Rokutosei's Blog

VLESS Proxy 文章指引

Fri, 11 Sep 2026 00:00:00 GMT

本文档指引博客内与 VLESS Proxy 及 Xray 裸核体系相关的文章：

1. 服务端部署

服务端：Xray + Caddy 单端口五合一 VLESS XHTTP 部署

2. 客户端配置

客户端：Xray-core 自用配置

3. Xray-core 裸核搭建

Windows：Windows 上的 Xray 裸核部署指南
Linux：Linux Desktop 上的 Xray 裸核部署指南
Android：安卓端暂时不打算深入折腾，目前魔改了支持导入 Full Config 的 SimpleXray 项目，它采用以子进程运行内核，追新非常方便。
- 详情请看仓库：
::github{repo="ReRokutosei/SimpleXray"}

历史归档

以下基于 Mihomo 的方案已停止后续维护，仅保留作为架构参考。

服务端：Xray + Caddy 单端口五合一 VLESS XHTTP 部署

Tue, 08 Sep 2026 00:00:00 GMT

[!TIP] 观前提醒

本文仅给出重要的配置示例，阅读需具备相关知识

本教程基于 Xray 服务端 + Caddy 反代 + Xray 客户端 构建

本教程几乎全程手敲命令，不借助 3x-ui 此类面板，需要一定耐心

如果想一键部署，很遗憾，本文不适合你

XHTTP 五合一指的是在同一台 VPS 的 443 端口实现了五个出站节点：

<details> <summary>点击查看适用场景</summary>

（此处部分引用 @Benjamin1919 大佬的教程原文案）

出站 1：XTLS(Vision) + REALITY 直连

客户端 GUI 不支持 XHTTP
不想开启 TCP 多路复用
想要尽可能低的延迟与尽可能高的上下行速度

出站 2：XHTTP + REALITY 直连

VPS 去程和回程的线路都比较好
想要尽可能低的延迟与尽可能高的上下行速度

出站 3：上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY（上下行不同 SNI）

去程（客户端 → VPS）线路较差，回程（VPS → 客户端）线路较好
日常使用更偏重下载，很少上传
隐藏上行 SNI 防探测封锁

出站 4：XHTTP + TLS(ECH) 过 CDN

VPS 去程和回程的线路都很差
不希望 VPS 的 IP 暴露在公网
VPS 的 IP 已被墙
隐藏 SNI 防探测封锁

出站 5：上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN（上下行不同 SNI）

去程（客户端 → VPS）线路较好，回程（VPS → 客户端）线路较差
日常使用更偏重上传，很少下载
隐藏下行 SNI 防探测封锁

</details>

1. 准备工作
2. Cloudflare 配置
3. 安装 Xray-core 与 Caddy
4. 客户端配置
友情推荐
后话

1. 准备工作

在开始之前，请准备好以下内容：

一个个人域名
一个通过支付验证的 Cloudflare 账号
一台拥有 root 完全访问权限的 VPS

[!NOTE] 为避免纠纷，本文不提供任何 VPS 商家推荐或购买指导，请自行选择。

本方案属于 Xray 前置、REALITY 回落到本机 Caddy，不需要配置 limitFallbackUpload，

本文中的 <VPS_IP>、<YOUR_USER>、<YOUR_DOMAIN> 均为占位符，实际操作时请替换为你的真实 IP、用户名和域名。

SSH 端口以 <SSH_PORT> 表示（示例为 54321），请根据实际部署修改。

2. Cloudflare 配置

2.1 添加 DNS 记录

将域名托管到 Cloudflare，添加 DNS 解析记录：

记录类型	子域名	值	小黄云（Proxy）	用途
A	`cdn.<YOUR_DOMAIN>`	VPS IPv4	开启	CDN 回源
A	`REALITY.<YOUR_DOMAIN>`	VPS IPv4	关闭	REALITY 握手直连

如果需要双栈，可额外添加 AAAA 记录，可复用同一个子域名。

2.2 SSL/TLS 设置

面板左侧 -> SSL/TLS -> 概述 -> 配置 -> 加密模式和源连接设置 -> 加密模式设置为 完全（严格）

面板左侧 -> SSL/TLS -> 边缘证书 -> 开启 TLS 1.3

面板左侧 -> 网络 -> 开启 gRPC

2.3 缓存规则设置

为避免 XHTTP 请求被缓存，创建缓存规则：

面板左侧 -> 缓存 -> Cache Rules -> 创建缓存规则：

名称：随意
如果传入请求匹配… -> 选择 自定义筛选表达式 -> 点击 编辑表达式
输入（替换为你的域名和路径）：

(http.host eq "cdn.<YOUR_DOMAIN>") or (http.request.uri.path contains "/<YOUR_XHTTP_PATH>")

缓存资格 → 设置为 绕过缓存

3. 安装 Xray-core 与 Caddy

3.1 安装 Xray-core

通过官方脚本裸装（Bare-metal）并使用 systemd 管理：

推荐安装 Pre-release 版本，目前 Stable 版本还停留在 v26.3.27，新版本包含 XHTTP 修复和功能修复等

<details> <summary>发版策略说明</summary>

RPRX(Owner):

忘公开说明一下了，关于 Xray-core 的发版策略， pre-release 有可能是实际意义上的 stable，而 latest 也不等于“没有 bug”

没标 latest 通常是因为我觉得下个 stable 该包含什么但它还没有包含，~~或者单纯懒得写 release notes 那就算了下次吧，感觉比写代码都麻烦~~

via https://t.me/projectXray/5113846

</details>

sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

如果你依然偏向 Stable，把命令的 --beta 去掉即为下载“正式版”

安装完成时会默认启动服务，需要先暂停：

sudo systemctl stop xray

3.2 生成凭据

生成 UUID（需要两组，分别用于 Vision 和 XHTTP）：

# 执行两次，得到两个不同的 UUID
xray uuid
xray uuid

分别记为 UUID_01 和 UUID_02，保存待用。

生成 REALITY 密钥对：

xray x25519

保存输出的 Private key 和 Public key，私钥填在服务端的 config.json，公钥填在本地客户端里。

生成 shortID：

openssl rand -hex 8

3.3 写入 Xray 配置文件

[!TIP] 请在本地的文本编辑器，将以下代码块中的占位符替换为你自己的真实信息。替换完成后，粘贴到 VPS 终端中并回车

[!NOTE] 占位符说明：

占位符	替换为
`UUID_01`	第一组 UUID（Vision 用户）
`UUID_02`	第二组 UUID（XHTTP 用户）
`YOUR_REALITY_PRIVATE_KEY`	刚才生成的 Private key
`YOUR_SHORT_ID`	刚才生成的 shortID
`reality.example.com`	你的 REALITY 子域名（小黄云关）
`cdn.example.com`	你的 CDN 子域名（小黄云开）
`/your-xhttp-path`	自定义路径

sudo tee /usr/local/etc/xray/config.json >/dev/null <<'EOF'
{
  "log": {
    "loglevel": "info" // 调试完成后可改为 "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0", // 如果需要 IPv6，改为监听 "::"
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_01", // 对应客户端出站 1
            "level": 0,
            "email": "vision-user",
            "flow": "xtls-rprx-vision"
          },
          {
            "id": "UUID_02", // 对应客户端出站 2/3/4/5
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none",
        "fallbacks": [
          {
            "dest": "/run/xray/xhttp_in.sock", 
            // 处理“直连”的 XHTTP 请求 (对应客户端出站 2/3/5 的直连部分)
            // 当 Reality 识别出 VLESS 协议但没有 flow 时，直接丢给内部 XHTTP Socket
            "xver": 0
          }
        ]
      },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "/run/caddy/tls_gate.sock",
          // 处理“CDN 转发”或“普通 HTTPS”请求 (对应客户端出站 3/4/5 的 CDN 部分)
          // 任何 Reality 不识别的流量都丢给 Caddy 处理
          "xver": 0,
          "serverNames": [
            "reality.example.com",
            "cdn.example.com"
          ],
          "privateKey": "YOUR_REALITY_PRIVATE_KEY",
          "shortIds": ["YOUR_SHORT_ID"]
        },
        "sockopt": {
          "tcpFastOpen": true,
          "tcpCongestion": "bbr",
          "tcpMptcp": true
        }
      },
      "tag": "VISION+REALITY",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    },
    {
      "listen": "/run/xray/xhttp_in.sock",
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_02",
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "host": "",
          "path": "/your-xhttp-path", 
          "mode": "auto",
          "noSSEHeader": false,
          "scMaxEachPostBytes": 1000000,
          "scMaxBufferedPosts": 30,
          "xPaddingBytes": "100-1000",
          "xPaddingObfsMode": true,
          "xPaddingMethod": "tokenish", // 生成一个随机的 Base62 标记
          "xPaddingPlacement": "queryInHeader", // 填充嵌入 Referer URL query（CF 兼容）
          "xPaddingKey": "t", // URL query 参数名
          "xPaddingHeader": "Referer",
          "sessionIDPlacement": "path",
          "sessionIDKey": "SID",
          "sessionIDTable": "Base62",
          "sessionIDLength": "12-20"
        }
      },
      "tag": "XHTTP_IN",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct",
      "settings": {}
    },
    {
      "protocol": "blackhole",
      "tag": "blocked",
      "settings": {}
    }
  ],
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "ip": ["geoip:private"],
        "outboundTag": "blocked"
      }
    ]
  }
}
EOF

3.4 安装 Caddy

使用 Caddy 官方针对 Debian 的软件源安装：

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

# 导入 GPG 密钥
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# 添加官方软件源
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 更新并安装
sudo apt update
sudo apt install caddy -y

3.5 编写 Caddyfile

[!TIP] 同理，请在本地编辑器中替换其中的占位符，替换后粘贴整段代码块至终端回车执行

sudo tee /etc/caddy/Caddyfile >/dev/null <<'EOF'
# 1. REALITY 域名区块（专供 REALITY 握手与伪装网页）
# 记得换成你自己的 REALITY 子域名！！！
reality.example.com {
        # 监听 Xray REALITY 回落的 Unix Socket
        bind unix//run/caddy/tls_gate.sock

        # 引用 acme.sh 申请的 Let's Encrypt 证书与私钥
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/reality_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 处理所有其他访问
        # 外部扫描器或浏览器访问，直接给出伪装网页
        handle {
                # 伪装网页路径：/var/www/html/index.html
                root * /var/www/html
                file_server
        }
}

# 2. CDN 域名区块（处理从 Xray 回落的 CDN 代理流量）
# 记得换成你自己的 CDN 子域名！！！
cdn.example.com {
        bind unix//run/caddy/tls_gate.sock

        # 申请的是多域名合并证书，引用相同的证书文件即可
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/cdn_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 捕获套 CDN 的出站（出站 3/4/5）传来的合法的 XHTTP 流量
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        handle /your-xhttp-path/* {
                reverse_proxy unix//run/xray/xhttp_in.sock {
                        transport http {
                                versions 2
                        }
                        flush_interval -1
                }
        }
        
        # 可选：探针探活路径
        handle /status {
                respond "ok" 200
        }

        handle /ping {
                respond "ok" 200
        }

        # 对于扫描器，直接重定向到伪装网页防扫描
        # 记得换成你自己的 REALITY 子域名！！！
        handle {
                redir https://reality.example.com{uri}
        }
}
EOF

请务必仔细检查你的 handle 块配置，路径末尾的斜杠和星号 /* 不能省略

XHTTP 流量请求的 URL 是动态长随机混淆参数的

如果前缀不通配，Caddy 就会将其视为未知的外部扫描探测，返回 302 伪装页

<details> <summary>附：简单伪装导航页</summary>

如果你没有现成的网站，可以使用下面这段单文件 HTML 代码

但是后期建议让 GenAI 丰富一下，换成个人博客、OpenList 什么的

将以下代码块整体复制到终端回车执行，即可一键生成伪装站点：

sudo mkdir -p /var/www/html
sudo tee /var/www/html/index.html >/dev/null <<'EOF'
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Tech Hub</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }

        body {
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, sans-serif;
            background: linear-gradient(-45deg, #e0e7ff, #f3e8ff, #dbeafe, #ede9fe);
            background-size: 400% 400%;
            animation: gradientBG 18s ease infinite;
        }

        @keyframes gradientBG {
            0% { background-position: 0% 50%; }
            50% { background-position: 100% 50%; }
            100% { background-position: 0% 50%; }
        }

        .wrapper {
            display: flex;
            flex-direction: column;
            align-items: center;
            gap: 2rem;
            padding: 2rem;
            width: 100%;
            max-width: 720px;
        }

        .title {
            font-size: clamp(2.4rem, 6vw, 3.6rem);
            font-weight: 600;
            color: #1e293b;
            letter-spacing: -0.02em;
            text-align: center;
        }

        .sub {
            font-size: clamp(0.8rem, 1.5vw, 1rem);
            color: #64748b;
            text-transform: uppercase;
            letter-spacing: 0.2em;
            border-bottom: 1px solid #cbd5e1;
            padding-bottom: 1rem;
            width: 100%;
            text-align: center;
        }

        .nav {
            display: flex;
            gap: 1.5rem;
            padding: 1.5rem 2.5rem;
            border-radius: 80px;
            background: rgba(255, 255, 255, 0.6);
            backdrop-filter: blur(12px);
            -webkit-backdrop-filter: blur(12px);
            border: 1px solid rgba(255, 255, 255, 0.8);
            box-shadow: 0 8px 32px rgba(0, 0, 0, 0.06);
            flex-wrap: wrap;
            justify-content: center;
        }

        .nav-item {
            display: flex;
            justify-content: center;
            align-items: center;
            width: 3.4rem;
            height: 3.4rem;
            border-radius: 50%;
            background: rgba(255, 255, 255, 0.4);
            transition: all 0.25s ease;
            text-decoration: none;
            border: 1px solid rgba(255, 255, 255, 0.6);
        }

        .nav-item img {
            width: 1.6rem;
            height: 1.6rem;
            transition: transform 0.2s ease;
        }

        .nav-item:hover {
            transform: translateY(-4px);
            background: rgba(255, 255, 255, 0.9);
            border-color: #94a3b8;
            box-shadow: 0 8px 20px rgba(0, 0, 0, 0.08);
        }

        .nav-item:hover img {
            transform: scale(1.1);
        }

        @media (max-width: 600px) {
            .wrapper { gap: 1.5rem; padding: 1rem; }
            .nav { padding: 1rem 1.5rem; gap: 1rem; border-radius: 2rem; }
            .nav-item { width: 2.8rem; height: 2.8rem; }
            .nav-item img { width: 1.3rem; height: 1.3rem; }
        }
    </style>
</head>
<body>
    <div class="wrapper">
        <h1 class="title">Dev Center</h1>
        <div class="sub">Let there be light</div>
        <div class="nav">
            <a href="https://www.google.com" class="nav-item" title="Google"><img src="https://cdn.simpleicons.org/google/1e293b" alt="Google"></a>
            <a href="https://github.com" class="nav-item" title="GitHub"><img src="https://cdn.simpleicons.org/github/1e293b" alt="GitHub"></a>
            <a href="https://dash.cloudflare.com" class="nav-item" title="Cloudflare"><img src="https://cdn.simpleicons.org/cloudflare/1e293b" alt="Cloudflare"></a>
            <a href="https://hub.docker.com" class="nav-item" title="Docker Hub"><img src="https://cdn.simpleicons.org/docker/1e293b" alt="Docker"></a>
            <a href="https://stackoverflow.com" class="nav-item" title="Stack Overflow"><img src="https://cdn.simpleicons.org/stackoverflow/1e293b" alt="Stack Overflow"></a>
            <a href="https://www.npmjs.com" class="nav-item" title="npm"><img src="https://cdn.simpleicons.org/npm/1e293b" alt="npm"></a>
            <a href="https://gitlab.com" class="nav-item" title="GitLab"><img src="https://cdn.simpleicons.org/gitlab/1e293b" alt="GitLab"></a>
        </div>
    </div>
</body>
</html>
EOF

</details>

3.6 用户组与运行目录设置

启动 Xray 和 Caddy 前需统一运行用户为 caddy，否则会出现 socket 权限问题：

[Info] transport/internet/tcp: REALITY: failed to dial dest: dial unix /run/caddy/tls_gate.sock: connect: permission denied

进一步，为避免两个服务重启时因 RuntimeDirectory 被 systemd 清理而导致 UDS 套接字文件丢失，我们将双方的套接字放入各自所属服务的运行时目录（Xray 使用 /run/xray/，Caddy 使用 /run/caddy/）：

# 统一运行用户为 caddy
sudo mkdir -p /etc/systemd/system/xray.service.d
sudo tee /etc/systemd/system/xray.service.d/override.conf <<EOF
[Service]
User=caddy
EOF

# 为 Caddy 启用独立的运行目录以放套接字
sudo mkdir -p /etc/systemd/system/caddy.service.d
sudo tee /etc/systemd/system/caddy.service.d/override.conf <<EOF
[Service]
User=caddy
RuntimeDirectory=caddy
EOF

# 重新加载 Systemd 配置
sudo systemctl daemon-reload

3.7 申请公有受信任证书

<details> <summary>点击查看：为什么不能用 Caddy 自带的自动申请证书功能</summary>

[!NOTE] Caddy 默认依赖 HTTP-01 或 TLS-ALPN-01 进行 ACME 自动化证书验证，此过程的硬性前置条件是 Web 服务器必须能够直接在操作系统层面接管并监听公网的 80 或 443 端口。

在当前架构中，公网 443 端口由 Xray 独占监听，Caddy 仅绑定于内网的 Unix Socket 充当回落目标。当 Let's Encrypt 验证集群发起 TLS-ALPN-01 请求时，流量首先到达 Xray 的 REALITY 服务端。由于该请求不具备有效的 XTLS 身份特征，REALITY 服务端会将其视为未知流量，执行透明的双向 TCP 转发（直接回落至 Caddy 的 Unix Socket）。

尽管验证流量最终送达了 Caddy，但证书申请依然会失败。因为 Caddy 的 ACME 模块在处理 TLS-ALPN-01 挑战时，强依赖于标准 443 端口监听器来挂载专用的验证证书。面对来自 Unix Socket 的回落流量，Caddy 的验证上下文无法正确匹配并下发该证书。即便 Caddy 异常响应了临时的 ACME 验证证书，由于 REALITY 服务端需持续抓取目标后端返回的 ServerHello 以缓存真实证书，这种非标准的临时证书将引发 REALITY 内部证书缓存逻辑链异常，导致整个 TLS 握手在链路中被异常阻断。

所以转而使用 acme.sh 脚本动态下发 DNS TXT 记录（即基于 API 交互的 DNS-01 验证），以实现 TLS 证书合规签发。

另外，REALITY 节点需使用真实 IP 直接承载直连流量（CDN Proxy OFF），若部署未受公共根证书信任的 Cloudflare Origin CA 证书，浏览器直接访问伪装站时会触发 TLS 错误。

</details>

第一步：获取 Cloudflare API Token

登录你的 Cloudflare 网页后台；
展开左边栏 -> 选择 管理账户 -> 账户 API 令牌；
点击 创建令牌；
令牌名称自定义；
权限策略 -> 编辑策略：选择 指定域名，然后下拉框选你的主域名；
在下方的权限组列表中，点击展开 DNS & Zones 类别
- 区域 (Zone) - 区域 (Zone) - 勾选读取 (Read)
- 区域 (Zone) - DNS - 勾选 编辑 (Edit)
令牌过期时间建议直接选择 “无过期时间”；
客户端 IP 地址过滤，可以什么都不填，只要你不把 Token 泄露给别人，就是安全的；或者填上运行 acme.sh 脚本的服务器的公网 IP 地址；
审核令牌 -> 创建令牌；
接着会给出 账户ID 和 CF_Token，复制并保存

第二步：在 VPS 切换至 root 并安装 acme.sh

为了后续能够全自动在后台无感续签，这一步全程在 root 用户下执行，以免权限不足导致续签后重载 Caddy 失败。

# SSH 登录 VPS 并切换到 root
sudo -i

# 设置你的真实邮箱，并安装 acme.sh
EMAIL="your_email@example.com"
curl https://get.acme.sh | sh -s email="$EMAIL"

# 切换默认颁发机构为 Let's Encrypt
ACME=/root/.acme.sh/acme.sh
$ACME --set-default-ca --server letsencrypt

第三步：隐式导入 Token 并申请证书

为防止 Token 泄露到 .bash_history 中，我们使用静默输入：

# 执行后，直接粘贴你的 Token 并回车（屏幕上不会显示）
read -rsp 'Cloudflare API Token: ' CF_Token
echo
export CF_Token
export CF_Account_ID="你的Account_ID"

# 申请证书 (必须同时包含 Reality 直连域名和 CDN 回源域名，否则 Cloudflare 在“完全(严格)”模式下回源会报 526 证书错误)
$ACME --issue --dns dns_cf -d "reality.example.com" -d "cdn.example.com"

第四步：提取证书并配置自动授权重载

我们需要把证书提取到 Caddy 的配置目录，每次续签后，私钥文件的属主会被重置为 root，这将导致低权限运行的 Caddy 无法读取私钥而崩溃。因此必须在 --reloadcmd 中加入 chown 权限交接命令：

# 创建目录
mkdir -p /etc/caddy/certs

# 提取证书并设定重载命令
# 安装时只需要指定主域名（第一个 -d 域名），acme.sh 会自动关联
$ACME --install-cert -d "reality.example.com" \
--key-file       /etc/caddy/certs/reality.key \
--fullchain-file /etc/caddy/certs/reality.crt \
--reloadcmd     "chown caddy:caddy /etc/caddy/certs/reality.* && systemctl reload caddy"

[!NOTE] 证书安装后，私钥文件默认权限为 -rw-------（600），仅属主（root）可读写。
若 Caddy 以 caddy 用户运行，需确保其能读取。上述 reloadcmd 中的 chown 已解决属主问题。
若需进一步限制权限，可额外执行 chmod 640 /etc/caddy/certs/reality.key。

[!TIP] 此时报错 Reload error for: reality.example.com / caddy.service is not active 无伤大雅，因为我们在下一步才正式启动应用。

完成后，输入 exit 退出 root 环境，返回普通用户。

3.8 启动服务

启动前检查
为避免 permission denied 错误，请再次确认以下路径的属主正确：

# Caddy 日志目录
sudo mkdir -p /var/log/caddy
sudo chown -R caddy:caddy /var/log/caddy
sudo chmod 755 /var/log/caddy

# 证书文件
ls -la /etc/caddy/certs/
# 应显示 -rw-r--r-- 1 caddy caddy reality.crt
# 应显示 -rw------- 1 caddy caddy reality.key

# 若属主不是 caddy，请执行修正：
sudo chown -R caddy:caddy /var/log/caddy
sudo chown caddy:caddy /etc/caddy/certs/reality.*
sudo chmod 640 /etc/caddy/certs/reality.key

正式启动：

sudo systemctl enable --now xray caddy

验证状态：

systemctl show xray --property=User,Group
systemctl show caddy --property=User,Group
ls -l /run/xray/ /run/caddy/

理想输出：

User=caddy
Group=

---

User=caddy
Group=caddy

# /run/xray/
srwxr-xr-x 1 caddy caddy 0 ... xhttp_in.sock
-rw-r--r-- 1 caddy caddy 0 ... xhttp_in.sock.lock

# /run/caddy/
s-w------- 1 caddy caddy 0 ... tls_gate.sock

3.9 后续更新

更新 Xray-core

官方安装脚本支持直接升级，新版本发布后，重新运行安装命令即可：

# 检查是否有新版本
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ check

# 升级到最新 Pre-release（推荐）
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

脚本会自动检测版本号差异、下载新二进制、替换并重启服务。你的 config.json、override.conf、日志等配置文件全部保留，不会被覆盖。

升级后 systemd 主 service 文件会被重写为默认的 User=nobody，但 override.conf（User=caddy）优先级更高，运行时用户不受影响。若要消除 Special user nobody configured 警告，可手动修复：
sudo sed -i 's/User=nobody/User=caddy/' /etc/systemd/system/xray.service
sudo systemctl daemon-reload

更新 Caddy

通过 apt 更新：

sudo apt update
sudo apt upgrade caddy -y

4. 客户端配置

请跳转我另一篇文章个人 Xray-core 客户端自用配置分享

【完】

友情推荐

使用 Nginx 作为反代的教程：
- Debian 13 VPS 安全加固与 Xray VLESS + REALITY 手动部署
  - 本文从中学习到了 read -rsp 静默输入这一用法
ECH 相关教程：
- XHTTP + CDN + ECH配置教程

后话

xray-core v26.9.8 Commit 47cfe999

RPRX 移除了版本号校验：

        } else {
            // config.MinClientVer = []byte{26, 3, 27}
            // errors.LogWarning(context.Background(), `REALITY: The default minimal client version is Xray-core v26.3.27...`)
        }

并且 REALITY 库推行了强制校验 ClientHello 必须带有后量子密钥交换 X25519MLKEM768，否则判定为过时/异常握手，直接触发回落的新的抗探测规则。（嘻嘻

在 Windows 上使用 rclone 与 WinSW 挂载 WebDAV 为系统服务

Wed, 14 Oct 2026 15:06:00 GMT

为了在本地直接使用播放器观看远端 OpenList 上的视频，我近期将 WebDAV 存储挂载到了 Windows 本地。

起初考虑过编写轻量脚本在开机时静默运行，但这类方式缺乏进程守护、日志追踪能力，遇到网络瞬断退出后不会自动恢复，因此通过 WinSW 将 Rclone 封装为 Windows 系统服务。

准备工作

本方案基于以下环境与工具：

操作系统：Windows 10
存储工具：Rclone v1.74
内核驱动：WinFsp 2.1
服务封装：WinSW v3（自编译）

1. 安装 WinFsp 驱动

在 Windows 上通过 Rclone 挂载本地盘符需要依赖 WinFsp 提供的 FUSE 兼容层。

可以使用包管理器安装，在终端中执行：

winget install WinFsp.WinFsp

或者使用 Scoop：

scoop install winfsp

安装完成后不需要重启电脑，驱动会直接加载就绪。

2. 规划工作目录

建议建立一个专用的服务目录，例如 D:\Program\rclone-service。

同时，单独规划一个容量充裕的缓存目录，例如 D:\Cache\rclone_cache。

缓存目录所在的分区必须使用 NTFS 文件系统，后续的 VFS 缓存依赖底层对稀疏文件的支持。

在终端中先建好所需目录：

New-Item -ItemType Directory -Force -Path "D:\Program\rclone-service\logs", "D:\Cache\rclone_cache"

将编译/下载好的 WinSW.exe 复制到 D:\Program\rclone-service 目录下备用。（winsw官方仓库已经许久未发版，建议浅克隆并自编译）

搭建步骤

第一步：配置 WebDAV 连接

在正式挂载前，需要先配置好 Rclone 对 WebDAV 的访问凭据。不建议明文密码直接写入文件，可以使用 Rclone 自带的加密命令对密码进行混淆处理：

rclone obscure "你的实际密码"

执行后终端会输出一段经过混淆的字符串。

接下来在 D:\Program\rclone-service 目录下创建 rclone.conf 配置文件，内容如下：

[openlist]
type = webdav
url = https://openlist.example.com:443/dav/
vendor = other
user = your_username
pass = 刚才输出的混淆字符串

不懂的参数请前往官方文档查阅：https://doc.oplist.org/guide/advanced/webdav

配置完成后，可以先在命令行中测试一下与远端服务的网络连通性：

rclone lsd openlist: --config "D:\Program\rclone-service\rclone.conf"

如果控制台能够正常列出服务端的目录，说明基础网络和凭据均已正确。

我的远端目录有 Anime 文件夹，进一步测试查看子目录的命令是：

rclone lsd openlist:Anime --config "D:\Program\rclone-service\rclone.conf"

第二步：编写 WinSW 服务文件

在 D:\Program\rclone-service 目录下创建名为 WinSW.xml 的服务定义文件。

将服务定义文件与主程序同名命名为 WinSW.xml，可以让 WinSW 在执行常用命令时默认加载，省去每次输入配置路径的麻烦。文件完整内容如下：

<service>
  <id>rclone-openlist</id>
  <name>Rclone OpenList Mount</name>
  <description>Mount OpenList WebDAV as O</description>

  <executable>rclone</executable>
  <workingdirectory>%BASE%</workingdirectory>

  <!-- 挂载参数针对流媒体播放优化，路径均采用自包含变量 -->
  <arguments>mount openlist:Anime O: --config "%BASE%\rclone.conf" --vfs-cache-mode full --cache-dir "D:\Cache\rclone_cache" --vfs-cache-max-size 30G --vfs-cache-max-age 24h --vfs-disk-space-total-size 931G --buffer-size 16M --vfs-read-ahead 0 --vfs-read-chunk-size 8M --vfs-read-chunk-size-limit 2G --vfs-fast-fingerprint --volname "OpenList-Anime" --network-mode --log-file "%BASE%\logs\rclone.log" --log-level INFO</arguments>

  <!-- 日志轮转单文件上限 2 MB，保留最近 5 份 -->
  <log mode="roll-by-size">
    <logpath>%BASE%\logs</logpath>
    <sizeThreshold>2048</sizeThreshold>
    <keepFiles>5</keepFiles>
  </log>

  <!-- 崩溃重试 -->
  <onfailure action="restart" delay="10 sec"/>
  <onfailure action="restart" delay="30 sec"/>
  <onfailure action="restart" delay="1 min"/>
  <resetfailure>1 hour</resetfailure>

  <priority>Normal</priority>
  <stoptimeout>15 sec</stoptimeout>
</service>

说明

%BASE%：WinSW 的内置环境变量，指向 WinSW.exe 所在的当前目录。使用该变量可以让服务目录整体迁移时不需要修改内部路径。
--vfs-cache-mode full：开启完整的 VFS 缓存。此模式下 Rclone 会在本地创建稀疏文件，只把播放器真正读到的数据缓存到本地，支持播放器随意拖动进度条。
--cache-dir "D:\Cache\rclone_cache"：将缓存统一放在专用的存储目录，避免占用系统盘。
--vfs-cache-max-size 30G 与 --vfs-cache-max-age 24h：设置缓存上限为 30GB，且数据在 24 小时未访问后自动清理。
--vfs-read-ahead 0：将强制预读关闭。流媒体播放大文件时，如果设置了过大的预读值，Rclone 会持续下载文件开头的数据并占满带宽，导致播放器跳到文件末尾读取索引的请求排队超时。关闭预读后，数据拉取完全由播放器的实际寻道请求按需触发。
--vfs-read-chunk-size 8M：将初始数据分块从默认的 128M 降低到 8M，加快视频首帧和尾部索引数据的响应速度。
--vfs-disk-space-total-size 931G：手动指定虚拟磁盘的总容量。由于 WebDAV 常常缺少容量配额接口，Rclone 在源码中硬编码了默认填充 1 PiB 作为备用空间。这个参数不加也无所谓，不影响。
--network-mode 与 --volname "OpenList-Anime"：通知 WinFsp 以网络共享卷的形式暴露给系统，并为盘符设置直观的卷标名称。
<onfailure>：配置系统服务异常退出后的自动重启策略，即使遇到网络波动中断，WinSW 也会在后台自动尝试重新拉起。

第三步：配置注册表启用提权互通

Windows 服务默认以 SYSTEM 账户在 Session 0 中运行，而普通桌面和文件管理器运行在用户会话中。

按照本文档配置的是以服务形式挂载的网络驱动器，为了能够在桌面环境中被正常访问，需要修改一次注册表项。

以管理员身份打开终端，执行以下命令：

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "EnableLinkedConnections" -Value 1 -Type DWord -Force

该设置确保提权进程与非提权进程之间共享网络驱动器映射，配置一次即可长期生效。

第四步：注册并启动系统服务

以管理员身份打开终端，进入服务所在目录执行安装与启动命令：

cd D:\Program\rclone-service

# 安装系统服务
.\WinSW.exe install

# 启动服务
.\WinSW.exe start

如果使用的是 WinSW v3，可以使用自带的调试命令检查进程拓扑：

.\WinSW.exe dev ps

控制台会以树状形式打印出 WinSW 主服务进程以及由它拉起的 rclone.exe 子进程，能确认后台服务是否正常托管。

第五步：Test

服务启动后，打开 Windows 资源管理器，即可看到新增了一个卷标为 OpenList-Anime (O:) 的网络驱动器。

进入该盘符，尝试使用视频播放器打开一个 1GB 以上的文件，如果视频能在短时间内正常开始播放，且拖动时间轴进度条时画面能够迅速加载，说明按需寻道与分块缓存参数均已生效。

如果遇到加载异常，可以打开 D:\Program\rclone-service\logs\rclone.log 查看 Rclone 日志。

后话

目前这套配置我已在已连续运行 31 天。

在经历日常休眠唤醒以及网络环境切换后，服务均能正常维持，O 盘没有出现脱机现象。

使用播放器播放大码率视频时，进度条拖动与索引加载相对流畅，达到了期望目标。

Linux Desktop 上的 Xray 裸核部署指南

Fri, 11 Sep 2026 00:00:00 GMT

本文档记录在 Debian 13 (Trixie) 桌面环境下部署 Xray-core TProxy IPv4/IPv6 双栈透明代理的流程。

本文的网络拓扑为单机桌面模式，普通用户产生的 TCP/UDP 流量 Xray 接管并按规则分流，Xray 自身发出的外部流量及系统 root 流量则直接放行。

资源文件

安装工具包：

sudo apt update
sudo apt install nftables iproute2 curl

前往 Xray-core Releases 下载 Xray-linux-64.zip（推荐 Pre-release）
前往 MetaCubeX/meta-rules-dat 下载 geoip.dat、geosite.dat 规则文件

目录结构

建议规划如下部署目录：

/opt/proxy/xray/
├── xray                          # Xray-core 可执行文件
├── config/
│   ├── xray.yaml                 # Xray 运行时配置文件 (自行创建)
│   └── xray-tproxy.nft           # nftables 声明式规则集 (自行创建)
├── geo/                          # 规则库资产目录
│   ├── geoip.dat
│   └── geosite.dat
├── logs/                         # 日志
│   ├── access.log
│   └── error.log
└── scripts/                      # 脚本
    ├── tproxy-up.sh              # 规则加载脚本
    ├── tproxy-down.sh            # 规则清理脚本
    └──  rotate-logs.py           # 日志轮转脚本 (可选)

创建目录：

sudo install -d -o root -g root -m 755 /opt/proxy/xray
sudo install -d -o root -g root -m 755 /opt/proxy/xray/config
sudo install -d -o root -g root -m 755 /opt/proxy/xray/geo
sudo install -d -o root -g root -m 755 /opt/proxy/xray/scripts
sudo install -d -o root -g root -m 755 /opt/proxy/xray/logs

将下载的 xray 二进制和 geoip.dat、geosite.dat 放入对应目录，并赋予权限：

sudo chmod 755 /opt/proxy/xray/xray
sudo chmod 644 /opt/proxy/xray/geo/*.dat

配置文件

接下来书写核心配置文件。

1. Xray 配置文件

与 Windows 几乎一致，不同的地方是入站和部分路由

入站需要改为 dokodemo-door / tunnel

涉及到进程的路由建议删除

inbounds:
# 0. TProxy 端口入站 (双栈混合监听，IPv4/IPv6 共用 12345)
- tag: tproxy-in
  port: 12345
  protocol: dokodemo-door
  settings:
    network: tcp,udp
    followRedirect: true
  sniffing:
    enabled: true
    destOverride: [http, tls, quic]
    metadataOnly: false
    routeOnly: false
  streamSettings:
    sockopt:
      tproxy: tproxy
      # 可选显式设置 IPv6 transparent，弥补 Xray 对 IPv6 TPROXY inbound 的默认 sockopt 覆盖
      # customSockopt:
      #   - system: linux
      #     network: tcp
      #     type: int
      #     level: "41"
      #     opt: "75"
      #     value: "1"
      #   - system: linux
      #     network: udp
      #     type: int
      #     level: "41"
      #     opt: "75"
      #     value: "1"

# 1. Socks 入站
- tag: socks-in
  port: 10808
  listen: 127.0.0.1
  protocol: socks
  settings:
    auth: noauth
    udp: true
  sniffing:
    enabled: true
    destOverride: [http, tls, quic]
    metadataOnly: false
    routeOnly: false

# 2. HTTP 入站
- tag: http-in
  port: 10809
  listen: 127.0.0.1
  protocol: http
  sniffing:
    enabled: true
    destOverride: [http, tls, quic]
    metadataOnly: false
    routeOnly: false

2. nftables 规则文件

#!/usr/sbin/nft -f

table inet xray {
    # 绕行保留地址与局域网网段 (IPv4)
    set reserved_v4 {
        type ipv4_addr
        flags interval
        elements = {
            0.0.0.0/8,
            10.0.0.0/8,
            100.64.0.0/10,
            127.0.0.0/8,
            169.254.0.0/16,
            172.16.0.0/12,
            192.0.0.0/24,
            224.0.0.0/4,
            240.0.0.0/4
        }
    }

    # 绕行保留地址与特殊网段 (IPv6)
    set reserved_v6 {
        type ipv6_addr
        flags interval
        elements = {
            ::1/128,
            fe80::/10,
            fc00::/7,
            ff00::/8
        }
    }

    chain prerouting {
        type filter hook prerouting priority mangle; policy accept;

        # 匹配已建立透明代理连接的 TCP 数据包，打标后直通
        meta l4proto tcp socket transparent 1 socket wildcard 0 meta mark set 1 accept

        # 绕行无需代理的保留/私网地址
        ip daddr @reserved_v4 return
        ip6 daddr @reserved_v6 return

        # 绕行局域网非 DNS 流量（放行 53 端口）
        ip daddr 192.168.0.0/16 tcp dport != 53 return
        ip daddr 192.168.0.0/16 udp dport != 53 return

        # 放行 Xray 自身出站打标流量
        meta mark 0xff return

        # 透明代理转发 TCP 与 UDP 流量至本地 12345 端口
        meta l4proto { tcp, udp } tproxy to :12345 meta mark set 1 accept
    }

    chain output {
        type route hook output priority mangle; policy accept;

        # 绕行无需代理的保留/私网地址
        ip daddr @reserved_v4 return
        ip6 daddr @reserved_v6 return

        # 绕行局域网非 DNS 流量
        ip daddr 192.168.0.0/16 tcp dport != 53 return
        ip daddr 192.168.0.0/16 udp dport != 53 return

        # 放行 Xray 自身出站流量及 root 权限进程流量
        meta mark 0xff return
        meta skuid root return

        # 拦截用户 your_username 发出的 TCP 和 UDP 流量，打上 mark 1 以触发策略路由重定向至 lo
        meta skuid "你地鸣至" meta l4proto { tcp, udp } meta mark set 1
    }
}

3. 启停脚本

启动脚本 `tproxy-up.sh`

负责配置策略路由（IPv4 table 100 / IPv6 table 106）并加载 nftables 配置。

#!/bin/bash

set -e
echo "[INFO] 加载 Xray TProxy (nftables) 规则..."

# 配置策略路由（IPv4 table 100 / IPv6 table 106）
ip route add local default dev lo table 100 2>/dev/null || true
ip rule add fwmark 1 table 100 2>/dev/null || true
ip -6 route add local default dev lo table 106 2>/dev/null || true
ip -6 rule add fwmark 1 table 106 2>/dev/null || true

# 加载 nftables 规则
/usr/sbin/nft -f /opt/proxy/xray/config/xray-tproxy.nft

echo "[INFO] Xray TProxy (nftables) 规则加载完成。"

停止脚本 `tproxy-down.sh`

#!/bin/bash

echo "[INFO] 清理 Xray TProxy 规则..."

# 卸载并销毁 nftables 表
/usr/sbin/nft delete table inet xray 2>/dev/null || true

# 清理策略路由（IPv4 table 100 / IPv6 table 106）
ip rule del fwmark 1 table 100 2>/dev/null || true
ip route flush table 100 2>/dev/null || true
ip -6 rule del fwmark 1 table 106 2>/dev/null || true
ip -6 route flush table 106 2>/dev/null || true

echo "[INFO] Xray TProxy (nftables) 规则清理完成。"

赋予执行权限：

sudo chmod 755 /opt/proxy/xray/scripts/*.sh

Systemd 服务

将 Xray 注册为系统级守护进程，并在启动与退出时自动调用启停脚本：

[Unit]
Description=Xray Core Service (Standalone nftables TProxy Mode)
After=network.target nss-lookup.target

[Service]
Type=simple
User=root
WorkingDirectory=/opt/proxy/xray
Environment="XRAY_LOCATION_ASSET=/opt/proxy/xray/geo"
RuntimeDirectory=xray
RuntimeDirectoryMode=0755
ExecStart=/opt/proxy/xray/xray run -config /opt/proxy/xray/config/xray.yaml
ExecStartPost=/opt/proxy/xray/scripts/tproxy-up.sh
ExecStopPost=/opt/proxy/xray/scripts/tproxy-down.sh
Restart=on-failure
RestartSec=3s
LimitNOFILE=1000000
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW

[Install]
WantedBy=multi-user.target

启动

1. 启动服务

修改日志文件属主为 root，随后启动服务：

sudo touch /opt/proxy/xray/logs/access.log /opt/proxy/xray/logs/error.log
sudo chown root:root /opt/proxy/xray/logs/*.log
sudo chmod 644 /opt/proxy/xray/logs/*.log

sudo systemctl daemon-reload
sudo systemctl enable --now xray

查看服务状态：

sudo systemctl status xray --no-pager

查看 nftables 规则是否已加载：

sudo /usr/sbin/nft list table inet xray

查看策略路由：

ip rule show | grep 100
ip -6 rule show | grep 106

测试双栈连通性：

# 验证 IPv4 国内直连
curl -4 -I --max-time 5 https://www.baidu.com

# 验证 IPv6 国内直连
curl -6 -I --max-time 5 https://www.baidu.com

# 验证海外节点代理出站
curl -I --max-time 5 https://www.google.com

实时日志：

tail -n 20 /opt/proxy/xray/logs/access.log

期望输出应类似下面的，表明双栈流量均成功经由 TProxy 分流：

accepted tcp:172.217.119.4:443 [tproxy-in -> proxy]
accepted tcp:[2001:4860:4843:400::]:443 [tproxy-in -> proxy]
accepted tcp:[2409:...]:443 [tproxy-in -> direct]

完结撒花了，下文是可选配置。

可选增强

1. 日志自动轮转

Xray-core 自身不提供日志文件按大小自动切割能力。可以通过 Python 脚本结合 Xray 提供的 xray api restartlogger 实现平滑轮转。

<details> <summary>点击展开/收起 <code>rotate-logs.py</code></summary>

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""Xray 日志自动轮转脚本 (单文件超过 5 MB 触发，保留 3 份历史备份)"""

import datetime
import glob
import os
import shutil
import subprocess

XRAY_BIN = "/opt/proxy/xray/xray"
LOG_DIR = "/opt/proxy/xray/logs"
API_SERVER = "127.0.0.1:10085"
MAX_LOG_BYTES = 5 * 1024 * 1024
MAX_BACKUP_COUNT = 3


def prune_backups(log_path):
    pattern = f"{log_path}.*.bak"
    backups = sorted(glob.glob(pattern), key=os.path.getmtime)
    while len(backups) > MAX_BACKUP_COUNT:
        oldest = backups.pop(0)
        try:
            os.remove(oldest)
        except Exception:
            pass


def restart_logger():
    cmd = [XRAY_BIN, "api", "restartlogger", f"-server={API_SERVER}"]
    res = subprocess.run(cmd, capture_output=True, text=True, timeout=5)
    if res.returncode != 0:
        raise RuntimeError(f"restartlogger failed: {res.stderr or res.stdout}")


def main():
    targets = []
    for name in ("access.log", "error.log"):
        p = os.path.join(LOG_DIR, name)
        if os.path.exists(p) and os.path.getsize(p) >= MAX_LOG_BYTES:
            ts = datetime.datetime.now().strftime("%Y%m%d_%H%M%S")
            targets.append((p, f"{p}.{ts}.bak"))

    if not targets:
        return

    # 1. 优先尝试：原子重命名 + gRPC API restartlogger
    try:
        for orig, bak in targets:
            os.rename(orig, bak)
        restart_logger()
        for orig, _ in targets:
            prune_backups(orig)
    except Exception:
        # 2. 失败自动降级到 copytruncate
        for orig, bak in targets:
            if not os.path.exists(orig) and os.path.exists(bak):
                os.rename(bak, orig)
            shutil.copy2(orig, bak)
            with open(orig, "r+", encoding="utf-8", errors="ignore") as f:
                f.truncate(0)
            prune_backups(orig)


if __name__ == "__main__":
    main()

</details>

配合 Systemd Timer 每天执行一次日志检查：

[Unit]
Description=Run Xray log rotation daily

[Timer]
OnBootSec=10min
OnCalendar=daily
Persistent=true
Unit=xray-rotate.service

[Install]
WantedBy=timers.target

[Unit]
Description=Rotate Xray logs

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/proxy/xray/scripts/rotate-logs.py

Windows 上的 Xray 裸核部署指南

Fri, 11 Sep 2026 00:00:00 GMT

本文档记录在 Windows 上部署 Xray-core 裸核的流程。

资源文件

前往 https://github.com/XTLS/Xray-core/releases 下载 Xray-windows-64.zip（推荐 Pre-release，本文以 v26.9.9 为例）
前往 https://github.com/SagerNet/sing-box/releases 下载 sing-box-1.14.0-windows-amd64.zip（singbox变动频繁，暂时推荐 Release，本文以 v1.14.0 为例）

注：如果不打算使用 TUN 虚拟网卡或者打算使用 XrayTUN，可以略过 Singbox 的资源下载
前往 https://github.com/winsw/winsw/releases 下载 WinSW-x64.exe（推荐 Pre-release）

注：由于 winsw 最近一次的 release 在三年前，更建议克隆仓库自行构建新版本

.NET 10 构建命令为：
```
$HASH = (git rev-parse --short HEAD)
dotnet publish src/WinSW/WinSW.csproj -c Release -f net10.0-windows -r win-x64 --self-contained true -p:Version="3.0.0" -p:InformationalVersion="3.0.0-alpha.11+$HASH"
```
- 产物路径：artifacts\bin\WinSW\Release\net10.0-windows\win-x64\publish\WinSW.exe

目录结构

下载完资源文件后，创建如下目录结构：

D:\Programs\Proxy\
├── Xray\                          # Xray-core 目录
│   ├── xray.exe                   # Xray-core 二进制文件
│   ├── wintun.dll                 # TUN 驱动库（官方资源包附带）
│   ├── config\
│   │   └── xray.yaml              # 你的 Xray 配置文件
│   ├── geo\                       # 规则库资产目录（官方资源包附带）
│   │   ├── geoip.dat
│   │   └── geosite.dat
│   ├── logs\                      # 日志目录
│   └── scripts\
│       ├── winsw.exe              # WinSW 服务包装器
│       └── winsw.xml              # WinSW 服务文件（自行创建）
│
└── SingBox\                       # Sing-Box 目录
    ├── sing-box.exe               # Sing-Box 二进制文件
    ├── libcronet.dll              # Cronet 网络库（官方资源包附带）
    ├── config\
    │   └── sing-box.json          # 你的 Sing-Box 配置文件（自行创建）
    ├── dashboard\                 # Web Dashboard 面板资源（可选）
    ├── logs\                      # 日志目录
    └── scripts\
        ├── winsw.exe              # WinSW 服务包装器
        └── winsw.xml              # WinSW 服务文件（自行创建）

配置文件

接下来书写配置文件，需要准备：

xray config

裸核需要 Full Config，请参考我另一篇文章个人 Xray-core 客户端自用配置分享，此处不赘述

singbox config

~~个人认为，个人认为，个人认为！目前 xray tun 还不够成熟，因此使用 singbox 中的 singtun 代替 xray tun~~

{
  "log": {
    "level": "warn",
    "output": "d:\\Programs\\Proxy\\SingBox\\logs\\sing-box.log",
    "timestamp": true
  },
  "dns": {
    "servers": [
      {
        "type": "tcp",
        "tag": "remote-dns",
        "detour": "to-xray",
        "server": "8.8.8.8",
        "server_port": 53
      },
      {
        "type": "udp",
        "tag": "direct-dns",
        "detour": "direct",
        "server": "223.5.5.5",
        "server_port": 53
      }
    ],
    "final": "remote-dns",
    "strategy": "prefer_ipv4",
    "cache_capacity": 4096
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "interface_name": "singbox-tun",
      "mtu": 9000,
      "address": [
        "172.19.0.1/30",
        "fdfe:dcba:9876::1/126"
      ],
      "auto_route": true,
      "stack": "system",
      "endpoint_independent_nat": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "to-xray",
      "server": "127.0.0.1",
      "server_port": 10808
    },
    {
      "type": "direct",
      "tag": "direct",
      "domain_resolver": "direct-dns"
    }
  ],
  "route": {
    "rules": [
      {
        "action": "sniff"
      },
      {
        "network": "udp",
        "port": [135, 137, 138, 139, 1900, 3702, 5353],
        "action": "reject",
        "method": "drop"
      },
      {
        "ip_cidr": [
          "224.0.0.0/3",
          "ff00::/8"
        ],
        "action": "reject",
        "method": "drop"
      },
      {
        "ip_cidr": [
          "172.19.0.1/32",
          "fdfe:dcba:9876::1/128"
        ],
        "action": "reject",
        "method": "drop"
      },
      {
        "protocol": "dns",
        "action": "hijack-dns"
      },
      {
        "process_name": [
          "xray.exe",
          "xray",
          "Weixin.exe",
          "QQ.exe",
          "QQMusic.exe"
        ],
        "outbound": "direct"
      }
    ],
    "final": "to-xray",
    "auto_detect_interface": true
  },
  "experimental": {
    "cache_file": {
      "enabled": true
    },
    "clash_api": {
      "external_controller": "127.0.0.1:9090",
      "external_ui": "dashboard",
      "external_ui_download_url": "https://github.com/Zephyruso/zashboard/releases/download/v3.22.0/dist-no-fonts.zip",
      "external_ui_download_detour": "to-xray",
      "secret": "SakiSakiSakiSakiSakiSakiSakiSaki",
      "default_mode": "rule"
    }
  }
}

clash_api 可以使用 Zashboard WebUI 来查看，推荐先把 WebUI 资源包下载并解压，解压后的目录大致为：

└── SingBox\                           # Sing-Box 目录
    └── dashboard\                     # Zashboard WebUI 面板资源
        ├── index.html
        ├── assets\                    # Zashboard 编译产物
        │   └── ...
        └── ...

不需要 WebUI 的话，将 "experimental": {……} 删除即可

<details> <summary>点击展开/收起仅推荐 v3.22.0 的原因</summary>

zashboard 在 v3.23.0 后不再支持 Sing-box 请见：<a href="https://github.com/Zephyruso/zashboard/blob/main/docs/sing-box-deprecation.md">sing-box-deprecation.md</a>

<blockquote> 结束对 sing-box 的支持 zashboard 将在3.23.0版本移除对 sing-box 的支持，包括 sing-box 原生 gRPC API 以及 sing-box 提供的 Clash API的兼容性支持。

为什么停止支持 <img src="https://github.com/Zephyruso/zashboard/raw/main/docs/image.png" alt="" /> 本来只是工作之余出于兴趣写个面板，没想到还有赛博皇帝在那狗叫，没兴趣兼容这种项目了。 使用zashboard的sing-box用户：很抱歉，推荐你们使用其他项目。 </blockquote>

</details>

xray 目录的 winsw.xml

接下来将xray和singbox封装为系统服务，需要分别为它们创建 winsw.xml

<service>
  <!-- 服务基本信息 -->
  <id>Xray</id>
  <name>Xray Core Service</name>
  <description>Xray Core Service</description>
  
  <!-- 使用环境变量指定 geo 资产目录 (指向 D:\Programs\Proxy\Xray\geo) -->
  <env name="xray.location.asset" value="%BASE%\..\geo" />

  <!-- 可执行文件指向 D:\Programs\Proxy\Xray\xray.exe -->
  <executable>%BASE%\..\xray.exe</executable>
  
  <!-- Xray 启动参数 -->
  <arguments>run -c config\xray.yaml</arguments>
  
  <!-- 工作目录设置为根目录 D:\Programs\Proxy\Xray -->
  <workingdirectory>%BASE%\..</workingdirectory>
  
  <!-- 启动设置 -->
  <!-- 设置服务进程的 CPU 优先级 -->
  <!-- delayedAutoStart: 延迟启动，系统启动完关键服务后再启动此服务 -->
  <!-- priority: 进程优先级，设置为低于正常优先级，避免影响系统性能 -->
  <!-- idle：空闲优先级（最低） -->
  <!-- belownormal：低于正常优先级 -->
  <!-- normal：正常优先级（默认） -->
  <!-- abovenormal：高于正常优先级 -->
  <!-- high：高优先级 -->
  <!-- realtime：实时优先级（最高，慎用） -->
  <delayedAutoStart>true</delayedAutoStart>
  <priority>normal</priority>

  <!-- WinSW 自身日志输出 -->
  <logpath>%BASE%\..\logs</logpath>
  <log mode="roll-by-size">
    <sizeThreshold>2048</sizeThreshold>
    <keepFiles>14</keepFiles>
  </log>

  <!-- 错误重启与超时设置 -->
  <onfailure action="restart" delay="10 sec"/>
  <onfailure action="restart" delay="30 sec"/>
  <onfailure action="restart" delay="1 min"/>
  
  <resetfailure>1 hour</resetfailure>
  <stoptimeout>30sec</stoptimeout>
</service>

sing-box 目录的 winsw.xml

同理，创建：

<service>
  <id>SingBox-Tun</id>
  <name>SingBox TUN Service</name>
  <description>SingBox Wintun Layer for Xray</description>

  <!-- 使用依赖项让 Xray 先运行，再启动 sing-box TUN -->
  <depend>Xray</depend>

  <executable>%BASE%\..\sing-box.exe</executable>
  <arguments>run -c config\sing-box.json</arguments>
  <workingdirectory>%BASE%\..</workingdirectory>

  <delayedAutoStart>true</delayedAutoStart>
  <priority>normal</priority>

  <logpath>%BASE%\..\logs</logpath>
  <log mode="roll-by-size">
    <sizeThreshold>2048</sizeThreshold>
    <keepFiles>7</keepFiles>
  </log>

  <onfailure action="restart" delay="5 sec"/>
  <onfailure action="restart" delay="15 sec"/>
  <onfailure action="restart" delay="30 sec"/>
  <resetfailure>1 hour</resetfailure>
  <stoptimeout>15sec</stoptimeout>
</service>

安装并启动服务

现在使用 WinSW 安装为服务，以管理员身份启动 pwsh 分别执行：

# 安装 SingTUN 服务
d:\Programs\Proxy\SingBox\scripts\winsw.exe install

# 安装 Xray-core 服务
d:\Programs\Proxy\Xray\scripts\winsw.exe install

安装完成后，请再次检查所需文件是否已准备完毕。

接下来继续在 pwsh 终端执行：

# 由于已经在 winsw.xml 写了 <depend>，只需要启动 singtun 的服务就会自动拉起 xray-core
d:\Programs\Proxy\SingBox\scripts\winsw.exe start

# 查看状态，期望输出应是 Active (running)
d:\Programs\Proxy\SingBox\scripts\winsw.exe status
d:\Programs\Proxy\Xray\scripts\winsw.exe status

教程到这里结束了，下文是可选的配置

可选增强

快捷启停

WinSW 提供了几个执行命令，可以封装为快捷方式，配合 Win10 的开始菜单磁贴使用（Win11 我不知道还能不能用，但放到桌面用也是差不多的）

<details> <summary>点击展开/收起命令详情</summary>

.\winsw.exe install      # 安装服务
.\winsw.exe start        # 启动服务
.\winsw.exe stop         # 停止服务
.\winsw.exe restart      # 重启服务
.\winsw.exe status       # 查看状态
.\winsw.exe uninstall    # 卸载服务

</details>

创建以下文件：

D:\Programs\Proxy\
└── Xray\
    ├── xray.exe
    └── scripts\
        ├── winsw.exe
        ├── winsw.xml
        ├── restart-xray.ps1       # 重启
        ├── start-xray.ps1         # 启动
        └── stop-xray.ps1          # 停止

<details> <summary>点击展开/收起三个文件写入内容</summary>

$scriptDir = Split-Path -Parent $MyInvocation.MyCommand.Definition
Set-Location $scriptDir
Write-Host "Restarting Xray & SingBox-Tun services..."
Start-Process winsw.exe -ArgumentList "restart", "--force" -Wait
Write-Host "Xray service restart command issued."

$scriptDir = Split-Path -Parent $MyInvocation.MyCommand.Definition
Set-Location $scriptDir
Write-Host "Starting SingBox-Tun & Xray..."
$singboxWinsw = Join-Path $scriptDir "..\..\SingBox\scripts\winsw.exe"
Start-Process $singboxWinsw -ArgumentList "start" -Wait
Write-Host "All services started."

$scriptDir = Split-Path -Parent $MyInvocation.MyCommand.Definition
Set-Location $scriptDir
Write-Host "Stopping Xray & SingBox-Tun services..."
Start-Process winsw.exe -ArgumentList "stop", "--force" -Wait
Write-Host "Xray service stop command issued."

</details>

接下来选中这三个脚本，鼠标右键 -> 创建快捷方式

在 C:\Users\你地鸣至\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ 新建一个文件夹 Proxy，

然后把这三个快捷方式放进去，就能在开始菜单放置磁贴并一键操作了（快捷方式可以自定义图标、名称）

日志轮转

Xray-core 和 Singbox 自身不提供按大小或时间自动切割日志的能力，建议通过外部脚本轮转，或者不写入 log 物理文件

另，Xray-core 提供了 xray api restartlogger，能让 Xray 重新打开日志句柄

这部分不做示例，~~因为我的脚本写得太乱~~，你可以让 GenAI 帮助你快速创建一个轮转的 python 脚本

需要轮转的对象：sing-box.log、access.log、error.log

客户端：Xray-core 自用配置

Mon, 07 Sep 2026 00:00:00 GMT

[!TIP] 本文的服务端配置请参考我另一篇文章 Xray + Caddy 单端口五合一 VLESS XHTTP 部署

由于三台机器每台机器都配置 5 个出站节点，使用 Jsonc 书写配置将重复大量内容，所以改为支持锚点的 YAML，配合锚点，旧可以在顶部统一定义模板并快速填写节点信息，在出站字段处直接引用，大幅减少重复代码

机器信息

机器	线路	月配额	定位
机器 A：HKG 移动快乐机	香港 CMI / 普通国际直连	1000G @ 500Mbps	常规网页 / Tg / GitHub / 国际小包<br/>移动回程快但晚高峰差，大包重传高
机器 B：LAX 三网优化小流量机	美西 CN2 GIA / 9929 / CMIN2	500G @ 200Mbps	AIGC / Google / 重要业务
机器 C：LAX 4837 大流量机	美西 AS4837 联通优化	1000G @ 500Mbps	AIGC 备用 / OpenList / 大流量下载

每台机器都构建 5 个节点：

*-vision：TCP + VLESS + Vision + REALITY 直连；
*-xhttp-reality：XHTTP + REALITY 直连；
*-cdn-up-reality-down：上行走 CDN 隐藏客户端 SNI，下行走 REALITY 直连；
*-cdn-all：纯 CDN 上下行 + ECH；
*-reality-up-cdn-down：上行直连 REALITY，下行走 CDN

踩坑

ECH 纯 IP UDP 动态查询

如何配置 ECH 请参考文章 XHTTP + CDN + ECH配置教程

CDN 节点启用 TLS 1.3 ECH 加密，客户端在握手前需获取公钥

我尝试配置了：

阿里 https://dns.alidns.com/dns-query
- 报错 Post "https://dns.alidns.com/dns-query": context deadline exceeded；
Cloudflare https://cloudflare-dns.com/dns-query
- 报错Failed to query ECH DNS record for domain, An existing connection was forcibly closed by the remote host.

经过一番捣鼓，原因是：

拉取公钥在代理建立前发起（走直连），如果填写阿里云域名 DNS，则需先解析域名并完成 TLS 握手，非常容易触发 xray 硬编码的 5 秒超时……
```
// L269
dnsTimeoutCtx, cancel := context.WithTimeout(context.Background(), 5*time.Second)
defer cancel()

// L288
conn.SetReadDeadline(time.Now().Add(5 * time.Second))
```
至于 CF，可能是我所在的地区无法直连或它的 DoH IP 已经被功夫网阻断

之后我翻阅了 Project X 的文档，这部分有提到：

基础格式为 "udp://1.1.1.1" 表示从 UDP DNS 1.1.1.1 查询，也可以使用 "https://1.1.1.1/dns-query"(或者 h2c://) 这样的格式，代表使用 DOH(h2c) 进行查询(实际使用请替换成当地可用的服务器). 上述三种均支持修改端口号，如 udp://1.1.1.1:53，没写会按照协议默认 53/443.

特别地，可以使用指定的域名用于查询 ECHConfig, 格式为 "example.com+https://1.1.1.1/dns-query" 这样 Xray 会强制使用 example.com 的 DNS 记录中的 ECHConfig 用于连接，如果你想从 DNS 获取 ECHConfig 但又不想暴露自己在查询这个域名的 HTTPS 记录或者在这个域名下发布 HTTPS 记录时有一些用。

因此，使用纯 IP 的 UDP 53 查询成功解决了问题，单次 UDP 报文交互耗时约 10ms（echConfigList: 'yourdomain.com+udp://223.5.5.5:53'）

观测器

XHTTP 多路复用需要多重 TLS/H2/H3 握手，使用高频探测会引发 Client.Timeout exceeded while awaiting headers 假死

因此，我弄了两个观测器，分别是：

burstObservatory（高频探测），仅针对 3 个裸流 TCP 节点（*-vision）做测速；
observatory（标准探测），每 30 秒探测一次，负责全部节点

</details>

客户端配置

要求 xray-core >= v26.9.9 与 v26.7.28 的变动请看基础出站部分

# =========================================================================
# 锚点定义
# =========================================================================
x-anchors:
  # -----------------------------------------------------------------------
  # 0. 用户变量
  # -----------------------------------------------------------------------
  # VPS 1: 香港 HKG 移动快乐
  hkg_ip: &hkg_ip "填入IPx.x.x.x"
  hkg_uuid_01: &hkg_uuid_01 "填入UUID 1"
  hkg_uuid_02: &hkg_uuid_02 "填入UUID 2"
  hkg_reality_sni: &hkg_reality_sni "填入REALITY伪装域名"
  hkg_reality_pubkey: &hkg_reality_pubkey "填入公钥"
  hkg_reality_shortid: &hkg_reality_shortid "填入shortID"
  hkg_cdn_domain: &hkg_cdn_domain "填入套CDN的域名"
  hkg_xhttp_path: &hkg_xhttp_path "填入xhttp path"
  hkg_prefer_cdn_domain: &hkg_prefer_cdn_domain "填入套CDN的域名或优选IP" 

  # VPS 2: 美西 LAX 三网优化
  lax_ip: &lax_ip "填入IPx.x.x.x"
  lax_uuid_01: &lax_uuid_01 "填入UUID 1"
  lax_uuid_02: &lax_uuid_02 "填入UUID 2"
  lax_reality_sni: &lax_reality_sni "填入REALITY伪装域名"
  lax_reality_pubkey: &lax_reality_pubkey "填入公钥"
  lax_reality_shortid: &lax_reality_shortid "填入shortID"
  lax_cdn_domain: &lax_cdn_domain "填入套CDN的域名"
  lax_xhttp_path: &lax_xhttp_path "填入xhttp path"
  lax_prefer_cdn_domain: &lax_prefer_cdn_domain "填入套CDN的域名或优选IP"

  # VPS 3: 美西 LAX 4837
  lax4837_ip: &lax4837_ip "填入IPx.x.x.x"
  lax4837_uuid_01: &lax4837_uuid_01 "填入UUID 1"
  lax4837_uuid_02: &lax4837_uuid_02 "填入UUID 2"
  lax4837_reality_sni: &lax4837_reality_sni "填入REALITY伪装域名"
  lax4837_reality_pubkey: &lax4837_reality_pubkey "填入公钥"
  lax4837_reality_shortid: &lax4837_reality_shortid "填入shortID"
  lax4837_cdn_domain: &lax4837_cdn_domain "填入套CDN的域名"
  lax4837_xhttp_path: &lax4837_xhttp_path "填入xhttp path"
  lax4837_prefer_cdn_domain: &lax4837_prefer_cdn_domain "填入套CDN的域名或优选IP"

  # -----------------------------------------------------------------------
  # 1. 协议、混淆模板
  # -----------------------------------------------------------------------
  sockopt: &default_sockopt
    tcpFastOpen: true
    tcpKeepAliveInterval: 15
    domainStrategy: UseIPv4

  xmux: &default_xmux
    maxConcurrency: 16-32
    cMaxReuseTimes: "0"
    hMaxReusableSecs: 1800-3000
    hKeepAlivePeriod: 0

  xhttp_obfs: &default_xhttp_obfs
    sessionIDTable: Alphabet
    sessionIDLength: 12-20
    xPaddingObfsMode: true
    xPaddingMethod: tokenish
    xPaddingPlacement: queryInHeader
    xPaddingKey: t
    xPaddingHeader: Referer
    scStreamUpServerSecs: 30-60
    xmux: *default_xmux

  # CDN TLS / ALPN / ECH 参数
  cdn_tls_hkg: &cdn_tls_hkg
    fingerprint: chrome
    alpn: [h3, h2]
    echConfigList: '填入套CDN的域名+udp://223.5.5.5:53'

  cdn_tls_lax: &cdn_tls_lax
    fingerprint: chrome
    alpn: [h3, h2]
    echConfigList: '填入套CDN的域名.com+udp://223.5.5.5:53'

  cdn_tls_lax4837: &cdn_tls_lax4837
    fingerprint: chrome
    alpn: [h3, h2]
    echConfigList: '填入套CDN的域名+udp://223.5.5.5:53'

# 日志输出
log:
  loglevel: warning
  access: D:\Programs\Proxy\Xray\logs\access.log
  error: D:\Programs\Proxy\Xray\logs\error.log
  dnsLog: false

# API
api:
  tag: api
  listen: 127.0.0.1:10085
  services: [HandlerService, LoggerService, StatsService, RoutingService, ObservatoryService]

policy:
  levels:
    "0":
      statsUserUplink: true
      statsUserDownlink: true
  system:
    statsInboundUplink: true
    statsInboundDownlink: true
    statsOutboundUplink: true
    statsOutboundDownlink: true

stats: {}

# 节点观测器配置
observatory:
  # 1. 节点健康状态常规观测 (用于 Balancer 持续挑选延迟最低/健康的节点)
  subjectSelector: [HKG-, LAX-, Lax4837-]
  probeUrl: https://www.gstatic.com/generate_204
  probeInterval: 30s
  enableConcurrency: true

burstObservatory:
  # 2. 仅针对 Vision 极速直连节点做高频测速
  subjectSelector: [HKG-vision, LAX-vision, Lax4837-vision]
  pingConfig:
    destination: https://www.gstatic.com/generate_204
    interval: 30s
    timeout: 6s
    sampling: 3
    httpMethod: HEAD

# =========================================================================
# 入站配置
# =========================================================================
inbounds:
# Xray 原生 TUN。如果使用 SingTUN 转发到 Socks，把这里保持注释或删掉
# - tag: tun-in
#   protocol: tun
#   settings:
#     name: utun10
#     desc: Wintun
#     mtu: 1500
#     gateway: ["198.18.0.1/16", "fdfe:dcba:9876::1/64"]
#     dns: ["1.1.1.1", "8.8.8.8"]
#     autoSystemRoutingTable: ["0.0.0.0/0", "::/0"]
#     autoOutboundsInterface: auto
#   sniffing:
#     enabled: true
#     destOverride: [http, tls, quic]
#     metadataOnly: false
#     routeOnly: false

# Socks 入站
  - tag: socks-in
    port: 10808
    listen: "::"
    protocol: socks
    settings:
      auth: noauth
      udp: true
    sniffing:
      enabled: true
      destOverride: [http, tls, quic]
      metadataOnly: false
      routeOnly: false

# HTTP 入站
  - tag: http-in
    port: 10809
    listen: "::"
    protocol: http
    sniffing:
      enabled: true
      destOverride: [http, tls, quic]
      metadataOnly: false
      routeOnly: false

# =========================================================================
# 出站配置
# =========================================================================
outbounds:
# -----------------------------------------------------------------------
# VPS 1
# -----------------------------------------------------------------------
- tag: HKG-vision
  protocol: vless
  settings:
    vnext:
    - address: *hkg_ip
      port: 443
      users:
      - id: *hkg_uuid_01
        flow: xtls-rprx-vision
        encryption: none
  streamSettings:
    network: tcp
    security: reality
    realitySettings:
      serverName: *hkg_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *hkg_reality_pubkey
      shortId: *hkg_reality_shortid
      spiderX: /
    sockopt: *default_sockopt

- tag: HKG-xhttp-reality
  protocol: vless
  settings:
    vnext:
    - address: *hkg_ip
      port: 443
      users:
      - id: *hkg_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *hkg_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *hkg_reality_pubkey
      shortId: *hkg_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *hkg_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: HKG-cdn-up-reality-down
  protocol: vless
  settings:
    vnext:
    - address: *hkg_prefer_cdn_domain
      port: 443
      users:
      - id: *hkg_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *hkg_cdn_domain
      <<: *cdn_tls_hkg
    xhttpSettings:
      host: *hkg_cdn_domain
      path: *hkg_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *hkg_ip
        port: 443
        network: xhttp
        security: reality
        realitySettings:
          serverName: *hkg_reality_sni
          fingerprint: chrome
          show: false
          publicKey: *hkg_reality_pubkey
          shortId: *hkg_reality_shortid
          spiderX: /
        xhttpSettings:
          path: *hkg_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: HKG-cdn-all
  protocol: vless
  settings:
    vnext:
    - address: *hkg_prefer_cdn_domain
      port: 443
      users:
      - id: *hkg_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *hkg_cdn_domain
      <<: *cdn_tls_hkg
    xhttpSettings:
      host: *hkg_cdn_domain
      path: *hkg_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: HKG-reality-up-cdn-down
  protocol: vless
  settings:
    vnext:
    - address: *hkg_ip
      port: 443
      users:
      - id: *hkg_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *hkg_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *hkg_reality_pubkey
      shortId: *hkg_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *hkg_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *hkg_prefer_cdn_domain
        port: 443
        network: xhttp
        security: tls
        tlsSettings:
          serverName: *hkg_cdn_domain
          <<: *cdn_tls_hkg
        xhttpSettings:
          host: *hkg_cdn_domain
          path: *hkg_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

# -----------------------------------------------------------------------
# VPS 2
# -----------------------------------------------------------------------
- tag: LAX-vision
  protocol: vless
  settings:
    vnext:
    - address: *lax_ip
      port: 443
      users:
      - id: *lax_uuid_01
        flow: xtls-rprx-vision
        encryption: none
  streamSettings:
    network: tcp
    security: reality
    realitySettings:
      serverName: *lax_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax_reality_pubkey
      shortId: *lax_reality_shortid
      spiderX: /
    sockopt: *default_sockopt

- tag: LAX-xhttp-reality
  protocol: vless
  settings:
    vnext:
    - address: *lax_ip
      port: 443
      users:
      - id: *lax_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *lax_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax_reality_pubkey
      shortId: *lax_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *lax_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: LAX-cdn-up-reality-down
  protocol: vless
  settings:
    vnext:
    - address: *lax_prefer_cdn_domain
      port: 443
      users:
      - id: *lax_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *lax_cdn_domain
      <<: *cdn_tls_lax
    xhttpSettings:
      host: *lax_cdn_domain
      path: *lax_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *lax_ip
        port: 443
        network: xhttp
        security: reality
        realitySettings:
          serverName: *lax_reality_sni
          fingerprint: chrome
          show: false
          publicKey: *lax_reality_pubkey
          shortId: *lax_reality_shortid
          spiderX: /
        xhttpSettings:
          path: *lax_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: LAX-cdn-all
  protocol: vless
  settings:
    vnext:
    - address: *lax_prefer_cdn_domain
      port: 443
      users:
      - id: *lax_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *lax_cdn_domain
      <<: *cdn_tls_lax
    xhttpSettings:
      host: *lax_cdn_domain
      path: *lax_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: LAX-reality-up-cdn-down
  protocol: vless
  settings:
    vnext:
    - address: *lax_ip
      port: 443
      users:
      - id: *lax_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *lax_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax_reality_pubkey
      shortId: *lax_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *lax_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *lax_prefer_cdn_domain
        port: 443
        network: xhttp
        security: tls
        tlsSettings:
          serverName: *lax_cdn_domain
          <<: *cdn_tls_lax
        xhttpSettings:
          host: *lax_cdn_domain
          path: *lax_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

# -----------------------------------------------------------------------
# VPS 3
# -----------------------------------------------------------------------
- tag: Lax4837-vision
  protocol: vless
  settings:
    vnext:
    - address: *lax4837_ip
      port: 443
      users:
      - id: *lax4837_uuid_01
        flow: xtls-rprx-vision
        encryption: none
  streamSettings:
    network: tcp
    security: reality
    realitySettings:
      serverName: *lax4837_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax4837_reality_pubkey
      shortId: *lax4837_reality_shortid
      spiderX: /
    sockopt: *default_sockopt

- tag: Lax4837-xhttp-reality
  protocol: vless
  settings:
    vnext:
    - address: *lax4837_ip
      port: 443
      users:
      - id: *lax4837_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *lax4837_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax4837_reality_pubkey
      shortId: *lax4837_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *lax4837_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: Lax4837-cdn-up-reality-down
  protocol: vless
  settings:
    vnext:
    - address: *lax4837_prefer_cdn_domain
      port: 443
      users:
      - id: *lax4837_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *lax4837_cdn_domain
      <<: *cdn_tls_lax4837
    xhttpSettings:
      host: *lax4837_cdn_domain
      path: *lax4837_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *lax4837_ip
        port: 443
        network: xhttp
        security: reality
        realitySettings:
          serverName: *lax4837_reality_sni
          fingerprint: chrome
          show: false
          publicKey: *lax4837_reality_pubkey
          shortId: *lax4837_reality_shortid
          spiderX: /
        xhttpSettings:
          path: *lax4837_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: Lax4837-cdn-all
  protocol: vless
  settings:
    vnext:
    - address: *lax4837_prefer_cdn_domain
      port: 443
      users:
      - id: *lax4837_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: tls
    tlsSettings:
      serverName: *lax4837_cdn_domain
      <<: *cdn_tls_lax4837
    xhttpSettings:
      host: *lax4837_cdn_domain
      path: *lax4837_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
    sockopt: *default_sockopt

- tag: Lax4837-reality-up-cdn-down
  protocol: vless
  settings:
    vnext:
    - address: *lax4837_ip
      port: 443
      users:
      - id: *lax4837_uuid_02
        encryption: none
  streamSettings:
    network: xhttp
    security: reality
    realitySettings:
      serverName: *lax4837_reality_sni
      fingerprint: chrome
      show: false
      publicKey: *lax4837_reality_pubkey
      shortId: *lax4837_reality_shortid
      spiderX: /
    xhttpSettings:
      path: *lax4837_xhttp_path
      mode: auto
      <<: *default_xhttp_obfs
      downloadSettings:
        address: *lax4837_prefer_cdn_domain
        port: 443
        network: xhttp
        security: tls
        tlsSettings:
          serverName: *lax4837_cdn_domain
          <<: *cdn_tls_lax4837
        xhttpSettings:
          host: *lax4837_cdn_domain
          path: *lax4837_xhttp_path
          mode: auto
          <<: *default_xhttp_obfs
    sockopt: *default_sockopt

# 基础出站
- tag: direct
  protocol: freedom
  # v26.9.8 起废弃 freedom.settings.domainStrategy 
  # 推荐统一移入 freedom.streamSettings.sockopt
  # 显式配置 sockopt 可继承 TCP Fast Open 0-RTT 握手加速与 NAT 防老化
  streamSettings:
    sockopt: *default_sockopt

- tag: block
  protocol: blackhole
  # v26.9.8 新增响应模式，显式配置 type: http 可在拦截广告时即时回送 HTTP 403，加速网页渲染
  settings:
    response:
      type: http

- tag: dns-out
  protocol: dns

# =========================================================================
# DNS 配置
# =========================================================================
dns:
  tag: dns-proxy
  hosts:
    # 防止 DoH 域名自身递归解析死锁
    dns.alidns.com: [223.5.5.5, 223.6.6.6]
    doh.pub: [1.12.12.12, 120.53.53.53]
    dns.google: [8.8.8.8, 8.8.4.4]
    cloudflare-dns.com: [1.1.1.1, 1.0.0.1]
    www.gstatic.com: [142.250.73.142, 142.251.46.65, 172.253.117.188]
  servers:
  # 1. 国外域名
  - address: 1.1.1.1
    skipFallback: true
    domains: ["geosite:google", "geosite:category-scholar-!cn", "geosite:google-scholar", "geosite:github"]

  # 2. 国内域名
  - tag: dns-direct
    address: https://dns.alidns.com/dns-query
    skipFallback: false
    domains: ["geosite:cn"]
    expectIPs: ["geoip:cn"]

  # 3. 节点自身域名查询
  - tag: dns-self
    address: https://dns.alidns.com/dns-query
    skipFallback: false
    domains: ["domain:填入VPS1domain.com", "domain:填入VPS2domain.com", "domain:填入VPS3domain.com"]
    # domain 只写一级域名即可
    expectIPs: [] # 解析出的可能是 Cloudflare 海外 IP，这里不建议强制 expectIPs: ["geoip:cn"]

  # 4. 国内备用查询
  - tag: dns-direct-fallback
    address: https://doh.pub/dns-query
    skipFallback: true
    domains: ["geosite:cn"]

  # 5. 未知域名兜底查询
  - address: 8.8.8.8
    clientIp: x.x.x.x # 客户端 ECS，填入你常驻宽带的 IP 即可 ；如果切换到手机流量，公共 DoH 会依据出口智能识别
    skipFallback: false

# =========================================================================
# 路由规则
# =========================================================================
routing:
  domainStrategy: IPIfNonMatch
  domainMatcher: mph
  balancers:
  # 负载均衡策略组
  # 1. 常规代理组用前缀自适应，leastPing 自动选择延迟最低节点
  - tag: balancer-default
    selector: [HKG-, LAX-, Lax4837-]
    fallbackTag: HKG-cdn-all
    strategy:
      type: leastPing

  # 2. AIGC 组选择美西优化节点中抖动最小的节点
  - tag: balancer-aigc
    selector: [LAX-, Lax4837-]
    fallbackTag: LAX-cdn-all
    strategy:
      type: leastLoad

  # 3. Download 组选择 Lax4837 线路
  # 不选 HKG 是因为我这台机大包重传太高
  - tag: balancer-download
    selector: [Lax4837-]
    fallbackTag: Lax4837-cdn-all
    strategy:
      type: leastPing

  rules:
  # ---------------------------------------------------------------------
  # [0-DNS 内部路由]
  # ---------------------------------------------------------------------
  - inboundTag: [dns-direct, dns-direct-fallback, dns-self]
    outboundTag: direct

  - inboundTag: [dns-proxy]
    balancerTag: balancer-default

  # ---------------------------------------------------------------------
  # [1-block]
  # ---------------------------------------------------------------------
  - domain:
    - geosite:category-ads-all
    - geosite:category-stun
    outboundTag: block

  - port: 3478,3479,5348,5349,5350,5351,19302
    outboundTag: block

  # 阻止海外 UDP 443 QUIC
  - network: udp
    port: 443
    domain: ["geosite:cn"]
    outboundTag: direct

  - network: udp
    port: 443
    ip: ["geoip:cn"]
    outboundTag: direct

  - network: udp
    port: 443
    outboundTag: block

  # ---------------------------------------------------------------------
  # [2-direct]
  # ---------------------------------------------------------------------
  - process:
  # 如果你用 SingTUN，这里可以不写，在 Singbox 那边写进程直连就行
    - Weixin.exe
    - QQ.exe
    - QQMusic.exe
    - StarRail.exe
    - YuanShen.exe
    - ZenlessZoneZero.exe
    outboundTag: direct
  
  - domain:
    - domain:quark.cn
    - keyword:hoyoverse
    - regexp:\w{10}\.(adobe|adobestats)\.io
    - geosite:category-ai-cn
    - geosite:jetbrains
    - geosite:bing@cn
    - geosite:microsoft@cn
    - geosite:category-bank-cn
    - geosite:category-games-cn
    - geosite:category-cdn-cn
    - geosite:category-httpdns-cn
    - geosite:category-ntp-cn
    outboundTag: direct

  # ---------------------------------------------------------------------
  # [3-proxy]
  # ---------------------------------------------------------------------
  - domain: ["geosite:google"]
    outboundTag: LAX-xhttp-reality

  - process: [ChatGPT.exe, Obsidian.exe, codex.exe, Antigravity.exe]
    balancerTag: balancer-aigc

  - process: [AyuGram.exe]
    balancerTag: balancer-default
  
  - domain:
    - geosite:category-ai-!cn
    - geosite:category-ai-chat-!cn
    - geosite:openai
    - geosite:anthropic
    - geosite:github
    - geosite:gitlab
    - geosite:aws
    - geosite:azure
    - geosite:category-scholar-!cn
    - geosite:google-scholar
    balancerTag: balancer-aigc

  - domain:
    - domain:afdian.com
    - domain:mikanani.me
    - domain:kox.moe
    - domain:annas-archive.org
    - domain:docs.rs
    - full:dict.eudic.net
    balancerTag: balancer-default
  
  - domain: ["geosite:telegram"]
    ip: ["geoip:telegram"]
    balancerTag: balancer-default

  - domain: ["geosite:cloudflare"]
    ip: ["geoip:cloudflare"]
    balancerTag: balancer-default

  - domain:
    - geosite:netflix
    ip: ["geoip:netflix"]
    balancerTag: balancer-download

  - domain:
    - geosite:youtube
    - geosite:bahamut
    balancerTag: balancer-download
  
  - domain:
    - geosite:microsoft
    - geosite:bing
    - geosite:onedrive
    - geosite:nvidia
    - geosite:ubuntu
    - geosite:rust
    - geosite:category-cdn-!cn
    balancerTag: balancer-download

  # ---------------------------------------------------------------------
  # [4-default]
  # ---------------------------------------------------------------------
  - ip: ["geoip:private", "geoip:cn"]
    outboundTag: direct

  - domain: ["geosite:cn"]
    outboundTag: direct

  # 相当于 mihomo 的 `MATCH, Proxy`
  - network: tcp,udp
    balancerTag: balancer-default

OpenList 播放内嵌软字幕与外挂字幕视频的小技巧

Sat, 25 Jul 2026 23:27:05 GMT

OpenList 在浏览器内置播放器中处理字幕时存在一些限制，本文记录目前有效的解决思路。

内嵌软字幕

遇到已内嵌软字幕的文件，播放时却无字幕显示的情况，可点击视频页面下方的小按钮，跳转到外部播放器播放。

PC 端（Windows）

推荐使用 MPV。

可配合以下小工具实现从 OpenList 页面一键唤起：

::github{repo="outlook84/mpv-handler-openlist"}

2026-10-16 补充：

目前推荐使用 WebDav，详情请看我另一篇文章

Android 端

推荐 VLC 或 MX Player（其中 VLC 可正常解析 MKV 内嵌软字幕）

使用时需要注意不要直接点击视频页面的「VLC 图标」（会提示“无法解析视频”），改点旁边的「安卓图标」按钮，然后在弹出的系统选择框里选 VLC 即可正常播放

<details> <summary>为什么点击 VLC 会报错？</summary>

OpenList 前端（video_box.tsx）定义的唤起模板为 vlc://$durl：

{ icon: "vlc", name: "VLC", scheme: "vlc://$durl" },
{ icon: "android", name: "Android", scheme: "intent:$durl#Intent;type=video/*;S.title=$name;end" },

当直链为 https://... 时，前端拼接出的 vlc://https://... 在浏览器导航过程中会被自动剥离冒号，变成 vlc://https//myopenlist.example.com/...。

在 VLC 源码（modules/access/idummy.c）中，vlc:// 属于控制指令协议（比如 vlc://quit），并非网络流协议：

vlc_module_begin ()
    set_shortname( N_("Dummy") )
    add_shortcut( "dummy", "vlc" )   // 注册 vlc:// 协议
vlc_module_end ()

由于找不到对应的内部指令，VLC 会直接在日志中报错并终止播放：

main debug: creating demux: access='vlc' demux='any' location='https//myopenlist.example.com/d/Anime/test.mkv?sign=xxx:0'
idummy error: unknown command `https//myopenlist.example.com/d/Anime/test.mkv?sign=xxx:0`

相比之下，点击「安卓图标」按钮生成的是标准的 Android Intent 链接（intent:https://...#Intent;type=video/*），系统会将原样无损的 https:// 直链传给 VLC，从而能正常播放并加载内嵌软字幕

</details>

2026-10-16 补充：

安卓端使用支持 WebDav 的播放器可能体验更好，目前我发现下面的项目符合我的需求，内嵌软字幕的 MKV 也能正常解析

可惜没有中文界面，某酷安有人做了汉化，但不开源，感兴趣可自行搜索

::github{repo="marlboro-advance/mpvEx"}

外挂字幕

即便字幕文件与视频文件同名，且在同一目录，但 OpenList 并不会自动加载字幕

目前暂未找到 OpenList 自动加载外挂字幕的可靠方法

替代做法是：

单独下载字幕文件到本地
在外部播放器中手动选择该字幕文件

Debian 12 启用 unattended-upgrades 自动安全更新

Tue, 21 Jul 2026 00:00:00 GMT

对于长期运行的 Debian 12 服务器，建议启用 unattended-upgrades 自动安装官方安全更新，以便及时修复已公开的安全漏洞

本文仅启用 官方安全更新，不启用自动重启

安装

更新软件源并安装所需软件：

sudo apt update
sudo apt install unattended-upgrades needrestart

其中：

unattended-upgrades：自动安装官方安全更新。
needrestart：更新完成后提示哪些服务或系统需要重启。

启用自动安全更新

执行：

sudo dpkg-reconfigure --priority=low unattended-upgrades

出现如下提示时选择 Yes：

Automatically download and install stable updates?

完成后，系统将每天自动检查并安装 Debian 官方仓库提供的安全更新

验证配置（可选）

确认自动更新已启用：

cat /etc/apt/apt.conf.d/20auto-upgrades

正常情况下应包含：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

自动重启

不建议启用自动重启。

unattended-upgrades 默认不会自动重启服务器，即使安装了新的内核，也仅会提示需要重启

可检查配置：

grep Automatic-Reboot /etc/apt/apt.conf.d/50unattended-upgrades

确认未设置为：

Unattended-Upgrade::Automatic-Reboot "true";

注意

仅自动更新通过 APT 安装的软件包。
GitHub 下载的二进制程序、手动安装的软件及第三方脚本安装的软件不会自动更新。
更新完成后，needrestart 会提示需要重启的服务或系统。
建议仍定期手动执行完整的软件更新。

维护

建议每月执行一次：

sudo apt update
sudo apt full-upgrade
sudo apt autoremove

根据 needrestart 的提示，选择重启相关服务或在维护窗口重启服务器

个人博客放行谷歌爬虫 IP

Sat, 18 Jul 2026 00:00:00 GMT

防火墙使用 deploy_firewall.sh 脚本管理，其中 bad_asn_v4 ipset 封禁了大量 ASN 的 IP 段

Google 搜索爬虫（Googlebot）的 IP 恰好落在被封禁的范围内，导致 Google Search Console 无法抓取 robots.txt 和 sitemap-index.xml，提示 Robots.txt 无法访问

本文记录解决方案

排查过程

在 VPS 上执行 iptables -L INPUT -v -n 发现有两层 DROP 规则：

Chain INPUT (policy DROP)
num   pkts target  prot  in  out  source     destination
3     14778 DROP   0     --  *   *    45.0.0.0/8      0.0.0.0/0
4     35911 DROP   0     --  *   *    0.0.0.0/0       0.0.0.0/0  match-set bad_asn_v4 src

Googlebot 的 IP 属于 bad_asn_v4 匹配的 Google ASN（15169），在规则 4 被直接丢弃

虽然 VPS 本地 wget 能正常返回（绕过 iptables），但外部 Googlebot 始终无法连接

解决方案

在 bad_asn_v4 DROP 规则之前插入一条白名单，仅放行 Google 爬虫（Googlebot）的 80/443 端口流量

注意白名单规则必须插在 bad_asn_v4 DROP 之前，否则不会生效

第一步：安装 jq

sudo apt install jq -y

第二步：创建 ipset 并拉取 Googlebot IP 列表

只放行 Google 搜索爬虫，使用官方发布的专用 IP 列表：

https://developers.google.com/static/crawling/ipranges/common-crawlers.json

sudo ipset create google_whitelist hash:net 2>/dev/null

curl -s https://developers.google.com/static/crawling/ipranges/common-crawlers.json | \
  jq -r '.prefixes[] | .ipv4Prefix // .ipv6Prefix // empty' | \
  while read cidr; do
    sudo ipset add google_whitelist "$cidr" 2>/dev/null
  done

第三步：插入 iptables 白名单规则

放在 bad_asn_v4 DROP 规则之前（45.0.0.0/8 DROP 之后，即第 4 条位置）：

sudo iptables -I INPUT 4 -p tcp -m multiport --dports 80,443 \
  -m set --match-set google_whitelist src -j ACCEPT

Googlebot 请求到 80/443 端口时，先在规则 4 匹配白名单直接 ACCEPT，不会被后续的 bad_asn_v4 DROP

第四步：持久化

sudo netfilter-persistent save

第五步：设置定时更新（可选）

Google 的 IP 段会动态变化，每周自动同步一次：

sudo crontab -e

添加一行：

0 3 * * 1 curl -s https://developers.google.com/static/crawling/ipranges/common-crawlers.json | jq -r '.prefixes[] | .ipv4Prefix // .ipv6Prefix // empty' | while read cidr; do ipset add google_whitelist "$cidr" 2>/dev/null; done >/dev/null 2>&1

每周一凌晨 3 点自动更新

验证

# 检查 iptables 规则顺序
sudo iptables -L INPUT -v -n --line-numbers

# 期望输出：白名单规则（第4条）在 bad_asn 规则（第5条）之前
# 4    ACCEPT  tcp  --  *  *  0.0.0.0/0  0.0.0.0/0  multiport dports 80,443 match-set google_whitelist src
# 5    DROP    0   --  *  *  0.0.0.0/0  0.0.0.0/0  match-set bad_asn_v4 src

# 检查 ipset 条目数
sudo ipset list google_whitelist | wc -l

然后在 Google Search Console 重新测试抓取

[弃用] 服务端：单端口五合一节点配置速查

Tue, 14 Jul 2026 00:00:00 GMT

已彻底转向 Xray-core，本文不再维护，请自行判断是否过时

[!TIP] 观前提醒

本文仅给出三份重要的配置示例，阅读需具备相关知识

如果你是初次搭建，建议查看完整版

本教程基于 Xray 服务端 + Caddy 反代 + mihomo 客户端 构建

本教程几乎全程手敲命令，不借助 3x-ui 此类面板，需要一定耐心

如果想一键部署，很遗憾，本文不适合你

XHTTP 五合一指的是在同一台 VPS 的 443 端口实现了五个出站节点：

<details> <summary>点击查看适用场景</summary>

（此处部分引用 @Benjamin1919 大佬的教程原文案）

出站 1：XTLS(Vision) + REALITY 直连

客户端 GUI 不支持 XHTTP
不想开启 TCP 多路复用
想要尽可能低的延迟与尽可能高的上下行速度

出站 2：XHTTP + REALITY 直连

VPS 去程和回程的线路都比较好
想要尽可能低的延迟与尽可能高的上下行速度

出站 3：上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY（上下行不同 SNI）

去程（客户端 → VPS）线路较差，回程（VPS → 客户端）线路较好
日常使用更偏重下载，很少上传
隐藏上行 SNI 防探测封锁

出站 4：XHTTP + TLS(ECH) 过 CDN

VPS 去程和回程的线路都很差
不希望 VPS 的 IP 暴露在公网
VPS 的 IP 已被墙
隐藏 SNI 防探测封锁

出站 5：上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN（上下行不同 SNI）

去程（客户端 → VPS）线路较好，回程（VPS → 客户端）线路较差
日常使用更偏重上传，很少下载
隐藏下行 SNI 防探测封锁

</details>

1. 准备工作
2. Cloudflare 配置
3. 安装 Xray-core 与 Caddy
4. 客户端配置
- 4.1 mihomo Client Config
- 4.2 ALPN、ECH 与 XMUX 说明
友情推荐

1. 准备工作

在开始之前，请准备好以下内容：

一个个人域名
一个通过支付验证的 Cloudflare 账号
一台拥有 root 完全访问权限的 VPS

[!NOTE] 为避免纠纷，本文不提供任何 VPS 商家推荐或购买指导，请自行选择。

本方案属于 Xray 前置、REALITY 回落到本机 Caddy，不需要配置 limitFallbackUpload，

本文中的 <VPS_IP>、<YOUR_USER>、<YOUR_DOMAIN> 均为占位符，实际操作时请替换为你的真实 IP、用户名和域名。

SSH 端口以 <SSH_PORT> 表示（示例为 54321），请根据实际部署修改。

2. Cloudflare 配置

2.1 添加 DNS 记录

将域名托管到 Cloudflare，添加 DNS 解析记录：

记录类型	子域名	值	小黄云（Proxy）	用途
A	`cdn.<YOUR_DOMAIN>`	VPS IPv4	开启	CDN 回源
A	`REALITY.<YOUR_DOMAIN>`	VPS IPv4	关闭	REALITY 握手直连

如果需要双栈，可额外添加 AAAA 记录，可复用同一个子域名。

2.2 SSL/TLS 设置

面板左侧 -> SSL/TLS -> 概述 -> 配置 -> 加密模式和源连接设置 -> 加密模式设置为 完全（严格）

面板左侧 -> SSL/TLS -> 边缘证书 -> 开启 TLS 1.3

面板左侧 -> 网络 -> 开启 gRPC

2.3 缓存规则设置

为避免 XHTTP 请求被缓存，创建缓存规则：

面板左侧 -> 缓存 -> Cache Rules -> 创建缓存规则：

名称：随意
如果传入请求匹配… -> 选择 自定义筛选表达式 -> 点击 编辑表达式
输入（替换为你的域名和路径）：

(http.host eq "cdn.<YOUR_DOMAIN>") or (http.request.uri.path contains "/<YOUR_XHTTP_PATH>")

缓存资格 → 设置为 绕过缓存

3. 安装 Xray-core 与 Caddy

3.1 安装 Xray-core

通过官方脚本裸装（Bare-metal）并使用 systemd 管理：

推荐安装 Pre-release 版本，目前 Stable 版本还停留在 v26.3.27，新版本包含 XHTTP 修复和功能修复等

<details> <summary>发版策略说明</summary>

RPRX(Owner):

忘公开说明一下了，关于 Xray-core 的发版策略， pre-release 有可能是实际意义上的 stable，而 latest 也不等于“没有 bug”

没标 latest 通常是因为我觉得下个 stable 该包含什么但它还没有包含，~~或者单纯懒得写 release notes 那就算了下次吧，感觉比写代码都麻烦~~

via https://t.me/projectXray/5113846

</details>

<details> <summary>mihomo 客户端兼容性说明</summary>

Xray-core v26.7.11 增加了 REALITY 最低客户端版本校验（minClientVer），默认要求客户端版本 ≥ 26.3.27 由于 mihomo 底层硬编码了版本号 1.8.2，两者不兼容时将导致 REALITY 握手失败

本教程的服务端配置模板已在 realitySettings 中显式添加 "minClientVer": "1.8.2" 以绕过此限制，安装最新版 Xray-core 即可正常工作

具体情况请见相关 Issue / PR：

Xray-core #6477

mihomo #2967

Xray-core PR #6181

</details>

sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

如果你依然偏向 Stable，把命令的 --beta 去掉即为下载“正式版”

安装完成时会默认启动服务，需要先暂停：

sudo systemctl stop xray

3.2 生成凭据

生成 UUID（需要两组，分别用于 Vision 和 XHTTP）：

# 执行两次，得到两个不同的 UUID
xray uuid
xray uuid

分别记为 UUID_01 和 UUID_02，保存待用。

生成 REALITY 密钥对：

xray x25519

保存输出的 Private key 和 Public key，私钥填在服务端的 config.json，公钥填在本地客户端里。

生成 shortID：

openssl rand -hex 8

3.3 写入 Xray 配置文件

[!TIP] 请在本地的文本编辑器，将以下代码块中的占位符替换为你自己的真实信息。替换完成后，粘贴到 VPS 终端中并回车

[!NOTE] 占位符说明：

占位符	替换为
`UUID_01`	第一组 UUID（Vision 用户）
`UUID_02`	第二组 UUID（XHTTP 用户）
`YOUR_REALITY_PRIVATE_KEY`	刚才生成的 Private key
`YOUR_SHORT_ID`	刚才生成的 shortID
`reality.example.com`	你的 REALITY 子域名（小黄云关）
`cdn.example.com`	你的 CDN 子域名（小黄云开）
`/your-xhttp-path`	自定义路径
`"minClientVer": "1.8.2"`	保持默认，不要改

sudo tee /usr/local/etc/xray/config.json >/dev/null <<'EOF'
{
  "log": {
    "loglevel": "info" // 调试完成后可改为 "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0", // 如果需要 IPv6，改为监听 "::"
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_01", // 对应客户端出站 1
            "level": 0,
            "email": "vision-user",
            "flow": "xtls-rprx-vision"
          },
          {
            "id": "UUID_02", // 对应客户端出站 2/3/4/5
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none",
        "fallbacks": [
          {
            "dest": "/run/xray/xhttp_in.sock", 
            // 处理“直连”的 XHTTP 请求 (对应客户端出站 2/3/5 的直连部分)
            // 当 Reality 识别出 VLESS 协议但没有 flow 时，直接丢给内部 XHTTP Socket
            "xver": 0
          }
        ]
      },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "/run/caddy/tls_gate.sock",
          // 处理“CDN 转发”或“普通 HTTPS”请求 (对应客户端出站 3/4/5 的 CDN 部分)
          // 任何 Reality 不识别的流量都丢给 Caddy 处理
          "xver": 0,
          "serverNames": [
            "reality.example.com",
            "cdn.example.com"
          ],
          "privateKey": "YOUR_REALITY_PRIVATE_KEY",
          "shortIds": ["YOUR_SHORT_ID"],
          "minClientVer": "1.8.2"
        },
        "sockopt": {
          "tcpFastOpen": true,
          "tcpcongestion": "bbr",
          "tcpMptcp": true,
          "tcpNoDelay": true
        }
      },
      "tag": "VISION+REALITY",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    },
    {
      "listen": "/run/xray/xhttp_in.sock",
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_02",
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "host": "",
          "path": "/your-xhttp-path", 
          "mode": "auto",
          "extra": {
            "noSSEHeader": false,
            "scMaxEachPostBytes": 1000000,
            "scMaxBufferedPosts": 30,
            "xPaddingBytes": "100-1000",
            "xPaddingObfsMode": true,
            "xPaddingMethod": "tokenish", // 生成一个随机的 Base62 标记
            "xPaddingPlacement": "queryInHeader", // 填充嵌入 Referer URL query（CF 兼容）
            "xPaddingKey": "t", // URL query 参数名
            "xPaddingHeader": "Referer",
            "sessionIDPlacement": "path",
            "sessionIDKey": "SID",
            "sessionIDTable": "Base62",
            "sessionIDLength": "12-20"
          }
        },
        "sockopt": {
          "tcpFastOpen": true,
          "acceptProxyProtocol": false,
          "tcpcongestion": "bbr",
          "tcpMptcp": true,
          "tcpNoDelay": true
        }
      },
      "tag": "XHTTP_IN",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct",
      "settings": {}
    },
    {
      "protocol": "blackhole",
      "tag": "blocked",
      "settings": {}
    }
  ],
  "routing": {
  "domainStrategy": "AsIs",
  "rules": [
    {
      "type": "field",
      "ip": ["geoip:private"],
      "outboundTag": "blocked"
    }
  ]
}
}
EOF

geoip:private blocked 在路由层阻断

Xray v26.7.11 新增的 defaultBlockPrivateRule 在 freedom 出站内部阻断

两者功能重叠，保留作为纵深防御

3.4 安装 Caddy

使用 Caddy 官方针对 Debian 的软件源安装：

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

# 导入 GPG 密钥
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# 添加官方软件源
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 更新并安装
sudo apt update
sudo apt install caddy -y

3.5 编写 Caddyfile

[!TIP] 同理，请在本地编辑器中替换其中的占位符，替换后粘贴整段代码块至终端回车执行

sudo tee /etc/caddy/Caddyfile >/dev/null <<'EOF'
# 1. REALITY 域名区块（专供 REALITY 握手与伪装网页）
# 记得换成你自己的 REALITY 子域名！！！
reality.example.com {
        # 监听 Xray REALITY 回落的 Unix Socket
        bind unix//run/caddy/tls_gate.sock

        # 引用 acme.sh 申请的 Let's Encrypt 证书与私钥
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/reality_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 处理所有其他访问
        # 外部扫描器或浏览器访问，直接给出伪装网页
        handle {
                # 伪装网页路径：/var/www/html/index.html
                root * /var/www/html
                file_server
        }
}

# 2. CDN 域名区块（处理从 Xray 回落的 CDN 代理流量）
# 记得换成你自己的 CDN 子域名！！！
cdn.example.com {
        bind unix//run/caddy/tls_gate.sock

        # 申请的是多域名合并证书，引用相同的证书文件即可
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/cdn_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 捕获套 CDN 的出站（出站 3/4/5）传来的合法的 XHTTP 流量
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        handle /your-xhttp-path/* {
                reverse_proxy unix//run/xray/xhttp_in.sock {
                        transport http {
                                versions 2
                        }
                        flush_interval -1
                }
        }
        
        # 可选：探针探活路径
        handle /status {
                respond "ok" 200
        }

        handle /ping {
                respond "ok" 200
        }

        # 对于扫描器，直接重定向到伪装网页防扫描
        # 记得换成你自己的 REALITY 子域名！！！
        handle {
                redir https://reality.example.com{uri}
        }
}
EOF

请务必仔细检查你的 handle 块配置，路径末尾的斜杠和星号 /* 不能省略

XHTTP 流量请求的 URL 是动态长随机混淆参数的

如果前缀不通配，Caddy 就会将其视为未知的外部扫描探测，返回 302 伪装页

<details> <summary>附：简单伪装导航页</summary>

如果你没有现成的网站，可以使用下面这段单文件 HTML 代码

但是后期建议让 GenAI 丰富一下，换成个人博客、OpenList 什么的

将以下代码块整体复制到终端回车执行，即可一键生成伪装站点：

sudo mkdir -p /var/www/html
sudo tee /var/www/html/index.html >/dev/null <<'EOF'
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Tech Hub</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }

        body {
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, sans-serif;
            background: linear-gradient(-45deg, #e0e7ff, #f3e8ff, #dbeafe, #ede9fe);
            background-size: 400% 400%;
            animation: gradientBG 18s ease infinite;
        }

        @keyframes gradientBG {
            0% { background-position: 0% 50%; }
            50% { background-position: 100% 50%; }
            100% { background-position: 0% 50%; }
        }

        .wrapper {
            display: flex;
            flex-direction: column;
            align-items: center;
            gap: 2rem;
            padding: 2rem;
            width: 100%;
            max-width: 720px;
        }

        .title {
            font-size: clamp(2.4rem, 6vw, 3.6rem);
            font-weight: 600;
            color: #1e293b;
            letter-spacing: -0.02em;
            text-align: center;
        }

        .sub {
            font-size: clamp(0.8rem, 1.5vw, 1rem);
            color: #64748b;
            text-transform: uppercase;
            letter-spacing: 0.2em;
            border-bottom: 1px solid #cbd5e1;
            padding-bottom: 1rem;
            width: 100%;
            text-align: center;
        }

        .nav {
            display: flex;
            gap: 1.5rem;
            padding: 1.5rem 2.5rem;
            border-radius: 80px;
            background: rgba(255, 255, 255, 0.6);
            backdrop-filter: blur(12px);
            -webkit-backdrop-filter: blur(12px);
            border: 1px solid rgba(255, 255, 255, 0.8);
            box-shadow: 0 8px 32px rgba(0, 0, 0, 0.06);
            flex-wrap: wrap;
            justify-content: center;
        }

        .nav-item {
            display: flex;
            justify-content: center;
            align-items: center;
            width: 3.4rem;
            height: 3.4rem;
            border-radius: 50%;
            background: rgba(255, 255, 255, 0.4);
            transition: all 0.25s ease;
            text-decoration: none;
            border: 1px solid rgba(255, 255, 255, 0.6);
        }

        .nav-item img {
            width: 1.6rem;
            height: 1.6rem;
            transition: transform 0.2s ease;
        }

        .nav-item:hover {
            transform: translateY(-4px);
            background: rgba(255, 255, 255, 0.9);
            border-color: #94a3b8;
            box-shadow: 0 8px 20px rgba(0, 0, 0, 0.08);
        }

        .nav-item:hover img {
            transform: scale(1.1);
        }

        @media (max-width: 600px) {
            .wrapper { gap: 1.5rem; padding: 1rem; }
            .nav { padding: 1rem 1.5rem; gap: 1rem; border-radius: 2rem; }
            .nav-item { width: 2.8rem; height: 2.8rem; }
            .nav-item img { width: 1.3rem; height: 1.3rem; }
        }
    </style>
</head>
<body>
    <div class="wrapper">
        <h1 class="title">Dev Center</h1>
        <div class="sub">Let there be light</div>
        <div class="nav">
            <a href="https://www.google.com" class="nav-item" title="Google"><img src="https://cdn.simpleicons.org/google/1e293b" alt="Google"></a>
            <a href="https://github.com" class="nav-item" title="GitHub"><img src="https://cdn.simpleicons.org/github/1e293b" alt="GitHub"></a>
            <a href="https://dash.cloudflare.com" class="nav-item" title="Cloudflare"><img src="https://cdn.simpleicons.org/cloudflare/1e293b" alt="Cloudflare"></a>
            <a href="https://hub.docker.com" class="nav-item" title="Docker Hub"><img src="https://cdn.simpleicons.org/docker/1e293b" alt="Docker"></a>
            <a href="https://stackoverflow.com" class="nav-item" title="Stack Overflow"><img src="https://cdn.simpleicons.org/stackoverflow/1e293b" alt="Stack Overflow"></a>
            <a href="https://www.npmjs.com" class="nav-item" title="npm"><img src="https://cdn.simpleicons.org/npm/1e293b" alt="npm"></a>
            <a href="https://gitlab.com" class="nav-item" title="GitLab"><img src="https://cdn.simpleicons.org/gitlab/1e293b" alt="GitLab"></a>
        </div>
    </div>
</body>
</html>
EOF

</details>

3.6 用户组与运行目录设置

启动 Xray 和 Caddy 前需统一运行用户为 caddy，否则会出现 socket 权限问题：

[Info] transport/internet/tcp: REALITY: failed to dial dest: dial unix /run/caddy/tls_gate.sock: connect: permission denied

# 统一运行用户为 caddy
sudo mkdir -p /etc/systemd/system/xray.service.d
sudo tee /etc/systemd/system/xray.service.d/override.conf <<EOF
[Service]
User=caddy
EOF

# 为 Caddy 启用独立的运行目录以放套接字
sudo mkdir -p /etc/systemd/system/caddy.service.d
sudo tee /etc/systemd/system/caddy.service.d/override.conf <<EOF
[Service]
User=caddy
RuntimeDirectory=caddy
EOF

# 重新加载 Systemd 配置
sudo systemctl daemon-reload

3.7 申请公有受信任证书

<details> <summary>点击查看：为什么不能用 Caddy 自带的自动申请证书功能</summary>

[!NOTE] Caddy 默认依赖 HTTP-01 或 TLS-ALPN-01 进行 ACME 自动化证书验证，此过程的硬性前置条件是 Web 服务器必须能够直接在操作系统层面接管并监听公网的 80 或 443 端口。

在当前架构中，公网 443 端口由 Xray 独占监听，Caddy 仅绑定于内网的 Unix Socket 充当回落目标。当 Let's Encrypt 验证集群发起 TLS-ALPN-01 请求时，流量首先到达 Xray 的 REALITY 服务端。由于该请求不具备有效的 XTLS 身份特征，REALITY 服务端会将其视为未知流量，执行透明的双向 TCP 转发（直接回落至 Caddy 的 Unix Socket）。

尽管验证流量最终送达了 Caddy，但证书申请依然会失败。因为 Caddy 的 ACME 模块在处理 TLS-ALPN-01 挑战时，强依赖于标准 443 端口监听器来挂载专用的验证证书。面对来自 Unix Socket 的回落流量，Caddy 的验证上下文无法正确匹配并下发该证书。即便 Caddy 异常响应了临时的 ACME 验证证书，由于 REALITY 服务端需持续抓取目标后端返回的 ServerHello 以缓存真实证书，这种非标准的临时证书将引发 REALITY 内部证书缓存逻辑链异常，导致整个 TLS 握手在链路中被异常阻断。

所以转而使用 acme.sh 脚本动态下发 DNS TXT 记录（即基于 API 交互的 DNS-01 验证），以实现 TLS 证书合规签发。

另外，REALITY 节点需使用真实 IP 直接承载直连流量（CDN Proxy OFF），若部署未受公共根证书信任的 Cloudflare Origin CA 证书，浏览器直接访问伪装站时会触发 TLS 错误。

</details>

第一步：获取 Cloudflare API Token

登录你的 Cloudflare 网页后台；
展开左边栏 -> 选择 管理账户 -> 账户 API 令牌；
点击 创建令牌；
令牌名称自定义；
权限策略 -> 编辑策略：选择 指定域名，然后下拉框选你的主域名；
在下方的权限组列表中，点击展开 DNS & Zones 类别
- 区域 (Zone) - 区域 (Zone) - 勾选读取 (Read)
- 区域 (Zone) - DNS - 勾选 编辑 (Edit)
令牌过期时间建议直接选择 “无过期时间”；
客户端 IP 地址过滤，可以什么都不填，只要你不把 Token 泄露给别人，就是安全的；或者填上运行 acme.sh 脚本的服务器的公网 IP 地址；
审核令牌 -> 创建令牌；
接着会给出 账户ID 和 CF_Token，复制并保存

第二步：在 VPS 切换至 root 并安装 acme.sh

为了后续能够全自动在后台无感续签，这一步全程在 root 用户下执行，以免权限不足导致续签后重载 Caddy 失败。

# SSH 登录 VPS 并切换到 root
sudo -i

# 设置你的真实邮箱，并安装 acme.sh
EMAIL="your_email@example.com"
curl https://get.acme.sh | sh -s email="$EMAIL"

# 切换默认颁发机构为 Let's Encrypt
ACME=/root/.acme.sh/acme.sh
$ACME --set-default-ca --server letsencrypt

第三步：隐式导入 Token 并申请证书

为防止 Token 泄露到 .bash_history 中，我们使用静默输入：

# 执行后，直接粘贴你的 Token 并回车（屏幕上不会显示）
read -rsp 'Cloudflare API Token: ' CF_Token
echo
export CF_Token
export CF_Account_ID="你的Account_ID"

# 申请证书 (必须同时包含 Reality 直连域名和 CDN 回源域名，否则 Cloudflare 在“完全(严格)”模式下回源会报 526 证书错误)
$ACME --issue --dns dns_cf -d "reality.example.com" -d "cdn.example.com"

第四步：提取证书并配置自动授权重载

# 创建目录
mkdir -p /etc/caddy/certs

# 提取证书并设定重载命令
# 安装时只需要指定主域名（第一个 -d 域名），acme.sh 会自动关联
$ACME --install-cert -d "reality.example.com" \
--key-file       /etc/caddy/certs/reality.key \
--fullchain-file /etc/caddy/certs/reality.crt \
--reloadcmd     "chown caddy:caddy /etc/caddy/certs/reality.* && systemctl reload caddy"

[!NOTE] 证书安装后，私钥文件默认权限为 -rw-------（600），仅属主（root）可读写。
若 Caddy 以 caddy 用户运行，需确保其能读取。上述 reloadcmd 中的 chown 已解决属主问题。
若需进一步限制权限，可额外执行 chmod 640 /etc/caddy/certs/reality.key。

[!TIP] 此时报错 Reload error for: reality.example.com / caddy.service is not active 无伤大雅，因为我们在下一步才正式启动应用。

完成后，输入 exit 退出 root 环境，返回普通用户。

3.8 启动服务

启动前检查
为避免 permission denied 错误，请再次确认以下路径的属主正确：

# Caddy 日志目录
sudo mkdir -p /var/log/caddy
sudo chown -R caddy:caddy /var/log/caddy
sudo chmod 755 /var/log/caddy

# 证书文件
ls -la /etc/caddy/certs/
# 应显示 -rw-r--r-- 1 caddy caddy reality.crt
# 应显示 -rw------- 1 caddy caddy reality.key

# 若属主不是 caddy，请执行修正：
sudo chown -R caddy:caddy /var/log/caddy
sudo chown caddy:caddy /etc/caddy/certs/reality.*
sudo chmod 640 /etc/caddy/certs/reality.key

正式启动：

sudo systemctl enable --now xray caddy

验证状态：

systemctl show xray --property=User,Group
systemctl show caddy --property=User,Group
ls -l /run/xray/ /run/caddy/

理想输出：

User=caddy
Group=

---

User=caddy
Group=caddy

# /run/xray/
srwxr-xr-x 1 caddy caddy 0 ... xhttp_in.sock
-rw-r--r-- 1 caddy caddy 0 ... xhttp_in.sock.lock

# /run/caddy/
s-w------- 1 caddy caddy 0 ... tls_gate.sock

3.9 后续更新

更新 Xray-core

官方安装脚本支持直接升级，新版本发布后，重新运行安装命令即可：

# 检查是否有新版本
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ check

# 升级到最新 Pre-release（推荐）
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

脚本会自动检测版本号差异、下载新二进制、替换并重启服务。你的 config.json、override.conf、日志等配置文件全部保留，不会被覆盖。

升级后 systemd 主 service 文件会被重写为默认的 User=nobody，但 override.conf（User=caddy）优先级更高，运行时用户不受影响。若要消除 Special user nobody configured 警告，可手动修复：
sudo sed -i 's/User=nobody/User=caddy/' /etc/systemd/system/xray.service
sudo systemctl daemon-reload

更新 Caddy

通过 apt 更新：

sudo apt update
sudo apt upgrade caddy -y

4. 客户端配置

4.1 mihomo Client Config

由于 mihomo GUI 繁多，此处仅给出裸核 config：

proxies:
  # 1. XTLS(Vision) + REALITY 直连
  - name: "出站1-XTLS+REALITY"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_01"
    encryption: "none"
    flow: xtls-rprx-vision
    network: tcp
    # 以下两项取决于你的实际 UDP 使用场景，不需要请注释或删除
    # udp: true               # 需要走代理的境外游戏/QUIC/WebRTC 则开启
    # packet-encoding: xudp   # UDP 编码方式，开启后支持 FullCone NAT（默认即此值）
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"

  # 2. XHTTP + REALITY 直连
  - name: "出站2-XHTTP+REALITY"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"
    xhttp-opts:
      path: /your-xhttp-path      # 必须与服务端配置的 path 一致
      mode: auto                  # Reality 模式下 auto 会自动选择 stream-one
      # host: "reality.example.com" # 直连时可省略，默认继承 servername
      session-table: "Alphabet"   # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"     # session ID 长度范围（起始值不可为 0，总 ID 空间须 > 21 亿）
      session-placement: path     # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true   # 启用填充混淆
      x-padding-method: tokenish  # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"          # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer" # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 3. 上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY（上下行不同 SNI）
  - name: "出站3-CDN上行+XHTTP下行"
    type: vless
    server: "cdn.example.com"      # CDN 域名或优选 IP (上行)
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    ech-opts: {enable: true}       # 隐藏 SNI
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h3]
    servername: "cdn.example.com"  # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
    client-fingerprint: chrome
    skip-cert-verify: false        # 强制校验服务端证书，防止中间人攻击
    xhttp-opts:  # 上行设置
      host: "cdn.example.com"      # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto                   # CDN 模式下 auto 会自动选择 stream-up (H2)
      session-table: "Alphabet"    # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"      # session ID 长度范围
      session-placement: path      # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true    # 启用填充混淆
      x-padding-method: tokenish   # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"           # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer"  # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 上行链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)
      download-settings:            # 下行设置（Reality 不支持 h3，须显式覆盖为 h2）
        alpn: [h2]                  # 显式指定 h2，覆盖主代理继承来的 h3
        server: "<YOUR_VPS_IP>"     # 下行地址 (VPS 直连)
        port: 443
        servername: "reality.example.com" # Reality 伪装域名
        reality-opts:
          public-key: "YOUR_PUB_KEY"
          short-id: "YOUR_SHORT_ID"
          # host 继承自外层或省略；mode 强制继承外层
        reuse-settings:  # 下行链接复用设置（即XMUX）
          max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
          # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
          c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
          # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
          h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
          h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 4. XHTTP + TLS(ECH) 过 CDN（上下行不分离）
  - name: "出站4-CDN上下行"
    type: vless
    server: "cdn.example.com"     # CDN 域名或优选 IP
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    ech-opts: {enable: true}      # 隐藏 SNI
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h3]
    servername: "cdn.example.com" # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
    client-fingerprint: chrome
    skip-cert-verify: false       # 强制校验服务端证书，防止中间人攻击
    xhttp-opts:
      host: "cdn.example.com"     # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto
      session-table: "Alphabet"   # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"     # session ID 长度范围
      session-placement: path     # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true   # 启用填充混淆
      x-padding-method: tokenish  # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"          # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer" # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 5. 上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN（上下行不同 SNI）
  - name: "出站5-上XHTTP+REALITY下XHTTP+TLS+CDN"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    skip-cert-verify: false           # 强制校验服务端证书，防止中间人攻击
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"
    xhttp-opts:
      host: "cdn.example.com"         # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto
      session-table: "Alphabet"       # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"         # session ID 长度范围
      session-placement: path         # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true       # 启用填充混淆
      x-padding-method: tokenish      # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"              # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer"     # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 上行链接复用设置（即XMUX）
        max-concurrency: "16-32"      # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"        # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"        # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0        # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)
      download-settings:              # 下行设置（CDN 路径，改用 h3）
        path: /your-xhttp-path
        host: ""                      # host 继承自外层或省略；mode 强制继承外层        
        server: "cdn.example.com"     # CDN / 优选 IP (下行连接地址)
        port: 443
        tls: true
        alpn: [h3]
        servername: "cdn.example.com" # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
        client-fingerprint: chrome
        skip-cert-verify: false       # 强制校验服务端证书，防止中间人攻击
        ech-opts: {enable: true}      # 隐藏 SNI
        reality-opts: { public-key: "" } # 强制清空 Reality 公钥，否则下行连接 CDN 将会携带 Reality 握手
        reuse-settings:               # 下行链接复用设置（即XMUX）
          max-concurrency: "16-32"      # 单连接最大并发请求数（0=不限制）
          # max-connections: "3"        # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
          c-max-reuse-times: "0"        # 单连接最大复用次数（0=不限制）
          # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
          h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
          h-keep-alive-period: 0        # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

# 定义锚点
x-anchors:
  # 0. 用户变量 (请在此处统一修改为自己的配置，下方会自动引用)
  variables:
    vps_ip: &vps_ip "YOUR_VPS_IP"
    uuid_01: &uuid_01 "YOUR_UUID_01"
    uuid_02: &uuid_02 "YOUR_UUID_02"
    reality_domain: &reality_domain "reality.example.com"
    cdn_domain: &cdn_domain "cdn.example.com"
    xhttp_path: &xhttp_path "/your-xhttp-path"

  # 1. Reality 密钥配置
  reality-opts: &reality-opts
    public-key: "YOUR_PUB_KEY"
    short-id: "YOUR_SHORT_ID"

  # 2. 链接复用设置参数
  reuse-settings: &reuse-settings
    max-concurrency: "16-32"         # 单连接最大并发请求数（0=不限制）
    # max-connections: "3"           # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
    c-max-reuse-times: "0"           # 单连接最大复用次数（0=不限制）
    # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
    h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
    h-keep-alive-period: 0           # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 3. XHTTP 混淆配置
  xhttp-obfs: &xhttp-obfs
    path: *xhttp_path
    mode: auto
    session-table: "Alphabet"           # 自定义 session ID 字符集，降低 CDN 特征识别
    session-length: "12-20"             # session ID 长度范围
    session-placement: path             # Session ID 放在 URL 路径中
    x-padding-obfs-mode: true           # 启用填充混淆
    x-padding-method: tokenish          # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
    x-padding-placement: queryInHeader  # 填充嵌入 Referer URL query 中
    x-padding-key: "t"                  # URL query 参数名，伪装成 analytics token
    x-padding-header: "Referer"         # 填充存放的 HTTP Header 名，默认 Referer
    sc-stream-up-server-secs: "30-60"   # 单连接流控保活心跳间隔，减少 CDN 超时断开
    reuse-settings: *reuse-settings

  # 4. UDP 配置
  udp-opts: &udp-opts
    # 以下两项取决于你的实际 UDP 使用场景
    udp: false              # 境外游戏/QUIC/WebRTC 有需要走代理的则改为 true
    # packet-encoding: xudp # UDP 编码方式

# 最终节点配置
proxies:
  # 1. XTLS(Vision) + REALITY 直连
  - name: "出站1-XTLS+REALITY"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_01
    encryption: "none"
    flow: xtls-rprx-vision
    network: tcp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    reality-opts: *reality-opts

  # 2. XHTTP + REALITY 直连
  - name: "出站2-XHTTP+REALITY"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    reality-opts: *reality-opts
    xhttp-opts: *xhttp-obfs

  # 3. 上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY
  - name: "出站3-CDN上行+XHTTP下行"
    type: vless
    server: *cdn_domain
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h3]
    servername: *cdn_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    ech-opts: {enable: true}
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain
      download-settings:
        server: *vps_ip
        port: 443
        tls: true
        alpn: [h2]
        servername: *reality_domain
        client-fingerprint: chrome
        reality-opts: *reality-opts
        reuse-settings: *reuse-settings

  # 4. XHTTP + TLS(ECH) 过 CDN（上下行不分离）
  - name: "出站4-CDN上下行"
    type: vless
    server: *cdn_domain
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h3]
    servername: *cdn_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    ech-opts: {enable: true}
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain

  # 5. 上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN
  - name: "出站5-上XHTTP+REALITY下XHTTP+TLS+CDN"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    reality-opts: *reality-opts
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain
      download-settings:
        server: *cdn_domain
        port: 443
        tls: true
        alpn: [h3]
        servername: *cdn_domain
        client-fingerprint: chrome
        skip-cert-verify: false
        ech-opts: {enable: true}
        path: *xhttp_path
        host: ""
        reality-opts: { public-key: "" }
        reuse-settings: *reuse-settings

</details>

4.2 ALPN、ECH 与 XMUX 说明

ALPN

mihomo v1.19.23：仅支持 h2
mihomo v1.19.24+：支持 http/1.1 和 h3，但不支持多协议动态回退，写法如下：

proxies:
  - name: xxx
    alpn: [h2]           # 使用 HTTP/2（默认）
    # alpn: [http/1.1]   # 强制使用 HTTP/1.1
    # alpn: [h3]         # 强制使用 HTTP/3。注意：不支持 REALITY，必须 tls: true

ECH

proxies:
  - name: xxx
    ech-opts: {enable: true}

Cloudflare 免费版现已默认启用 ECH（Encrypted ClientHello）

针对通过 CDN 回源的出站节点，加上此参数后，mihomo 会自动发起 HTTPS DNS 记录查询，拉取 Cloudflare 下发的 ECH 公钥，并在 TLS 握手时加密 SNI，可以有效防止 GFW 通过嗅探 SNI 来封锁连接，一定程度上提升连接的隐蔽性

[!NOTE]

只有套了 CDN 的节点才能用

mihomo 需要写支持 DoH 解析的 DNS

域名需要开启 TLS 1.3

更多详情请查看下面推荐的文章

XMUX（链接复用）

[!IMPORTANT] Xray-core 近期的版本演进中（Issue #6376），对 XMUX 的默认策略经历了多次调整（从最初的 16-32，到 1，再到 3）。

本模板中显式写了 max-concurrency: "16-32"。效果是强制锁定在较稳定的多路复用状态，避免因继承内核默认值而导致并发 TCP 连接数突增爆表（仅为个人理解）

如果为了对抗严格的审查环境（像 issue 提到的俄罗斯抗 TSPU 封锁）的话，可改为 max-connections: 3

【完】

友情推荐

使用 Nginx 作为反代的教程：
- Debian 13 VPS 安全加固与 Xray VLESS + REALITY 手动部署
  - 本文从中学习到了 read -rsp 静默输入这一用法
ECH 相关教程：
- XHTTP + CDN + ECH配置教程

Cloudflare Tunnel 实现零信任 SSH 并封闭公网端口

Mon, 13 Jul 2026 00:00:00 GMT

本文记录通过 Cloudflare Tunnel（Zero Trust）配置 SSH 反向穿透，并完全封闭公网端口的步骤

1. 部署 cloudflared

在 VPS 上执行以下命令以安装并注册系统服务连接器：

# 导入密钥源与仓库地址
sudo mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-public-v2.gpg | sudo tee /usr/share/keyrings/cloudflare-public-v2.gpg >/dev/null
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-public-v2.gpg] https://pkg.cloudflare.com/cloudflared any main' | sudo tee /etc/apt/sources.list.d/cloudflared.list

# 安装并运行服务（替换 <YOUR_TOKEN>）
sudo apt-get update && sudo apt-get install cloudflared -y
sudo cloudflared service install <YOUR_TOKEN>

确认服务状态已拉起：

sudo systemctl status cloudflared

2. 网页端与本地配置

2.1 路由规则配置

在 Cloudflare Zero Trust 隧道的 Public Hostname 中配置路由映射：

Subdomain：自定义子域名（如 ssh-vps）
Domain：选择已托管的域名
Type：SSH
URL：localhost:<SSH_PORT>（若未修改默认端口，则为 localhost:22）

2.2 本地 SSH 客户端配置

在本地的 ~/.ssh/config 文件中新增如下配置：

Host vps-tunnel
    HostName ssh-vps.yourdomain.com
    User your_vps_username
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    ProxyCommand cloudflared access ssh --hostname %h
    ServerAliveInterval 30

本地通过命令行连接验证：

ssh vps-tunnel

3. 防火墙配置

警告：请务必确保已经通过 ssh vps-tunnel 验证能够正常进入终端，再执行此步骤，否则会有失联风险。

在 iptables 中屏蔽除本地环回口（lo）之外所有外部访问 SSH 服务端口的连接：

# SSHD 实际监听的端口
SSH_PORT=54321

# 限制除本地环回外所有针对该端口的 TCP 请求
sudo iptables -I INPUT ! -i lo -p tcp --dport $SSH_PORT -j DROP
sudo ip6tables -I INPUT ! -i lo -p tcp --dport $SSH_PORT -j DROP

# 保存规则
sudo netfilter-persistent save

验证直连状态，确认外部直连超时挂起，而通过隧道连接依旧正常。

使用 iptables + ipset 屏蔽主流云厂商 ASN 与恶意扫描流量

Mon, 13 Jul 2026 00:00:00 GMT

本文记录利用 iptables 结合 ipset 屏蔽主流云服务商（AWS, DigitalOcean, Azure, Vultr, Oracle 等）扫描探针与探测流量的方案。

直接在 iptables 中处理大量 IP 网段会导致性能劣化。ipset 使用哈希结构维护 IP 集合，可在 $O(1)$ 时间复杂度内完成检索，并通过 ipset swap 实现增量无缝更新。

1. 防火墙初始化部署脚本

在部署前，禁用 ufw 以防规则冲突：

sudo ufw disable
sudo systemctl stop ufw
sudo systemctl disable ufw

创建脚本 /usr/local/bin/deploy_firewall.sh：

#!/bin/bash
# ============================================================================
# 防火墙初始化部署脚本
# ============================================================================

SSH_PORT=54321
WEB_PORTS=(80 443)
ENABLE_IPV6=1
NEIGHBOR_V4="-"
NEIGHBOR_V6="-"

export PATH="/usr/sbin:/sbin:$PATH"

check_v6() {
    if [ "$ENABLE_IPV6" != "1" ]; then echo 0; return; fi
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

check_deps() {
    local missing=()
    for cmd in ipset iptables; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        echo "Missing dependencies: ${missing[*]}"
        echo "Run: sudo apt install -y ipset iptables"
        exit 1
    fi
}

install_persistent() {
    if dpkg -l iptables-persistent 2>/dev/null | grep -q '^ii' && dpkg -l ipset-persistent 2>/dev/null | grep -q '^ii'; then
        return 0
    fi
    echo iptables-persistent iptables-persistent/autosave_v4 boolean true | debconf-set-selections 2>/dev/null
    echo iptables-persistent iptables-persistent/autosave_v6 boolean true | debconf-set-selections 2>/dev/null
    DEBIAN_FRONTEND=noninteractive apt-get install -y iptables-persistent ipset-persistent &>/dev/null
}

create_ipsets() {
    ipset create bad_asn_v4 hash:net family inet hashsize 4096 maxelem 500000 -exist 2>/dev/null
    if [ "$HAS_V6" = "1" ]; then
        ipset create bad_asn_v6 hash:net family inet6 hashsize 4096 maxelem 500000 -exist 2>/dev/null
    fi
}

deploy_v4() {
    iptables -P INPUT DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT ACCEPT
    iptables -F
    iptables -X

    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -i lo -j ACCEPT

    if [ "$NEIGHBOR_V4" != "-" ]; then
        iptables -A INPUT -s "$NEIGHBOR_V4" -j DROP
    fi

    # 丢弃匹配 ipset 集合源的连接请求
    iptables -A INPUT -m set --match-set bad_asn_v4 src -j DROP

    iptables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT
    for port in "${WEB_PORTS[@]}"; do
        iptables -A INPUT -p tcp --dport "$port" -j ACCEPT
    done
}

deploy_v6() {
    ip6tables -P INPUT DROP
    ip6tables -P FORWARD DROP
    ip6tables -P OUTPUT ACCEPT
    ip6tables -F
    ip6tables -X

    ip6tables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -i lo -j ACCEPT

    if [ "$NEIGHBOR_V6" != "-" ]; then
        ip6tables -A INPUT -s "$NEIGHBOR_V6" -j DROP
    fi

    ip6tables -A INPUT -m set --match-set bad_asn_v6 src -j DROP
    ip6tables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT
    for port in "${WEB_PORTS[@]}"; do
        ip6tables -A INPUT -p tcp --dport "$port" -j ACCEPT
    done
}

persist() {
    if command -v netfilter-persistent &>/dev/null; then
        netfilter-persistent save 2>/dev/null
    else
        mkdir -p /etc/iptables
        ipset save > /etc/iptables/ipsets 2>/dev/null
        iptables-save > /etc/iptables/rules.v4
        [ "$HAS_V6" = "1" ] && ip6tables-save > /etc/iptables/rules.v6
    fi
}

main() {
    if [ "$(id -u)" != "0" ]; then exit 1; fi
    HAS_V6=$(check_v6)
    check_deps
    create_ipsets
    deploy_v4
    [ "$HAS_V6" = "1" ] && deploy_v6
    install_persistent
    persist
}

main "$@"

赋予权限并运行：

sudo chmod +x /usr/local/bin/deploy_firewall.sh
sudo /usr/local/bin/deploy_firewall.sh

2. 动态黑名单拉取更新脚本

创建脚本 /usr/local/bin/update_blacklists.sh：

#!/bin/bash
# ============================================================================
# 自治系统 IP 段同步脚本
# ============================================================================

ASNS=(
    "14061|DigitalOcean"
    "16509|AWS"
    "15169|Google_Cloud"
    "8075|Azure"
    "20473|Vultr"
    "31898|Oracle"
)

CACHE_DIR="/var/lib/seedbox-firewall"
export PATH="/usr/sbin:/sbin:$PATH"
set -o pipefail

check_v6() {
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

check_deps() {
    local missing=()
    for cmd in curl awk python3 ipset whois sha256sum; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        echo "Missing: ${missing[*]}. Run: sudo apt install -y curl gawk python3 ipset iproute2 whois"
        exit 1
    fi
}

init_cache() {
    mkdir -p "$CACHE_DIR" 2>/dev/null
}

get_cached_hash() {
    [ -f "${CACHE_DIR}/${1}.sha256" ] && cat "${CACHE_DIR}/${1}.sha256" || echo ""
}

set_cached_hash() {
    echo "$2" > "${CACHE_DIR}/${1}.sha256"
}

is_changed() {
    if [ ! -s "$2" ]; then return 0; fi
    local new_hash=$(sha256sum "$2" | awk '{print $1}')
    local old_hash=$(get_cached_hash "$1")
    [ "$new_hash" != "$old_hash" ]
}

update_cache() {
    local new_hash=$(sha256sum "$2" | awk '{print $1}')
    set_cached_hash "$1" "$new_hash"
}

update_asn() {
    local work="/tmp/asn-update-$$"
    mkdir -p "$work"
    local v4_cidr="${CACHE_DIR}/asn_v4.cidr"
    local v6_cidr="${CACHE_DIR}/asn_v6.cidr"
    local v4_tmp="${work}/asn_v4.cidr"
    local v6_tmp="${work}/asn_v6.cidr"

    true > "$v4_tmp"
    [ "$HAS_V6" = "1" ] && true > "$v6_tmp"

    local v4_total=0 v6_total=0

    for ITEM in "${ASNS[@]}"; do
        ASN="${ITEM%%|*}"
        local whois_out="${work}/whois_${ASN}.txt"
        if ! timeout 20 whois -h whois.radb.net -- "-i origin AS${ASN}" > "$whois_out" 2>/dev/null; then
            rm -f "$whois_out"
            continue
        fi

        local v4_count=$(awk '/^route:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v4_tmp" | wc -l)
        v4_total=$((v4_total + v4_count))

        if [ "$HAS_V6" = "1" ]; then
            local v6_count=$(awk '/^route6:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v6_tmp" | wc -l)
            v6_total=$((v6_total + v6_count))
        fi
        rm -f "$whois_out"
    done

    # 增量比对，利用 ipset swap 无缝替换
    if [ "$v4_total" -ge 50 ] && is_changed "asn_v4" "$v4_tmp"; then
        local new_set="bad_asn_v4_new"
        ipset create "$new_set" hash:net family inet hashsize 4096 maxelem 500000 -exist 2>/dev/null
        {
            echo "create $new_set hash:net family inet hashsize 4096 maxelem 500000 -exist"
            awk '{print "add '"$new_set"' " $0}' "$v4_tmp"
        } | ipset restore -exist 2>/dev/null
        ipset swap "$new_set" bad_asn_v4
        ipset destroy "$new_set" 2>/dev/null
        cp "$v4_tmp" "$v4_cidr"
        update_cache "asn_v4" "$v4_tmp"
    fi

    if [ "$HAS_V6" = "1" ] && [ "$v6_total" -ge 50 ] && is_changed "asn_v6" "$v6_tmp"; then
        local new_set="bad_asn_v6_new"
        ipset create "$new_set" hash:net family inet6 hashsize 4096 maxelem 500000 -exist 2>/dev/null
        {
            echo "create $new_set hash:net family inet6 hashsize 4096 maxelem 500000 -exist"
            awk '{print "add '"$new_set"' " $0}' "$v6_tmp"
        } | ipset restore -exist 2>/dev/null
        ipset swap "$new_set" bad_asn_v6
        ipset destroy "$new_set" 2>/dev/null
        cp "$v6_tmp" "$v6_cidr"
        update_cache "asn_v6" "$v6_tmp"
    fi

    rm -rf "$work"
}

main() {
    if [ "$(id -u)" != "0" ]; then exit 1; fi
    HAS_V6=$(check_v6)
    check_deps
    init_cache
    update_asn
}

main "$@"

赋予权限：

sudo chmod +x /usr/local/bin/update_blacklists.sh

3. 首次加载与定时同步配置

手动运行脚本拉取数据并初始化 ipset 集合：

sudo /usr/local/bin/update_blacklists.sh

添加 crontab 任务，设置每周日凌晨 4 点进行规则库同步：

sudo crontab -e
# 写入以下配置
0 4 * * 0 /usr/local/bin/update_blacklists.sh > /var/log/blacklist-update.log 2>&1

执行以下命令查看拦截链状态：

sudo iptables -L INPUT -v -n --line-numbers

在 INPUT 规则链中应存在 match-set bad_asn_v4 src DROP 相关的全局阻断项（位列 SSH 与 Web 端口放行规则之前）。

[!NOTE] iptables 按自上而下的顺序处理规则，由于黑名单 DROP 规则位于开放端口 ACCEPT 规则之前，来自黑名单 ASN 的流量会在前半部分被直接丢弃，非黑名单流量才能匹配到后面的端口放行规则。

VPS 新机基础安全加固与系统优化（精简版）

Mon, 13 Jul 2026 00:00:00 GMT

本文记录 Debian/Ubuntu 新购 VPS 的常规性能优化与安全加固配置步骤

1. 系统基础优化

1.1 清除开机预置任务

部分服务商在系统镜像中预置了首次开机脚本或监控探针。

sudo crontab -e

删除其中如 @reboot /admin/firstbootkvm yes 等第三方残留自启动项。

1.2 开启 BBR 加速

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

验证启用状态：

sysctl net.ipv4.tcp_congestion_control
# 返回: net.ipv4.tcp_congestion_control = bbr

1.3 虚拟内存 (Swap) 配置

对小内存配置 2GB Swap 空间及 swappiness 阈值（设置为 10，避免频繁读写磁盘）：

# 创建并挂载 Swap
sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

# 配置开机自动挂载
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

# 优化交换阈值
echo 'vm.swappiness=10' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

1.4 切换默认 Shell 为 Bash

将 /bin/sh 的链接从默认的 dash 指向 bash。

echo "dash dash/sh boolean false" | sudo debconf-set-selections
sudo ln -sf bash /bin/sh

2. SSH 服务安全加固

2.1 部署 Ed25519 密钥认证

在本地客户端生成密钥对并上传至服务器，禁用密码登录以防暴力破解。

本地生成密钥：

ssh-keygen -t ed25519 -C "vps-key" -f ~/.ssh/id_ed25519_vps

上传公钥至 VPS：

ssh-copy-id -i ~/.ssh/id_ed25519_vps.pub -p <PORT> root@<VPS_IP>

2.2 修改 SSHD 配置文件

编辑 /etc/ssh/sshd_config：

Port 54321                  # 修改为自定义高位端口
PasswordAuthentication no   # 禁用密码认证
PubkeyAuthentication yes    # 启用密钥认证

注：检查 /etc/ssh/sshd_config.d/ 目录下是否有其他配置文件覆盖此项，如存在 50-cloud-init.conf，须将其中的 PasswordAuthentication 修改为 no。

重启 SSHD 服务：

sudo systemctl restart sshd

在未测试成功前不要关闭当前会话。新开终端执行 ssh -i ~/.ssh/id_ed25519_vps -p 54321 root@<VPS_IP> 验证正常后再关闭旧终端。

3. 权限管理：创建非 Root 用户

# 新建用户与密码
sudo useradd -m -u 1000 user_name
sudo passwd user_name

# 赋予管理员权限
sudo usermod -aG sudo user_name

4. 部署 Fail2ban 防御端口扫描

安装并配置 Fail2ban，对频繁连接失败的 IP 进行临时封锁。

# 安装服务
sudo apt update && sudo apt install fail2ban -y

# 编辑配置文件 /etc/fail2ban/jail.local
[sshd]
enabled = true
port = 54321
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
findtime = 600
bantime = 86400

10 分钟内发生 3 次登录失败的 IP 将被封禁 24 小时。

启动服务：

sudo systemctl enable --now fail2ban

可通过 sudo fail2ban-client status sshd 检查当前封锁状态。

Linux 下部署 PeerBanHelper（Java 25 + systemd）

Mon, 13 Jul 2026 00:00:00 GMT

本文记录在 Linux 下部署独立的 Java 25 运行时与 PeerBanHelper 服务，对接 qBittorrent 自动阻断吸血 Peer。

1. 部署独立的 JDK 25 运行环境

采用绿色免安装版将 JDK 部署在 /opt/java25，避免对系统的全局环境造成冲突。

# 新增隔离目录
sudo mkdir -p /opt/java25

# 获取最新的 JDK 25 Linux x64 二进制包并解压
wget -O jdk25.tar.gz "https://api.adoptium.net/v3/binary/latest/25/ga/linux/x64/jdk/hotspot/normal/eclipse"
sudo tar -xzf jdk25.tar.gz -C /opt/java25 --strip-components=1 && rm jdk25.tar.gz

确认安装状态：

/opt/java25/bin/java -version

2. 部署 PeerBanHelper

下载并安装包到普通用户的家目录内，实现权限隔离：

mkdir -p ~/seedbox/config/pbh && cd ~/seedbox/config/pbh

# 下载指定发布包（以 v9.3.14 为例）
wget https://github.com/PBH-BTN/PeerBanHelper/releases/download/v9.3.14/PeerBanHelper_9.3.14.zip

# 安装解压工具并处理包
sudo apt update && sudo apt install unzip -y
unzip PeerBanHelper_9.3.14.zip && rm PeerBanHelper_9.3.14.zip

3. 配置 Systemd 守护服务

新建配置 /etc/systemd/system/peerbanhelper.service：

[Unit]
Description=PeerBanHelper Daemon
After=network.target

[Service]
Type=simple
User=your_username
Group=your_username
WorkingDirectory=/home/your_username/seedbox/config/pbh/PeerBanHelper
ExecStart=/opt/java25/bin/java -jar /home/your_username/seedbox/config/pbh/PeerBanHelper/PeerBanHelper.jar
Restart=on-failure
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

注：请将配置中的 User、Group 及目录修改为实际的运行普通用户与对应绝对路径。

载入系统服务并启动运行：

sudo systemctl daemon-reload
sudo systemctl enable --now peerbanhelper

4. 仪表盘配置与客户端联动

服务启动后默认监听本地 9898 端口。

4.1 提取初始化 Token

sudo journalctl -u peerbanhelper | grep -i token

复制输出的临时 Token 登录后台面板。

4.2 关联 qBittorrent

在控制台的“连接下载器”配置中填入：

类型：选择 qBittorrent 或 qBittorrentEE。
地址：如果为同机部署，输入 http://127.0.0.1:8080。
账号/密码：输入对应的 WebUI 登录凭据。

4.3 配置代理前缀

如果使用反向代理域名（如 https://pbh.yourdomain.com）连接服务：前往设置 -> 基础设置 -> WebUI。将 反向代理前缀 (Prefix) 修正为实际域名，否则回传给下载器的封禁数据会使用本地环回地址导致同步失败。

5. 日志与屏蔽地区规则设置

日志期限：建议在设置中调整封禁日志保留时长至 15天 或 30天 以节省磁盘空间。
CN 地区屏蔽：如遇极端流量占用，可在设置 -> 规则订阅 -> 地区中配置 CN 地区屏蔽规则。该规则可能会阻断部分正常的中文 Peer 连接，建议酌情选用。

使用 Telegram Bot 实现 qBittorrent 下载完成即时通知

Mon, 13 Jul 2026 00:00:00 GMT

本文记录通过 Telegram Bot 接收 qBittorrent 任务下载完成推送的配置方法。

1. 准备工作

1.1 获取 Bot Token

在 Telegram 中向 @BotFather 发送 /newbot 指令，按照指引命名并获取 API Token（格式形如 1234567890:BBA2XXjn...）。并在聊天中点击 Start 激活对话。

1.2 获取 Chat ID

向机器人发送测试文本。在浏览器中访问以下接口（替换 <TOKEN>）：

https://api.telegram.org/bot<TOKEN>/getUpdates

记录返回的 JSON 数据中 "chat":{"id":123456789} 中的数字。

2. 编写消息通知脚本

在服务器合适位置写入以下脚本（如 ~/script/tg_notify.sh）：

#!/bin/bash

# 配置你的 token 和 ID
BOT_TOKEN="YOUR_BOT_TOKEN"
CHAT_ID="YOUR_CHAT_ID"
# ==========================================

# 接收 qB 传过来的参数
TORRENT_NAME="${1:-"Unknown Torrent"}"
SIZE_BYTES="${2:-0}"
SAVE_PATH="${3:-"Unknown Path"}"

SAFE_NAME=$(echo "$TORRENT_NAME" | sed 's/&/\&amp;/g; s/</\&lt;/g; s/>/\&gt;/g')
SAFE_PATH_RAW=$(echo "$SAVE_PATH" | sed 's/&/\&amp;/g; s/</\&lt;/g; s/>/\&gt;/g')

SIZE_MB=$((SIZE_BYTES / 1024 / 1024))
if [ "$SIZE_MB" -ge 1024 ]; then
    SIZE_GB=$(echo "scale=1; $SIZE_MB / 1024" | bc)
    SIZE_DISPLAY="${SIZE_GB} GB"
else
    SIZE_DISPLAY="${SIZE_MB} MB"
fi

USERNAME=$(whoami)
SAVE_PATH_OBFUSCATED=$(echo "$SAFE_PATH_RAW" | sed "s|${USERNAME}|<span class=\"tg-spoiler\">${USERNAME}</span>|g")

MESSAGE="🎉 <b>Seedbox 种子下载完成！</b>

🎬 <b>名称</b>: ${SAFE_NAME}
💾 <b>大小</b>: ${SIZE_DISPLAY}
📁 <b>路径</b>: ${SAVE_PATH_OBFUSCATED}"

curl -s --max-time 10 -X POST "https://api.telegram.org/bot${BOT_TOKEN}/sendMessage" \
    -d chat_id="${CHAT_ID}" \
    --data-urlencode text="${MESSAGE}" \
    -d parse_mode="HTML" > /dev/null

赋予脚本可执行权限：

chmod +x ~/script/tg_notify.sh

3. 在 qBittorrent 中启用绑定

在 qBittorrent WebUI 中打开 设置 (Settings) -> 下载 (Downloads)。

启用 种子下载完成时运行外部程序 (Run external program on torrent completion)，输入对应的调用命令：

/home/yourname/script/tg_notify.sh "%N" "%Z" "%D"

注：请根据实际运行路径替换 /home/yourname/ 部分。

变量映射说明：

%N：种子名称。
%Z：文件字节大小。
%D：保存目标目录。

基于 qBittorrent EE、PeerBanHelper 与 OpenList 的个人追番 Seedbox 部署指南

Sat, 11 Jul 2026 00:00:00 GMT

本文先发布于 NodeSeek 与 Github

NodeSeek、GitHub 文章不保证再更新，可能过时

请以本文或者为主

背景

在此之前的很长一段时间里，我一直使用 Windows 本机运行 qBEE 追番。日常使用倒也没什么大问题，只是偶尔会系统卡顿一下（尤其在我播放音频的时候尤为明显），而且网络也似乎时不时被运营商 Q，多少有些不便。再考虑到长期全天做种对 SSD 有读写负担，索性迁移到 VPS 上

前阵子我买了某芬兰厂家的普通 Seedbox（无 root 权限的普通盒子），但没想到短时间内就经历了两次服务宕机，发工单也没真人，都是 AI 敷衍回复。

虽然社区也已经有了一键搭建脚本，但它们大多面向 PT 刷流场景，又或者里面预装很多东西等等之类的，于是我便想着，为什么我不自己搞一台大盘机做 Seedbox 呢？

但最近硬盘内存涨价，连带服务器也水涨船高，便宜的大盘机基本都处于售罄状态，更何况是版权宽松的芬兰、荷兰和卢森堡等地的机器，特别某些热门商家，即便补货也是被脚本秒了。要么去继续蹲，要么溢价收……

在我各种搜索之后，（虽然得到的案例不多）知道了我的需求貌似处于一个中间地带，被 DMCA 投诉的对象一般是热门美剧、英剧、好莱坞大片或主流流媒体平台（~~Ne*flix、Di*ney+、H*O~~等）的独家剧集，而某 Mi*an、某 N*a 上面这类动漫种子则通常都是经由字幕组重烧录编码，文件哈希已经改变（除了 Raw 生肉搬运、部分由 ~~Ne*flix~~ 发行的动漫），版权方很难追溯。那么我就想，是不是不一定需要找版权宽松地区的机器？这样选择范围变广了，再考虑到我需要通过 OpenList 在线观看，那在预算有限的情况下，优先选择美西地区的大盘机……

~~因此，我决定铤而走险，试试在 DMCA 最严格的 US 尝试 BT 下载~~

以本文记录我个人的操作流程，供日后参考

适用人群

本文面向以 RSS 订阅追番为主、希望将 BT 下载与日常电脑分离的个人用户，适合以下读者：

了解 Linux 基础操作
拥有一台 VPS（2C2G 或 1C2G 起步）和一个个人域名
希望设备简单解耦

[!CAUTION] 本文不适合 PT 刷流或冲上传量的玩家

文中配置追求保守、不被投诉，需要自动刷流请参考其他专门教程

完成后将获得

跟随本文完成全部部署后，日常工作流如下：

种子自动下载：在 qBEE 中配置 RSS 订阅，番剧更新后自动下载到 VPS （限于篇幅，本文不教如何使用 RSS 订阅种子）
多端在线观看：在任意设备的浏览器打开 https://openlist.yourdomain.com，直接在线播放已下载的番剧
本地备份（可选）：通过 Air2、SFTP、Rclone 等工具将文件拖回 Windows 本地保存

背景
适用人群
完成后将获得
零、准备工作
一、系统基础防护
二、安装应用与反代网关
三、启动并配置应用
四、进阶可选配置
附：qBEE 参考配置
附：本文提及端口速查

零、准备工作

在开始之前，请做好以下准备：

一个个人域名：用于反代访问
一个通过支付验证的 Cloudflare 账号：将域名托管至 Cloudflare
一台 VPS：拥有 root 且建议 2GB RAM 起步

[!NOTE] 为避免纠纷，本文不提供任何 VPS 商家推荐或购买指导，请自行选择

本文中的 your_vps_ip、yourname、yourdomain.com 均为占位符，实际操作时请替换为你的真实 IP、用户名和域名

一、系统基础防护

1.1 系统基础优化

1.1.1 清除厂家模板

使用 root 账密进行 ssh 登录

ssh root@192.0.2.100  # 改为你的 IP，回车后输入密码

部分服务商的系统模板可能包含首次开机脚本，建议清除，没有则跳过

sudo crontab -e

进入编辑界面后，寻找类似 @reboot /admin/firstbootkvm yes 的行，将其删除并保存

1.1.2 开启 BBR 网络加速

把系统自带的 BBR 拥塞控制开启，能直接拉升机器的公网吞吐量：

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

1.1.3 增大 Swap（可选）

对于 2GB RAM 的 VPS，qBEE 和 PBH 同时运行时内存吃紧，适当增大 Swap 可提供缓冲：

# 查看当前 Swap
sudo swapon --show

# 创建 2G Swap 文件（可根据磁盘余量调整大小）
sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

# 写入 fstab 使其重启后自动挂载
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

降低 swappiness 让系统优先使用物理内存：

echo 'vm.swappiness=10' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

swappiness	行为
0	不用 swap（如果 RAM 充足，可以完全不用）
10	物理内存接近耗尽时才动用 swap（推荐）
20	较保守的折中值
60	系统默认，较早换出到 swap

数值越低，系统越倾向保留物理内存，避免磁盘 I/O；但同时 OOM 风险略增。常规场景设为 10 即可

1.1.4 切换默认 Shell 为 Bash

Debian 12 Template 默认将 /bin/sh 指向 dash，不是 bash。本文所有脚本均以 #!/bin/bash 声明，不受影响，但个别系统脚本和交互环境可能行为异常（比如在 PowerShell 7 中主机名无彩色、部分 sh 脚本语法报错）。

将默认 Shell 切换为 bash：

方法一（标准交互方式）：

# 查看当前指向
ls -l /bin/sh

# 重新配置 dash，在弹出的对话框中选择 <No>（即“不使用 dash 作为默认 sh”）
sudo dpkg-reconfigure dash

# 确认已切换
ls -l /bin/sh

执行后应看到 /bin/sh -> bash。

如果执行后没有弹出任何交互窗口（直接返回），可能是系统处于非交互模式，请改用方法二：

# 设置 debconf 选项为“不使用 dash”
echo "dash dash/sh boolean false" | sudo debconf-set-selections

# 手动链接到 bash
sudo ln -sf bash /bin/sh

# 确认切换
ls -l /bin/sh

方法二同时更新了 debconf 数据库，因此后续 dash 包升级时不会自动覆盖该链接。如果交互失败，直接采用方法二即可，无需纠结弹窗。

1.2 SSH 密钥登录

1.2.1 生成密钥对

在本地电脑（本文以 Windows 为例）打开 PowerShell 7，生成一把新密钥对：

cd ~
ssh-keygen -t ed25519 -C "随便取名比如seedbox" -f ~/.ssh/id_ed25519_seedbox

回车后，会提示你设置密码（passphrase），如果嫌麻烦可以直接连按两次回车跳过即可

1.2.2 上传公钥至服务器

密钥生成后，在本地 PowerShell 中运行以下命令，将公钥上传到服务器（注意将 your_vps_ip 替换为真实 IP）

$pubKey = Get-Content "$HOME\.ssh\id_ed25519_seedbox.pub"
$pubKey | ssh root@your_vps_ip "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

1.2.3 加固 SSH 配置

然后，回到 VPS SSH 窗口，编辑 SSH 配置文件：

nano /etc/ssh/sshd_config

修改或取消注释以下行：

Port 43210                  # 修改为任意高位端口
PasswordAuthentication no   # 禁用密码登录
PubkeyAuthentication yes    # 允许密钥登录

顺便查看是否存在这一行 Include /etc/ssh/sshd_config.d/*.conf

如有，在保存退出对 /etc/ssh/sshd_config 的编辑后，输入：

ls -R /etc/ssh/sshd_config.d/

如果看到输出结果是 50-cloud-init.conf，则继续输入：

sudo nano /etc/ssh/sshd_config.d/50-cloud-init.conf

将里面的 PasswordAuthentication yes 改为 PasswordAuthentication no

重启 SSH 服务使变更生效：

sudo systemctl restart sshd

注意，重启服务后，先别关闭当前的 SSH 终端窗口，先开一个新的终端窗口，测试一下能不能用新端口和密钥成功连上，如果连不上，在原来的窗口里把配置改回来

1.2.4 测试连接

从本地 Windows 测试连接的命令是：

cd ~/.ssh
ssh -i ./id_ed25519_seedbox -p 43210 root@your_vps_ip

如果私钥设置了 passphrase，在连接时会提示输入；如果没有设置，则直接登录

1.2.5 配置本地快捷登录

如果希望后续不用每次都输路径和端口，可以在本地添加一个配置块

在 Windows Powershell 7 输入：

notepad $HOME/.ssh/config

回车后会打开一个记事本编辑器，输入以下内容：

Host seedbox
    HostName your_vps_ip
    User root
    Port 43210
    IdentityFile ~/.ssh/id_ed25519_seedbox
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

Ctrl+S 保存后，即可用以下命令登录：

ssh seedbox

1.3 创建新用户

为贯彻最小权限原则，我们不使用 root 登录，创建一个专用用户来运行服务和管理文件

[!TIP] 以下步骤仍在当前的 root SSH 会话中执行，完成后将切换到新用户

1.3.1 创建用户并设置登录密码

# 创建用户 yourname（UID 1000，带 home 目录）
useradd -m -u 1000 yourname

# 设置密码（必须设置，否则无法使用 sudo）
passwd yourname

[!NOTE] 系统会提示你输入两次密码，虽然我们主要用密钥登录，但 sudo 默认需要用户有密码，否则会报错 user is not in the sudoers file 或 no password set

1.3.2 将用户加入 sudo 组

usermod -aG sudo yourname

1.3.3 配置免密 sudo （可选、谨慎！）

[!CAUTION] 跳过密码验证会降低安全性，仅建议在个人独占、无敏感数据的 VPS 上使用

如果你希望执行 sudo 时不用输密码，编辑 sudoers 文件：

visudo

在文件末尾添加一行：

yourname ALL=(ALL) NOPASSWD: ALL

Ctrl+O 、回车、 Ctrl+X 保存退出

[!TIP] 比较推荐的方法是保留密码验证，只对特定命令免密

比如 sudo systemctl restart qbittorrent

本教程为简化流程采用全局免密

1.3.4 将公钥复制给新用户

在本地 PowerShell 中运行（注意将 your_vps_ip 替换为真实 IP）：

$pubKey = Get-Content "$HOME\.ssh\id_ed25519_seedbox.pub"
$pubKey | ssh seedbox "mkdir -p /home/yourname/.ssh && chmod 700 /home/yourname/.ssh && cat >> /home/yourname/.ssh/authorized_keys && chmod 600 /home/yourname/.ssh/authorized_keys && chown -R yourname:yourname /home/yourname/.ssh"

1.3.5 更新本地 SSH config

打开你本地的 $HOME/.ssh/config，追加新用户的配置块：

Host seedbox-yourname
    HostName your_vps_ip
    User yourname
    Port 43210
    IdentityFile ~/.ssh/id_ed25519_seedbox
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

保存后，即可用 ssh seedbox-yourname 登录，再通过 sudo 执行管理命令

1.4 部署 Fail2ban

虽然已经禁用了密码登录，但公网上的端口探测依然会消耗系统资源

Fail2ban 可以动态封禁那些反复试探的 IP

sudo apt update && sudo apt install fail2ban -y

创建自定义配置，注意将 port 改为你之前设置的 SSH 端口：

sudo nano /etc/fail2ban/jail.local

写入：

[sshd]
enabled = true
port = 43210
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
findtime = 600
bantime = 86400

10 分钟内输错 3 次密码，封禁该 IP 24 小时

启动并设置开机自启：

sudo systemctl enable --now fail2ban

1.5 部署防火墙

本文采用以下设计：

防火墙规则（iptables）：长期稳定，部署一次即可，后续无需变动
黑名单数据（ipset）：定期更新，独立脚本执行，不影响现有防火墙规则

防火墙规则 (deploy_firewall.sh)     → 执行一次即可
        ↓
     ipset 集合
        ↓
ASN 黑名单 (update_blacklists.sh)  → 每周自动更新
P2P 黑名单 (update_blacklists.sh)  → 每周自动更新

1.5.1 禁用 UFW

如果你之前启用过 UFW，先关掉：

sudo ufw disable
sudo systemctl stop ufw
sudo systemctl disable ufw

1.5.2 创建防火墙部署脚本

防火墙部署脚本只需执行一次（或修改端口配置后重新执行）：

sudo nano /usr/local/bin/deploy_firewall.sh

粘贴以下脚本：

[!NOTE] 注意修改开头的用户配置区：

#!/bin/bash
# ============================================================================
# 部署防火墙规则，本脚本只需执行一次
#
# 修改配置后重新执行即可，脚本会自动覆盖旧规则
# ============================================================================

# ===================== 用户配置区 =====================

SSH_PORT=43210

# BT 监听端口（TCP 与 UDP 通常相同）
BT_TCP_PORT=54321
BT_UDP_PORT=54321

# Web 端口（80 用于 HTTP，443 用于 HTTPS）
# 如需放行其他端口请在此添加
WEB_PORTS=(80 443)

# 是否启用 IPv6（1=启用，0=禁用）
ENABLE_IPV6=1

# 邻居网段全局阻断（设为 "-" 表示不启用）
# 示例: NEIGHBOR_V4="10.0.0.0/8"
NEIGHBOR_V4="-"
NEIGHBOR_V6="-"


export PATH="/usr/sbin:/sbin:$PATH"

# ===================== 日志与颜色 =====================

RED='\033[1;31m'
GREEN='\033[1;32m'
YELLOW='\033[1;33m'
BLUE='\033[1;34m'
CYAN='\033[1;36m'
NC='\033[0m'

log()  { echo -e "${BLUE}[INFO]${NC}  $1"; }
ok()   { echo -e "${GREEN}[OK]${NC}    $1"; }
warn() { echo -e "${YELLOW}[WARN]${NC}  $1"; }
err()  { echo -e "${RED}[ERR]${NC}   $1"; }
die()  { err "$1"; exit 1; }

# 检查 IPv6
check_v6() {
    if [ "$ENABLE_IPV6" != "1" ]; then echo 0; return; fi
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

# 依赖检查
check_deps() {
    local missing=()
    for cmd in ipset iptables; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        err "Missing dependencies: ${missing[*]}"
        err "Run: apt install -y ipset iptables"
        exit 1
    fi
    ok "Dependencies satisfied"

    if [ "$HAS_V6" = "1" ] && ! command -v ip6tables &>/dev/null; then
        warn "ip6tables not found, disabling IPv6"
        HAS_V6=0
    fi
}

# 安装 iptables-persistent 与 ipset-persistent
install_persistent() {
    if dpkg -l iptables-persistent 2>/dev/null | grep -q '^ii' && dpkg -l ipset-persistent 2>/dev/null | grep -q '^ii'; then
        return 0
    fi
    log "Installing iptables-persistent & ipset-persistent..."
    echo iptables-persistent iptables-persistent/autosave_v4 boolean true \
        | debconf-set-selections 2>/dev/null
    echo iptables-persistent iptables-persistent/autosave_v6 boolean true \
        | debconf-set-selections 2>/dev/null
    DEBIAN_FRONTEND=noninteractive apt-get install -y iptables-persistent ipset-persistent &>/dev/null \
        || warn "Could not install persistent packages, will fallback to manual save"
}

# 创建 ipset 集合
create_ipsets() {
    ipset create bad_asn_v4 hash:net family inet \
        hashsize 4096 maxelem 500000 -exist 2>/dev/null
    ipset create bad_p2p_v4 hash:net family inet \
        hashsize 65536 maxelem 1000000 -exist 2>/dev/null
    if [ "$HAS_V6" = "1" ]; then
        ipset create bad_asn_v6 hash:net family inet6 \
            hashsize 4096 maxelem 500000 -exist 2>/dev/null
    fi
    ok "ipset collections created"
}

# 部署 iptables 规则
deploy_v4() {
    iptables -P INPUT DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT ACCEPT

    iptables -F
    iptables -X

    # 基础放行
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -i lo -j ACCEPT

    # 全局阻断：邻居网段
    if [ "$NEIGHBOR_V4" != "-" ]; then
        iptables -A INPUT -s "$NEIGHBOR_V4" -j DROP
        ok "Neighbor v4 blocked globally: $NEIGHBOR_V4"
    fi

    # 全局阻断：ASN & P2P 黑名单
    iptables -A INPUT -m set --match-set bad_asn_v4 src -j DROP
    iptables -A INPUT -m set --match-set bad_p2p_v4 src -j DROP
    ok "Global blacklist: DROP(ASN) -> DROP(P2P)"

    # SSH
    iptables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT
    ok "Allow TCP port $SSH_PORT (SSH)"

    # Web (80, 443)
    for port in "${WEB_PORTS[@]}"; do
        iptables -A INPUT -p tcp --dport "$port" -j ACCEPT
        ok "Allow TCP port $port (Web)"
    done

    # BT
    iptables -A INPUT -p tcp --dport "$BT_TCP_PORT" -j ACCEPT
    ok "Allow TCP port $BT_TCP_PORT (BT)"
    iptables -A INPUT -p udp --dport "$BT_UDP_PORT" -j ACCEPT
    ok "Allow UDP port $BT_UDP_PORT (BT DHT)"
}

# 部署 ip6tables 规则
deploy_v6() {
    ip6tables -P INPUT DROP
    ip6tables -P FORWARD DROP
    ip6tables -P OUTPUT ACCEPT

    ip6tables -F
    ip6tables -X

    ip6tables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -i lo -j ACCEPT

    # 全局阻断：邻居网段
    if [ "$NEIGHBOR_V6" != "-" ]; then
        ip6tables -A INPUT -s "$NEIGHBOR_V6" -j DROP
        ok "Neighbor v6 blocked globally: $NEIGHBOR_V6"
    fi

    # 全局阻断：ASN 黑名单
    ip6tables -A INPUT -m set --match-set bad_asn_v6 src -j DROP
    ok "Global blacklist: DROP(ASN)"

    # SSH
    ip6tables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT

    # Web (80, 443)
    for port in "${WEB_PORTS[@]}"; do
        ip6tables -A INPUT -p tcp --dport "$port" -j ACCEPT
    done

    # BT
    ip6tables -A INPUT -p tcp --dport "$BT_TCP_PORT" -j ACCEPT
    ip6tables -A INPUT -p udp --dport "$BT_UDP_PORT" -j ACCEPT
}

# 持久化
persist() {
    if command -v netfilter-persistent &>/dev/null; then
        netfilter-persistent save 2>/dev/null
        ok "Rules saved via netfilter-persistent"
    else
        mkdir -p /etc/iptables
        ipset save > /etc/iptables/ipsets 2>/dev/null
        iptables-save > /etc/iptables/rules.v4
        [ "$HAS_V6" = "1" ] && ip6tables-save > /etc/iptables/rules.v6
        ok "Rules saved to /etc/iptables/"
        warn "Consider installing iptables-persistent for automatic restore on boot"
    fi
}

# 打印当前规则
print_rules() {
    echo ""
    echo -e "${CYAN}=== IPv4 INPUT Rules ===${NC}"
    iptables -L INPUT -v -n --line-numbers 2>/dev/null | head -20
    if [ "$HAS_V6" = "1" ]; then
        echo ""
        echo -e "${CYAN}=== IPv6 INPUT Rules ===${NC}"
        ip6tables -L INPUT -v -n --line-numbers 2>/dev/null | head -15
    fi
}

# 主流程
main() {
    if [ "$(id -u)" != "0" ]; then
        die "This script must be run as root"
    fi

    echo ""
    echo -e "${CYAN}========================================${NC}"
    echo -e "${GREEN}  Firewall Deployment (One-Time Setup)${NC}"
    echo -e "${CYAN}========================================${NC}"
    echo ""

    HAS_V6=$(check_v6)
    [ "$HAS_V6" = "1" ] && ok "IPv6 enabled" || warn "IPv6 disabled"

    check_deps
    create_ipsets

    echo ""
    log "Deploying IPv4 rules..."
    deploy_v4

    if [ "$HAS_V6" = "1" ]; then
        echo ""
        log "Deploying IPv6 rules..."
        deploy_v6
    fi

    echo ""
    log "Persisting rules..."
    install_persistent
    persist

    print_rules

    echo ""
    echo -e "${GREEN}Firewall deployed.${NC}"
    echo -e "${YELLOW}Next: run update_blacklists.sh to load ASN/P2P blacklists.${NC}"
    echo ""
}

main "$@"

赋予执行权限并运行：

sudo chmod +x /usr/local/bin/deploy_firewall.sh
sudo /usr/local/bin/deploy_firewall.sh

脚本会：

创建 ipset 集合（bad_asn_v4、bad_p2p_v4、bad_asn_v6）
清空原有 iptables 规则并部署新规则
安装 iptables-persistent 和 ipset-persistent 并保存规则（重启后自动恢复）

[!NOTE] iptables 的匹配逻辑是 “自上而下，首次匹配即停止”。

本脚本将黑名单 DROP 规则写在开放端口 ACCEPT 规则的前面：命中黑名单的请求在前半部分就会被直接丢弃；只有未命中黑名单的正常请求，才会顺次走到后半部分被 443 / BT 端口 ACCEPT 放行。

此脚本只部署防火墙规则，不会下载黑名单数据。此时 ipset 集合为空，所有合法的 443 和 BT 请求均可正常访问。

1.5.3 创建黑名单更新脚本

黑名单更新脚本负责下载 ASN/P2P 数据并更新 ipset 集合，不修改防火墙规则：

sudo nano /usr/local/bin/update_blacklists.sh

粘贴以下脚本：

#!/bin/bash
# ============================================================================
# 更新 ASN & P2P 黑名单
# ============================================================================

# 需要屏蔽的 ASN
ASNS=(
    "14061|DigitalOcean"
    "16509|AWS"
    "15169|Google_Cloud"
    "8075|Azure"
    "20473|Vultr"
    "31898|Oracle"
)

# P2P 黑名单数据源
declare -A P2P_SOURCES=(
    ["Naunter_Mega"]="https://raw.githubusercontent.com/Naunter/BT_BlockLists/master/bt_blocklists.gz"
    ["mxdpeep_Comprehensive"]="https://raw.githubusercontent.com/mxdpeep/p2p-blocklist-creator/master/blocklist.p2p"
    ["eMule_Security"]="http://upd.emule-security.org/ipfilter.zip"
)

# 缓存目录
CACHE_DIR="/var/lib/seedbox-firewall"


export PATH="/usr/sbin:/sbin:$PATH"
set -o pipefail

# ===================== 日志与颜色 =====================

RED='\033[1;31m'
GREEN='\033[1;32m'
YELLOW='\033[1;33m'
BLUE='\033[1;34m'
CYAN='\033[1;36m'
NC='\033[0m'

log()  { echo -e "${BLUE}[INFO]${NC}  $1"; }
ok()   { echo -e "${GREEN}[OK]${NC}    $1"; }
warn() { echo -e "${YELLOW}[WARN]${NC}  $1"; }
err()  { echo -e "${RED}[ERR]${NC}   $1"; }
die()  { err "$1"; exit 1; }
ln()   { echo "------------------------------"; }
fmt()  { printf "%'d" "$1"; }

# 检查 IPv6
check_v6() {
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

# 依赖检查
check_deps() {
    local missing=()
    for cmd in curl gunzip unzip awk python3 ipset whois md5sum sha256sum; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        die "Missing: ${missing[*]}. Run: apt install -y curl gzip unzip gawk python3 ipset iproute2 whois"
    fi

    # 检查 ipsets 是否存在
    if ! ipset list bad_asn_v4 &>/dev/null || ! ipset list bad_p2p_v4 &>/dev/null; then
        die "ipsets not found. Run deploy_firewall.sh first."
    fi
}

# ===================== 缓存函数 =====================

init_cache() {
    mkdir -p "$CACHE_DIR" 2>/dev/null || { die "Cannot create $CACHE_DIR"; }
}

get_cached_hash() {
    local name="$1"
    local hashfile="${CACHE_DIR}/${name}.sha256"
    [ -f "$hashfile" ] && cat "$hashfile" || echo ""
}

set_cached_hash() {
    local name="$1" hash="$2"
    echo "$hash" > "${CACHE_DIR}/${name}.sha256"
}

is_changed() {
    local name="$1" cidr_file="$2"
    if [ ! -s "$cidr_file" ]; then
        return 0  # 空文件视为有变化（或错误）
    fi
    local new_hash=$(sha256sum "$cidr_file" | awk '{print $1}')
    local old_hash=$(get_cached_hash "$name")
    if [ "$new_hash" = "$old_hash" ] && [ -n "$old_hash" ]; then
        return 1  # 未变化
    fi
    return 0  # 有变化
}

update_cache() {
    local name="$1" cidr_file="$2"
    local new_hash=$(sha256sum "$cidr_file" | awk '{print $1}')
    set_cached_hash "$name" "$new_hash"
}

# ===================== ASN 更新 =====================

update_asn() {
    log "Fetching ASN routes from RADb..."

    local work="/tmp/asn-update-$$"
    mkdir -p "$work"
    local v4_cidr="${CACHE_DIR}/asn_v4.cidr"
    local v6_cidr="${CACHE_DIR}/asn_v6.cidr"
    local v4_tmp="${work}/asn_v4.cidr"
    local v6_tmp="${work}/asn_v6.cidr"

    true > "$v4_tmp"
    [ "$HAS_V6" = "1" ] && true > "$v6_tmp"

    local v4_total=0 v6_total=0

    for ITEM in "${ASNS[@]}"; do
        ASN="${ITEM%%|*}"
        NAME="${ITEM##*|}"

        local whois_out="${work}/whois_${ASN}.txt"
        if ! timeout 20 whois -h whois.radb.net -- "-i origin AS${ASN}" > "$whois_out" 2>/dev/null; then
            warn "AS${ASN} ${NAME}: whois timeout or failed"
            rm -f "$whois_out"
            continue
        fi

        # 提取 v4 路由
        local v4_count=$(awk '/^route:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v4_tmp" | wc -l)
        v4_total=$((v4_total + v4_count))

        if [ "$HAS_V6" = "1" ]; then
            local v6_count=$(awk '/^route6:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v6_tmp" | wc -l)
            v6_total=$((v6_total + v6_count))
        fi

        log "  AS${ASN} ${NAME}: v4=${v4_count} v6=${HAS_V6:+"$v6_count"}"
        rm -f "$whois_out"
    done

    # 更新 v4
    local v4_updated=0
    if [ "$v4_total" -lt 50 ]; then
        warn "ASN v4 too few entries ($v4_total), keeping existing set"
    elif is_changed "asn_v4" "$v4_tmp"; then
        log "ASN v4 changed, swapping ipset..."
        local new_set="bad_asn_v4_new"
        ipset create "$new_set" hash:net family inet hashsize 4096 maxelem 500000 -exist 2>/dev/null
        {
            echo "create $new_set hash:net family inet hashsize 4096 maxelem 500000 -exist"
            awk '{print "add '"$new_set"' " $0}' "$v4_tmp"
        } | ipset restore -exist 2>/dev/null
        ipset swap "$new_set" bad_asn_v4
        ipset destroy "$new_set" 2>/dev/null
        cp "$v4_tmp" "$v4_cidr"
        update_cache "asn_v4" "$v4_tmp"
        v4_updated=1
        ok "ASN v4 updated: $(fmt $(wc -l < "$v4_cidr")) entries"
    else
        ok "ASN v4 unchanged ($(fmt $v4_total) entries), skipped"
    fi

    # 更新 v6
    if [ "$HAS_V6" = "1" ]; then
        if [ "$v6_total" -lt 50 ]; then
            warn "ASN v6 too few entries ($v6_total), keeping existing set"
        elif is_changed "asn_v6" "$v6_tmp"; then
            log "ASN v6 changed, swapping ipset..."
            local new_set="bad_asn_v6_new"
            ipset create "$new_set" hash:net family inet6 hashsize 4096 maxelem 500000 -exist 2>/dev/null
            {
                echo "create $new_set hash:net family inet6 hashsize 4096 maxelem 500000 -exist"
                awk '{print "add '"$new_set"' " $0}' "$v6_tmp"
            } | ipset restore -exist 2>/dev/null
            ipset swap "$new_set" bad_asn_v6
            ipset destroy "$new_set" 2>/dev/null
            cp "$v6_tmp" "$v6_cidr"
            update_cache "asn_v6" "$v6_tmp"
            ok "ASN v6 updated: $(fmt $(wc -l < "$v6_cidr")) entries"
        else
            ok "ASN v6 unchanged ($(fmt $v6_total) entries), skipped"
        fi
    fi

    rm -rf "$work"
}

# ===================== P2P 更新 =====================

download_p2p_source() {
    local name="$1" url="$2" out="$3"
    printf "  %-25s " "${name}..."

    if ! curl -sL --connect-timeout 15 --max-time 120 --retry 3 --retry-delay 2 \
        "$url" -o "$out"; then
        echo -e "${RED}FAIL${NC}"
        return 1
    fi

    # Auto-detect compression and decompress
    if command -v file &>/dev/null; then
        if file "$out" | grep -q "gzip compressed"; then
            mv "$out" "${out}.gz"
            gunzip -c "${out}.gz" > "$out" 2>/dev/null
            rm -f "${out}.gz"
        elif file "$out" | grep -q "Zip archive"; then
            mv "$out" "${out}.zip"
            unzip -p "${out}.zip" > "$out" 2>/dev/null
            rm -f "${out}.zip"
        fi
    fi

    if [ -s "$out" ]; then
        echo -e "${GREEN}OK${NC} ($(fmt $(wc -l < "$out")) lines)"
        return 0
    fi

    echo -e "${RED}FAIL${NC}"
    return 1
}

update_p2p() {
    log "Fetching P2P blocklists..."

    local work="/tmp/p2p-update-$$"
    mkdir -p "$work/cache"
    local raw="${work}/raw.tmp"
    local cidr_out="${CACHE_DIR}/p2p_v4.cidr"
    local cidr_tmp="${work}/p2p_v4.cidr"

    > "$raw"

    local ok_count=0 fail_count=0
    for name in "${!P2P_SOURCES[@]}"; do
        local url="${P2P_SOURCES[$name]}"
        local cache_file="${work}/cache/$(echo "$url" | md5sum | cut -d' ' -f1).dat"
        if download_p2p_source "$name" "$url" "$cache_file"; then
            cat "$cache_file" >> "$raw"
            ((ok_count++))
        else
            ((fail_count++))
        fi
    done

    if [ "$ok_count" -eq 0 ]; then
        err "All P2P sources failed, keeping existing ipset"
        rm -rf "$work"
        return 1
    fi

    log "P2P raw lines: $(fmt $(wc -l < "$raw")) | ${ok_count} OK, ${fail_count} failed"

    # 解析 IP 范围（支持 range 和 CIDR 格式）
    local processed="${work}/processed.tmp"
    awk '
    function ip2dec(ip) {
        split(ip, a, ".")
        return (a[1]*16777216) + (a[2]*65536) + (a[3]*256) + a[4]
    }
    {
        content = $0
        if ($0 ~ /^[A-Za-z0-9_]+:/) {
            split($0, p, ":")
            content = p[2]
        }
        # IP-range: 1.2.3.4-5.6.7.8
        if (match(content, /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+-[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/)) {
            split(substr(content, RSTART, RLENGTH), ips, "-")
            s = ip2dec(ips[1]); e = ip2dec(ips[2])
            if (s <= e) print s "," e
        }
        # CIDR: 1.2.3.0/24
        else if (match(content, /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\/[0-9]+/)) {
            split(substr(content, RSTART, RLENGTH), parts, "/")
            s = ip2dec(parts[1])
            e = s + (2 ^ (32 - parts[2])) - 1
            print s "," e
        }
    }' "$raw" | sort -t',' -k1,1n > "$processed"

    local range_count=$(wc -l < "$processed")

    # 合并连续范围，转换为 CIDR
    awk -F',' '
    function dec2ip(d) {
        return sprintf("%d.%d.%d.%d",
            int(d/16777216)%256, int(d/65536)%256, int(d/256)%256, d%256)
    }
    NR==1 { s=$1; e=$2; next }
    $1<=e+1 { if($2>e) e=$2; next }
    { printf "%s %s\n", dec2ip(s), dec2ip(e); s=$1; e=$2 }
    END { if(NR>0) printf "%s %s\n", dec2ip(s), dec2ip(e) }
    ' "$processed" | sort -u | python3 -c "
import sys, ipaddress
for line in sys.stdin:
    start, end = line.strip().split()
    for net in ipaddress.summarize_address_range(
        ipaddress.IPv4Address(start), ipaddress.IPv4Address(end)
    ):
        print(net)
" > "$cidr_tmp"

    local final_count=$(wc -l < "$cidr_tmp")
    local savings=$((range_count - final_count))
    local pct=$((range_count > 0 ? (savings * 100 / range_count) : 0))
    log "P2P merged: $(fmt $final_count) CIDR entries (${pct}% reduction)"

    # 缓存检查 + 原子更新
    if is_changed "p2p_v4" "$cidr_tmp"; then
        log "P2P data changed, swapping ipset..."
        local new_set="bad_p2p_v4_new"
        ipset create "$new_set" hash:net family inet hashsize 65536 maxelem 1000000 -exist 2>/dev/null
        {
            echo "create $new_set hash:net family inet hashsize 65536 maxelem 1000000 -exist"
            awk '{print "add '"$new_set"' " $0}' "$cidr_tmp"
        } | ipset restore -exist 2>/dev/null
        ipset swap "$new_set" bad_p2p_v4
        ipset destroy "$new_set" 2>/dev/null
        cp "$cidr_tmp" "$cidr_out"
        update_cache "p2p_v4" "$cidr_tmp"
        ok "P2P v4 updated: $(fmt $final_count) entries"
    else
        ok "P2P v4 unchanged ($(fmt $final_count) entries), skipped"
    fi

    rm -rf "$work"
}

# ===================== 打印统计 =====================

print_summary() {
    echo ""
    ln
    local asn_v4=$(ipset list bad_asn_v4 2>/dev/null | grep "Number of entries" | awk '{print $NF}')
    local p2p_v4=$(ipset list bad_p2p_v4 2>/dev/null | grep "Number of entries" | awk '{print $NF}')
    echo "  ASN v4:  ${asn_v4:-0} entries"
    echo "  P2P v4:  ${p2p_v4:-0} entries"
    if [ "$HAS_V6" = "1" ]; then
        local asn_v6=$(ipset list bad_asn_v6 2>/dev/null | grep "Number of entries" | awk '{print $NF}')
        echo "  ASN v6:  ${asn_v6:-0} entries"
    fi
    ln
}

# ===================== 主流程 =====================

main() {
    if [ "$(id -u)" != "0" ]; then
        die "This script must be run as root"
    fi

    echo ""
    echo -e "${CYAN}========================================${NC}"
    echo -e "${GREEN}  Blacklist Update${NC}"
    echo -e "${CYAN}========================================${NC}"
    echo ""

    HAS_V6=$(check_v6)
    [ "$HAS_V6" = "1" ] && ok "IPv6 enabled" || warn "IPv6 disabled"

    check_deps
    init_cache

    echo ""
    log "Updating ASN blacklists..."
    update_asn

    echo ""
    log "Updating P2P blacklists..."
    update_p2p

    print_summary

    echo -e "${GREEN}Blacklist update complete.${NC}"
    echo ""
}

main "$@"

赋予执行权限：

sudo chmod +x /usr/local/bin/update_blacklists.sh

脚本说明：

原子更新：创建新集合 → 导入数据 → ipset swap 切换 → 销毁旧集合，切换耗时毫秒级，更新期间不会出现空集合窗口
缓存：将解析后的 CIDR 列表存入 /var/lib/seedbox-firewall/，下次运行时对比 SHA256，数据未变化则跳过更新
容错：下载失败不销毁现有集合，部分源失败不影响已成功的更新

1.5.4 首次加载黑名单

sudo /usr/local/bin/update_blacklists.sh

首次运行会下载并导入所有 ASN 和 P2P 黑名单（目前约 47+ 万条），耗时取决于网络和 VPS 性能

[!NOTE] 由于脚本采用原子 swap 更新，首次运行时 deploy_firewall.sh 创建的集合可能为空，需要等待导入完成后才会有数据

后续每周运行时，当前集合始终保持有效，不受更新过程影响

1.5.5 设置自动更新

P2P 黑名单更新频率较低，建议每周执行一次：

sudo crontab -e

末尾添加一行（每周日凌晨 4 点）：

0 4 * * 0 /usr/local/bin/update_blacklists.sh > /var/log/blacklist-update.log 2>&1

如果你希望更高频率，改为每日：

0 4 * * * /usr/local/bin/update_blacklists.sh > /var/log/blacklist-update.log 2>&1

[!NOTE] 该 cron 任务只更新 ipset 数据，不修改防火墙规则、不会中断网络连接

1.5.6 验证规则

sudo iptables -L INPUT -v -n --line-numbers

预期输出类似（bad_asn_v4 与 bad_p2p_v4 为全局 DROP，排在端口放行规则之前）：

Chain INPUT (policy DROP)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 ACCEPT     0    --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
2        0     0 ACCEPT     0    --  lo     *       0.0.0.0/0            0.0.0.0/0
3        0     0 DROP       0    --  *      *       0.0.0.0/0            0.0.0.0/0            match-set bad_asn_v4 src
4        0     0 DROP       0    --  *      *       0.0.0.0/0            0.0.0.0/0            match-set bad_p2p_v4 src
5        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:43210
6        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
7        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443
8        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:54321
9        0     0 ACCEPT    17    --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:54321

[!NOTE] iptables 规则链的匹配逻辑是 “自上而下，首次匹配即停止”。

bad_asn_v4 和 bad_p2p_v4 规则为全局 DROP，位列所有开放端口（SSH / 80 / 443 / BT）规则的前面。

命中黑名单的请求会在规则 3/4 直接被拦截丢弃，不会触及后续的端口放行规则；只有未命中黑名单的正常请求才能顺次匹配到后面的端口 ACCEPT 规则。

验证 ipset 集合数据量：

sudo ipset list bad_asn_v4 | grep "Number of entries"
sudo ipset list bad_p2p_v4 | grep "Number of entries"

预期输出示例：

Number of entries: 3421
Number of entries: 468200

二、安装应用与反代网关

所有业务应用均在普通用户下运行，应用启动后，统一由 Caddy 接管公网流量

2.1 目录初始化

以普通用户（如 yourname）登录，执行：

# 数据落盘区
mkdir -p ~/downloads/anime
mkdir -p ~/downloads/animetemp
mkdir -p ~/downloads/bd_archive

2.2 安装并配置 qBittorrent EE

2.2.1 安装 qBEE

# 安装依赖
sudo apt install -y unzip

# 下载静态编译包（一般选择 x86_64 架构即可）
wget https://github.com/c0re100/qBittorrent-Enhanced-Edition/releases/latest/download/qbittorrent-enhanced-nox_x86_64-linux-musl_static.zip

# 解压
unzip qbittorrent-enhanced-nox_x86_64-linux-musl_static.zip

# 将二进制文件移动到本机软件目录并赋予执行权限
sudo mv qbittorrent-nox /usr/local/bin/qbittorrent-nox
sudo chmod +x /usr/local/bin/qbittorrent-nox

# 清理安装包
rm qbittorrent-enhanced-nox_x86_64-linux-musl_static.zip

2.2.2 编写服务

sudo nano /etc/systemd/system/qbittorrent.service

将以下内容粘贴进去：

[Unit]
Description=qBittorrent Command Line Client
After=network.target

[Service]
Type=exec
User=yourname  # 改为你的用户名
Group=yourname # 改为你的用户名
UMask=002
ExecStart=/usr/local/bin/qbittorrent-nox
Restart=on-failure

[Install]
WantedBy=multi-user.target

[!TIP] UMask=002 能确保 qBEE 下载的文件，默认权限是 775 （目录）和 664 （文件）

对于后续 OpenList 读取或者 rclone 拖回本地都极其友好，不会卡权限

保存并退出（Ctrl+O 回车，Ctrl+X）后，拉起服务：

sudo systemctl enable --now qbittorrent

然后停止以生成配置文件：

sudo systemctl stop qbittorrent

nano 打开 ~/.config/qBittorrent/qBittorrent.conf，在 [Preferences] 区域添加/修改：

WebUI\Address=127.0.0.1

此操作将面板死锁在本地环回地址

顺便将其中的Session\Port=54321 记下来，该端口就是上面提到的 BT 监听端口

2.3 安装并配置 PeerBanHelper (PBH)

接下来保持 qBEE 不启动，继续配置 PBH

2.3.1 配置 Java 25 运行环境

目前PBH 最新版需要 Java 25，先下载一个纯净绿色的 Java 25 放到 /opt 下专门给 PBH 用：

# 创建 Java 25 目录
sudo mkdir -p /opt/java25

# 下载 Java 25
wget -O jdk25.tar.gz "https://api.adoptium.net/v3/binary/latest/25/ga/linux/x64/jdk/hotspot/normal/eclipse"

# 解压到专属目录
sudo tar -xzf jdk25.tar.gz -C /opt/java25 --strip-components=1

# 删除压缩包
rm jdk25.tar.gz

2.3.2 下载并解压 PBH

让程序和数据都待在之前创建的 yourname 专属目录里：

# 创建并进入专属配置目录
mkdir -p /home/yourname/seedbox/config/pbh
cd /home/yourname/seedbox/config/pbh

# 下载安装包
wget https://github.com/PBH-BTN/PeerBanHelper/releases/download/v9.3.14/PeerBanHelper_9.3.14.zip

# 解压
unzip PeerBanHelper_9.3.14.zip

# 删掉安装包
rm PeerBanHelper_9.3.14.zip

2.3.3 编写 Systemd 守护进程

sudo nano /etc/systemd/system/peerbanhelper.service

将下面的内容粘贴进去（强制以 yourname 用户运行，并指定使用我们刚准备好的 Java 25）：

[Unit]
Description=PeerBanHelper Daemon
After=network.target

[Service]
Type=simple
User=yourname  # 改为你的用户名
Group=yourname # 改为你的用户名
WorkingDirectory=/home/yourname/seedbox/config/pbh/PeerBanHelper
ExecStart=/opt/java25/bin/java -jar /home/yourname/seedbox/config/pbh/PeerBanHelper/PeerBanHelper.jar
Restart=on-failure
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target

保存并退出

2.4 安装并配置 OpenList (流媒体面板)

二进制部署：

# 1. 创建 OpenList 专属工作目录
mkdir -p /home/yourname/seedbox/config/openlist
cd /home/yourname/seedbox/config/openlist

# 2. 下载 OpenList 最新的 linux-amd64 包
wget https://github.com/OpenListTeam/OpenList/releases/latest/download/openlist-linux-amd64.tar.gz

# 3. 解压并赋予权限
tar -zxf openlist-linux-amd64.tar.gz
sudo mv openlist /usr/local/bin/openlist
sudo chmod +x /usr/local/bin/openlist

# 4. 清理安装包
rm openlist-linux-amd64.tar.gz

Systemd 守护：

编写守护进程

sudo nano /etc/systemd/system/openlist.service

将以下内容粘贴进去：

[Unit]
Description=OpenList Web File Manager
After=network.target

[Service]
Type=simple
User=yourname  # 改为你的用户名
Group=yourname # 改为你的用户名
WorkingDirectory=/home/yourname/seedbox/config/openlist
ExecStart=/usr/local/bin/openlist server
Restart=on-failure

[Install]
WantedBy=multi-user.target

保存并退出

2.5 部署 Caddy 网关统一反代

各面板现已隐藏在 127.0.0.1，使用 Caddy 将其安全发布并自动维护 HTTPS 证书

总共需要在 Cloudflare 上配置三个子域名

2.5.1 Cloudflare DNS 设置

qbee -> 指向 Seedbox 的公网 IP
openlist -> 指向 Seedbox 的公网 IP
pbh -> 指向 Seedbox 的公网 IP

[!NOTE] 这三个域名的“代理状态”全部请保持为 小灰云（仅限 DNS）

后续 OpenList 传输大流量视频时直连跑满带宽，不走 Cloudflare CDN，以免违反 TOS 导致封号

2.5.2 安装 Caddy

使用 Caddy 官方针对 Debian 的软件源进行原生安装：

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

# 导入 GPG 密钥
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# 添加官方软件源
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 更新并安装
sudo apt update
sudo apt install caddy -y

# 创建 Caddy 专属日志目录并赋予 caddy 用户权限
sudo mkdir -p /var/log/caddy
sudo chown -R caddy:caddy /var/log/caddy
sudo chmod 755 /var/log/caddy

2.5.3 配置 Caddyfile 路由

清空再打开 Caddyfile：

sudo > /etc/caddy/Caddyfile
sudo nano /etc/caddy/Caddyfile

将下面这段配置粘贴进去：

# 1. qBittorrent Enhanced Edition 面板
qbee.yourdomain.com {
    reverse_proxy localhost:8080

    log {
        output file /var/log/caddy/qbee_access.log {
            roll_size     10mib
            roll_keep     7
            roll_keep_for 168h
        }
    }
}

# 2. OpenList 媒体看番面板
openlist.yourdomain.com {
    reverse_proxy localhost:5244

    log {
        output file /var/log/caddy/openlist_access.log {
            roll_size     10mib
            roll_keep     7
            roll_keep_for 168h
        }
    }
}

# 3. PeerBanHelper 管理面板
pbh.yourdomain.com {
    reverse_proxy localhost:9898

    log {
        output file /var/log/caddy/pbh_access.log {
            roll_size     10mib
            roll_keep     7
            roll_keep_for 168h
        }
    }
}

保存并退出，然后启动 Caddy 服务：

[!TIP] Caddy 会在首次启动时自动向 Let's Encrypt 申请免费 SSL 证书

为三个子域名启用 HTTPS，无需任何额外配置

sudo systemctl enable --now caddy

2.6 限制 Systemd Journal 日志大小

Caddy 的访问日志已经在 Caddyfile 中配置了原生内置的日志滚动机制（roll_size、roll_keep 等参数），无需额外配置系统的 logrotate 脚本。

但是 Systemd 的日志（journald）默认仅按系统空闲空间比例限制大小，需要手动限制最大占用空间。

[!TIP] 如果不需要保留访问日志，或者磁盘空间十分有限，可以直接将 Caddyfile 中的整个 log { ... } 代码块移除。

Systemd 的日志（journald）默认只按体积轮转但不设硬性上限，需要手动限制最大占用空间。

sudo nano /etc/systemd/journald.conf

找到并取消注释、修改以下两行（若不存在则手动添加）：

SystemMaxUse=100M
MaxFileSec=1week

保存后重启服务，使新配置生效：

sudo systemctl restart systemd-journald

三、启动并配置应用

基础设施已就绪，现在可以正式启动 qBEE 和 PBH ：

3.1 启动 qBEE

# 启动 qBEE
sudo systemctl start qbittorrent

# 查看并记录首次启动的随机密码
sudo journalctl -u qbittorrent | grep -i password

此时，在本地 Windows 的浏览器中进入 https://qbee.yourdomain.com

初始账号为 admin，使用刚才抓取的随机密码登录进去后

首先去 Tools -> Options -> Web UI 修改随机初始密码与账户名（不推荐继续使用 admin）

假设修改为：

user: yourname
password: 12345678 # 仅作教程示例，请使用强密码！

保存后，按 F5 刷新网址重新登陆一遍即可

接着，根据个人喜好进行设置，VPS 配置较低的用户可参考文末的【附：qBEE 参考配置】

默认保存路径（完成时）：/home/yourname/downloads/anime
默认下载路径（未完成的种子）：/home/yourname/downloads/animetemp

3.2 启动 PBH

sudo systemctl enable --now peerbanhelper
sudo systemctl status peerbanhelper

在本地 Windows 的浏览器中直接输入 https://pbh.yourdomain.com

接下来跟随界面指引，创建 BTN 账号或登录已有账号（输入已有的 App ID 和 Secret）

接着连接下载器，填下以下信息（未提及的保持默认）

类型：qBittorrentEE
名称：随便
地址：http://127.0.0.1:8080
用户名：yourname
密码：12345678 # 仅作教程示例，请使用强密码！

接着前往 PBH 的设置页->基础设置->WebUI，将前缀(Prefix)改为https://pbh.yourdomain.com

因为我们使用了 Caddy 反代，这里需要修改为外部可以访问的域名，否则 PBH 无法把封禁列表传给 qBEE

（可选）继续往下滑，调整封禁日志保留时间默认存半年的日志，建议改成 15 天或 30 天即可

（可选）屏蔽 CN IP

去年发现热门种子容易被国内用户刷下行以平衡上行，可按需在 PBH 中屏蔽所有来自 CN 的 IP：设置 → 规则订阅 → 地区 → 新增 → 输入 CN（必须大写）

[!NOTE] PBH 已通过行为检测（BTN 规则、进度判定、吸血识别）自动封禁恶意 Peer，一般无需额外按地理范围封禁。开启后会切断中文社区做种者的连接，可能影响做种效率，酌情使用

3.3 启动 OpenList

# 拉起并设置开机自启
sudo systemctl daemon-reload
sudo systemctl enable --now openlist

# 进入 OpenList 工作目录并设定管理员密码（复杂强密码需要用单引号包裹）
cd /home/yourname/seedbox/config/openlist
/usr/local/bin/openlist admin set '1111111111111' # 此处仅示例，实际请改为强密码！

在 Windows 浏览器打开 https://openlist.yourdomain.com

登录后，在管理 -> 用户，找到 guest 账号，点击编辑并勾选 停用，禁止游客登陆；

接着在个人资料将初始用户名 admin 修改为 yourname；

再接着挂载由 qBEE 下好的视频： 存储 -> 添加

驱动：本机存储
挂载路径：/动漫
根文件夹路径： /home/yourname/downloads/anime

点击最底部的 添加 即可保存

最后加固一下，设置 -> 站点，将底部的 Robots.txt 改为

User-agent: *
Disallow: /

[!NOTE] ~~浏览器中 OpenList 暂不支持解析 MKV 容器的内嵌软字幕~~

遇到已经内嵌软字幕的文件播放却无字幕的情况，请尝试点击视频页面下方小按钮跳转到外部播放器即可

PC 端推荐 MPV，友情推荐一个关联小工具： ::github{repo="outlook84/mpv-handler-openlist"}

Android 端则推荐 VLC 或 MX Player

对于内嵌软字幕的 MKV，安卓端目前仅测试了 VLC 支持解析；

同时，在视频页面直接点击 VLC 图标，VLC 无法解析视频链接，可以尝试点击视频页面的安卓图标按钮，然后再选择 VLC

对于外挂字幕，目前没找到自动加载的办法，只能单独下载字幕文件到本地，再通过播放器手动选择字幕

详情可查看：OpenList 播放内嵌软字幕与外挂字幕视频的小技巧

四、进阶可选配置

4.1 更换 WebUI 为 VueTorrent

如果看腻了 qBEE 的默认样式，可尝试更换为 VueTorrent

::github{repo="VueTorrent/VueTorrent"}

cd ~

# 下载构建产物
wget https://github.com/VueTorrent/VueTorrent/releases/latest/download/vuetorrent.zip

# 解压
unzip vuetorrent.zip

# 清理
rm vuetorrent.zip

接着登录 qBEE WebUI，进入设置 -> WebUI ->

启用备用 WebUI，输入：

/home/yourname/vuetorrent

完成后刷新网页即可

[!CAUTION] 若路径填写错误，WebUI 会返回「不支持的文件类型」且无法再进入页面

此时通过 SSH 编辑 nano ~/.config/qBittorrent/qBittorrent.conf

将 WebUI\AlternativeUIEnabled=true 改为 false 即可恢复默认界面

或者将 WebUI\RootFolder= 改为正确的 VueTorrent 路径即可恢复正常

4.2 自动清理过期番剧

qBEE 下载的番剧会长期占用磁盘空间，用一个脚本定期扫描 anime 目录，将超过 120 天且未在 qBEE 中做种的旧番自动删除，防止磁盘被撑爆

[!NOTE] 触发条件：文件最后修改时间距今超过 EXPIRE_DAYS（默认 120 天），且该文件名不在 qBEE 当前种子列表中

安装依赖并编写脚本：

sudo apt install -y jq
cd ~ && mkdir -p script && cd script && nano qb_cleaner.sh

填入以下内容（注意将 QB_PASS 和 PORT 改为你的实际值）：

#!/bin/bash
QB_USER="yourname"
QB_PASS='你的qB WebUI密码'

# qBittorrent WebUI 端口（默认 8080），非 BT 监听端口
PORT="8080"
API_URL="http://127.0.0.1:${PORT}/api/v2"
COOKIE_FILE="/tmp/qb_cookies_cleaner.txt"

ANIME_DIR="/home/yourname/downloads/anime"
BD_ARCHIVE_DIR="/home/yourname/downloads/bd_archive"
EXPIRE_DAYS=120

# 检查 jq 是否安装
if ! command -v jq &>/dev/null; then
    echo "[ERROR] jq is not installed. Run: sudo apt install -y jq"
    exit 1
fi

# 登录 qB API 并获取所有种子名称
curl -s -c "$COOKIE_FILE" \
    --data-urlencode "username=$QB_USER" \
    --data-urlencode "password=$QB_PASS" \
    "${API_URL}/auth/login" > /dev/null

ACTIVE_NAMES=$(curl -s -b "$COOKIE_FILE" \
    "${API_URL}/torrents/info" | jq -r '.[] | .name' 2>/dev/null)

# 若获取做种列表失败或为空则直接退出，防止误删做种文件
if [ -z "$ACTIVE_NAMES" ]; then
    echo "[ERROR] Failed to fetch active torrent list or list is empty. Aborting cleanup for safety."
    rm -f "$COOKIE_FILE"
    exit 1
fi

# 扫描过期的目录/文件，跳过仍在做种的
find "$ANIME_DIR" -mindepth 1 -maxdepth 1 -mtime +$EXPIRE_DAYS | while read -r ITEM; do
    if [[ "$ITEM" == *"$BD_ARCHIVE_DIR"* ]]; then continue; fi
    
    BASE_NAME=$(basename "$ITEM")
    if echo "$ACTIVE_NAMES" | grep -F -x -q "$BASE_NAME"; then
        continue
    else
        rm -rf "$ITEM"
    fi
done

rm -f "$COOKIE_FILE"

赋予执行权限：

chmod +x ~/script/qb_cleaner.sh

接着每日清晨 8 点自动执行：

crontab -e

写入：

0 8 * * * /home/yourname/script/qb_cleaner.sh >> ~/script/qb_cleaner.log 2>&1

4.3 优化线路跳转（Mihomo 代理转发）

假设，你的 Seedbox 在 LA，但是线路很差，但是恰好你又有另一台 LA 优化线路的机，并且更巧还搭建好了魔法，那么可利用本地 Mihomo 客户端将优化节点作为 SSH 跳板

如果你的 mihomo rules 最后是 Match, Proxy，那当你访问 Seedbox 时，大概率会被自动捕获并走 proxy，但我们可以简单加一个 tunnel 字段，使得 mihomo 不必每次都去匹配 rules：

在 Mihomo 配置文件中添加顶级字段 tunnels：

tunnels:
  # 类型，监听本地端口，目标地址与端口，出站节点/节点组
  # 将目标地址与端口改为你seedbox的ip与ssh端口
  - tcp,127.0.0.1:33333,your_vps_ip:43210,魔法节点/魔法节点策略组

接着在本地添加 ssh config 配置块：

notepad $HOME/.ssh/config

Host seedbox-mihomo
    HostName 127.0.0.1
    Port 33333
    User yourname
    IdentityFile ~/.ssh/id_ed25519_seedbox

倘若顺利，当你执行 ssh seedbox-mihomo 时，mihomo 日志显示的连接类型应为 Tunnel

此方法需要 mihomo 保持启动状态，~~更多玩法自行研究吧~~

4.4 配置下载通知（Telegram Bot）

在本地 Windows 上我习惯使用下载完成后发送电子邮件通知，但 VPS 环境下配置 SMTP 既繁琐又不安全，因此我使用 Telegram Bot 进行通知

前置条件：拥有一个 Telegram 账号

4.4.1 创建 Telegram Bot

在 Telegram 中搜索 @BotFather，依次发送以下指令：

/newbot 创建新 Bot
输入 Bot 显示名称（任意）
输入 Bot 用户名（必须以 bot 结尾）

完成后 BotFather 会返回一段消息，其中包含：

Use this token to access the HTTP API:
1234567890:BBA2XXjn4YjgHmPqdvd-nK7AbuvCkuSVPzs

妥善保存此 token，持有它即可控制你的 Bot

然后在 TG 搜索你刚创建的 Bot 用户名，将其添加到聊天列表

4.4.2 获取 Chat ID

第三方 TG 客户端可以直接看到自己的 ID

往你的 Bot 发送一条任意消息（如 hello），然后在浏览器访问以下网址（替换 TOKEN）：

https://api.telegram.org/bot<TOKEN>/getUpdates

返回的 JSON 中 "chat":{"id":123123123} 即为你的 Chat ID，记录下来

4.4.3 创建通知脚本

sudo apt install -y bc
cd ~/script && nano tg_notify.sh

#!/bin/bash

# 配置你的 token 和 ID
BOT_TOKEN="YOUR_BOT_TOKEN"
CHAT_ID="YOUR_CHAT_ID"
# ==========================================

# 接收 qB 传过来的参数
TORRENT_NAME="${1:-"Unknown Torrent"}"
SIZE_BYTES="${2:-0}"
SAVE_PATH="${3:-"Unknown Path"}"

SAFE_NAME=$(echo "$TORRENT_NAME" | sed 's/&/\&amp;/g; s/</\&lt;/g; s/>/\&gt;/g')
SAFE_PATH_RAW=$(echo "$SAVE_PATH" | sed 's/&/\&amp;/g; s/</\&lt;/g; s/>/\&gt;/g')

SIZE_MB=$((SIZE_BYTES / 1024 / 1024))
if [ "$SIZE_MB" -ge 1024 ]; then
    SIZE_GB=$(echo "scale=1; $SIZE_MB / 1024" | bc)
    SIZE_DISPLAY="${SIZE_GB} GB"
else
    SIZE_DISPLAY="${SIZE_MB} MB"
fi

USERNAME=$(whoami)
SAVE_PATH_OBFUSCATED=$(echo "$SAFE_PATH_RAW" | sed "s|${USERNAME}|<span class=\"tg-spoiler\">${USERNAME}</span>|g")

MESSAGE="🎉 <b>Seedbox 种子下载完成！</b>

🎬 <b>名称</b>: ${SAFE_NAME}
💾 <b>大小</b>: ${SIZE_DISPLAY}
📁 <b>路径</b>: ${SAVE_PATH_OBFUSCATED}"

curl -s --max-time 10 -X POST "https://api.telegram.org/bot${BOT_TOKEN}/sendMessage" \
    -d chat_id="${CHAT_ID}" \
    --data-urlencode text="${MESSAGE}" \
    -d parse_mode="HTML" > /dev/null

赋予执行权限：

chmod +x ~/script/tg_notify.sh

4.4.4 绑定到 qBEE

打开 qBEE WebUI → 设置 → 下载，勾选 种子下载完成时运行外部程序，填入：

/home/yourname/script/tg_notify.sh "%N" "%Z" "%D"

%N = 种子名称，%Z = 文件大小（字节），%D = 保存路径

4.4.5 预期效果

当种子下载完成时，你将在 Telegram 收到：

🎉 Seedbox 下载完成

🎬 名称：[FLsnow][Star-Detective_Precure][20][1080p]
💾 大小：977 MB
📁 路径：/home/yourname/downloads/anime/07-名侦探光之美少女

4.5 部署零信任隧道

利用 Cloudflare Tunnel 实现无端口的隐蔽内网穿透

4.5.1 在云端创建隧道

登录你的 Cloudflare 账号，进入 Zero Trust 面板
. Zero Trust → Networks（网络） → Connectors（连接器） → Create a tunnel（创建隧道）
隧道类型 → 选择 Cloudflared
命名 Seedbox-Main（这里的命名是隧道的显示名称，随便取） → Save tunnel（保存隧道）

4.5.2 在 Seedbox 上安装连接器

在面板的下一步里，选择环境为 Debian -> 64-bit
在这里会给出三个安装命令，复制粘贴执行前面两个即可
把这整些命令复制到 Seedbox 的 SSH 终端里运行逐个执行即可
运行完毕后，CF 网页端底部会弹出一个绿色的 Connected（已连接）状态，点击 Next

4.5.3 在网页端配置 SSH 路由

字段	值
Subdomain（子域名）	`<YOUR_SSH_SUBDOMAIN>`（子域名前缀，可自己取，比如`seedbox-ssh`）
Domain（域）	`<YOUR_DOMAIN>` （下拉选择你已托管的域名）
Path（路径）	留空
Type（类型）	`SSH`
URL	填入 `localhost:你的非标 SSH 端口` (比如 `localhost:43210`)

点击 Save tunnel即可

4.5.4 增加 SSH 配置块

依然是打开 Windows 的 ~/.ssh/config，加入这段：

notepad $HOME/.ssh/config

Host seedbox-cf
    HostName seedbox-ssh.yourdomain.com
    User yourname
    IdentityFile ~/.ssh/id_ed25519_seedbox
    IdentitiesOnly yes
    ProxyCommand cloudflared access ssh --hostname %h

下次可以使用 ssh seedbox-cf 通过隧道访问 SSH

至此，Seedbox 部署完毕

附：qBEE 参考配置

适用于 2GB RAM VPS 的保守配置，以下为本人实际使用参数，请根据自身情况调整，切勿照抄

本人 VPS 带宽 10 Gbps，位于美西洛杉矶

长时间占用上传通道可能给邻居或宿主机带来负担，违反 TOS 导致封号

再加上 US 并非版权宽松地区，低调限速以规避部分投诉风险

限速

全局上传限速：500 Mbps
启用备用限速
- 备用限速时段：16:00 – 02:00 (UTC+8)
- 备用上传速度：80 Mbps
- 备用下载速度：300 Mbps

连接数

全局最大连接数：300
单种最大连接数：50
全局上传槽：30
单种上传槽：5

队列

活动下载：5
活动上传：15
活动总数：20
启用种子队列：开

做种限制

分享率达到：1.5
做种时间达到：7200 分钟
非活跃做种时间达到：7200 分钟

当分享率 ≥1.5 或 做种满 5 天 或 非活跃 5 天后 自动移除

BitTorrent

DHT：开
PeX：开
LSD：关
加密模式：优先加密

这里额外说一下加密模式

选项	中文	libtorrent 策略	行为	适用场景
Allow encryption	允许加密 / 优先加密	pe_enabled	尝试加密，对方不支持则降级明文	兼容性好，日常用
Require encryption	强制加密	pe_forced	强制加密，拒绝明文连接	应对 ISP 限速
Disable encryption	禁用加密	pe_disabled	禁用加密，仅明文	连接某些极其古老的 tracker/peer

高级 — 内存

RAM 使用限制：384 MiB

高级 — 线程

异步 I/O 线程：2
哈希校验线程：1

高级 — 磁盘

文件池大小：50
校验时内存增量：32 MiB
预分配文件：关
磁盘缓存：64 MiB
磁盘缓存过期时间：60 秒
磁盘队列大小：1024 KiB
读缓存模式：启用系统缓存
写缓存模式：启用系统缓存

高级 — 网络与 Peer

每秒传出连接数：10
Socket Backlog：30
μTP-TCP 混合模式：优先使用 TCP
单个 Peer 最大未完成请求：250
允许来自同一 IP 的多个连接：关
上传连接策略：最快上传

附：本文提及端口速查

端口	协议	用途	在何处配置
43210	TCP	SSH	`sshd_config` / 防火墙脚本
80	TCP	HTTP（Caddy 反代）	防火墙脚本
443	TCP	HTTPS（Caddy）	Caddy 自动 / 防火墙脚本
8080	TCP	qBEE WebUI	qBittorrent 默认
54321	TCP/UDP	BT 监听	qBittorrent / 防火墙脚本
9898	TCP	PBH WebUI	PBH 默认
5244	TCP	OpenList WebUI	OpenList 默认

Komari 探针部署与运维指南

Tue, 07 Jul 2026 00:00:00 GMT

本文记录探针 Komari 的部署、配置与常见问题排错。

1. 资源占用实测数据

监控环境共三台节点。Agent 部署于 Server A/B/C，Server 端部署于 Server A。持续运行约 8 天 6 小时后的资源消耗如下：

节点	组件	运行时长 (etime)	物理内存 (RES)	虚拟内存 (VIRT)	瞬时 CPU	累计 CPU 时间 (TIME+)
Server C	Agent	8天6小时	17.9 MB	1.23 GB	0.0%	27m37s
Server B	Agent	8天6小时	12.4 MB	1.23 GB	0.0%	23m24s
Server A	Agent	8天6小时	12.6 MB	1.23 GB	0.0%	33m38s
Server A	服务端	8天6小时	34.6 MB	1.34 GB	0.0%	6m34s

原始监测命令与输出片段

# 服务端（Server A）
username@ServerA:~$ top -p $(pgrep -d',' komari)
    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND
  49316 komari    20   0 1343280  34636  11980 S   0.0   1.7   6:34.61 komari

username@ServerA:~$ ps -p 49316 -o etime=
 8-06:11:49

# Agent（Server A）
username@ServerA:~$ top -p $(pgrep -d',' agent)
    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND
  49459 root      20   0 1234116  12664   5140 S   0.0   0.6  33:38.01 agent

username@ServerA:~$ ps -p 49459 -o etime=
 8-06:04:41

# Agent（Server B）
username@ServerB:~$ top -p $(pgrep -d',' agent)
    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND
2379623 root      20   0 1234116  12400   4992 S   0.0   2.6  23:24.26 agent

username@ServerB:~$ ps -p 2379623 -o etime=
 8-06:05:52

# Agent（Server C）
username@ServerC:~$ top -p $(pgrep -d',' agent)
    PID USER      PR  NI    VIRT    RES    SHR S  %CPU  %MEM     TIME+ COMMAND
  13527 root      20   0 1233860  17940   6520 S   0.0   1.8  27:37.69 agent

username@ServerC:~$ ps -p 13527 -o etime=
 8-06:03:06

注：VIRT 较大为 Go 运行时地址空间预留，不代表物理内存消耗。

2. 拓扑架构

┌─────────────────────────────────────────────────────┐
│                  Server A                       │
│  Komari Server (使用 SQLite 数据库)               │
│  Caddy 反代 -> https://monitor.example.com       │
└─────────────────────────────────────────────────────┘
         ▲                        ▲
         │ 上报数据                │ 上报数据
         │                        │
┌────────┴──────────┐   ┌─────────┴───────────┐
│ Server B         │   │ Server C          │
│ Komari Agent     │   │ Komari Agent      │
└───────────────────┘   └─────────────────────┘

3. 服务端部署 (Server A)

3.1 创建隔离用户与数据目录

# 创建无登录权限的系统用户
sudo useradd -r -s /usr/sbin/nologin komari

# 初始化工作目录
sudo mkdir -p /opt/komari/data
sudo chown -R komari:komari /opt/komari
sudo chmod 755 /opt/komari

3.2 部署二进制文件

自 Komari Releases 下载~~最新发行版~~ v1.25 版本（无后缀名，是裸二进制）：

[!TIP] 近期 1.25 之后的版本存在争议，表现为硬盘占用过大，因此暂不做推荐

see komari #620、komari #612、komari #620

cd /opt/komari
sudo wget https://github.com/komari-monitor/komari/releases/download/1.2.5/komari-linux-amd64
sudo mv komari-linux-amd64 komari
sudo chmod +x komari
sudo chown komari:komari komari

3.3 配置 Systemd 服务与沙箱权限

创建服务配置，限制其系统访问权限：

sudo nano /etc/systemd/system/komari.service

[Unit]
Description=Komari Monitor Service
After=network.target

[Service]
Type=simple
User=komari
Group=komari
ExecStart=/opt/komari/komari server -l 127.0.0.1:25774
WorkingDirectory=/opt/komari
Restart=always
RestartSec=5

# 权限沙箱化配置
CapabilityBoundingSet=
NoNewPrivileges=yes
ProtectHome=yes
ProtectSystem=strict
ReadWritePaths=/opt/komari/data
PrivateTmp=yes
PrivateDevices=yes
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes

[Install]
WantedBy=multi-user.target

参数说明：

User=komari：非 root 运行

CapabilityBoundingSet=：丢弃所有特权能力

NoNewPrivileges=yes：禁止提权

ProtectSystem=strict + ReadWritePaths=/opt/komari/data：系统只读，数据目录可写

ProtectHome=yes：无法访问 /home

PrivateDevices=yes：无法访问物理设备

监听 127.0.0.1：不暴露到公网

3.4 启动与初始化

sudo systemctl daemon-reload
sudo systemctl enable --now komari.service

# 获取日志中打印的首次启动随机管理密码
sudo journalctl -u komari.service --no-pager -l | tail -30

如未获取到密码，可通过命令行手动重置 admin 密码：

sudo -u komari /opt/komari/komari chpasswd -p <YOUR_PASSWORD> -d /opt/komari/data/komari.db

[!TIP] chpasswd 不支持 -u 参数（默认修改 admin 用户）。

关于修改面板用户名密码：

1.2.5 (e446bee)面板的更新用户功能同时修改用户名和密码时，会清空所有 session 导致当前用户被登出，且前端 401 处理不完善，页面显示裸错误。建议分两步操作：

先只改用户名 → 保存（session 保持有效）

再只改密码 → 保存（会被登出，重新登录即可）

如果已经 401 了，恢复方法：
sudo systemctl stop komari
sudo -u komari sqlite3 /opt/komari/data/komari.db "DELETE FROM sessions;"
sudo systemctl start komari

3.5 Caddy 反代与 DNS 配置

编辑 /etc/caddy/Caddyfile，配置反代域名：

monitor.example.com {
    reverse_proxy 127.0.0.1:25774
}

重启 Caddy：

sudo systemctl restart caddy

接着在域名解析商处将 monitor 子域名指向 Server A 的公网 IP。

添加 A 记录：

类型	名称	值	代理
A	`monitor`	Server A 的公网 IP	开启（CDN 代理）

3.6 生成自动发现密钥

4. 客户端部署 (Agent)

在各被监控节点（含服务端节点本机）上执行一键安装

进入 Admin 面板后台，服务器 -> 添加节点

勾选 安装选项

展开列表后：

勾选 禁用远程控制，禁用网页端 SSH 及远程执行命令权限
勾选 禁用自动更新，停用客户端自动更新
勾选 从网卡获取IP地址，通过本地网卡读取 IP
勾选 排除特定网卡，输入 lo 过滤环回网卡数据
勾选 采集间隔(秒)，输入 5 或 10 秒
勾选 网络统计月重置日，输入你的机器账单日

最后点击最底部的 复制，即得到 Agent 的安装命令

【完】

5. Theme

进入 Admin 面板后台，设置 -> 主题管理，即可更换主题

推荐安装主题：

::github{repo="sanrokamlan-prog/komari-theme-Glassmorphism"}

6. 常用维护命令

# 服务端生命周期管理
sudo systemctl [start|stop|restart|status] komari
sudo journalctl -u komari -f

# 客户端生命周期管理
sudo systemctl [start|stop|restart|status] komari-agent
sudo journalctl -u komari-agent -f

# 服务端手动升级
cd /opt/komari && sudo systemctl stop komari
sudo wget -O komari https://github.com/komari-monitor/komari/releases/latest/download/komari-linux-amd64
sudo chmod +x komari && sudo chown komari:komari komari
sudo systemctl start komari

客户端卸载与残留清理

官方卸载命令存在缓存残留，若更换服务端重建数据库，Agent 缓存的旧 token 失效，如果不手动删除，Agent 会一直 401。

sudo systemctl stop komari-agent
sudo systemctl disable komari-agent
sudo rm -f /etc/systemd/system/komari-agent.service
sudo systemctl daemon-reload

# 彻底清理二进制和 token 缓存文件
sudo rm -rf /opt/komari/agent
sudo rm -f /opt/komari/auto-discovery.json    # 必须清理的旧 Token 缓存
sudo rm -f /opt/komari/agent.yml
sudo rm -f /opt/komari/net_static.json

7. 排错与问题对照

7.1 服务端常见问题

表现	原因	对策
启动报 `read-only file system`	Systemd 沙箱只读限制	确认服务文件包含 `ReadWritePaths=/opt/komari/data`
启动报 `permission denied`	`/opt/komari/data` 目录属主为 root	执行 `chown -R komari:komari /opt/komari/data`
面板修改密码后提示 401	全局 Session 销毁导致登出	建议改用户名与改密码分步保存，或通过 CLI 命令修改
开启“私有站点”新设备无法打开	未登录用户的 `/api/me` 接口被拦截	新设备首次连接前先关闭私有站点，完成登录后再行开启

关于私有站点（Private Site）： 面板设置中的「私有站点」选项开启后，新设备首次访问时不会显示登录框（/api/me 等公开接口被拦截），导致 Error: Failed to fetch node data。已登录的设备不受影响。

不开私有站点也没有实质风险，未登录用户最多只能看到版本号和站点名，节点数据、资源监控等敏感信息均需登录后才能查看

7.2 客户端常见问题

表现	原因	对策
`bash: /dev/fd/63: No such file...`	`sudo` 状态下不支持 `*<()` 进程替换	采用 `wget -qO- \| sudo bash` 管道连接模式安装
重装或迁移服务端后持续报 401	缓存了已失效的旧 Token 校验文件	停止服务并清理 `rm -f /opt/komari/auto-discovery.json`

[弃用] 服务端：单端口五合一部署及完整安全加固

Tue, 07 Jul 2026 00:00:00 GMT

已彻底转向 Xray-core，本文不再维护，请自行判断是否过时

[!TIP] 观前提醒

本文包括基础系统安防指导，因此略显冗长

可直接点击目录查看需要的部分，或者查看精简版

本教程基于 Xray 服务端 + Caddy 反代 + mihomo 客户端 构建

本教程几乎全程手敲命令，不借助 3x-ui 此类面板，需要一定耐心

如果想一键部署，很遗憾，本文不适合你

XHTTP 五合一指的是在同一台 VPS 的 443 端口实现了五个出站节点：

<details> <summary>点击查看适用场景</summary>

（此处部分引用 @Benjamin1919 大佬的教程原文案）

出站 1：XTLS(Vision) + REALITY 直连

客户端 GUI 不支持 XHTTP
不想开启 TCP 多路复用
想要尽可能低的延迟与尽可能高的上下行速度

出站 2：XHTTP + REALITY 直连

VPS 去程和回程的线路都比较好
想要尽可能低的延迟与尽可能高的上下行速度

出站 3：上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY（上下行不同 SNI）

去程（客户端 → VPS）线路较差，回程（VPS → 客户端）线路较好
日常使用更偏重下载，很少上传
隐藏上行 SNI 防探测封锁

出站 4：XHTTP + TLS(ECH) 过 CDN

VPS 去程和回程的线路都很差
不希望 VPS 的 IP 暴露在公网
VPS 的 IP 已被墙
隐藏 SNI 防探测封锁

出站 5：上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN（上下行不同 SNI）

去程（客户端 → VPS）线路较好，回程（VPS → 客户端）线路较差
日常使用更偏重上传，很少下载
隐藏下行 SNI 防探测封锁

</details>

1. 准备工作
2. 系统基础防护
3. Cloudflare 配置
4. 安装 Xray-core 与 Caddy
5. 客户端配置
- 5.1 mihomo 客户端
- 5.2 ALPN、ECH 与 XMUX 说明
6. 可选进阶：部署零信任 SSH
友情推荐

1. 准备工作

在开始之前，请准备好以下内容：

一个个人域名
一个通过支付验证的 Cloudflare 账号
一台拥有 root 完全访问权限的 VPS

[!NOTE] 为避免纠纷，本文不提供任何 VPS 商家推荐或购买指导，请自行选择。

本方案属于 Xray 前置、REALITY 回落到本机 Caddy，不需要配置 limitFallbackUpload，

本文中的 <VPS_IP>、<YOUR_USER>、<YOUR_DOMAIN> 均为占位符，实际操作时请替换为你的真实 IP、用户名和域名。

SSH 端口以 <SSH_PORT> 表示（示例为 54321），请根据实际部署修改。

2. 系统基础防护

2.1 系统基础优化

2.1.1 清除厂家模板

使用 root 账密进行 SSH 登录：

ssh root@<VPS_IP>

部分服务商的系统模板可能包含首次开机脚本，建议清除，没有则跳过：

sudo crontab -e

进入编辑界面后，寻找类似 @reboot /admin/firstbootkvm yes 的行，将其删除并保存。

2.1.2 开启 BBR 网络加速

把系统自带的 BBR 拥塞控制开启，拉升机器的公网吞吐量：

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

2.1.3 增大 Swap（可选）

对于内存较少的 VPS，适当增大 Swap 可提供缓冲：

# 查看当前 Swap
sudo swapon --show

# 创建 Swap 文件（根据磁盘余量调整大小，如 2G）
sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

# 写入 fstab 使其重启后自动挂载
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

降低 swappiness 让系统优先使用物理内存：

echo 'vm.swappiness=10' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

swappiness	行为
0	不用 swap（如果 RAM 充足，可以完全不用）
10	物理内存接近耗尽时才动用 swap（推荐）
20	较保守的折中值
60	系统默认，较早换出到 swap

数值越低，系统越倾向保留物理内存，避免磁盘 I/O；但同时 OOM 风险略增。常规场景设为 10 即可。

2.1.4 切换默认 Shell 为 Bash

Debian 12 Template 默认将 /bin/sh 指向 dash，不是 bash。本文所有脚本均以 #!/bin/bash 声明，不受影响，但个别系统脚本和交互环境可能行为异常。

将默认 Shell 切换为 bash：

方法一（标准交互方式）：

# 查看当前指向
ls -l /bin/sh

# 重新配置 dash，在弹出的对话框中选择 <No>
sudo dpkg-reconfigure dash

# 确认已切换
ls -l /bin/sh

如果执行后没有弹出任何交互窗口，请改用方法二：

# 设置 debconf 选项为"不使用 dash"
echo "dash dash/sh boolean false" | sudo debconf-set-selections

# 手动链接到 bash
sudo ln -sf bash /bin/sh

# 确认切换
ls -l /bin/sh

方法二同时更新了 debconf 数据库，因此后续 dash 包升级时不会自动覆盖该链接。

2.2 SSH 密钥登录

2.2.1 生成密钥对

在本地电脑（本文以 Windows 为例）打开 PowerShell 7，生成一把新密钥对：

cd ~
ssh-keygen -t ed25519 -C "my-vps" -f ~/.ssh/id_ed25519_vps

回车后，会提示你设置密码（passphrase），如果嫌麻烦可以直接连按两次回车跳过。

2.2.2 上传公钥至服务器

在本地 PowerShell 中运行（将 <VPS_IP> 替换为真实 IP）：

$pubKey = Get-Content "$HOME\.ssh\id_ed25519_vps.pub"
$pubKey | ssh root@<VPS_IP> "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

2.2.3 加固 SSH 配置

回到 VPS SSH 窗口，编辑 SSH 配置文件：

nano /etc/ssh/sshd_config

修改或取消注释以下行：

Port <SSH_PORT>             # 改为任意高位端口，如 54321
PasswordAuthentication no   # 禁用密码登录
PubkeyAuthentication yes    # 允许密钥登录

顺便查看是否存在 Include /etc/ssh/sshd_config.d/*.conf。如有，检查该目录下是否存在配置文件，同样需要禁用密码登录：

ls -R /etc/ssh/sshd_config.d/

如有 50-cloud-init.conf，编辑并修改 PasswordAuthentication yes → no

sudo nano /etc/ssh/sshd_config.d/50-cloud-init.conf

重启 SSH 服务使变更生效：

sudo systemctl restart sshd

[!CAUTION] 重启服务后，先别关闭当前 SSH 终端。开一个新终端测试新端口和密钥能否连上，确认无误后再关闭旧窗口。

2.2.4 测试连接

从本地 Windows 测试连接：

ssh -i ~/.ssh/id_ed25519_vps -p <SSH_PORT> root@<VPS_IP>

如果私钥设置了 passphrase，在连接时会提示输入；如果没有设置，则直接登录

2.2.5 配置本地快捷登录

如果希望后续不用每次都输路径和端口，可以在本地 ~/.ssh/config 添加一个配置块

在 Windows Powershell 7 输入：

notepad $HOME/.ssh/config

回车后会打开一个记事本编辑器，输入以下内容：

Host my-vps
    HostName <VPS_IP>
    User root
    Port <SSH_PORT>
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

保存后即可在 pwsh7 使用 ssh my-vps 登录。

2.3 创建新用户

为贯彻最小权限原则，创建一个专用用户来运行服务和管理文件。

[!TIP] 以下步骤仍在当前的 root SSH 会话中执行，完成后将切换到新用户

2.3.1 创建用户并设置密码

# 创建用户 <YOUR_USER>（UID 1000，带 home 目录）
sudo useradd -m -u 1000 <YOUR_USER>

# 设置密码（必须设置，否则无法使用 sudo）
sudo passwd <YOUR_USER>

[!NOTE] 系统会提示你输入两次密码，虽然我们主要用密钥登录，但 sudo 默认需要用户有密码，否则会报错 user is not in the sudoers file 或 no password set

2.3.2 加入 sudo 组

sudo usermod -aG sudo <YOUR_USER>

2.3.3 配置免密 sudo（可选）

[!CAUTION] 跳过密码验证会降低安全性，仅建议在个人独占的 VPS 上使用。

sudo visudo

在文件末尾添加：

<YOUR_USER> ALL=(ALL) NOPASSWD: ALL

[!TIP] 比较推荐的方法是保留密码验证，只对特定命令免密

比如 sudo systemctl start xray

本教程为简化流程采用全局免密

2.3.4 将公钥复制给新用户

在本地 PowerShell 中运行：

$pubKey = Get-Content "$HOME\.ssh\id_ed25519_vps.pub"
$pubKey | ssh my-vps "mkdir -p /home/<YOUR_USER>/.ssh && chmod 700 /home/<YOUR_USER>/.ssh && cat >> /home/<YOUR_USER>/.ssh/authorized_keys && chmod 600 /home/<YOUR_USER>/.ssh/authorized_keys && chown -R <YOUR_USER>:<YOUR_USER> /home/<YOUR_USER>/.ssh"

2.3.5 更新本地 SSH config

追加到本地 ~/.ssh/config：

Host my-vps-user
    HostName <VPS_IP>
    User <YOUR_USER>
    Port <SSH_PORT>
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

保存后，即可用 ssh my-vps-user 登录，再通过 sudo 执行管理命令。

2.4 部署防火墙

本文采用以下设计：

防火墙规则 (deploy_firewall.sh)     → 执行一次即可
        ↓
     ipset 集合
        ↓
ASN 黑名单 (update_blacklists.sh)  → 每周自动更新

2.4.1 禁用 UFW

如果你之前启用过 UFW，先关掉：

sudo ufw disable
sudo systemctl stop ufw
sudo systemctl disable ufw

2.4.2 防火墙部署脚本

[!TIP] 请在本地编辑器复制并替换下方代码块开头的用户配置区，然后粘贴整段代码块到 VPS 终端执行

sudo tee /usr/local/bin/deploy_firewall.sh >/dev/null <<'EOF'
#!/bin/bash
# ============================================================================
# 部署防火墙规则，本脚本只需执行一次
# 无 P2P 版
# 修改配置后重新执行即可，脚本会自动覆盖旧规则
# ============================================================================

# ===================== 用户配置区 =====================

SSH_PORT=54321

# Web 端口（80 用于 HTTP，443 用于 HTTPS）
# 如需放行其他端口请在此添加
WEB_PORTS=(80 443)

# 是否启用 IPv6（1=启用，0=禁用）
ENABLE_IPV6=1

# 邻居网段全局阻断（设为 "-" 表示不启用）
# 示例: NEIGHBOR_V4="10.0.0.0/8"
NEIGHBOR_V4="<YOUR_NEIGHBOR_V4_CIDR>"
NEIGHBOR_V6="<YOUR_NEIGHBOR_V6_CIDR>"


export PATH="/usr/sbin:/sbin:$PATH"

# ===================== 日志与颜色 =====================

RED='\033[1;31m'
GREEN='\033[1;32m'
YELLOW='\033[1;33m'
BLUE='\033[1;34m'
CYAN='\033[1;36m'
NC='\033[0m'

log()  { echo -e "${BLUE}[INFO]${NC}  $1"; }
ok()   { echo -e "${GREEN}[OK]${NC}    $1"; }
warn() { echo -e "${YELLOW}[WARN]${NC}  $1"; }
err()  { echo -e "${RED}[ERR]${NC}   $1"; }
die()  { err "$1"; exit 1; }

# 检查 IPv6
check_v6() {
    if [ "$ENABLE_IPV6" != "1" ]; then echo 0; return; fi
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

# 依赖检查
check_deps() {
    local missing=()
    for cmd in ipset iptables; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        err "Missing dependencies: ${missing[*]}"
        err "Run: sudo apt install -y ipset iptables"
        exit 1
    fi
    ok "Dependencies satisfied"

    if [ "$HAS_V6" = "1" ] && ! command -v ip6tables &>/dev/null; then
        warn "ip6tables not found, disabling IPv6"
        HAS_V6=0
    fi
}

# 安装 iptables-persistent 与 ipset-persistent
install_persistent() {
    if dpkg -l iptables-persistent 2>/dev/null | grep -q '^ii' && dpkg -l ipset-persistent 2>/dev/null | grep -q '^ii'; then
        return 0
    fi
    log "Installing iptables-persistent & ipset-persistent..."
    echo iptables-persistent iptables-persistent/autosave_v4 boolean true \
        | debconf-set-selections 2>/dev/null
    echo iptables-persistent iptables-persistent/autosave_v6 boolean true \
        | debconf-set-selections 2>/dev/null
    DEBIAN_FRONTEND=noninteractive apt-get install -y iptables-persistent ipset-persistent &>/dev/null \
        || warn "Could not install persistent packages, will fallback to manual save"
}

# 创建 ipset 集合
create_ipsets() {
    ipset create bad_asn_v4 hash:net family inet \
        hashsize 4096 maxelem 500000 -exist 2>/dev/null
    if [ "$HAS_V6" = "1" ]; then
        ipset create bad_asn_v6 hash:net family inet6 \
            hashsize 4096 maxelem 500000 -exist 2>/dev/null
    fi
    ok "ipset collections created"
}

# 部署 iptables 规则
deploy_v4() {
    iptables -P INPUT DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT ACCEPT

    iptables -F
    iptables -X

    # 基础放行
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -i lo -j ACCEPT

    # 全局阻断邻居网段
    if [ "$NEIGHBOR_V4" != "-" ]; then
        iptables -A INPUT -s "$NEIGHBOR_V4" -j DROP
        ok "Neighbor v4 blocked globally: $NEIGHBOR_V4"
    fi

    # 全局阻断 ASN 黑名单
    iptables -A INPUT -m set --match-set bad_asn_v4 src -j DROP
    ok "Global blacklist: DROP(ASN)"

    # SSH
    iptables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT
    ok "Allow TCP port $SSH_PORT (SSH)"

    # Web (80, 443)
    for port in "${WEB_PORTS[@]}"; do
        iptables -A INPUT -p tcp --dport "$port" -j ACCEPT
        ok "Allow TCP port $port (Web)"
    done
}

# 部署 ip6tables 规则
deploy_v6() {
    ip6tables -P INPUT DROP
    ip6tables -P FORWARD DROP
    ip6tables -P OUTPUT ACCEPT

    ip6tables -F
    ip6tables -X

    ip6tables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    ip6tables -A INPUT -i lo -j ACCEPT

    # 全局阻断 邻居网段
    if [ "$NEIGHBOR_V6" != "-" ]; then
        ip6tables -A INPUT -s "$NEIGHBOR_V6" -j DROP
        ok "Neighbor v6 blocked globally: $NEIGHBOR_V6"
    fi

    # 全局阻断 ASN 黑名单
    ip6tables -A INPUT -m set --match-set bad_asn_v6 src -j DROP
    ok "Global blacklist: DROP(ASN)"

    # SSH
    ip6tables -A INPUT -p tcp --dport "$SSH_PORT" -j ACCEPT

    # Web (80, 443)
    for port in "${WEB_PORTS[@]}"; do
        ip6tables -A INPUT -p tcp --dport "$port" -j ACCEPT
    done
}

# 持久化
persist() {
    if command -v netfilter-persistent &>/dev/null; then
        netfilter-persistent save 2>/dev/null
        ok "Rules saved via netfilter-persistent"
    else
        mkdir -p /etc/iptables
        ipset save > /etc/iptables/ipsets 2>/dev/null
        iptables-save > /etc/iptables/rules.v4
        [ "$HAS_V6" = "1" ] && ip6tables-save > /etc/iptables/rules.v6
        ok "Rules saved to /etc/iptables/"
        warn "Consider installing iptables-persistent for automatic restore on boot"
    fi
}

print_rules() {
    echo ""
    echo -e "${CYAN}=== IPv4 INPUT Rules ===${NC}"
    iptables -L INPUT -v -n --line-numbers 2>/dev/null | head -20
    if [ "$HAS_V6" = "1" ]; then
        echo ""
        echo -e "${CYAN}=== IPv6 INPUT Rules ===${NC}"
        ip6tables -L INPUT -v -n --line-numbers 2>/dev/null | head -15
    fi
}

# 主流程
main() {
    if [ "$(id -u)" != "0" ]; then
        die "This script must be run as root"
    fi

    echo ""
    echo -e "${CYAN}========================================${NC}"
    echo -e "${GREEN}  Firewall Deployment (One-Time Setup)${NC}"
    echo -e "${CYAN}========================================${NC}"
    echo ""

    HAS_V6=$(check_v6)
    [ "$HAS_V6" = "1" ] && ok "IPv6 enabled" || warn "IPv6 disabled"

    check_deps
    create_ipsets

    echo ""
    log "Deploying IPv4 rules..."
    deploy_v4

    if [ "$HAS_V6" = "1" ]; then
        echo ""
        log "Deploying IPv6 rules..."
        deploy_v6
    fi

    echo ""
    log "Persisting rules..."
    install_persistent
    persist

    print_rules

    echo ""
    echo -e "${GREEN}Firewall deployed.${NC}"
    echo -e "${YELLOW}Next: run update_blacklists.sh to load ASN blacklists.${NC}"
    echo ""
}

main "$@"
EOF

赋予执行权限并运行：

sudo chmod +x /usr/local/bin/deploy_firewall.sh
sudo /usr/local/bin/deploy_firewall.sh

脚本会：

创建 ipset 集合（bad_asn_v4、bad_asn_v6）
清空原有 iptables 规则并部署新规则
安装 iptables-persistent 并保存规则（重启后自动恢复）

[!NOTE] 此脚本只部署防火墙规则，不会下载黑名单数据，此时 ipset 集合为空，所有 443 请求都可以正常访问。

2.4.3 黑名单更新脚本

[!TIP] 直接复制下方代码块至终端回车，即可一键生成更新黑名单脚本：

sudo tee /usr/local/bin/update_blacklists.sh >/dev/null <<'EOF'
#!/bin/bash
# ============================================================================
# 更新 ASN 黑名单
# ============================================================================

# 需要屏蔽的 ASN（格式：ASN|名称）
ASNS=(
    "14061|DigitalOcean"
    "16509|AWS"
    "15169|Google_Cloud"
    "8075|Azure"
    "20473|Vultr"
    "31898|Oracle"
)

# 缓存目录
CACHE_DIR="/var/lib/seedbox-firewall"

export PATH="/usr/sbin:/sbin:$PATH"
set -o pipefail

# ===================== 日志与颜色 =====================

RED='\033[1;31m'
GREEN='\033[1;32m'
YELLOW='\033[1;33m'
BLUE='\033[1;34m'
CYAN='\033[1;36m'
NC='\033[0m'

log()  { echo -e "${BLUE}[INFO]${NC}  $1"; }
ok()   { echo -e "${GREEN}[OK]${NC}    $1"; }
warn() { echo -e "${YELLOW}[WARN]${NC}  $1"; }
err()  { echo -e "${RED}[ERR]${NC}   $1"; }
die()  { err "$1"; exit 1; }
ln()   { echo "------------------------------"; }
fmt()  { printf "%'d" "$1"; }

# 检查 IPv6
check_v6() {
    if [ -f /proc/net/if_inet6 ] && [ "$(wc -l < /proc/net/if_inet6)" -gt 0 ]; then
        command -v ip6tables &>/dev/null && echo 1 || echo 0
    else
        echo 0
    fi
}

# 依赖检查
check_deps() {
    local missing=()
    for cmd in curl awk python3 ipset whois sha256sum; do
        command -v "$cmd" &>/dev/null || missing+=("$cmd")
    done
    if [ "${#missing[@]}" -gt 0 ]; then
        die "Missing: ${missing[*]}. Run: sudo apt install -y curl gawk python3 ipset iproute2 whois"
    fi

    # 检查 ASN ipset 是否存在（由 deploy_firewall.sh 创建）
    if ! ipset list bad_asn_v4 &>/dev/null; then
        die "ipset 'bad_asn_v4' not found. Run deploy_firewall.sh first."
    fi
}

# ===================== 缓存函数 =====================

init_cache() {
    mkdir -p "$CACHE_DIR" 2>/dev/null || { die "Cannot create $CACHE_DIR"; }
}

get_cached_hash() {
    local name="$1"
    local hashfile="${CACHE_DIR}/${name}.sha256"
    [ -f "$hashfile" ] && cat "$hashfile" || echo ""
}

set_cached_hash() {
    local name="$1" hash="$2"
    echo "$hash" > "${CACHE_DIR}/${name}.sha256"
}

is_changed() {
    local name="$1" cidr_file="$2"
    if [ ! -s "$cidr_file" ]; then
        return 0  # 空文件视为有变化（或错误）
    fi
    local new_hash=$(sha256sum "$cidr_file" | awk '{print $1}')
    local old_hash=$(get_cached_hash "$name")
    if [ "$new_hash" = "$old_hash" ] && [ -n "$old_hash" ]; then
        return 1  # 未变化
    fi
    return 0  # 有变化
}

update_cache() {
    local name="$1" cidr_file="$2"
    local new_hash=$(sha256sum "$cidr_file" | awk '{print $1}')
    set_cached_hash "$name" "$new_hash"
}

# ===================== ASN 更新 =====================

update_asn() {
    log "Fetching ASN routes from RADb..."

    local work="/tmp/asn-update-$$"
    mkdir -p "$work"
    local v4_cidr="${CACHE_DIR}/asn_v4.cidr"
    local v6_cidr="${CACHE_DIR}/asn_v6.cidr"
    local v4_tmp="${work}/asn_v4.cidr"
    local v6_tmp="${work}/asn_v6.cidr"

    true > "$v4_tmp"
    [ "$HAS_V6" = "1" ] && true > "$v6_tmp"

    local v4_total=0 v6_total=0

    for ITEM in "${ASNS[@]}"; do
        ASN="${ITEM%%|*}"
        NAME="${ITEM##*|}"

        local whois_out="${work}/whois_${ASN}.txt"
        if ! timeout 20 whois -h whois.radb.net -- "-i origin AS${ASN}" > "$whois_out" 2>/dev/null; then
            warn "AS${ASN} ${NAME}: whois timeout or failed"
            rm -f "$whois_out"
            continue
        fi

        # 提取 v4 路由
        local v4_count=$(awk '/^route:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v4_tmp" | wc -l)
        v4_total=$((v4_total + v4_count))

        if [ "$HAS_V6" = "1" ]; then
            local v6_count=$(awk '/^route6:/ {print $2}' "$whois_out" | grep -v '^$' | tee -a "$v6_tmp" | wc -l)
            v6_total=$((v6_total + v6_count))
        fi

        log "  AS${ASN} ${NAME}: v4=${v4_count} v6=${HAS_V6:+"$v6_count"}"
        rm -f "$whois_out"
    done

    # 更新 v4
    local v4_updated=0
    if [ "$v4_total" -lt 50 ]; then
        warn "ASN v4 too few entries ($v4_total), keeping existing set"
    elif is_changed "asn_v4" "$v4_tmp"; then
        log "ASN v4 changed, swapping ipset..."
        local new_set="bad_asn_v4_new"
        ipset create "$new_set" hash:net family inet hashsize 4096 maxelem 500000 -exist 2>/dev/null
        {
            echo "create $new_set hash:net family inet hashsize 4096 maxelem 500000 -exist"
            awk '{print "add '"$new_set"' " $0}' "$v4_tmp"
        } | ipset restore -exist 2>/dev/null
        ipset swap "$new_set" bad_asn_v4
        ipset destroy "$new_set" 2>/dev/null
        cp "$v4_tmp" "$v4_cidr"
        update_cache "asn_v4" "$v4_tmp"
        v4_updated=1
        ok "ASN v4 updated: $(fmt $(wc -l < "$v4_cidr")) entries"
    else
        ok "ASN v4 unchanged ($(fmt $v4_total) entries), skipped"
    fi

    # 更新 v6
    if [ "$HAS_V6" = "1" ]; then
        if [ "$v6_total" -lt 50 ]; then
            warn "ASN v6 too few entries ($v6_total), keeping existing set"
        elif is_changed "asn_v6" "$v6_tmp"; then
            log "ASN v6 changed, swapping ipset..."
            local new_set="bad_asn_v6_new"
            ipset create "$new_set" hash:net family inet6 hashsize 4096 maxelem 500000 -exist 2>/dev/null
            {
                echo "create $new_set hash:net family inet6 hashsize 4096 maxelem 500000 -exist"
                awk '{print "add '"$new_set"' " $0}' "$v6_tmp"
            } | ipset restore -exist 2>/dev/null
            ipset swap "$new_set" bad_asn_v6
            ipset destroy "$new_set" 2>/dev/null
            cp "$v6_tmp" "$v6_cidr"
            update_cache "asn_v6" "$v6_tmp"
            ok "ASN v6 updated: $(fmt $(wc -l < "$v6_cidr")) entries"
        else
            ok "ASN v6 unchanged ($(fmt $v6_total) entries), skipped"
        fi
    fi

    rm -rf "$work"
}

# ===================== 打印统计 =====================

print_summary() {
    echo ""
    ln
    local asn_v4=$(ipset list bad_asn_v4 2>/dev/null | grep "Number of entries" | awk '{print $NF}')
    echo "  ASN v4:  ${asn_v4:-0} entries"
    if [ "$HAS_V6" = "1" ]; then
        local asn_v6=$(ipset list bad_asn_v6 2>/dev/null | grep "Number of entries" | awk '{print $NF}')
        echo "  ASN v6:  ${asn_v6:-0} entries"
    fi
    ln
}

# ===================== 主流程 =====================

main() {
    if [ "$(id -u)" != "0" ]; then
        die "This script must be run as root"
    fi

    echo ""
    echo -e "${CYAN}========================================${NC}"
    echo -e "${GREEN}  ASN Blacklist Update${NC}"
    echo -e "${CYAN}========================================${NC}"
    echo ""

    HAS_V6=$(check_v6)
    [ "$HAS_V6" = "1" ] && ok "IPv6 enabled" || warn "IPv6 disabled"

    check_deps
    init_cache

    echo ""
    log "Updating ASN blacklists..."
    update_asn

    print_summary

    echo -e "${GREEN}ASN blacklist update complete.${NC}"
    echo ""
}

main "$@"
EOF

赋予执行权限：

sudo chmod +x /usr/local/bin/update_blacklists.sh

脚本说明：

原子更新：创建新集合 → 导入数据 → ipset swap 切换 → 销毁旧集合，切换耗时毫秒级，更新期间不会出现空集合窗口
缓存：将解析后的 CIDR 列表存入 /var/lib/seedbox-firewall/，下次运行时对比 SHA256，数据未变化则跳过更新
容错：下载失败不销毁现有集合，部分源失败不影响已成功的更新

2.4.4 首次加载黑名单并设置定时任务

sudo /usr/local/bin/update_blacklists.sh

首次运行会下载并导入所有 ASN 黑名单，耗时取决于网络和 VPS 性能

[!NOTE] 由于脚本采用原子 swap 更新，首次运行时 deploy_firewall.sh 创建的集合可能为空，需要等待导入完成后才会有数据

后续每周运行时，当前集合始终保持有效，不受更新过程影响

设置每周自动更新（cron）：

sudo crontab -e
# 末尾添加（每周日凌晨 4 点）：
0 4 * * 0 /usr/local/bin/update_blacklists.sh > /var/log/blacklist-update.log 2>&1

2.4.5 验证规则

sudo iptables -L INPUT -v -n --line-numbers

预期输出类似（bad_asn_v4 为全局 DROP，不限于 443 端口）：

Chain INPUT (policy DROP)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 ACCEPT     0    --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
2        0     0 ACCEPT     0    --  lo     *       0.0.0.0/0            0.0.0.0/0
3        0     0 DROP       0    --  *      *       <NEIGHBOR_V4>        0.0.0.0/0
4        0     0 DROP       0    --  *      *       0.0.0.0/0            0.0.0.0/0            match-set bad_asn_v4 src
5        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:<SSH_PORT>
6        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
7        0     0 ACCEPT     6    --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443

bad_asn_v4 规则是全局 DROP（prot 0），排在 ACCEPT 规则之前，因此先匹配黑名单丢弃，再放行白名单流量。

验证 ipset 集合数据量：

sudo ipset list bad_asn_v4 | grep "Number of entries"
sudo ipset list bad_asn_v6 | grep "Number of entries"

2.5 部署 Fail2ban（可选）

虽然已禁用密码登录，但公网上的端口探测依然会消耗系统资源。Fail2ban 可以动态封禁反复试探的 IP。

如果你后续计划部署零信任 SSH（第 6 章），SSH 端口会从公网彻底隐藏，届时 Fail2ban 将不再需要，可参考 6.6 节卸载。

sudo apt update && sudo apt install fail2ban -y

创建自定义配置，注意将 port 改为你的 SSH 端口：

[!TIP] 直接复制下方代码块至终端回车执行：

sudo tee /etc/fail2ban/jail.local >/dev/null <<'EOF'

写入：

```ini
[sshd]
enabled = true
port = <SSH_PORT>
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
findtime = 600
bantime = 86400

10 分钟内输错 3 次密码，封禁该 IP 24 小时。

启动并设置开机自启：

sudo systemctl enable --now fail2ban

3. Cloudflare 配置

3.1 添加 DNS 记录

将域名托管到 Cloudflare，添加 DNS 解析记录：

记录类型	子域名	值	小黄云（Proxy）	用途
A	`cdn.<YOUR_DOMAIN>`	VPS IPv4	开启	CDN 回源
A	`REALITY.<YOUR_DOMAIN>`	VPS IPv4	关闭	REALITY 握手直连

如果需要双栈，可额外添加 AAAA 记录，可复用同一个子域名。

3.2 SSL/TLS 设置

面板左侧 -> SSL/TLS -> 概述 -> 配置 -> 加密模式和源连接设置 -> 加密模式设置为 完全（严格）

面板左侧 -> SSL/TLS -> 边缘证书 -> 开启 TLS 1.3

面板左侧 -> 网络 -> 开启 gRPC

3.3 缓存规则设置

为避免 XHTTP 请求被缓存，创建缓存规则：

面板左侧 -> 缓存 -> Cache Rules -> 创建缓存规则：

名称：随意
如果传入请求匹配… -> 选择 自定义筛选表达式 -> 点击 编辑表达式
输入（替换为你的域名和路径）：

(http.host eq "cdn.<YOUR_DOMAIN>") or (http.request.uri.path contains "/<YOUR_XHTTP_PATH>")

缓存资格 → 设置为 绕过缓存

4. 安装 Xray-core 与 Caddy

4.1 安装 Xray-core

通过官方脚本裸装（Bare-metal）并使用 systemd 管理：

推荐安装 Pre-release 版本，目前 Stable 版本还停留在 v26.3.27，新版本包含 XHTTP 修复和功能修复等

<details> <summary>发版策略说明</summary>

RPRX(Owner):

忘公开说明一下了，关于 Xray-core 的发版策略， pre-release 有可能是实际意义上的 stable，而 latest 也不等于“没有 bug”

没标 latest 通常是因为我觉得下个 stable 该包含什么但它还没有包含，~~或者单纯懒得写 release notes 那就算了下次吧，感觉比写代码都麻烦~~

via https://t.me/projectXray/5113846

</details>

<details> <summary>mihomo 客户端兼容性说明</summary>

Xray-core v26.7.11 增加了 REALITY 最低客户端版本校验（minClientVer），默认要求客户端版本 ≥ 26.3.27 由于 mihomo 底层硬编码了版本号 1.8.2，两者不兼容时将导致 REALITY 握手失败

本教程的服务端配置模板已在 realitySettings 中显式添加 "minClientVer": "1.8.2" 以绕过此限制，安装最新版 Xray-core 即可正常工作

具体情况请见相关 Issue / PR：

Xray-core #6477

mihomo #2967

Xray-core PR #6181

</details>

<details> <summary>点击一键吃瓜</summary>

本教程的 Xray 服务端通过 REALITY 协议与 mihomo 客户端通信。在开始安装之前，有必要了解一起直接影响新版 Xray 与 mihomo 的兼容性社区事件，这也是后续配置中 "minClientVer": "1.8.2" 这一行的由来。

2026-05-29

Xray-core 维护者 RPRX 在 uTLS 指纹更新 PR #6181 的讨论中，收到关于俄罗斯 GFW 针对 Chrome TLS 指纹实施封锁的报告。他在分析各大第三方客户端的应对策略时，了解 mihomo 与 sing-box 的做法后，表达了强烈的不认同：

Chrome 浏览器是自动更新的，我认为无论是 mihomo 的选择不带 X25519MLKEM768 的 Chrome 120 指纹还是 sing-box 的在最新版 Chrome 指纹中移除 X25519MLKEM768 都会造成强特征，现在只是因为它们在俄罗斯的用户相对较少所以尚未被 GFW 针对而已，一旦被关注到那么这类强特征将是不可解决的，除非换成最新版且未修改的 Chrome 指纹

~~Sing-box 和 mihomo 这 Chrome 指纹问题。。。怎么感觉狼人越来越多了~~

2026-07-05

Xray-core 维护者 RPRX 在 Telegram 发布~~严正公告~~，宣布 Project X 即日起完全转向俄罗斯和伊朗市场，不再处理中国 GFW 相关事件：

严正公告：由于中国翻墙娱乐圈傻逼太多带不动，~~且几乎无国人捐款反而一直喂国字头 Surge~~，以及为了规避风险，Project X 即日起完全转向俄罗斯和伊朗，~~严格禁止在中国大陆内使用~~(https://t.me/projectXtls/1513)，不再处理中国 GFW 相关事件，比如不会为了对抗中国 GFW 的最新封锁而迭代，且放弃兼容中国代理软件、机场等生态，比如下个版本开始 REALITY 服务端将默认限制客户端最小版本，这也同时阻止了有问题的客户端 TLS 指纹（其它两个内核的 Chrome 指纹均有问题），此外不建议使用其它两个内核搭建 REALITY 服务端，它们的实现均过时已久、存在严重特征，~~不确定此前一些封锁报告的服务端内核是什么，有可能根本就不是 Xray 服务端~~

简单来说接触中国翻墙娱乐圈也有几年了，终于发现某些文化“培育”出的人简直烂透了没救了令人失望透顶，从开发者到 end user 再到机场主什么的全烂完了，本来还想列一下结果发现各种破事根本都列不完，就这样吧我也不想管了，绝大多数人本就根本不值得，谨此共勉

Project X 群友1：疑惑，这个事件导火索到底是什么

Project X 群友2：最开始是vless的流行压力surge支持vless协议，刘某不干，认为主流机场用户都是ss协议，然后群内气氛开始向用vless reality协议的直连用户低人一等，都是穷鬼用不起高端机场（因为高端机场用专线可以ss不走gfw），然后surge用户去攻击rprx支持者，然后今年上面对机场大打击，加上ss特征明显导致机场迎来毁灭性打击，r派系开始狂欢继续压力surge，随后双方矛盾更近一步，本来surge就有黑历史-刘某被公安喝茶🍵+闭源软件+国内公司（北京随行）开发报税，如此黑历史+surge最近只收钱不更新下刘某还挣的盆满钵满买房装修，反观rprx免费开发收获的捐赠几乎全来自于伊朗和俄罗斯，rprx觉得不值已有不满，加上目前所有主流机场秉持的原则是只要不被封，不管安不安全就用，典型的就是跳过证书验证，rprx非常反感此类行为，认为这是给gfw递刀子，机场贪图便利不为用户安全考虑，用户也不在意，加上surge用户维护surge情愿被割韭菜，几乎所有普通用户不管自身网络安全，秉持能用就行的原则，至此代理软件+机场+用户三位一体全部烂泥扶不上墙，rprx彻底爆发放弃对抗gfw

2026-07-07

RPRX 更进一步，说下个版本还将禁止公网未加密代理协议出站：

昨天发的有些人误解了，本来想解释一下，发现已经有人详细阐述了，差不多就是这个意思，完全就是烂泥扶不上墙

压死骆驼的最后一根稻草就是大型机场为了赚 Surge 用户那点钱甚至敢全部换成能被 MITM 的自签证书，至此我才认识到不光是 Surge 那些人有问题，中国翻墙娱乐圈整个生态都烂透了没救了，真的没有多少人在意用户的安全性，而是能翻出去就行，~~这与俄罗斯支持者真的是天壤之别~~，甚至用户自身也不在意，就如当初我们点出共用 SS 密码的机场 Surge 那边也是无所谓的态度，算了吧累了，我觉得“能翻出去就行、无所谓安全”的需求并不需要我的协议，~~全是蜜罐你能翻不出去吗~~，况且既然用户自身都不在意了，我天天掀 GFW 的蜜罐纯粹是吃力不讨好而已，~~还容易被上门~~，真的不会再干这种傻事了，还是明哲保身吧

下个版本还会禁止公网未加密代理协议出站（除了 Socks、HTTP，这俩协议地球人都知道是明文），大概是继清零明文 HTTP 面板、~~清退共用 SS 密码~~、删掉 allowInsecure 后，推动最基本的加密安全性的最后一块拼图，~~加密后的特征是后话，但至少得有个加密吧~~

前天发个严正公告没想到引起了广泛讨论，还是存在一些误解，比如下个版本开始 Xray REALITY 服务端只是会给“客户端最小版本”参数设默认值，若无所谓其它两个内核的 Chrome 指纹特征风险的话可以调低（若它们消除了相关特征才应改内置版本），~~另外俄伊那边的 GFW 比中国更严，咳言尽于此~~，除了受够了中国翻墙娱乐圈的现状、选择与机场等生态切割、明哲保身外，我更多地是希望 Xray 完全自成一派，比如只要使用 Xray 相关生态就意味着有最基本的加密安全性，而不会被自己或别人可能因为缺乏相关知识而做出的离谱操作所坑

各方反应也比较有意思，有说 Surge 用户少所以机场转向 AnyTLS 与它关系不大的，然而薯条转向 VLESS 后为了兼容 Surge 还专门开了线路，以及 AnyTLS 机场有多少是自签的问题，连大型机场的都是自签且不 pin 证书，Xray 移除 allowInsecure 也是阻力重重，还不多吗，甚至有些真证书都开它，以及世某人说翻墙是伪命题什么的，言论真的是一年比一年魔幻，这言论都出来了还不得赶紧切割吗，我觉得吧特征问题还可以逐步处理，但至少别能被解密吧，还有以 mieq 为首的 SURGE PRO 群直接弹冠相庆，唉弱智 endest user 的代表，这次懒得评价了

我的态度很明确，有些人想瞎搞就瞎搞吧，历史会反省并给出公正评价，反正任何责任或后果都与我无关，且我现在只想要境内的翻墙行为和我没任何关系，~~我可没那协议即使有人想上门也无法选中~~

2026-07-11

RPRX 提交了 Commit af7eb68： REALITY server: Set default "minClientVer": "26.3.27" (change it at your own risk)

RPRX再次评论：

实现了 REALITY 的客户端不应支持该功能，如果 TLS 指纹符合规范，修改内置版本号至 26.3.27 即可，该内置版本号应随 TLS 指纹更新，~~不然 Xray 就得在 REALITY 服务端内置 JA4 指纹白名单了~~

对我们用户的问题在于：

mihomo 在构造 REALITY ClientHello 时，其 TLS Session ID 中的版本号被硬编码为 [1, 8, 2]（component/tls/REALITY.go:74-76）。1.8.2 远低于 26.3.27，因此所有 mihomo 客户端的 REALITY 连接均被新版 Xray 服务端拒绝。

部分 mihomo 用户请求 mihomo 官方调整版本号以适配 Xray 的新要求。

mihomo CTO wwqgtxx 回应并将 Issue 标记为 wontfix 关闭：

我们对 xray 的决定不做评论，但是也不会对我们的当前实现做出任何修改

事已至此，双方均无意妥协

目前对我们普通用户而言，解决路径仅存于服务端一侧，在 Xray 的 realitySettings 中显式配置 "minClientVer": "1.8.2"，手动向服务端声明允许该版本的客户端接入

本教程的配置模板已预置此行配置，按下文安装最新版 Xray-core 后即可正常工作，无需额外干预。

相关链接：

【吃瓜完毕】

</details>

sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

如果你依然偏向 Stable，把命令的 --beta 去掉即为下载“正式版”

安装完成时会默认启动服务，需要先暂停：

sudo systemctl stop xray

4.2 生成凭据

生成 UUID（需要两组，分别用于 Vision 和 XHTTP）：

# 执行两次，得到两个不同的 UUID
xray uuid
xray uuid

分别记为 UUID_01 和 UUID_02，保存待用。

生成 REALITY 密钥对：

xray x25519

保存输出的 Private key 和 Public key，私钥填在服务端的 config.json，公钥填在本地客户端里。

生成 shortID：

openssl rand -hex 8

4.3 写入 Xray 配置文件

[!TIP] 请在本地的文本编辑器，将以下代码块中的占位符替换为你自己的真实信息。替换完成后，粘贴到 VPS 终端中并回车

[!NOTE] 占位符说明：

占位符	替换为
`UUID_01`	第一组 UUID（Vision 用户）
`UUID_02`	第二组 UUID（XHTTP 用户）
`YOUR_REALITY_PRIVATE_KEY`	刚才生成的 Private key
`YOUR_SHORT_ID`	刚才生成的 shortID
`reality.example.com`	你的 REALITY 子域名（小黄云关）
`cdn.example.com`	你的 CDN 子域名（小黄云开）
`/your-xhttp-path`	自定义路径
`"minClientVer": "1.8.2"`	保持默认，不要改

sudo tee /usr/local/etc/xray/config.json >/dev/null <<'EOF'
{
  "log": {
    "loglevel": "info" // 调试完成后可改为 "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0", // 如果需要 IPv6，改为监听 "::"
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_01", // 对应客户端出站 1
            "level": 0,
            "email": "vision-user",
            "flow": "xtls-rprx-vision"
          },
          {
            "id": "UUID_02", // 对应客户端出站 2/3/4/5
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none",
        "fallbacks": [
          {
            "dest": "/run/xray/xhttp_in.sock", 
            // 处理“直连”的 XHTTP 请求 (对应客户端出站 2/3/5 的直连部分)
            // 当 Reality 识别出 VLESS 协议但没有 flow 时，直接丢给内部 XHTTP Socket
            "xver": 0
          }
        ]
      },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "/run/caddy/tls_gate.sock",
          // 处理“CDN 转发”或“普通 HTTPS”请求 (对应客户端出站 3/4/5 的 CDN 部分)
          // 任何 Reality 不识别的流量都丢给 Caddy 处理
          "xver": 0,
          "serverNames": [
            "reality.example.com",
            "cdn.example.com"
          ],
          "privateKey": "YOUR_REALITY_PRIVATE_KEY",
          "shortIds": ["YOUR_SHORT_ID"],
          "minClientVer": "1.8.2"
        },
        "sockopt": {
          "tcpFastOpen": true,
          "tcpcongestion": "bbr",
          "tcpMptcp": true,
          "tcpNoDelay": true
        }
      },
      "tag": "VISION+REALITY",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    },
    {
      "listen": "/run/xray/xhttp_in.sock",
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID_02",
            "level": 0,
            "email": "xhttp-user"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "host": "",
          "path": "/your-xhttp-path", 
          "mode": "auto",
          "extra": {
            "noSSEHeader": false,
            "scMaxEachPostBytes": 1000000,
            "scMaxBufferedPosts": 30,
            "xPaddingBytes": "100-1000",
            "xPaddingObfsMode": true,
            "xPaddingMethod": "tokenish", // 生成一个随机的 Base62 标记
            "xPaddingPlacement": "queryInHeader", // 填充嵌入 Referer URL query（CF 兼容）
            "xPaddingKey": "t", // URL query 参数名
            "xPaddingHeader": "Referer",
            "sessionIDPlacement": "path",
            "sessionIDKey": "SID",
            "sessionIDTable": "Base62",
            "sessionIDLength": "12-20"
          }
        },
        "sockopt": {
          "tcpFastOpen": true,
          "acceptProxyProtocol": false,
          "tcpcongestion": "bbr",
          "tcpMptcp": true,
          "tcpNoDelay": true
        }
      },
      "tag": "XHTTP_IN",
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"],
        "metadataOnly": false,
        "routeOnly": true
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct",
      "settings": {
        "finalRules": [
          {
            "action": "allow",
            "network": "tcp",
            "port": "22-65535",
            "ip": ["127.0.0.1/32", "::1/128"]
          }
        ]
      }
    },
    {
      "protocol": "blackhole",
      "tag": "blocked",
      "settings": {}
    }
  ],
  "routing": {
    "domainStrategy": "AsIs",
    "rules": [
      {
        "type": "field",
        "ip": ["127.0.0.1", "::1"],
        "port": "22-65535",
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": [
          "geoip:private"
        ],
        "outboundTag": "blocked"
      }
    ]
  }
}
EOF

Xray 配置中的路由已预置 "port": "22-65535" 的白名单规则，用于后续零信任 SSH 通道（第 6 章）。

因为不同 VPS 厂商交付的 SSH 端口不同，故用范围端口而非固定端口，

4.4 安装 Caddy

使用 Caddy 官方针对 Debian 的软件源安装：

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

# 导入 GPG 密钥
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# 添加官方软件源
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 更新并安装
sudo apt update
sudo apt install caddy -y

4.5 编写 Caddyfile

清空再编辑 Caddyfile：

[!TIP] 同理，请在本地编辑器中替换其中的占位符，替换后粘贴整段代码块至终端回车执行

sudo tee /etc/caddy/Caddyfile >/dev/null <<'EOF'
# 1. REALITY 域名区块（专供 REALITY 握手与伪装网页）
# 记得换成你自己的 REALITY 子域名！！！
reality.example.com {
        # 监听 Xray REALITY 回落的 Unix Socket
        bind unix//run/caddy/tls_gate.sock

        # 引用 acme.sh 申请的 Let's Encrypt 证书与私钥
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/reality_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 处理所有其他访问
        # 外部扫描器或浏览器访问，直接给出伪装网页
        handle {
                # 伪装网页路径：/var/www/html/index.html
                root * /var/www/html
                file_server
        }
}

# 2. CDN 域名区块（处理从 Xray 回落的 CDN 代理流量）
# 记得换成你自己的 CDN 子域名！！！
cdn.example.com {
        bind unix//run/caddy/tls_gate.sock

        # 申请的是多域名合并证书，引用相同的证书文件即可
        tls /etc/caddy/certs/reality.crt /etc/caddy/certs/reality.key

        log {
                output file /var/log/caddy/cdn_access.log {
                        roll_size     10mib
                        roll_keep     7
                        roll_keep_for 168h
                }
        }

        # 捕获套 CDN 的出站（出站 3/4/5）传来的合法的 XHTTP 流量
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        # 记得换成你自己的 XHTTP 路径！！！
        handle /your-xhttp-path/* {
                reverse_proxy unix//run/xray/xhttp_in.sock {
                        transport http {
                                versions 2
                        }
                        flush_interval -1
                }
        }
        
        # 可选：探针探活路径
        handle /status {
                respond "ok" 200
        }

        handle /ping {
                respond "ok" 200
        }

        # 对于扫描器，直接重定向到伪装网页防扫描
        # 记得换成你自己的 REALITY 子域名！！！
        handle {
                redir https://reality.example.com{uri}
        }
}
EOF

请务必仔细检查你的 handle 块配置，路径末尾的斜杠和星号 /* 不能省略

XHTTP 流量请求的 URL 是动态长随机混淆参数的

如果前缀不通配，Caddy 就会将其视为未知的外部扫描探测，返回 302 伪装页

<details> <summary>附：简单伪装导航页</summary>

如果你没有现成的网站，可以使用下面这段单文件 HTML 代码

但是后期建议让 GenAI 丰富一下，换成个人博客、OpenList 什么的

将以下代码块整体复制到终端回车执行：

sudo mkdir -p /var/www/html
sudo tee /var/www/html/index.html >/dev/null <<'EOF'
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Tech Hub</title>
    <style>
        * {
            margin: 0;
            padding: 0;
            box-sizing: border-box;
        }

        body {
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, sans-serif;
            background: linear-gradient(-45deg, #e0e7ff, #f3e8ff, #dbeafe, #ede9fe);
            background-size: 400% 400%;
            animation: gradientBG 18s ease infinite;
        }

        @keyframes gradientBG {
            0% { background-position: 0% 50%; }
            50% { background-position: 100% 50%; }
            100% { background-position: 0% 50%; }
        }

        .wrapper {
            display: flex;
            flex-direction: column;
            align-items: center;
            gap: 2rem;
            padding: 2rem;
            width: 100%;
            max-width: 720px;
        }

        .title {
            font-size: clamp(2.4rem, 6vw, 3.6rem);
            font-weight: 600;
            color: #1e293b;
            letter-spacing: -0.02em;
            text-align: center;
        }

        .sub {
            font-size: clamp(0.8rem, 1.5vw, 1rem);
            color: #64748b;
            text-transform: uppercase;
            letter-spacing: 0.2em;
            border-bottom: 1px solid #cbd5e1;
            padding-bottom: 1rem;
            width: 100%;
            text-align: center;
        }

        .nav {
            display: flex;
            gap: 1.5rem;
            padding: 1.5rem 2.5rem;
            border-radius: 80px;
            background: rgba(255, 255, 255, 0.6);
            backdrop-filter: blur(12px);
            -webkit-backdrop-filter: blur(12px);
            border: 1px solid rgba(255, 255, 255, 0.8);
            box-shadow: 0 8px 32px rgba(0, 0, 0, 0.06);
            flex-wrap: wrap;
            justify-content: center;
        }

        .nav-item {
            display: flex;
            justify-content: center;
            align-items: center;
            width: 3.4rem;
            height: 3.4rem;
            border-radius: 50%;
            background: rgba(255, 255, 255, 0.4);
            transition: all 0.25s ease;
            text-decoration: none;
            border: 1px solid rgba(255, 255, 255, 0.6);
        }

        .nav-item img {
            width: 1.6rem;
            height: 1.6rem;
            transition: transform 0.2s ease;
        }

        .nav-item:hover {
            transform: translateY(-4px);
            background: rgba(255, 255, 255, 0.9);
            border-color: #94a3b8;
            box-shadow: 0 8px 20px rgba(0, 0, 0, 0.08);
        }

        .nav-item:hover img {
            transform: scale(1.1);
        }

        @media (max-width: 600px) {
            .wrapper { gap: 1.5rem; padding: 1rem; }
            .nav { padding: 1rem 1.5rem; gap: 1rem; border-radius: 2rem; }
            .nav-item { width: 2.8rem; height: 2.8rem; }
            .nav-item img { width: 1.3rem; height: 1.3rem; }
        }
    </style>
</head>
<body>
    <div class="wrapper">
        <h1 class="title">Dev Center</h1>
        <div class="sub">Let there be light</div>
        <div class="nav">
            <a href="https://www.google.com" class="nav-item" title="Google"><img src="https://cdn.simpleicons.org/google/1e293b" alt="Google"></a>
            <a href="https://github.com" class="nav-item" title="GitHub"><img src="https://cdn.simpleicons.org/github/1e293b" alt="GitHub"></a>
            <a href="https://dash.cloudflare.com" class="nav-item" title="Cloudflare"><img src="https://cdn.simpleicons.org/cloudflare/1e293b" alt="Cloudflare"></a>
            <a href="https://hub.docker.com" class="nav-item" title="Docker Hub"><img src="https://cdn.simpleicons.org/docker/1e293b" alt="Docker"></a>
            <a href="https://stackoverflow.com" class="nav-item" title="Stack Overflow"><img src="https://cdn.simpleicons.org/stackoverflow/1e293b" alt="Stack Overflow"></a>
            <a href="https://www.npmjs.com" class="nav-item" title="npm"><img src="https://cdn.simpleicons.org/npm/1e293b" alt="npm"></a>
            <a href="https://gitlab.com" class="nav-item" title="GitLab"><img src="https://cdn.simpleicons.org/gitlab/1e293b" alt="GitLab"></a>
        </div>
    </div>
</body>
</html>
EOF

</details>

4.6 用户组与运行目录设置

启动 Xray 和 Caddy 前需统一运行用户为 caddy，否则会出现 socket 权限问题：

[Info] transport/internet/tcp: REALITY: failed to dial dest: dial unix /run/caddy/tls_gate.sock: connect: permission denied

# 统一运行用户为 caddy
sudo mkdir -p /etc/systemd/system/xray.service.d
sudo tee /etc/systemd/system/xray.service.d/override.conf <<EOF
[Service]
User=caddy
EOF

# 为 Caddy 启用独立的运行目录以放套接字
sudo mkdir -p /etc/systemd/system/caddy.service.d
sudo tee /etc/systemd/system/caddy.service.d/override.conf <<EOF
[Service]
User=caddy
RuntimeDirectory=caddy
EOF

# 重新加载 Systemd 配置
sudo systemctl daemon-reload

4.7 申请公有受信任证书

<details> <summary>点击查看：为什么不能用 Caddy 自带的自动申请证书功能</summary>

[!NOTE] Caddy 默认依赖 HTTP-01 或 TLS-ALPN-01 进行 ACME 自动化证书验证，此过程的硬性前置条件是 Web 服务器必须能够直接在操作系统层面接管并监听公网的 80 或 443 端口。

在当前架构中，公网 443 端口由 Xray 独占监听，Caddy 仅绑定于内网的 Unix Socket 充当回落目标。当 Let's Encrypt 验证集群发起 TLS-ALPN-01 请求时，流量首先到达 Xray 的 REALITY 服务端。由于该请求不具备有效的 XTLS 身份特征，REALITY 服务端会将其视为未知流量，执行透明的双向 TCP 转发（直接回落至 Caddy 的 Unix Socket）。

尽管验证流量最终送达了 Caddy，但证书申请依然会失败。因为 Caddy 的 ACME 模块在处理 TLS-ALPN-01 挑战时，强依赖于标准 443 端口监听器来挂载专用的验证证书。面对来自 Unix Socket 的回落流量，Caddy 的验证上下文无法正确匹配并下发该证书。即便 Caddy 异常响应了临时的 ACME 验证证书，由于 REALITY 服务端需持续抓取目标后端返回的 ServerHello 以缓存真实证书，这种非标准的临时证书将引发 REALITY 内部证书缓存逻辑链异常，导致整个 TLS 握手在链路中被异常阻断。

所以转而使用 acme.sh 脚本动态下发 DNS TXT 记录（即基于 API 交互的 DNS-01 验证），以实现 TLS 证书合规签发。

另外，REALITY 节点需使用真实 IP 直接承载直连流量（CDN Proxy OFF），若部署未受公共根证书信任的 Cloudflare Origin CA 证书，浏览器直接访问伪装站时会触发 TLS 错误。

</details>

第一步：获取 Cloudflare API Token

登录你的 Cloudflare 网页后台；
展开左边栏 -> 选择 管理账户 -> 账户 API 令牌；
点击 创建令牌；
令牌名称自定义；
权限策略 -> 编辑策略：选择 指定域名，然后下拉框选你的主域名；
在下方的权限组列表中，点击展开 DNS & Zones 类别
- 区域 (Zone) - 区域 (Zone) - 勾选读取 (Read)
- 区域 (Zone) - DNS - 勾选 编辑 (Edit)
令牌过期时间建议直接选择 “无过期时间”；
客户端 IP 地址过滤，可以什么都不填，只要你不把 Token 泄露给别人，就是安全的；或者填上运行 acme.sh 脚本的服务器的公网 IP 地址；
审核令牌 -> 创建令牌；
接着会给出 账户ID 和 CF_Token，复制并保存

第二步：在 VPS 切换至 root 并安装 acme.sh

为了后续能够全自动在后台无感续签，这一步全程在 root 用户下执行，以免权限不足导致续签后重载 Caddy 失败。

# SSH 登录 VPS 并切换到 root
sudo -i

# 设置你的真实邮箱，并安装 acme.sh
EMAIL="your_email@example.com"
curl https://get.acme.sh | sh -s email="$EMAIL"

# 切换默认颁发机构为 Let's Encrypt
ACME=/root/.acme.sh/acme.sh
$ACME --set-default-ca --server letsencrypt

第三步：隐式导入 Token 并申请证书

为防止 Token 泄露到 .bash_history 中，我们使用静默输入：

# 执行后，直接粘贴你的 Token 并回车（屏幕上不会显示）
read -rsp 'Cloudflare API Token: ' CF_Token
echo
export CF_Token
export CF_Account_ID="你的Account_ID"

# 申请证书 (必须同时包含 Reality 直连域名和 CDN 回源域名，否则 Cloudflare 在“完全(严格)”模式下回源会报 526 证书错误)
$ACME --issue --dns dns_cf -d "reality.example.com" -d "cdn.example.com"

第四步：提取证书并配置自动授权重载

# 创建目录
mkdir -p /etc/caddy/certs

# 提取证书并设定重载命令
# 安装时只需要指定主域名（第一个 -d 域名），acme.sh 会自动关联
$ACME --install-cert -d "reality.example.com" \
--key-file       /etc/caddy/certs/reality.key \
--fullchain-file /etc/caddy/certs/reality.crt \
--reloadcmd     "chown caddy:caddy /etc/caddy/certs/reality.* && systemctl reload caddy"

[!NOTE] 证书安装后，私钥文件默认权限为 -rw-------（600），仅属主（root）可读写。
若 Caddy 以 caddy 用户运行，需确保其能读取。上述 reloadcmd 中的 chown 已解决属主问题。
若需进一步限制权限，可额外执行 chmod 640 /etc/caddy/certs/reality.key。

[!TIP] 此时报错 Reload error for: reality.example.com / caddy.service is not active 无伤大雅，因为我们在下一步才正式启动应用。

完成后，输入 exit 退出 root 环境，返回普通用户。

4.8 启动服务

启动前检查
为避免 permission denied 错误，请再次确认以下路径的属主正确：

# Caddy 日志目录
sudo mkdir -p /var/log/caddy
sudo chown -R caddy:caddy /var/log/caddy
sudo chmod 755 /var/log/caddy

# 证书文件
ls -la /etc/caddy/certs/
# 应显示 -rw-r--r-- 1 caddy caddy reality.crt
# 应显示 -rw------- 1 caddy caddy reality.key

# 若属主不是 caddy，请执行修正：
sudo chown -R caddy:caddy /var/log/caddy
sudo chown caddy:caddy /etc/caddy/certs/reality.*
sudo chmod 640 /etc/caddy/certs/reality.key

正式启动：

sudo systemctl enable --now xray caddy

验证状态：

systemctl show xray --property=User,Group
systemctl show caddy --property=User,Group
ls -l /run/xray/ /run/caddy/

理想输出：

User=caddy
Group=

---

User=caddy
Group=caddy

# /run/xray/
srwxr-xr-x 1 caddy caddy 0 ... xhttp_in.sock
-rw-r--r-- 1 caddy caddy 0 ... xhttp_in.sock.lock

# /run/caddy/
s-w------- 1 caddy caddy 0 ... tls_gate.sock

4.9 限制 Systemd Journal 日志大小

Caddy 已配置了原生内置的日志滚动机制，但 Systemd 的日志默认仅按系统空闲空间比例限制大小，需要手动限制最大占用空间。

[!TIP] 如果不需要保留访问日志，或者磁盘空间十分有限，可以直接将 Caddyfile 中的整个 log { ... } 代码块移除。

Systemd 的日志（journald）默认只按体积轮转但不设硬性上限，需要手动限制最大占用空间。

sudo nano /etc/systemd/journald.conf

找到并取消注释、修改以下两行（若不存在则手动添加）：

SystemMaxUse=100M
MaxFileSec=1week

保存后重启服务，使新配置生效：

sudo systemctl restart systemd-journald

4.10 后续更新

更新 Xray-core

官方安装脚本支持直接升级，重新运行安装命令即可：

# 检查是否有新版本
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ check

# 升级到最新 Pre-release（推荐）
sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --beta

脚本会自动检测版本号差异、下载新二进制、替换并重启服务。你的 config.json、override.conf、日志等配置文件全部保留，不会被覆盖。

升级后 systemd 主 service 文件会被重写为默认的 User=nobody，但 override.conf（User=caddy）优先级更高，运行时用户不受影响。若要消除 Special user nobody configured 警告，可手动修复：
sudo sed -i 's/User=nobody/User=caddy/' /etc/systemd/system/xray.service
sudo systemctl daemon-reload

更新 Caddy

通过 apt 更新：

sudo apt update
sudo apt upgrade caddy -y

5. 客户端配置

5.1 mihomo 客户端

由于 mihomo GUI 繁多，此处仅给出裸核 config：

proxies:
  # 1. XTLS(Vision) + REALITY 直连
  - name: "出站1-XTLS+REALITY"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_01"
    encryption: "none"
    flow: xtls-rprx-vision
    network: tcp
    # 以下两项取决于你的实际 UDP 使用场景，不需要请注释或删除
    # udp: true               # 需要走代理的境外游戏/QUIC/WebRTC 则开启
    # packet-encoding: xudp   # UDP 编码方式，开启后支持 FullCone NAT（默认即此值）
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"

  # 2. XHTTP + REALITY 直连
  - name: "出站2-XHTTP+REALITY"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"
    xhttp-opts:
      path: /your-xhttp-path      # 必须与服务端配置的 path 一致
      mode: auto                  # Reality 模式下 auto 会自动选择 stream-one
      # host: "reality.example.com" # 直连时可省略，默认继承 servername
      session-table: "Alphabet"   # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"     # session ID 长度范围（起始值不可为 0，总 ID 空间须 > 21 亿）
      session-placement: path     # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true   # 启用填充混淆
      x-padding-method: tokenish  # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"          # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer" # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 3. 上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY（上下行不同 SNI）
  - name: "出站3-CDN上行+XHTTP下行"
    type: vless
    server: "cdn.example.com"      # CDN 域名或优选 IP (上行)
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    ech-opts: {enable: true}       # 隐藏 SNI
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h3]
    servername: "cdn.example.com"  # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
    client-fingerprint: chrome
    skip-cert-verify: false        # 强制校验服务端证书，防止中间人攻击
    xhttp-opts:  # 上行设置
      host: "cdn.example.com"      # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto                   # CDN 模式下 auto 会自动选择 stream-up (H2)
      session-table: "Alphabet"    # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"      # session ID 长度范围
      session-placement: path      # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true    # 启用填充混淆
      x-padding-method: tokenish   # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"           # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer"  # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 上行链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)
      download-settings:            # 下行设置（Reality 不支持 h3，须显式覆盖为 h2）
        alpn: [h2]                  # 显式指定 h2，覆盖主代理继承来的 h3
        server: "<YOUR_VPS_IP>"     # 下行地址 (VPS 直连)
        port: 443
        servername: "reality.example.com" # Reality 伪装域名
        reality-opts:
          public-key: "YOUR_PUB_KEY"
          short-id: "YOUR_SHORT_ID"
          # host 继承自外层或省略；mode 强制继承外层
        reuse-settings:  # 下行链接复用设置（即XMUX）
          max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
          # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
          c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
          # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
          h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
          h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 4. XHTTP + TLS(ECH) 过 CDN（上下行不分离）
  - name: "出站4-CDN上下行"
    type: vless
    server: "cdn.example.com"     # CDN 域名或优选 IP
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    ech-opts: {enable: true}      # 隐藏 SNI
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h3]
    servername: "cdn.example.com" # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
    client-fingerprint: chrome
    skip-cert-verify: false       # 强制校验服务端证书，防止中间人攻击
    xhttp-opts:
      host: "cdn.example.com"     # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto
      session-table: "Alphabet"   # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"     # session ID 长度范围
      session-placement: path     # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true   # 启用填充混淆
      x-padding-method: tokenish  # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"          # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer" # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 链接复用设置（即XMUX）
        max-concurrency: "16-32"   # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"     # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"     # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0     # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 5. 上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN（上下行不同 SNI）
  - name: "出站5-上XHTTP+REALITY下XHTTP+TLS+CDN"
    type: vless
    server: "YOUR_VPS_IP"
    port: 443
    uuid: "YOUR_UUID_02"
    encryption: "none"
    flow: ""
    network: xhttp
    # udp: true
    # packet-encoding: xudp
    tls: true
    alpn: [h2]
    servername: "reality.example.com" # Reality 伪装域名
    client-fingerprint: chrome
    skip-cert-verify: false           # 强制校验服务端证书，防止中间人攻击
    reality-opts:
      public-key: "YOUR_PUB_KEY"
      short-id: "YOUR_SHORT_ID"
    xhttp-opts:
      host: "cdn.example.com"         # CDN 转发所需的 HTTP Host，与 servername 保持相同
      path: /your-xhttp-path
      mode: auto
      session-table: "Alphabet"       # 自定义 session ID 字符集，降低 CDN 特征识别
      session-length: "12-20"         # session ID 长度范围
      session-placement: path         # Session ID 放在 URL 路径中（path 模式下 session-key 无效）
      x-padding-obfs-mode: true       # 启用填充混淆
      x-padding-method: tokenish      # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
      x-padding-placement: queryInHeader # 填充嵌入 Referer URL query 中（CF 兼容）
      x-padding-key: "t"              # URL query 参数名，伪装成 analytics token
      x-padding-header: "Referer"     # 填充存放的 HTTP Header 名，默认 Referer（CF 兼容）
      sc-stream-up-server-secs: "30-60" # 单连接流控保活心跳间隔，减少 CDN 超时断开
      reuse-settings:  # 上行链接复用设置（即XMUX）
        max-concurrency: "16-32"      # 单连接最大并发请求数（0=不限制）
        # max-connections: "3"        # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
        c-max-reuse-times: "0"        # 单连接最大复用次数（0=不限制）
        # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
        h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
        h-keep-alive-period: 0        # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)
      download-settings:              # 下行设置（CDN 路径，改用 h3）
        path: /your-xhttp-path
        host: ""                      # host 继承自外层或省略；mode 强制继承外层        
        server: "cdn.example.com"     # CDN / 优选 IP (下行连接地址)
        port: 443
        tls: true
        alpn: [h3]
        servername: "cdn.example.com" # 写你套 CDN 对应的子域名，CDN 通过它回源服务器
        client-fingerprint: chrome
        skip-cert-verify: false       # 强制校验服务端证书，防止中间人攻击
        ech-opts: {enable: true}      # 隐藏 SNI
        reality-opts: { public-key: "" } # 强制清空 Reality 公钥，否则下行连接 CDN 将会携带 Reality 握手
        reuse-settings:               # 下行链接复用设置（即XMUX）
          max-concurrency: "16-32"      # 单连接最大并发请求数（0=不限制）
          # max-connections: "3"        # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
          c-max-reuse-times: "0"        # 单连接最大复用次数（0=不限制）
          # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
          h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
          h-keep-alive-period: 0        # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

# 定义锚点
x-anchors:
  # 0. 用户变量 (请在此处统一修改为自己的配置，下方会自动引用)
  variables:
    vps_ip: &vps_ip "YOUR_VPS_IP"
    uuid_01: &uuid_01 "YOUR_UUID_01"
    uuid_02: &uuid_02 "YOUR_UUID_02"
    reality_domain: &reality_domain "reality.example.com"
    cdn_domain: &cdn_domain "cdn.example.com"
    xhttp_path: &xhttp_path "/your-xhttp-path"

  # 1. Reality 密钥配置
  reality-opts: &reality-opts
    public-key: "YOUR_PUB_KEY"
    short-id: "YOUR_SHORT_ID"

  # 2. 链接复用设置参数
  reuse-settings: &reuse-settings
    max-concurrency: "16-32"         # 单连接最大并发请求数（0=不限制）
    # max-connections: "3"           # 最大连接数（0=不限制）（与 max-concurrency 冲突，二选一）
    c-max-reuse-times: "0"           # 单连接最大复用次数（0=不限制）
    # h-max-request-times: "600-900" # 单连接累计 HTTP 请求数（不严谨，慎用）
    h-max-reusable-secs: "1800-3000" # 单连接最长复用时间（秒）
    h-keep-alive-period: 0           # H2/H3 保活间隔 (0=默认智能值, -1=关闭, 支持填正数范围但不推荐)

  # 3. XHTTP 混淆配置
  xhttp-obfs: &xhttp-obfs
    path: *xhttp_path
    mode: auto
    session-table: "Alphabet"           # 自定义 session ID 字符集，降低 CDN 特征识别
    session-length: "12-20"             # session ID 长度范围
    session-placement: path             # Session ID 放在 URL 路径中
    x-padding-obfs-mode: true           # 启用填充混淆
    x-padding-method: tokenish          # 随机 Base62 标记，HPACK 编码后精确匹配目标长度
    x-padding-placement: queryInHeader  # 填充嵌入 Referer URL query 中
    x-padding-key: "t"                  # URL query 参数名，伪装成 analytics token
    x-padding-header: "Referer"         # 填充存放的 HTTP Header 名，默认 Referer
    sc-stream-up-server-secs: "30-60"   # 单连接流控保活心跳间隔，减少 CDN 超时断开
    reuse-settings: *reuse-settings

  # 4. UDP 配置
  udp-opts: &udp-opts
    # 以下两项取决于你的实际 UDP 使用场景
    udp: false              # 境外游戏/QUIC/WebRTC 有需要走代理的则改为 true
    # packet-encoding: xudp # UDP 编码方式

# 最终节点配置
proxies:
  # 1. XTLS(Vision) + REALITY 直连
  - name: "出站1-XTLS+REALITY"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_01
    encryption: "none"
    flow: xtls-rprx-vision
    network: tcp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    reality-opts: *reality-opts

  # 2. XHTTP + REALITY 直连
  - name: "出站2-XHTTP+REALITY"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    reality-opts: *reality-opts
    xhttp-opts: *xhttp-obfs

  # 3. 上行 XHTTP + TLS(ECH) + CDN | 下行 XHTTP + REALITY
  - name: "出站3-CDN上行+XHTTP下行"
    type: vless
    server: *cdn_domain
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h3]
    servername: *cdn_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    ech-opts: {enable: true}
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain
      download-settings:
        server: *vps_ip
        port: 443
        tls: true
        alpn: [h2]
        servername: *reality_domain
        client-fingerprint: chrome
        reality-opts: *reality-opts
        reuse-settings: *reuse-settings

  # 4. XHTTP + TLS(ECH) 过 CDN（上下行不分离）
  - name: "出站4-CDN上下行"
    type: vless
    server: *cdn_domain
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h3]
    servername: *cdn_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    ech-opts: {enable: true}
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain

  # 5. 上行 XHTTP + REALITY | 下行 XHTTP + TLS(ECH) + CDN
  - name: "出站5-上XHTTP+REALITY下XHTTP+TLS+CDN"
    type: vless
    server: *vps_ip
    port: 443
    uuid: *uuid_02
    encryption: "none"
    flow: ""
    network: xhttp
    <<: *udp-opts
    tls: true
    alpn: [h2]
    servername: *reality_domain
    client-fingerprint: chrome
    skip-cert-verify: false
    reality-opts: *reality-opts
    xhttp-opts:
      <<: *xhttp-obfs
      host: *cdn_domain
      download-settings:
        server: *cdn_domain
        port: 443
        tls: true
        alpn: [h3]
        servername: *cdn_domain
        client-fingerprint: chrome
        skip-cert-verify: false
        ech-opts: {enable: true}
        path: *xhttp_path
        host: ""
        reality-opts: { public-key: "" }
        reuse-settings: *reuse-settings

</details>

5.2 ALPN、ECH 与 XMUX 说明

ALPN

mihomo v1.19.23：仅支持 h2
mihomo v1.19.24+：支持 http/1.1 和 h3，但不支持多协议动态回退，写法如下：

proxies:
  - name: xxx
    alpn: [h2]           # 使用 HTTP/2（默认）
    # alpn: [http/1.1]   # 强制使用 HTTP/1.1
    # alpn: [h3]         # 强制使用 HTTP/3。注意：不支持 REALITY，必须 tls: true

ECH

proxies:
  - name: xxx
    ech-opts: {enable: true}

Cloudflare 免费版现已默认启用 ECH（Encrypted ClientHello）

[!NOTE]

只有套了 CDN 的节点才能用

mihomo 需要写支持 DoH 解析的 DNS

域名需要开启 TLS 1.3

更多详情请查看末尾推荐的文章

XMUX（链接复用）

[!IMPORTANT] Xray-core 近期的版本演进中（Issue #6376），对 XMUX 的默认策略经历了多次调整（从最初的 16-32，到 1，再到 3）。

本模板中显式写了 max-concurrency: "16-32"。效果是强制锁定在较稳定的多路复用状态，不会因继承内核默认值而导致并发 TCP 连接数突增（仅为个人理解）

如果为了对抗严格的审查环境（像 issue 提到的俄罗斯抗 TSPU 封锁）的话，可改为 max-connections: 3

6. 可选进阶：部署零信任 SSH

本方案实现 VPS 不对外暴露 SSH 端口，外部扫描器无法探测到 SSH 服务存在。日常通过 mihomo 隧道直连，极端环境下走 Cloudflare Tunnel，实现主备双通道。

6.1 前提条件

VPS 完成了本章所有前置步骤（防火墙已部署、代理已在运行）
本地已运行 mihomo 客户端且节点正常
本地已安装 cloudflared

[!WARNING] 先建逃生通道，最后再封门。 顺序为：配置 Xray 白名单 → 放行 lo 环回 → 部署 mihomo 隧道并测试 → 部署 CF Tunnel 并测试 → 确认两条通道都能用 → 最后再 iptables DROP 公网端口。如果先封门再建通道，一旦通道配置失败，将无法再连接服务器。

6.2 配置 Xray 路由白名单与 Freedom 放行规则

确认 Xray 配置中已有 SSH 环回白名单。

cat 查看 /usr/local/etc/xray/config.json，确认在 routing.rules 中 geoip:private -> blocked 之前存在以下规则：

{
  "type": "field",
  "ip": ["127.0.0.1", "::1"],
  "port": "22-65535",
  "outboundTag": "direct"
}

接着确认 Freedom 放行规则

Xray-core v26.7.11+ 在 freedom（直连）出站中内置了私网地址阻断，需在 outbounds 的 direct 出站中添加 finalRules 以放行 SSH 环回：

{
  "protocol": "freedom",
  "tag": "direct",
  "settings": {
    "finalRules": [
      {
        "action": "allow",
        "network": "tcp",
        "port": "22-65535",
        "ip": ["127.0.0.1/32", "::1/128"]
      }
    ]
  }
}

<details> <summary>关于 finalRules 的说明</summary>

Xray-core v26.7.11+ 在 freedom（直连）出站中内置了私网地址阻断（defaultBlockPrivateRule），防止 VLESS/VMess 等代理被滥用扫描内网

这是一项安全增强，默认阻断所有对 127.0.0.1/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 等私有地址的访问。

本节 SSH 隧道依赖代理将流量路由到 127.0.0.1:<SSH_PORT>，必须在此阻断之上显式放行

配置中的 finalRules 即在 freedom 出站的终局检查阶段、在默认阻断之前插入一条 allow 规则

仅放行 127.0.0.1 和 ::1 的 TCP 端口范围（22-65535），不影响对其他私有 IP 的默认拦截

另外，如果你觉得 22-65535 范围太大了，可以只放行 SSHD 实际监听的单个端口

如果不配置此规则，SSH 隧道连接将被 Xray 拦截，日志表现为：
proxy/freedom: blocked target: tcp:127.0.0.1:<SSH_PORT>, blackholing connection for XXs

</details>

如果在 4.3 节使用了模板文件，这条规则已预置，只需确认即可。

改完后需要重启 Xray：

[!TIP] 关于 UDS 套接字独立目录设计： 在本方案的配置下，Xray 的套接字置于 /run/xray/，Caddy 的套接字置于 /run/caddy/。两者的运行目录生命周期已完全隔离，单独重启 Xray 或 Caddy 不再会清理对方的套接字，两服务可完全独立重启。

sudo systemctl restart xray

6.3 主通道：mihomo 隧道

6.3.1 VPS 端：确认 lo 环回放行

在第 2.4.2 节的初始化防火墙脚本中已全局放行了所有本地回环流量（iptables -A INPUT -i lo -j ACCEPT），因此经过代理隧道到达 VPS 本地接口的流量会被自动放行，此处仅需确认即可。

6.3.2 本地：mihomo 配置添加隧道

在 mihomo 配置文件的顶级字段添加：

tunnels:
  # 类型, 本地监听端口, VPS 目标（127.0.0.1 = lo 环回）, 出站节点/组
  - tcp,127.0.0.1:42222,127.0.0.1:<SSH_PORT>,<YOUR_PROXIES>
  - tcp,127.0.0.1:42223,[::1]:<SSH_PORT>,<YOUR_PROXIES>

42222/42223 是 Windows 本地监听端口

目标填 127.0.0.1（环回），不能填公网 IP

目标端口填 SSHD 实际监听的端口，执行 sudo ss -tnlp | grep sshd 确认

重启 mihomo。

6.3.3 本地：SSH config

在 Windows 编辑 ~/.ssh/config：

# 主通道：Mihomo 隧道（依赖本地 Mihomo 开对应端口）
Host my-vps-mihomo
    HostName 127.0.0.1
    Port 42222
    User <YOUR_USER>
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    ServerAliveInterval 30
    ServerAliveCountMax 3

Host my-vps-mihomo-v6
    HostName 127.0.0.1
    Port 42223
    User <YOUR_USER>
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    AddressFamily inet6
    ServerAliveInterval 30
    ServerAliveCountMax 3

6.3.4 测试主通道

ssh my-vps-mihomo

如果能登录则继续下一步

如果不能登录，请检查 mihomo 隧道配置和节点状态，修好再走

首次连接会提示主机指纹未识别，确认 yes 即可。如果之前通过同一端口连过其他机器，会报 REMOTE HOST IDENTIFICATION HAS CHANGED，需清除旧指纹：

ssh-keygen -R '[127.0.0.1]:42222'

6.4 备用通道：Cloudflare Tunnel

6.4.1 CF 面板创建隧道

Zero Trust → Networks（网络） → Connectors（连接器） → Create a tunnel（创建隧道）
隧道类型 → 选择 Cloudflared
命名 xxxx-ssh（这里的命名是隧道的显示名称，随便取） → Save tunnel（保存隧道）
CF 在这里会给出三个安装命令，复制粘贴执行前面两个即可

6.4.2 VPS 端安装 cloudflared

在 VPS 上执行安装命令（即 CF 给出的前两个命令）：

# 添加 Cloudflare apt 源
sudo mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-public-v2.gpg | sudo tee /usr/share/keyrings/cloudflare-public-v2.gpg >/dev/null
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-public-v2.gpg] https://pkg.cloudflare.com/cloudflared any main' | sudo tee /etc/apt/sources.list.d/cloudflared.list

# 安装 cloudflared
sudo apt-get update && sudo apt-get install cloudflared -y

# 注册为系统服务（开机自启）
sudo cloudflared service install <YOUR_TOKEN>

# 确认服务已启动
sudo systemctl status cloudflared

当执行完第二个命令之后，VPS 终端会输出类似：

... INF Using Systemd
... INF Linux service for cloudflared installed successfully

同时 CF 面板应显示绿色的「已连接」。

6.4.3 面板配置路由

现在配置路由，在 Tunnel 面板的路由隧道页面，按以下配置 Public Hostname（主机名）：

字段	值
Subdomain（子域名）	`<YOUR_SSH_SUBDOMAIN>`（子域名前缀，可自己取）
Domain（域）	`<YOUR_DOMAIN>` （下拉选择你已托管的域名）
Path（路径）	留空
Type（类型）	`SSH`
URL	`localhost:<SSH_PORT>`（填你设定的 SSH 端口）

6.4.4 本地 SSH config + 测试备用通道

在 Windows 本地 ~/.ssh/config 添加：

Host my-vps-cf
    HostName <YOUR_SSH_SUBDOMAIN>.<YOUR_DOMAIN>
    User <YOUR_USER>
    IdentityFile ~/.ssh/id_ed25519_vps
    IdentitiesOnly yes
    ProxyCommand cloudflared access ssh --hostname %h
    ServerAliveInterval 30
    ServerAliveCountMax 3

测试：

ssh my-vps-cf

如果能登录则继续下一步

如果不能登录，请检查 cloudflared 状态和 Tunnel 路由配置

6.5 公网 SSH 隐身

确认两条通道都可用后，执行以下操作封闭公网 SSH 端口：

# 确认 SSHD 实际监听的端口
sudo ss -tnlp | grep sshd

# 赋值 SSHD 实际监听端口到本会话临时变量
SSH_PORT=$(sudo ss -tnlp | grep sshd | sed 's/.*:\([0-9]*\) .*/\1/' | head -1)

# 公网 DROP — 排除 lo 环回，避免误伤隧道流量
sudo iptables -I INPUT 2 ! -i lo -p tcp --dport $SSH_PORT -j DROP
sudo ip6tables -I INPUT 2 ! -i lo -p tcp --dport $SSH_PORT -j DROP

# 持久化
sudo netfilter-persistent save

[!CAUTION] ~~我已踩过的坑~~：

漏写 ! -i lo：公网 DROP 同时也会丢弃 lo 环回上的隧道流量，两条通道都会断

端口写成 22：SSHD 实际可能监听在高位端口（如 54321），写错端口等于没封

在配好通道之前执行：没有任何逃生通道就封门，等于把自己锁在外面

如果误操作导致失联，只能通过 VPS 厂商的 Rescue Mode 或 VNC 进入服务器，挂载原系统磁盘删除 /etc/iptables/rules.v4 和 /etc/iptables/rules.v6 来恢复。部分厂商可能不提供 Rescue/VNC，这种情况下只能重装系统。 请务必确认两条通道都测试通过后，再执行以下命令。

查看规则确认：

sudo iptables -L INPUT -v -n --line-numbers

预期规则 2 应为 DROP tcp dpt:<SSH_PORT> 且 !lo。

6.6 卸载 Fail2ban

封门后，公网 <SSH_PORT> 已被 iptables DROP，外部扫描连 SYN 包都到不了 SSHD，/var/log/auth.log 不会有任何失败记录，Fail2ban 已无用武之地。

# 停止并禁用
sudo systemctl stop fail2ban
sudo systemctl disable fail2ban

# 卸载
sudo apt purge fail2ban -y

# 删除配置残留
sudo rm -rf /etc/fail2ban

# 确认已消失
sudo systemctl status fail2ban  # 应显示 Unit not found 或 inactive

6.7 验证

# 主力通道 — 应正常登录
ssh my-vps-mihomo

# 备用通道 — 应正常登录
ssh my-vps-cf

# 直连 — 应超时（Connection timed out）
ssh <YOUR_USER>@<VPS_IP> -p <SSH_PORT>

【完】

友情推荐

使用 Nginx 作为反代的教程：
- Debian 13 VPS 安全加固与 Xray VLESS + REALITY 手动部署
  - 本文从中学习到了 read -rsp 静默输入这一用法
ECH 相关教程：
- XHTTP + CDN + ECH配置教程

mihomo 分流导致 Grok 下载失败排查

Wed, 17 Jun 2026 00:00:00 GMT

mihomo 代理核心有一个安卓应用黑白名单分流的功能，甚是好用，开启后核心占用更低更有效率，还能预防部分国产app出问题

但是，这段时间我发现从Grok下载生成的图片，全部被小米澎湃魔改的 下载管理 给接手了，手机没root，尚不知道如何更改这个默认的调用接管

接手也就算了，我本以为将 下载管理（前端） 、 下载管理程序（后端） 加入mihomo 的白名单允许进入代理 "acceptList" 即可

但没想到依然下载失败，好吧，也许某个环节有问题，那我试试禁用黑白名单分流功能

哎，结果当然是成功下载！

真的是我的黑白名单有问题啊……

接着我打开 Debug 日志，终于发现端倪：

[TCP] 198.51.100.1:36532(com.android.soundpicker) --> assets.x.ai:443 match RuleSet(ai_chat_not_cn) using AIGC

我干！Grok你为什么要走 soundpicker （声音）来下载资源？？？？

于是我将它放入了白名单，本以为这次万事成功，却没想到还是下载失败

@#￥%%……&……￥%#$#@#$%^&W……#

经过我一番实验（ ~~其实是逐个排除~~ ），最终发现还必须将 com.android.mtp 这个应用放入白名单……

结论就是，下列应用也许都需要加入白名单：

com.android.soundrecorder          # 声音
com.android.providers.downloads    # 下载管理程序（后端）
com.android.providers.downloads.ui # 下载管理（前端）
com.android.providers.media        # 不知道是什么
com.android.mtp                    # MTP主机

关于 PulsedMedia Seedbox 的一些使用记录

Sun, 14 Jun 2026 00:00:00 GMT

本文记录 PulsedMedia 旗下两款低价 Seedbox 套餐的实际部署与使用状况，并附带相关软硬件配置及磁盘 I/O 测试数据以供参考。

涉及机型：

M1000 SSD 230G：购买于 2026-05-29，月付 1.99 欧元。
1 TB HDD RAID5：购买于 2026-06-02，月付 1.99 欧元。
两款套餐均无 root 权限，预装 qBittorrent v4.5.2。

不得不吐槽，简单的 PayPal 退款申请，来回拉扯半个多月

一眼顶真，鉴定为蠢蠢的大粪

附上我提出的三个工单情况总结：

工单 #525571

事实陈述：

用户新开通的 “Eternal Väinämöinen - Seedbox 1TB HDD” 服务存在 Dashboard 界面损坏问题，表现为顶部导航标签页（ruTorrent、File Manager 等）缺失，且 qBittorrent 标签页在 DOM 中完全缺失。直接访问 qBittorrent 的 URL 会返回 404 错误。用户通过 Chrome 开发者工具定位原因为 CSS/JS 加载失败及反向代理未配置。最终，用户通过修改配置文件自行修复了该问题。
部分原文：

"Out of the box, the dashboard is completely broken, specifically missing the top navigation tabs... The required .tabs-nav class is not being injected into the <ul>... qBittorrent tab is entirely missing from the dashboard's index.php DOM."

"I have already patched the issues myself... I manually routed the traffic via ~/.lighttpd/custom.d/ and restored the frontend using .customFrames."
事件节点：
- 2026年6月2日 03:20：用户提交开单申请，报告界面损坏并给出了 Chrome F12 的排查结果。
- 2026年6月2日 04:13：用户追加信息，报告 qBittorrent 反向代理未配置导致 404 错误。
- 2026年6月2日 05:58：用户更新状态，表明已自行完成修复，并指出系统部署脚本存在 bug。

工单 #705896

事实陈述：用户因磁盘写入速度过慢（平均 7.5MB/s），在 14 天退款保障期内申请取消服务并退款到原 PayPal 账户。AI 客服批准了退款，但随后由于支付网关自动退款失败（原因为跨境货币不匹配），退款流程被反复积压。在历时 18 天的沟通中，全程由 AI 客服处理，期间用户明确拒绝账户余额（Account Credit）形式的补偿。最终因人工手动退款未能及时到账，用户在 PayPal 发起争议申诉。
部分原文：

"Since I am canceling within your 14-day risk-free period, I am formally requesting a full refund to my original payment method..."

"Your original payment went through PayPal in a different currency than the one our billing runs in. Our automated refund can only send a partial-amount refund, and PayPal rejects a partial refund when the currencies do not match."

"I have just opened disputes on PayPal for both transactions and attached your written approvals. PayPal can handle this for you. Do not reply to me again."
重要事件节点：
- 2026年6月7日 06:15：用户因写入速度慢申请退款。
- 2026年6月7日 09:24：AI 客服确认批准全额退款，预计需要几个工作日。
- 2026年6月12日 18:28：用户追问进度；AI 客服回复自动退款被拒，已升级至财务团队进行手动处理。
- 2026年6月17日 08:31：用户再次催促，表示已过去 10 天且无法接受全额 AI 机器人的机械回复，明确拒绝账户余额。
- 2026年6月25日 14:38：用户爆发，谴责 18 天来毫无进展且被真人客服无视；AI 客服于 15:08 回复解释了货币转换失败的技术原因，并表示已将此笔及另一笔一并加急催促手动处理。
- 2026年6月25日 15:48：用户回复已在 PayPal 提起争议，要求其停止回复，工单随后关闭。

工单 #842846

事实陈述：

用户报告其 M1000 SSD 230G 服务器彻底掉线（Web UI 超时且 SSH 连接被关闭），并对后台缺少自助重启按钮提出异议。AI 客服确认是整台宿主机级别的故障。由于服务器连续几天离线，用户在 14 天保障期内提出退款并取消服务。该工单的退款同样由于支付网关货币不匹配原因导致自动退款失败，经历了相同的 AI 话术流转与长达十余天的手动延期，最终处理结果与工单 #705896 同步，由用户发起 PayPal 争议结束。
部分原文：

"My SSD seedbox is completely down and inaccessible... It is highly frustrating and unacceptable that there isn't even a basic reboot button in the client area..."

"The server is currently unreachable on every level... This is now with our operations team to bring the server back online."

"The server has been offline for several days... I do not wish to continue waiting for the repair... I am requesting a refund under the guarantee and cancellation of the service."
事件节点：
- 2026年6月7日 04:55：用户开单报告 SSD 服务器完全断连，要求执行硬重启。
- 2026年6月7日 09:13：AI 客服确认整体节点下线，已移交运维团队，并解释由于是共享服务器故未提供自助重启按钮。
- 2026年6月8日 04:05：用户表态不愿继续等待修复，正式申请 14 天保证期内退款。
- 2026年6月8日 04:24：AI 客服批准退款，并透露自动退款被拒，需转为财务手动处理。
- 2026年6月12日 & 17日：用户在多日未收到款项后进行跟进催促，重申不接受账户余额。
- 2026年6月20日 12:11：AI 客服就手动退款积压致歉，并同步说明了 PayPal 汇率/货币转换拒绝自动退款的具体技术原因。
- 2026年6月25日 15:48：用户在该工单发出最后通牒（内容与 #705896 一致），表明已将两笔交易全部诉诸 PayPal 争议中心，工单结案。

HDD 活动款

HDD 活动款实例在交付后存在自动化部署不完整的问题：

控制面板 UI 异常。
qBittorrent 无法通过 Web 面板正常访问。
缺少 Lighttpd 反向代理配置与自定义 UI 配置文件。

提单后未能获得即时响应，最终通过 SSH 登录实例自行修复代理配置。根据 Discord 社区反馈，该故障在同批次活动机中较为普遍，非个案。

可供购买前自行评估。

SSD 款

SSD 套餐于 2026-06-07 发生失联故障：

实例无法访问，SSH 连接提示 Connection closed by remote host。
控制面板未提供实例重启（Reboot）功能。
提交工单后，由其 AI 客服确认该故障为宿主机（Node）级别网络/硬件宕机。
服务条款（TOS）中规定此类故障的周末首期响应目标（SLA）为 72 小时内，且非 24/7 客服模式。

实测数据

以下数据均为 SSH 登录后实际执行命令获得

项目	SSD Seedbox	HDD Seedbox
套餐名称	M1000 SSD 230G	1 TB HDD RAID5
地区	EU, Finland	EU, Finland
套餐存储	230 GiB Storage	1 TB HDD RAID5
套餐内存	1 GB RAM	1 GB RAM
套餐网络	1 Gbps Network	10 Gbps shared
套餐流量	4400 GiB Monthly Torrent Traffic (only upload counted)	10 TB traffic / month
CPU 配额	未说明	2 CPU cores
I/O 优先级	未说明	Low (100)
CPU 优先级	未说明	Medium (500)
主机名	3-229mighty.pulsedmedia.com	lt3-1-107-199clomarthu.pulsedmedia.com
操作系统	Debian GNU/Linux 12 (bookworm)	Debian GNU/Linux 12 (bookworm)
内核	5.10.0-42-amd64	6.1.0-43-amd64
虚拟化	none	kvm
架构	x86_64	x86_64
CPU 型号	AMD Ryzen 5 3400G with Radeon Vega Graphics	未提供
可见 CPU 数	8	未提供
总内存（free -h）	31 GiB	69 GiB
Swap	90 GiB	7.1 GiB

存储信息

项目	SSD Seedbox	HDD Seedbox
数据盘	md0	vda
数据盘大小	3.6T	46T
数据盘文件系统	ext4	ext4
数据盘挂载点	/home	/home
数据盘已用	2.1T	28T
数据盘可用	1.6T	19T
数据盘使用率	58%	60%
系统盘	/dev/nvme0n1p2	/dev/sda1
系统盘大小	98G	28G
系统盘已用	21G	26G
系统盘可用	73G	312M
系统盘使用率	22%	99%

物理磁盘

项目	SSD Seedbox	HDD Seedbox
磁盘 1	Samsung SSD 870 QVO 2TB	QEMU HARDDISK 35G
磁盘 2	Samsung SSD 870 QVO 2TB	vda 45.5T
系统盘型号	ADATA SX8200PNP 238.5G	QEMU HARDDISK
RAID 信息	md0: raid0 sdb[1] sda[0]	无 md 设备

dd 测试结果

测试项目	SSD Seedbox	HDD Seedbox
写入命令	`dd if=/dev/zero of=test.img bs=1G count=1 oflag=direct`	`dd if=/dev/zero of=test.img bs=1G count=1 oflag=direct`
写入结果①	169 MB/s	7.5 MB/s<br />
写入结果②	250 MB/s	-
读取命令	`dd if=test.img of=/dev/null bs=1G iflag=direct`	`dd if=test.img of=/dev/null bs=1G iflag=direct`
读取结果	847 MB/s	78.5 MB/s

调度器

项目	SSD Seedbox	HDD Seedbox
调度器输出	`none`、`bfq`、`mq-deadline`	`none`、`bfq`、`mq-deadline`

RAID 信息

项目	SSD Seedbox	HDD Seedbox
RAID 类型	RAID0	无法获取
RAID 设备	md0	无法获取
成员盘	sda、sdb	无法获取
md0 容量	3906766848 blocks	无法获取

<details> <summary>点击查看原始命令输出</summary>

# SSD
username@domain:~$ uname -a
hostnamectl
systemd-detect-virt
Linux domain.pulsedmedia.com 5.10.0-42-amd64 #1 SMP Debian 5.10.251-4 (2026-05-08) x86_64 GNU/Linux
 Static hostname: domain.pulsedmedia.com
       Icon name: computer-desktop
         Chassis: desktop 🖥️
      Machine ID: 7f2bf056ed6e4769935f46ca43b17550
         Boot ID: f31f7a217eb64698bc6cac84adb74996
Operating System: Debian GNU/Linux 12 (bookworm)
          Kernel: Linux 5.10.0-42-amd64
    Architecture: x86-64
Firmware Version: P3.60
none
username@domain:~$ lscpu
Architecture:                x86_64
  CPU op-mode(s):            32-bit, 64-bit
  Address sizes:             43 bits physical, 48 bits virtual
  Byte Order:                Little Endian
CPU(s):                      8
  On-line CPU(s) list:       0-7
Vendor ID:                   AuthenticAMD
  Model name:                AMD Ryzen 5 3400G with Radeon Vega Graphi
                             cs
    CPU family:              23
    Model:                   24
    Thread(s) per core:      2
    Core(s) per socket:      4
    Socket(s):               1
    Stepping:                1
    Frequency boost:         enabled
    CPU(s) scaling MHz:      37%
    CPU max MHz:             3700.0000
    CPU min MHz:             1400.0000
    BogoMIPS:                7400.09
    Flags:                   fpu vme de pse tsc msr pae mce cx8 apic s
                             ep mtrr pge mca cmov pat pse36 clflush mm
                             x fxsr sse sse2 ht syscall nx mmxext fxsr
                             _opt pdpe1gb rdtscp lm constant_tsc rep_g
                             ood nopl nonstop_tsc cpuid extd_apicid ap
                             erfmperf pni pclmulqdq monitor ssse3 fma
                             cx16 sse4_1 sse4_2 movbe popcnt aes xsave
                              avx f16c rdrand lahf_lm cmp_legacy svm e
                             xtapic cr8_legacy abm sse4a misalignsse 3
                             dnowprefetch osvw skinit wdt tce topoext
                             perfctr_core perfctr_nb bpext perfctr_llc
                              mwaitx cpb hw_pstate ssbd ibpb vmmcall f
                             sgsbase bmi1 avx2 smep bmi2 rdseed adx sm
                             ap clflushopt sha_ni xsaveopt xsavec xget
                             bv1 clzero irperf xsaveerptr arat npt lbr
                             v svm_lock nrip_save tsc_scale vmcb_clean
                              flushbyasid decodeassists pausefilter pf
                             threshold avic v_vmsave_vmload vgif overf
                             low_recov succor smca sme sev sev_es ibpb
                             _exit_to_user
Virtualization features:
  Virtualization:            AMD-V
Caches (sum of all):
  L1d:                       128 KiB (4 instances)
  L1i:                       256 KiB (4 instances)
  L2:                        2 MiB (4 instances)
  L3:                        4 MiB (1 instance)
NUMA:
  NUMA node(s):              1
  NUMA node0 CPU(s):         0-7
Vulnerabilities:
  Gather data sampling:      Not affected
  Indirect target selection: Not affected
  Itlb multihit:             Not affected
  L1tf:                      Not affected
  Mds:                       Not affected
  Meltdown:                  Not affected
  Mmio stale data:           Not affected
  Reg file data sampling:    Not affected
  Retbleed:                  Mitigation; untrained return thunk; SMT v
                             ulnerable
  Spec rstack overflow:      Mitigation; safe RET
  Spec store bypass:         Mitigation; Speculative Store Bypass disa
                             bled via prctl and seccomp
  Spectre v1:                Mitigation; usercopy/swapgs barriers and
                             __user pointer sanitization
  Spectre v2:                Mitigation; Retpolines, IBPB conditional,
                              STIBP disabled, RSB filling, PBRSB-eIBRS
                              Not affected
  Srbds:                     Not affected
  Tsa:                       Not affected
  Tsx async abort:           Not affected
  Vmscape:                   Mitigation; IBPB before exit to userspace
username@domain:~$ cat /proc/cpuinfo
processor       : 0
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1375.589
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 0
cpu cores       : 4
apicid          : 0
initial apicid  : 0
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 1
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1385.318
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 1
cpu cores       : 4
apicid          : 2
initial apicid  : 2
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 2
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1259.670
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 2
cpu cores       : 4
apicid          : 4
initial apicid  : 4
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 3
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1373.472
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 3
cpu cores       : 4
apicid          : 6
initial apicid  : 6
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 4
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1381.508
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 0
cpu cores       : 4
apicid          : 1
initial apicid  : 1
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 5
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1381.814
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 1
cpu cores       : 4
apicid          : 3
initial apicid  : 3
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 6
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1259.581
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 2
cpu cores       : 4
apicid          : 5
initial apicid  : 5
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

processor       : 7
vendor_id       : AuthenticAMD
cpu family      : 23
model           : 24
model name      : AMD Ryzen 5 3400G with Radeon Vega Graphics
stepping        : 1
microcode       : 0x8108102
cpu MHz         : 1383.956
cache size      : 512 KB
physical id     : 0
siblings        : 8
core id         : 3
cpu cores       : 4
apicid          : 7
initial apicid  : 7
fpu             : yes
fpu_exception   : yes
cpuid level     : 13
wp              : yes
flags           : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ht syscall nx mmxext fxsr_opt pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid extd_apicid aperfmperf pni pclmulqdq monitor ssse3 fma cx16 sse4_1 sse4_2 movbe popcnt aes xsave avx f16c rdrand lahf_lm cmp_legacy svm extapic cr8_legacy abm sse4a misalignsse 3dnowprefetch osvw skinit wdt tce topoext perfctr_core perfctr_nb bpext perfctr_llc mwaitx cpb hw_pstate ssbd ibpb vmmcall fsgsbase bmi1 avx2 smep bmi2 rdseed adx smap clflushopt sha_ni xsaveopt xsavec xgetbv1 clzero irperf xsaveerptr arat npt lbrv svm_lock nrip_save tsc_scale vmcb_clean flushbyasid decodeassists pausefilter pfthreshold avic v_vmsave_vmload vgif overflow_recov succor smca sme sev sev_es ibpb_exit_to_user
bugs            : sysret_ss_attrs null_seg spectre_v1 spectre_v2 spec_store_bypass retbleed srso div0 ibpb_no_ret vmscape
bogomips        : 7400.09
TLB size        : 2560 4K pages
clflush size    : 64
cache_alignment : 64
address sizes   : 43 bits physical, 48 bits virtual
power management: ts ttp tm hwpstate eff_freq_ro [13] [14]

username@domain:~$ free -h
               total        used        free      shared  buff/cache   available
Mem:            31Gi       6.6Gi       6.9Gi       119Mi        21Gi        24Gi
Swap:           90Gi       2.5Gi        88Gi
username@domain:~$ cat /proc/meminfo | head
MemTotal:       32796680 kB
MemFree:         7225136 kB
MemAvailable:   25916656 kB
Buffers:          543464 kB
Cached:         20862400 kB
SwapCached:       188668 kB
Active:         10353420 kB
Inactive:       13580724 kB
Active(anon):     963236 kB
Inactive(anon):  1697636 kB
username@domain:~$ lsblk -o NAME,SIZE,TYPE,MOUNTPOINT
NAME          SIZE TYPE  MOUNTPOINT
sda           1.8T disk
└─md0         3.6T raid0 /home
sdb           1.8T disk
└─md0         3.6T raid0 /home
nvme0n1     238.5G disk
├─nvme0n1p1   499M part
├─nvme0n1p2  99.5G part  /
└─nvme0n1p3  90.8G part  [SWAP]
username@domain:~$ cat /sys/block/*/queue/scheduler
none
[none] mq-deadline bfq
mq-deadline [bfq] none
mq-deadline [bfq] none
username@domain:~$ lsblk -d -o NAME,MODEL,SIZE
NAME    MODEL                     SIZE
sda     Samsung SSD 870 QVO 2TB   1.8T
sdb     Samsung SSD 870 QVO 2TB   1.8T
nvme0n1 ADATA SX8200PNP         238.5G
username@domain:~$ sudo smartctl -i /dev/sda
[sudo] password for username:
username is not in the sudoers file.
username@domain:~$ cat /proc/mdstat
Personalities : [raid0] [linear] [multipath] [raid1] [raid6] [raid5] [raid4] [raid10]
md0 : active raid0 sdb[1] sda[0]
      3906766848 blocks super 1.2 512k chunks

unused devices: <none>
username@domain:~$ df -Th
Filesystem     Type      Size  Used Avail Use% Mounted on
udev           devtmpfs   16G     0   16G   0% /dev
tmpfs          tmpfs     3.2G   12M  3.2G   1% /run
/dev/nvme0n1p2 ext4       98G   21G   73G  22% /
tmpfs          tmpfs      16G     0   16G   0% /dev/shm
tmpfs          tmpfs     5.0M  4.0K  5.0M   1% /run/lock
tmpfs          tmpfs     4.0M     0  4.0M   0% /sys/fs/cgroup
/dev/md0       ext4      3.6T  2.1T  1.6T  58% /home
tmpfs          tmpfs     3.2G   12K  3.2G   1% /run/user/1007
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1000
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1021
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1036
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1035
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1042
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1100
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1109
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1085
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1112
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1119
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1120
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1116
tmpfs          tmpfs     3.2G     0  3.2G   0% /run/user/0
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1121
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1122
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1069
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1123
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1124
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1125
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1126
tmpfs          tmpfs     3.2G   44K  3.2G   1% /run/user/1127
username@domain:~$ fio --name=randread \
    --ioengine=libaio \
    --rw=randread \
    --bs=4k \
    --size=1G \
    --numjobs=1 \
    --runtime=30 \
    --time_based
-bash: fio: command not found
username@domain:~$ dd if=/dev/zero of=test.img bs=1G count=1 oflag=direct status=progress
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 6 s, 169 MB/s
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 6.35951 s, 169 MB/s
username@domain:~$ rm test.img
username@domain:~$ dd if=test.img of=/dev/null bs=1G iflag=direct status=progress
dd: failed to open 'test.img': No such file or directory
username@domain:~$ dd if=/dev/zero of=test.img bs=1G count=1 oflag=direct status=progress
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 4 s, 250 MB/s
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 4.30053 s, 250 MB/s
username@domain:~$ dd if=test.img of=/dev/null bs=1G iflag=direct status=progress
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 1 s, 847 MB/s
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 1.26795 s, 847 MB/s
username@domain:~$ rm test.img

# HDD
username@domain:~$ uname -a
hostnamectl
systemd-detect-virt
Linux domain.pulsedmedia.com 6.1.0-43-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.162-1 (2026-02-08) x86_64 GNU/Linux
 Static hostname: domain.pulsedmedia.com
       Icon name: computer-vm
         Chassis: vm 🖴
      Machine ID: 8448a59d627540e8ad0e80e8678fef52
         Boot ID: c32dafcab3e0436b8e3a87fe0b44cdf2
  Virtualization: kvm
Operating System: Debian GNU/Linux 12 (bookworm)
          Kernel: Linux 6.1.0-43-amd64
    Architecture: x86-64
 Hardware Vendor: QEMU
  Hardware Model: Standard PC _i440FX + PIIX, 1996_
Firmware Version: rel-1.16.2-0-gea1b7a073390-prebuilt.qemu.org
kvm
username@domain:~$ free -h
               total        used        free      shared  buff/cache   available
Mem:            69Gi       7.0Gi        42Gi       131Mi        23Gi        62Gi
Swap:          7.1Gi       2.5Gi       4.5Gi
username@domain:~$ cat /proc/meminfo | head
MemTotal:       72490320 kB
MemFree:        44875384 kB
MemAvailable:   65076480 kB
Buffers:          586840 kB
Cached:         22501456 kB
SwapCached:       497424 kB
Active:         12847892 kB
Inactive:       12605524 kB
Active(anon):    2257560 kB
Inactive(anon):   251288 kB
username@domain:~$ cat /sys/block/*/queue/scheduler
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
[none] mq-deadline bfq
mq-deadline [bfq] none
mq-deadline [bfq] none
mq-deadline [bfq] none
username@domain:~$ lsblk -d -o NAME,MODEL,SIZE
NAME MODEL          SIZE
sda  QEMU HARDDISK   35G
sr0  QEMU DVD-ROM  1024M
vda                45.5T
username@domain:~$ cat /proc/mdstat
Personalities : [linear] [multipath] [raid0] [raid1] [raid6] [raid5] [raid4] [raid10]
unused devices: <none>
username@domain:~$ df -Th
Filesystem     Type      Size  Used Avail Use% Mounted on
udev           devtmpfs   48G     0   48G   0% /dev
tmpfs          tmpfs     9.5G   16M  9.5G   1% /run
/dev/sda1      ext4       28G   26G  312M  99% /
tmpfs          tmpfs      48G     0   48G   0% /dev/shm
tmpfs          tmpfs     5.0M  4.0K  5.0M   1% /run/lock
tmpfs          tmpfs     4.0M     0  4.0M   0% /sys/fs/cgroup
/dev/vda       ext4       46T   28T   19T  60% /home
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1006
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1017
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1011
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1018
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1019
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1025
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1021
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1022
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1030
tmpfs          tmpfs     9.5G     0  9.5G   0% /run/user/0
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1031
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1032
tmpfs          tmpfs     9.5G   24K  9.5G   1% /run/user/1009
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1033
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1034
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1035
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1036
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1037
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1038
tmpfs          tmpfs     9.5G   44K  9.5G   1% /run/user/1039
username@domain:~$ dd if=/dev/zero of=test.img bs=1G count=1 oflag=direct status=progress
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 144 s, 7.5 MB/s
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 143.58 s, 7.5 MB/s
username@domain:~$ dd if=test.img of=/dev/null bs=1G iflag=direct status=progress
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 14 s, 78.5 MB/s
1+0 records in
1+0 records out
1073741824 bytes (1.1 GB, 1.0 GiB) copied, 13.6841 s, 78.5 MB/s
username@domain:~$ rm test.img

</details>

QQ微信在Chrome网页无法调用插件扫码登录

Mon, 27 Apr 2026 00:00:00 GMT

Chrome 147.0.7727.102 默认启用 #local-network-access-check），

拦截了插件对 open.weixin.qq.com 的跨域/本地网络请求，导致 DNS 解析失败假象

解决方法：在 chrome://flags 中将 #local-network-access-check）设为 Disabled 并重启浏览器，即可恢复插件扫码登录功能

mihomo 链式代理（dialer-proxy）

Fri, 06 Mar 2026 00:00:00 GMT

概述

dialer-proxy 是 mihomo 内置于每个代理节点上的参数

当节点配置了此参数时，该节点的底层网络连接会通过指定的另一个代理建立，而不是直接从本机发出。

节点 A (dialer-proxy → 节点 B)
         ↓
节点 A 的底层连接：本地 → 节点 B 服务端 → 节点 A 服务端 → 目标

在这个过程中：

目标网站看到的来源 IP 是节点 A 服务端的 IP
本地网络运营商只能看到你在连接节点 B，不知道节点 A 和目标的存在
节点 B 的服务端知道自己转发了流量到节点 A，但不知道最终访问的是什么目标

`dialer-proxy` 值

值可以为任意已定义的代理节点名称或策略组名称。

proxies:
  - name: "落地节点"
    dialer-proxy: 拨号策略组
    # ... 其他参数

  - name: "前置节点"
    # ...

proxy-groups:
  - name: 拨号策略组
    type: select
    proxies:
      - 前置节点

当 dialer-proxy 指向策略组时，内核会在每次建立连接时根据该策略组的选中的节点进行拨号，同时允许在运行时通过切换策略组中的节点来更换前置链路。

限制

不允许在策略组上设置 `dialer-proxy`

if _, ok := config["dialer-proxy"]; ok {
    log.Errorln("The group [%s] with dialer-proxy configuration is not allowed, ...")
}

dialer-proxy 只能写在代理节点上，策略组上写此字段会报错且不生效。

禁止循环引用

return fmt.Errorf("proxy [%s] has circular dialer-proxy dependency", name)

如果 dialer-proxy 引用了自身，或引用的链路上存在环，启动时会报错并退出，允许链式嵌套，但不可成环。

不支持 relay 类型（已移除）

return nil, fmt.Errorf("%w: The group [%s] with relay type was removed, please using dialer-proxy instead", ...)

过往的 relay 策略组类型已被移除，应统一使用 dialer-proxy 实现链式代理。

适用场景

通过订阅节点中转自建节点

当自建 VPS 的 IP 被封禁（或被限速）且不想更换 IP 时，可通过已有的机场订阅节点作为前置，中转流量到自建节点落地：

proxy-providers:
  airport:
    type: http
    url: "https://example.com/sub"

proxy-groups:
  - name: 拨号组
    type: select
    use: [airport]

proxies:
  - name: "落地节点"
    type: ss
    server: <YOUR_VPS_IP>
    port: 443
    cipher: chacha20-ietf-poly1305
    password: <YOUR_PASSWORD>
    dialer-proxy: 拨号组

rules:
  - MATCH,落地节点

流量路径为：

本地 → 订阅节点（前置）→ 自建 VPS 落地 → 目标网站

[!TIP] 前置节点本质上是在为落地节点建立 TCP 隧道，因此落地节点应选择不依赖 UDP 的协议（SS/VMess/VLESS over TCP 等）。

若落地节点使用 hy2/tuic/wireguard 等纯 UDP 协议，或带有 REALITY/shadowtls 等 TLS 伪装层，前置节点（订阅节点）很可能无法正确转发这些连接。

落地节点推荐使用 ss + chacha20-ietf-poly1305 或 vmess + tcp。

总控模式切换

个人玩法，不泛用

当同时维护自建直连、链式代理、机场订阅三种模式时，可借助 proxy-providers 的 override 机制，对同一份节点文件分别产生"直连"和"链式"两组配置：

proxy-providers:
  # 机场订阅
  airport:
    type: http
    url: "https://example.com/sub"

  # 自建节点（原始）
  mine:
    type: file
    path: ./proxy_provider/mine.yaml

  # 自建节点（加了 dialer-proxy，用于链式模式）
  mine-land:
    type: file
    path: ./proxy_provider/mine.yaml
    override:
      dialer-proxy: 链式前置

proxy-groups:
  # 总开关
  - name: PROXY
    type: select
    proxies: [机场节点, 链式代理, 自建直连]

  - name: 机场节点
    type: select
    use: [airport]

  - name: 链式前置
    type: select
    use: [airport]

  - name: 链式代理
    type: select
    use: [mine-land]     # 引用加了 override 的文件

  - name: 自建直连
    type: select
    use: [mine]           # 引用原始文件（无 dialer-proxy）

rules:
  - DOMAIN-SUFFIX,google.com,PROXY
  - MATCH,PROXY

override 会对 provider 中所有节点批量添加 dialer-proxy 字段（代码位置 adapter/provider/override.go:58-59）。同一份 mine.yaml 文件被引用两次，一次保持原样（自建直连），一次批量添加拨号配置（链式模式）。

flowchart LR
    U[客户端流量]
    P[PROXY 总开关]

    A[机场节点]
    L[链式代理<br/>mine-land]
    M[自建直连<br/>mine]

    D[链式前置]
    AS[机场服务端]
    LS[落地服务端]
    MS[自建服务端]
    T[目标网站]

    U --> P
    P --> A
    P --> L
    P --> M

    A --> AS --> T
    M --> MS --> T
    L --> D --> AS --> LS --> T

参考

虚空终端

友情推荐草履虫也能学会的 Clash 配置：UI界面一键配置精确分流、链式代理

Windows 系统下通过注册表配置 NTP 时间同步

Wed, 08 Oct 2025 00:00:00 GMT

本文记录 Windows 系统下通过注册表配置 NTP 时间服务器及同步周期的步骤。适用于工作组环境或非域成员主机。

注册表配置项

打开 regedit 定位并修改以下路径中的项。

1. 配置时间服务器与类型

路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters

NtpServer (REG_SZ)：指定时间服务器地址。多个地址以空格分隔，且每个地址后须追加位标志 ,0x9（主动同步）。
- 推荐值：ntp.ntsc.ac.cn,0x9 ntp.aliyun.com,0x9 time1.cloud.tencent.com,0x9
Type (REG_SZ)：NTP

2. 配置同步轮询周期与客户端状态

路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient

SpecialPollInterval (REG_DWORD)：同步周期（单位：秒）。
- 推荐值：十进制 3600（1小时）或 1800（30分钟）。
Enabled (REG_DWORD)：1
CrossSiteSyncFlags (REG_DWORD)：2

快捷配置脚本 (.reg)

新建文本文件，命名为 w32time.reg，写入以下内容并双击导入：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters]
"NtpServer"="ntp.ntsc.ac.cn,0x9 ntp.aliyun.com,0x9 time1.cloud.tencent.com,0x9"
"Type"="NTP"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders\NtpClient]
"Enabled"=dword:00000001
"SpecialPollInterval"=dword:00000e10
"CrossSiteSyncFlags"=dword:00000002

服务重启与状态查询

以管理员权限运行命令提示符（CMD）执行以下命令使配置生效：

# 重启时间服务
net stop w32time && net start w32time

# 强制立即进行时间同步
w32tm /resync

# 查询当前生效的配置结构
w32tm /query /configuration

# 查询时间同步状态与源
w32tm /query /status

注意

防火墙策略须放行 UDP 端口 123 出站访问。
域环境（Active Directory）下此配置会被组策略强制覆盖，此方法仅对工作组模式生效。

最后可访问 TIME.IS 了解本机时间准确性

仅在需要时激活 Conda 环境

Sat, 26 Jul 2025 00:00:00 GMT

Conda 默认生成的 conda init 初始化配置会随终端每次启动而加载，导致 PowerShell 出现明显的启动延迟。

本配置将自动加载改为手动别名激活。

配置文件修改

编辑 PowerShell 配置文件 $PROFILE。注释掉 Conda 默认生成的初始化 Hook 脚本块，并写入自定义的别名激活函数：

# region conda initialize (disabled by default)
# !! Contents within this block are managed by 'conda init' !!
# If (Test-Path "D:\Develop\miniconda3\Scripts\conda.exe") {
#     (& "D:\Develop\miniconda3\Scripts\conda.exe" "shell.powershell" "hook") | Out-String | ?{$_} | Invoke-Expression
# }
# endregion

# Custom Conda Loader
function global:conda-init {
    Write-Host "Initializing Conda..." -ForegroundColor Green
    $condaScript = "D:\Develop\miniconda3\Scripts\conda.exe"
    if (Test-Path $condaScript) {
        (& "$condaScript" "shell.powershell" "hook") | Out-String | Where-Object { $_ } | Invoke-Expression
        Write-Host "Conda initialized." -ForegroundColor Cyan
    } else {
        Write-Error "Conda executable not found at: $condaScript"
    }
}
Set-Alias -Name ci -Value conda-init

注：请根据实际安装路径修改 $condaScript 变量中的绝对路径。

使用方法

日常启动：直接打开 PowerShell，此时不再初始化 Conda，Shell 启动延迟消失。
按需初始化：在需要执行 Conda 命令时，在命令行运行 ci 或 conda-init。
环境激活：运行初始化命令后，执行标准命令 conda activate <env_name> 切换至目标环境。

Rokutosei's Blog

VLESS Proxy 文章指引

1. 服务端部署

2. 客户端配置

3. Xray-core 裸核搭建

历史归档

服务端：Xray + Caddy 单端口五合一 VLESS XHTTP 部署

1. 准备工作

2. Cloudflare 配置

2.1 添加 DNS 记录

2.2 SSL/TLS 设置

2.3 缓存规则设置

3. 安装 Xray-core 与 Caddy

3.1 安装 Xray-core

3.2 生成凭据

3.3 写入 Xray 配置文件

3.4 安装 Caddy

3.5 编写 Caddyfile

3.6 用户组与运行目录设置

3.7 申请公有受信任证书

3.8 启动服务

3.9 后续更新

4. 客户端配置

友情推荐

后话

在 Windows 上使用 rclone 与 WinSW 挂载 WebDAV 为系统服务

准备工作

1. 安装 WinFsp 驱动

2. 规划工作目录

搭建步骤

第一步：配置 WebDAV 连接

第二步：编写 WinSW 服务文件

说明

第三步：配置注册表启用提权互通

第四步：注册并启动系统服务

第五步：Test

后话

Linux Desktop 上的 Xray 裸核部署指南

资源文件

目录结构

配置文件

1. Xray 配置文件

2. nftables 规则文件

3. 启停脚本

启动脚本 tproxy-up.sh

停止脚本 tproxy-down.sh

Systemd 服务

启动

1. 启动服务

可选增强

1. 日志自动轮转

Windows 上的 Xray 裸核部署指南

资源文件

目录结构

配置文件

xray config

singbox config

xray 目录的 winsw.xml

sing-box 目录的 winsw.xml

安装并启动服务

可选增强

快捷启停

日志轮转

客户端：Xray-core 自用配置

机器信息

踩坑

ECH 纯 IP UDP 动态查询

观测器

客户端配置

OpenList 播放内嵌软字幕与外挂字幕视频的小技巧

内嵌软字幕

PC 端（Windows）

Android 端

外挂字幕

Debian 12 启用 unattended-upgrades 自动安全更新

安装

启用自动安全更新

验证配置（可选）

自动重启

注意

启动脚本 `tproxy-up.sh`

停止脚本 `tproxy-down.sh`