代理 on 边个濑椰的博客

从零开始配置VPS

Tue, 30 Jun 2026 15:17:20 +0800

近日，出于笔者对高质量LLM的需求，引发了对高峰期仍能保持稳定的代理、纯净度较高的IP地址的需要。所以笔者决定不再用机场服务作主力，转向租用海外VPS做个人自用代理。

折腾的两个月以来，笔者遇到了VPS被恶意攻击、IP地址被封禁等问题。与此同时，网络上，比如YouTube的视频教程大多都极简，只能保证用户成功搭建起入站、客户端，但是既缺少对VPS本身安全性的保护教程，也容易使用户“知其然而不知其所以然”。但也不乏新协议、技术相关的内容，比如使用XHTTP协议使被封IP的VPS重焕生机、BBRv3的介绍等…这些是笔者所欠缺的知识。

综上，笔者将从自身的折腾经验出发，分享如何从零开始配置VPS，主要内容如下：

VPS 选购
安全性配置
3x-ui 安装
入站与客户端配置
clash 订阅配置
CloudFlare Tunnel
客户端导入订阅

参考网站：

VPS选购

这篇博客并非广告，VPS 提供商的来源为 NodeSeek 以及 LLM 的输出（多为ChatGPT）。笔者在选购的时候，主要是找带有三网优化（TRI）的 VPS 服务，比如BandwagonHost、DMIT、GigsGigsCloud、Vmiss和Hostdare等一系列 VPS 提供商，它们的价格、地区均有差异。作为中国用户，首先要关注的就是 VPS 的线路，大致有以下几种：

TRI 在 VPS 商家语境里通常是 Tri-network optimized 的缩写，即“三网优化”。它不是某个运营商的正式线路名称，而是套餐命名方式。一般表示电信、联通、移动三家分别尽量走较优路径，例如电信走 CN2 GIA，联通走 9929 或 4837 优化，移动走 CMI/CMIN2。
CN2 常见于中国电信方向，全称通常理解为 China Telecom Next Generation Carrier Network，常见分类有 CN2 GT 和 CN2 GIA。GIA，即 Global Internet Access，通常比 GT 更高端，价格更贵，低峰和晚高峰的稳定性也通常更好。
9929 通常指中国联通 AS9929，也常被称为联通精品网、CUII，是一类走联通优质国际链路的线路标识。相比联通普通骨干网 AS4837，9929 一般更适合对联通用户优化，常见于香港、日本、美国西海岸等面向中国大陆优化的 VPS。
4837 通常指中国联通普通骨干网 AS4837，也就是 China169 Backbone。它覆盖面广、成本相对低，但国际方向在高峰期更容易受到拥塞影响。
CMI 通常指中国移动国际线路，常见 AS 号是 AS58453；CMIN2 则是近年 VPS 圈里常见的移动高端线路说法，常与 AS58807 相关。对于中国移动用户，CMI/CMIN2 的体验往往比绕路国际 BGP 更稳定。

不同的 VPS 的服务详情，节点速率、延迟等数据，均可以通过搜索引擎查阅到，笔者不多赘述。此外，两个月前笔者挑选 VPS 时，就有优质线路服务短缺的问题，比如 DMIT，笔者观察了许久，时至今日大多产品也都是"Out of stock"的状态，其它的提供商也是同理（除了配置比较豪华的服务）。现在看来当时能搞到一台 VPS 用到现在，大概是运气好吧。

下面，当成功付款后，会被分配到一台 VPS 供我们折腾，操作系统的选择个人认为区别大不，管理界面大致如下：

通常这里会有最为重要的，VPS 的 IP 信息，以及一些基本的管理功能。

安全性配置

开机后，第一步就是基本的安全性配置，避免被恶意攻击。笔者在前几天遭遇了一次，原因是因为偷懒没有禁用密码登录，fail2ban的规则也没设置好，于是在被攻击了长达1个小时后，IP也被封了（可能是巧合）。这还是 IP 被封了以后，发现 CPU 利用率在一段时间内竟是 100% 发现的。

首先，通过 SSH 和提供的最初的 root 账户连接到 VPS 上（使用提供商的 VNC console 也可以），执行下面的命令进行软件的更新，以及必要的 ufw 和 fail2ban 的安装：

1
2


apt update && apt full-upgrade -y
apt install -y sudo curl wget vim git ufw fail2ban

SSH登录

出于历史教训，应尽早关闭密码登录，仅保留 SSH 密钥登录方法。笔者是用了 VPS 官方控制台的 openSSH，它会自动生成好密钥文件到 VPS 中，并关闭密码登录，我需要做的只是把密钥文件配置到客户端的机器上，以便于访问。

切换到客户端机器的用户目录下，找到（或者创建）.ssh 目录，存放生成的密钥文件，文件名随意。之后再创建（或编辑）一个名为 config 的文件，需要新增内容样式如下：

1
2
3
4
5


Host vps
 HostName 1.2.3.4
 User root
 IdentityFile ~/.ssh/id_ed25519
 IdentitiesOnly yes

字段解释如下：

1
2
3
4
5


Host : 本地别名（以后 ssh vps）
HostName : VPS 的 IP 或域名
User : 登录用户名（root / deploy）
IdentityFile : 私钥路径
IdentitiesOnly : 强制只用该密钥，避免 SSH 自动尝试其他 key

如果要自己生成密钥文件的话，那么顺序不同，且 VPS 上也要进行对应操作。首先，在客户端机器上生成一个随机密钥：

1

ssh-keygen -t ed25519

把密钥复制到 VPS 上：

1
2
3
4


mkdir -p ~/.ssh
nano ~/.ssh/authorized_keys # 把生成好的密钥复制进去
chmod 600 ~/.ssh/authorized_keys
chmod 700 ~/.ssh

群晖NAS代理及Emby配置

Mon, 16 Feb 2026 11:12:15 +0800

近日笔者在使用群晖NAS的v2rayA时遇到了时间同步不正确导致的无法正常使用的问题，导致emby无法刮削。虽然不知道原因，但也是个老问题了，版本很旧，而且用的是第三方软件市场的docker，现在docker也不能裸连获取了。下面是解决经验：

重新安装v2rayA
配置docker版的emby。

参考网站：

Linux 后备安装方式 - v2rayA

XTLS/Xray-core: Xray, Penetrates Everything. Also the best v2ray-core. Where the magic happens. An open platform for various uses.

群晖实现透明代理 - v2rayA

sjtuross/syno-iptables: Some missing iptables modules for Synology

群晖 DSM 7.2 为 Container Manager（docker）设置代理_群晖docker设置代理-CSDN博客

v2rayA

由v2rayA的官方文档可见，群晖并没有特别适配的版本，所以采用通用的二进制文件进行安装。既然裸连也无法从github上拉取文件，我们在电脑上下好传到NAS上。此外，下面的安装内容实则和文档略有不同。

拷贝v2rayA和xray

1
2
3
4


cp v2raya_linux_x64 /usr/local/bin/v2raya
cp xray /usr/local/bin/
chmod +x /usr/local/bin/v2raya
chmod +x /usr/local/bin/xray

拷贝xray自带的GFWList代理规则文件：geoip.dat和geosite.dat
1 2 3

cd /usr/local/share mkdir xray cp .../g* xray

修改service配置文件

1

sudo vi /etc/systemd/system/v2raya.service

内容由ChatGPT结合官方文档生成：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


[Unit]
Description=v2rayA Service
After=network.target

[Service]
Type=simple
User=root
Environment="V2RAYA_CONFIG=/usr/local/etc/v2raya"
Environment="V2RAYA_LOG_FILE=/tmp/v2raya.log"
Environment="XRAY_LOCATION_ASSET=/usr/local/share/xray"
ExecStart=/usr/local/bin/v2raya --passcheckroot
Restart=on-failure
LimitNOFILE=1000000

[Install]
WantedBy=multi-user.target

激活v2rayA，根据官方文档，采用服务的形式运行
1 2

sudo systemctl start v2raya sudo systemctl status v2raya
配置开机自启。理论上这步之后配置完毕，笔者又顺便解决了群晖用不了透明代理的问题
1 2

sudo systemctl enable v2raya sudo systemctl is-enabled v2raya

激活透明代理

arch	kernel	iptables version	system model	platform version
apollolake	4.4.180+	v1.8.3	DS918+	7.0.1-42218
apollolake	4.4.59+	v1.6.0	DS918+	6.2.3-25426
broadwell	3.10.105	v1.6.0	DS3617xs	6.2.3-25426
bromolow	3.10.105	v1.6.0	DS3615xs	6.2.3-25426
geminilake	4.4.180+	v1.8.3	DS920+	7.1-42661
geminilake	4.4.302+	v1.8.3	DS220+	7.2-64570

由于群晖系统的原因，先根据型号确定架构，然后从github仓库中下好的模块中选出适配机器的文件（比如笔者的DS224是geminilake）

上传相应的ko模块至/lib/modules/，上传相应的so模块至/usr/lib/iptables/，即可。

运行sudo -i之后再运行以下insmod命令尝试加载ko内核模块。由于模块互相有依赖性，需按一定顺序加载

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


insmod /lib/modules/nfnetlink.ko
insmod /lib/modules/ip_set.ko
insmod /lib/modules/ip_set_hash_ip.ko
insmod /lib/modules/xt_set.ko
insmod /lib/modules/ip_set_hash_net.ko
insmod /lib/modules/xt_mark.ko
insmod /lib/modules/xt_connmark.ko
insmod /lib/modules/xt_comment.ko
insmod /lib/modules/xt_TPROXY.ko
insmod /lib/modules/xt_socket.ko
insmod /lib/modules/iptable_mangle.ko
insmod /lib/modules/textsearch.ko
insmod /lib/modules/ts_bm.ko
insmod /lib/modules/xt_string.ko

insmod /lib/modules/nf_nat_ipv6.ko
insmod /lib/modules/nf_nat_masquerade_ipv6.ko
insmod /lib/modules/ip6t_MASQUERADE.ko
insmod /lib/modules/ip6table_nat.ko
insmod /lib/modules/ip6table_raw.ko
insmod /lib/modules/ip6table_mangle.ko

但是系统重启后，模块需要重新加载，所以用以上内容生成脚本在/usr/local/bin/load_v2raya_mods.sh

然后重启v2rayA服务:

1

sudo systemctl restart v2raya

Emby

在配置好v2rayA后，即使采用了改配置文件的办法，emby的流量仍不能成功地通过v2rayA来走，各种修改配置ip后无果，于是自然想到是docker变成本机服务导致的。

在v2rayA上多次修改配置后，终于发现开启透明代理解决问题，同时也解决了连接不上Docker仓库的问题，但更大的问题是启用透明代理会使外网访问全部失败（亏好内网还能连接）。“透明代理”我想可以理解为“全局代理”。

Docker(Container Manager)单独设置代理的问题详见前言链接。

在“映像”中选中emby并运行，在“存储空间设置”中加入媒体库的路径，在“环境”中加入三个环境变量，“网络”中选择host模式：
1 2 3

HTTP_PROXY = http://127.0.0.1:20171 HTTPS_PROXY = http://127.0.0.1:20171 NO_PROXY = localhost,127.0.0.1
完成基本设置，安装好之前的动漫相关的插件，刮削成功。

如何在WSL2上使用本机代理

Fri, 30 Jan 2026 16:31:20 +0800

由于近日笔者经常用Python下载各种模型，终要解决困扰已久的wsl2与Windows主机代理不互通的问题。笔者浪费了半个下午后终于搞定，在得力助手Gemini的帮助下，主要步骤如下：

Windows的.wslconfig设置
v2rayN的核心设置
Windows的防火墙设置
wsl2的旧设置清理
wsl2的~/.bashrc设置
wsl2的curl -v测试

参考网站：

Advanced settings configuration in WSL | Microsoft Learn

WSL2 使用 V2RayN 局域网 proxychains 代理方案 · Issue #2653 · 2dust/v2rayN

记一次用wsl2中共享宿主机的代理-v2rayN - 沉迷于学习，无法自拔^_^

.wslconfig

访问Windows下的个人账户文件夹，按下 Win + R，输入 %UserProfile% 并回车
检查是否有 .wslconfig 文件。如果没有，新建一个文本文件并命名为 .wslconfig
将以下内容粘贴到.wslconfig中：
1 2 3 4 5

[wsl2] # 开启镜像网络模式 networkingMode=mirrored # 自动同步代理设置（可选true/false） autoProxy=true
需注意的是：autoProxy这个参数决定了wsl2代理的方式，设置为true可以不再配置~/.bashrc，但是问题在于：
1. 当我们使用env | grep -i proxy命令，会看到很多奇怪的和网络有关的变量，虽然确实能成功实现代理。
不能在wsl2中开关代理，导致很多流量都通过代理来走

后面我们将其设置为false，以便于在wsl2内部可以方便地控制代理的开关，保证wsl2系统的清晰透明。
在Windows终端中输入wsl --shutdown关闭wsl2

v2rayN

在v2rayN（撰文时版本为V7.15.7）的基础设置中，启用“允许来自局域网的连接”以及“为局域网开启新的端口”（可选）
在v2rayN客户端的主界面左下角能看到为互联网开放的端口，笔者这里是10810
这里系统代理是“自动配置系统代理”，路由模式是“绕过(Whitelist)”
然后选好节点，保持v2rayN的进行

FireWall

在 Windows 搜索框输入“防火墙”，选择 Windows Defender 防火墙
点击 “允许应用或功能通过 Windows Defender 防火墙”。
找到或添加 v2rayN.exe 和其核心程序（如 v2ray.exe 或 xray.exe），确保专用和公用都勾选上。通常路径分别在v2rayN\和v2rayN\bin\xray下
在防火墙高级设置中，新建一个入站规则，允许端口 10810 的 TCP 流量（与v2rayN相对应）

wsl2

清理旧设置

1
2
3
4
5
6
7
8


# 1. 清除旧的、混乱的代理环境变量
unset http_proxy
unset https_proxy
unset no_proxy

# 2. 重新设置正确的代理（指向镜像模式下的本地端口）
export http_proxy="http://127.0.0.1:10810"
export https_proxy="http://127.0.0.1:10810"

确保在第一步已开启镜像网络模式并重启好wsl2。当然这步也不是必须的，因为后面~/.bashrc会自动处理这些就变量。

~/.bashrc

1
2


# 用其它的编辑器同理
sudo vim ~/.bashrc

在与Gemini多次实验后，得出以下内容用于添加到~/.bashrc底部：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


function proxy_on() {
 # 彻底清理可能残留的变量（防止大小写混用冲突）
 unset http_proxy https_proxy ALL_PROXY NO_PROXY HTTP_PROXY HTTPS_PROXY all_proxy no_proxy
 
 # 设置你验证成功的端口（既然 10810 测通了，就用 10810）
 export hostip="127.0.0.1"
 export port="10810"
 
 export http_proxy="http://$hostip:$port"
 export https_proxy="http://$hostip:$port"
 export all_proxy="socks5://$hostip:$port"
 
 # 这里的 no_proxy 只保留本地回环
 export no_proxy="localhost,127.0.0.1"
 
 echo "WSL Proxy: ON (127.0.0.1:10810)"
}

function proxy_off() {
 unset http_proxy https_proxy ALL_PROXY NO_PROXY HTTP_PROXY HTTPS_PROXY all_proxy no_proxy
 echo "WSL Proxy: OFF"
}

保存以上内容后，输入：

1

source ~/.bashrc

然后再：

1

curl -I https://www.google.com

应该就会出现以下内容，表示连接成功：

笔者同时也用ping去测试了一下，虽然不成功，但不影响使用。

1

HTTP/1.1 200 Connection established

笔者再次尝试下载模型，果然成功：

1
2


import gensim.downloader as api
wv_from_bin = api.load("glove-wiki-gigaword-200")

再不成功的解决方案

最有效的方法的就是在完成了上面步骤后，wsl2中输入：

1

curl -v https://www.google.com

然后把输出的结果交给AI，它会告诉你的。