代理服务器搭建完整指南

# 推荐使用 mack-a 大佬的八合一脚本 (支持 VLESS+TCP+XTLS+REALITY)
wget -P /root -N --no-check-certificate   "https://raw.githubusercontent.com/mack-a/v2ray-agent/master/install.sh"   && chmod 700 /root/install.sh && /root/install.sh

# 安装 Xray（官方脚本）
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

# 生成 UUID
xray uuid
# 输出：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# 生成 x25519 密钥对（REALITY 专用）
xray x25519
# 输出：
# Private key: 你的私钥（填入 config.json 的 privateKey）
# Public key:  你的公钥（填入客户端配置）

# 启动 Xray
systemctl start xray && systemctl enable xray
systemctl status xray

// Xray 服务端配置文件：/usr/local/etc/xray/config.json
// VLESS + TCP + XTLS + REALITY 完整配置

{
  "log": { "loglevel": "warning" },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,                         // 使用 443 端口，最难被封
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "你的UUID",               // 用 xray uuid 生成
            "flow": "xtls-rprx-vision"     // XTLS Vision 模式，最新最强
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "dest": "www.apple.com:443",     // 目标域名（"偷" Apple 的 TLS 证书）
          "xver": 0,
          "serverNames": [
            "www.apple.com"
          ],
          "privateKey": "你的私钥",         // xray x25519 生成
          "shortIds": [""]
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls", "quic"]
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "block" }
  ]
}

# ── 安装 Hysteria2 ───────────────────────────────────────────────────────────
bash <(curl -fsSL https://get.hy2.sh/)

# 安装完成后，配置文件路径：/etc/hysteria/config.yaml
# 启动命令：systemctl start hysteria-server.service

# 文件路径：/etc/hysteria/config.yaml
# Hysteria2 服务端完整配置

listen: :443          # 监听端口（UDP，443 端口抗封效果最好）

# TLS 证书配置（两种方式选一）
# 方式一：使用 Let's Encrypt 自动申请（需要域名）
acme:
  domains:
    - hy2.yourdomain.com
  email: your@email.com

# 方式二：使用现有证书文件
# tls:
#   cert: /path/to/cert.pem
#   key: /path/to/key.pem

# 认证配置
auth:
  type: password
  password: "你的强密码"         # 建议 16 位以上随机密码

# 伪装配置（访问时返回正常网站内容，防主动探测）
masquerade:
  type: proxy
  proxy:
    url: https://www.bing.com   # 伪装成 Bing，被探测时返回 Bing 内容
    rewriteHost: true

# 带宽限制（可选，防止滥用）
# bandwidth:
#   up: 1 gbps
#   down: 1 gbps

# QUIC 参数优化
quic:
  initStreamReceiveWindow: 26843545
  maxStreamReceiveWindow: 26843545
  initConnReceiveWindow: 67108864
  maxConnReceiveWindow: 67108864

# Hysteria2 服务管理
systemctl start hysteria-server.service    # 启动
systemctl enable hysteria-server.service   # 开机自启
systemctl status hysteria-server.service   # 查看状态
journalctl -u hysteria-server.service -f   # 查看实时日志

# 更新 Hysteria2
bash <(curl -fsSL https://get.hy2.sh/)

# 防火墙开放 UDP 443 端口（重要！Hysteria2 使用 UDP）
ufw allow 443/udp
# 注意：443/tcp 不受影响，可以继续运行其他 TCP 服务

# 文件路径：/etc/nginx/conf.d/vless-ws.conf
# VLESS + WebSocket + TLS + Nginx 反代（配合 Cloudflare CDN 使用）

server {
    listen 443 ssl;
    http2 on;
    server_name proxy.yourdomain.com;    # 你的代理域名（需在 CF 上解析）

    ssl_certificate     /etc/letsencrypt/live/proxy.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/proxy.yourdomain.com/privkey.pem;

    # SSL 安全配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;

    # 默认返回正常网站（防探测）
    location / {
        root /var/www/html;
        index index.html;
    }

    # 代理路径（只有客户端知道这个路径）
    location /你的随机路径/ {                      # 如 /ws-xray/
        proxy_redirect off;
        proxy_pass http://127.0.0.1:10086;         # Xray 监听本地端口
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_read_timeout 86400s;
        proxy_send_timeout 86400s;
    }
}

server {
    listen 80;
    server_name proxy.yourdomain.com;
    return 301 https://$host$request_uri;
}

// Xray 配置（WebSocket 模式，搭配 Nginx 反代）
// 文件路径：/usr/local/etc/xray/config.json

{
  "inbounds": [
    {
      "listen": "127.0.0.1",           // 只监听本地，由 Nginx 接入
      "port": 10086,
      "protocol": "vless",
      "settings": {
        "clients": [
          { "id": "你的UUID" }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "ws",
        "wsSettings": {
          "path": "/你的随机路径/"      // 必须与 Nginx 配置一致
        }
      }
    }
  ],
  "outbounds": [{ "protocol": "freedom" }]
}

# 安装 Sing-box（官方脚本）
bash <(curl -fsSL https://sing-box.app/deb-install.sh)

# 或手动下载最新版
VERSION=$(curl -s https://api.github.com/repos/SagerNet/sing-box/releases/latest   | grep '"tag_name"' | cut -d'"' -f4)
wget "https://github.com/SagerNet/sing-box/releases/download/${VERSION}/sing-box-${VERSION#v}-linux-amd64.tar.gz"
tar xzf sing-box-*.tar.gz
mv sing-box-*/sing-box /usr/local/bin/

# 配置文件路径（创建目录）
mkdir -p /etc/sing-box

# 启动
systemctl start sing-box
systemctl enable sing-box
systemctl status sing-box

# 文件路径：/etc/sing-box/config.json
# Sing-box 服务端：同时支持 VLESS+REALITY 和 Hysteria2 两种协议

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    // ── VLESS + REALITY 入站 ──────────────────────────────────────────────
    {
      "type": "vless",
      "tag": "vless-in",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "uuid": "你的UUID",
          "flow": "xtls-rprx-vision"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "www.apple.com",
        "reality": {
          "enabled": true,
          "handshake": {
            "server": "www.apple.com",
            "server_port": 443
          },
          "private_key": "你的REALITY私钥",
          "short_id": [""]
        }
      }
    },
    // ── Hysteria2 入站 ────────────────────────────────────────────────────
    {
      "type": "hysteria2",
      "tag": "hy2-in",
      "listen": "::",
      "listen_port": 8443,           // 使用不同端口区分两个协议
      "up_mbps": 1000,
      "down_mbps": 1000,
      "users": [
        { "password": "你的Hysteria2密码" }
      ],
      "tls": {
        "enabled": true,
        "acme": {
          "domain": "hy2.yourdomain.com",
          "email": "your@email.com"
        }
      },
      "masquerade": "https://www.bing.com"
    }
  ],
  "outbounds": [
    { "type": "direct", "tag": "direct" },
    { "type": "block", "tag": "block" }
  ]
}

bash <(curl -L https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh)

{
  "inbounds": [{
    "port": 10086,
    "protocol": "vmess",
    "settings": {
      "clients": [{ "id": "YOUR_UUID", "alterId": 0 }]
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

systemctl start v2ray && systemctl enable v2ray

apt update && apt install shadowsocks-libev -y

{
    "server":"0.0.0.0",
    "server_port":8388,
    "password":"your_password",
    "timeout":300,
    "method":"aes-256-gcm"
}

source <(curl -sL https://git.io/trojan-install)

# ── 检测 DNS 泄露（访问这些网站查看你的 DNS 服务器）────────────────────────
# https://dnsleaktest.com
# https://browserleaks.com/dns
# 如果 DNS 服务器显示的是你的 ISP（国内电信/联通/移动），说明存在 DNS 泄露

# ── 方法一：在 Clash/Sing-box 客户端配置 DNS ─────────────────────────────────
# Clash 配置（config.yaml）：
# dns:
#   enable: true
#   enhanced-mode: fake-ip            # 或 redir-host
#   nameserver:
#     - https://1.1.1.1/dns-query    # 通过代理请求 Cloudflare DoH
#     - https://8.8.8.8/dns-query    # 通过代理请求 Google DoH
#   nameserver-policy:
#     "+.cn": [223.5.5.5, 119.29.29.29]  # 国内域名走国内 DNS

# ── 方法二：服务端启用 FakeDNS（Xray 配置）──────────────────────────────────
# 在 Xray config.json 的 inbounds 中开启 sniffing：
# "sniffing": {
#   "enabled": true,
#   "destOverride": ["http", "tls", "quic"],
#   "routeOnly": false
# }

# ── 方法三：在 VPS 上部署 AdGuard Home（见第26篇）────────────────────────────
# 最彻底的方案：将 DNS 解析完全交给自己服务器的 AdGuard Home
# 客户端 DNS 指向 Tailscale 内网的 AdGuard Home IP（100.64.x.x）
# 所有 DNS 查询走加密隧道，完全不泄露

# ── 验证 DNS 不泄露的客户端配置（以 Clash 为例）────────────────────────────
# 确保以下设置：
# 1. clash-tun 模式开启（接管系统所有流量，包括 UDP DNS）
# 2. DNS 模式设为 fake-ip
# 3. nameserver 只使用走代理的 DoH 地址（非国内 DNS 地址）
# 4. 关闭系统 IPv6（有时 IPv6 DNS 会绕过代理）

# ── subconverter：将单节点/订阅链接转换为各客户端格式 ──────────────────────
# GitHub: https://github.com/tindy2013/subconverter
# 在线转换（无需自建）：https://sub.xeton.dev

# ── 自建 subconverter（Docker）────────────────────────────────────────────────
docker run -d   --name subconverter   --restart always   -p 25500:25500   tindy2013/subconverter:latest

# 使用方法（将原始订阅链接转换为 Clash 格式 + 带分流规则）：
# http://你的VPS:25500/sub?target=clash&url=<原始订阅URL编码>&config=<规则集URL>

# ── 推荐分流规则集 ────────────────────────────────────────────────────────────
# 1. blackmatrix7/ios_rule_script（GitHub 上维护最积极的规则集）
#    https://github.com/blackmatrix7/ios_rule_script
#    包含：流媒体分流/广告过滤/App专属规则/国内直连

# 2. MetaCubeX/meta-rules-dat（Mihomo/Clash Meta 规则数据库）
#    https://github.com/MetaCubeX/meta-rules-dat

# ── 示例：Clash 配置中使用规则集 ─────────────────────────────────────────────
# rule-providers:
#   netflix:
#     type: http
#     behavior: classical
#     url: "https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Netflix/Netflix.yaml"
#     interval: 86400
#   direct:
#     type: http
#     behavior: domain
#     url: "https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/China/China_Domain.yaml"
#     interval: 86400

# rules:
#   - RULE-SET,netflix,🎬 Netflix
#   - RULE-SET,direct,DIRECT
#   - GEOIP,CN,DIRECT
#   - MATCH,🚀 节点选择

# 开启 Linux 内核自带的 BBR 加速算法
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 验证是否开启成功 (有输出说明成功)
lsmod | grep bbr