综合下来体验很好，既没有万象拼音一些奇怪的功能和 bug，又比雾凇拼音奇怪的分词匹配要好得多。

基础组件

Ubuntu 上先装 Rime 前端和 octagram 插件。语言模型依赖 librime-plugin-octagram。

Fcitx5：

1

sudo apt install fcitx5-rime librime-plugin-octagram

IBus：

1

sudo apt install ibus-rime librime-plugin-octagram

两个前端的 Rime 配置目录不同：

1
2

Fcitx5: ~/.local/share/fcitx5/rime
IBus:   ~/.config/ibus/rime

后文用 $rime_dir 表示当前机器正在使用的目录。

安装 Plum

Plum 是 Rime 生态常用的配置管理工具。

1
2

mkdir -p ~/Programs
git clone --depth 1 https://github.com/rime/plum ~/Programs/Plum

如果之前已经装过，更新即可：

1

git -C ~/Programs/Plum pull

安装白霜拼音

Fcitx5：

1
2

rime_dir="$HOME/.local/share/fcitx5/rime"
env rime_dir="$rime_dir" bash ~/Programs/Plum/rime-install gaboolic/rime-frost:others/recipes/full

IBus：

1
2

rime_dir="$HOME/.config/ibus/rime"
env rime_dir="$rime_dir" bash ~/Programs/Plum/rime-install gaboolic/rime-frost:others/recipes/full

本次实践中，Plum 拉下来的白霜包里有些文件没有自动放进活动目录。若部署时提示缺少 zh-moqi.gram 或 rime_frost_aux，可以从 Plum 的 package 目录手动补进去：

1
2

cp ~/Programs/Plum/package/gaboolic/frost/zh-moqi.gram "$rime_dir"/
cp ~/Programs/Plum/package/gaboolic/frost/rime_frost_aux.* "$rime_dir"/

然后把默认方案限定为白霜拼音。新建或修改 $rime_dir/default.custom.yaml：

1
2
3
4
5
6

# Rime default custom settings
# encoding: utf-8

patch:
  schema_list:
    - schema: rime_frost

下载万象 LTS 模型

前往 RIME-LMDG 下载万象 LTS 模型。这里使用简体模型：

1
2

curl -L -o "$rime_dir/wanxiang-lts-zh-hans.gram" \
  https://github.com/amzxyz/RIME-LMDG/releases/download/LTS/wanxiang-lts-zh-hans.gram

启用万象模型

新建 $rime_dir/rime_frost.custom.yaml：

1

vim $rime_dir/rime_frost.custom.yaml

1
2
3
4
5
6
7
8
9
10
11
12
13

# Rime schema custom settings
# encoding: utf-8

patch:
  grammar:
    language: wanxiang-lts-zh-hans
    non_collocation_penalty: -4
    collocation_max_length: 5
    collocation_min_length: 2
    collocation_penalty: -14
  translator/contextual_suggestions: true
  translator/max_homophones: 4
  translator/max_homographs: 2

这里的 language 要和 .gram 文件名前缀一致。也就是：

1

wanxiang-lts-zh-hans.gram -> language: wanxiang-lts-zh-hans

万象 release 里也提醒过，模型和词库是紧耦合的；云插件和模型也不适合同时开，因为云插件会占用候选位置，等于削弱模型效果。我的做法是只用本地模型，不开云插件。

部署

Fcitx5：

1
2

rime_deployer --build "$HOME/.local/share/fcitx5/rime"
fcitx5-remote -r

IBus：

1
2

rime_deployer --build "$HOME/.config/ibus/rime"
ibus restart

如未生效，也可以从 Rime 菜单里手动点击「部署」。部署后用 Ctrl + ~ 打开方案选单，确认当前方案是白霜拼音。

验证模型配置

部署后可以看 build 文件确认配置是否进去了。

Fcitx5：

1

sed -n '/^grammar:/,/^[^ ]/p' ~/.local/share/fcitx5/rime/build/rime_frost.schema.yaml

IBus：

1

sed -n '/^grammar:/,/^[^ ]/p' ~/.config/ibus/rime/build/rime_frost.schema.yaml

应能看到类似内容：

1
2
3
4
5
6

grammar:
  collocation_max_length: 5
  collocation_min_length: 2
  collocation_penalty: "-14"
  language: "wanxiang-lts-zh-hans"
  non_collocation_penalty: "-4"

也可以确认 octagram 插件存在：

1

dpkg -L librime-plugin-octagram | grep librime-octagram

这只能说明配置层面已经生效。实际排序效果还是要靠输入体验判断，尤其是长句和同音词较多的场景。

设置水平候选词

IBus 和 Fcitx5 的候选词方向不在同一个地方。

IBus 使用 Rime 前端配置。新建 $rime_dir/ibus_rime.custom.yaml：

1
2
3
4
5

# ibus-rime custom settings
# encoding: utf-8

patch:
  style/horizontal: true

然后重新部署：

1
2

rime_deployer --build "$HOME/.config/ibus/rime"
ibus restart

如未生效，也可以从 Rime 菜单里手动点击「部署」。

Fcitx5 的候选方向通常由 Fcitx5 的 UI 插件控制，不是 rime_frost.custom.yaml。推荐打开配置工具：

1

fcitx5-configtool

进入 Addons / Classic User Interface / Configure，把 Vertical Candidate List 关掉，即为水平候选。

也可以直接编辑 ~/.config/fcitx5/conf/classicui.conf，加入或修改：

1
2

# Vertical Candidate List
Vertical Candidate List=False

然后重载 Fcitx5：

1

fcitx5-remote -r

如果使用的不是 Classic UI，而是桌面环境自己的候选窗口或 Kimpanel，候选方向可能要在对应的输入法面板设置里改。

Rime 同步

Rime 的 sync 适合同步用户词库和配置，但不要假设 .gram 模型会可靠同步。万象模型有几百 MB，最好每台机器本地各放一份。

先设置每台机器自己的 installation_id，并让它们指向同一个 sync_dir。

Fcitx5 的文件是：

1

~/.local/share/fcitx5/rime/installation.yaml

示例：

1
2

installation_id: atlas
sync_dir: "/home/sammy/Drives/MEGA/Settings/Rime"

IBus 的文件是：

1

~/.config/ibus/rime/installation.yaml

示例：

1
2
3

distribution_code_name: "ibus-rime"
installation_id: carbon
sync_dir: "/home/sammy/Drives/MEGA/Settings/Rime"

要点是：

• 每台机器的 installation_id 必须不同。
• 每台机器的 sync_dir 指向同一个网盘同步目录。
• sync_dir 下会生成与 installation_id 同名的子目录。
• 先确保本机活动目录里已经有 wanxiang-lts-zh-hans.gram，再部署使用同步来的 rime_frost.custom.yaml。

配置完成后，在 Rime 菜单中点击「同步用户资料」。同步后可以检查：

1

find "/home/sammy/Drives/MEGA/Settings/Rime" -maxdepth 2 -type f | sort

我的经验是，迁移输入方案时最好先清理旧同步目录里明显过时的方案文件，例如旧的 wanxiang*、rime_ice*、luna_pinyin*。否则新机器同步时可能把历史方案和当前方案混在一起。

回退

如果想回到白霜默认模型，删除或改名：

1

$rime_dir/rime_frost.custom.yaml

然后重新部署即可。保留 zh-moqi.gram 的意义就在这里：回退时不用重新找白霜默认模型。

参考

• 白霜拼音
• RIME-LMDG 万象 LTS 模型
• Plum

本文以 Debian 13 为例，介绍如何使用 sing-box 搭建 NaiveProxy 兼容服务端，并在客户端使用 sing-box 的 naive outbound 连接。本文同样适用于 Ubuntu 24.04 及以上系统。

本方案有以下特点：

1. 服务端与客户端均使用 sing-box，无需 Caddy、Nginx、HAProxy 或 Go 编译环境
2. 使用 sing-box 内置 ACME DNS-01 自动申请和续签真实 TLS 证书，无需开放 TCP 80
3. 服务端同时监听 TCP 443 与 UDP 443，支持 HTTP/2 与 HTTP/3；客户端默认使用 HTTP/3
4. 两端均为 sing-box 时可启用 UDP over TCP，兼顾 UDP 应用兼容性
5. DNS 记录使用 Cloudflare 托管时必须保持 DNS only / 灰云，不要开启橙云代理

注：请先参照 Debian & Ubuntu 服务器的初始化配置 一文对服务器进行各种必要的配置。本文以 sammy 用户为例，并默认已按初始化配置文章对服务器进行了配置。

背景与原理

整体架构

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

客户端 sing-box
   │ TUN / mixed / socks 入站
   ▼
sing-box Naive outbound
   │ HTTP/3 CONNECT over QUIC / UDP 443
   │ SNI: naive.example.com
   ▼
VPS 公网 IP:443
   │
   ▼
sing-box Naive inbound
   │ 用户名 + 密码认证
   ▼
direct outbound
   │
   ▼
目标网站

NaiveProxy 的设计目标是将代理流量伪装成普通浏览器与 Web 服务器之间的 HTTP/2 或 HTTP/3 流量。sing-box 的 naive inbound / outbound 实现了兼容 NaiveProxy 的服务端与客户端。

需要注意：sing-box 的 Naive inbound 是纯代理入口，没有 Caddy forwardproxy 那样的伪装站 fallback。浏览器直接访问 https://naive.example.com 不一定显示正常网页。若强依赖伪装站 fallback，需要另行评估 Caddy forwardproxy 或 HAProxy 方案；本文不使用它们。

关于 HTTP/3

本文默认客户端启用 HTTP/3 / QUIC：

1

"quic": true

HTTP/3 更接近现代 Chrome 访问大量网站时的网络行为，在移动网络、跨国链路或丢包网络下也可能表现更好。但 H3 依赖 UDP 443，如果本地网络或 VPS 商家对 UDP 限速、QoS 或阻断，表现可能不如 H2。遇到连接失败、速度波动或间歇性断流时，删除客户端中的 "quic": true 即可回退到 HTTP/2。

本方案不适用的场景

1. 必须隐藏 VPS 真实 IP 的场景
2. 必须通过 Cloudflare Tunnel / CDN 的场景
3. 必须让浏览器直接访问代理域名显示伪装站的场景
4. 无法开放公网 TCP 443 与 UDP 443 的 NAT VPS 场景

准备工作

所需资源

1. 一台 VPS，拥有公网 IPv4，推荐同时有 IPv6
2. 一个域名，NS 托管到 Cloudflare
3. 一个 Cloudflare API Token，用于 DNS-01 签发证书
4. 客户端设备，需使用支持 sing-box Naive outbound 的客户端或官方 sing-box 命令行版本

下文假设域名为 example.com，Naive 服务使用子域名：

1

naive.example.com

请根据实际情况替换。

DNS 配置

在 Cloudflare DNS 中添加记录：

务必确认是灰云 DNS only，不是橙云 Proxied。

等待 DNS 生效后，在本地终端检查：

1
2

dig naive.example.com A +short
dig naive.example.com AAAA +short

返回结果应为 VPS 的真实 IP。

创建 Cloudflare API Token

进入 Cloudflare Dashboard → My Profile → API Tokens → Create Token，创建自定义 Token：

sing-box 的 Cloudflare DNS-01 provider 支持只填写 api_token。zone_token 是可选项，用于额外提供 Zone:Read 权限；通常不需要。

安装基本工具

1

sudo apt update && sudo apt install curl vim wget ca-certificates openssl -y

防火墙放行端口

本文使用 DNS-01 签发证书，因此不需要开放 TCP 80。只放行 443：

1
2
3
4

sudo ufw allow 443/tcp
sudo ufw allow 443/udp
sudo ufw reload
sudo ufw status verbose

TCP 443 用于 HTTP/2 / HTTPS，UDP 443 用于 HTTP/3 / QUIC。

安装 sing-box

sing-box 官方提供 APT 仓库，推荐优先使用此方式，便于后续升级。

1
2
3
4
5
6
7
8
9
10
11
12
13

sudo mkdir -p /etc/apt/keyrings &&
   sudo curl -fsSL https://sing-box.app/gpg.key -o /etc/apt/keyrings/sagernet.asc &&
   sudo chmod a+r /etc/apt/keyrings/sagernet.asc &&
   echo '
Types: deb
URIs: https://deb.sagernet.org/
Suites: *
Components: *
Enabled: yes
Signed-By: /etc/apt/keyrings/sagernet.asc
' | sudo tee /etc/apt/sources.list.d/sagernet.sources &&
   sudo apt-get update &&
   sudo apt-get install sing-box

验证版本：

1

sing-box version

截至 2026 年 5 月，建议使用 1.13 系列稳定版。1.14 仍处于 alpha 阶段，配置迁移可等稳定版发布后再处理。

服务端配置

生成用户名与密码

用户名可以使用普通字符串，例如：

1

sammy

密码建议使用随机字符串：

1

openssl rand -base64 24

输出示例：

1

vJ0wP0s8j3QLg2Y+Qd7mP2F9Y9YlDLJ3

下文假设：

1
2

username = sammy
password = vJ0wP0s8j3QLg2Y+Qd7mP2F9Y9YlDLJ3

请替换为自己的值。

sing-box 配置

编辑 /etc/sing-box/config.json：

1

sudo vim /etc/sing-box/config.json

写入以下配置，注意替换域名、邮箱、Cloudflare Token、用户名与密码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72

{
  "log": {
    "level": "warn",
    "timestamp": true
  },
  "dns": {
    "servers": [
      {
        "type": "https",
        "tag": "cloudflare",
        "server": "1.1.1.1"
      }
    ],
    "strategy": "prefer_ipv4"
  },
  "inbounds": [
    {
      "type": "naive",
      "tag": "naive-in",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "username": "sammy",
          "password": "vJ0wP0s8j3QLg2Y+Qd7mP2F9Y9YlDLJ3"
        }
      ],
      "quic_congestion_control": "bbr",
      "tls": {
        "enabled": true,
        "server_name": "naive.example.com",
        "alpn": [
          "h3",
          "h2"
        ],
        "acme": {
          "domain": [
            "naive.example.com"
          ],
          "email": "admin@example.com",
          "dns01_challenge": {
            "provider": "cloudflare",
            "api_token": "替换为你的 Cloudflare API Token"
          }
        }
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct",
      "tag": "direct",
      "domain_resolver": "cloudflare"
    }
  ],
  "route": {
    "rules": [
      {
        "action": "sniff"
      },
      {
        "ip_is_private": true,
        "action": "reject"
      },
      {
        "protocol": "bittorrent",
        "action": "reject"
      }
    ],
    "final": "direct"
  }
}

限制配置权限：

1
2

sudo chown root:root /etc/sing-box/config.json
sudo chmod 600 /etc/sing-box/config.json

关键字段说明

inbounds[].type：设为 naive，启用 NaiveProxy 兼容服务端。

listen：示例使用 ::，通常可同时监听 IPv6 与 IPv4。若你的系统没有 IPv6，或 ss 检查发现只监听 IPv6，可改为 0.0.0.0。

network：本文不写该字段。sing-box 文档说明 network 可为 tcp 或 udp，为空时同时监听 TCP 与 UDP。

quic_congestion_control：设为 bbr。这也是 Chromium / QUICHE 默认使用的 QUIC 拥塞控制。

tls.acme.dns01_challenge：使用 Cloudflare DNS-01 签发证书。配置 DNS-01 后不需要开放 80，也不需要额外运行 acme.sh。

tls.alpn：同时提供 h3 与 h2。客户端默认使用 H3，必要时可回退 H2。

检查并启动

1
2

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable --now sing-box

查看状态：

1
2

sudo systemctl status sing-box
sudo journalctl -u sing-box -e --no-pager

首次启动时，sing-box 会通过 Cloudflare DNS-01 申请证书。如果失败，优先检查 DNS 是否为灰云、Token 权限是否为当前域名的 Zone - DNS - Edit、域名与邮箱是否填写正确。

验证服务端

检查监听端口：

1
2

sudo ss -tlnp | grep ':443'
sudo ss -ulnp | grep ':443'

正常情况下，TCP 443 与 UDP 443 都应由 sing-box 监听。

确认 TLS 与 HTTP/2：

1

openssl s_client -connect naive.example.com:443 -servername naive.example.com -alpn h2 -brief

如果能看到证书验证通过，并且 ALPN 协商出 h2，说明 TLS 与 H2 基本正常。H3 是否可用主要看 UDP 443 是否可达，客户端实际连接更有参考价值。

注意：浏览器直接访问 https://naive.example.com 不显示正常网页是预期现象。sing-box naive inbound 没有伪装站 fallback。

客户端配置

sing-box 的 Naive outbound 从 1.13.0 起加入。官方说明中，Naive outbound 只在 Apple platforms、Android、Windows 和部分 Linux 构建中可用。

Linux 客户端如通过 sing-box 官方 APT 仓库安装，通常无需手动处理 Cronet 依赖。只有手动下载官方 release 或使用第三方构建时，才需要确认该构建支持 Naive outbound，并能正确加载 libcronet.so。

以下为客户端示例配置，国内网站直连，其他流量走 Naive。两端均为 sing-box，因此默认开启 UDP over TCP v2。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111

{
  "log": {
    "level": "warn"
  },
  "dns": {
    "servers": [
      {
        "type": "https",
        "tag": "remote",
        "server": "1.1.1.1",
        "detour": "proxy"
      },
      {
        "type": "udp",
        "tag": "local",
        "server": "223.5.5.5"
      }
    ],
    "rules": [
      {
        "rule_set": "geosite-cn",
        "server": "local"
      }
    ],
    "final": "remote",
    "strategy": "prefer_ipv4"
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [
        "172.19.0.1/30",
        "fdfe:dcba:9876::1/126"
      ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "naive",
      "tag": "proxy",
      "server": "naive.example.com",
      "server_port": 443,
      "username": "sammy",
      "password": "vJ0wP0s8j3QLg2Y+Qd7mP2F9Y9YlDLJ3",
      "insecure_concurrency": 0,
      "udp_over_tcp": {
        "enabled": true,
        "version": 2
      },
      "quic": true,
      "tls": {
        "enabled": true,
        "server_name": "naive.example.com"
      }
    },
    {
      "type": "direct",
      "tag": "direct"
    }
  ],
  "route": {
    "default_domain_resolver": "local",
    "rules": [
      {
        "action": "sniff"
      },
      {
        "protocol": "dns",
        "action": "hijack-dns"
      },
      {
        "ip_is_private": true,
        "outbound": "direct"
      },
      {
        "rule_set": "geosite-cn",
        "outbound": "direct"
      },
      {
        "rule_set": "geoip-cn",
        "outbound": "direct"
      }
    ],
    "rule_set": [
      {
        "type": "remote",
        "tag": "geosite-cn",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-cn.srs",
        "download_detour": "proxy"
      },
      {
        "type": "remote",
        "tag": "geoip-cn",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geoip/rule-set/geoip-cn.srs",
        "download_detour": "proxy"
      }
    ],
    "final": "proxy",
    "auto_detect_interface": true
  },
  "experimental": {
    "cache_file": {
      "enabled": true
    }
  }
}

客户端关键字段说明

outbounds[].type：设为 naive，表示使用 NaiveProxy outbound。

server：填写域名 naive.example.com。如果需要使用 IP 直连，也可以把这里改成 VPS IP，但 tls.server_name 仍应保持域名。

username / password：必须与服务端 users 中的配置一致。

insecure_concurrency：保持 0。多个并发隧道可能提升吞吐，但会增加流量分析特征，不建议默认开启。

udp_over_tcp：启用 UoT v2，用于承载 UDP 流量。两端都是 sing-box 时建议开启。

quic：设为 true，使用 HTTP/3 / QUIC。若当前网络 UDP 443 不稳定，删除该字段即可回退到 HTTP/2。

tls.server_name：用于证书校验和 TLS SNI。必须与证书域名一致。

Naive outbound 的 TLS 配置不要像 VLESS 那样堆 utls、alpn、fingerprint 等字段。Naive outbound 的核心是 Cronet / Chromium 网络栈本身，和普通 sing-box TLS outbound 的配置思路不同。

隐蔽性评估

检测者视角大致如下：

Naive 仍然存在 TLS-in-TLS 特征，因为用户访问 HTTPS 网站时，内层 HTTPS 流量会被封装在外层 HTTPS CONNECT 隧道中。Naive 的 padding 能缓解部分长度特征，但不能让 TLS-in-TLS 现象完全消失。

简单理解：

维护与排查

更新 sing-box

1
2
3

sudo apt update
sudo apt upgrade sing-box -y
sudo systemctl restart sing-box

查看版本：

1

sing-box version

查看证书与续签状态

sing-box 会自动续签 ACME 证书。可检查最近日志：

1

sudo journalctl -u sing-box --since "7 days ago" --no-pager | grep -i -E 'acme|certificate|renew'

也可以外部检查证书有效期：

1
2

echo | openssl s_client -servername naive.example.com -connect naive.example.com:443 2>/dev/null \
  | openssl x509 -noout -dates

定期轮换密码

建议每 3-6 个月轮换一次密码：

1

openssl rand -base64 24

然后同时更新服务端与客户端配置：

1
2
3

sudo vim /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl restart sing-box

常见排查

1. ACME 证书签发失败：确认 DNS 记录为灰云，Cloudflare Token 有当前域名的 Zone - DNS - Edit 权限，域名解析已生效。
2. TCP/H2 可用，H3 不可用：检查 UDP 443 是否放行，VPS 商家和本地网络是否限制 UDP。无法解决时删除客户端 "quic": true 回退 H2。
3. 客户端提示证书错误：检查 tls.server_name 是否与证书域名一致。
4. Linux 客户端提示 Naive outbound 不可用：确认使用包含 Cronet 的 sing-box 构建，并且 libcronet.so 能被加载。
5. 浏览器访问域名不是正常网站：这是 sing-box native naive inbound 的预期现象，不代表代理不可用。
6. 部分 UDP 应用异常：确认客户端 udp_over_tcp 已启用；若仍不稳定，说明该应用更适合 Hysteria2 / TUIC 等原生 UDP 方案。

升级至 sing-box 1.14 后的调整

本文配置以 sing-box 1.13 稳定版为准。1.14.0 起，TLS 内联 acme 配置迁移为 certificate_providers。等 1.14 稳定版发布并确认兼容后，可按官方 Migration 文档迁移。

References

sing-box

sing-box - Package Manager

sing-box - Naive Inbound

sing-box - Naive Outbound

sing-box - ACME Certificate Provider

sing-box - DNS01 Challenge Fields

sing-box - UDP over TCP

sing-box - Migration

NaiveProxy

注：请先参照 Debian & Ubuntu 服务器的初始化配置 一文对服务器进行各种必要的配置。本文默认已按初始化配置文章对服务器进行了配置。

尤其注意进行 UFW 针对 Docker 的配置，这是前置条件。

VPS 的规格要求：

1. 512MB 及以上内存
2. 固定公网 IP

设置变量

请将 rd.example.com 换成你的域名或 VPS 公网 IP。

1

export RD_DOMAIN="rd.example.com"

安装基础工具和 Docker

若已安装 Docker，可跳过此步骤。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

sudo apt update
sudo apt install -y ca-certificates curl wget gnupg

. /etc/os-release

if [ "$ID" = "ubuntu" ]; then
  DOCKER_OS="ubuntu"
  DOCKER_CODENAME="${UBUNTU_CODENAME:-$VERSION_CODENAME}"
elif [ "$ID" = "debian" ]; then
  DOCKER_OS="debian"
  DOCKER_CODENAME="$VERSION_CODENAME"
else
  echo "Unsupported OS: $ID"
  exit 1
fi

sudo install -m 0755 -d /etc/apt/keyrings

sudo curl -fsSL "https://download.docker.com/linux/$DOCKER_OS/gpg" -o /etc/apt/keyrings/docker.asc

sudo chmod a+r /etc/apt/keyrings/docker.asc

sudo tee /etc/apt/sources.list.d/docker.sources >/dev/null <<EOF
Types: deb
URIs: https://download.docker.com/linux/$DOCKER_OS
Suites: $DOCKER_CODENAME
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF

sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

sudo systemctl enable --now docker

确保 UFW 正确配置

请务必确保 UFW 已按照此教程进行了配置。

部署 RustDesk Server

RustDesk OSS 服务端主要是 hbbs 和 hbbr；官方端口里，最小需要 21115/tcp、21116/tcp+udp、21117/tcp，21118/21119 是 Web Client，不需要就不要开启。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

sudo mkdir -p /opt/rustdesk-server/data
cd /opt/rustdesk-server

sudo tee compose.yml >/dev/null <<EOF
services:
  hbbs:
    container_name: hbbs
    image: rustdesk/rustdesk-server:latest
    command: hbbs -r ${RD_DOMAIN}:21117 -k _
    volumes:
      - ./data:/root
    ports:
      - "0.0.0.0:21115:21115/tcp"
      - "0.0.0.0:21116:21116/tcp"
      - "0.0.0.0:21116:21116/udp"
    depends_on:
      - hbbr
    restart: unless-stopped

  hbbr:
    container_name: hbbr
    image: rustdesk/rustdesk-server:latest
    command: hbbr -k _
    volumes:
      - ./data:/root
    ports:
      - "0.0.0.0:21117:21117/tcp"
    restart: unless-stopped
EOF

sudo docker compose up -d

防火墙放行 RustDesk 容器端口

执行：

1
2
3
4
5
6

sudo ufw route allow proto tcp from any to any port 21115
sudo ufw route allow proto tcp from any to any port 21116
sudo ufw route allow proto udp from any to any port 21116
sudo ufw route allow proto tcp from any to any port 21117

sudo ufw reload

检查：

1

sudo ufw status verbose

若 VPS 有单独的网页控制台安全组或防火墙，确保放行：

1
2
3
4

TCP 21115
TCP 21116
UDP 21116
TCP 21117

检查服务

1
2
3
4
5
6
7
8

cd /opt/rustdesk-server

sudo docker compose ps
sudo docker logs hbbs --tail=80
sudo docker logs hbbr --tail=80

sudo ss -lntup | grep -E '21115|21116|21117'
sudo ss -lnup  | grep 21116

获取服务端 public key：

1

sudo cat /opt/rustdesk-server/data/id_ed25519.pub

RustDesk 客户端如何配置

以电脑端客户端为例，点击左侧 ID 旁边的三个点 ⋮，然后进 Network -> ID/Relay server，，按照下面填写：

1
2
3
4
5
6
7
8

ID Server:
  rd.example.com（你的域名或 VPS 的 IP）

Relay Server:
  留空，或者填 rd.example.com:21117

Key:
  粘贴 id_ed25519.pub 内容

之后，关闭并重启客户端即可。

未来升级

1
2
3
4
5
6
7
8
9

cd /opt/rustdesk-server

sudo tar -czf ~/rustdesk-server-data-$(date +%F).tar.gz data

sudo docker compose pull
sudo docker compose up -d
sudo docker image prune -f

sudo ufw reload

参考

• RustDesk Documentation

本文以 Debian / Ubuntu 系统为例。

检查发行版更新状态

首先，需要先确认你在使用的发行版是否已经推送了该漏洞的内核修复更新。

例如：Debian 系统在此页面查看；Ubuntu 系统在此页面查看。

• 若你的版本尚未有更新，采用方法一
• 若已有更新，直接更新系统，然后重启
• 若已有更新，但暂时不方便重启，采用方法二

方法一：暂时禁用 algif_aead 模块

Debian 和 Ubuntu 稍有不同，原因是 Ubuntu 内核

Debian 系统

Debian 系统目前已为大部分版本推送内核更新，可直接更新内核然后重启系统，而不必采用下面的方法。

此方法适用于：发行版尚未推送内核更新，暂时通过禁用模块避免漏洞利用。

执行：

1
2

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif_aead.conf
sudo modprobe -r algif_aead 2>/dev/null || true

这样，不需要重启就能生效。重启后仍生效。

检查：

1
2

sudo modprobe algif_aead; echo $?
lsmod | grep '^algif_aead' || echo "algif_aead not loaded"

Ubuntu 系统

Ubuntu 有些发行版并未推送内核更新，但可通过升级 kmod 包自动禁用受影响的模块。具体可参考官方教程。

主要就是更新 kmod：

1
2

sudo apt update && sudo apt upgrade
sudo apt update && sudo apt install --only-upgrade kmod

如果不重启，卸载模块：

1

sudo rmmod algif_aead 2>/dev/null 

检查模块是否还在：

1

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

方法二：重启前临时修复

此方法适用于：已接收到漏洞的内核更新，但暂时不方便重启加载新内核的情况。

不适用于内核无法接收安全更新的任何情况。

1. 更新内核

1
2

sudo apt update
sudo apt full-upgrade -y

虽然已经收到了内核更新，但未重启前仍未加载新内核。因此做以下临时修复。

2. 查看当前运行内核是否有 Copy Fail 暴露面

1
2
3
4
5
6
7
8

uname -r

grep -E '^CONFIG_CRYPTO_USER_API_AEAD=' /boot/config-$(uname -r) 2>/dev/null || \
zcat /proc/config.gz 2>/dev/null | grep -E '^CONFIG_CRYPTO_USER_API_AEAD='

modprobe -n -v algif_aead 2>/dev/null || true

lsmod | grep '^algif_aead' || echo "algif_aead not loaded"

判断：

1
2
3

CONFIG_CRYPTO_USER_API_AEAD=m   # algif_aead 是模块，可以临时禁用
CONFIG_CRYPTO_USER_API_AEAD=y   # 编进内核，无法用 modprobe 禁用，只能重启到新内核
没有输出 / is not set              # 一般不受这个 algif_aead 路径影响

如果看到类似：

1

insmod /lib/modules/.../algif_aead.ko

说明它可以被加载，需要临时禁用。

3. 重启后自动消失的临时修法

1
2
3
4
5
6

sudo install -d -m 0755 /run/modprobe.d

printf 'install algif_aead /bin/false\n' | \
  sudo tee /run/modprobe.d/zz-copyfail-disable-algif_aead.conf >/dev/null

sudo modprobe -r algif_aead 2>/dev/null || true

这只写到 /run/modprobe.d，重启后自动消失。

4. 检查修法是否成功

1
2
3
4
5

modprobe -n -v algif_aead

lsmod | grep '^algif_aead' || echo "algif_aead not loaded"

cat /run/modprobe.d/zz-copyfail-disable-algif_aead.conf

成功状态应类似：

1
2
3

install /bin/false
algif_aead not loaded
install algif_aead /bin/false

再做一次实际加载测试：

1

sudo modprobe algif_aead; echo $?

成功禁用时应返回非 0，例如：

1

1

然后确认仍未加载：

1

lsmod | grep '^algif_aead' || echo "algif_aead still blocked"

本文以 Debian 13 为例，介绍如何搭建 Xray-core 的 VLESS + XHTTP 服务端，使用 Nginx 反代，并通过 Cloudflare 橙色云隐藏源站 IP。本文同样适用于 Ubuntu 24.04 及以上系统。

注：请先参照 Debian & Ubuntu 服务器的初始化配置 一文对服务器进行各种必要的配置。本文以 sammy 用户为例，并默认已按初始化配置文章对服务器进行了配置。

本方案采用：

1
2
3
4

客户端 Xray
  → Cloudflare 橙色云
  → Nginx TLS + HTTP/2
  → Xray VLESS + XHTTP

本方案特点：

1. XHTTP 使用 H2/gRPC-like 流量形态，适合 Cloudflare 橙色云直回源
2. Nginx 负责 TLS、HTTP/2、伪装站和路径分流
3. Xray 只监听本地回环地址，不直接暴露公网
4. VPS 443 端口只允许 Cloudflare IP 访问
5. 客户端启用 ECH、uTLS Chrome、XHTTP padding obfs
6. 证书使用 acme.sh + Cloudflare DNS-01 自动续期

与 Cloudflare Tunnel 方案相比，本方案性能更直接，XHTTP 兼容性更好；代价是源站必须开放 443 给 Cloudflare，并且需要管理源站证书。

准备工作

所需资源

1. 一台公网 VPS
2. 一个已托管到 Cloudflare 的域名
3. 一个子域名，例如 cdn.example.com
4. 一套静态网页，用作伪装站

下文假设：

生成 UUID：

1

cat /proc/sys/kernel/random/uuid

生成随机路径：

1

openssl rand -hex 16

生成 Header Token：

1

openssl rand -hex 24

Cloudflare 设置

DNS

添加 DNS 记录：

必须是橙色云。

SSL/TLS 与 Network

进入 Cloudflare 域名 Dashboard：

Cloudflare gRPC 要求源站监听 443、支持 TLS、支持 HTTP/2，并通过 ALPN 宣告 HTTP/2。

Cache Rules

Caching -> Cache Rules 为 XHTTP 路径创建缓存绕过规则：

1
2
3
4
5
6

When:
  Hostname equals cdn.example.com
  AND URI Path starts with /a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6

Then:
  Cache eligibility: Bypass cache

WAF Skip Rule

Security-> Security Rules 创建 Custom Rule：

1
2
3
4
5

Expression:
  (http.host eq "cdn.example.com" and starts_with(http.request.uri.path, "/a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6"))

Action:
  Skip

建议跳过：

• WAF Managed Rules
• Rate Limiting Rules
• Super Bot Fight Mode Rules
• Browser Integrity Check

VPS 初始化

安装基本工具：

1
2

sudo apt update
sudo apt install curl wget vim unzip ca-certificates gnupg lsb-release openssl socat ufw -y

服务器防火墙

只允许 Cloudflare IP 访问 443。本文假设初始化文章已配置并启用 UFW，且 SSH 已放行；本节只新增 Cloudflare 到 443 的规则。

创建脚本目录：

1

sudo mkdir -p /root/scripts/ufw

添加 Cloudflare 规则：

1

sudo vim /root/scripts/ufw/add-cloudflare.sh

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

#!/bin/bash
set -e

mkdir -p /root/scripts/ufw
cd /root/scripts/ufw

curl -sL https://www.cloudflare.com/ips-v4 -o ips-v4
curl -sL https://www.cloudflare.com/ips-v6 -o ips-v6

for ip in $(cat ips-v4); do
    ufw allow from "$ip" to any port 443 proto tcp
done

for ip in $(cat ips-v6); do
    ufw allow from "$ip" to any port 443 proto tcp
done

更新 Cloudflare 规则：

1

sudo vim /root/scripts/ufw/update-cloudflare.sh

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

#!/bin/bash
set -e

cd /root/scripts/ufw

curl -sL https://www.cloudflare.com/ips-v4 -o ips-v4.new
curl -sL https://www.cloudflare.com/ips-v6 -o ips-v6.new

if [ ! -f ips-v4 ] || [ ! -f ips-v6 ] || ! cmp -s ips-v4 ips-v4.new || ! cmp -s ips-v6 ips-v6.new; then
    if [ -f ips-v4 ]; then
        for ip in $(cat ips-v4); do
            ufw delete allow from "$ip" to any port 443 proto tcp || true
        done
    fi

    if [ -f ips-v6 ]; then
        for ip in $(cat ips-v6); do
            ufw delete allow from "$ip" to any port 443 proto tcp || true
        done
    fi

    mv ips-v4.new ips-v4
    mv ips-v6.new ips-v6

    for ip in $(cat ips-v4); do
        ufw allow from "$ip" to any port 443 proto tcp
    done

    for ip in $(cat ips-v6); do
        ufw allow from "$ip" to any port 443 proto tcp
    done
else
    rm -f ips-v4.new ips-v6.new
fi

执行：

1
2

sudo bash /root/scripts/ufw/add-cloudflare.sh
sudo ufw status numbered

添加定时更新：

1

sudo crontab -e

加入：

1
2

MAILTO=""
5 3 * * * /bin/bash /root/scripts/ufw/update-cloudflare.sh

安装 Nginx

1
2
3
4

sudo apt update
sudo apt install nginx -y
sudo systemctl enable --now nginx
sudo rm -f /etc/nginx/sites-enabled/default

安装 Xray-core

1

sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

检查版本：

1

xray version

建议使用 v26.3.27 或更新版本。

申请证书

本文使用 acme.sh + Cloudflare DNS-01。这样不需要开放 80，也不受橙色云影响。

acme.sh 可以用普通用户运行，但官方更推荐 root。本文按 root 安装，省去证书目录权限和 sudo reload 的额外配置。

切换到 root

1

sudo -i

后续本节命令均在 root shell 中执行。

安装 acme.sh

1
2

curl https://get.acme.sh | sh -s email=you@example.com
source ~/.bashrc

如需固定使用 Let’s Encrypt，可执行：

1

~/.acme.sh/acme.sh --set-default-ca --server letsencrypt

不执行也可以，acme.sh 会使用自身默认 CA。

准备 Cloudflare API Token

创建 Cloudflare API Token，建议使用以下设置：

• Permissions：Zone → DNS → Edit
• Zone Resources：Include → Specific zone → example.com
• Client IP Address Filtering：Is in，分别添加服务器的 ipv4 和 ipv6 稳定出口地址

设置 token 和 zone ID：

1
2

export CF_Token="你的 Cloudflare API Token"
export CF_Zone_ID="你的 Cloudflare Zone ID"

签发并安装证书

准备证书目录：

1
2

mkdir -p /etc/nginx/ssl
chmod 700 /etc/nginx/ssl

签发 ECC 证书：

1

~/.acme.sh/acme.sh --issue --dns dns_cf -d cdn.example.com --keylength ec-256

安装到 Nginx 使用的路径：

1
2
3
4

~/.acme.sh/acme.sh --install-cert -d cdn.example.com --ecc \
  --key-file       /etc/nginx/ssl/cdn.example.com.key \
  --fullchain-file /etc/nginx/ssl/cdn.example.com.crt \
  --reloadcmd     "systemctl reload nginx"

检查：

1

ls -l /etc/nginx/ssl/

acme.sh 会在 root 的 crontab 中写入自动续期任务。

退出 root shell：

1

exit

伪装站

创建目录：

1
2
3

sudo mkdir -p /var/www/camouflage
sudo chown -R $USER:$USER /var/www/camouflage
sudo chmod -R 755 /var/www/camouflage

自行准备并放入：

1
2
3
4

/var/www/camouflage/index.html
/var/www/camouflage/404.html
/var/www/camouflage/favicon.ico          可选
/var/www/camouflage/assets/              可选，CSS/JS/图片等静态资源

推荐使用 Hugo、Hexo、Astro、VitePress 等生成的真实静态站。不要使用 Nginx 默认欢迎页或空白页。

Nginx 配置

编辑：

1

sudo vim /etc/nginx/sites-available/cdn.example.com

Debian 13 或 Ubuntu 26.04 及以上可写入：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51

server {
    listen 443 ssl default_server;
    listen [::]:443 ssl default_server;
    ssl_reject_handshake on;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;

    server_name cdn.example.com;

    ssl_certificate /etc/nginx/ssl/cdn.example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/cdn.example.com.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    root /var/www/camouflage;
    index index.html;
    error_page 404 /404.html;

    location ^~ /a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 {
        if ($http_x_access_token != "f9e2c4a7b1d8e6c3a0f5b2d9e8c1a4b7d6e0f3a9c2b5d1e8") {
            return 404;
        }

        grpc_pass grpc://127.0.0.1:10000;
        grpc_set_header Host $host;
        grpc_set_header X-Real-IP $remote_addr;
        grpc_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        grpc_connect_timeout 60s;
        grpc_send_timeout 3600s;
        grpc_read_timeout 3600s;
    }

    location = /404.html {
        internal;
    }

    location / {
        try_files $uri $uri/ =404;
    }

    access_log /var/log/nginx/cdn.example.com.access.log;
    error_log /var/log/nginx/cdn.example.com.error.log warn;
}

若为 Ubuntu 24.04 及以下，则需要用 listen 443 ssl http2 default_server;、listen [::]:443 ssl http2 default_server;、listen 443 ssl http2;、listen [::]:443 ssl http2; 这样的写法，并删除 http2 on;。

第一个 default_server 用于拒绝错误 SNI、直接访问 IP、未带 SNI 的 HTTPS 探测。无需再准备自签默认证书。

启用站点：

1
2
3

sudo ln -sf /etc/nginx/sites-available/cdn.example.com /etc/nginx/sites-enabled/cdn.example.com
sudo nginx -t
sudo systemctl reload nginx

Xray 服务端配置

编辑：

1

sudo vim /usr/local/etc/xray/config.json

写入，注意替换 UUID、域名、路径：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76

{
  "log": {
    "loglevel": "warning"
  },
  "dns": {
    "servers": [
      "https+local://1.1.1.1/dns-query",
      "https+local://8.8.8.8/dns-query"
    ],
    "queryStrategy": "UseIP"
  },
  "inbounds": [
    {
      "tag": "vless-xhttp-in",
      "listen": "127.0.0.1",
      "port": 10000,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "替换为你的 UUID",
            "email": "sammy"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "security": "none",
        "xhttpSettings": {
          "host": "cdn.example.com",
          "path": "/a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
          "mode": "auto",
          "xPaddingBytes": "100-1000",
          "xPaddingObfsMode": true,
          "xPaddingMethod": "tokenish",
          "xPaddingPlacement": "header",
          "xPaddingHeader": "X-Cache",
          "xPaddingKey": "_dc",
          "serverMaxHeaderBytes": 8192
        }
      }
    }
  ],
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {
        "domainStrategy": "UseIP"
      }
    },
    {
      "tag": "block",
      "protocol": "blackhole"
    }
  ],
  "routing": {
    "rules": [
      {
        "type": "field",
        "ip": [
          "geoip:private"
        ],
        "outboundTag": "block"
      },
      {
        "type": "field",
        "protocol": [
          "bittorrent"
        ],
        "outboundTag": "block"
      }
    ]
  }
}

检查并启动：

1
2
3

sudo xray run -test -config /usr/local/etc/xray/config.json
sudo systemctl enable --now xray
sudo systemctl restart xray

检查监听：

1

sudo ss -tlnp | grep 10000

应看到：

1

127.0.0.1:10000

客户端配置

以下为 Xray 客户端示例。注意替换 UUID、域名、路径和 Header Token。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "tag": "socks-in",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "udp": true
      }
    },
    {
      "tag": "http-in",
      "listen": "127.0.0.1",
      "port": 10809,
      "protocol": "http",
      "settings": {}
    }
  ],
  "outbounds": [
    {
      "tag": "proxy",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "cdn.example.com",
            "port": 443,
            "users": [
              {
                "id": "替换为你的 UUID",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "xhttp",
        "security": "tls",
        "tlsSettings": {
          "serverName": "cdn.example.com",
          "alpn": [
            "h2"
          ],
          "fingerprint": "chrome",
          "echConfigList": "https://1.1.1.1/dns-query"
        },
        "xhttpSettings": {
          "host": "cdn.example.com",
          "path": "/a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
          "mode": "auto",
          "headers": {
            "X-Access-Token": "f9e2c4a7b1d8e6c3a0f5b2d9e8c1a4b7d6e0f3a9c2b5d1e8"
          },
          "xPaddingBytes": "100-1000",
          "xPaddingObfsMode": true,
          "xPaddingMethod": "tokenish",
          "xPaddingPlacement": "header",
          "xPaddingHeader": "X-Cache",
          "xPaddingKey": "_dc"
        }
      }
    },
    {
      "tag": "direct",
      "protocol": "freedom"
    },
    {
      "tag": "block",
      "protocol": "blackhole"
    }
  ],
  "routing": {
    "rules": [
      {
        "type": "field",
        "ip": [
          "geoip:private"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "protocol": [
          "bittorrent"
        ],
        "outboundTag": "block"
      }
    ]
  }
}

ECH 配置

2026 年 5 月后的新版 Xray-core 中，配置 echConfigList 即表示启用 ECH，并会强制使用 ECH；如果拿不到有效 ECHConfig，客户端不会回退到明文 SNI。

1

"echConfigList": "https://1.1.1.1/dns-query"

如果 ECH 导致连接失败，可尝试把 echConfigList 改为 udp://1.1.1.1，或者删除该字段，即不启用 ECH。

使用 Cloudflare 优选 IP

如果使用优选 IP，只改：

1

"address": "104.16.132.229"

以下两项保持真实域名：

1

"serverName": "cdn.example.com"

1

"host": "cdn.example.com"

验证

服务状态

1
2
3

sudo systemctl status nginx
sudo systemctl status xray
sudo ss -tlnp | grep -E '443|10000'

应看到：

1
2
3

0.0.0.0:443
[::]:443
127.0.0.1:10000

浏览器访问

访问：

1

https://cdn.example.com

应显示伪装站首页。

访问：

1

https://cdn.example.com/任意不存在路径

应显示自定义 404。

访问隐藏路径：

1

https://cdn.example.com/a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6

也应显示 404，因为浏览器没有 X-Access-Token。

直接访问源站 IP 或错误域名，应在 TLS 握手阶段被拒绝，不应返回站点证书或伪装站内容。

检查 ECHConfig

在客户端本地执行：

1

dig cdn.example.com HTTPS @1.1.1.1

返回中应包含：

1

ech=...

常见问题

Cloudflare 返回 403

检查：

1. Cloudflare gRPC 是否开启
2. DNS 是否为橙色云
3. SSL/TLS 是否为 Full 或 Full strict
4. Nginx 是否监听 443
5. Nginx 是否启用 http2 on;

Cloudflare 返回 525 / 526

检查：

1. 证书是否存在
2. 证书域名是否匹配 cdn.example.com
3. 证书是否过期
4. Cloudflare SSL/TLS 是否为 Full strict

浏览器正常，客户端不通

检查：

1. UUID 是否一致
2. 路径是否一致
3. Header Token 是否一致
4. 客户端 serverName 是否为真实域名
5. 客户端 host 是否为真实域名
6. Xray 是否监听 127.0.0.1:10000
7. Nginx 是否使用 grpc_pass grpc://127.0.0.1:10000

mode: auto 不稳定

客户端改为：

1

"mode": "packet-up"

服务端保持：

1

"mode": "auto"

ECH 导致连接失败

如果当前是：

1

"echConfigList": "https://1.1.1.1/dns-query"

先改成：

1

"echConfigList": "udp://1.1.1.1"

如果仍然不通，删除 echConfigList 这一行，即不启用 ECH。若删除后能连接，说明 ECHConfig 查询、本地 DNS 路径或当前网络对 ECH 的支持不稳定。

v26 padding 字段报错

升级 Xray-core。若客户端暂不支持，删除以下字段：

1
2
3
4
5

"xPaddingObfsMode": true,
"xPaddingMethod": "tokenish",
"xPaddingPlacement": "header",
"xPaddingHeader": "X-Cache",
"xPaddingKey": "_dc"

只保留：

1

"xPaddingBytes": "100-1000"

客户端和服务端要保持一致。

更新维护

更新系统组件

1
2
3

sudo apt update
sudo apt upgrade -y
sudo systemctl reload nginx

更新 Xray

1
2
3

sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
sudo systemctl restart xray
xray version

手动续期测试

1

sudo /root/.acme.sh/acme.sh --cron --home /root/.acme.sh --force

轮换 UUID、路径和 Token

建议 3 到 6 个月轮换一次：

1
2
3

xray uuid
openssl rand -hex 16
openssl rand -hex 24

同步修改：

1. Xray 服务端 UUID
2. Xray 服务端 path
3. Nginx location path
4. Nginx Header Token
5. 客户端 UUID
6. 客户端 path
7. 客户端 Header Token
8. Cloudflare Cache Rule
9. Cloudflare WAF Skip Rule

最终配置摘要

References

Xray-core XHTTP #4113

Xray-install

Xray Transport / ECH

Cloudflare gRPC connections

Cloudflare Full strict

Cloudflare ECH

Cloudflare IP ranges

Cloudflare Cache Rules

Cloudflare WAF Skip action

Nginx changelog

Nginx grpc module

Nginx SSL module

acme.sh

acme.sh Cloudflare DNS API

本文以 Debian 13 为例，介绍如何搭建 sing-box 的 Hysteria2 服务端，并说明对应的客户端配置文件的格式。本文同样完全适用于 Ubuntu 24.04 及以上系统。

本方案有以下特点：

1. 基于 QUIC（UDP）传输，配合 Brutal 拥塞控制可在高丢包环境下维持较高吞吐
2. 需要域名，需要 TLS 证书（本文使用 ACME DNS-01 自动签发）
3. 启用 salamander 混淆以规避按标准 QUIC Initial 提取 SNI 的审查
4. 配合端口跳跃以缓解运营商单端口 UDP 阻断
5. 无需 Nginx 或其他 Web 服务器，客户端与 VPS 直连

该方案适用于需要 UDP 吞吐、线路存在拥塞或 QoS 的场景。对于 UDP 环境恶劣、更重视长期隐蔽性的场景，建议考虑 AnyTLS + REALITY 方案 等基于 TCP 的方案。

注：请先参照 Debian & Ubuntu 服务器的初始化配置 一文对服务器进行各种必要的配置。本文以 sammy 用户为例，进行 sing-box 的部署，并默认已按初始化配置文章对服务器进行了配置。

背景与原理

Hysteria2 与审查现状

Hysteria2 基于 QUIC 协议。有些研究显示，自 2024 年 4 月起，已开始针对特定域名实施 QUIC SNI 审查：虽然 QUIC Initial 是加密的，但其密钥可由被动观察者派生，因此审查设备可以解密 Initial 包并提取 SNI。命中规则后，会对对应的源 IP、目的 IP、目的 UDP 端口三元组实施约 180 秒的残留丢包。

这说明标准 QUIC Initial 中的 SNI 已不能视为对被动审查者不可见。需要注意的是，公开研究主要证明的是 对 QUIC Initial/SNI 的解析与阻断机制，并不等于所有未混淆 Hysteria2 流量都会被稳定识别和封锁。

因此，本文默认启用 salamander 混淆。salamander 会使外层 UDP payload 不再呈现标准 QUIC/HTTP3 形态，从而避免被按标准 QUIC Initial 提取 SNI。但这不代表流量不可检测；它仍可能表现为随机 UDP，并受到基于流量统计、持续速率或运营商 UDP 策略的影响。

在运营商层面，中国用户长期存在持续 UDP 连接被限速或单端口阻断的反馈。Hysteria 官方文档也提到，中国用户有时会遇到 ISP 阻断或限速持续 UDP 连接，且此类限制往往只作用于当前端口。因此，本文采用高位端口配合端口跳跃，作为对单端口 UDP 限制的缓解手段。

启用 salamander 后，服务器对不知道 obfs 密码的普通探测者不再表现为有效 HTTP/3 服务，因此 masquerade 不应被视为主要伪装手段。两者不是配置项互斥，但在 salamander 模式下，masquerade 的实际作用有限。

拥塞控制选择

Hysteria2 内置两种拥塞控制模式：

BBR：主流拥塞控制算法之一，不需要用户手动声明带宽，行为通常比 Brutal 更接近常规 QUIC/TCP 拥塞响应。FOCI 2025 的实验表明 Brutal 的自定义拥塞控制更容易产生可分类的统计特征；但这并不代表 BBR 完全不可被区分，只能说相对 Brutal 指纹风险更低。配置简单，适合作为首次部署的默认选择。

Brutal：用户声明目标带宽，丢包时不降速而是补偿发送。适用于骨干网拥塞（高 RTT、高丢包）场景，前提是准确声明带宽。声明值高于实际会导致大量无效重传。Brutal 只在实际传输数据时按目标速率发包，空闲时不产生额外流量。需注意 FOCI 2025 论文已在实验室环境中证明 Brutal 的恒速率行为可与标准拥塞控制统计区分，存在指纹风险。

选择建议：首次部署、免费实例、小流量配额、弱性能节点或更重视隐蔽性的场景用 BBR；优化线路或需要吞吐的普通线路，且能准确声明带宽时，可切换为保守 Brutal。

本方案不适用的场景

1. 运营商实施 UDP 白名单策略（仅放行可识别协议的 UDP、阻断其余所有 UDP）
2. VPS IP 已被标记为全端口 UDP 封锁
3. 公司、校园、酒店等 UDP 受限网络环境（应改用 TCP 方案）

准备工作

服务器

1. 可用的公网 IP 服务器
2. 根据防火墙位置放行 UDP 入站：本机防火墙放行 sing-box 监听端口；云平台安全组 / 网络安全组放行端口跳跃范围

域名与 DNS

1. 将域名的 NS 记录指向 Cloudflare（若尚未托管）
2. 在 Cloudflare 控制台为域名添加 A 记录，指向 VPS 的公网 IP。若 VPS 有 IPv6 地址，并且你也准备配置 IPv6 端口跳跃与云防火墙 IPv6 入站规则，可额外添加 AAAA 记录；否则建议暂时只添加 A 记录，避免客户端优先连接 IPv6 后因端口跳跃未配置而失败
3. DNS 记录必须设为 DNS only（灰色云朵）。Hysteria2 客户端必须直连 VPS IP；Cloudflare 橙云代理只代理特定 HTTP/HTTPS 端口到 Cloudflare 边缘，不会将任意 UDP Hysteria2 流量转发到源站
4. 在 Cloudflare 控制台创建 API Token，权限为 Zone → DNS → Edit，作用域限定至当前域名。

ACME DNS-01 验证过程中，sing-box 会通过该 API Token 自动创建和清理 _acme-challenge TXT 记录，无需手动操作。证书到期前也会自动续签。

安装所需基本工具

1

sudo apt update && sudo apt install curl vim wget ca-certificates -y

安装 sing-box

sing-box 官方提供了 APT 仓库，推荐优先使用此方式，便于后续升级。

1
2
3
4
5
6
7
8
9
10
11
12
13

sudo mkdir -p /etc/apt/keyrings &&
   sudo curl -fsSL https://sing-box.app/gpg.key -o /etc/apt/keyrings/sagernet.asc &&
   sudo chmod a+r /etc/apt/keyrings/sagernet.asc &&
   echo '
Types: deb
URIs: https://deb.sagernet.org/
Suites: *
Components: *
Enabled: yes
Signed-By: /etc/apt/keyrings/sagernet.asc
' | sudo tee /etc/apt/sources.list.d/sagernet.sources &&
   sudo apt-get update &&
   sudo apt-get install sing-box

验证版本：

1

sing-box version

APT 包已自带 systemd 单元，服务读取 /etc/sing-box/config.json。此时尚未编写配置文件，暂不启动服务。

生成密码

用户认证密码

1

openssl rand -base64 16

用于服务端 users[].password 与客户端 password 字段。

混淆密码

1

openssl rand -base64 32

用于服务端与客户端的 obfs.password 字段。混淆密码与用户认证密码是两个独立的凭据，不应使用相同的值。

防火墙与端口跳跃

系统防火墙

本文示例将 sing-box 实际监听端口设为 29999。该端口只作为 VPS 本机 NAT REDIRECT 后的内部目标端口，客户端不会直接连接它；外部可见的是 30000–50000 的端口跳跃范围。因此监听端口选择 29999 或其他未占用 UDP 端口，在审查和伪装层面没有区别，只需避免与现有服务冲突。

由于 iptables REDIRECT 发生在 nat 表的 PREROUTING 链，包进入 INPUT 链（UFW 在此处检查）时目标端口已被改写为 29999，因此本机 UFW 只需放行监听端口：

1

sudo ufw allow 29999/udp

若 VPS 位于云平台（如 Oracle Cloud），云防火墙（安全列表 / 网络安全组）工作在 VPS 外部、iptables 之前，必须放行整个端口跳跃范围，否则包到不了 VPS。

仅需放行 UDP。Hysteria2 全程基于 QUIC/UDP，不涉及 TCP。

端口跳跃 NAT 规则

sing-box 上的 Hysteria2 服务端只能监听单个端口。端口跳跃可通过 NAT REDIRECT 实现。

若系统使用 UFW 管理防火墙，建议将 NAT 规则写入 UFW 的 before.rules，避免引入 netfilter-persistent 与 UFW 产生规则冲突。

首先确认公网网卡名称：

1

ip route get 1.1.1.1

常见网卡名为 eth0（Vultr、搬瓦工等）或 ens3（Oracle Cloud）。以下示例以 eth0、端口跳跃范围 30000–50000、监听端口 29999 为例，按实际替换。

编辑 /etc/ufw/before.rules，在文件末尾追加以下内容（不要插入到已有的 *filter 段中）：

1

sudo vim /etc/ufw/before.rules

1
2
3
4
5

# hysteria2 port hopping
*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -i eth0 -p udp --dport 30000:50000 -j REDIRECT --to-ports 29999
COMMIT

若 VPS 有 IPv6 地址且需要 IPv6 端口跳跃，先确认内核支持 IPv6 nat 表：

1

sudo ip6tables -t nat -L

若命令正常输出（即使为空），说明支持。编辑 /etc/ufw/before6.rules，在文件末尾追加：

1

sudo vim /etc/ufw/before6.rules

1
2
3
4
5

# hysteria2 port hopping
*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -i eth0 -p udp --dport 30000:50000 -j REDIRECT --to-ports 29999
COMMIT

若命令报错（如 Table does not exist），不要将 *nat 段写入 before6.rules。ip6tables-restore 遇到不支持的表会导致 before6.rules 加载失败，使 IPv6 防火墙规则未按预期生效。此时只配置 IPv4 端口跳跃即可。

重载 UFW 使规则生效：

1

sudo ufw reload

NAT 规则随 UFW 一起持久化，重启后自动加载。可通过以下命令验证规则已生效：

1
2

sudo iptables -t nat -L PREROUTING -n
sudo ip6tables -t nat -L PREROUTING -n

配置 sing-box

创建配置文件

1
2

sudo mkdir -p /etc/sing-box
sudo vim /etc/sing-box/config.json

以下先给出 BBR 模式的完整配置，再说明如何切换为 Brutal。

BBR 模式

不需要声明带宽，配置简单，指纹风险相对较低。适用于免费实例、小流量配额、弱性能节点或首次部署验证连通性。

注意替换其中的密码、域名、邮箱和 Cloudflare API Token。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71

{
  "log": {
    "level": "warn",
    "timestamp": true
  },
  "dns": {
    "servers": [
      {
        "type": "https",
        "tag": "local",
        "server": "1.1.1.1"
      }
    ],
    "strategy": "prefer_ipv4"
  },
  "inbounds": [
    {
      "type": "hysteria2",
      "tag": "hy2-in",
      "listen": "::",
      "listen_port": 29999,
      "ignore_client_bandwidth": true,
      "obfs": {
        "type": "salamander",
        "password": "你生成的混淆密码"
      },
      "users": [
        {
          "name": "sammy",
          "password": "你生成的用户认证密码"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "你的域名",
        "alpn": ["h3"],
        "acme": {
          "domain": "你的域名",
          "email": "你的邮箱",
          "dns01_challenge": {
            "provider": "cloudflare",
            "api_token": "你的 Cloudflare API Token"
          }
        }
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct",
      "tag": "direct",
      "domain_resolver": "local"
    }
  ],
  "route": {
    "rules": [
      {
        "action": "sniff"
      },
      {
        "ip_is_private": true,
        "action": "reject"
      },
      {
        "protocol": "bittorrent",
        "action": "reject"
      }
    ],
    "final": "direct"
  }
}

切换为 Brutal 模式

若线路存在明显拥塞（晚高峰 BBR 吞吐过低），可切换为 Brutal。将 ignore_client_bandwidth 替换为 up_mbps 和 down_mbps：

1
2

"up_mbps": 500,
"down_mbps": 50,

up_mbps 是服务端发送上限（对应客户端下载），down_mbps 是服务端接收上限（对应客户端上传）。建议填写实际链路带宽的 30–70%，不要高于实际可达速度。两组参数互斥，不可同时使用。

切换后客户端也需要相应增加带宽声明，参见后文客户端配置。

关键字段说明

具体参见 Hysteria2 Inbound。

inbounds[].listen_port：本机监听端口。客户端不直接连接此端口，而是连接端口跳跃范围内的端口，由 NAT REDIRECT 转发至此。

inbounds[].ignore_client_bandwidth：设为 true 时令客户端使用 BBR 拥塞控制。与 up_mbps/down_mbps 互斥。

inbounds[].up_mbps 与 down_mbps：服务端带宽声明，单位 Mbps。设置后客户端将使用 Brutal 拥塞控制。

inbounds[].obfs：salamander 混淆配置。启用后外层 UDP payload 不再呈现标准 QUIC 形态。

inbounds[].tls：TLS 配置。acme 配置 Let’s Encrypt 自动证书签发与续签，通过 DNS-01 验证，不依赖 80 端口。

outbounds[]：本方案作为纯代理服务端，只需一个 direct 出站。

route.rules[] 中的规则：ip_is_private 拒绝内网访问，protocol: bittorrent 拒绝 BT 流量。

配置校验

1

sudo sing-box check -c /etc/sing-box/config.json

若无输出则表示通过校验。

启动服务

1
2
3

sudo systemctl enable --now sing-box
sudo systemctl status sing-box
sudo journalctl -u sing-box --output cat -e

首次启动时 sing-box 会通过 ACME 签发证书，需要数秒至数十秒。若日志出现证书相关错误，检查 Cloudflare API Token 权限及域名 DNS 配置。

客户端配置文件

BBR 模式客户端

BBR 模式不需要设置 up_mbps 和 down_mbps。

注意替换其中的用户认证密码、混淆密码和域名。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110