DNAT'd + FORWARD'd to that peer's tunnel address
via iptables rules in PostUp/PostDown, ported and simplified from
coinman-dev/3ax-ui's shared/portfwd.

Two decisions worth flagging for future readers:

- The iptables --comment tag on each rule is awg-fwd-<fnv32a(email)>,
  not the raw client email. Email is admin/API-supplied free text that
  ends up embedded in a shell-executed PostUp/PostDown line; a hash
  can never carry a shell metacharacter through where raw
  interpolation could.
- The reconcile manager gained a third fingerprint (portFwdFP, next to
  the existing structural/peers ones). `awg syncconf` only touches the
  WireGuard peer table — it never re-applies PostUp/PostDown iptables
  rules — so a port-forward-only change has to force a full
  awg-quick down+up bounce, same as a structural change, rather than
  the lighter sync a plain peer add/remove can use.

Also fixes a real pre-existing bug found while wiring up IPv6 client
allocation in the previous commit's spirit: allocateWireguardAddress
always suffixed "/32" regardless of address family, which produced
invalid host bits for IPv6 (needs "/128").

ForwardedPorts flows through model.Client -> model.ClientRecord
(gorm column wg_forwarded_ports, auto-migrated) -> ToRecord/ToClient/
MergeClientRecord, mirroring the awgServer field's earlier lesson
that new fields need checking against a second, hand-maintained
persistence-layer struct.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): route a client's traffic through Xray via the Routing page

Every enabled AmneziaWG inbound gets its own Xray TPROXY bridge
automatically, with no toggle to enable first: a loopback
dokodemo-door inbound (sockopt.tproxy) tagged with the AmneziaWG
inbound's own real tag, so it's already selectable in the existing
Routing page's inbound-tag picker — the same trick the mtproto
sidecar's own bridge already relies on (InboundService.GetInboundTags
is a plain, protocol-blind SELECT over every inbound row's tag, no
dedicated UI plumbing needed).

internal/amneziawg's defaultPostUpDown TPROXYs every peer's traffic
into that bridge unconditionally; the bridge's port is derived
deterministically from the inbound's id (EgressPortForInbound) so the
kernel-side reconcile loop and the Xray-config generator never need to
negotiate a runtime value between them.

injectAmneziawgEgress never generates a routing rule itself — whether
a client's traffic goes anywhere beyond Xray's default routing is
entirely up to whatever rules the admin adds through the existing
Routing UI (pick the AmneziaWG inbound's tag as source, optionally a
specific peer's IP via that page's own Source-IP field, and an
outbound), exactly the same workflow as routing any other protocol.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): recover orphaned interfaces after an ungraceful exit

Two gaps left an AmneziaWG interface stuck outside the manager's
control after a crash (kill -9/OOM/panic skips StopAll):

- ensureRestart's teardown was gated on the in-memory `exists` map,
  which is always empty on a fresh process, so a survived interface
  never got interfaceDown before interfaceUp tried `ip link add`
  against a name the kernel already had — failing forever and never
  populating m.ifaces, so traffic accounting silently stopped and the
  inbound could never be removed. Gate on isInterfaceUp instead, which
  checks real kernel state rather than this process's own bookkeeping.

- An inbound deleted from the database entirely while the panel was
  down has no entry in `desired` ever again, so it never reaches the
  per-id cleanup loop in Reconcile (which only walks m.ifaces). Add a
  one-time sweepOrphansLocked scan of configDir, mirroring
  mtproto.Manager.sweepOrphansLocked, that tears down and removes any
  leftover interface/config not in the current desired set.

Found by the automated review on MHSanaei/3x-ui#6105 (Finding 1).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* i18n(amneziawg): backfill IPv6/obfuscation/port-forwarding keys in 11 locales

Only en-US/ru-RU ever got these 9 keys as each AmneziaWG feature landed
(the regenerate-obfuscation button, then Phase 2a's IPv6 fields, then
Phase 2b's per-client ForwardedPorts) — the other 11 locale files were
never backfilled, so i18next has been silently falling back to English
for all of them since Phase 1. Cosmetic-only (never broke anything),
but now closed for every shipped locale.

* fix(amneziawg): resolve 7 Medium findings from the automated PR review

Each is independently reproducible; fixed together since one review pass
found all of them.

- manager.go: the shared "ip rule add fwmark" policy route had no
  existence check, so it duplicated in "ip rule show" on every interface
  bounce (which hostRulesFingerprint forces on any client add/remove/
  re-IP). Now checked via "ip rule list | grep -q ..." first. (Finding 2)

- params.go: ExternalInterface, IPv6ExternalInterface, and subnetIp/
  subnetCidr are interpolated unescaped into a shell-executed PostUp/
  PostDown line, but only obfuscation and the IPv6 subnet were validated
  before save. Added ValidateInterfaceName (a strict charset+length
  pattern) and ValidateSubnetIPv4 (netip.ParsePrefix), wired into
  normalizeAmneziaWGSettings. (Finding 3)

- amneziawg_job.go: IsAwgInstalled() existed but nothing ever called it,
  so a host without awg/awg-quick (the Docker image, RHEL, Arch, a failed
  install.sh PPA step) logged a reconcile failure every 10s forever. Now
  checked once an inbound actually needs it, warning once instead of
  spamming. (Finding 4)

- client_inbound_apply.go: the WireGuard/AmneziaWG credential
  carry-forward (added so a metadata-only client edit doesn't rotate
  keys) never covered ForwardedPorts, so a partial edit -- an API call or
  Telegram-bot toggle that omits the field -- silently wiped a client's
  port-forwarding spec. Carried forward and written back the same way the
  key fields already are. (Finding 5)

- manager.go: hostRulesFingerprint keyed each peer on its IPv4 address
  only, and structuralFingerprint omitted IPv6Enabled/IPv6ExternalInterface
  entirely, so an IPv6-only change could pick the syncconf reload path
  (which never re-runs PostUp, leaving a stale NDP-proxy entry) or be a
  complete no-op. Both fingerprints now cover the IPv6 fields. (Finding 6)

- port_conflict.go: the AmneziaWG egress bridge (injectAmneziawgEgress)
  binds 127.0.0.1:63100+id with no collision check anywhere, since it
  isn't a database row the ordinary port-conflict query can see -- same
  blind spot the reserved Xray API port already has its own check for.
  Added the equivalent check for the AmneziaWG bridge port. (Finding 7)

- install.sh: install_amneziawg ran unconditionally for every install/
  update, building a DKMS kernel module and enabling host-wide IPv4/IPv6
  forwarding whether or not the feature is ever used. Gated behind a new
  should_install_amneziawg (XUI_INSTALL_AMNEZIAWG=true/false, or an
  interactive y/N prompt defaulting to no). Also replaced the deprecated
  apt-key adv with a dedicated keyring + signed-by= on the Debian branch,
  and guarded its sources.list appends against duplication on a retried
  install. (Finding 8)

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* feat(amneziawg): make the Xray TPROXY bridge a per-inbound opt-in

Addresses Finding 10 from the automated PR review: an always-on TPROXY
bridge makes every AmneziaWG tunnel hard-depend on Xray being up (all
traffic, including DNS, drops whenever Xray restarts), and forces a full
awg-quick down+up bounce on any client add/remove/re-IP, permanently
losing the syncconf fast path.

Adds ServerSettings.RouteThroughXray (off by default):

- defaultPostUpDown only emits the TPROXY/policy-route rules when it's
  on; a plain AmneziaWG tunnel now has zero Xray dependency out of the
  box.
- structuralFingerprint covers it (toggling it changes whether PostUp/
  PostDown contain any TPROXY rules at all -- structural, not a
  per-peer host-rule). hostRulesFingerprint's IPv4 tracking is now
  itself conditional on RouteThroughXray (and IPv6 tracking on
  IPv6Enabled), so an instance that never uses either keeps the
  syncconf fast path for a plain peer re-IP.
- injectAmneziawgEgress only creates a bridge for inbounds that opted
  in; checkAmneziawgEgressConflict (the Finding-7 fix) now parses each
  candidate through InstanceFromInbound so a non-routed inbound's port
  is correctly never treated as reserved.
- New inbound-level Switch in the AmneziaWG form; the actual outbound
  decision is still made entirely through the panel's stock Routing
  page, same as before -- only whether the bridge exists at all is now
  a choice.

Translation keys added to all 13 locales in the same commit this time,
not backfilled later (see Finding 9's lesson).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): resolve 4 Low findings from the automated PR review

- manager.go: serverAddress assumed subnetIp always ends in ".0"; a
  base like "10.8.1.5" was used verbatim as the server's own address,
  eventually colliding with peer allocation (which starts at .2
  upward). Now derives the first host of the actual subnetIp/subnetCidr
  network via netip, matching serverAddressV6's own approach. A /32
  base (no host bits at all) is still used as-is. (Finding 12, partial
  -- the /16 pool-widening half of this finding only exists on the
  upstream-pr/amneziawg branch's merged client_wireguard.go, not here;
  handled separately on that branch.)

- manager.go: ensureLocked carried the previous per-peer traffic
  counters (`last`) forward even through a full restart, but
  awg-quick down+up resets the kernel's own counters to zero -- the
  next CollectTraffic computed a large negative delta (clamped to 0),
  silently discarding real traffic. Extracted the decision into
  nextTrafficBaseline: only a reload (syncconf) preserves the
  baseline. (Finding 13)

- portfwd.go: exported ForwardedPortsInclude; inbound_amneziawg.go's
  new checkForwardedPortsConflict uses it to reject, at save time, a
  client's forwardedPorts that would DNAT the panel's own port or
  another enabled inbound's port to the tunnel client --
  portForwardLines has no destination restriction, so this collision
  was previously silent. Wired into both the single-client update path
  and the add-client path (client_inbound_apply.go), plus
  normalizeAmneziaWGSettings for the whole-inbound save path. (Finding 14)

- inbound.go: InboundOption.AwgServer sent the whole ServerSettings
  struct including PrivateKey to GetInboundOptions callers -- a
  shared, admin-wide dropdown-filling endpoint the frontend's own
  AwgServerOptionSchema never reads that field from. Redacted it
  before assigning. (Finding 11)

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): don't widen the peer address pool past AmneziaWG's own subnet

Completes Finding 12 from the automated PR review (the serverAddress half
of this finding was already fixed on main and cherry-picked here). This
half is specific to this branch: allocateWireguardAddress's /16
pool-widening fallback is an independent addition from upstream's own
main that this branch inherited during the cherry-pick rebase -- it
doesn't exist on the fork's own main at all, so this fix can't be
cherry-picked the normal way and is committed directly here.

Widening is safe for WireGuard's own Xray-native inbound (AllowedIPs
isn't tied to a strict kernel interface subnet), but AmneziaWG's kernel
interface Address is exactly the configured subnet -- an address
allocated from the containing /16 once the /24 fills up would be
silently unroutable. allocateWireguardAddress now takes an explicit
allowWidening bool: WireGuard's own caller passes true (unchanged
behavior), AmneziaWG's passes false (fails loudly on exhaustion instead).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* docs(docker): note that AmneziaWG doesn't work in this image

Investigated: the image is Alpine-based, and AmneziaWG's own packaging
(DKMS module + amneziawg-tools) doesn't target Alpine/musl at all --
unlike the Debian/Ubuntu/Fedora/Arch paths install.sh already handles,
there's no package to apk add even with full host network/capabilities.
The panel already degrades gracefully (IsAwgInstalled() logs one warning
instead of retrying forever), so no code change is needed -- just made
the reason explicit at the point where a user would reach for cap_add/
network_mode to try to work around it.

* fix(sub): include amneziawg inbounds in subscription links

getInboundsBySubId's SQL protocol allowlist never had 'amneziawg' added,
so every AmneziaWG client was silently excluded from all three
subscription formats (plain/individual links, JSON, Clash) and from the
Telegram bot's QR/individual-link buttons, which fetch through the same
path. genAmneziaWGLink itself was already fully implemented and already
wired into GetLink's dispatch switch -- it just never got a chance to
run. Same bug shape as the earlier TRACKED_PROTOCOLS frontend gap: a
hardcoded protocol list one entry short.

Found while investigating whether the Telegram bot needed AmneziaWG-
specific client-management code -- it doesn't (the bot itself is fully
protocol-agnostic), but this is the actual root cause of "can't share
an AmneziaWG client's config via the bot."

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(inbound): enforce node-eligibility server-side, not just in the UI

Investigated multi-node interaction with AmneziaWG: the master's own
reconcile (DesiredAmneziaWGInstances) and Xray config generation
(injectAmneziawgEgress, the GenXrayInboundConfig protocol skip) all
correctly filter on NodeID IS NULL, so a node-assigned AmneziaWG (or
MTProto) inbound would never be managed by the master. But nothing
stopped one from being created that way: NODE_ELIGIBLE_PROTOCOLS
(frontend/src/pages/inbounds/form/InboundFormModal.tsx) only hides the
node picker client-side -- a direct API call could set nodeId on an
AmneziaWG inbound, which every node then reconciles as an ordinary
local inbound (nodes run the identical binary, full cron suite
included), leaving it running unmanaged and untracked by the master's
own AmneziaWG bookkeeping.

Added isNodeEligibleProtocol (inbound_protocol.go), mirroring the
frontend's allowlist, and enforced it in both AddInbound (the actually
exploitable path -- nodeId comes straight from the request) and
UpdateInbound (defense in depth; NodeID is already restored from the
stored row there before this check, so it mainly guards against a
protocol change on an existing node-hosted inbound).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): allow TPROXY-marked traffic through a default-deny INPUT chain

TPROXY never rewrites a packet's own destination address, only the routing
decision. A default-deny firewall whose INPUT chain sanity-checks "is this
destination actually local" (UFW's ufw-not-local, via addrtype --dst-type
LOCAL, is a concrete example) silently drops the redirected packet before
Xray's socket ever sees it -- RouteThroughXray looked fully configured
(TPROXY rule present and counting, Xray listening with IP_TRANSPARENT set)
yet every peer's traffic vanished with no trace on either side.

Adds an idempotent, never-torn-down "iptables -I INPUT 1 -m mark --mark
<fwmark> -j ACCEPT" alongside the existing shared policy route, so this
works regardless of which firewall manager owns the rest of the INPUT chain.

* fix(frontend): give AmneziaWG the same UDP tag and its own tag color

The Inbounds list only special-cased isWireguard/isHysteria for the "UDP"
network badge, so an AmneziaWG row showed just the bare protocol tag with
no transport badge next to it. Added the missing isAmneziawg flag (mirrors
isWireguard exactly) and wired it into the same branch.

Client-row protocol-color maps in ClientsPage/HostList had no amneziawg
entry, silently falling back to grey -- ClientInfoModal already had
amneziawg: 'yellow' from earlier work, these two just never got it.

* feat(logs): show which AmneziaWG client an access-log line belongs to

The dokodemo-door TPROXY bridge every AmneziaWG peer's traffic is routed
through has no per-user identity, so Xray's own access log never carries an
"email:" token for these lines -- the Access Logs modal showed a blank
Email column for every in-*-udp row, even though every other protocol's
rows show the client normally.

The peer's decapsulated tunnel IP does survive as the log's "from" address,
and that IP deterministically maps to exactly one configured peer. Builds a
"<inbound tag>|<ip>" -> email index from the same AmneziaWG inbounds already
parsed elsewhere (amneziawg.InstanceFromInbound), and fills in Email from it
whenever the raw log line didn't have one.

* fix(amneziawg): enable sniffing on the TPROXY bridge

Domain-based Routing rules could never match RouteThroughXray traffic: an
AmneziaWG peer resolves DNS itself, through the tunnel, before ever sending
a packet, so the decapsulated traffic TPROXY hands to the bridge is already
a bare destination IP with no domain name attached at the network layer.
Every other inbound recovers this via sniffing (confirmed working for the
stock wireguard inbound, which does have it configured); the bridge never
got a sniffing block at all, so only tag/IP/network-based rules could ever
match it -- any domain rule above it in the list was silently unreachable.

* docs: add an AmneziaWG config page and list it as a supported protocol

Closes the PR checklist gap: the feature shipped with zero mention on
the docs site. Mirrors reality.mdx's structure (key settings, setup
steps, config excerpt) and notes the Docker/multi-node/Telegram-bot
caveats the PR itself is honest about not having confirmed.

* fix: address the fresh review round on PR #6105 (8 findings)

1. hostRulesFingerprint didn't account for ForwardedPorts when
   RouteThroughXray was off, so re-IPing a peer with port-forwarding
   configured left stale DNAT rules pointing at an address the next
   peer could be handed.
2. Server/client config values (keys, email, I1) were never validated
   for control characters before being written into the generated
   .conf; a newline could smuggle a PostUp hook into awg-quick's
   parser. Added ValidateConfigValue at save time and a
   sanitizeConfigValue backstop at render time.
3. checkForwardedPortsConflict didn't scope to node_id IS NULL, so a
   port used only on a different node produced a false collision; also
   hoisted the panel-port/inbounds lookup out of the per-client loop
   (portConflictContext) so N clients cost one query, not N.
4. PostDown commands were ";"-joined and abort on the first failure;
   appendOrTrue makes teardown best-effort so an external firewall
   flush can't leave DNAT rules to accumulate across bounces.
5. The "ip rule list | grep -q" existence check could SIGPIPE under
   pipefail and re-add a duplicate rule; switched to grep -c >/dev/null.
6. Ported the vpn:// share-link format (base64url of the plain .conf
   text, matching the real AmneziaVPN app) onto this branch -- it had
   only ever landed on our own fork's main, so this PR branch was still
   on the old amneziawg://+query-params scheme our own docs no longer
   described. Also corrected the docs' install.sh claim (opt-in/
   interactive, not automatic) and stale pre-opt-in comments in
   route_egress.go.
7. install.sh: Arch's ndppd install used pacman -Syu (full system
   upgrade) instead of -Sy like every other call in the script; and
   should_install_amneziawg re-prompted on every `x-ui update` even
   when awg was already installed.
8. CollectTraffic could clobber a concurrent restart's freshly-reset
   (empty) traffic baseline with stale pre-restart counters, since
   getPeerStats runs lock-free; now checks pointer identity before
   writing back. sweepOrphansLocked permanently disabled itself on a
   transient os.ReadDir failure instead of allowing a retry.

go build/vet/test and frontend typecheck/lint/build/vitest all pass.

* fix(install.sh): check the live sysctl value, not sysctl.conf text

Reviewer feedback (cherts, PR #6105): grepping /etc/sysctl.conf for the
setting name is unreliable -- many distros split sysctl config across
/etc/sysctl.d/*.conf, and /etc/sysctl.conf can be a symlink into that
directory, so the check can miss an already-active setting (harmless
duplicate append) or match a disabled/commented line (forwarding
silently stays off). Query the live value via `sysctl -n` instead,
which is accurate regardless of which file set it. Applied the same
fix to both the IPv6 and IPv4 checks for consistency.

* fix: update inbound_amneziawg.go to the split buildInboundForLocalRuntime

Same fork-only-file blind spot as the one caught on our own main after
the 3.6.0 sync: upstream split buildRuntimeInboundForAPI into
buildInboundForNodePush / buildInboundForLocalRuntime (part of the
node-sync client-deletion fix, 5bc81dfd), updating every call site it
could see. This file doesn't exist upstream, so it kept calling the
old name even after the branch merged in that commit.

* fix(frontend): recognize AmneziaWG's vpn:// scheme in share-link labels

The shared link-tag/label helper (used by the client info modal, QR
modal, and subscription page) had no entry for the vpn:// scheme
AmneziaWG links use, so it fell through to the generic fallback: a
plain "Vpn" tag with no color, and an empty remark/port that made the
row's title fall back to "Link N" instead of the inbound's actual
name:port — unlike every other protocol, which shows its real tag and
label.

vpn:// links are base64url of a plain .conf text (matching the real
AmneziaVPN app's own share-link format), not a structured URL, so
there's no query string or #hash to read a remark/port from. Decode
the payload and pull the remark/endpoint back out of the .conf text
directly instead.

* fix(xray): force a full restart for TPROXY inbounds, never hot-add them

Real incident: an AmneziaWG inbound with RouteThroughXray enabled lost
all internet on that connection after a migration. Root-caused on the
live box -- iptables TPROXY counters were incrementing (packets
correctly redirected to 127.0.0.1:63110), but nothing was actually
listening there (ss showed nothing on that port) until a full
`systemctl restart x-ui`, after which the bridge came up immediately.

Xray-core's gRPC AddInbound reports success for a new sockopt.tproxy
inbound (internal/amneziawg's own Xray egress bridge is the only kind
this fork ever generates) but doesn't reliably bind a working listener
for it outside of process startup -- the bridge silently never comes
up, and RouteThroughXray traffic goes nowhere until the next full
restart happens to occur for an unrelated reason.

diffInbounds already has this exact defensive pattern for REALITY
inbounds ("a gRPC remove+add does not reliably rebuild the REALITY
authenticator"), just never extended to TPROXY, and only in the
already-existing-then-changed branch -- the "brand new inbound" branch
had no such guard at all, which is exactly the path a freshly-enabled
RouteThroughXray bridge takes. Added inboundUsesTproxy and wired it
into both branches.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): flag Xray for resync when a peer edit changes qualifying state

Real production bug, root-caused on iiadmin-vps: updateAmneziaWGInbound/
AddInbound/DelInbound only ever updated the kernel interface via
amneziawg.GetManager() -- they never called SetNeedRestart the way every
other protocol's mutation path does (client_crud.go, inbound.go, etc. all
do). injectAmneziawgEgress's TPROXY bridge inbound depends on
InstanceFromInbound finding at least one qualifying peer plus
RouteThroughXray, so an edit that flips that (first peer added, last one
removed, RouteThroughXray toggled on) previously required a full panel
restart before the bridge actually got created, with no error anywhere:
the kernel interface would handshake fine, but traffic redirected into the
bridge's TPROXY port went nowhere because nothing was listening there.

diffInbounds/inboundUsesTproxy already correctly force a full restart for
a brand new TPROXY inbound (bdee0a20) -- that part was never the bug. The
gap was entirely upstream: nothing ever told Xray a resync was even needed.

* fix(clients): reject AllowedIPs already used on another WireGuard/AmneziaWG inbound

defaultWireguardClients/defaultAmneziaWGClients only ever checked uniqueness
against their own inbound's client list, so two inbounds sharing a subnet
(same protocol or not) could silently hand out or accept the same address --
the exact scenario behind a real duplicate-IP incident where a WireGuard and
an AmneziaWG client both ended up on the same address. otherTunnelAllowedIPs
now collects every address already claimed on every other tunnel inbound and
folds it into both the auto-allocation pool and the manual-entry collision
check, naming the other inbound in the error when it fires.

* fix(frontend): add the missing AmneziaWG config download on the sub page

The subscription page already gave WireGuard links their own "Config"
block (copy/download/QR of the actual .conf, via wireguardConfigFromLink
reversing the wireguard:// query params) but had no equivalent for
AmneziaWG's vpn:// links -- its isWireguardLink gate never matched them,
and no reverse-parse helper existed for this page specifically. Every
other surface (InboundInfoModal, ClientInfoModal, ClientQrModal) already
had this parity; this was the one page that didn't.

Fixed by adding amneziawgConfigFromLink (inbound-link.ts), simpler than
its WireGuard counterpart since a vpn:// payload already *is* the plain
.conf text -- just base64url-decode it, no query-param reconstruction
needed -- and wiring it into SubPage.tsx alongside the existing WireGuard
block, reusing the same pages.clients.amneziaWgConfig label the other
three surfaces already use.

* fix(xray): force a full restart for password-auth SOCKS5 hot-apply

Real production incident: editing a client under an AmneziaWG inbound
left its embedded SOCKS5 relay's settings byte-different (a new account
list), and Xray's gRPC remove+add hot swap silently dropped the account
for a peer whose email contained non-ASCII characters -- its tunnel kept
handshaking fine but all its traffic got rejected at the SOCKS5 layer,
while every other peer on the same relay was unaffected. A full restart
(reading the same JSON straight from disk) always produced the correct
account list. socks isn't in userDiffableProtocols (that only covers
vless/vmess/trojan's clients+email shape, not accounts+user), so any
settings drift on this inbound fell through to the generic remove+add
path. Forces a restart instead, the same defensive choice already made
for REALITY and TPROXY -- scoped to auth:"password" specifically so the
other, noauth SOCKS5 bridges (panel/node/mtproto egress) keep the cheaper
hot path.

* Fix Attach reusing one identity's address across wg/awg inbounds

ClientService.Attach deliberately copies one identity's stored
AllowedIPs into every WireGuard/AmneziaWG inbound it's attached to
in the same call, so the same person gets the same tunnel address
on every protocol they use. Its loop calls addInboundClient once per
inbound, and each of those independently computes
otherTunnelAllowedIPs -- so by the second inbound in the batch, the
first inbound's just-written copy of this identity's own address
looked like a cross-inbound collision against itself.

Real production symptom this caused: detaching then re-attaching a
client to both wg and awg failed with "wireguard: allowedIPs entry
X is already used by a client on inbound 'awg' (#N)" -- the exact
address the identity is supposed to keep, rejected as if it belonged
to someone else.

Add a selfEmails exclusion to otherTunnelAllowedIPs and populate it
from the client(s) being processed at the one real call site. Safe
unconditionally: ClientRecord.Email is globally unique, so a match
can only ever be this same identity's own entry on a sibling inbound,
never a genuine different client's address.

Reproduced the underlying mechanism live (manual entry correctly
rejected as a cross-inbound collision; fresh auto-allocation
correctly avoided a used address) before writing the fix, to confirm
the guard itself works and the bug is specifically in how Attach's
per-inbound calls interact with it.

* Attach: allocate fresh when re-attaching with no active tunnel

The previous fix (82cc69f5) made Attach's own address-reuse
correctly not collide with itself across inbounds -- but it still
always reused an identity's stored AllowedIPs verbatim, even when
that identity currently has zero WireGuard/AmneziaWG attachments at
all. A real report from testing this live: an identity fully
detached from both its wg and awg inbounds, then re-attached, got
its old address back even though several lower addresses were free
-- because nothing about being fully detached ever cleared the
stored value Attach copies from.

Add hasTunnelAttachment, checked once against the identity's CURRENT
inbound set before Attach's loop runs: if none of its current
inbounds is WireGuard/AmneziaWG, clear the stored AllowedIPs so this
attach allocates fresh (matching what a brand-new client would get)
instead of resurrecting an address nothing reserves anymore. Left
alone when the identity already has an active tunnel elsewhere, so
extending it to a second protocol still keeps a consistent address.

* Fix TestOtherTunnelAllowedIPsExcludesSelfEmail's own test setup

CI caught this: the "genuinely different client" (other@wg) was
seeded onto the SAME inbound passed as excludeID, which
otherTunnelAllowedIPs already excludes entirely regardless of the
selfEmails fix -- so the assertion that its address is still
reported could never have passed, proving nothing either way. Move
it onto the sibling inbound alongside shared@id, which is what the
test actually needs to exercise (two clients on one sibling, one
excluded by email, one not).

* Attach: never inherit an address that doesn't fit the target inbound

hasTunnelAttachment (from the earlier fix, commit 51067f16) only
asked "does this identity have ANY tunnel attachment", treating that
as license to reuse its stored address verbatim on every inbound
being attached. Real production case this missed: an identity's
stored address came from WireGuard's own fallback subnet
(10.0.0.0/24, used when that inbound has no other clients to infer a
base from), then got attached to a second, AmneziaWG inbound
configured for a completely different subnet (10.8.1.0/24).
defaultAmneziaWGClients's already-set-AllowedIPs branch only checks
for collisions, never subnet membership, so the mismatched address
was accepted silently -- producing a peer that can never actually
connect, since an AmneziaWG address must fall inside the kernel
interface's own configured subnet to be routable at all.

Add addressesFitAmneziaWGInbound, checked per inbound inside Attach's
loop: if the inherited address doesn't fit the SPECIFIC inbound being
attached, clear it just for that one so it gets a fresh, valid
allocation instead, while other already-attached inbounds keep their
existing values. WireGuard has no equivalent strict subnet
requirement (allocateWireguardAddress can widen to a fallback pool
for it), so this only ever constrains AmneziaWG targets.

* Give WireGuard an explicit, admin-configurable subnet field

WireGuard previously had no configurable subnet at all -- only an
implicit one, either inferred from existing clients' own addresses
(wireguardAllocationBase) or a hardcoded 10.0.0.0/24 fallback when
none exist yet. AmneziaWG, by contrast, has always had a real
server.subnetIp/subnetCidr field in its settings, editable in the
UI. User request: give WireGuard the same treatment.

Backend: explicitWireguardSubnetBase reads an optional subnetIp/
subnetCidr pair from the inbound's own settings JSON (mirroring
AmneziaWG's defaultAmneziaWGSubnetBases). defaultWireguardClients
checks it first; only when unset does it fall back to today's
inference-from-existing-clients behavior, so an inbound saved before
this field existed keeps working exactly as it always has.

Frontend: subnetIp/subnetCidr added to WireguardInboundSettingsSchema
and the inbound form (mirroring AmneziaWG's own field layout/labels),
with a real default (10.0.0.0/24, the same value the backend already
fell back to) seeded for newly created inbounds so the field starts
populated and editable rather than blank. Translated across all 13
locales.

This also structurally closes the class of bug fixed in
82cc69f5/291c47b3: with wg and awg subnets explicit and
independently controllable, an admin who wants matching addresses
across both protocols can configure them to actually agree, instead
of one silently inheriting the other's incompatible range.

* Split the client edit form's AllowedIPs into per-protocol fields

A client attached to both WireGuard and AmneziaWG shared one AllowedIPs
form field with a dynamically-switching label, so its two genuinely
different addresses could never both be shown or edited correctly.
Worse, Update/Create broadcast that one shared value to every attached
wg/awg inbound with no subnet-fit check, so an ordinary edit save could
silently overwrite one protocol's address with the other's -- the same
bug class already fixed for Attach, but reachable from any client edit.

model.Client gains an optional AllowedIPsByInbound map so a caller can
send distinct values per inbound; Update/Create honor it and, when it's
absent, clear a shared value that doesn't fit an AmneziaWG inbound's own
subnet instead of writing it through. A new TunnelAllowedIPsByInbound
read path feeds the real per-inbound address to the client edit form via
GET, which now renders two separate, correctly-labeled fields whenever
both protocols are attached (unchanged single dynamic field otherwise).

* Regenerate openapi.json for the new allowedIPsByInbound field

Follow-up to 878ee839: gen:zod (frontend/src/generated) was already
regenerated and committed, but gen:api (frontend/public/openapi.json)
wasn't, so CI's codegen drift check failed.

* Fix build breakage from merging upstream main: Update() gained a limitHwid param

Two of our own AllowedIPs tests (not present upstream, so the merge never
flagged them as conflicting) still called the old 3-arg Update(inboundSvc,
id, client) -- upstream's hardware-ID-limit feature added a required
limitHwid parameter that every other caller in this package already
passes. Also drop createDefaultInboundSettings from InboundsPage.tsx: the
merge conflict resolution kept the import, but upstream's clone-payload
refactor (buildClonePayload, inbound-clone.ts) already calls it
internally now -- this file doesn't need it directly anymore.

* Fix real bug: AmneziaWG clients rejected as "empty client ID" in 3 places

Three switch statements on inbound.Protocol handle "wireguard" explicitly
(checking client.PublicKey) but fall through to the default case for
"amneziawg" (checking client.ID, which AmneziaWG clients never set --
they use PublicKey/Email like WireGuard, not the VMess/VLESS UUID field).
This is what the 4 AllowedIPs tests were actually catching:
UpdateInboundClient's newClientId derivation hit this same default branch,
so every Update() on an AmneziaWG client returned "empty client ID"
before ever reaching the AllowedIPs logic being tested.

Fixed by adding "amneziawg" alongside "wireguard" in each switch:
addInboundClient's per-client validation, UpdateInboundClient's
newClientId derivation, and AddInbound's per-client validation (the
third one wasn't hit by these tests, but has the identical bug -- creating
a brand-new AmneziaWG inbound with a client attached would fail the
same way).

* refactor(amneziawg): rename Obfuscation20 to Obfuscation31, drop the dead mobile preset

Mechanical rename ahead of the AmneziaWG 3.1 parameter work: the type,
generator and prose all said 2.0, and the "mobile" generator preset was
reachable only from its own test. No behavior change.

* feat(amneziawg): AmneziaWG 3.1 obfuscation parameters (backend + generated schemas)

Adds the 3.1 parameter surface to the inbound settings and both Go config
emitters: I2-I5 signature packets, HeaderProtectionKey (base64 32-byte,
shared server<->client), ContentPaddingAddition, the five handshake-timing
randomization ranges (RekeyAfterTime/RekeyTimeout/RejectAfterTime/
KeepaliveTimeout/MaxHandshakeAttempts), and the RandomTrailers/
DisableCookies switches. Freshly generated sets fill everything except
I2-I5 (matching Amnezia's own generator) with jittered ranges bracketing
WireGuard's stock timing constants; every reject window starts >= 30s
above the rekey window by construction. Empty fields stay off the wire,
so blanking a field disables just that feature.

Validation generalizes the H1-H4 range checker for the new uint32-range
fields, requires min 1 on timers, cross-checks rekey-vs-reject, and
demands a real 32-byte base64 header-protection key. The manager warns
once per process when the installed awg tools predate 3.1 but an inbound
uses 3.1 parameters (awg-quick rejects unknown keys with a generic
error otherwise); apply still proceeds.

Requires amneziawg-tools v3.1.20260812+ / module or amneziawg-go
v3.1.20260814+ on the host.

* feat(amneziawg): emit and randomize 3.1 parameters in the frontend

Both client-config emitters (the vpn:// link builder and the clients-page
.conf builder) now carry the 3.1 [Interface] lines in the same order as
the Go emitters. The obfuscation randomizer moves out of InboundFormModal
into a shared lib/xray/amneziawg-obfuscation.ts that also fills the new
fields, and createDefaultAmneziawgInboundSettings switches from static
values to that generator — a fresh inbound now really gets the unique
fingerprint the docs promise instead of the same jc=5/jmin=10 set on
every install.

Schema parse-time defaults for the new fields stay ''/false on purpose:
real values come only from the generator, so resaving an inbound never
mutates its stored parameters. A new parity test pins the hand-written
AmneziawgServerSchema to the generated ServerSettings key set, so a field
added on one side can no longer silently vanish from configs.

* feat(amneziawg): 3.1 form fields and translations

Inbound form gains inputs for I2-I5, HeaderProtectionKey (filled by the
existing obfuscation Regenerate button), ContentPaddingAddition, the five
timing ranges, and the RandomTrailers/DisableCookies switches; the MTU
input picks up the min=1 its schema already enforced. All 13 locales get
the 19 new keys and drop the "2.0" branding from the s3/s4/i1 labels.

* docs(amneziawg): document 3.1 parameters; install.sh kernel/version notes

The AmneziaWG page's obfuscation section moves from the 2.0 to the 3.1
parameter set: table rows for I2-I5, HeaderProtectionKey,
ContentPaddingAddition, the timing-randomization ranges and the
RandomTrailers/DisableCookies switches, a requirements callout (tools
v3.1.20260812+, module/awg-go v3.1.20260814+, Linux 6.7+ for the DKMS
path), and a sample client .conf that matches what the panel actually
emits (including the DNS defaults and PersistentKeepalive it always had).

install.sh warns before a DKMS build on a pre-6.7 kernel and after any
install that left pre-3.1 amneziawg-tools on PATH.

Also updates the hosts API operation paths ({id} -> {groupId}) in the
stale ru/zh/fa reference pages: syncing docs/public/openapi.json for the
new AmneziaWG schema fields surfaced that rename, which had never been
copied over, and the docs build fails on paths missing from the spec.

* fix(amneziawg): reject control characters and canonicalize 3.1 range values

Adversarial review of the 3.1 work surfaced a validation gap:
base64.DecodeString silently ignores CR/LF, so a header-protection key
that picked up a line wrap in transit decoded to a valid 32 bytes,
passed validation, and was emitted verbatim into every client config —
where the orphan second line breaks the import while the server (whose
emitter strips control chars) keeps running with the correct key. The
key and range validators now reject control characters outright.

Also from the same review: range values are canonicalized on save
("110 - 140" -> "110-140", whitespace-only collapses to feature-off,
closing a case where the server conf rendered an invalid blank-value
line the client emitters omitted); the rekey/reject invariant is now
enforced against WireGuard's 120s/180s defaults when only one side is
set; and the structural fingerprint joins on "\n" instead of "|",
which is a legal I1-I5 character and made adjacent free-text fields
join-ambiguous.

* fix(install): resolve latest release tag via web redirect to dodge API rate limits

The non-interactive install smoke test resolved the release version through
the unauthenticated GitHub API (api.github.com/.../releases/latest), which
allows only 60 requests/hour per IP. The test installs twice in one run, and
on shared CI runner IPs the second call gets rate-limited, returns no
tag_name, and install.sh treats an empty version as fatal (exit 1) — the same
"Failed to fetch x-ui version" real users hit behind CGNAT/shared addresses.

resolve_latest_tag() now reads the tag from the github.com releases/latest
web redirect (not subject to the API rate limit), falling back to the API
only if the redirect yields nothing. Verified with the real
deploy/test/smoke-noninteractive.sh (two installs, both green).

* fix(amneziawg): three review findings on #6105, plus a comment trim

1. A peer's allowedIPs reached the generated .conf unvalidated and
   unsanitized, unlike email/publicKey/preSharedKey which
   normalizeAmneziaWGSettings already guards. A newline in an entry let a
   following "[Interface]" re-open the interface section, whose "PostUp = ..."
   awg-quick then runs as root on the next apply. Reproduced end to end
   against generateServerConfig. The save path now rejects and canonicalizes
   through normalizeWireguardAllowedIPs, and the render path sanitizes as a
   backstop for rows predating the validation (an upgrade, a restored backup,
   a direct DB edit). H1-H4 get the same render-time sanitize, and the two NIC
   name fields a plausibility check, since stripping control characters alone
   would still let a shell metacharacter into a root-executed PostUp line.

2. EgressPortForInbound is 63100 + inbound id, so an id past 2435 derives a
   port above 65535 -- and Xray rejects the whole generated config over one
   invalid port, taking every other protocol down with it. It now reports
   ok=false past the range, and both the Xray bridge and its TPROXY rules are
   skipped instead of emitting an impossible port.

3. The downloadable AmneziaWG .conf read ClientRecord.allowedIPs, a single
   shared column that holds the WireGuard address for an identity attached to
   both protocols -- the exact ambiguity tunnelAllowedIPs was added to resolve
   for the edit form. The info and QR modals already hydrate that field, so
   they now pass this inbound's own address to the builder.

Also trims the comment blocks in the files touched here to the 2-line
guidance in CLAUDE.md: internal/amneziawg alone carried 423 comment lines in
over-long blocks against 118 for the comparable internal/mtproto, and is now
at 110. Every non-obvious constraint is kept (the kernel S1/S2 rule, why
PostDown is best-effort, why grep -c and not -q, why the fingerprints split
three ways); the narration is gone. Two hot_diff.go comments pointed at an
internal/amneziawgnet package and an injectAmneziawgnetSocks function that
exist nowhere in the tree; the checks themselves are unchanged.

* feat(logs): add an AmneziaWG log view to the overview

The overview has an access-log view for Xray but nothing for AmneziaWG, so
when a tunnel misbehaves there is no way to see it from the panel at all. A
kernel tunnel logs no per-request lines, so the equivalent view is built from
the two things it does expose:

- Live per-peer activity from `awg show <iface> dump`, joined to the client
  email through the desired peer set: last handshake, endpoint, allowed IPs,
  cumulative transfer and online state, newest handshake first.
- The panel's own AmneziaWG event lines (interface up/down, awg-quick
  failures, the pre-3.1 tools warning), which are what actually explain a peer
  being absent from the table.

POST /panel/api/server/amneziawglogs/:count serves both, with the same
count + filter contract GetXrayLogs uses, and the modal mirrors XrayLogModal's
toolbar, auto-update, mobile cards and download. The action-bar button is
gated on a new status.amneziawg.configured, which stays true while an inbound
exists but its interface is down -- exactly when the event lines matter.

Verified against a running panel: the endpoint returns the peer table and
real event lines ("awg/awg-quick not found on PATH", "create config dir:
permission denied"), and count and filter both narrow as documented.

One of those lines surfaced a Debugf that had been rendering as
"for inbound1:amneziawg:"; fixed here since it is now user-visible.

* fix(amneziawg): stop double-counting a routed inbound's traffic

injectAmneziawgEgress tags its Xray bridge with the AmneziaWG inbound's own
tag, so the stock Routing page can target it. Xray therefore reports that
bridge's bytes under the inbound's tag, and XrayTrafficJob feeds them to
AddTraffic -- which accumulates -- on top of the same bytes AmneziaWGJob
already reported from `awg show dump`. An inbound with routeThroughXray on
counted roughly twice its real traffic, which also inflates the quota checks
that read the same counters.

The awg counters are the complete measure: every peer, whether or not TPROXY
routed it, and the same wire bytes the per-client totals are built from, so
they stay and the Xray rows are dropped. Per-client stats were never affected
-- a dokodemo-door bridge has no per-user identity, so Xray emits no
user>>>email rows for it.

Filtering happens before every consumer, so the DB totals, the external
traffic inform and the dashboard's live speed all read one source per inbound.
The set of bridge tags now comes from a predicate shared with
injectAmneziawgEgress itself, with a test that pins the two together -- naming
one tag too few doubles the traffic again, one too many makes real traffic
vanish.

* fix(amneziawg): align the three .conf emitters on one peer field order

The panel builds an AmneziaWG client .conf in three independent places, and
they disagreed: buildAmneziaWGClientConfig put PresharedKey right after
PublicKey (wg-quick(8)'s own order, and what both WireGuard emitters on the
clients side already use), while genAmneziaWGConfig and the Go
amneziaWGConfigText put it after Endpoint. A user comparing a subscription
link against a downloaded .conf sees the difference immediately, and the
generators are exactly the kind of parallel implementation CLAUDE.md warns
about drifting.

Moves the two outliers onto the wg-quick order. Also drops the stray trailing
newline that only appeared when PersistentKeepalive was set, so a config now
always ends on its last set field whichever that is -- the same shape all
three emitters produce for the same client.

Parsing is unaffected either way (the format is order-insensitive, and the
AmneziaVPN app reads it as a flat key-value bag), so this changes only the
rendered text. Adds a test on each side that pins the peer block's field
order, since nothing previously asserted it.

* refactor(amneziawg): switch to the embedded amneziawg-go/gVisor architecture

Replaces the kernel-module (DKMS) + awg-quick + TPROXY backend with the
fork's own embedded design: amneziawg-go runs in-process over a userspace
gVisor netstack, and each peer's decapsulated traffic relays into its own
loopback Xray SOCKS5 inbound, so Xray's native stats/sniffing/routing work
for free instead of through hand-rolled bridges. No kernel module, no DKMS,
no Secure Boot conflicts, works the same in a container as on bare metal.

- internal/amneziawgnet: new package (Device/UAPI, gVisor netstack, TCP/UDP
  forwarding, SOCKS5 relay, peer identity, IPv6 host-alias egress identity,
  per-client port-forwarding) - amneziawg-go v3.1.20260814 + gvisor.
- internal/amneziawg: keep the reusable protocol-shape types/validation
  (Instance/Peer/Obfuscation, InstanceFromInbound); drop the OS-shellout
  half (awg-quick, TPROXY policy routing, NDP proxy, peer-stats parsing).
- internal/web/service: rewire the 5 integration points (job, runtime,
  client-apply, web shutdown, xray config) from the old manager to the new
  one; the AmneziaWG log view is rebuilt on the embedded Device's own UAPI
  dump (extended to carry endpoint/AllowedIPs) instead of `awg show dump`.
- install.sh: drop DKMS/ndppd/TPROXY/Secure-Boot installer code (~250
  lines) - an entire recurring class of installer fragility goes away.
- frontend: drop the now-meaningless routeThroughXray toggle (the relay is
  always on); keep the field in the Zod schema, unexposed, so it isn't
  silently stripped from stored settings on next save - two regression
  tests deliberately depend on the Go struct still carrying it.
- docs/i18n: rewrite amneziawg.mdx for the new architecture; drop the
  dead routeThroughXray translation keys across all 13 locales.

Real production throughput (embedded core datapath, isolated bench, same
box the kernel-module path was measured on): ~296 Mbit/s up, ~640 Mbit/s
down, vs. 414.69 MB/s (~3.3 Gbit/s) for the kernel module on the same
hardware - a real gap, tempered by this being single-stream/no-SOCKS5-hop
and most VPN traffic being latency-bound rather than throughput-saturating.

* fix(amneziawg): restore the branch's own Obfuscation31 shape + 2 CodeQL findings

The previous push's wholesale-copy of types.go/params.go from the fork's
main branch pulled in that branch's own independent (and incompatible)
naming for the same AWG 3.1 feature set: Obfuscation20/GenerateObfuscation20
instead of this branch's already-shipped Obfuscation31/GenerateObfuscation31,
and a missing CanonicalizeUintRange -- broke every Go CI job (the whole
matrix fails to compile when any one package doesn't, which is why govulncheck/
golangci/postgres-durable-first/race all failed identically, not just go-test).

Restores params.go/params_test.go verbatim from this branch's own last
commit (a strict superset of validation: it already cross-checks rekey vs.
reject timing windows, which the copied version never did) and folds the
3.0/3.1 fields (HeaderProtectionKey, ContentPaddingAddition, the 5 timing
fields, RandomTrailers/DisableCookies) into Obfuscation31 itself, matching
the original struct exactly instead of as separate top-level Instance
fields. instance.go, the two amneziawgnet call sites, and 7 amneziawgnet
test files updated to match. Also drops the one test (sanitizeConfigValue)
that only ever served the retired kernel-module .conf writer -- correctly
not ported, so the test testing it shouldn't have been copied either.

Also fixes 2 CodeQL findings the same push surfaced: a clamped uint64->int64
conversion for the new log view's live byte counters (server.go), and an
unneeded len+len sum feeding a slice pre-size in the v6-egress outbound
merge (xray.go) -- append already grows correctly without it.

* chore(amneziawg): regenerate frontend schemas for updated doc comments

npm run gen was missed after the previous commit's types.go doc-comment
edits (Obfuscation20 -> Obfuscation31, ValidateHeaderProtection ->
ValidateObfuscation in the prose) -- openapigen bakes those comments
into the generated schema's description field, so the committed
frontend/src/generated/schemas.ts and openapi.json still had the old
wording. codegen's git-diff-exit-code check caught it correctly.

* fix(amneziawg): narrow 2 test fixtures that collided with MaxForwardedPorts

TestCheckForwardedPortsConflict_CollidesWithEnabledInboundPort and
..._NoCollisionWhenPortsDontOverlap used "8000-8100"/"9000-9100" as their
ForwardedPorts fixture -- 101 ports each, one over MaxForwardedPorts (100).
The cap check (checkForwardedPortsConflict, added this session alongside
the SOCKS-phantom-port check) fires first, so both tests got "more than
100 forwarded ports" instead of ever reaching the collision logic they're
actually testing. The cap itself has its own dedicated boundary test
already; these two just needed a narrower range that still covers/misses
port 8080 as intended -- 8075-8085 and 9075-9085, 11 ports each.

* fix(amneziawg): checkAmneziawgnetSocksConflict had no receiver in its new home

My merge-conflict resolution kept this as a method call (s.checkAmneziawgnetSocksConflict)
inside checkPortConflictTx, a plain function with no *InboundService receiver --
upstream's #6225 fix moved the port-conflict check out of the (s *InboundService)
method and into this new tx-scoped free function, and I didn't notice the call
site needed to change shape too. CI caught it immediately (undefined: s); nothing
in this specific package can be locally verified past internal/database's own
unrelated, pre-existing CGO build issue on this dev machine.

Since the signature had to change either way, folded in the fix already flagged
as a separate follow-up: checkAmneziawgnetSocksConflict now takes the caller's
db handle instead of fetching its own via database.GetDB(), so it actually runs
inside the same serialized transaction #6225 introduced -- previously it sat
right next to that race fix without benefiting from it.

* fix: address the review findings on the embedded AmneziaWG PR

5 blocking findings:

- Floor S3/S4 at 12 in both obfuscation generators (Go and frontend) and
  reject a hand-edited value below that when HeaderProtectionKey is set --
  IpcSet requires it, and ~39% of previously-generated sets violated it
  silently.
- Guard PrivateKey/PrimaryDNS/SecondaryDNS/remark against newline injection
  in the AmneziaWG .conf builder (both the Go subscription-link path and
  the frontend downloadable-config path) -- unguarded, any of them could
  inject an arbitrary config line into a subscriber's client.
- Bound the derived AmneziaWG SOCKS relay port to <= 65535 once an
  inbound's id is known, and check the reverse direction (does the relay
  port collide with an existing inbound's port) on both create and update
  -- previously only port -> relay collisions were checked, not relay ->
  port.
- Gate injectAmneziawgV6Egress on the same V6AliasesActive predicate
  desiredV6Aliases already uses, so the two can't disagree about whether a
  peer's IPv6 identity is actually active at the OS level.

2 minor findings:

- Fix the forwarded-ports cap check's off-by-one (a spec covering exactly
  the cap was rejected as if it were over it).
- Correct docker-compose.yml's stale comment describing the retired
  DKMS/kernel-module architecture.

* chore: retrigger CI

build (armv5) failed on a transient Go module proxy network error
(INTERNAL_ERROR stream reset on sagernet/sing), unrelated to this PR's
changes.

* docs: fix doc comments still describing the retired DKMS/awg-quick design

A few doc comments (and one illustrative test log line) survived the
embedded-architecture cutover unchanged and now contradict the code
they sit next to:

- internal/amneziawg/types.go's package comment claimed this package
  still owns a Manager that reconciles OS-level interfaces via
  awg-quick/DKMS -- that Manager was removed; the reconcile loop lives
  in internal/amneziawgnet now, and this package is protocol-shape-only.
- internal/amneziawg/params.go's ValidateObfuscation/ValidateConfigValue
  comments cited "awg-quick up" / "awg-quick executes as root" as the
  reason to validate -- the server itself never calls awg-quick in this
  architecture; the same value still reaches a real rendered .conf that
  a client app or an admin's own awg-quick CLI applies downstream, so
  the validation is still warranted, just for a different consumer.
  Mirrored the same fix in inbound_amneziawg.go's matching comment and
  its test's comment.
- internal/amneziawgnet/manager.go's Manager doc comments (x3) pointed
  readers at "internal/amneziawg.Manager" for comparison -- that type no
  longer exists in this diff at all. Repointed at internal/mtproto.Manager,
  the pattern this was actually modeled on and the one that's still real.
- Swapped one test's illustrative "awg-quick up awg2 failed" log line for
  a message shaped like this architecture's actual amneziawgnet logging,
  so a reader skimming the test doesn't wonder whether the server still
  shells out to awg-quick.

No behavior change.

* fix(docs): re-run codegen for xray-settings.mdx after conflict merge

The automated conflict-resolution hand-merge for this generated file
was content-correct but didn't byte-match a real regen (different
YAML long-string folding style). Re-ran npm run gen + docs' gen:api
and kept that canonical output instead.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

* fix(amneziawg): drop the dead access-log email backfill

amneziawgEmailIndex keyed peers by "<tag>|<tunnel IP>", a scheme built
for the retired TPROXY bridge where the peer's decapsulated tunnel
address survived as the access log's from-address. The embedded
architecture relays through a loopback SOCKS5 dial, so every AmneziaWG
log line's from-address is 127.0.0.1:<ephemeral> and the lookup could
never match: the index was rebuilt on every log view just to miss.
Remove the index, its GetXrayLogs wiring and its test. If per-line
emails are wanted back, the relay would have to publish a
local-port->email registry for the viewer to resolve loopback sources.

* fix(api): generate AmneziaWGLogs/PeerActivity schemas instead of hand-writing them

The amneziawglogs endpoint's response structs were missing from
openapigen's StructAllow, so they were silently absent from every
generated schema/example, the endpoints.ts entry carried a hand-written
response, and AmneziaWGLogModal.tsx duplicated the shapes as local
interfaces - the exact drift the allowlist rule exists to prevent.
Allowlist both structs with example tags, point the endpoint at the
generated schema, import the generated types in the modal, and sync
docs/public/openapi.json.

* chore(amneziawg): drop the unreferenced quiccapture package

Nothing imports internal/amneziawg/quiccapture and no route exposes it;
its package doc justifies the code as a port of
frontend/src/lib/xray/i1Generators.ts, which does not exist in this
repository, and promises an API round-trip that also does not exist.
1,110 lines of unreachable code with misleading provenance claims.
Revert this commit to bring the package back when the live-capture I1
feature and its frontend counterpart actually land.

* fix(clients): re-run cross-inbound conflict checks on the serialized writer

The new client-level checks - cross-inbound AllowedIPs collisions and
AmneziaWG forwardedPorts conflicts - read a fresh DB snapshot, decide,
and only then enter runSerializedTx, while lockInbound only serializes
writers on the SAME inbound. Two concurrent client creates on two
different tunnel inbounds both passed the read and both committed,
yielding two peers with one address: the exact check-then-claim race
81cfd857 (#6225) closed for AddInbound, which this PR's own
checkAmneziawgnetSocksReverseConflict already cites. Keep the pre-tx
pass for fail-fast UX and re-validate inside the transaction, where the
single writer makes the answer authoritative. The race test drives two
goroutines at two inbounds and demands exactly one winner; it fails
with committed=2 when the in-tx re-check is removed.

* fix(amneziawg): hot-apply depletion disables like mtproto does

applyTrafficMutationBatch special-cases MTProto so a quota/expiry
depletion cuts the sidecar immediately, but AmneziaWG fell through to
runtime AddUser/RemoveUser - explicit no-ops for this protocol - so a
depleted peer kept tunneling until the next 10s reconcile tick. Route
it through applyLocalAmneziaWG, whose own contract (re-read committed
settings, filter depleted clients, push to the interface) is exactly
this case; the comment claiming it mirrors applyLocalMtproto is now
true for the depletion path too.

* fix(amneziawg): persist cleared DNS fields instead of resurrecting defaults

PrimaryDNS/SecondaryDNS marshaled with omitempty, so clearing them
persisted settings with no key at all - and the frontend re-parses
stored settings through a Zod schema whose .default('8.8.8.8') /
.default('8.8.4.4') fire on missing keys, silently repopulating the
form on every load and re-persisting the defaults on the next save.
Blank is a documented, meaningful state (no DNS line in client
configs); drop omitempty so a cleared value survives the round-trip.
The regression test normalizes a server block with cleared DNS and
fails when the keys are dropped.

* fix(amneziawg): accept cleared numeric obfuscation/subnet fields in the form

AntD InputNumber emits null when cleared, Zod .default() only replaces
undefined, and unlike wireguard.ts - whose optionalClearedInt comment
documents exactly this failure mode - the AmneziaWG schema declared
subnetCidr and jc/jmin/jmax/s1-s4 as bare z.number() defaults. Clearing
any of the eight fields made safeParse reject the null and block the
save until the user retyped a value. Absorb null into undefined while
keeping each field's schema default, so a cleared field refills its
documented default and legacy blobs with absent keys behave as before.

* fix(amneziawg): guard the third .conf emitter against newline injection

The review-round fix added the newline guard to amneziaWGConfigText (Go)
and buildAmneziaWGClientConfig, but genAmneziaWGConfig in inbound-link.ts
- the third of the three emitters its own comment says must not drift -
still rendered privateKey/primaryDns/secondaryDns/remark unescaped, so a
newline there injected a config line (e.g. a rogue PostUp) into the
inbound form's downloaded .conf. Add the same guard, plus the regression
tests the original fix shipped without: all four fields on the Go and
both frontend emitters go red if any guard is removed.

* test(amneziawg): pin the S3/S4 floors the TS drift guard claims to mirror

The test's docstring says it mirrors internal/amneziawg/params_test.go,
but it asserted S3>=8/S4>=4 while the Go test and both generators pin
12/12 - the floor ValidateObfuscation enforces whenever a header
protection key is set, which this generator always sets. A regression
narrowing the TS floors into 8-11/4-11 would have passed the drift
guard and produced configs the backend rejects on save.

* docs: restore the pia repo-map entry and document the AmneziaWG subsystem

Merging main dropped CLAUDE.md's internal/pia/ bullet (added by #6272)
while resolving the repo-map conflict - the package itself is untouched.
Restore it, add the missing map entries for the two packages this branch
introduces (internal/amneziawg/, internal/amneziawgnet/), bump the cron
count, and give amneziawg_job its row in architecture.md's 5.4 table.

* chore(amneziawg): correct comments stranded by the architecture pivot

ae77c7e9's cutover to the embedded gVisor path deleted the kernel-module
code but left several comments describing it in the present tense:
hot_diff.go cited the removed service.amneziawgEgressStreamSettings and
wrongly claimed AmneziaWG is the only sockopt.tproxy source (tunnel's
TProxy mode is the live one the guard protects), socks_config.go pointed
at the deleted EgressBasePort/EgressPortForInbound, manager.go referred
to the deleted Manager and its fingerprinting as live code, web.go's
cron registration claimed the job scrapes traffic (its own doc says it
does not), and types.go capped ContentPaddingAddition at uint16 when
validation and upstream both use uint32.

* style(lint): satisfy gofumpt/goimports so make verify is green

json_service.go's two 'Tag: "proxy"}' literals came in with main's own
cc245a90 formatting commit and fail the repo's gofumpt gate for everyone;
the import grouping in inbound_amneziawg.go is from the serialized-writer
fix on this branch.

---------

Co-authored-by: Claude Sonnet 5 <noreply@anthropic.com>
Co-authored-by: Sanaei <ho3ein.sanaei@gmail.com>
Co-authored-by: claude[bot] <41898282+claude[bot]@users.noreply.github.com>
2026-08-24 02:41:15 +02:00

2253 lines
155 KiB
JSON
Raw Blame History

This file contains ambiguous Unicode characters
This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.
{
"username": "ユーザー名",
"password": "パスワード",
"login": "ログイン",
"confirm": "確認",
"cancel": "キャンセル",
"close": "閉じる",
"save": "保存",
"logout": "ログアウト",
"create": "作成",
"add": "追加",
"remove": "削除",
"update": "更新",
"copy": "コピー",
"copied": "コピー済み",
"more": "もっと",
"download": "ダウンロード",
"regenerate": "再生成",
"jsonEditor": "JSON エディター",
"downloadImage": "画像をダウンロード",
"sort": "並べ替え",
"remark": "備考",
"enable": "有効化",
"protocol": "プロトコル",
"search": "検索",
"filter": "フィルタ",
"all": "すべて",
"from": "から",
"to": "まで",
"done": "完了",
"loading": "読み込み中...",
"refresh": "更新",
"clear": "クリア",
"second": "秒",
"minute": "分",
"hour": "時間",
"day": "日",
"check": "確認",
"indefinite": "無期限",
"unlimited": "無制限",
"none": "なし",
"qrCode": "QRコード",
"info": "詳細情報",
"edit": "編集",
"delete": "削除",
"reset": "リセット",
"noData": "データなし。",
"copySuccess": "コピー成功",
"sure": "確定",
"encryption": "暗号化",
"transmission": "伝送",
"host": "ホスト",
"path": "パス",
"camouflage": "難読化",
"status": "ステータス",
"enabled": "有効",
"disabled": "無効",
"depleted": "消耗済み",
"depletingSoon": "間もなく消耗",
"offline": "オフライン",
"online": "オンライン",
"domainName": "ドメイン名",
"monitor": "監視",
"certificate": "証明書",
"fail": "失敗",
"comment": "コメント",
"success": "成功",
"lastOnline": "最終オンライン",
"lastSubFetch": "最終サブスクリプション取得",
"getVersion": "バージョン取得",
"install": "インストール",
"clients": "クライアント",
"usage": "利用状況",
"twoFactorCode": "コード",
"remained": "残り",
"security": "セキュリティ",
"emptyDnsDesc": "追加されたDNSサーバーはありません。",
"emptyFakeDnsDesc": "追加されたFake DNSサーバーはありません。",
"emptyBalancersDesc": "追加されたバランサーはありません。",
"somethingWentWrong": "エラーが発生しました",
"subscription": {
"title": "サブスクリプション情報",
"subId": "サブスクリプションID",
"status": "ステータス",
"downloaded": "ダウンロード",
"uploaded": "アップロード",
"expiry": "有効期限",
"totalQuota": "合計クォータ",
"individualLinks": "個別リンク",
"active": "有効",
"inactive": "無効",
"unlimited": "無制限",
"noExpiry": "期限なし",
"copyAllConfigs": "すべての設定をコピー",
"copyAllConfigsCopied": "すべての設定をコピーしました",
"email": "メール"
},
"menu": {
"theme": "テーマ",
"dashboard": "ダッシュボード",
"inbounds": "インバウンド",
"clients": "クライアント",
"groups": "グループ",
"nodes": "ノード",
"settings": "パネル設定",
"xray": "Xray 設定",
"routing": "ルーティング",
"outbounds": "アウトバウンド",
"apiDocs": "API ドキュメント",
"donate": "寄付",
"hosts": "ホスト",
"docs": "ドキュメント",
"openMenu": "メニューを開く",
"pinSidebar": "サイドバーを固定",
"unpinSidebar": "サイドバーの固定を解除",
"subFormats": "Sub Formats"
},
"pages": {
"login": {
"hello": "こんにちは",
"title": "ようこそ",
"loginAgain": "ログインセッションが切れました。再度ログインしてください。",
"toasts": {
"invalidFormData": "データ形式エラー",
"emptyUsername": "ユーザー名を入力してください",
"emptyPassword": "パスワードを入力してください",
"wrongUsernameOrPassword": "ユーザー名、パスワード、または二段階認証コードが無効です。",
"successLogin": "アカウントに正常にログインしました。"
}
},
"index": {
"cpu": "CPU",
"swap": "スワップ",
"storage": "ストレージ",
"memory": "メモリ",
"xrayStatus": "Xray",
"stopXray": "停止",
"restartXray": "再起動",
"xraySwitch": "バージョン",
"xrayUpdates": "Xrayの更新",
"xraySwitchClickDesk": "慎重に選択してください。古いバージョンは現在の設定と互換性がない可能性があります。",
"updatePanel": "パネルを更新",
"panelUpdateDesc": "これにより3X-UIが最新リリースに更新され、パネルサービスが再起動されます。",
"currentPanelVersion": "現在のパネルバージョン",
"latestPanelVersion": "最新のパネルバージョン",
"panelUpToDate": "パネルは最新です",
"devChannel": "開発チャンネル",
"devChannelWarning": "開発ビルドは main の各コミットを追跡し、安定版ではありません。自動ダウングレードはありません。",
"currentCommit": "現在のコミット",
"latestCommit": "最新のコミット",
"updateChannelChanged": "更新チャンネルを変更しました",
"xrayStatusUnknown": "不明",
"xrayStatusRunning": "実行中",
"xrayStatusStop": "停止",
"xrayStatusError": "エラー",
"systemHistoryTitle": "システム履歴",
"historyTitleCpu": "CPU 使用率",
"historyTitleMem": "メモリ使用率",
"historyTitleNetwork": "ネットワーク帯域幅",
"historyTitlePackets": "ネットワークパケット",
"historyTitleDisk": "ディスク I/O",
"historyTitleOnline": "オンラインクライアント",
"historyTitleLoad": "システム平均負荷（1分 / 5分 / 15分）",
"historyTitleConnections": "アクティブな接続 (TCP / UDP)",
"historyTitleDiskUsage": "ディスク使用率",
"historyTabBandwidth": "帯域幅",
"historyTabPackets": "パケット",
"historyTabDisk": "ディスク I/O",
"historyTabOnline": "オンライン",
"historyTabLoad": "負荷",
"historyTabConnections": "接続数",
"historyTabDiskUsage": "ディスク使用量",
"xrayMetricsTitle": "Xray メトリクス",
"xrayTitleHeap": "割り当て済みヒープメモリ",
"xrayTitleSys": "OS から確保したメモリ",
"xrayTitleObjects": "ヒープオブジェクト数",
"xrayTitleGcCount": "完了した GC サイクル",
"xrayTitleGcPause": "GC 一時停止時間",
"xrayTitleObservatory": "アウトバウンド接続の状態",
"xrayTabHeap": "ヒープ",
"xrayTabSys": "Sys",
"xrayTabObjects": "オブジェクト",
"xrayTabGcCount": "GC 回数",
"xrayTabGcPause": "GC 一時停止",
"xrayTabObservatory": "オブザーバトリ",
"xrayMetricsDisabled": "Xray メトリクスエンドポイントが設定されていません",
"xrayMetricsHint": "xray 設定にトップレベルの metrics ブロック(tag: metrics_out、listen: 127.0.0.1:11111)を追加し、xray を再起動してください。",
"xrayObservatoryEmpty": "Observatory データはまだありません",
"xrayObservatoryHint": "xray 設定に observatory ブロックを追加し、プローブする outbound タグを列挙してから xray を再起動してください。",
"xrayObservatoryTagPlaceholder": "Outbound を選択",
"xrayObservatoryAlive": "稼働中",
"xrayObservatoryDead": "停止",
"xrayObservatoryLastSeen": "最終確認",
"xrayObservatoryLastTry": "最終試行",
"connectionCount": "接続数",
"ipAddresses": "IPアドレス",
"toggleIpVisibility": "IPの表示を切り替える",
"overallSpeed": "全体の速度",
"upload": "アップロード",
"download": "ダウンロード",
"sent": "送信",
"received": "受信",
"xraySwitchVersionDialog": "Xrayのバージョンを本当に変更しますか？",
"xraySwitchVersionDialogDesc": "Xrayのバージョンが#version#に変更されます。",
"xraySwitchVersionPopover": "Xrayの更新が成功しました",
"panelUpdateDialog": "本当にパネルを更新しますか？",
"panelUpdateDialogDesc": "これにより3X-UIが#version#に更新され、パネルサービスが再起動されます。",
"panelUpdateStartedPopover": "パネルの更新を開始しました",
"panelUpdateFailedTitle": "パネルの更新に失敗しました",
"panelUpdateFailedDesc": "更新が正常に完了しませんでした。サーバーのログを確認するか、コマンドラインで「x-ui update」を実行してください。",
"panelUpdateUnknownTitle": "更新が完了したか確認できませんでした",
"panelUpdateUnknownDesc": "パネルから時間内に結果が報告されませんでした。再読み込みして現在のバージョンを確認するか、サーバーのログを確認してください。",
"geofileUpdateDialog": "ジオファイルを本当に更新しますか？",
"geofileUpdateDialogDesc": "これにより#filename#ファイルが更新されます。",
"geofilesUpdateDialogDesc": "これにより、すべてのファイルが更新されます。",
"geofilesUpdateAll": "すべて更新",
"geofileUpdatePopover": "ジオファイルの更新が成功しました",
"geodataTitle": "Geodata 自動更新",
"geodataHint": "Xray はスケジュールに従ってこれらのファイルをダウンロードし、再起動なしでホットリロードします。URL は HTTPS が必須です。各ファイルは事前に bin フォルダーに存在している必要があります。",
"geodataCron": "スケジュール (cron)",
"geodataOutbound": "アウトバウンド経由でダウンロード（任意）",
"geodataFile": "ファイル名",
"geodataAddFile": "ファイルを追加",
"geodataSaveRestart": "保存して Xray を再起動",
"geodataConfirmTitle": "geodata 設定を保存しますか？",
"geodataConfirmContent": "Xray 設定テンプレートを更新し、Xray を再起動します。",
"geodataInvalidUrl": "各ファイルには HTTPS URL が必要です。",
"geodataInvalidFile": "ファイル名はパスを含まない単純な名前にしてください（例: geosite_custom.dat）。",
"geodataInvalidCron": "Cron は 5 フィールド必要です（例: 0 4 * * *）",
"geodataEmpty": "ファイルが設定されていません。ルーティングルールでは ext:geosite_custom.dat:category の形式で参照します。",
"dontRefresh": "インストール中、このページをリロードしないでください",
"logs": "ログ",
"accessLogs": "アクセスログ",
"autoUpdate": "自動更新",
"amneziawgLogs": "AmneziaWG ログ",
"amneziawgHandshake": "最終ハンドシェイク",
"amneziawgInterface": "インターフェース",
"amneziawgInbound": "インバウンド",
"amneziawgEndpoint": "エンドポイント",
"amneziawgIdle": "アイドル",
"amneziawgEvents": "イベント",
"amneziawgNoPeers": "稼働中の AmneziaWG ピアはありません",
"amneziawgNoEvents": "AmneziaWG のイベントはまだ記録されていません",
"config": "設定",
"backupTitle": "バックアップと復元",
"exportDatabase": "バックアップ",
"exportDatabaseDesc": "クリックして、現在のデータベースのバックアップを含む .db ファイルをデバイスにダウンロードします。同じファイルは PostgreSQL で動作するパネルにも復元できます。",
"importDatabase": "復元",
"importDatabaseDesc": "クリックして、デバイスから .db バックアップまたは移行ダンプ (.dump) を選択し、アップロードしてデータベースを復元します。",
"importDatabaseSuccess": "データベースのインポートに成功しました",
"importDatabaseError": "データベースのインポート中にエラーが発生しました",
"readDatabaseError": "データベースの読み取り中にエラーが発生しました",
"getDatabaseError": "データベースの取得中にエラーが発生しました",
"getConfigError": "設定ファイルの取得中にエラーが発生しました",
"backupPostgresNote": "このパネルは PostgreSQL で動作しています。「バックアップ」は pg_dump アーカイブ (.dump) をダウンロードし、「復元」は pg_restore で読み込み直します。「復元」は SQLite データベース (.db) や SQLite 移行ダンプも受け付け、そのデータを PostgreSQL に取り込みます。サーバーに PostgreSQL クライアントツール (pg_dump と pg_restore) がインストールされている必要があります。",
"exportDatabasePgDesc": "現在のデータベースの PostgreSQL ダンプ (.dump) を端末にダウンロードするにはクリックしてください。",
"importDatabasePgDesc": "データベースを復元するために PostgreSQL バックアップ (.dump)、SQLite データベース (.db)、または SQLite 移行ダンプを選択してアップロードするにはクリックしてください。現在のすべてのデータが置き換えられます。",
"migrationDownload": "移行ファイルをダウンロード",
"migrationDownloadPgDesc": "PostgreSQL のデータから作成した .db SQLite データベースをダウンロードします。このパネルを SQLite で実行する準備が整います。",
"avg": "平均",
"peak": "ピーク",
"free": "空き",
"openSockets": "オープンソケット",
"throughputSub": "インターフェース合計",
"avgWindow": "期間平均",
"healthWarm": "{list} — 高めです",
"healthCritical": "{list} — 危険水準",
"panel": "パネル",
"threads": "スレッド",
"uptime": "稼働時間",
"logLevelDebug": "Debug",
"logLevelInfo": "Info",
"logLevelNotice": "Notice",
"logLevelWarning": "Warning",
"logLevelError": "Error",
"accessDirect": "DIRECT",
"accessBlocked": "BLOCKED",
"accessProxy": "PROXY",
"importKeepHostSettings": "このマシンの設定を保持する",
"importKeepHostSettingsDesc": "アップロードしたファイルの値ではなく、このパネルのリッスンアドレス、ポート、ベースパス、証明書、ノード ID を保持します。"
},
"inbounds": {
"totalDownUp": "総アップロード / ダウンロード",
"totalUsage": "総使用量",
"inboundCount": "インバウンド数",
"operate": "メニュー",
"enable": "有効化",
"remark": "備考",
"node": "ノード",
"deployTo": "デプロイ先",
"localPanel": "ローカルパネル",
"fallbacks": {
"title": "Fallbacks",
"empty": "フォールバックはまだありません",
"add": "フォールバックを追加",
"pickInbound": "インバウンドを選択",
"matchAny": "任意",
"destPlaceholder": "自動（子の listen:port）",
"needsTls": "フォールバックは、セキュリティタブで TLS または Reality を選択すると設定できます（RAW 上の VLESS/Trojan のみ）。"
},
"protocol": "プロトコル",
"port": "ポート",
"portMap": "ポートマッピング",
"traffic": "トラフィック",
"speed": "速度",
"expireDate": "有効期限",
"createdAt": "作成",
"updatedAt": "更新",
"resetTraffic": "トラフィックをリセット",
"addInbound": "インバウンド追加",
"generalActions": "一般操作",
"modifyInbound": "インバウンド修正",
"deleteConfirmTitle": "インバウンド「{remark}」を削除しますか？",
"deleteConfirmContent": "インバウンドと関連付けされたすべてのクライアントを削除します。元に戻せません。",
"resetConfirmTitle": "「{remark}」のトラフィックをリセットしますか？",
"resetConfirmContent": "このインバウンドの送受信カウンタを 0 にリセットします。",
"selectedCount": "{count} 選択中",
"selectAll": "すべて選択",
"bulkDeleteConfirmTitle": "{count} 件のインバウンドを削除しますか？",
"bulkDeleteConfirmContent": "選択したインバウンドと関連付けされたすべてのクライアントを削除します。元に戻せません。",
"cloneConfirmTitle": "インバウンド「{remark}」を複製しますか？",
"cloneConfirmContent": "新しいポートと空のクライアント一覧でコピーを作成します。",
"delAllClients": "すべてのクライアントを削除",
"delAllClientsConfirmTitle": "「{remark}」から {count} 件のクライアントをすべて削除しますか？",
"delAllClientsConfirmContent": "このインバウンドからすべてのクライアントを削除し、トラフィックレコードも破棄します。インバウンド自体は保持されます。この操作は取り消せません。",
"attachClients": "クライアントをアタッチ…",
"addClientsToGroup": "クライアントをグループに追加…",
"attachClientsTitle": "「{remark}」のクライアントをアタッチ",
"attachClientsDesc": "同じ {count} クライアント(同じ UUID/パスワードと共有トラフィック)を選択したインバウンドにアタッチします。このインバウンドにも残ります。",
"attachClientsTargets": "ターゲットインバウンド",
"attachClientsNoTargets": "アタッチ可能な互換インバウンドがありません。",
"attachClientsResult": "アタッチ {attached}、スキップ {skipped}。",
"attachClientsResultMixed": "アタッチ {attached}、スキップ {skipped}、エラー {errors}。",
"attachClientsSelectLabel": "アタッチするクライアント",
"attachClientsSearchPlaceholder": "メールまたはコメントを検索",
"attachClientsStatusDisabled": "無効",
"attachClientsSelectedCount": "{total} 中 {selected} 選択中",
"attachExistingClients": "既存のクライアントをアタッチ…",
"attachExistingTitle": "「{remark}」に既存のクライアントをアタッチ",
"attachExistingDesc": "既存のクライアント({count} 件)をこのインバウンドにアタッチします — 同じ UUID/パスワードと共有トラフィック。すでにアタッチ済みのクライアントはスキップされます。",
"attachExistingNoClients": "クライアントがまだありません。先にクライアントを作成してから、ここでアタッチしてください。",
"attachExistingStatusAttached": "アタッチ済み",
"detachClients": "クライアントをデタッチ",
"detachClientsTitle": "「{remark}」のクライアントをデタッチ",
"detachClientsDesc": "選択したクライアントをこのインバウンドのみから外します。クライアントレコードは保持されます (完全に削除するには Delete を使用)。ソースには合計 {count} クライアントがあります。",
"detachClientsResult": "デタッチ {detached}、スキップ {skipped}。",
"detachClientsResultMixed": "デタッチ {detached}、スキップ {skipped}、エラー {errors}。",
"detachClientsSelectLabel": "デタッチするクライアント",
"exportLinksTitle": "インバウンドリンクのエクスポート",
"exportSubsTitle": "サブスクリプションリンクのエクスポート",
"exportAllLinksTitle": "全インバウンドリンクのエクスポート",
"exportAllSubsTitle": "全サブスクリプションリンクのエクスポート",
"exportAllLinksFileName": "全インバウンド",
"exportAllSubsFileName": "全インバウンド-Subs",
"inboundJsonTitle": "インバウンド JSON",
"resetTrafficContent": "トラフィックをリセットしてもよろしいですか？",
"copyLink": "リンクをコピー",
"address": "アドレス",
"network": "ネットワーク",
"destinationPort": "宛先ポート",
"targetAddress": "宛先アドレス",
"monitorDesc": "空白にするとすべてのIPを監視",
"meansNoLimit": "= 無制限。(単位: GB)",
"totalFlow": "総トラフィック",
"leaveBlankToNeverExpire": "空白にすると期限なし",
"certificatePath": "ファイルパス",
"certificateContent": "ファイル内容",
"publicKey": "公開鍵",
"privatekey": "秘密鍵",
"client": "クライアント",
"export": "リンクエクスポート",
"clone": "複製",
"resetAllTraffic": "すべてのインバウンドトラフィックをリセット",
"resetAllTrafficTitle": "すべてのインバウンドトラフィックをリセット",
"resetAllTrafficContent": "すべてのインバウンドトラフィックをリセットしてもよろしいですか？",
"email": "メール",
"IPLimit": "IP制限",
"IPLimitlog": "IPログ",
"IPLimitlogclear": "ログをクリア",
"setDefaultCert": "パネル設定から証明書を設定",
"setDefaultCertEmpty": "パネル用の証明書が設定されていません。先に設定から指定してください。",
"streamTab": "ストリーム",
"securityTab": "セキュリティ",
"sniffingTab": "スニッフィング",
"sniffingMetadataOnly": "メタデータのみ",
"sniffingRouteOnly": "ルーティングのみ",
"sniffingIpsExcluded": "除外する IP",
"sniffingDomainsExcluded": "除外するドメイン",
"decryption": "復号",
"encryption": "暗号化",
"vlessAuthX25519": "X25519 (native)",
"vlessAuthMlkem768": "ML-KEM-768 (native)",
"vlessAuthX25519Xorpub": "X25519 (xorpub)",
"vlessAuthX25519Random": "X25519 (random)",
"vlessAuthMlkem768Xorpub": "ML-KEM-768 (xorpub)",
"vlessAuthMlkem768Random": "ML-KEM-768 (random)",
"vlessAuthCustom": "カスタム",
"vlessAuthSelected": "選択中: {auth}",
"vlessAuthGenerate": "鍵を生成",
"vlessAuthGenerateButton": "生成",
"advanced": {
"title": "インバウンド JSON セクション",
"subtitle": "インバウンド全体の JSON と、settings、sniffing、streamSettings 用の専用エディター。",
"all": "すべて",
"allHelp": "すべてのフィールドを含むインバウンドオブジェクト全体を 1 つのエディターで編集します。",
"settings": "設定",
"settingsHelp": "Xray settings ブロックのラッパー:",
"sniffing": "Sniffing",
"sniffingHelp": "Xray sniffing ブロックのラッパー:",
"stream": "Stream",
"streamHelp": "Xray stream ブロックのラッパー:"
},
"subSortIndex": "サブ並び順",
"inboundInfo": "インバウンド情報",
"exportInbound": "インバウンドルールをエクスポート",
"import": "インポート",
"importInbound": "インバウンドルールをインポート",
"periodicTrafficResetTitle": "トラフィックリセット",
"periodicTrafficResetDay": "毎月のリセット日",
"periodicTrafficReset": {
"never": "なし",
"daily": "毎日",
"weekly": "毎週",
"monthly": "毎月",
"hourly": "毎時"
},
"toasts": {
"obtain": "取得",
"updateSuccess": "更新が成功しました",
"logCleanSuccess": "ログがクリアされました",
"inboundUpdateSuccess": "インバウンドが正常に更新されました",
"inboundCreateSuccess": "インバウンドが正常に作成されました",
"bulkDeleted": "{count} 件のインバウンドを削除しました",
"bulkDeletedMixed": "{ok} 件削除、{failed} 件失敗",
"clonedMany": "{count} 件のインバウンドを複製しました",
"clonedMixed": "{ok} 件複製、{failed} 件失敗",
"inboundDeleteSuccess": "インバウンドが正常に削除されました",
"inboundClientAddSuccess": "インバウンドクライアントが追加されました",
"inboundClientDeleteSuccess": "インバウンドクライアントが削除されました",
"inboundClientUpdateSuccess": "インバウンドクライアントが更新されました",
"savedNodeOfflineWillSync": "ローカルに保存しました。バックエンドのノードがオフラインまたは無効になっています — 再接続後に変更が同期されます。",
"resetAllClientTrafficSuccess": "クライアントのすべてのトラフィックがリセットされました",
"resetAllTrafficSuccess": "すべてのトラフィックがリセットされました",
"resetInboundClientTrafficSuccess": "トラフィックがリセットされました",
"resetInboundTrafficSuccess": "受信トラフィックがリセットされました",
"trafficGetError": "トラフィックの取得中にエラーが発生しました",
"getNewX25519CertError": "X25519証明書の取得中にエラーが発生しました。",
"getNewmldsa65Error": "mldsa65証明書の取得中にエラーが発生しました。",
"getNewVlessEncError": "VlessEnc証明書の取得中にエラーが発生しました。",
"scanRealityTargetError": "REALITY ターゲットのスキャンに失敗しました。",
"scanRealityTargetFeasible": "ターゲットは利用可能です — ターゲットと SNI を入力しました。",
"scanRealityTargetNotFeasible": "ターゲットには到達できますが、REALITY には利用できません。",
"scanRealityTargetPrivate": "ターゲットは利用可能ですが、プライベート/ローカルネットワーク上にあります。",
"invalidClientField": "クライアント {client}: フィールド {field} — {reason}",
"invalidField": "{field} — {reason}",
"moreIssues": "{message} (他 {count} 件)"
},
"form": {
"echSockopt": "ECH Sockopt",
"echSockoptTip": "Xray が ECH config リストを取得するために使用する接続のソケットオプション（例: ルックアップを dialerProxy アウトバウンド経由にする）。既定値を使う場合は無効のままにします。",
"curvePreferences": "曲線の優先設定",
"curvePreferencesTip": "サーバーが提供する TLS 鍵交換の曲線を優先順位順に制限します（例: X25519MLKEM768, X25519）。空欄にすると Xray-core の既定値を使用します。",
"masterKeyLog": "マスターキーログ",
"masterKeyLogTip": "Wireshark でのデバッグ用に TLS マスターキー（SSLKEYLOGFILE 形式）を書き出すパス。本番環境では空欄にしてください — このファイルを持つ者は誰でも通信を復号できます。",
"verifyPeerCertByName": "名前でピア証明書を検証",
"verifyPeerCertByNameTip": "クライアントに対し、SNI ではなくこの名前でサーバー証明書を検証するよう指示します。名前はカンマ区切り。パネル専用 — 共有リンクに含まれます（vcn）。2026-06-01 以降 Xray が削除した allowInsecure の最新の代替手段です。",
"pinFromCert": "このインバウンドの証明書から入力",
"pinFromRemote": "SNI に ping して（xray tls ping）ハッシュを取得",
"pinFromRemoteNoSni": "まず SNI (serverName) を設定してリモート証明書に ping してください。",
"pinFromRemoteFailed": "リモート証明書のハッシュを取得できませんでした。",
"limitFallback": "Fallback を制限",
"limitFallbackUpload": "Fallback アップロードを制限",
"limitFallbackDownload": "Fallback ダウンロードを制限",
"afterBytes": "閾値バイト",
"afterBytesTip": "このバイト数までは fallback を全速で実行し、その後でスロットリングを開始します。0 = 最初のバイトからスロットリングします。",
"bytesPerSec": "バイト/秒",
"bytesPerSecTip": "閾値を超えた fallback トラフィックに適用される速度上限（バイト/秒）。プローブがサーバーを対象先への無料帯域として悪用できないようにします。0 = 無制限（この方向を無効化します）。",
"burstBytesPerSec": "バースト バイト/秒",
"burstBytesPerSecTip": "定常レートを超える短時間のバーストの許容量（token-bucket のサイズ）。バイト/秒より小さい場合は同じ値まで引き上げられます。",
"moveUp": "上へ",
"moveDown": "下へ",
"addAll": "すべて追加",
"addAllFallbackTooltip": "まだ接続されていないすべての対象インバウンドに対し fallback 行を追加",
"peers": "Peers",
"addPeer": "peer を追加",
"keepAlive": "Keep-alive",
"autoSystemRoutesTooltip": "Windows のみ。CIDR はシステムルーティングテーブルに自動追加され、一致するトラフィックは TUN を経由します。",
"autoOutboundsInterface": "自動アウトバウンドインターフェース",
"autoOutboundsInterfaceTooltip": "アウトバウンドトラフィック用の物理インターフェース。検出には 'auto' を使用; Auto system routes が設定されていると自動的に有効。",
"rewriteAddress": "アドレス書き換え",
"rewritePort": "ポート書き換え",
"allowedNetwork": "許可されたネットワーク",
"followRedirect": "リダイレクトに従う",
"accounts": "アカウント",
"allowTransparent": "透過を許可",
"encryptionMethod": "暗号化方式",
"fakeTlsDomain": "FakeTLS ドメイン (SNI)",
"mtprotoSecret": "シークレット",
"mtgDomainFrontingIp": "ドメインフロンティング IP",
"mtgDomainFrontingPort": "ドメインフロンティング ポート",
"mtgDomainFrontingProxyProtocol": "ドメインフロンティング PROXY プロトコル",
"mtgDomainFrontingHint": "mtg が Telegram 以外のトラフィックを転送する先 — 例: あなたの NGINX ダミーサイト。IP を空欄にすると DNS 経由で FakeTLS ドメインを使用します。デフォルトポートは 443 です。",
"mtgProxyProtocolListener": "PROXY プロトコルを受け入れる（リスナー）",
"mtgPreferIp": "IP の優先設定",
"mtgDebug": "デバッグログ",
"mtgRouteThroughXray": "Xray 経由でルーティング",
"mtgRouteThroughXrayHint": "このプロキシの Telegram トラフィックを Xray 経由にして、ルーティングルールに従わせます。mtg サイドカーは、この受信のタグを付けたループバック SOCKS ブリッジ経由で接続します。高度なルールでは、ルーティングタブでそのタグを参照してください。",
"mtgRouteOutbound": "アウトバウンド",
"mtgRouteOutboundHint": "任意。Telegram トラフィックをこのアウトバウンド（またはバランサー）から強制的に送出します。空欄にするとルーティングルールに従います。",
"mtgRouteOutboundPlaceholder": "ルーティングルールを使用",
"mtprotoFakeTlsDomainHint": "新しいクライアントのシークレット生成に使う既定の FakeTLS ドメイン。クライアントごとに別のドメインを使用できます。",
"mtgThrottleMaxConnections": "最大接続数",
"mtgThrottleMaxConnectionsHint": "全ユーザーの同時接続数を公平配分で制限します。0 で無効。",
"mtgAdTagInvalid": "広告タグは正確に 32 文字の 16 進数である必要があります。",
"mtgPublicIpv4": "パブリック IPv4",
"mtgPublicIpv6": "パブリック IPv6",
"mtgPublicIpHint": "広告タグの中間プロキシが使用する、このサーバーの到達可能なパブリックアドレス。空欄にすると mtg が自動検出します。",
"visionTestseed": "Vision testseed",
"version": "バージョン",
"udpIdleTimeout": "UDP idle timeout (秒)",
"masquerade": "Masquerade",
"type": "種類",
"upstreamUrl": "Upstream URL",
"rewriteHost": "Host 書き換え",
"skipTlsVerify": "TLS 検証をスキップ",
"directory": "ディレクトリ",
"statusCode": "ステータスコード",
"body": "Body",
"headers": "ヘッダー",
"proxyProtocol": "Proxy Protocol",
"requestVersion": "リクエストバージョン",
"requestMethod": "リクエストメソッド",
"requestPath": "リクエストパス",
"requestHeaders": "リクエストヘッダー",
"responseVersion": "レスポンスバージョン",
"responseStatus": "レスポンスステータス",
"responseReason": "レスポンス理由",
"responseHeaders": "レスポンスヘッダー",
"heartbeatPeriod": "ハートビート間隔",
"serviceName": "サービス名",
"authority": "Authority",
"multiMode": "Multi Mode",
"maxBufferedUpload": "最大バッファアップロード",
"maxUploadSize": "最大アップロードサイズ (バイト)",
"streamUpServer": "Stream-Up Server",
"serverMaxHeaderBytes": "サーバー最大ヘッダーバイト",
"paddingBytes": "Padding バイト",
"uplinkHttpMethod": "Uplink HTTP メソッド",
"paddingObfsMode": "Padding 難読化モード",
"paddingKey": "Padding Key",
"paddingHeader": "Padding Header",
"paddingPlacement": "Padding 配置",
"paddingMethod": "Padding 方法",
"sessionPlacement": "Session Placement",
"sessionKey": "Session Key",
"sessionIDTable": "セッション ID テーブル",
"sessionIDTableHint": "セッション ID 生成に使う文字セット：定義済みの名前（ALPHABET、Base62、hex、number など）またはリテラル ASCII 文字列。空欄で xray-core の既定値を使用します。",
"sessionIDLength": "セッション ID の長さ",
"sessionIDLengthHint": "生成するセッション ID の長さまたは範囲（例: 8-16）。セッション ID テーブルを設定したときのみ有効です。最小値は 0 より大きい必要があります。",
"sequencePlacement": "Sequence Placement",
"sequenceKey": "Sequence Key",
"uplinkDataPlacement": "Uplink Data Placement",
"uplinkDataKey": "Uplink Data Key",
"noSseHeader": "SSE ヘッダーなし",
"ttiMs": "TTI (ms)",
"uplinkMbps": "アップリンク (MB/s)",
"downlinkMbps": "ダウンリンク (MB/s)",
"cwndMultiplier": "CWND 倍率",
"maxSendingWindow": "最大送信ウィンドウ",
"externalProxy": "外部プロキシ",
"forceTls": "TLS を強制",
"fingerprint": "Fingerprint",
"defaultOption": "デフォルト",
"routeMark": "Route Mark",
"tcpKeepAliveInterval": "TCP Keep Alive Interval",
"tcpKeepAliveIdle": "TCP Keep Alive Idle",
"tcpMaxSeg": "TCP Max Seg",
"tcpUserTimeout": "TCP User Timeout",
"tcpWindowClamp": "TCP Window Clamp",
"tcpWindowClampHint": "OS のデフォルトを使うには 0 のままにします。0 以外の値は通知される TCP 受信ウィンドウを制限し、600（Xray ドキュメントの例）のような値は高遅延リンクでスループットを大きく低下させることがあります。",
"tcpFastOpen": "TCP Fast Open",
"multipathTcp": "Multipath TCP",
"penetrate": "Penetrate",
"v6Only": "V6 のみ",
"tcpCongestion": "TCP Congestion",
"dialerProxy": "Dialer Proxy",
"trustedXForwardedFor": "信頼できる X-Forwarded-For",
"trustedXForwardedForHint": "実際のクライアント IP を取得するためにこのリクエストヘッダーを信頼します（例: Cloudflare CDN の背後の CF-Connecting-IP）。WebSocket、HTTPUpgrade、XHTTP、gRPC トランスポートでのみ有効です。空欄にすると転送ヘッダーを無視します。",
"proxyProtocolHint": "PROXY protocol ヘッダーを受け入れ、上流の L4 トンネル/リレー（HAProxy、gost、nginx-stream、Xray dokodemo-door）または Cloudflare Spectrum から実際のクライアント IP を取得します。上流は必ず PROXY protocol を送信する必要があります。TCP、WebSocket、HTTPUpgrade、gRPC で動作します。mKCP では動作しません。",
"realClientIp": "実際のクライアント IP",
"realClientIpHint": "トラフィックが CDN やリレーを経由してこのインバウンドに到達したときに、中継ノードのアドレスではなく訪問者の実際の IP を取得します。プリセットを選ぶと、下の対応する sockopt フィールドが自動入力されます。これらのフィールドはサブスクリプションでクライアントに送信されることはありません。",
"realClientIpPresetOff": "オフ / 直接",
"realClientIpPresetCloudflare": "Cloudflare CDN",
"realClientIpPresetProxyProtocol": "L4 リレー / Spectrum (PROXY)",
"realClientIpTrustedHeaderTransportWarn": "Trusted X-Forwarded-For は WebSocket、HTTPUpgrade、XHTTP でのみ有効です。現在のトランスポートではこのヘッダーは無視されます。",
"realClientIpProxyProtocolTransportWarn": "PROXY protocol はこのトランスポート（mKCP）ではサポートされていません。TCP/RAW、WebSocket、HTTPUpgrade、gRPC、または XHTTP を使用してください。",
"addressPortStrategy": "アドレス+ポート戦略",
"tryDelayMs": "試行遅延 (ms)",
"prioritizeIPv6": "IPv6 優先",
"interleave": "Interleave",
"maxConcurrentTry": "最大同時試行",
"customSockopt": "カスタム sockopt",
"addCustomOption": "カスタムオプション追加",
"serverNameIndication": "SNI",
"cipherSuites": "Cipher Suites",
"autoOption": "自動",
"minMaxVersion": "最小/最大バージョン",
"rejectUnknownSni": "未知の SNI を拒否",
"disableSystemRoot": "System Root を無効化",
"sessionResumption": "セッション再開",
"oneTimeLoading": "一度のみ読み込み",
"usageOption": "使用オプション",
"buildChain": "Build Chain",
"echKey": "ECH key",
"echConfig": "ECH config",
"pinnedPeerCertSha256": "ピン留めピア証明書 SHA-256",
"pinnedPeerCertSha256Tip": "ピア証明書の SHA-256 ハッシュ（16進数文字列、例: e8e2d3…）、カンマ区切り。パネルのみ — サーバーの xray 設定には書き込まれませんが、共有リンクには含まれ、クライアントが証明書をピン留めできます。",
"pinnedPeerCertSha256Placeholder": "16進ハッシュ、カンマ区切り",
"getNewEchCert": "新しい ECH 証明書を取得",
"show": "表示",
"xver": "Xver",
"target": "ターゲット",
"maxTimeDiff": "最大時間差 (ms)",
"minClientVer": "最小クライアントバージョン",
"maxClientVer": "最大クライアントバージョン",
"minClientVerHint": "空欄は無制限ではありません。Xray-core は実行中のコアに組み込まれた最低バージョン（現行リリースでは 26.3.27）を適用し、それより古いバージョンを名乗るクライアント（Mihomo や sing-box などのサードパーティコアを含む）を拒否します。1.0.0 を設定すると許可されますが、古い TLS フィンガープリントも受け入れることになります。",
"maxClientVerHint": "空欄は上限なしを意味します。設定する場合は実効的な下限（最小クライアントバージョン。その欄が空欄の場合は Xray-core 組み込みの最低バージョン）を下回らないでください。下回るとすべてのクライアントが拒否されます。",
"clientVerInvalid": "クライアントバージョンはドット区切りの数値（最大 3 つ、各 0-255）で指定してください（例：26.3.27）",
"maxClientVerBelowMin": "最大クライアントバージョンは最小クライアントバージョンを下回れません",
"shortIds": "Short IDs",
"realityTargetHint": "必須です。ポートを含める必要があります（例: example.com:443）。ポートがないと Xray-core は起動しません。",
"realityTargetRequired": "REALITY ターゲットは必須です",
"realityTargetNeedsPort": "REALITY ターゲットにはポートを含める必要があります（例: example.com:443）",
"realityTargetInvalidPort": "REALITY ターゲットのポートが無効です",
"scan": "スキャン",
"findTargets": "ターゲットを検索",
"scanModalTitle": "REALITY ターゲットスキャナー",
"scanModalDesc": "ドメインを検証するか、IP / CIDR 範囲をスキャンして証明書から新しい REALITY ターゲットを発見します。空欄のままにすると一般的な候補を検査します。",
"scanDiscoverPlaceholder": "IP、CIDR、またはドメイン — 空欄で一般的な候補",
"scanStatus": "ステータス",
"scanFeasible": "利用可能",
"scanNotFeasible": "利用不可",
"scanCurve": "鍵交換",
"scanCert": "証明書",
"scanCertInvalid": "信頼できません",
"scanCertExpiry": "証明書の有効期限",
"scanSniUsed": "使用した SNI",
"scanPrivateNote": "プライベート/ローカルネットワーク経由で確認しました。このアドレスはインターネットからは到達できません。",
"scanPrivateConfirmTitle": "ローカルネットワーク上のターゲット",
"scanPrivateConfirmContent": "「{target}」はプライベートまたはループバックアドレスに解決されます。このプローブに限りパネルの SSRF 保護をバイパスします。続行しますか？",
"scanLatency": "レイテンシ",
"scanUse": "使用",
"scanRescan": "再スキャン",
"spiderX": "SpiderX",
"spiderXHint": "クライアントごとのシード。パネルはこれから各クライアント固有の spx パスを生成します。再生成で全員のパスを更新します",
"getNewCert": "新しい証明書を取得",
"mldsa65Seed": "mldsa65 Seed",
"mldsa65Verify": "mldsa65 Verify",
"getNewSeed": "新しい Seed を取得",
"listenHelp": "TCP ポートの代わりに Unix ソケットのパス（例: /run/xray/in.sock）、または @ を先頭に付けた抽象ソケット名（例: @xray/in.sock）を入力してソケットでリッスンすることもできます。その場合はポートを 0 に設定してください。",
"shareAddrStrategy": "共有アドレス戦略",
"shareAddrStrategyHelp": "エクスポートされる共有リンク、QRコード、サブスクリプション出力に書き込むアドレスを制御します。",
"shareAddr": "カスタム共有アドレス",
"shareAddrHelp": "共有アドレス戦略がカスタムの場合のみ使用されます。スキームやポートを含めずにホスト名またはIPを入力してください。",
"subSortIndex": "サブスクリプションでの並び順",
"subSortIndexHelp": "サブスクリプション出力（サブスクリプションページおよびクライアントアプリ）におけるこのインバウンドのリンクの位置。値が小さいほど先頭に表示され、同じ値の場合は作成順が維持されます。パネルのインバウンド一覧には影響しません。",
"disableFlow": "XTLS フローを無効化",
"disableFlowHelp": "トランスポートが flow に対応している場合でも（例: VLESS 暗号化付きのトンネル化された XHTTP インバウンド）、このインバウンドを xtls-rprx-vision の自動付与から除外します。クライアントは同じサブスクリプション内の他の対応インバウンドでは Vision を維持します。VLESS のみ。",
"shareAddrStrategyOptions": {
"node": "ノードアドレス",
"listen": "インバウンドのリッスンアドレス",
"custom": "カスタム"
}
},
"info": {
"mode": "モード",
"grpcServiceName": "grpc serviceName",
"grpcMultiMode": "grpc multiMode",
"interfaceName": "インターフェース名",
"mtu": "MTU",
"gateway": "Gateway",
"dns": "DNS",
"outboundsInterface": "アウトバウンドインターフェース",
"autoSystemRoutes": "自動システムルート",
"followRedirect": "FollowRedirect",
"auth": "Auth",
"noKernelTun": "非カーネル TUN",
"keepAlive": "Keep alive",
"peerNumber": "Peer {n}",
"peerNumberConfig": "Peer {n} 設定"
},
"sniffingDestOverride": "宛先のオーバーライド"
},
"clients": {
"tabBasics": "基本",
"tabCredentials": "認証情報",
"tabLinks": "リンク",
"wireguardConfig": "WireGuard 設定",
"config": "設定",
"linksHint": "サードパーティの共有リンクやリモートのサブスクリプションURLを追加して、このクライアントのサブスクリプションに含めます。",
"addExternalLink": "外部リンクを追加",
"addExternalSubscription": "外部サブスクリプションを追加",
"noExternalLinks": "外部リンクはまだありません。",
"noExternalSubscriptions": "外部サブスクリプションはまだありません。",
"namePrefix": "名前の接頭辞",
"lastFetchAt": "最終取得",
"lastFetchError": "取得エラー",
"neverFetched": "未取得",
"submitEdit": "変更を保存",
"clientCount": "クライアント数",
"bulk": "一括追加",
"selectAll": "すべて選択",
"clearAll": "すべてクリア",
"method": "メソッド",
"first": "最初",
"last": "最後",
"ipLog": "IP ログ",
"prefix": "プレフィックス",
"postfix": "サフィックス",
"delayedStart": "初回使用から開始",
"expireDays": "期間 (日)",
"renew": "自動更新",
"renewDesc": "有効期限切れ後に自動更新します。(0 = 無効) (単位: 日)",
"renewDays": "自動更新 (日)",
"searchPlaceholder": "メール、コメント、sub ID、UUID、パスワード、auth、Telegram ID を検索…",
"filterTitle": "クライアントをフィルタ",
"clearAllFilters": "すべてクリア",
"filters": {
"nodes": "ノード",
"localPanel": "ローカル（このパネル）"
},
"showingCount": "{total} 件中 {shown} 件を表示",
"sortOldest": "古い順",
"sortNewest": "新しい順",
"sortRecentlyUpdated": "最近更新",
"sortRecentlyOnline": "最近オンライン",
"sortEmailAZ": "メール A→Z",
"sortEmailZA": "メール Z→A",
"sortMostTraffic": "トラフィック多い順",
"sortHighestRemaining": "残量多い順",
"sortExpiringSoonest": "もうすぐ期限切れ",
"has": "あり",
"hasNot": "なし",
"actions": "操作",
"totalGB": "トラフィック上限 (GB)",
"totalGBDesc": "このクライアントのデータ割当量。0 = 無制限。",
"expiryTime": "有効期限",
"addClients": "クライアントを追加",
"limitIp": "IP 制限",
"limitIpDesc": "同時接続 IP の最大数。0 = 無制限。",
"limitHwid": "HWID 制限",
"limitHwidDesc": "サブスクリプション要求で登録できる最大デバイス数。0 = 無制限。",
"hwidLog": "HWID デバイス",
"hwidDevice": "登録済みデバイス",
"noHwids": "HWID デバイスはまだありません",
"firstSeen": "初回確認",
"lastSeen": "最終確認",
"deleteHwid": "デバイスを削除",
"deleteHwidConfirm": "このデバイスを削除しますか?次回のサブスクリプション取得時に再登録が必要になります。",
"hwidDeleted": "デバイスを削除しました。",
"clearHwidsConfirm": "登録済みのすべてのデバイスを削除しますか?各デバイスは次回のサブスクリプション取得時に再登録が必要になります。",
"limitIpFail2banMissing": "Fail2ban がインストールされていないため、IP 制限を適用できません。このオプションを有効にするには、x-ui の bash メニューから Fail2ban をインストールしてください。",
"limitIpFail2banWindows": "Windows では Fail2ban を利用できないため、IP 制限を適用できません。",
"limitIpDisabled": "このサーバーでは IP 制限機能が無効になっています。",
"password": "パスワード",
"passwordDesc": "Trojan と Shadowsocks のクライアントのみが使用します。VLESS、VMess、Hysteria、WireGuard では無視されます。",
"subId": "サブスクリプション ID",
"online": "オンライン",
"email": "メール",
"emailInvalidChars": "メールアドレスにスペース、'/'、'\\'、または制御文字を含めることはできません",
"subIdInvalidChars": "サブスクリプションIDにスペース、'/'、'\\'、または制御文字を含めることはできません",
"group": "グループ",
"groupDesc": "関連クライアントをまとめる論理ラベル(チーム、顧客、地域など)。ツールバーからフィルタ可能。",
"groupPlaceholder": "例: customer-a",
"comment": "コメント",
"traffic": "トラフィック",
"speed": "速度",
"offline": "オフライン",
"addClient": "クライアントを追加",
"qrCode": "QR コード",
"clientInfo": "クライアント情報",
"editClient": "クライアントを編集",
"client": "クライアント",
"enabled": "有効",
"remaining": "残量",
"duration": "期間",
"attachedInbounds": "関連付けされたインバウンド",
"selectInbound": "1 つ以上のインバウンドを選択",
"selectAllInbounds": "すべて選択",
"clearAllInbounds": "すべてクリア",
"noSubId": "このクライアントには subId がなく、共有可能なリンクはありません。",
"noLinks": "共有可能なリンクがありません — まずこのクライアントを対応するプロトコルのインバウンドに関連付けてください。",
"link": "リンク",
"resetNotPossible": "まずこのクライアントをインバウンドに関連付けてください。",
"resetAllTraffics": "すべてのクライアントのトラフィックをリセット",
"resetAllTrafficsTitle": "すべてのクライアントのトラフィックをリセットしますか?",
"resetAllTrafficsContent": "すべてのクライアントの送受信カウンターがゼロにリセットされます。クォータと有効期限には影響しません。元に戻せません。",
"deleteConfirmTitle": "クライアント {email} を削除しますか?",
"deleteConfirmContent": "クライアントを関連付けされたすべてのインバウンドから削除し、トラフィック記録も破棄します。元に戻せません。",
"adjustSelected": "調整 ({count})",
"subLinksSelected": "サブリンク ({count})",
"addToGroupTitle": "{count} クライアントをグループに追加",
"addToGroupTooltip": "既存のグループを選ぶか新しい名前を入力してください。Ungroup で現在のグループから外せます。",
"groupName": "グループ名",
"addToGroupSuccessToast": "{count} クライアントを {group} に追加しました",
"ungroupSuccessToast": "{count} クライアントのグループをクリアしました",
"ungroup": "グループ解除",
"ungroupConfirmTitle": "{count} クライアントをグループから外しますか?",
"ungroupConfirmContent": "選択したクライアントのグループラベルをクリアします。クライアント自体は保持されます (完全に削除するには Delete を使用)。",
"addToGroup": "グループに追加",
"attach": "アタッチ",
"adjust": "調整",
"subLinks": "サブリンク",
"enable": "有効化",
"disable": "無効化",
"bulkEnableConfirmTitle": "{count} 件のクライアントを有効化しますか?",
"bulkEnableConfirmContent": "選択した各クライアントを、接続されているすべてのインバウンドで有効化します。クォータを使い切ったクライアントや有効期限が過ぎたクライアントは、自動的に再度無効化されます。",
"bulkDisableConfirmTitle": "{count} 件のクライアントを無効化しますか?",
"bulkDisableConfirmContent": "選択した各クライアントを、接続されているすべてのインバウンドで無効化します。アクセスはすぐに失われますが、記録とトラフィックは保持されます。",
"selectedCount": "{count} 選択中",
"attachToInboundsTitle": "{count} クライアントをインバウンドにアタッチ",
"attachToInboundsDesc": "選択した {count} クライアント(同じ UUID/パスワードと共有トラフィック)を選択したインバウンドにアタッチします。既存のアタッチは維持されます。",
"attachToInboundsTargets": "ターゲットインバウンド",
"attachToInboundsNoTargets": "アタッチ可能なマルチユーザーインバウンドがありません。",
"detach": "デタッチ",
"detachFromInboundsTitle": "{count} クライアントをインバウンドからデタッチ",
"detachFromInboundsDesc": "選択した {count} クライアントを選択したインバウンドから外します。アタッチされていなかったペアは黙ってスキップされます。クライアントレコードは保持されます (完全に削除するには Delete を使用)。",
"detachFromInboundsTargets": "デタッチ対象のインバウンド",
"detachFromInboundsNoTargets": "マルチユーザーインバウンドがありません。",
"detachFromInboundsResult": "デタッチ {detached}、スキップ {skipped}。",
"detachFromInboundsResultMixed": "デタッチ {detached}、スキップ {skipped}、エラー {errors}。",
"subLinksTitle": "サブリンク ({count})",
"subLinkColumn": "サブスクリプション URL",
"subJsonLinkColumn": "サブスクリプション JSON URL",
"subLinksCopyAll": "すべてコピー",
"subLinksCopiedAll": "{count} リンクをコピーしました",
"subLinksEmpty": "選択したクライアントにはサブスクリプション ID がありません。",
"subLinksDisabled": "サブスクリプションサービスは無効です。",
"subLinksDisabledHint": "リンクを生成するにはパネル設定 → サブスクリプションで有効にしてください。",
"bulkDeleteConfirmTitle": "{count} 件のクライアントを削除しますか?",
"bulkDeleteConfirmContent": "選択された各クライアントを関連付けされたすべてのインバウンドから削除し、トラフィック記録も破棄します。元に戻せません。",
"bulkAdjustTitle": "{count} 件のクライアントを調整",
"bulkAdjustHint": "正の値は延長、負の値は短縮します。無期限の有効期限または無制限のトラフィックを持つクライアントは、その項目についてスキップされます。",
"bulkAdjustNothing": "適用する前に日数またはトラフィックを設定してください。",
"addDays": "日数を追加",
"addTrafficGB": "トラフィックを追加 (GB)",
"bulkFlow": "Flow を設定",
"bulkFlowNoChange": "変更なし",
"bulkFlowDisable": "無効化 (flow をクリア)",
"delDepleted": "使い切ったクライアントを削除",
"delDepletedConfirmTitle": "使い切ったクライアントを削除しますか?",
"delDepletedConfirmContent": "トラフィック上限に達したか有効期限が切れたクライアントをすべて削除します。元に戻せません。",
"exportClients": "クライアントをエクスポート",
"importClients": "クライアントをインポート",
"import": "インポート",
"delOrphans": "未アタッチのクライアントを削除",
"delOrphansConfirmTitle": "インバウンドのないクライアントを削除しますか?",
"delOrphansConfirmContent": "どのインバウンドにもアタッチされていないクライアントを、そのトラフィック記録とともにすべて削除します。元に戻せません。",
"auth": "Auth",
"hysteriaAuth": "Hysteria Auth",
"hysteriaAuthDesc": "Hysteria クライアントのみが使用する認証情報です。Trojan と Shadowsocks は代わりに「パスワード」フィールドを使用します。",
"uuid": "UUID",
"flow": "Flow",
"vmessSecurity": "VMess セキュリティ",
"wireguardPrivateKey": "WireGuard 秘密鍵",
"wireguardPublicKey": "WireGuard 公開鍵",
"wireguardPreSharedKey": "WireGuard 事前共有鍵",
"wireguardAllowedIPs": "WireGuard 許可IP",
"wireguardAllowedIPsHint": "空欄で自動割り当て。複数指定はカンマ区切り",
"amneziaWgPrivateKey": "AmneziaWG 秘密鍵",
"amneziaWgPublicKey": "AmneziaWG 公開鍵",
"amneziaWgPreSharedKey": "AmneziaWG 事前共有鍵",
"amneziaWgAllowedIPs": "AmneziaWG 許可IP",
"amneziaWgAllowedIPsHint": "空欄で自動割り当て。複数指定はカンマ区切り",
"amneziaWgForwardedPorts": "転送ポート",
"amneziaWgForwardedPortsHint": "このクライアントに転送するポート/範囲。例: 80, 443, 8000-8100。空欄で転送なし。",
"amneziaWgConfig": "AmneziaWG 設定",
"mtprotoSecret": "MTProto シークレット",
"mtprotoSecretHint": "このクライアントの FakeTLS シークレット。変更するには再生成します。",
"mtprotoAdTag": "広告タグ（スポンサーチャンネル）",
"mtprotoAdTagHint": "Telegram のプロキシ登録で取得する任意の 32 文字の 16 進数タグ。設定すると、このクライアントは Telegram の中間プロキシ経由でルーティングされ、スポンサーチャンネルがチャット一覧の先頭に表示されます。",
"reverseTag": "Reverse tag",
"reverseTagPlaceholder": "任意の Reverse tag",
"telegramId": "Telegram ユーザー ID",
"telegramIdPlaceholder": "数値の Telegram ユーザー ID (0 = なし)",
"ipLimit": "IP 制限",
"toasts": {
"deleted": "クライアントを削除しました",
"trafficReset": "トラフィックをリセットしました",
"allTrafficsReset": "すべてのクライアントのトラフィックをリセットしました",
"bulkDeleted": "{count} 件のクライアントを削除しました",
"bulkDeletedMixed": "{ok} 件削除、{failed} 件失敗",
"bulkEnabled": "{count} 件のクライアントを有効化しました",
"bulkEnabledMixed": "{ok} 件有効化、{failed} 件失敗",
"bulkDisabled": "{count} 件のクライアントを無効化しました",
"bulkDisabledMixed": "{ok} 件無効化、{failed} 件失敗",
"bulkCreated": "{count} 件のクライアントを作成しました",
"bulkCreatedMixed": "{ok} 件作成、{failed} 件失敗",
"bulkAdjusted": "{count} 件のクライアントを調整しました",
"bulkAdjustedMixed": "{ok} 件調整、{skipped} 件スキップ",
"delDepleted": "使い切った {count} 件のクライアントを削除しました",
"delOrphans": "未アタッチの {count} 件のクライアントを削除しました",
"imported": "{count} 件のクライアントをインポートしました",
"importedMixed": "{ok} 件インポート、{failed} 件スキップ"
},
"renewMax": "最大更新回数",
"renewMaxDesc": "自動更新が実行される最大回数です。これを超えるとクライアントはそのまま失効します。0 は無制限。複数の未処理期間をまとめて処理する場合、1 期間につき 1 回消費します。",
"renewOnDay": "更新する日",
"renewOnDayDesc": "毎月この日の深夜（パネルのタイムゾーン基準）に更新します。N 日ごとの更新の代わりになります。その日が存在しない月は月末に更新されます。0 で日数間隔モードのままになります。",
"renewsUsed": "使用済み更新回数"
},
"groups": {
"name": "名前",
"clientCount": "クライアント",
"totalGroups": "グループ合計",
"totalGroupedClients": "グループのあるクライアント",
"trafficUsed": "使用済みトラフィック",
"upload": "アップロード",
"download": "ダウンロード",
"totalTraffic": "合計トラフィック",
"totalUpDown": "合計アップロード / ダウンロード",
"addGroup": "グループ追加",
"createSuccess": "グループ「{name}」を作成しました。",
"rename": "名前変更",
"renameTitle": "{name} の名前を変更",
"renameCollision": "「{name}」という名前のグループは既に存在します。",
"renameSuccess": "{count} クライアントのグループ名を変更しました。",
"deleteConfirmTitle": "グループ {name} を削除?",
"deleteConfirmContent": "これはグループを削除し、{count} クライアントのラベルをクリアします。クライアント自体は削除されません。",
"deleteSuccess": "{count} クライアントのグループをクリアしました。",
"resetTraffic": "トラフィックをリセット",
"resetConfirmTitle": "グループ {name} のトラフィックをリセット?",
"resetConfirmContent": "グループのトラフィックカウンターのみをリセットします。個々のクライアントのカウンターには影響しません。",
"resetSuccess": "グループ {name} のトラフィックをリセットしました。",
"adjustSuccess": "{name} 内の {count} クライアントを調整しました。",
"emptyForAction": "このグループにはまだクライアントがありません。",
"deleteGroupOnly": "グループ削除 (クライアントは保持)",
"deleteClients": "グループのクライアントを削除",
"deleteClientsConfirmTitle": "{name} 内のすべてのクライアントを削除?",
"deleteClientsConfirmContent": "これは {count} クライアントとそのトラフィック記録を永久に削除します。グループラベルもクリアされます。取り消せません。",
"deleteClientsSuccess": "{count} クライアントを削除しました。",
"deleteClientsMixed": "{ok} 削除、{failed} スキップ",
"addToGroup": "クライアントを追加…",
"addToGroupTitle": "グループ「{name}」にクライアントを追加",
"addToGroupDesc": "このグループに追加するクライアントを選択してください。既存のインバウンドアタッチは保持され、グループラベルのみ変更されます。すでにこのグループにいるクライアントは表示されません。",
"addToGroupEmpty": "追加可能な他のクライアントはありません。",
"addToGroupResult": "{count} クライアントを {name} に追加しました。",
"removeFromGroup": "クライアントを削除…",
"removeFromGroupTitle": "グループ「{name}」からクライアントを削除",
"removeFromGroupDesc": "このグループから外すメンバーを選択してください。クライアント自体は保持されます (完全に削除するには「グループのクライアントを削除」を使用)。",
"removeFromGroupResult": "{count} クライアントを {name} から外しました。"
},
"nodes": {
"addNode": "ノードを追加",
"editNode": "ノード編集",
"totalNodes": "ノード総数",
"onlineNodes": "オンライン",
"offlineNodes": "オフライン",
"avgLatency": "平均レイテンシ",
"name": "名前",
"namePlaceholder": "例: de-frankfurt-1",
"addressPlaceholder": "panel.example.com または 1.2.3.4",
"remark": "備考",
"scheme": "スキーム",
"address": "アドレス",
"port": "ポート",
"basePath": "ベースパス",
"apiToken": "API トークン",
"apiTokenPlaceholder": "リモートパネルの設定ページから取得したトークン",
"apiTokenHint": "リモートパネルでは、セキュリティ設定 → APIトークン でAPIトークンを確認できます。",
"apiTokenKeepHint": "現在のトークンを保持するには空欄のままにします",
"allowPrivateAddress": "プライベートアドレスを許可",
"allowPrivateAddressHint": "プライベートネットワークまたはVPN上のノードにのみ有効にします。",
"outboundTag": "接続アウトバウンド",
"outboundTagHint": "選択した Xray アウトバウンドを経由して、このノードのパネル API トラフィックをルーティングします。ループバック ブリッジ inbound は実行中の設定に自動的に追加され、リアルタイムで適用されます。空のままにすると直接接続になります。",
"outboundTagPlaceholder": "直接接続",
"inboundSyncMode": "インバウンドのインポート",
"inboundSyncModeHint": "このノードからインポートするインバウンドを選択します。既存のノードは既定ですべてをインポートします。",
"allInbounds": "すべてのインバウンド",
"selectedInbounds": "選択したインバウンド",
"inboundTags": "インバウンド",
"inboundTagsHint": "インバウンドタグで照合します。何も選択しない場合はインポートされません。",
"inboundTagsPlaceholder": "インバウンドを読み込んで選択",
"loadInbounds": "ノードからインバウンドを読み込む",
"inboundsLoaded": "{{count}}件のインバウンドを読み込みました",
"inboundsLoadFailed": "インバウンドを読み込めませんでした",
"enable": "有効",
"status": "ステータス",
"cpu": "CPU",
"mem": "メモリ",
"netUp": "送信 (KB/s)",
"netDown": "受信 (KB/s)",
"uptime": "稼働時間",
"latency": "レイテンシ",
"lastHeartbeat": "最後のハートビート",
"xrayVersion": "Xrayバージョン",
"panelVersion": "パネルのバージョン",
"actions": "操作",
"probe": "今すぐプローブ",
"updatePanel": "パネルを更新",
"updateSelected": "選択を更新 ({count})",
"updateAvailable": "更新あり",
"updateConfirmTitle": "{count} 個のノードを最新バージョンに更新しますか？",
"updateConfirmContent": "選択した各ノードは最新リリースをダウンロードして再起動します。有効かつオンラインのノードのみが更新されます。",
"updateDevChannel": "開発チャンネルに更新（最新コミット）",
"testConnection": "接続テスト",
"connectionOk": "接続OK ({ms} ms)",
"connectionFailed": "接続に失敗しました",
"never": "なし",
"justNow": "たった今",
"subNode": "サブノード",
"subNodeTip": "読み取り専用: {parent} を経由して到達する下位ノードです。{parent} 自身のパネルから管理してください。",
"deleteConfirmTitle": "ノード「{name}」を削除しますか？",
"deleteConfirmContent": "ノードの監視を停止します。リモートパネル自体には影響しません。",
"statusValues": {
"online": "オンライン",
"offline": "オフライン",
"unknown": "不明",
"xrayError": "Xray エラー",
"xrayStopped": "停止"
},
"toasts": {
"list": "ノードの読み込みに失敗しました",
"obtain": "ノードの読み込みに失敗しました",
"add": "ノードを追加",
"update": "ノードを更新",
"delete": "ノードを削除",
"deleted": "ノードを削除しました",
"test": "接続テスト",
"fillRequired": "名前、アドレス、ポート、APIトークンは必須です",
"probeFailed": "プローブに失敗しました",
"updateStarted": "パネルの更新を開始しました",
"updateResult": "{ok} 個のノードで更新を開始、{failed} 個失敗",
"updateNoneEligible": "オンラインで有効なノードを少なくとも1つ選択してください",
"saveMtls": "ノード mTLS を保存",
"reloadMtls": "Reload master mTLS credential"
},
"tlsVerifyMode": "TLS 検証",
"tlsVerifyModeHint": "パネルがノードの HTTPS 証明書を検証する方法。ピン留めやスキップは自己署名証明書向け（https ノードのみ）。",
"tlsVerify": "検証（既定の CA）",
"tlsPin": "証明書をピン留め（SHA-256）",
"tlsSkip": "検証をスキップ",
"tlsMtls": "相互 TLS（クライアント証明書）",
"mtlsFormHint": "このノードはクライアント証明書でパネルを認証します。「ノード mTLS」セクションからこのパネルの CA をノードにコピーし、信頼する CA を設定してから再起動してください。",
"mtls": {
"title": "ノード mTLS",
"intro": "相互 TLS は、ノード間通信で API トークンに加えてクライアント証明書による認証を追加します。任意です。空のままにするとトークンのみの認証になります。",
"copyCa": "このパネルの CA をコピー",
"copyCaHint": "この CA を、このパネルが管理するノードに渡し、それらの TLS 検証を相互 TLS に設定してください。",
"caCopied": "CA 証明書をクリップボードにコピーしました",
"caFailed": "CA 証明書を取得できませんでした",
"trustLabel": "信頼する親 CA",
"trustHint": "このパネル自体がノードである場合は、管理元パネルの CA をここに貼り付けて、そのクライアント証明書を必須にします。適用するにはパネルを再起動してください。",
"trustPlaceholder": "-----BEGIN CERTIFICATE-----",
"save": "信頼する CA を保存",
"saved": "信頼する CA を保存しました — 適用するにはパネルを再起動してください"
},
"tlsSkipWarning": "検証をスキップすると中間者攻撃への保護がなくなり、API トークンが傍受される恐れがあります。証明書のピン留めを推奨します。",
"pinnedCert": "ピン留め証明書の SHA-256",
"pinnedCertHint": "ノード証明書の SHA-256（base64 または hex）。「取得」でノードから今すぐ読み取れます。",
"pinnedCertPlaceholder": "base64 または hex の SHA-256",
"fetchPin": "取得",
"pinFetched": "ノードの現在の証明書を取得しました",
"pinFetchFailed": "証明書を取得できませんでした"
},
"settings": {
"defaultTag": "デフォルト",
"title": "パネル設定",
"save": "保存",
"infoDesc": "ここでのすべての変更は、保存してパネルを再起動する必要があります",
"restartPanel": "パネルを再起動",
"restartPanelDesc": "パネルを再起動してもよろしいですか？再起動後にパネルにアクセスできない場合は、サーバーでパネルログを確認してください",
"restartPanelSuccess": "パネルの再起動に成功しました",
"actions": "操作",
"resetDefaultConfig": "デフォルト設定にリセット",
"panelSettings": "一般",
"securitySettings": "セキュリティ設定",
"securityWarnings": "セキュリティ警告",
"panelExposed": "パネルが露出している可能性があります:",
"warnHttp": "パネルが平文 HTTP で提供されています — 本番環境には TLS を設定してください。",
"warnDefaultPort": "デフォルトポート 2053 はよく知られています — ランダムなポートに変更してください。",
"warnDefaultBasePath": "デフォルトのベースパス \"/\" はよく知られています — ランダムなパスに変更してください。",
"warnDefaultSubPath": "デフォルトのサブスクリプションパス \"/sub/\" はよく知られています — 変更してください。",
"warnDefaultJsonPath": "デフォルトの JSON サブスクリプションパス \"/json/\" はよく知られています — 変更してください。",
"TGBotSettings": "Telegram Bot",
"panelListeningIP": "パネル監視IP",
"panelListeningIPDesc": "デフォルトではすべてのIPを監視する",
"panelListeningDomain": "パネル監視ドメイン",
"panelListeningDomainDesc": "デフォルトで空白の場合、すべてのドメインとIPアドレスを監視する",
"panelPort": "パネル監視ポート",
"panelPortDesc": "再起動で有効",
"publicKeyPath": "パネル証明書公開鍵ファイルパス",
"publicKeyPathDesc": "'/'で始まる絶対パスを入力",
"privateKeyPath": "パネル証明書秘密鍵ファイルパス",
"privateKeyPathDesc": "'/'で始まる絶対パスを入力",
"panelUrlPath": "URI パス",
"panelUrlPathDesc": "'/'で始まり、'/'で終わる必要があります",
"pageSize": "ページサイズ",
"pageSizeDesc": "インバウンドテーブルのページサイズを定義します。0を設定すると無効化されます",
"panelOutbound": "パネルトラフィックのアウトバウンド",
"panelOutboundDesc": "パネル自体のリクエスト (パネル/Xray のバージョンチェックとダウンロード、Telegram、通常の geo ファイル更新) をこの Xray アウトバウンド経由でルーティングし、サーバー側の GitHub/Telegram フィルタリングを回避します。ローカルのブリッジインバウンドが実行中の設定に自動的に追加され、ライブで適用されます。Xray ネイティブの Geodata 自動更新は影響を受けません。専用のダウンロードアウトバウンドを持ちます。直接接続するには空のままにします。",
"panelOutboundPh": "直接接続",
"datepicker": "日付ピッカー",
"datepickerPlaceholder": "日付を選択",
"datepickerDescription": "日付選択カレンダーで有効期限を指定する",
"oldUsername": "旧ユーザー名",
"currentPassword": "旧パスワード",
"newUsername": "新しいユーザー名",
"newPassword": "新しいパスワード",
"telegramBotEnable": "Telegramボットを有効にする",
"telegramBotEnableDesc": "Telegramボット機能を有効にする",
"telegramToken": "Telegram トークン",
"telegramTokenDesc": "'{'@'}BotFather'から取得したTelegramボットトークン",
"telegramProxy": "SOCKS プロキシ",
"telegramProxyDesc": "SOCKS5プロキシを有効にしてTelegramに接続する（ガイドに従って設定を調整）",
"telegramAPIServer": "Telegram API サーバー",
"telegramAPIServerDesc": "使用するTelegram APIサーバー。空白の場合はデフォルトサーバーを使用する",
"telegramChatId": "管理者チャットID",
"telegramChatIdDesc": "Telegram管理者チャットID（複数の場合はカンマで区切る）{'@'}userinfobotで取得するか、ボットで'/id'コマンドを使用して取得する",
"telegramNotifyTime": "通知時間",
"telegramNotifyTimeDesc": "Telegram ボットが定期レポートを送信する頻度です。プリセットの間隔を選ぶか、「カスタム」を選んで crontab 式を入力します。",
"notifyTime": {
"every": "@every — 一定間隔で繰り返す",
"hourly": "@hourly — 1時間ごと",
"daily": "@daily — 毎日 00:00",
"weekly": "@weekly — 毎週",
"monthly": "@monthly — 毎月",
"custom": "カスタム (crontab)",
"seconds": "秒",
"minutes": "分",
"hours": "時間",
"interval": "間隔",
"unit": "単位"
},
"tgNotifyBackup": "データベースバックアップ",
"tgNotifyBackupDesc": "レポート付きのデータベースバックアップファイルを送信",
"tgNotifyLogin": "ログイン通知",
"tgNotifyLoginDesc": "誰かがパネルにログインしようとしたときに、ユーザー名、IPアドレス、時間を表示する",
"sessionMaxAge": "セッション期間",
"sessionMaxAgeDesc": "ログイン状態を保持する期間（単位：分）",
"expireTimeDiff": "有効期限通知のしきい値",
"expireTimeDiffDesc": "このしきい値に達した場合、有効期限に関する通知を受け取る（単位：日）",
"trafficDiff": "トラフィック消耗しきい値",
"trafficDiffDesc": "このしきい値に達した場合、トラフィック消耗に関する通知を受け取る（単位：GB）",
"tgNotifyCpu": "CPU負荷通知しきい値",
"tgNotifyCpuDesc": "CPU負荷がこのしきい値を超えた場合、通知を受け取る（単位：%）",
"timeZone": "タイムゾーン",
"timeZoneDesc": "定時タスクはこのタイムゾーンの時間に従って実行される",
"subSettings": "サブスクリプション設定",
"subEnable": "サブスクリプションサービスを有効にする",
"subEnableDesc": "サブスクリプションサービス機能を有効にする",
"subJsonEnable": "JSON サブスクリプションのエンドポイントを個別に有効/無効にする。",
"subJsonEnableTitle": "JSON サブスクリプション",
"subClashEnableTitle": "Clash / Mihomo サブスクリプション",
"subFormatsTipTitle": "形式別サブスクリプション設定",
"subFormatsTipDesc": "JSON と Clash / Mihomo の URL パス、リバース URL、クライアント自動検出を個別に設定します。",
"subFormatsTipAction": "サブスクリプション形式を開く",
"subJsonAutoDetect": "Xray JSON クライアントを自動検出",
"subJsonAutoDetectDesc": "有効にすると、標準サブスクリプション URL を要求する既知の互換クライアントへ Xray JSON 設定配列を自動的に返します。その他のクライアントには従来の raw/Base64 応答を返します。JSON サブスクリプションを有効にし、適用のためにパネルを再起動する必要があります。",
"subJsonAlwaysArray": "常に JSON 配列を返す",
"subJsonAlwaysArrayDesc": "プロファイルが 1 件でも、明示的な JSON サブスクリプションを XTLS 標準に従う配列として返します。自動検出された JSON 応答は常に配列です。無効時は従来の単一オブジェクト応答を維持します。",
"subJsonUserAgentRegex": "Xray JSON User-Agent 正規表現",
"subJsonUserAgentRegexDesc": "標準サブスクリプション URL で Xray JSON 形式を自動選択するため、クライアントの User-Agent と照合する Go RE2 正規表現です。既定では空欄のため、対象とするクライアント向けのパターンを設定するまで自動判別は無効のままです。その他のクライアントには従来の raw/Base64 応答を返します。変更後にパネルを再起動してください。",
"subClashAutoDetect": "Clash/Mihomo クライアントを自動検出",
"subClashAutoDetectDesc": "有効にすると、標準サブスクリプション URL を要求する既知の Clash/Mihomo クライアントへ Clash YAML を自動的に返します。ブラウザには引き続きサブスクリプションページを表示し、その他のクライアントには従来の raw/Base64 応答を返します。明示的な JSON および Clash URL も引き続き利用できます。Clash/Mihomo サブスクリプションを有効にし、適用のためにパネルを再起動する必要があります。",
"subClashUserAgentRegex": "Clash/Mihomo User-Agent 正規表現",
"subClashUserAgentRegexDesc": "標準サブスクリプション URL で Clash/Mihomo クライアントを識別するため、クライアントの User-Agent と照合する Go RE2 正規表現です。空欄の場合は既定のパターンを使用します。変更後にパネルを再起動してください。",
"subTitle": "サブスクリプションタイトル",
"subTitleDesc": "VPNクライアントに表示されるタイトル。クライアント識別トークンをサポートします: {{EMAIL}}, {{ID}}, {{SHORT_ID}}, {{SUB_ID}}, {{TELEGRAM_ID}}。",
"subSupportUrl": "サポートURL",
"subSupportUrlDesc": "VPNクライアントに表示されるテクニカルサポートへのリンク。クライアント識別トークンをサポートします: {{EMAIL}}, {{ID}}, {{SHORT_ID}}, {{SUB_ID}}, {{TELEGRAM_ID}}。",
"subProfileUrl": "プロフィールURL",
"subProfileUrlDesc": "VPNクライアントに表示されるWebサイトへのリンク。クライアント識別トークンをサポートします: {{EMAIL}}, {{ID}}, {{SHORT_ID}}, {{SUB_ID}}, {{TELEGRAM_ID}}。",
"subAnnounce": "お知らせ",
"subAnnounceDesc": "VPNクライアントに表示されるお知らせのテキスト。クライアント識別トークンをサポートします: {{EMAIL}}, {{ID}}, {{SHORT_ID}}, {{SUB_ID}}, {{TELEGRAM_ID}}。",
"subThemeDir": "サブスクリプションテーマディレクトリ",
"subThemeDirDesc": "サブスクリプションページのカスタムテンプレート (index.html/sub.html) を含むフォルダーの絶対パス（例: /etc/3x-ui/sub_templates/my-theme/）。空欄の場合はデフォルトのページを使用します。",
"subThemeDirDocs": "テンプレートガイド ↗",
"subEnableRouting": "ルーティングを有効化",
"subEnableRoutingDesc": "VPNクライアントでルーティングを有効にするためのグローバル設定。(Happのみ)",
"subRoutingRules": "ルーティングルール",
"subRoutingRulesDesc": "完成した happ:// ディープリンク、または永続的な HTTPS URL を入力します。パネルはリモートルールをバックグラウンドで更新し、最後の有効値を保持するため、サブスクリプション要求は取得を待ちません。(Happのみ)",
"subHideSettings": "サーバー設定を非表示",
"subHideSettingsDesc": "VPNクライアントでサーバー設定の表示・編集機能を非表示にします。(Happのみ)",
"subIncyEnableRouting": "ルーティングを有効化",
"subIncyEnableRoutingDesc": "Incyクライアント用に、サブスクリプション本文へルーティングプロファイルを挿入します。(Incyのみ)",
"subIncyRoutingRules": "ルーティングルール",
"subIncyRoutingRulesDesc": "完成した incy:// ディープリンク、または JSON への永続的な HTTPS URL を入力します。Incy は autorouting プロファイルを作成し、自動更新します。(Incyのみ)",
"subClashEnableRouting": "ルーティングを有効化",
"subClashEnableRoutingDesc": "生成されたYAMLサブスクリプションにClash/Mihomoのグローバルルーティングルールを含めます。",
"subClashRoutingRules": "グローバルルーティングルール",
"subClashRoutingRulesDesc": "ルール/YAML、または永続的な HTTPS URL を入力します。パネルはバックグラウンドで更新し、グループ・ルールプロバイダー・ルールのみを取り込み、生成済み VPN ノードと最後の有効値を保持します。",
"subListen": "監視IP",
"subListenDesc": "サブスクリプションサービスが監視するIPアドレス（空白にするとすべてのIPを監視）",
"subPort": "監視ポート",
"subPortDesc": "サブスクリプションサービスが監視するポート番号（使用されていないポートである必要があります）。「リバースプロキシURI」が空の場合、パネルに表示されるサブスクリプションリンク/QRコードの生成にも使われます — サブスクリプションが別のポートのリバースプロキシ経由でアクセスされる場合は、代わりに「リバースプロキシURI」を設定してください。",
"subCertPath": "公開鍵パス",
"subCertPathDesc": "サブスクリプションサービスで使用する公開鍵ファイルのパス（'/'で始まる）",
"subKeyPath": "秘密鍵パス",
"subKeyPathDesc": "サブスクリプションサービスで使用する秘密鍵ファイルのパス（'/'で始まる）",
"subPath": "URI パス",
"subPathDesc": "サブスクリプションサービスで使用するURIパス（'/'で始まり、'/'で終わる）",
"subDomain": "監視ドメイン",
"subDomainDesc": "サブスクリプションサービスが監視するドメイン（空白にするとすべてのドメインとIPを監視）。「リバースプロキシURI」が空の場合、表示されるサブスクリプションリンクのフォールバックドメインとしても使われます — パネルとサブスクリプションが異なるドメイン(例: リバースプロキシの背後)でアクセスされる場合は「リバースプロキシURI」を設定してください。",
"subUpdates": "更新間隔",
"subUpdatesDesc": "クライアントアプリケーションでサブスクリプションURLの更新間隔（単位：時間）",
"subEncrypt": "エンコード",
"subEncryptDesc": "サブスクリプションサービスが返す内容をBase64エンコードする",
"subURI": "リバースプロキシURI",
"subURIDesc": "サブスクリプションリンクとQRコードに使われる完全なベースURL(scheme://domain[:port]/path/)で、監視ドメイン/監視ポートの代わりに使用されます。サブスクリプションがリバースプロキシ経由、または上記と異なるドメイン/ポートでアクセスされる場合に設定してください。",
"externalTrafficInformEnable": "外部トラフィック情報",
"externalTrafficInformEnableDesc": "トラフィック更新ごとに外部 API に通知。",
"externalTrafficInformURI": "外部トラフィック通知 URI",
"externalTrafficInformURIDesc": "トラフィックの更新ごとに外部 API に通知します。",
"restartXrayOnClientDisable": "自動無効化後に Xray を再起動",
"restartXrayOnClientDisableDesc": "有効期限切れまたはトラフィック上限でクライアントが自動的に無効化されたとき、Xray を再起動します。",
"fragment": "フラグメント",
"fragmentDesc": "TLS helloパケットのフラグメントを有効にする",
"fragmentSett": "設定",
"noisesDesc": "Noisesを有効にする",
"noisesSett": "Noises設定",
"trustedProxyCidrs": "信頼できるプロキシ CIDR",
"trustedProxyCidrsDesc": "転送される host、proto、クライアント IP ヘッダーを設定可能な IP/CIDR (カンマ区切り)。",
"ldap": {
"enable": "LDAP 同期を有効化",
"host": "LDAP host",
"port": "LDAP ポート",
"useTls": "TLS (LDAPS) を使用",
"skipTlsVerify": "TLS 証明書の検証をスキップ",
"skipTlsVerifyDesc": "安全ではありません — サーバー証明書の検証を無効化します。内部/信頼できない CA でのみ使用してください。",
"bindDn": "Bind DN",
"passwordConfigured": "設定済み;現在のパスワードを保持するには空のままにします。",
"passwordUnconfigured": "未設定。",
"passwordPlaceholder": "設定済み — 置き換えるには新しい値を入力",
"baseDn": "Base DN",
"userFilter": "ユーザーフィルター",
"userAttr": "ユーザー属性 (username/email)",
"vlessField": "VLESS flag 属性",
"flagField": "汎用 flag 属性 (任意)",
"flagFieldDesc": "設定すると VLESS flag を上書きします — 例: shadowInactive。",
"truthyValues": "Truthy 値",
"truthyValuesDesc": "カンマ区切り;デフォルト: true,1,yes,on",
"invertFlag": "flag を反転",
"invertFlagDesc": "属性が「無効」を意味する場合に有効化 (例: shadowInactive)。",
"syncSchedule": "同期スケジュール",
"syncScheduleDesc": "cron 風の文字列、例 @every 1m",
"inboundTags": "インバウンドタグ",
"inboundTagsDesc": "LDAP 同期がクライアントを自動作成/削除できるインバウンド。",
"noInbounds": "インバウンドが見つかりません。先にインバウンドで作成してください。",
"autoCreate": "クライアントを自動作成",
"autoDelete": "クライアントを自動削除",
"defaultTotalGb": "デフォルト合計 (GB)",
"defaultExpiryDays": "デフォルト有効期限 (日)",
"defaultIpLimit": "デフォルト IP 制限"
},
"subFormats": {
"finalMask": "Final Mask",
"finalMaskDesc": "生成される各 Xray JSON プロファイルへ Xray finalmask の TCP/UDP マスクと QUIC パラメーターを追加します。Xray JSON サブスクリプション対応アプリと新しい Xray コアが必要です。",
"packets": "パケット",
"length": "長さ",
"interval": "間隔",
"maxSplit": "最大分割",
"noises": "ノイズ",
"noiseItem": "ノイズ №{n}",
"type": "種類",
"packet": "パケット",
"delayMs": "遅延 (ms)",
"applyTo": "適用先",
"addNoise": "+ ノイズ",
"concurrency": "並行数",
"xudpConcurrency": "xudp 並行数",
"xudpUdp443": "xudp UDP 443"
},
"mux": "Mux",
"muxDesc": "確立されたストリーム内で複数の独立したストリームを伝送する",
"muxSett": "マルチプレクサ設定",
"direct": "直接接続",
"directDesc": "特定の国のドメインまたはIP範囲に直接接続する",
"notifications": "通知",
"certs": "証明書",
"externalTraffic": "外部トラフィック",
"dateAndTime": "日付と時刻",
"proxyAndServer": "プロキシとサーバー",
"intervals": "間隔",
"information": "情報",
"profile": "プロフィール",
"language": "言語",
"telegramBotLanguage": "Telegram Botの言語",
"security": {
"admin": "管理者の資格情報",
"twoFactor": "二段階認証",
"twoFactorEnable": "2FAを有効化",
"twoFactorEnableDesc": "セキュリティを強化するために追加の認証層を追加します。",
"twoFactorModalSetTitle": "二段階認証を有効にする",
"twoFactorModalDeleteTitle": "二段階認証を無効にする",
"twoFactorModalSteps": "二段階認証を設定するには、次の手順を実行してください:",
"twoFactorModalFirstStep": "1. 認証アプリでこのQRコードをスキャンするか、QRコード近くのトークンをコピーしてアプリに貼り付けます",
"twoFactorModalSecondStep": "2. アプリからコードを入力してください",
"twoFactorModalRemoveStep": "二段階認証を削除するには、アプリからコードを入力してください。",
"twoFactorModalChangeCredentialsTitle": "認証情報の変更",
"twoFactorModalChangeCredentialsStep": "管理者の認証情報を変更するには、アプリケーションからコードを入力してください。",
"twoFactorModalSetSuccess": "二要素認証が正常に設定されました",
"twoFactorModalDeleteSuccess": "二要素認証が正常に削除されました",
"twoFactorModalError": "コードが間違っています",
"show": "表示",
"hide": "非表示",
"apiTokenNew": "新規トークン",
"apiTokenName": "名前",
"apiTokenNamePlaceholder": "例: central-panel-a",
"apiTokenNameRequired": "名前は必須です",
"apiTokenEmpty": "トークンがまだありません — ボットやリモートパネルを認証するために作成してください。",
"apiTokenDeleteWarning": "このトークンを使用しているクライアントは直ちに認証できなくなります。",
"apiTokenCreatedTitle": "トークンを作成しました",
"apiTokenCreatedNotice": "このトークンを今すぐコピーしてください。セキュリティ上、読み取り可能な形式では保存されず、再表示されません。"
},
"toasts": {
"modifySettings": "パラメーターが変更されました。",
"getSettings": "パラメーターの取得中にエラーが発生しました",
"modifyUserError": "管理者認証情報の変更中にエラーが発生しました。",
"modifyUser": "管理者の認証情報を正常に変更しました。",
"originalUserPassIncorrect": "旧ユーザー名または旧パスワードが間違っています",
"userPassMustBeNotEmpty": "新しいユーザー名と新しいパスワードは空にできません",
"getOutboundTrafficError": "送信トラフィックの取得エラー",
"resetOutboundTrafficError": "送信トラフィックのリセットエラー"
},
"smtpSettings": "SMTP設定",
"smtpEnable": "メール通知を有効化",
"smtpEnableDesc": "SMTP経由のメール通知を有効にします",
"smtpHost": "SMTPホスト",
"smtpHostDesc": "SMTPサーバーのホスト名（例: smtp.gmail.com）",
"smtpPort": "SMTPポート",
"smtpPortDesc": "SMTPサーバーのポート（既定値: 587）",
"smtpUsername": "SMTPユーザー名",
"smtpUsernameDesc": "SMTP認証用のユーザー名",
"smtpFrom": "送信元アドレス (From)",
"smtpFromDesc": "メールの From ヘッダーに使用するアドレス。空欄の場合はユーザー名を使用します。",
"smtpFromName": "送信者名 (From)",
"smtpFromNameDesc": "From ヘッダーでアドレスの前に表示される任意の表示名。",
"smtpPassword": "SMTPパスワード",
"smtpPasswordDesc": "SMTP認証用のパスワード",
"smtpTo": "受信者",
"smtpToDesc": "受信者のメールアドレス（カンマ区切り）",
"emailSettings": "メール",
"emailNotifications": "通知",
"smtpEventBusNotify": "メールイベント通知",
"smtpEventBusNotifyDesc": "メール通知をトリガーするイベントを選択してください",
"tgEventBusNotify": "Telegramイベント通知",
"tgEventBusNotifyDesc": "Telegram通知をトリガーするイベントを選択してください",
"testSmtp": "テストメールを送信",
"testTgBot": "テストメッセージを送信",
"eventGroupOutbound": "アウトバウンド",
"eventGroupXray": "Xrayコア",
"eventGroupSystem": "システム",
"eventGroupSecurity": "セキュリティ",
"eventGroupNode": "ノード",
"eventOutboundDown": "ダウン",
"eventOutboundUp": "アップ",
"eventXrayCrash": "クラッシュ",
"eventNodeDown": "ダウン",
"eventNodeUp": "アップ",
"eventCPUHigh": "CPU高負荷（%）",
"requestFailed": "リクエストに失敗しました",
"smtpEncryption": "暗号化",
"smtpEncryptionDesc": "SMTP接続の暗号化方式",
"smtpEncryptionNone": "なし（平文）",
"smtpEncryptionStartTLS": "STARTTLS",
"smtpEncryptionTLS": "TLS（暗黙的）",
"smtpStageConnect": "接続",
"smtpStageAuth": "認証",
"smtpStageSend": "送信",
"smtpTestSuccess": "テストメールを正常に送信しました",
"smtpHostNotConfigured": "SMTPホストが設定されていません",
"smtpNoRecipients": "受信者が設定されていません",
"smtpFromNotConfigured": "SMTP送信者アドレスが設定されていません",
"eventLoginAttempt": "ログイン試行",
"telegramTokenConfigured": "設定済み。現在のトークンを維持する場合は空欄のままにしてください。",
"telegramTokenPlaceholder": "設定済み - 置き換えるには新しいトークンを入力してください",
"smtpPasswordConfigured": "設定済み。現在のパスワードを維持する場合は空欄のままにしてください。",
"smtpPasswordPlaceholder": "設定済み - 置き換えるには新しいパスワードを入力してください",
"smtpNotInitialized": "SMTPが初期化されていません",
"tgBotNotEnabled": "Telegramボットが有効になっていません",
"tgTestFailed": "Telegramのテストに失敗しました",
"tgTestSuccess": "Telegramにテストメッセージを送信しました",
"tgBotNotRunning": "Telegramボットが実行されていません",
"smtpErrorAuth": "認証に失敗しました — ユーザー名とパスワードを確認してください",
"smtpErrorStarttls": "サーバーはSTARTTLSを要求しています — 暗号化方式を変更してください",
"smtpErrorTls": "サーバーはTLSを要求しています — 暗号化方式を変更してください",
"smtpErrorRefused": "接続が拒否されました — ホストとポートを確認してください",
"smtpErrorTimeout": "接続がタイムアウトしました — ホストに到達できません",
"smtpErrorRelay": "サーバーはこのアドレスからの送信を拒否しています",
"smtpErrorEof": "サーバーによって接続が閉じられました",
"smtpErrorUnknown": "SMTPエラー: {{ .Error }}",
"eventMemoryHigh": "メモリ使用率が高い (%)",
"remarkTemplate": "備考テンプレート",
"remarkTemplateDesc": "設定すると、すべてのサブスクリプションリンクの備考モデルを置き換えます — 変数トークンを使って独自の形式を記述してください（ボタンで挿入できます）。空欄にすると上記のモデルが使用されます。",
"subShowIdentityOnAllLinks": "すべてのリンクに識別情報を表示",
"subShowIdentityOnAllLinksDesc": "有効にすると、{{EMAIL}} と {{USERNAME}} がサブスクリプション本文のすべてのリンク備考に残ります。使用量トークンは引き続き最初のリンクのみです。",
"validation": {
"pathLeadingSlash": "パスは / で始まる必要があります"
},
"secretClear": "クリア",
"secretClearUndo": "クリアを取り消す",
"calendarGregorian": "Gregorian (Standard)",
"calendarJalalian": "Jalalian (شمسی)",
"ipLimitAllowlist": "IP 制限の許可リスト",
"ipLimitAllowlistDesc": "IP 制限がカウントもブロックもしないアドレスとネットワーク。オフィスや学内の共有アドレスがクライアントの上限を使い切らないようにします。IP/CIDR (カンマ区切り)。",
"subBalancers": {
"menu": "サブスクリプションバランサー",
"title": "サブスクリプションバランサー",
"add": "バランサーを追加",
"desc": "有効なバランサーは JSON サブスクリプションに追加プロファイルとして加わり、選択したインバウンドのエンドポイントから最適なものを自動選択します。",
"remark": "備考",
"remarkPlaceholder": "自動 · 最速",
"strategy": "方式",
"strategyLeastLoad": "最小負荷",
"strategyLeastPing": "最小 ping",
"strategyRandom": "ランダム",
"strategyRoundRobin": "ラウンドロビン",
"sortOrder": "順序",
"sortOrderHelp": "サブスクリプション一覧内の位置。インバウンドの順序と交互に並び、同番号の場合はインバウンドの後ろになります。",
"inbounds": "インバウンド",
"inboundsCount": "{count} インバウンド",
"enabled": "有効",
"empty": "バランサーはまだありません",
"deleteConfirm": "このバランサーを削除しますか？",
"errRemarkRequired": "備考を入力してください",
"errInboundsRequired": "インバウンドを1つ以上選択してください",
"errSortOrder": "順序は1以上の整数にしてください",
"toasts": {
"list": "サブスクリプションバランサーの一覧取得に失敗しました",
"create": "サブスクリプションバランサーの作成に失敗しました",
"update": "サブスクリプションバランサーの更新に失敗しました",
"delete": "サブスクリプションバランサーの削除に失敗しました",
"invalidId": "無効な id です"
},
"tabBalancers": "負荷分散",
"tabObservatory": "オブザーバトリ",
"observatory": {
"title": "バランサー観測",
"desc": "各 leastPing/leastLoad バランサープロファイルに埋め込む burstObservatory のプローブ設定。random/roundRobin には観測を入れません。パネル全体の JSON サブ設定として保存されます。",
"destination": "プローブ URL",
"destinationDesc": "クライアントが各メンバーアウトバウンドを計測するためのアドレス。",
"connectivity": "接続確認 URL",
"connectivityDesc": "メンバーがプローブ先へ到達できるか一度確認する任意のアドレス。空ならスキップ。",
"interval": "プローブ間隔",
"intervalDesc": "プローブ周期の間隔（例: 1m）。",
"timeout": "プローブタイムアウト",
"timeoutDesc": "1回のプローブのタイムアウト（例: 5s）。",
"sampling": "サンプリング",
"samplingDesc": "安定度を平均するための連続プローブ回数。",
"httpMethod": "HTTP メソッド",
"httpMethodDesc": "プローブ要求に使う HTTP メソッド。",
"note": "leastPing/leastLoad バランサーは常に burstObservatory を持ちます。このスイッチはプローブパラメータをカスタマイズします — オフにすると組み込みのデフォルトを使います。変更はパネルの再起動後に反映されます。"
}
}
},
"xray": {
"importRules": "ルールをインポート",
"exportRules": "ルールをエクスポート",
"importOutbounds": "アウトバウンドをインポート",
"exportOutbounds": "アウトバウンドをエクスポート",
"importInvalidJson": "無効な JSON — 配列、または一致するキーを持つオブジェクトが必要です。",
"metricsListen": "メトリクスエンドポイント",
"metricsListenDesc": "この アドレス:ポート で Xray の Prometheus 形式メトリクスを公開します（例: 127.0.0.1:11111）。空欄にすると無効になります。認証されないため、localhost にバインドしてリバースプロキシ経由で公開してください。",
"metricsTag": "メトリクスタグ",
"save": "保存",
"restartSuccess": "Xrayの再起動に成功しました",
"stopSuccess": "Xrayが正常に停止しました",
"restartError": "Xrayの再起動中にエラーが発生しました。",
"stopError": "Xrayの停止中にエラーが発生しました。",
"basicTemplate": "基本設定",
"advancedTemplate": "高度な設定",
"generalConfigs": "一般設定",
"generalConfigsDesc": "これらのオプションは一般設定を決定します",
"logConfigs": "ログ",
"logConfigsDesc": "ログはサーバーのパフォーマンスに影響を与える可能性があるため、必要な場合にのみ有効にすることをお勧めします",
"basicRouting": "基本ルーティング",
"blockConnectionsConfigsDesc": "これらのオプションにより、特定のリクエスト元の国に基づいてトラフィックをブロックします。",
"directConnectionsConfigsDesc": "直接接続により、特定のトラフィックが他のサーバーを経由しないようにします。",
"blockips": "IPをブロック",
"blockdomains": "ドメインをブロック",
"directips": "直接IP",
"directdomains": "直接ドメイン",
"ipv4Routing": "IPv4 ルーティング",
"ipv4RoutingDesc": "このオプションはIPv4のみを介してターゲットドメインへルーティングします",
"Template": "高度なXray設定テンプレート",
"TemplateDesc": "最終的なXray設定ファイルはこのテンプレートに基づいて生成されます",
"FreedomStrategy": "Freedom プロトコル戦略",
"FreedomStrategyDesc": "Freedomプロトコル内のネットワークの出力戦略を設定する",
"FreedomHappyEyeballs": "Freedom Happy Eyeballs (IPv4/IPv6)",
"FreedomHappyEyeballsDesc": "直接（freedom）アウトバウンドのデュアルスタック接続。IPv4 と IPv6 の両方を持つ出口サーバーで便利です。",
"FreedomHappyEyeballsTryDelayDesc": "別のアドレスファミリを試すまでのミリ秒。150〜250 ms が目安です。",
"RoutingStrategy": "ルーティングドメイン戦略設定",
"RoutingStrategyDesc": "DNS解決の全体的なルーティング戦略を設定する",
"outboundTestUrl": "アウトバウンドテスト URL",
"outboundTestUrlDesc": "アウトバウンド接続テストに使用する URL。既定値",
"Torrent": "BitTorrent プロトコルをブロック",
"Inbounds": "インバウンド",
"Outbounds": "アウトバウンド",
"Balancers": "負荷分散",
"balancerTagRequired": "タグは必須です",
"balancerSelectorRequired": "アウトバウンドを少なくとも1つ選んでください",
"balancerLive": "現在のターゲット",
"balancerOverride": "ターゲット強制",
"balancerOverridePh": "自動（ストラテジー）",
"balancerLiveRefresh": "ロードバランサーのライブ状態を更新",
"balancerNotRunning": "このバランサーは実行中の Xray でアクティブではありません — 変更を保存するか、先に Xray を起動してください",
"routeTester": "ルートテスト",
"routeTesterDesc": "実行中の Xray にどのアウトバウンドが接続を処理するか問い合わせます。実際のトラフィックは送信されません — 判断はライブルーティングエンジンから直接取得されます。",
"routeTesterDest": "ドメインまたは IP",
"routeTesterPort": "ポート",
"routeTesterInbound": "インバウンド",
"routeTesterProtocol": "検出されたプロトコル",
"routeTesterTest": "ルートをテスト",
"routeTesterMatchedOutbound": "マッチしたアウトバウンド",
"routeTesterViaBalancer": "バランサー経由",
"routeTesterDefaultOutbound": "ルーティングルールに一致しませんでした — トラフィックはデフォルト（最初の）アウトバウンドに送られます。",
"Routings": "ルーティングルール",
"completeTemplate": "すべて",
"logLevel": "ログレベル",
"logLevelDesc": "エラーログのレベルを指定し、記録する情報を示します",
"accessLog": "アクセスログ",
"accessLogDesc": "アクセスログのファイルパス。特殊値 'none' はアクセスログを無効にします",
"errorLog": "エラーログ",
"errorLogDesc": "エラーログのファイルパス。特殊値 'none' はエラーログを無効にします",
"dnsLog": "DNS ログ",
"dnsLogDesc": "DNSクエリのログを有効にするかどうか",
"maskAddress": "アドレスをマスク",
"maskAddressDesc": "IPアドレスをマスクし、有効にするとログに表示されるIPアドレスを自動的に置き換えます",
"statistics": "統計",
"statsInboundUplink": "インバウンドアップロード統計",
"statsInboundDownlink": "インバウンドダウンロード統計",
"statsOutboundUplink": "アウトバウンドアップロード統計",
"statsOutboundDownlink": "アウトバウンドダウンロード統計",
"connectionLimits": "接続制限",
"connectionLimitsDesc": "ユーザーレベル0の接続レベルのポリシーです。フィールドを空のままにすると Xray のデフォルト値が使用されます。",
"connIdle": "アイドルタイムアウト",
"connIdleDesc": "接続がこの秒数アイドル状態のままになると接続を閉じます。値を下げると、混雑したサーバーでメモリとファイルディスクリプタをより早く解放できます（Xray のデフォルト: 300）。",
"bufferSize": "バッファサイズ",
"bufferSizeDesc": "接続ごとの内部バッファサイズ（KB単位）。低メモリのサーバーでメモリ使用量を最小限にするには 0 に設定します（Xray のデフォルトはプラットフォームに依存します）。",
"bufferSizePlaceholder": "自動",
"seconds": "秒",
"rules": {
"source": "ソース",
"dest": "宛先アドレス",
"inbound": "インバウンド",
"balancer": "負荷分散",
"useComma": "カンマ区切りの項目"
},
"routing": {
"dragToReorder": "ドラッグして並べ替え"
},
"geoBrowser": {
"title": "geo カテゴリ",
"openTooltip": "geo カテゴリを参照",
"database": "データベース",
"searchCategory": "カテゴリを検索",
"searchEntries": "カテゴリ内を絞り込み",
"selectFound": "検索結果を選択",
"selected": "選択中 {count} 件",
"clearAll": "すべてクリア",
"apply": "適用",
"emptySelection": "カテゴリにチェックを入れると、ルールのトークンになります",
"pickCategory": "左のカテゴリを選ぶと内容が表示されます",
"noMatches": "見つかりませんでした",
"noFiles": "Xray フォルダーに geo データベースがありません",
"noFilesHint": "Xray が geosite.dat と geoip.dat をダウンロードすると表示されます",
"fileMeta": "{count} カテゴリ · {size} · 更新 {date}",
"entriesCount": "{count} 件",
"subnetsCount": "{count} サブネット",
"shownRange": "{total} 件中 {from}–{to} を表示",
"loadFailed": "geo データベースを読み込めませんでした",
"checkFailed": "これらの値を geo データベースと照合できませんでした",
"parseFailed": "ファイルが破損しているか、geosite/geoip データベースではありません",
"tooLarge": "サイズが大きすぎて参照できません",
"unknownCategories": "データベースに存在しません: {tokens}",
"missingDatabase": "データベースファイルが見つかりません: {tokens} — Geodata から追加してください",
"unknownAttribute": "属性が見つからないため、ルールは何にも一致しません: {tokens}",
"invalidToken": "Xray はこの記述を受け付けません: {tokens}",
"wrongKind": "このフィールドには合わないデータベース種別です: {tokens}"
},
"ruleForm": {
"sourceIps": "送信元 IP",
"sourcePort": "送信元ポート",
"vlessRoute": "VLESS ルート",
"attributes": "属性",
"value": "値",
"user": "ユーザー",
"userPlaceholder": "ユーザーを選択",
"userEmpty": "利用可能なユーザーがいません",
"userLoadError": "ユーザーを読み込めませんでした",
"inboundTags": "インバウンドタグ",
"outboundTag": "アウトバウンドタグ",
"balancerTag": "バランサータグ",
"balancerTagTooltip": "設定済みのロードバランサーの1つを通じてトラフィックをルーティング"
},
"outboundForm": {
"tagDuplicate": "このタグは他のアウトバウンドで使用されています",
"tagRequired": "タグは必須です",
"tagPlaceholder": "一意のタグ",
"localIpPlaceholder": "ローカル IP",
"dialerProxyPlaceholder": "経由するアウトバウンドを選択",
"dialerProxyHint": "このアウトバウンドを別のアウトバウンド（タグ指定）経由で接続し、プロキシチェーンを構成します。直接接続する場合は空のままにします。",
"targetStrategyHint": "接続前に宛先ドメインをどう解決するか：AsIs（既定）はそのまま送信、UseIP… は解決を試み失敗時はフォールバック、ForceIP… は解決必須。",
"addressRequired": "アドレスは必須です",
"portRequired": "ポートは必須です",
"optional": "任意",
"udpOverTcp": "UDP over TCP",
"uotVersion": "UoT バージョン",
"inboundTag": "インバウンドタグ",
"inboundTagPlaceholder": "ルーティングルールで使うインバウンドタグ",
"responseType": "レスポンスタイプ",
"rewriteNetwork": "ネットワーク書き換え",
"unchanged": "(変更なし)",
"unchangedAddress": "(変更なし) 例: 1.1.1.1",
"rules": "ルール",
"ruleN": "ルール {n}",
"action": "アクション",
"redirect": "Redirect",
"finalRules": "最終ルール",
"overrideXrayPrivateIp": "Xray のデフォルトプライベート IP ブロックを上書き",
"blockDelay": "ブロック遅延 (ms)",
"reverseSniffing": "逆 sniffing",
"reserved": "予約",
"minUploadInterval": "最小アップロード間隔 (ms)",
"maxUploadSizeBytes": "最大アップロードサイズ (バイト)",
"uplinkChunkSize": "Uplink チャンクサイズ",
"noGrpcHeader": "gRPC ヘッダーなし",
"maxConcurrency": "最大同時実行数",
"maxConnections": "最大接続数",
"maxReuseTimes": "最大再利用回数",
"maxRequestTimes": "最大リクエスト回数",
"maxReusableSecs": "最大再利用秒数",
"keepAlivePeriod": "keep alive 周期",
"authPassword": "Auth パスワード",
"visionTestpre": "Vision testpre",
"serverNamePlaceholder": "サーバー名",
"verifyPeerName": "peer 名を検証",
"pinnedSha256": "Pinned SHA256",
"shortId": "Short ID",
"sockopts": "Sockopts",
"keepAliveInterval": "keep alive 間隔",
"markFwmark": "Mark (fwmark)",
"interface": "インターフェース",
"proxyProtocol": "Proxy protocol",
"tcpUserTimeoutMs": "TCP user timeout (ms)",
"tcpKeepAliveIdleS": "TCP keep-alive idle (秒)"
},
"outbound": {
"tag": "タグ",
"egress": "Egress",
"egressHint": "Run an HTTP test to show egress IP and country.",
"outboundStatus": "アウトバウンドステータス",
"sendThrough": "送信経路",
"targetStrategy": "ターゲット解決戦略",
"modeRealDelay": "実際の遅延",
"testModeTooltip": "TCP: 高速 dial-only プローブ。HTTP: xray を経由した完全リクエスト。実際の遅延: 接続確立を含む合計時間。",
"testAll": "すべてテスト",
"httpStatus": "HTTPステータス",
"breakdownConnect": "プロキシ接続",
"breakdownTls": "アウトバウンド経由のTLS",
"breakdownTtfb": "最初のバイト",
"country": "国",
"server": "サーバー",
"city": "都市",
"allCities": "すべての都市",
"moveToTop": "先頭に移動"
},
"outboundSub": {
"manage": "サブスクリプション",
"title": "アウトバウンドサブスクリプション",
"remark": "備考（任意）",
"remarkPlaceholder": "例: 香港ノード",
"url": "サブスクリプションURL",
"urlPlaceholder": "https://...（リンクのbase64リスト）",
"tagPrefix": "タグのプレフィックス",
"tagPrefixPlaceholder": "hk-",
"interval": "更新間隔",
"hours": "時間",
"minutes": "分",
"intervalHint": "デフォルトは10分です。バックグラウンドジョブは頻繁にチェックしますが、各サブスクリプションは自身の間隔が経過したときにのみ再取得されます。",
"enabled": "有効",
"allowPrivate": "プライベートアドレスを許可",
"allowPrivateHint": "このサブスクリプションのURLに対して、localhost・LAN・プライベートIPへのアクセスを許可します。セキュリティのため既定では無効です。信頼できるローカルソースの場合のみ有効にしてください。",
"prepend": "手動アウトバウンドの前に配置",
"prependHint": "このサブスクリプションのアウトバウンドを、手動で設定したアウトバウンドより前に配置します。これにより、いずれかをデフォルトにできます。",
"preview": "プレビュー",
"previewEmpty": "このURLにはアウトバウンドが見つかりませんでした。",
"refreshAll": "すべて更新",
"statusOk": "OK",
"toastUpdated": "サブスクリプションを更新しました",
"addButton": "追加",
"active": "有効なサブスクリプション",
"empty": "サブスクリプションはまだありません。上から追加してください。",
"colRemark": "備考",
"colLastFetch": "最終取得",
"colEnabled": "有効",
"auto": "自動",
"never": "なし",
"refreshNow": "今すぐ更新",
"deleteConfirm": "このサブスクリプションを削除しますか？",
"restartHint": "追加または更新した後、アウトバウンドを有効にするにはXrayを再起動してください（または次の自動リロードをお待ちください）。",
"fromSubsTitle": "アウトバウンドサブスクリプションから（読み取り専用）",
"fromSubsDesc": "有効なサブスクリプションからインポートされています。上のサブスクリプションパネルで管理してください。",
"toastLoadFailed": "サブスクリプションの読み込みに失敗しました",
"toastUrlRequired": "サブスクリプションURLは必須です",
"toastAdded": "サブスクリプションを追加しました",
"toastAddFailed": "サブスクリプションの追加に失敗しました",
"toastRefreshed": "更新しました",
"toastRefreshFailed": "更新に失敗しました",
"toastDeleted": "削除しました",
"toastDeleteFailed": "削除に失敗しました"
},
"pia": {
"menu": "PIA",
"username": "PIA ユーザー名",
"password": "PIA パスワード",
"account": "アカウント",
"region": "リージョン",
"allRegions": "すべてのリージョン",
"noServers": "選択した国にサーバーがありません",
"outboundAdded": "PIA アウトバウンドを追加しました",
"outboundUpdated": "PIA アウトバウンドを更新しました",
"addedServers": "追加済みサーバー",
"alreadyAdded": "このサーバーは既にアウトバウンド一覧にあります。鍵を更新するには {reset} を使ってください。",
"provisionFailed": "PIA アウトバウンドを作成できませんでした。もう一度お試しください。"
},
"tabBalancerSettings": "バランサー設定",
"tabObservatory": "オブザーバトリ",
"observatory": {
"autoManaged": "オブザーバはバランサーから自動的に管理されます。プローブの方法は下で調整できます。監視対象のアウトバウンドはバランサーのセレクターに従います。",
"emptyHint": "有効な接続オブザーバはありません。Least Ping または Least Load のバランサー、あるいは fallback 付きの Random / Round-robin バランサーを作成すると自動的に追加され、オブザーバを使うバランサーがターゲットを選ぶ前にアウトバウンドの健全性を確認できるようになります。",
"mixedLegacy": "この設定には Observatory と Burst Observatory の両方が含まれています。Xray は単一のグローバルオブザーバを使用するため、この古い混在状態はサポートされません。バランサーを保存すると 1 つのオブザーバに正規化されます。",
"subjectSelector": "監視対象のアウトバウンド",
"subjectSelectorDesc": "このオブザーバがプローブするアウトバウンドのタグ。バランサーから自動的に管理されます。",
"probeURL": "プローブ URL",
"probeURLDesc": "各アウトバウンドを測定するために取得する URL。HTTP 204 を返す必要があります。",
"probeInterval": "プローブ間隔",
"probeIntervalDesc": "各アウトバウンドをプローブする頻度。例: 30s、1m、2h45m。",
"enableConcurrency": "並行プローブ",
"enableConcurrencyDesc": "監視対象のアウトバウンドを1つずつではなく一度にプローブします。高速ですが、ネットワーク上で目立ちます。",
"destination": "プローブ先",
"destinationDesc": "各アウトバウンドを測定するために取得する URL。HTTP 204 を返す必要があります。",
"connectivity": "接続チェック",
"connectivityDesc": "任意のローカルネットワーク確認 URL。プローブ先が失敗した場合にのみ試行されます。空欄でスキップ。",
"interval": "プローブ間隔",
"intervalDesc": "アウトバウンドごとのプローブ間の平均時間。例: 1m。最小 10s。",
"timeout": "プローブ タイムアウト",
"timeoutDesc": "プローブを失敗とみなすまでの待機時間。例: 5s。",
"sampling": "サンプリング数",
"samplingDesc": "各アウトバウンドを評価するために保持する直近のプローブ結果の数。",
"httpMethod": "HTTP メソッド",
"httpMethodDesc": "プローブに使用する HTTP メソッド。",
"deleteAlsoObservatory": "これは Observatory を使用する最後のバランサーのため、こちらも削除されます。",
"deleteAlsoBurst": "これは Burst Observatory を使用する最後のバランサーのため、こちらも削除されます。"
},
"refCleanup": {
"header": "これを削除するとルーティングも更新されます:",
"ruleRemoved": "ルール {label} — 削除（送信先が残っていません）",
"ruleModified": "ルール {label} — 保持（現在は {keeps} を使用）",
"balancerRemoved": "バランサー {tag} — 削除（対象が残っていません）"
},
"balancer": {
"balancerStrategy": "戦略",
"tag": "タグ",
"tagDuplicate": "このタグは他のバランサーで使用されています",
"tagPlaceholder": "一意のバランサータグ",
"selector": "セレクター",
"fallback": "Fallback",
"cycleTooltip": "循環: {path} → ({start} に戻る)",
"expected": "期待値",
"expectedPlaceholder": "最適ノード数",
"maxRtt": "最大 RTT",
"tolerance": "許容範囲",
"baselines": "Baselines",
"costs": "Costs",
"costMatch": "タグパターン",
"costValue": "重み",
"costRegexp": "正規表現で一致",
"balancerDeleteInUse": "このバランサーを削除できません — 以下のバランサーのフォールバックとして使用されています：{names}",
"balancerFallbackCycle": "このバランサーをフォールバックに設定できません — 循環依存が発生します。",
"balancerFallbackInfo": "トラフィックは以下のルートで転送されます：バランサー → Loopback → サーバー → ターゲットバランサー → アウトバウンド。これによりサーバーを経由する追加ホップが発生し、多少の遅延が生じる場合があります。",
"fallbackBalancerHint": "フォールバックとして別のバランサーを選択してください",
"reservedPrefix": "プレフィックス _bl_ はバランサーの内部ループバックオブジェクト用に予約されています"
},
"wireguard": {
"secretKey": "シークレットキー",
"publicKey": "公開鍵",
"subnetIp": "サブネット",
"subnetCidr": "サブネットCIDR",
"allowedIPs": "許可されたIP",
"endpoint": "エンドポイント",
"domainStrategy": "ドメイン戦略"
},
"amneziawg": {
"privateKey": "秘密鍵",
"publicKey": "公開鍵",
"subnetIp": "サブネット",
"subnetCidr": "サブネットCIDR",
"mtu": "MTU",
"primaryDns": "プライマリDNS",
"secondaryDns": "セカンダリDNS",
"externalInterface": "外部インターフェース",
"externalInterfaceHint": "NAT(PostUp/PostDown)に使用するホストのNIC。空欄で自動検出。",
"ipv6Enabled": "IPv6を有効化",
"ipv6Subnet": "IPv6サブネット",
"ipv6SubnetHint": "例: fd86:ea04:1115::/64。IPv6有効時は必須。",
"ipv6ExternalInterface": "IPv6外部NIC",
"ipv6ExternalInterfaceHint": "NDPプロキシエントリに使用するホストのNIC。空欄で外部NICを使用。",
"obfuscation": "難読化パラメータ",
"regenerateObfuscation": "再生成",
"jc": "Jc（ジャンクパケット数）",
"jmin": "Jmin（ジャンクパケット最小サイズ）",
"jmax": "Jmax（ジャンクパケット最大サイズ）",
"s1": "S1（initパケットのパディングサイズ）",
"s2": "S2（responseパケットのパディングサイズ）",
"s3": "S3（cookie replyパディング）",
"s4": "S4（トランスポートパケットパディング）",
"h1": "H1（マジックヘッダー）",
"h2": "H2（マジックヘッダー）",
"h3": "H3（マジックヘッダー）",
"h4": "H4（マジックヘッダー）",
"hHint": "整数または範囲を指定。空欄の場合は従来の1/2/3/4がデフォルトになります。",
"i1": "I1（署名パケット）",
"i1Hint": "任意の署名パケット。空欄の場合は送信しません。",
"i2": "I2（署名パケット）",
"i3": "I3（署名パケット）",
"i4": "I4（署名パケット）",
"i5": "I5（署名パケット）",
"headerProtectionKey": "HeaderProtectionKey（ヘッダー保護）",
"headerProtectionKeyHint": "Base64の32バイト鍵。全クライアントの設定と一致する必要があります。空欄でヘッダー保護を無効にします。",
"contentPaddingAddition": "ContentPaddingAddition（コンテンツパディング）",
"contentPaddingAdditionHint": "整数またはlow-highのバイト範囲をコンテンツパケットに追加します。空欄で無効になります。",
"rekeyAfterTime": "RekeyAfterTime（秒）",
"rekeyTimeout": "RekeyTimeout（秒）",
"rejectAfterTime": "RejectAfterTime（秒）",
"keepaliveTimeout": "KeepaliveTimeout（秒）",
"maxHandshakeAttempts": "MaxHandshakeAttempts",
"timingRangeHint": "整数または範囲を指定。空欄の場合はWireGuardのデフォルトを使用します。",
"maxHandshakeAttemptsHint": "諦めるまでのハンドシェイク再試行回数。空欄でデフォルトになります。",
"randomTrailers": "RandomTrailers",
"randomTrailersHint": "各パケットにランダムなバイトを追加します。両端にAmneziaWG 3.1+が必要です。",
"disableCookies": "DisableCookies",
"disableCookiesHint": "cookie replyを送信しません。DPIの指紋を消しますが、フラッド緩和は弱まります。"
},
"tun": {
"userLevel": "ユーザーレベル"
},
"nord": {
"accessToken": "Access token",
"privateKey": "秘密鍵",
"noServers": "選択した国のサーバーが見つかりません",
"noPublicKey": "選択したサーバーは NordLynx 公開鍵を公開していません。",
"outboundAdded": "NordVPN アウトバウンドを追加しました",
"outboundUpdated": "NordVPN アウトバウンドを更新しました"
},
"warp": {
"changeIp": "IP を変更",
"changeIpSuccess": "WARP の IP を変更しました！",
"autoUpdateIp": "IP アドレスの自動更新",
"intervalDays": "間隔（日）",
"intervalDesc": "0 で無効。IP アドレスを自動的に変更します。",
"licenseError": "WARP ライセンスの設定に失敗しました。",
"fetchFirst": "先に WARP 構成を取得してください。",
"createAccount": "WARP アカウントを作成",
"accessToken": "Access token",
"deviceId": "デバイス ID",
"licenseKey": "ライセンスキー",
"privateKey": "秘密鍵",
"deleteAccount": "アカウントを削除",
"settings": "設定",
"licenseKeyLabel": "WARP / WARP+ ライセンスキー",
"key": "キー",
"keyPlaceholder": "26文字の WARP+ キー",
"accountInfo": "アカウント情報",
"deviceName": "デバイス名",
"deviceModel": "デバイスモデル",
"deviceEnabled": "デバイス有効",
"accountType": "アカウントタイプ",
"role": "役割",
"warpPlusData": "WARP+ データ",
"quota": "クォータ",
"usage": "使用量",
"addOutbound": "アウトバウンドを追加"
},
"dns": {
"enable": "DNSを有効にする",
"enableDesc": "組み込みDNSサーバーを有効にする",
"tag": "DNSインバウンドタグ",
"tagDesc": "このタグはルーティングルールでインバウンドタグとして使用できます",
"clientIp": "クライアントIP",
"clientIpDesc": "DNSクエリ中に指定されたIPの位置をサーバーに通知するために使用されます",
"disableCache": "キャッシュを無効にする",
"disableCacheDesc": "DNSキャッシュを無効にします",
"disableFallback": "フォールバックを無効にする",
"disableFallbackDesc": "フォールバックDNSクエリを無効にします",
"disableFallbackIfMatch": "一致した場合にフォールバックを無効にする",
"disableFallbackIfMatchDesc": "DNSサーバーの一致するドメインリストにヒットした場合、フォールバックDNSクエリを無効にします",
"enableParallelQuery": "並列クエリを有効にする",
"enableParallelQueryDesc": "複数のサーバーへの並列DNSクエリを有効にして、より高速な解決を実現",
"strategy": "クエリ戦略",
"strategyDesc": "ドメイン名解決の全体的な戦略",
"add": "サーバー追加",
"edit": "サーバー編集",
"domains": "ドメイン",
"expectIPs": "期待されるIP",
"unexpectIPs": "予期しないIP",
"useSystemHosts": "システムのHostsを使用",
"useSystemHostsDesc": "インストール済みシステムのhostsファイルを使用する",
"serveStale": "期限切れキャッシュを使用",
"serveStaleDesc": "バックグラウンドで更新中に期限切れキャッシュ結果を返す",
"serveExpiredTTL": "期限切れTTL",
"serveExpiredTTLDesc": "期限切れキャッシュエントリの有効期間（秒）。0 = 無期限",
"timeoutMs": "タイムアウト (ms)",
"skipFallback": "フォールバックをスキップ",
"finalQuery": "最終クエリ",
"hosts": "Hosts",
"hostsAdd": "Host を追加",
"hostsEmpty": "Host が定義されていません",
"hostsDomain": "ドメイン (例: domain:example.com)",
"hostsValues": "IP またはドメイン — 入力して Enter",
"usePreset": "テンプレートを使用",
"dnsPresetTitle": "DNSテンプレート",
"dnsPresetFamily": "ファミリー",
"clearAll": "すべて削除",
"clearAllTitle": "すべての DNS サーバを削除しますか？",
"clearAllConfirm": "リストからすべての DNS サーバが削除されます。この操作は元に戻せません。",
"dnsLeakWarning": "DNS は localhost、暗号化なしの UDP/TCP、ローカルモードの DoH/DoQ、フォールバック問い合わせ、EDNS client IP から漏れる可能性があります。プライバシー重視ではルーティングされた DoH、hosts 固定、フォールバック無効化を使ってください。"
},
"fakedns": {
"add": "フェイクDNS追加",
"ipPool": "IPプールサブネット",
"poolSize": "プールサイズ"
},
"defaultOutbound": "デフォルトアウトバウンド",
"defaultOutboundDesc": "ルーティング規則に一致しないトラフィックはこのアウトバウンドを使います（一覧の先頭）。"
},
"hosts": {
"addHost": "ホストを追加",
"editHost": "ホストを編集",
"selectInbound": "インバウンドを選択",
"selectedCount": "{count} 選択中",
"summary": {
"total": "合計",
"enabled": "有効",
"disabled": "無効"
},
"moveUp": "上へ",
"moveDown": "下へ",
"bulkEnable": "有効化",
"bulkDisable": "無効化",
"bulkDelete": "削除",
"bulkDeleteConfirm": "選択した {count} 件のホストを削除しますか？",
"deleteConfirmTitle": "ホスト「{name}」を削除しますか？",
"sections": {
"basic": "基本",
"security": "セキュリティ",
"advanced": "詳細",
"general": "一般",
"clash": "Clash (mihomo)"
},
"fields": {
"remark": "備考",
"serverDescription": "説明",
"inbound": "インバウンド",
"address": "アドレス",
"port": "ポート",
"endpoint": "エンドポイント",
"enable": "有効化",
"actions": "操作",
"security": "セキュリティ",
"sni": "SNI",
"overrideSniFromAddress": "アドレスを SNI として使用",
"keepSniBlank": "SNI を空のままにする",
"hostHeader": "Host ヘッダー",
"path": "パス",
"alpn": "ALPN",
"fingerprint": "Fingerprint",
"pins": "ピン留め証明書 SHA-256",
"verifyPeerCertByName": "名前でピア証明書を検証",
"allowInsecure": "安全でない接続を許可",
"echConfigList": "ECH config リスト",
"muxParams": "Mux",
"sockoptParams": "Sockopt",
"finalMask": "Final Mask",
"vlessRoute": "VLESS ルート",
"mihomoIpVersion": "IP バージョン",
"mihomoX25519": "Mihomo X25519",
"shuffleHost": "ホストをシャッフル",
"tags": "タグ",
"nodeGuids": "ノード",
"excludeFromSubTypes": "形式から除外",
"inheritAddress": "アドレス継承"
},
"hints": {
"address": "空欄にするとインバウンド自身のアドレスを継承します。",
"port": "0 にするとインバウンドのポートを継承します。",
"tags": "エンドユーザーには表示されません。RAW サブスクリプションでのみ送信されます。大文字、数字、_ と : のみ使用できます。",
"nodeGuids": "このホストから解決されたノードを選択します。視覚的な割り当てのみです。",
"serverDescription": "備考の下に表示される任意のメモ。",
"allowInsecure": "TLS 証明書の検証をスキップします（allowInsecure / skip-cert-verify）。",
"vlessRoute": "UUID に埋め込まれる単一の VLESS ルート値（0〜65535）。例: 443。なしの場合は空欄にします。",
"remark": "このホストのプレーンなラベル。インバウンド自身に備考がない場合にのみ設定名として表示されます。"
},
"remarkVars": {
"title": "テンプレート変数",
"intro": "変数をクリックすると追加されます。サブスクリプション生成時にクライアントごとに置き換えられます。",
"preview": "プレビュー",
"groups": {
"client": "クライアント",
"traffic": "トラフィック",
"time": "時刻とステータス",
"connection": "接続"
},
"descEMAIL": "クライアントのメール",
"descINBOUND": "インバウンド自身の備考（設定名）",
"descHOST": "ホストの備考",
"descID": "クライアント UUID",
"descSHORT_ID": "UUID の最初の 8 文字",
"descTELEGRAM_ID": "クライアントの Telegram ID（未設定の場合は空）",
"descSUB_ID": "サブスクリプション ID",
"descCOMMENT": "クライアントのコメント",
"descTRAFFIC_USED": "使用済みトラフィック（人間が読みやすい形式）",
"descTRAFFIC_LEFT": "残りトラフィック（無制限の場合は非表示）",
"descTRAFFIC_TOTAL": "合計トラフィック（無制限の場合は非表示）",
"descTRAFFIC_USED_BYTES": "使用済みトラフィック（バイト）",
"descTRAFFIC_LEFT_BYTES": "残りトラフィック（バイト）",
"descTRAFFIC_TOTAL_BYTES": "合計トラフィック（バイト）",
"descUP": "アップロードトラフィック",
"descDOWN": "ダウンロードトラフィック",
"descSTATUS": "active / expired / disabled / depleted",
"descSTATUS_EMOJI": "絵文字で表したステータス（✅ ⏳ 🚫）",
"descDAYS_LEFT": "有効期限までの日数（無制限の場合は非表示）",
"descTIME_LEFT": "残り時間（例：12d 4h 30m）",
"descUSAGE_PERCENTAGE": "使用済みトラフィックの割合（無制限の場合は非表示）",
"descEXPIRE_DATE": "有効期限（YYYY-MM-DD）",
"descJALALI_EXPIRE_DATE": "ジャラーリー暦の有効期限（YYYY/MM/DD）",
"descEXPIRE_UNIX": "有効期限の Unix タイムスタンプ（秒）",
"descCREATED_UNIX": "作成時刻の Unix タイムスタンプ（秒）",
"descRESET_DAYS": "トラフィックリセット周期（日数）",
"descRESET_DAY": "毎月の更新日",
"descPROTOCOL": "インバウンドのプロトコル（VLESS、VMess、Trojan など）",
"descTRANSPORT": "トランスポートネットワーク（tcp、ws、grpc など）",
"descSECURITY": "トランスポートのセキュリティ（TLS、REALITY、NONE）"
},
"toasts": {
"list": "ホストの読み込みに失敗しました",
"obtain": "ホストの読み込みに失敗しました",
"add": "ホストを追加",
"update": "ホストを更新",
"delete": "ホストを削除",
"badTag": "無効なタグ",
"badVlessRoute": "0〜65535 の単一の数値を入力してください"
}
}
},
"tgbot": {
"keyboardClosed": "❌ キーボードを閉じました！",
"noResult": "❗ 結果がありません！",
"noQuery": "❌ クエリが見つかりません！コマンドを再利用してください！",
"wentWrong": "❌ 何かがうまくいかなかった！",
"noIpRecord": "❗ IPレコードがありません！",
"noInbounds": "❗ インバウンドが見つかりません！",
"unlimited": "♾ 無制限（リセット）",
"add": "追加",
"month": "月",
"months": "ヶ月",
"days": "日間",
"hours": "時間",
"minutes": "分",
"unknown": "不明",
"inbounds": "インバウンド",
"clients": "クライアント",
"offline": "🔴 オフライン",
"online": "🟢 オンライン",
"commands": {
"unknown": "❗ 不明なコマンド",
"pleaseChoose": "👇 選択してください：\r\n",
"help": "🤖 このボットをご利用いただきありがとうございます！サーバーから特定のデータを提供し、必要な変更を行うことができます。\r\n\r\n",
"start": "👋 こんにちは、<i>{{ .Firstname }}</i>。\r\n",
"welcome": "🤖 <b>{{ .Hostname }}</b> 管理ボットへようこそ。\r\n",
"status": "✅ ボットは正常に動作しています！",
"usage": "❗ 検索するテキストを入力してください！",
"getID": "🆔 あなたのIDは：<code>{{ .ID }}</code>",
"helpAdminCommands": "Xray Coreを再起動するには：\r\n<code>/restart</code>\r\n\r\nクライアントの電子メールを検索するには：\r\n<code>/usage [電子メール]</code>\r\n\r\nインバウンド（クライアントの統計情報を含む）を検索するには：\r\n<code>/inbound [備考]</code>\r\n\r\nTelegramチャットID：\r\n<code>/id</code>",
"helpClientCommands": "統計情報を検索するには、次のコマンドを使用してください：\r\n<code>/usage [電子メール]</code>\r\n\r\nTelegramチャットID：\r\n<code>/id</code>",
"restartUsage": "\r\n\r\n<code>/restart</code>",
"restartSuccess": "✅ 操作成功！",
"restartFailed": "❗ 操作エラー。\r\n\r\n<code>エラー: {{ .Error }}</code>",
"xrayNotRunning": "❗ Xray Core は動作していません。",
"startDesc": "メインメニューを表示",
"helpDesc": "ボットのヘルプ",
"statusDesc": "ボットの状態を確認",
"idDesc": "Telegram IDを表示",
"usageDesc": "クライアント使用量を表示: /usage メール",
"inboundDesc": "インバウンド検索: /inbound 備考（管理者）",
"restartDesc": "Xray コアを再起動（管理者）",
"clearallDesc": "全クライアントのトラフィックをリセット（管理者）"
},
"messages": {
"cpuThreshold": "CPU使用率は{{ .Percent }}%、しきい値{{ .Threshold }}%を超えました",
"selectUserFailed": "❌ ユーザーの選択に失敗しました！",
"userSaved": "✅ Telegramユーザーが保存されました。",
"loginSuccess": "✅ パネルに正常にログインしました。\r\n",
"loginFailed": "❗️ パネルのログインに失敗しました。\r\n",
"report": "🕰 定期報告：{{ .RunTime }}\r\n",
"datetime": "⏰ 日時：{{ .DateTime }}\r\n",
"hostname": "💻 ホスト: {{ .Hostname }}\r\n",
"version": "🚀 X-UI バージョン：{{ .Version }}\r\n",
"xrayVersion": "📡 Xray バージョン: {{ .XrayVersion }}\r\n",
"ipv6": "🌐 IPv6: {{ .IPv6 }}\r\n",
"ipv4": "🌐 IPv4: {{ .IPv4 }}\r\n",
"ip": "🌐 IP: {{ .IP }}\r\n",
"ips": "🔢 IP:\r\n{{ .IPs }}\r\n",
"serverUpTime": "⏳ サーバー稼働時間：{{ .UpTime }} {{ .Unit }}\r\n",
"serverLoad": "📈 サーバー負荷：{{ .Load1 }}, {{ .Load2 }}, {{ .Load3 }}\r\n",
"serverMemory": "📋 RAM: {{ .Current }}/{{ .Total }}\r\n",
"tcpCount": "🔹 TCP: {{ .Count }}\r\n",
"udpCount": "🔸 UDP: {{ .Count }}\r\n",
"traffic": "🚦 トラフィック：{{ .Total }} (↑{{ .Upload }},↓{{ .Download }})\r\n",
"xrayStatus": "ℹ️ ステータス: {{ .State }}\r\n",
"username": "👤 ユーザー名：{{ .Username }}\r\n",
"reason": "❗️ 理由：{{ .Reason }}\r\n",
"time": "⏰ 時間：{{ .Time }}\r\n",
"inbound": "📍 インバウンド: {{ .Remark }}\r\n",
"port": "🔌 ポート: {{ .Port }}\r\n",
"expire": "📅 有効期限：{{ .Time }}\r\n",
"expireIn": "📅 残り時間：{{ .Time }}\r\n",
"active": "💡 有効：{{ .Enable }}\r\n",
"enabled": "🚨 有効化済み：{{ .Enable }}\r\n",
"online": "🌐 接続ステータス：{{ .Status }}\r\n",
"lastOnline": "🔙 最終オンライン: {{ .Time }}\r\n",
"email": "📧 メール: {{ .Email }}\r\n",
"upload": "🔼 アップロード: ↑{{ .Upload }}\r\n",
"download": "🔽 ダウンロード: ↓{{ .Download }}\r\n",
"total": "📊 合計: ↑↓{{ .UpDown }} / {{ .Total }}\r\n",
"TGUser": "👤 Telegramユーザー：{{ .TelegramID }}\r\n",
"exhaustedCount": "🚨 消耗済みの {{ .Type }} 数量：\r\n",
"onlinesCount": "🌐 オンラインクライアント：{{ .Count }}\r\n",
"disabled": "🛑 無効化：{{ .Disabled }}\r\n",
"depleteSoon": "🔜 間もなく消耗：{{ .Deplete }}\r\n\r\n",
"backupTime": "🗄 バックアップ時間：{{ .Time }}\r\n",
"refreshedOn": "\r\n📋🔄 更新時間：{{ .Time }}\r\n\r\n",
"yes": "✅ はい",
"no": "❌ いいえ",
"received_email": "📧📥 メールが更新されました。",
"received_comment": "💬📥 コメントが更新されました。",
"email_prompt": "📧 デフォルトメール: {{ .ClientEmail }}\n\nメールを入力してください。",
"comment_prompt": "💬 デフォルトコメント: {{ .ClientComment }}\n\nコメントを入力してください。",
"cancel": "❌ プロセスがキャンセルされました！\n\nいつでも /start で再開できます。 🔄",
"error_add_client": "⚠️ エラー:\n\n {{ .error }}",
"using_default_value": "わかりました、デフォルト値を使用します。 😊",
"incorrect_input": "入力が無効です。\nフレーズはスペースなしで続けて入力してください。\n正しい例: aaaaaa\n間違った例: aaa aaa 🚫",
"AreYouSure": "本当にいいですか？🤔",
"SuccessResetTraffic": "📧 メール: {{ .ClientEmail }}\n🏁 結果: ✅ 成功",
"FailedResetTraffic": "📧 メール: {{ .ClientEmail }}\n🏁 結果: ❌ 失敗 \n\n🛠️ エラー: [ {{ .ErrorMessage }} ]",
"FinishProcess": "🔚 すべてのクライアントのトラフィックリセットが完了しました。",
"eventOutboundDown": "アウトバウンド {{ .Tag }} がダウンしています",
"eventOutboundUp": "アウトバウンド {{ .Tag }} が復旧しました",
"eventErrorDetail": "エラー: {{ .Error }}",
"eventDelayDetail": "遅延: {{ .Delay }}ms",
"eventXrayCrash": "Xrayがクラッシュしました",
"eventXrayCrashError": "エラー: {{ .Error }}",
"eventNodeDown": "ノード {{ .Name }} がダウンしています",
"eventNodeUp": "ノード {{ .Name }} が復旧しました",
"eventLoginFallback": "{{ .Source }} からのログインに失敗しました",
"memoryThreshold": "メモリ使用率 {{ .Percent }}% がしきい値 {{ .Threshold }}% を超えました"
},
"buttons": {
"closeKeyboard": "❌ キーボードを閉じる",
"cancel": "❌ キャンセル",
"cancelReset": "❌ リセットをキャンセル",
"cancelIpLimit": "❌ IP制限をキャンセル",
"confirmResetTraffic": "✅ トラフィックをリセットしますか？",
"confirmClearIps": "✅ IPをクリアしますか？",
"confirmRemoveTGUser": "✅ Telegramユーザーを削除しますか？",
"confirmToggle": "✅ ユーザーを有効/無効にしますか？",
"dbBackup": "データベースバックアップを取得",
"serverUsage": "サーバーの使用状況",
"getInbounds": "インバウンド情報を取得",
"depleteSoon": "間もなく消耗",
"clientUsage": "使用状況を取得",
"onlines": "オンラインクライアント",
"commands": "コマンド",
"refresh": "🔄 更新",
"clearIPs": "❌ IPをクリア",
"removeTGUser": "❌ Telegramユーザーを削除",
"selectTGUser": "👤 Telegramユーザーを選択",
"selectOneTGUser": "👤 1人のTelegramユーザーを選択：",
"resetTraffic": "📈 トラフィックをリセット",
"resetExpire": "📅 有効期限を変更",
"ipLog": "🔢 IPログ",
"ipLimit": "🔢 IP制限",
"setTGUser": "👤 Telegramユーザーを設定",
"toggle": "🔘 有効/無効",
"custom": "🔢 カスタム",
"confirmNumber": "✅ 確認: {{ .Num }}",
"confirmNumberAdd": "✅ 追加を確認：{{ .Num }}",
"limitTraffic": "🚧 トラフィック制限",
"getBanLogs": "禁止ログ",
"allClients": "すべてのクライアント",
"addClient": "クライアントを追加",
"submitDisable": "無効として送信 ☑️",
"submitEnable": "有効として送信 ✅",
"use_default": "🏷️ デフォルトを使用",
"change_email": "⚙️📧 メール",
"change_comment": "⚙️💬 コメント",
"ResetAllTraffics": "すべてのトラフィックをリセット",
"SortedTrafficUsageReport": "ソートされたトラフィック使用レポート"
},
"answers": {
"successfulOperation": "✅ 成功！",
"errorOperation": "❗ 操作エラー。",
"getInboundsFailed": "❌ インバウンド情報の取得に失敗しました。",
"getClientsFailed": "❌ クライアントの取得に失敗しました。",
"canceled": "❌ {{ .Email }}：操作がキャンセルされました。",
"clientRefreshSuccess": "✅ {{ .Email }}：クライアントが正常に更新されました。",
"IpRefreshSuccess": "✅ {{ .Email }}：IPが正常に更新されました。",
"TGIdRefreshSuccess": "✅ {{ .Email }}：クライアントのTelegramユーザーが正常に更新されました。",
"resetTrafficSuccess": "✅ {{ .Email }}：トラフィックが正常にリセットされました。",
"setTrafficLimitSuccess": "✅ {{ .Email }}：トラフィック制限が正常に保存されました。",
"expireResetSuccess": "✅ {{ .Email }}：有効期限の日数が正常にリセットされました。",
"resetIpSuccess": "✅ {{ .Email }}：IP制限数が正常に保存されました：{{ .Count }}。",
"clearIpSuccess": "✅ {{ .Email }}：IPが正常にクリアされました。",
"getIpLog": "✅ {{ .Email }}：IPログの取得。",
"getUserInfo": "✅ {{ .Email }}：Telegramユーザー情報の取得。",
"removedTGUserSuccess": "✅ {{ .Email }}：Telegramユーザーが正常に削除されました。",
"enableSuccess": "✅ {{ .Email }}：正常に有効化されました。",
"disableSuccess": "✅ {{ .Email }}：正常に無効化されました。",
"askToAddUserId": "設定が見つかりませんでした！\r\n管理者に問い合わせて、設定にTelegramユーザーのChatIDを使用してください。\r\n\r\nあなたのユーザーChatID：<code>{{ .TgUserID }}</code>",
"chooseClient": "インバウンド {{ .Inbound }} のクライアントを選択",
"chooseInbound": "インバウンドを選択"
}
},
"email": {
"labelStatus": "ステータス",
"labelOutbound": "アウトバウンド",
"labelNode": "ノード",
"labelError": "エラー",
"labelDelay": "遅延",
"labelUsername": "ユーザー名",
"labelIP": "IP",
"labelReason": "理由",
"labelSource": "送信元",
"statusCrashed": "クラッシュ",
"statusHigh": "高負荷",
"statusSuccess": "成功",
"statusFailed": "失敗",
"statusDown": "ダウン",
"statusUp": "アップ"
}
}
Reference in New Issue View Git Blame Copy Permalink