Linux Desktop 上的 Xray 裸核部署指南

本文档记录在 Debian 13 (Trixie) 桌面环境下部署 Xray-core TProxy IPv4/IPv6 双栈透明代理的流程。

本文的网络拓扑为单机桌面模式，普通用户产生的 TCP/UDP 流量 Xray 接管并按规则分流，Xray 自身发出的外部流量及系统 root 流量则直接放行。

资源文件#

安装工具包：

1
sudo apt update
2
sudo apt install nftables iproute2 curl

前往 Xray-core Releases 下载 Xray-linux-64.zip（推荐 Pre-release）
前往 MetaCubeX/meta-rules-dat 下载 geoip.dat、geosite.dat 规则文件

目录结构#

建议规划如下部署目录：

1
/opt/proxy/xray/
2
├── xray                          # Xray-core 可执行文件
3
├── config/
4
│   ├── xray.yaml                 # Xray 运行时配置文件 (自行创建)
5
│   └── xray-tproxy.nft           # nftables 声明式规则集 (自行创建)
6
├── geo/                          # 规则库资产目录
7
│   ├── geoip.dat
8
│   └── geosite.dat
9
├── logs/                         # 日志
10
│   ├── access.log
11
│   └── error.log
12
└── scripts/                      # 脚本
13
    ├── tproxy-up.sh              # 规则加载脚本
14
    ├── tproxy-down.sh            # 规则清理脚本
15
    └──  rotate-logs.py           # 日志轮转脚本 (可选)

创建目录：

1
sudo install -d -o root -g root -m 755 /opt/proxy/xray
2
sudo install -d -o root -g root -m 755 /opt/proxy/xray/config
3
sudo install -d -o root -g root -m 755 /opt/proxy/xray/geo
4
sudo install -d -o root -g root -m 755 /opt/proxy/xray/scripts
5
sudo install -d -o root -g root -m 755 /opt/proxy/xray/logs

将下载的 xray 二进制和 geoip.dat、geosite.dat 放入对应目录，并赋予权限：

1
sudo chmod 755 /opt/proxy/xray/xray
2
sudo chmod 644 /opt/proxy/xray/geo/*.dat

配置文件#

接下来书写核心配置文件。

1. Xray 配置文件#

与 Windows 几乎一致，不同的地方是入站和部分路由

入站需要改为 dokodemo-door / tunnel

涉及到进程的路由建议删除

1
inbounds:
2
# 0. TProxy 端口入站 (双栈混合监听，IPv4/IPv6 共用 12345)
3
- tag: tproxy-in
4
  port: 12345
5
  protocol: dokodemo-door
6
  settings:
7
    network: tcp,udp
8
    followRedirect: true
9
  sniffing:
10
    enabled: true
11
    destOverride: [http, tls, quic]
12
    metadataOnly: false
13
    routeOnly: false
14
  streamSettings:
15
    sockopt:
16
      tproxy: tproxy
17
      # 可选显式设置 IPv6 transparent，弥补 Xray 对 IPv6 TPROXY inbound 的默认 sockopt 覆盖
18
      # customSockopt:
19
      #   - system: linux
20
      #     network: tcp
21
      #     type: int
22
      #     level: "41"
23
      #     opt: "75"
24
      #     value: "1"
25
      #   - system: linux
26
      #     network: udp
27
      #     type: int
28
      #     level: "41"
29
      #     opt: "75"
30
      #     value: "1"
31

32
# 1. Socks 入站
33
- tag: socks-in
34
  port: 10808
35
  listen: 127.0.0.1
36
  protocol: socks
37
  settings:
38
    auth: noauth
39
    udp: true
40
  sniffing:
41
    enabled: true
42
    destOverride: [http, tls, quic]
43
    metadataOnly: false
44
    routeOnly: false
45

46
# 2. HTTP 入站
47
- tag: http-in
48
  port: 10809
49
  listen: 127.0.0.1
50
  protocol: http
51
  sniffing:
52
    enabled: true
53
    destOverride: [http, tls, quic]
54
    metadataOnly: false
55
    routeOnly: false

2. nftables 规则文件#

1
#!/usr/sbin/nft -f
2

3
table inet xray {
4
    # 绕行保留地址与局域网网段 (IPv4)
5
    set reserved_v4 {
6
        type ipv4_addr
7
        flags interval
8
        elements = {
9
            0.0.0.0/8,
10
            10.0.0.0/8,
11
            100.64.0.0/10,
12
            127.0.0.0/8,
13
            169.254.0.0/16,
14
            172.16.0.0/12,
15
            192.0.0.0/24,
16
            224.0.0.0/4,
17
            240.0.0.0/4
18
        }
19
    }
20

21
    # 绕行保留地址与特殊网段 (IPv6)
22
    set reserved_v6 {
23
        type ipv6_addr
24
        flags interval
25
        elements = {
26
            ::1/128,
27
            fe80::/10,
28
            fc00::/7,
29
            ff00::/8
30
        }
31
    }
32

33
    chain prerouting {
34
        type filter hook prerouting priority mangle; policy accept;
35

36
        # 匹配已建立透明代理连接的 TCP 数据包，打标后直通
37
        meta l4proto tcp socket transparent 1 socket wildcard 0 meta mark set 1 accept
38

39
        # 绕行无需代理的保留/私网地址
40
        ip daddr @reserved_v4 return
41
        ip6 daddr @reserved_v6 return
42

43
        # 绕行局域网非 DNS 流量（放行 53 端口）
44
        ip daddr 192.168.0.0/16 tcp dport != 53 return
45
        ip daddr 192.168.0.0/16 udp dport != 53 return
46

47
        # 放行 Xray 自身出站打标流量
48
        meta mark 0xff return
49

50
        # 透明代理转发 TCP 与 UDP 流量至本地 12345 端口
51
        meta l4proto { tcp, udp } tproxy to :12345 meta mark set 1 accept
52
    }
53

54
    chain output {
55
        type route hook output priority mangle; policy accept;
56

57
        # 绕行无需代理的保留/私网地址
58
        ip daddr @reserved_v4 return
59
        ip6 daddr @reserved_v6 return
60

61
        # 绕行局域网非 DNS 流量
62
        ip daddr 192.168.0.0/16 tcp dport != 53 return
63
        ip daddr 192.168.0.0/16 udp dport != 53 return
64

65
        # 放行 Xray 自身出站流量及 root 权限进程流量
66
        meta mark 0xff return
67
        meta skuid root return
68

69
        # 拦截用户 your_username 发出的 TCP 和 UDP 流量，打上 mark 1 以触发策略路由重定向至 lo
70
        meta skuid "你地鸣至" meta l4proto { tcp, udp } meta mark set 1
71
    }
72
}

3. 启停脚本#

启动脚本 `tproxy-up.sh`#

负责配置策略路由（IPv4 table 100 / IPv6 table 106）并加载 nftables 配置。

1
#!/bin/bash
2

3
set -e
4
echo "[INFO] 加载 Xray TProxy (nftables) 规则..."
5

6
# 配置策略路由（IPv4 table 100 / IPv6 table 106）
7
ip route add local default dev lo table 100 2>/dev/null || true
8
ip rule add fwmark 1 table 100 2>/dev/null || true
9
ip -6 route add local default dev lo table 106 2>/dev/null || true
10
ip -6 rule add fwmark 1 table 106 2>/dev/null || true
11

12
# 加载 nftables 规则
13
/usr/sbin/nft -f /opt/proxy/xray/config/xray-tproxy.nft
14

15
echo "[INFO] Xray TProxy (nftables) 规则加载完成。"

停止脚本 `tproxy-down.sh`#

1
#!/bin/bash
2

3
echo "[INFO] 清理 Xray TProxy 规则..."
4

5
# 卸载并销毁 nftables 表
6
/usr/sbin/nft delete table inet xray 2>/dev/null || true
7

8
# 清理策略路由（IPv4 table 100 / IPv6 table 106）
9
ip rule del fwmark 1 table 100 2>/dev/null || true
10
ip route flush table 100 2>/dev/null || true
11
ip -6 rule del fwmark 1 table 106 2>/dev/null || true
12
ip -6 route flush table 106 2>/dev/null || true
13

14
echo "[INFO] Xray TProxy (nftables) 规则清理完成。"

赋予执行权限：

1
sudo chmod 755 /opt/proxy/xray/scripts/*.sh

Systemd 服务#

将 Xray 注册为系统级守护进程，并在启动与退出时自动调用启停脚本：

1
[Unit]
2
Description=Xray Core Service (Standalone nftables TProxy Mode)
3
After=network.target nss-lookup.target
4

5
[Service]
6
Type=simple
7
User=root
8
WorkingDirectory=/opt/proxy/xray
9
Environment="XRAY_LOCATION_ASSET=/opt/proxy/xray/geo"
10
RuntimeDirectory=xray
11
RuntimeDirectoryMode=0755
12
ExecStart=/opt/proxy/xray/xray run -config /opt/proxy/xray/config/xray.yaml
13
ExecStartPost=/opt/proxy/xray/scripts/tproxy-up.sh
14
ExecStopPost=/opt/proxy/xray/scripts/tproxy-down.sh
15
Restart=on-failure
16
RestartSec=3s
17
LimitNOFILE=1000000
18
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW
19
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW
20

21
[Install]
22
WantedBy=multi-user.target

启动#

1. 启动服务#

修改日志文件属主为 root，随后启动服务：

1
sudo touch /opt/proxy/xray/logs/access.log /opt/proxy/xray/logs/error.log
2
sudo chown root:root /opt/proxy/xray/logs/*.log
3
sudo chmod 644 /opt/proxy/xray/logs/*.log
4

5
sudo systemctl daemon-reload
6
sudo systemctl enable --now xray

查看服务状态：

1
sudo systemctl status xray --no-pager

查看 nftables 规则是否已加载：

1
sudo /usr/sbin/nft list table inet xray

查看策略路由：

1
ip rule show | grep 100
2
ip -6 rule show | grep 106

测试双栈连通性：

1
# 验证 IPv4 国内直连
2
curl -4 -I --max-time 5 https://www.baidu.com
3

4
# 验证 IPv6 国内直连
5
curl -6 -I --max-time 5 https://www.baidu.com
6

7
# 验证海外节点代理出站
8
curl -I --max-time 5 https://www.google.com

实时日志：

1
tail -n 20 /opt/proxy/xray/logs/access.log

期望输出应类似下面的，表明双栈流量均成功经由 TProxy 分流：

1
accepted tcp:172.217.119.4:443 [tproxy-in -> proxy]
2
accepted tcp:[2001:4860:4843:400::]:443 [tproxy-in -> proxy]
3
accepted tcp:[2409:...]:443 [tproxy-in -> direct]

完结撒花了，下文是可选配置。

可选增强#

1. 日志自动轮转#

Xray-core 自身不提供日志文件按大小自动切割能力。可以通过 Python 脚本结合 Xray 提供的 xray api restartlogger 实现平滑轮转。

点击展开/收起 rotate-logs.py

1
#!/usr/bin/env python3
2
# -*- coding: utf-8 -*-
3
"""Xray 日志自动轮转脚本 (单文件超过 5 MB 触发，保留 3 份历史备份)"""
4

5
import datetime
6
import glob
7
import os
8
import shutil
9
import subprocess
10

11
XRAY_BIN = "/opt/proxy/xray/xray"
12
LOG_DIR = "/opt/proxy/xray/logs"
13
API_SERVER = "127.0.0.1:10085"
14
MAX_LOG_BYTES = 5 * 1024 * 1024
15
MAX_BACKUP_COUNT = 3
16

17

18
def prune_backups(log_path):
19
    pattern = f"{log_path}.*.bak"
20
    backups = sorted(glob.glob(pattern), key=os.path.getmtime)
21
    while len(backups) > MAX_BACKUP_COUNT:
22
        oldest = backups.pop(0)
23
        try:
24
            os.remove(oldest)
25
        except Exception:
26
            pass
27

28

29
def restart_logger():
30
    cmd = [XRAY_BIN, "api", "restartlogger", f"-server={API_SERVER}"]
31
    res = subprocess.run(cmd, capture_output=True, text=True, timeout=5)
32
    if res.returncode != 0:
33
        raise RuntimeError(f"restartlogger failed: {res.stderr or res.stdout}")
34

35

36
def main():
37
    targets = []
38
    for name in ("access.log", "error.log"):
39
        p = os.path.join(LOG_DIR, name)
40
        if os.path.exists(p) and os.path.getsize(p) >= MAX_LOG_BYTES:
41
            ts = datetime.datetime.now().strftime("%Y%m%d_%H%M%S")
42
            targets.append((p, f"{p}.{ts}.bak"))
43

44
    if not targets:
45
        return
46

47
    # 1. 优先尝试：原子重命名 + gRPC API restartlogger
48
    try:
49
        for orig, bak in targets:
50
            os.rename(orig, bak)
51
        restart_logger()
52
        for orig, _ in targets:
53
            prune_backups(orig)
54
    except Exception:
55
        # 2. 失败自动降级到 copytruncate
56
        for orig, bak in targets:
57
            if not os.path.exists(orig) and os.path.exists(bak):
58
                os.rename(bak, orig)
59
            shutil.copy2(orig, bak)
60
            with open(orig, "r+", encoding="utf-8", errors="ignore") as f:
61
                f.truncate(0)
62
            prune_backups(orig)
63

64

65
if __name__ == "__main__":
66
    main()

配合 Systemd Timer 每天执行一次日志检查：

1
[Unit]
2
Description=Run Xray log rotation daily
3

4
[Timer]
5
OnBootSec=10min
6
OnCalendar=daily
7
Persistent=true
8
Unit=xray-rotate.service
9

10
[Install]
11
WantedBy=timers.target

1
[Unit]
2
Description=Rotate Xray logs
3

4
[Service]
5
Type=oneshot
6
ExecStart=/usr/bin/python3 /opt/proxy/xray/scripts/rotate-logs.py