fexumo

AnyTLS 部署指南（sing-box）

Fri, 11 Sep 2026 00:00:00 GMT

证书两种方案任选其一：ACME 自动申请（推荐，需域名）或自签名证书。ACME 使用 certificate_providers 写法，需要 sing-box 1.14.0+。AnyTLS 占用 TCP 443，不能用 TLS-ALPN 挑战（会与入站抢端口），用 HTTP-01（TCP 80）或 DNS-01。用 IP 申请会自动套用 Let's Encrypt shortlived 短期证书（约 6 天有效期、续期频繁），故推荐域名。自签名方案不要把 insecure 当默认。字段说明见 AnyTLS inbound。

一、部署前准备

确认以下条件：

VPS 使用 Debian、Ubuntu 等带 systemd 的 Linux 发行版，具备 root 或 sudo 权限；官方安装脚本覆盖 deb / rpm / Arch / OpenWrt；
一个已解析到该 VPS 的域名，以及可接收邮件的邮箱（ACME 申请用）；
云安全组和本机防火墙放行 TCP 443，且未被 Nginx、Caddy 等占用；ACME HTTP-01 还需放行 TCP 80——只改安全组不够；
准备一个足够复杂的连接密码。

二、安装 sing-box

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

输出中的版本号必须 ≥ 1.14.0，否则不认识 certificate_providers。若要钉死版本：

bash

curl -fsSL https://sing-box.app/install.sh | sh -s -- --version 1.14.0

脚本会下载 sing-box、安装 systemd 服务（以 sing-box 用户运行）并创建 /etc/sing-box/。

三、生成证书（二选一）

方案 A：ACME 自动申请（推荐，使用域名）

把域名解析到 VPS 后按第四章配置，sing-box 会自动完成证书签发与续期。挑战只能走 HTTP-01（TCP 80）或 DNS-01，不要用 TLS-ALPN。

方案 B：自签名证书

bash

sudo openssl ecparam -name prime256v1 -genkey -noout \
  -out /etc/sing-box/server.key

sudo openssl req -x509 -nodes \
  -key /etc/sing-box/server.key \
  -out /etc/sing-box/server.crt \
  -subj "/CN=bing.com" \
  -addext "subjectAltName=DNS:bing.com" \
  -days 825

sudo chmod 600 /etc/sing-box/server.key
sudo chmod 644 /etc/sing-box/server.crt

CN=bing.com 只是示例伪装名，不代表证书由 Bing 签发。-addext 给证书附加 subjectAltName（SAN）——把证书导入客户端信任列表并启用严格校验时，SAN 必须与 server_name 一致。有效期用 825 天，避免部分客户端拒绝「过长有效期」的证书。密钥用 P-256，不要改成 Ed25519。

使用此方案时删除 certificate_providers 段，tls 段改为：

json

"tls": {
  "enabled": true,
  "certificate_path": "/etc/sing-box/server.crt",
  "key_path": "/etc/sing-box/server.key"
}

客户端应导入该证书并保持 insecure 为关闭。"insecure": true 等于放弃证书校验，任意中间人可冒充服务端，只适合临时排障。

四、写入服务端配置

将下面的配置写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "certificate_providers": [
    {
      "type": "acme",
      "tag": "acme_cert",
      "domain": [
        "YOUR_DOMAIN"
      ],
      "email": "YOUR_EMAIL@example.com",
      "data_directory": "/var/lib/sing-box/certmagic"
    }
  ],
  "inbounds": [
    {
      "type": "anytls",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN",
        "certificate_provider": "acme_cert"
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

data_directory 必须落在官方服务的 StateDirectory（/var/lib/sing-box）下。省略时 ACME 数据跟 sing-box 用户的 HOME 走，重启后可能丢证书或写不进去。

必须修改的字段

配置项	修改为
`certificate_providers[0].domain[0]`	你的域名（需解析到该 VPS）
`certificate_providers[0].email`	你的邮箱地址
`inbounds[0].users[0].password`	高强度连接密码
`inbounds[0].tls.server_name`	与证书所用的域名相同
`inbounds[0].listen`	默认 `::`。机器禁用 IPv6 时改为 `0.0.0.0`

YOUR_DOMAIN 必须在 domain[0] 和 tls.server_name 两处保持一致，且已解析到当前 VPS；密码不要继续使用示例值。

建议限制配置文件权限：

bash

sudo chmod 600 /etc/sing-box/config.json

可选字段说明

padding_scheme：服务端填充方案，客户端无需配置；留空时使用内置默认方案，一般无需修改；
users[].name：可选字段，仅用于日志中区分用户。

客户端不要设置 client_metadata。1.13.16 起默认留空，避免被对端画像；不要为了「完整」把它加回去。

五、检查并启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box
sudo systemctl status sing-box --no-pager

check 没有输出且退出码为 0 表示配置通过。status 应为 active (running)；否则查看日志：

bash

sudo journalctl -u sing-box --output cat -e

六、服务管理

操作	命令
查看状态	`sudo systemctl status sing-box --no-pager`
启动	`sudo systemctl start sing-box`
停止	`sudo systemctl stop sing-box`
重启	`sudo systemctl restart sing-box`
禁用开机自启	`sudo systemctl disable sing-box`
查看最近日志	`sudo journalctl -u sing-box --output cat -e`
实时查看日志	`sudo journalctl -u sing-box --output cat -f`

七、客户端配置参考

下面是一份可直接 sing-box check 的最小客户端配置：本地 mixed 入站 + 一个出站。出站必须放在 outbounds 数组里，不能把出站对象单独当成完整配置文件。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "anytls",
      "tag": "anytls-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

本机 SOCKS / HTTP 代理为 127.0.0.1:1080。

要点：

客户端字段	说明
`server`	VPS 公网 IP
`password`	与服务端 `users[0].password` 完全一致
`tls.server_name`	与服务端 `tls.server_name` 一致，即证书申请所用的域名

服务端使用 ACME 签发的公网受信证书时，客户端不要设置 insecure。使用自签名证书（方案 B）时，把服务端证书导入客户端信任列表，而不是打开 insecure。

八、故障排查

1. 443 端口无法监听

检查端口占用：

bash

sudo ss -lntp | grep ':443'

如果已有 Nginx、Caddy 或其他 sing-box 实例监听 443，需要停止冲突服务，或修改 listen_port。禁用 IPv6 时把 listen 改为 0.0.0.0。

2. ACME 证书申请失败

重点检查：

域名是否已解析到该 VPS（可用 dig +short 你的域名 确认）；
domain[0] 与 tls.server_name 是否一致；
TCP 80 是否放行、是否被占用（HTTP-01）；不要指望 TLS-ALPN，443 已被 AnyTLS 占用；
data_directory 是否为 /var/lib/sing-box/certmagic；
系统时间是否准确；
日志中是否出现证书申请或验证错误。

3. 修改配置后服务无法启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo journalctl -u sing-box -n 100 --no-pager

4. 客户端无法连接

依次确认：

systemctl status 为 active (running)；
VPS 防火墙和云安全组放行 TCP 443；
客户端密码与 users[0].password 完全一致；
服务端日志中没有认证失败或证书错误。

九、安全建议

密码用长随机值，不要示例字符串；
config.json 与 server.key 权限 600；
优先 ACME 公网证书；自签要导入证书，不要长期开 insecure；
不要自定义 client_metadata；
定期升级 sing-box，升级后重新执行 sing-box check。

Hysteria2 部署指南（sing-box）

Fri, 11 Sep 2026 00:00:00 GMT

Hysteria2 基于 QUIC，服务端监听 UDP 端口。证书两种方案任选其一：ACME 自动申请（推荐，需域名）或自签名证书。ACME 使用 certificate_providers 写法，需要 sing-box 1.14.0+。入站是 UDP 443，TCP 443 空着，因此挑战可用 HTTP-01（TCP 80）或 TLS-ALPN（TCP 443）。用 IP 申请会自动套用 Let's Encrypt shortlived 短期证书（约 6 天有效期、续期频繁），故推荐域名。自签名方案不要把 insecure 当默认。字段说明见 Hysteria2 inbound 与 outbound。

一、部署前准备

一台使用 systemd 的 Linux VPS，具备 root 或 sudo 权限；官方安装脚本覆盖 deb / rpm / Arch / OpenWrt；
一个已解析到该 VPS 公网 IP 的域名，以及可接收邮件的邮箱（ACME 申请用）；
云安全组和本机防火墙放行 UDP 443，且未被其他服务占用；启用端口跳跃时还需放行整个 UDP 范围（如 20000–40000），不是只放行 443 或 9443——只改安全组不够；
使用 ACME 时按挑战方式放行对应 TCP 端口（HTTP-01 为 80，TLS-ALPN 为 443）；
准备一个较长、随机的认证密码。

二、安装 sing-box

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

输出中的版本号必须 ≥ 1.14.0，否则不认识 certificate_providers / gecko / bbr_profile。若要钉死版本：

bash

curl -fsSL https://sing-box.app/install.sh | sh -s -- --version 1.14.0

脚本会下载 sing-box、安装 systemd 服务（以 sing-box 用户运行）并创建 /etc/sing-box/。

三、生成证书（二选一）

方案 A：ACME 自动申请（推荐，使用域名）

配置见第四章；把域名解析到该 VPS 后自动完成证书签发与续期。HTTP-01 与 TLS-ALPN 都可以（后者走 TCP 443，与 UDP 443 不冲突）。

方案 B：自签名证书

bash

sudo openssl ecparam -name prime256v1 -genkey -noout \
  -out /etc/sing-box/server.key

sudo openssl req -x509 -nodes \
  -key /etc/sing-box/server.key \
  -out /etc/sing-box/server.crt \
  -subj "/CN=bing.com" \
  -addext "subjectAltName=DNS:bing.com" \
  -days 825

sudo chmod 600 /etc/sing-box/server.key
sudo chmod 644 /etc/sing-box/server.crt

CN=bing.com 只是示例伪装名，不代表证书由 Bing 签发。-addext 给证书附加 SAN——导入客户端信任列表并严格校验时，SAN 必须与 server_name 一致。有效期用 825 天，避免部分客户端拒绝过长有效期。密钥必须是 P-256（或 RSA）；不要用 Ed25519——sing-box 1.14 客户端默认鹦鹉 Chrome QUIC，Chrome 不声明 Ed25519，握手会失败（ACME 证书不受影响）。

使用此方案时删除 certificate_providers 段，tls 段改为：

json

"tls": {
  "enabled": true,
  "certificate_path": "/etc/sing-box/server.crt",
  "key_path": "/etc/sing-box/server.key"
}

客户端应导入该证书并保持 insecure 为关闭。"insecure": true 等于放弃证书校验，只适合临时排障。server_name 填证书中的伪装域名（如 bing.com）。

四、写入服务端配置

将以下配置写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "certificate_providers": [
    {
      "type": "acme",
      "tag": "acme_cert",
      "domain": [
        "YOUR_DOMAIN"
      ],
      "email": "YOUR_EMAIL@example.com",
      "data_directory": "/var/lib/sing-box/certmagic"
    }
  ],
  "inbounds": [
    {
      "type": "hysteria2",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN",
        "certificate_provider": "acme_cert"
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

data_directory 必须落在官方服务的 StateDirectory（/var/lib/sing-box）下。省略时 ACME 数据跟 sing-box 用户的 HOME 走，重启后可能丢证书或写不进去。

必须修改的字段

配置项	说明
`certificate_providers[0].domain[0]`	你的域名（需解析到该 VPS）
`certificate_providers[0].email`	你的邮箱地址
`users[0].password`	客户端连接时使用的密码，必须修改
`tls.server_name`	与 `domain[0]` 保持一致
`listen`	默认 `::`。机器禁用 IPv6 时改为 `0.0.0.0`

YOUR_DOMAIN 必须在 domain[0] 和 tls.server_name 两处保持一致，且已解析到当前 VPS；密码不要继续使用示例值。

可选字段说明

up_mbps / down_mbps：服务端向客户端下发 Brutal 速率上限；留空则不限速。与 ignore_client_bandwidth 互斥；
ignore_client_bandwidth：仅服务端。未设置带宽时命令客户端改用 BBR；已设置带宽时禁止客户端用 BBR；
bbr_profile（1.14+）：BBR 档位，可选 conservative、standard、aggressive，默认 standard；
obfs：QUIC 流量混淆，支持 salamander 与 gecko（1.14+），见下方示例；
masquerade：认证失败时的 HTTP3 伪装响应，见下方示例；未配置时返回 404；
users：密码认证；官方程序的 userpass 写法在 sing-box 中需将 username:password 整体作为密码。

客户端出站自己的 up_mbps / down_mbps 是该客户端的带宽声明：留空则该客户端使用 BBR，与服务端是否限速是两件事。

可选：obfs 混淆示例

在入站中加入 obfs 段（服务端与客户端的类型、密码必须完全一致）：

json

"obfs": {
  "type": "salamander",
  "password": "OBFS_PASSWORD"
}

使用 gecko（1.14+）时把 type 改为 gecko，还可调整 min_packet_size（默认 512）与 max_packet_size（默认 1200）。

可选：masquerade 伪装示例

对象写法（认证失败时反向代理到真实网站）：

json

"masquerade": {
  "type": "proxy",
  "url": "https://www.bing.com/",
  "rewrite_host": true
}

也可以用字符串简写 "masquerade": "https://www.bing.com/"，或改用 file 类型将 directory 指向本地站点目录作为文件服务器。

生成随机密码并设置配置文件权限：

bash

openssl rand -base64 32
sudo chmod 600 /etc/sing-box/config.json

五、检查并启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box
sudo systemctl status sing-box --no-pager

check 没有输出且退出码为 0 表示配置通过。status 应为 active (running)；否则查看日志：

bash

sudo journalctl -u sing-box --output cat -e

六、服务管理

操作	命令
查看状态	`sudo systemctl status sing-box --no-pager`
启动	`sudo systemctl start sing-box`
停止	`sudo systemctl stop sing-box`
重启	`sudo systemctl restart sing-box`
禁用开机自启	`sudo systemctl disable sing-box`
查看最近日志	`sudo journalctl -u sing-box --output cat -e`
实时查看日志	`sudo journalctl -u sing-box --output cat -f`

七、客户端配置参考

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "hysteria2",
      "tag": "hy2-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

本机 SOCKS / HTTP 代理为 127.0.0.1:1080。

要点：

客户端字段	说明
`server`	VPS 公网 IP
`server_port`	与服务端 `listen_port` 一致；启用端口跳跃时改用 `server_ports`，此时不要写 `server_port`
`password`	与服务端 `users[0].password` 完全一致
`tls.server_name`	与服务端 `tls.server_name` 一致，即证书申请所用的域名

ACME 公网受信证书不要加 insecure。自签名（方案 B）应导入服务端证书；server_name 填证书中的伪装域名（如 bing.com）。

服务端启用 obfs 时，客户端需配置类型与密码一致的 obfs 段。1.14 客户端默认鹦鹉 Chrome QUIC；服务端若误用 Ed25519 证书会握手失败，可在客户端设 "disable_chrome_parrot": true 做对比测试，生产环境应换 ECDSA/RSA 证书而不是关鹦鹉。

八、配置端口跳跃（可选）

客户端用一个 UDP 端口范围连接，由 iptables 转发到实际服务端口。示例：跳跃端口 20000:40000，实际监听 9443，网卡 eth0。

安全组 / 防火墙必须放行 UDP 20000–40000。DNAT 之后数据包打到本机 9443，公网不必再放行 443 或 9443。

1. 修改监听端口

将 "listen_port": 443 改为 9443，并重启服务：

bash

sudo systemctl restart sing-box

2. 添加转发规则

安装持久化工具并添加 IPv4 / IPv6 转发规则：

bash

sudo apt update
sudo apt install -y iptables-persistent

sudo iptables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo ip6tables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo netfilter-persistent save

网卡不是 eth0 时替换为实际接口名（ip route get 1.1.1.1 可查看）；规则中的网卡、端口范围、目标端口须与实际配置一致，添加前建议先备份现有规则。

3. 客户端（端口跳跃）

server_ports 与 server_port 冲突，只保留范围。单元素时官方允许省略数组括号，写成字符串也可以：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "hysteria2",
      "tag": "hy2-out",
      "server": "YOUR_SERVER_IP",
      "server_ports": [
        "20000:40000"
      ],
      "hop_interval": "30s",
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

hop_interval 默认 30s；1.14+ 可用 hop_interval_max 做随机间隔。

4. 删除转发规则

停用端口跳跃前删除对应规则：

bash

sudo iptables -t nat -D PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo ip6tables -t nat -D PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo netfilter-persistent save

九、故障排查

1. 服务启动失败

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo journalctl -u sing-box -n 100 --no-pager

重点排查：

sing-box version 是否 ≥ 1.14.0；
证书路径是否正确，密钥文件权限是否可读；
data_directory 是否可被 sing-box 用户写入；
up_mbps / down_mbps 是否与 ignore_client_bandwidth 同时设置；
UDP 端口是否被占用（sudo ss -lunp | grep -E ':443|:9443'）；
禁用 IPv6 的机器是否仍在听 ::。

2. 服务启动但客户端无法连接

依次检查：

服务端口是否按 UDP 放行（只放行 TCP 不够）；
云安全组是否放行对应 UDP 端口；
客户端密码是否完全一致；
自签名证书是否已导入、server_name 是否与证书中的伪装域名一致；不要靠长期 insecure；
服务端是否误用了 Ed25519 证书；
服务端日志是否有认证失败或 QUIC 错误。

3. 端口跳跃不生效

重点检查：

服务端是否监听 9443；
客户端是否用了 server_ports 且没有同时写 server_port；
DNAT 规则是否使用 UDP、网卡是否为公网接口；
防火墙是否放行整个跳跃端口范围（UDP 20000–40000）；
IPv4 和 IPv6 是否分别添加了规则。

查看 NAT 规则：

bash

sudo iptables -t nat -L PREROUTING -n -v
sudo ip6tables -t nat -L PREROUTING -n -v

4. 带宽参数怎么填写

up_mbps 和 down_mbps 应接近 VPS 实际带宽，填写过大可能导致拥塞、丢包或速度不稳。

服务端不想限速：删除这两个字段（不限速，不是「强制 BBR」）；
要客户端改用 BBR：在入站设 "ignore_client_bandwidth": true（此时不要同时写带宽字段）；
客户端自己的 up_mbps / down_mbps 留空，该客户端使用 BBR。

十、安全建议

密码用长随机值，不要示例字符串；
config.json 与 server.key 权限 600；
优先 ACME 公网证书；自签要导入证书，不要长期开 insecure；
自签 / 手写证书用 P-256 或 RSA，不要 Ed25519；
定期升级 sing-box，升级后重新执行 sing-box check。

Shadowsocks 部署指南（sing-box）

Fri, 11 Sep 2026 00:00:00 GMT

Shadowsocks 2022 版（2022-blake3-*）修复了旧版协议的重放攻击漏洞，建议只使用 2022 系列加密方法。协议自带加密，无 TLS 层，无需证书。需要 sing-box 1.14.0 及以上（与本系列其他篇一致；2022 方法本身更早可用）。字段说明见 Shadowsocks inbound。

一、部署前准备

一台使用 systemd 的 Linux VPS，具备 root 或 sudo 权限；官方安装脚本覆盖 deb / rpm / Arch / OpenWrt；
云安全组和本机防火墙都放行 TCP 443，且未被其他程序占用；服务端默认同时监听 TCP 和 UDP，需要 UDP 转发时一并放行——只改安全组不够；
一个符合加密方法要求的密钥（见第三章）。

二、安装 sing-box

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

输出中的版本号必须 ≥ 1.14.0。若要钉死版本：

bash

curl -fsSL https://sing-box.app/install.sh | sh -s -- --version 1.14.0

脚本会下载 sing-box、安装 systemd 服务（以 sing-box 用户运行）并创建 /etc/sing-box/。

三、选择加密方法并生成密钥

1. 加密方法选择

加密方法	密钥长度	说明
`2022-blake3-aes-128-gcm`	16 字节	AES-128，主流选择，CPU 支持 AES 加速时性能最好
`2022-blake3-aes-256-gcm`	32 字节	AES-256，安全性余量更大
`2022-blake3-chacha20-poly1305`	32 字节	无 AES 硬件加速的设备（部分 ARM）上性能更好；不支持多用户（EIH）

2. 生成密钥

2022 系列要求密钥为恰好对应长度的 Base64 字符串，直接用 sing-box 生成：

bash

# 16 字节（对应 aes-128-gcm）
sing-box generate rand --base64 16

# 32 字节（对应 aes-256-gcm 或 chacha20-poly1305）
sing-box generate rand --base64 32

也可以用 OpenSSL 生成：

bash

openssl rand -base64 16

密钥必须与客户端完全一致，且长度必须精确匹配所选加密方法，否则服务端无法启动或连接失败。

四、写入服务端配置

将以下配置写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "shadowsocks",
      "listen": "::",
      "listen_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "CHANGE_THIS_TO_GENERATED_KEY"
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

必须修改的字段

配置项	说明
`password`	替换为生成的密钥，长度必须匹配加密方法
`method`	与客户端一致的加密方法，默认示例为 `2022-blake3-aes-128-gcm`
`listen_port`	服务端监听端口，默认 `443`
`listen`	默认 `::`（IPv6 + IPv4）。机器禁用 IPv6 时改为 `0.0.0.0`

可选字段说明

network：省略时同时监听 TCP 与 UDP，一般无需设置。只保留 TCP 时设为 "tcp"，只保留 UDP 时设为 "udp"。官方字段是二者之一，不要写 "tcp,udp"，也不要写成数组 ["tcp", "udp"]——要双栈就删掉该字段；
multiplex：多路复用；padding: true 启用填充、增加流量特征随机性，两端需配置一致（示例见下）。

可选：启用多路复用（示例）

服务端入站与客户端出站加入相同配置：

json

"multiplex": {
  "enabled": true,
  "padding": true
}

开启 padding 后服务端会拒绝未填充的连接。

设置配置文件权限（官方服务以 sing-box 用户运行，600、属主 root 即可）：

bash

sudo chmod 600 /etc/sing-box/config.json

五、检查并启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box
sudo systemctl status sing-box --no-pager

check 没有输出且退出码为 0 表示配置通过。status 应为 active (running)；否则查看日志：

bash

sudo journalctl -u sing-box --output cat -e

六、服务管理

操作	命令
查看状态	`sudo systemctl status sing-box --no-pager`
启动	`sudo systemctl start sing-box`
停止	`sudo systemctl stop sing-box`
重启	`sudo systemctl restart sing-box`
禁用开机自启	`sudo systemctl disable sing-box`
查看最近日志	`sudo journalctl -u sing-box --output cat -e`
实时查看日志	`sudo journalctl -u sing-box --output cat -f`

七、客户端配置参考

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "shadowsocks",
      "tag": "ss-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "CHANGE_THIS_TO_GENERATED_KEY"
    }
  ]
}

本机 SOCKS / HTTP 代理为 127.0.0.1:1080。

要点：

客户端字段	说明
`server`	VPS 公网 IP
`server_port`	与服务端 `listen_port` 一致
`method`	与服务端 `method` 完全一致
`password`	与服务端 `password` 完全一致

Shadowsocks 无 TLS 层，客户端不配置 tls 段。开在 443 能过防火墙，但流量不像 HTTPS。客户端出站默认同时支持 TCP 与 UDP（network 留空即两者）；若只走 TCP，设为 "tcp"。UDP 能否实际使用由服务端 network 与防火墙共同决定。启用服务端 multiplex 时，客户端需配置一致的 multiplex 段。

八、多用户配置（可选）

单端口多用户使用 users 数组：顶层 password 是服务端密钥（必填，不要删除），users 中为每个用户的独立密钥：

json

{
  "inbounds": [
    {
      "type": "shadowsocks",
      "listen": "::",
      "listen_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "SERVER_KEY",
      "users": [
        {
          "name": "user1",
          "password": "USER1_KEY"
        },
        {
          "name": "user2",
          "password": "USER2_KEY"
        }
      ]
    }
  ]
}

name 仅用于日志标识，可以省略；顶层 password 与每个 users[].password 都按所选方法生成（如 sing-box generate rand --base64 16）。

对应用户的客户端出站 password 需要把两段密钥用冒号拼起来——服务端密钥在前、用户密钥在后：

json

"password": "SERVER_KEY:USER_KEY"

EIH 多用户仅支持 2022-blake3-aes-128-gcm 与 2022-blake3-aes-256-gcm 两种方法；2022-blake3-chacha20-poly1305 不支持多用户。

中转链场景（流量经另一台 Shadowsocks 服务器转发）需要链式拼接多层 iPSK（参考 SIP023 规范），配置较复杂，本文不展开；普通自用场景用上面的多用户即可。

九、故障排查

1. 服务启动失败

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo journalctl -u sing-box -n 100 --no-pager

重点排查：

password 长度是否与加密方法匹配（aes-128-gcm 对应 16 字节 Base64，其余对应 32 字节）；
password 是否为合法 Base64 字符串；
使用多用户时顶层 password（服务端密钥）是否缺失——多用户模式下它仍是必填项；
network 是否写成了 "tcp,udp" 或数组；
端口是否被占用（TCP 与 UDP 都看：sudo ss -lntup | grep ':443'）；
禁用 IPv6 的机器是否仍在听 ::（改为 0.0.0.0）。

2. 客户端无法连接

依次确认：

systemctl status 为 active (running)；
云安全组和系统防火墙放行对应端口（服务端默认同时监听 TCP 与 UDP，需要 UDP 时记得放行）；
客户端 method 与服务端一致；单用户时 password 与服务端完全一致，多用户时 password 为 服务端密钥:用户密钥 形式（顺序、冒号均不能错）；
客户端密钥长度与服务端相同（两侧必须使用同一套密钥，不是各生成各的）；
multiplex 两侧配置一致；
服务端日志中没有认证失败或解密错误。

3. 日志频繁出现认证失败

少量失败通常来自互联网扫描，属正常现象。持续大量失败时检查：

客户端密钥是否与 password 完全一致（注意 Base64 大小写和结尾 =）；
密钥是否已泄露，泄露后立即更换。

十、安全建议

只使用 2022 系列加密方法；旧版（aes-256-gcm 等非 2022 前缀）存在已知重放攻击风险；
密钥用生成命令出，长度必须匹配加密方法；泄露后立即更换；
config.json 权限 600；
443 上无 TLS，被主动探测时特征与 HTTPS 不同；
定期升级 sing-box，升级后重新执行 sing-box check。

Snell v6 部署指南（sing-box）

Fri, 11 Sep 2026 00:00:00 GMT

Snell 为 sing-box 1.14.0 新增。请安装 1.14.0 及以上，并在写入配置前用 sing-box version 确认。字段说明见 Snell inbound 与 outbound。

一、Snell v6 简介

Snell v6 使用预共享密钥（PSK）派生协议画像，并通过 mode 控制流量整形方式。不同 PSK 会产生不同的部署特征，因此不要在多个服务之间重复使用同一个 PSK。

常用模式：

模式	说明
`default`	默认流量整形模式，适合生产环境
`unshaped`	不应用流量整形，回退到 v4 风格的随机数据流特征
`unsafe-raw`	明文调试模式，不提供加密能力，禁止用于生产环境

二、部署前准备

一台使用 systemd 的 Linux VPS，具备 root 或 sudo 权限；官方安装脚本覆盖 deb / rpm / Arch / OpenWrt，不是任意发行版；
云安全组和本机防火墙（ufw / firewalld / nftables）都放行 TCP 443，且未被其他程序占用——只改安全组不够；
准备一串长度为 12–255 字节的随机 PSK。

三、安装 sing-box

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

输出中的版本号必须 ≥ 1.14.0，否则入站类型 snell 无法识别。若要钉死版本：

bash

curl -fsSL https://sing-box.app/install.sh | sh -s -- --version 1.14.0

脚本会下载 sing-box、安装 systemd 服务（以 sing-box 用户运行，配置目录 /etc/sing-box/）。

四、生成 PSK

PSK 的字符串长度必须在 12–255 字节之间。推荐用 sing-box 自带命令生成 32 字节随机值的 Base64 编码（44 个字符，稳定落在范围内）：

bash

sing-box generate rand --base64 32

复制输出结果，稍后填入配置中的 psk。也可以用 OpenSSL 生成同样长度的随机值：

bash

openssl rand -base64 32

长度按 Base64 文本本身计算：原始随机值不要超过 189 字节（Base64 后约 252 个字符），超出 255 字节上限会导致配置校验失败。不要使用短密码、可猜测字符串或多个服务器共用的 PSK。

五、写入服务端配置

将以下配置写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "snell",
      "listen": "::",
      "listen_port": 443,
      "version": 6,
      "psk": "CHANGE_THIS_TO_A_GENERATED_PSK"
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

必须修改的字段

配置项	说明
`inbounds[0].psk`	替换为刚刚生成的随机 PSK（长度 12–255 字节，按字符串本身计）
`inbounds[0].listen_port`	服务端监听端口，默认 `443`
`inbounds[0].listen`	默认 `::`（IPv6 + IPv4）。机器禁用 IPv6、启动报 `cannot assign requested address` 时改为 `0.0.0.0`

mode 默认为 default（流量整形），推荐保持默认，仅在明确了解影响时修改。可选 "reuse": true 启用连接复用（Snell v2 CONNECT），一般保持默认即可。

设置配置文件权限（官方服务以 sing-box 用户运行，600、属主 root 即可）：

bash

sudo chmod 600 /etc/sing-box/config.json

六、多用户配置（可选）

如果需要为不同用户设置独立密钥，可以使用 users。顶层 psk 作为服务器密钥，每个用户使用自己的 userkey：

json

{
  "inbounds": [
    {
      "type": "snell",
      "listen": "::",
      "listen_port": 443,
      "version": 6,
      "psk": "SERVER_PSK",
      "users": [
        {
          "name": "user1",
          "userkey": "USER1_KEY"
        },
        {
          "name": "user2",
          "userkey": "USER2_KEY"
        }
      ]
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

name 仅用于日志标识，可以省略；userkey 用于对应用户认证。

对应用户的客户端出站需要同时填写服务端顶层 psk 和该用户的 userkey：

json

"psk": "SERVER_PSK",
"userkey": "USER1_KEY"

七、检查并启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box
sudo systemctl status sing-box --no-pager

check 没有输出且退出码为 0 表示配置通过。status 应为 active (running)；否则查看日志：

bash

sudo journalctl -u sing-box --output cat -e

八、服务管理

操作	命令
查看状态	`sudo systemctl status sing-box --no-pager`
启动	`sudo systemctl start sing-box`
停止	`sudo systemctl stop sing-box`
重启	`sudo systemctl restart sing-box`
禁用开机自启	`sudo systemctl disable sing-box`
查看最近日志	`sudo journalctl -u sing-box --output cat -e`
实时查看日志	`sudo journalctl -u sing-box --output cat -f`

九、客户端配置参考

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "snell",
      "tag": "snell-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "psk": "CHANGE_THIS_TO_A_GENERATED_PSK",
      "version": 6
    }
  ]
}

本机 SOCKS / HTTP 代理为 127.0.0.1:1080。

要点：

客户端字段	说明
`server`	VPS 公网 IP
`server_port`	与服务端 `listen_port` 一致
`psk`	始终填服务端顶层 `psk`；服务端启用多用户时，还需填写属于该用户的 `userkey`
`version`	与服务端 `version` 一致，Snell v6 为 `6`

Snell 协议自带加密，没有 TLS 层。把服务开在 443 能过防火墙，但流量不像 HTTPS，按需换端口或接受可探测性。v6 的 mode 需要两端一致：客户端默认为 default，与服务端默认相同；服务端改用 unshaped 时客户端也要同步修改（unsafe-raw 仅供调试）。客户端同样需要 sing-box 1.14.0+。

十、故障排查

1. 服务启动失败

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo journalctl -u sing-box -n 100 --no-pager

重点排查：

sing-box version 是否 ≥ 1.14.0；
version 是否写为数字 6；
PSK 是否为空或长度不在 12–255 字节范围内；
443 端口是否被其他程序占用（sudo ss -lntp | grep ':443'）；
禁用 IPv6 的机器是否仍在听 ::（改为 0.0.0.0）。

2. 客户端无法连接

依次确认：

systemctl status 为 active (running)；
客户端地址、端口和 PSK 完全一致；
云安全组和系统防火墙放行 TCP 443；
两端 mode 是否一致（默认均为 default）；
多用户时客户端填对应 userkey；
服务端日志中没有认证失败或协议版本错误。

3. 是否应该使用 `unsafe-raw`

不应该。unsafe-raw 仅适合本地调试、流量不加密；生产环境应使用 default，或在了解兼容性影响后使用 unshaped。

4. 如何确认版本兼容性

出现 unknown inbound type、unsupported version 等错误时，说明当前版本不支持 Snell v6，升级到 1.14.0+ 后重试。

十一、安全建议

PSK 用生成命令出，长度落在 12–255 字节，不要短口令、不要多机复用；
config.json 权限 600；
不要在生产环境使用 unsafe-raw；
443 上无 TLS，被主动探测时特征与 HTTPS 不同；
定期升级 sing-box，升级后重新执行 sing-box check。

VLESS 部署指南（sing-box）

Fri, 11 Sep 2026 00:00:00 GMT

采用 VLESS + Reality + xtls-rprx-vision 方案：无需域名和证书，伪装为正常 HTTPS 流量。需要 sing-box 1.14.0 及以上（与本系列其他篇一致；Reality 本身更早可用）。字段说明见 VLESS inbound 与 TLS / Reality。

一、部署前准备

一台使用 systemd 的 Linux VPS，具备 root 或 sudo 权限；官方安装脚本覆盖 deb / rpm / Arch / OpenWrt；
云安全组和本机防火墙放行 TCP 443，且未被其他程序占用——只改安全组不够；
出站方向可正常访问 443 端口（Reality 握手需要转发到目标站点）。

二、安装 sing-box

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

输出中的版本号必须 ≥ 1.14.0。若要钉死版本：

bash

curl -fsSL https://sing-box.app/install.sh | sh -s -- --version 1.14.0

脚本会下载 sing-box、安装 systemd 服务（以 sing-box 用户运行）并创建 /etc/sing-box/。

三、生成密钥和用户标识

1. 生成 Reality 密钥对

bash

sing-box generate reality-keypair

输出示例：

text

PrivateKey: YOUR_PRIVATE_KEY
PublicKey:  YOUR_PUBLIC_KEY

PrivateKey 填入服务端配置；
PublicKey 填入客户端配置。

2. 生成用户 UUID

bash

sing-box generate uuid

不要手编「好记」的 UUID。

3. 生成 short_id

short_id 是十六进制字符串，解码后不能超过 8 字节（即最多 16 个十六进制字符，长度必须为偶数）。一般用 OpenSSL 生成 4 字节（8 个字符）：

bash

openssl rand -hex 4

超过 16 个十六进制字符会导致配置校验失败。把三项输出记录好，下一步分别填入服务端和客户端配置。

四、写入服务端配置

将以下配置写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "vless",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "uuid": "CHANGE_THIS_TO_GENERATED_UUID",
          "flow": "xtls-rprx-vision"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "www.microsoft.com",
        "reality": {
          "enabled": true,
          "handshake": {
            "server": "www.microsoft.com",
            "server_port": 443
          },
          "private_key": "CHANGE_THIS_TO_PRIVATE_KEY",
          "short_id": [
            "CHANGE_THIS_TO_SHORT_ID"
          ]
        }
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

使用 xtls-rprx-vision 时不要启用 multiplex。

必须修改的字段

配置项	填入内容
`users[0].uuid`	`sing-box generate uuid` 的输出
`tls.reality.private_key`	`sing-box generate reality-keypair` 输出的 `PrivateKey`
`tls.reality.short_id`	`openssl rand -hex 4` 的输出（偶数长度，最多 16 个十六进制字符）
`tls.server_name` / `tls.reality.handshake.server`	用于伪装的目标站点域名
`listen`	默认 `::`。机器禁用 IPv6 时改为 `0.0.0.0`

设置配置文件权限（官方服务以 sing-box 用户运行，600、属主 root 即可）：

bash

sudo chmod 600 /etc/sing-box/config.json

伪装站点怎么选

server_name 和 handshake.server 决定 Reality 借用哪个真实站点完成握手：

选国外大型、支持 TLS 1.3 和 HTTP/2 的 HTTPS 站点，最好与 VPS 地区较近；
不要使用自己控制或容易关停的站点；
常见选择：www.microsoft.com、www.samsung.com、www.lovelive-anime.jp 等；
VPS 必须能出站访问该站点，选完先在 VPS 上 curl -I 验证。

server_name、handshake.server 与客户端的 server_name 必须完全一致。

五、检查并启动

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box
sudo systemctl status sing-box --no-pager

check 没有输出且退出码为 0 表示配置通过。status 应为 active (running)；否则查看日志：

bash

sudo journalctl -u sing-box --output cat -e

六、服务管理

操作	命令
查看状态	`sudo systemctl status sing-box --no-pager`
启动	`sudo systemctl start sing-box`
停止	`sudo systemctl stop sing-box`
重启	`sudo systemctl restart sing-box`
禁用开机自启	`sudo systemctl disable sing-box`
查看最近日志	`sudo journalctl -u sing-box --output cat -e`
实时查看日志	`sudo journalctl -u sing-box --output cat -f`

七、客户端配置参考

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "vless-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "uuid": "CHANGE_THIS_TO_GENERATED_UUID",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "www.microsoft.com",
        "utls": {
          "enabled": true,
          "fingerprint": "chrome"
        },
        "reality": {
          "enabled": true,
          "public_key": "CHANGE_THIS_TO_PUBLIC_KEY",
          "short_id": "CHANGE_THIS_TO_SHORT_ID"
        }
      }
    }
  ]
}

本机 SOCKS / HTTP 代理为 127.0.0.1:1080。

要点：

客户端字段	说明
`server`	VPS 公网 IP
`uuid`	与服务端 `users[0].uuid` 一致
`flow`	必须同为 `xtls-rprx-vision`，两端不能只有一端启用
`tls.server_name`	与服务端 `server_name` 一致
`tls.reality.public_key`	服务端密钥对中的 `PublicKey`
`tls.reality.short_id`	服务端 `short_id` 列表中的其中一项（客户端是字符串，服务端是数组）
`utls.fingerprint`	模拟的浏览器 TLS 指纹，常用 `chrome`

八、故障排查

1. 服务启动失败

bash

sudo sing-box check -c /etc/sing-box/config.json
sudo journalctl -u sing-box -n 100 --no-pager

重点排查：

private_key 是否完整复制，注意结尾不要带引号或空格；
short_id 是否为偶数长度、且解码后不超过 8 字节的十六进制字符串（超过 16 个字符会校验失败）；
443 端口是否被其他程序占用（sudo ss -lntp | grep ':443'）；
UUID 是否为有效格式；
是否在 Vision 下误开了 multiplex；
禁用 IPv6 的机器是否仍在听 ::（改为 0.0.0.0）。

2. 客户端无法连接

依次确认：

systemctl status 为 active (running)；
云安全组和系统防火墙放行 TCP 443；
客户端 uuid、flow、server_name、public_key、short_id 与服务端完全一致；
flow 两端一致：要么都启用，要么都不启用；
客户端与服务端系统时间相差过大也会导致握手失败。可用 tls.reality.max_time_difference 放宽容差（官方示例为 1m，省略时的默认值以当前版本文档为准）；
VPS 能正常出站访问伪装站点：

bash

curl -I --max-time 10 https://www.microsoft.com

如果出站被墙或被拦截，更换 handshake.server 为可访问的站点。

3. 可以同时启用多用户吗

可以。在 users 数组中添加多个用户，每个用户使用独立 UUID：

json

"users": [
  {
    "uuid": "USER1_UUID",
    "flow": "xtls-rprx-vision"
  },
  {
    "uuid": "USER2_UUID",
    "flow": "xtls-rprx-vision"
  }
]

所有用户共用同一组 Reality 密钥和 short_id，修改配置后重启服务生效。

4. 为什么没有证书申请环节

Reality 模式下证书由伪装目标站点的握手链路提供，服务端只保管自己的密钥对，因此无需域名、无需 ACME——既省去证书续期，也降低了被主动探测识别的概率。

九、安全建议

UUID、Reality 密钥对、short_id 全部用生成命令出，不要手编弱值；
config.json 权限 600；私钥只留在服务端，公钥给客户端；
xtls-rprx-vision 不要搭配 multiplex；
伪装站选 VPS 能出站访问、且不是你自己控制的站点；
定期升级 sing-box，升级后重新执行 sing-box check。

Debian 手动创建 Swap 文件

Sun, 02 Aug 2026 00:00:00 GMT

Swap 可在内存不足时提供磁盘缓冲，但速度远低于 RAM。以下命令需使用 root，示例创建 1 GB Swap。

检查状态

bash

swapon --show
free -h

创建并启用

bash

fallocate -l 1G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile

若 fallocate 创建的文件无法启用，改用：

bash

dd if=/dev/zero of=/swapfile bs=1M count=1024 status=progress
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile

用 swapon --show 确认。

设置开机启用

确认没有重复配置后，再追加到 /etc/fstab：

bash

echo '/swapfile none swap sw 0 0' >> /etc/fstab
findmnt --verify

调整 Swappiness

服务器可按负载将默认值 60 调低到 10：

bash

echo 'vm.swappiness=10' > /etc/sysctl.d/99-swappiness.conf
sysctl --system
sysctl vm.swappiness

长期频繁使用 Swap，通常说明内存不足，应优先优化应用或增加 RAM。

删除

bash

swapoff /swapfile
# 从 /etc/fstab 删除对应行
rm -f /swapfile
swapon --show
free -h

激活失败时，检查文件权限是否为 600；必要时改用 dd，并查看 dmesg | tail -n 30。

你好，Rust

Sat, 01 Aug 2026 00:00:00 GMT

这是 fexumo 的第一篇文章：一个纯 Rust、零依赖的静态博客生成器。

它包含什么

Markdown 渲染：标题、列表、引用、表格、图片和代码块
RSS、sitemap、响应式布局和文章目录
分层架构：内容、日期、渲染、文件系统各自独立

添加文章

在 content/ 新建 Markdown 文件：

markdown

---
title: 新文章标题
date: 2026-08-01
---
正文从这里开始。

文件名会成为 URL slug。构建器负责日期校验、URL 净化、摘要、排序和旧页面清理。

交互

首次访问跟随设备明暗模式，可手动切换主题。界面不依赖 hover，也没有鼠标拖尾；点击、触控和键盘操作都可用。

为什么用 Rust

标准库已经足够。依赖越少，构建越直接，部署结果越容易检查。当前使用 Rust 1.98 与 2024 edition。

fexumo

AnyTLS 部署指南（sing-box）

#一、部署前准备

#二、安装 sing-box

#三、生成证书（二选一）

#方案 A：ACME 自动申请（推荐，使用域名）

#方案 B：自签名证书

#四、写入服务端配置

#必须修改的字段

#可选字段说明

#五、检查并启动

#六、服务管理

#七、客户端配置参考

#八、故障排查

#1. 443 端口无法监听

#2. ACME 证书申请失败

#3. 修改配置后服务无法启动

#4. 客户端无法连接

#九、安全建议

Hysteria2 部署指南（sing-box）

#一、部署前准备

#二、安装 sing-box

#三、生成证书（二选一）

#方案 A：ACME 自动申请（推荐，使用域名）

#方案 B：自签名证书

#四、写入服务端配置

#必须修改的字段

#可选字段说明

#可选：obfs 混淆示例

#可选：masquerade 伪装示例

#五、检查并启动

#六、服务管理

#七、客户端配置参考

#八、配置端口跳跃（可选）

#1. 修改监听端口

#2. 添加转发规则

#3. 客户端（端口跳跃）

#4. 删除转发规则

#九、故障排查

#1. 服务启动失败

#2. 服务启动但客户端无法连接

#3. 端口跳跃不生效

#4. 带宽参数怎么填写

#十、安全建议

Shadowsocks 部署指南（sing-box）

#一、部署前准备

#二、安装 sing-box

#三、选择加密方法并生成密钥

#1. 加密方法选择

#2. 生成密钥

#四、写入服务端配置

#必须修改的字段

#可选字段说明

#可选：启用多路复用（示例）

#五、检查并启动

#六、服务管理

#七、客户端配置参考

#八、多用户配置（可选）

#九、故障排查

#1. 服务启动失败

#2. 客户端无法连接

#3. 日志频繁出现认证失败

#十、安全建议

Snell v6 部署指南（sing-box）

#一、Snell v6 简介

#二、部署前准备

#三、安装 sing-box

#四、生成 PSK

#五、写入服务端配置

#必须修改的字段

#六、多用户配置（可选）

#七、检查并启动

#八、服务管理

#九、客户端配置参考

#十、故障排查

#1. 服务启动失败

#2. 客户端无法连接

#3. 是否应该使用 unsafe-raw

#4. 如何确认版本兼容性

#十一、安全建议

一、部署前准备

二、安装 sing-box

三、生成证书（二选一）

方案 A：ACME 自动申请（推荐，使用域名）

方案 B：自签名证书

四、写入服务端配置

必须修改的字段

可选字段说明

五、检查并启动

六、服务管理

七、客户端配置参考

八、故障排查

1. 443 端口无法监听

2. ACME 证书申请失败

3. 修改配置后服务无法启动

4. 客户端无法连接

九、安全建议

一、部署前准备

二、安装 sing-box

三、生成证书（二选一）

方案 A：ACME 自动申请（推荐，使用域名）

方案 B：自签名证书

四、写入服务端配置

必须修改的字段

可选字段说明

可选：obfs 混淆示例

可选：masquerade 伪装示例

五、检查并启动

六、服务管理

七、客户端配置参考

八、配置端口跳跃（可选）

1. 修改监听端口

2. 添加转发规则

3. 客户端（端口跳跃）

4. 删除转发规则

九、故障排查

1. 服务启动失败

2. 服务启动但客户端无法连接

3. 端口跳跃不生效

4. 带宽参数怎么填写

十、安全建议

一、部署前准备

二、安装 sing-box

三、选择加密方法并生成密钥

1. 加密方法选择

2. 生成密钥

四、写入服务端配置

必须修改的字段

可选字段说明

可选：启用多路复用（示例）

五、检查并启动

六、服务管理

七、客户端配置参考

八、多用户配置（可选）

九、故障排查

1. 服务启动失败

2. 客户端无法连接

3. 日志频繁出现认证失败

十、安全建议

一、Snell v6 简介

二、部署前准备

三、安装 sing-box

四、生成 PSK

五、写入服务端配置

必须修改的字段

六、多用户配置（可选）

七、检查并启动

八、服务管理

九、客户端配置参考

十、故障排查

1. 服务启动失败

2. 客户端无法连接

3. 是否应该使用 `unsafe-raw`

4. 如何确认版本兼容性

十一、安全建议

一、部署前准备

二、安装 sing-box

三、生成密钥和用户标识

1. 生成 Reality 密钥对

2. 生成用户 UUID