基础设施

上一篇讲了 Xray REALITY 服务端的部署。这篇专门讲客户端配置——收集到各平台的用户名、服务器地址、公钥等信息后，怎么在不同客户端里配置。 你需要准备好以下信息（从服务端配置里获取）： 参数 说明 服务器地址 VPS 的公网 IP 端口 服务端监听的端口（推荐 443） UUID 服务端配置的 client id Public Key xray x25519 生成的公钥 Short ID 服务端配置的 shortIds 之一 SNI 服务端配置的 serverNames（如 www.apple.com） mihomo（Clash Meta） mihomo 原生支持 REALITY，配置放在 proxies: 节点： proxies: - name: "us-reality" type: vless server: 你的VPS_IP port: 443 uuid: 你的UUID network: tcp tls: true udp: true flow: xtls-rprx-vision reality-opts: public-key: 你的公钥 short-id: "55470656" servername: www.apple.com client-fingerprint: chrome 参数说明 client-fingerprint：客户端 TLS 指纹伪装，推荐选项： ...

最近一年用 AI 工具碰到一个高频问题：机场的共享节点 IP 被 AI 平台标记，登录时要求验证、限制功能、甚至封号。根本原因是这些 IP 被太多人用过，平台的风控系统认为是"异常流量"。 解决方案：用住宅 IP作为出口。住宅 IP 来自真实家庭宽带，对平台来说跟普通用户一样，通过率高得多。 这篇文章讲怎么在 mihomo（原 Clash Meta）里配置住宅 IP 出口，以 IPRoyal 为例。 住宅 IP 和机场节点的区别 对比 机场节点（VPS） 住宅代理 IP IP 类型 数据中心 IP 真实家庭宽带 IP 被风控概率 高（共享 IP，大量请求） 低（看起来像真实用户） 速度 快（专线） 中等 价格 按月订阅，便宜 按 GB 计费，贵一些 适合场景 日常浏览、流媒体 AI 工具、账号注册、数据采集 住宅 IP 不适合替代机场做所有流量，太贵了。正确用法是：只让需要住宅 IP 的流量走住宅代理，其余走正常节点。 IPRoyal 住宅 IP 配置 我用的是 IPRoyal，按 GB 计费，用多少买多少，不需要月付，质量稳定。 ...

Hysteria2 基于 QUIC 协议（UDP），理论上在高延迟、高丢包网络里比 TCP 类协议快得多。但很多人部署完发现速度一般，原因通常是带宽参数没配对或者拥塞控制算法没选对。 这篇文章专门讲调优。假设你已经跑通了基础部署（参考 Hysteria2 搭建教程），现在想把速度榨出来。 带宽参数：最影响速度的配置 Hysteria2 的带宽参数控制着它的发送速率，没配或配错是速度差的最常见原因。 服务端 bandwidth /etc/hysteria/config.yaml： bandwidth: up: 1 gbps # 服务端上行（客户端下载方向） down: 1 gbps # 服务端下行（客户端上传方向） 这里填的是服务端（VPS）的实际带宽上限，不是你家宽带的速度。 常见 VPS 带宽： DMIT HK/US Premium：1 Gbps 端口，但共享，实际峰值 200-500 Mbps AWS t3 类型：5-25 Gbps（burst） 低价 VPS：通常 100-500 Mbps 怎么测 VPS 实际带宽： # 在 VPS 上安装 speedtest curl -s https://packagecloud.io/install/repositories/ookla/speedtest-cli/script.deb.sh | bash apt install speedtest-cli -y speedtest 根据测速结果填带宽值。 ...

用代理节点访问 Claude、ChatGPT 时，可能遇到过这些情况： 登录时反复弹出验证码 账号被提示"unusual activity" 某些功能被悄悄限制 API 调用稳定性差，偶尔 403 这些问题的根源通常不是代理协议，而是出口 IP 的质量。 IP 质量的分类 互联网上的 IP 地址大致分为三类，对应不同的"可信度"： 住宅 IP（Residential IP） 由 ISP（电信、联通等）分配给普通家庭宽带用户 使用场景：正常家庭上网 被 AI 服务认为是真实用户 数据中心 IP（Datacenter IP） AWS、GCP、Azure、Vultr、DigitalOcean 等云厂商的 IP 段 这些 IP 段是公开已知的，任何服务都可以查询某个 IP 是否属于云服务商 特征明显：大量不同账号从同一 /24 网段访问 代理/VPN IP 商业代理服务的 IP 池 被高强度使用，信誉最差 AI 服务的风控逻辑 AI 服务的风控通常不是简单的"封 IP"，而是基于 IP 质量做差异化对待： 请求进来 → IP 质量检查 ├─ 住宅 IP → 正常处理 ├─ 数据中心 IP → 提高 CAPTCHA 频率 / 限制某些功能 └─ 已知代理 IP → 拒绝 / 要求重新验证 这就是为什么即使你的节点"能连上"，使用体验也可能很差：功能在降级运行，不是完全封锁。 ...

用 DMIT 这类付费 VPS 搭代理节点，稳定性好但有成本。很多人不知道，Cloudflare Workers 有每天 10 万次的免费请求额度，可以用来跑一个完全零成本的 VLESS 节点——作为备用或平替方案，值得每人都部署一个。 本文用的是开源项目 edgetunnel，部署过程 10 分钟以内完成。 原理简介 Cloudflare Workers 是运行在 CF 边缘节点的 JavaScript 函数。edgetunnel 把 VLESS 协议实现在 Worker 里，流量经过 CF 的 CDN 网络中转，绕开直接 IP 识别。 优点： 完全免费（免费计划每天 10 万次请求，足够个人使用） 无需服务器，不存在 IP 被封问题 CF 的 IP 段被封概率极低 局限： 速度受 CF 网络质量影响，高峰期不如专线 VPS 不适合大流量下载，适合日常浏览和轻量使用 部分地区对 CF IP 有 QoS 前置准备 一个 Cloudflare 账号（免费注册） 一个域名（可选，但推荐，CF 免费提供 workers.dev 子域名也行） 部署步骤 第一步：Fork 项目到你的 GitHub 打开 https://github.com/cmliu/edgetunnel，点右上角 Fork，复制到自己的账号。 ...

跑着量化策略和代理节点的服务器，没有监控是非常危险的。凌晨内存爆了、磁盘满了、策略挂了——如果没有告警，可能几个小时后才发现。 这篇文章从零开始，搭建一套完整的监控系统：被监控机器上跑 Node Exporter 采集指标，Prometheus 收集存储，Grafana 可视化展示，加上 Telegram 告警。 架构说明 被监控 VPS（N台） 监控中心 VPS（1台） ┌──────────────┐ ┌─────────────────────┐ │ Node Exporter │ ──9100→ │ Prometheus（采集） │ │ Node Exporter │ ──9100→ │ Grafana（展示） │ │ Node Exporter │ ──9100→ │ Alertmanager（告警） │ └──────────────┘ └─────────────────────┘ 我的做法：一台小 VPS（1核1G 足够）作为监控中心，其他机器装 Node Exporter 暴露指标。 第一步：在被监控机器上安装 Node Exporter 每台要监控的 VPS 都要做这一步。 # 下载 Node Exporter（确认最新版本号） cd /tmp wget https://github.com/prometheus/node_exporter/releases/download/v1.8.2/node_exporter-1.8.2.linux-amd64.tar.gz tar xzf node_exporter-1.8.2.linux-amd64.tar.gz mv node_exporter-1.8.2.linux-amd64/node_exporter /usr/local/bin/ 创建 systemd 服务： ...

家庭网络多网关架构那篇文章讲了整体架构，但规则怎么写没有细说。这篇单独讲 mihomo 的分流规则，从语法基础到实用配置模板，逐步拆解。 规则的基本概念 mihomo 的流量分流通过 rules 字段控制，每条规则的格式： 规则类型,匹配值,策略组 比如： rules: - DOMAIN-SUFFIX,google.com,代理 - IP-CIDR,192.168.0.0/16,DIRECT - GEOIP,CN,DIRECT - MATCH,代理 # 兜底规则，匹配所有剩余流量 规则按顺序匹配，第一条命中即执行，后面的不再判断。 顺序非常重要。 规则类型详解 域名类规则 # 精确匹配域名 - DOMAIN,www.google.com,代理 # 匹配域名及其所有子域名（最常用） - DOMAIN-SUFFIX,google.com,代理 # 覆盖：google.com / mail.google.com / api.google.com # 域名关键词（性能较差，少用） - DOMAIN-KEYWORD,google,代理 # 匹配任何包含 "google" 的域名 # 正则表达式（最灵活，但最慢） - DOMAIN-REGEX,^.*\.google\.com$,代理 优先级建议： DOMAIN > DOMAIN-SUFFIX > DOMAIN-KEYWORD 越精确的规则放越前面，性能更好，也避免误匹配。 IP 类规则 # IPv4 CIDR - IP-CIDR,192.168.0.0/16,DIRECT - IP-CIDR,10.0.0.0/8,DIRECT - IP-CIDR,172.16.0.0/12,DIRECT # IPv6 CIDR - IP-CIDR6,::1/128,DIRECT # 注意：IP-CIDR 会触发 DNS 解析，对纯域名规则之前的流量有性能影响 # 建议加 no-resolve 后缀，跳过 DNS 解析直接匹配连接 IP - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve GeoIP 规则 根据 IP 所属国家分流： ...

很多人以为有了 VPS 代理节点就够了，其实不然。VPS 的 IP 来自数据中心，很多平台会针对数据中心 IP 做额外限制——OpenAI 不让数据中心 IP 注册、某些平台触发额外验证、账号因"异常登录"被限制……这些场景需要住宅 IP。 IPRoyal 是我长期在用的住宅 IP 服务，这篇文章说清楚什么时候需要住宅 IP，以及怎么用。 住宅 IP vs 数据中心 IP 对比项 数据中心 IP（VPS） 住宅 IP 来源 AWS、Google Cloud 等云服务商 真实家庭宽带 ISP 识别难度 容易被平台检测 极难区分（看起来就是普通用户） 速度 快，稳定 因 ISP 而异，可能有波动 价格 低（月付固定） 高（按流量 GB 计费） 适合用途 日常代理 需要"像真人"的操作 数据中心 IP 的 ASN（自治系统号）是已知的，Cloudflare、Google 等公司维护了这些 IP 段的黑名单。住宅 IP 的 ASN 是各地 ISP（中国移动、Comcast、Vodafone 等），和普通家庭用户没有区别。 ...

DMIT 是我主力在用的 VPS 服务商，用了一年多。它的香港和美国节点在连接速度和稳定性上是我用过最好的，IP 被封概率也低。 很多人看到 DMIT 的界面是英文，不知道怎么买，这篇文章把流程完整走一遍。 为什么选 DMIT 选 VPS 的核心看三点：延迟、稳定性、IP 质量。 DMIT 的优势： 香港节点对国内延迟极低（广州通常 20-40ms） 使用 CN2 GIA 线路，国内三网直连 原生 IP，流媒体解锁能力强（Netflix、Disney+ 香港区） 支持 Hysteria2，UDP 性能好 IP 被封概率明显低于普通 BGP 线路 劣势： 价格偏高（香港节点月费 $14.9 起） 热门套餐经常缺货 详细和其他服务商的对比：VPS 选购指南 第一步：注册账号 访问 DMIT 官网。 点右上角 Register 填写信息： First Name / Last Name：填真实姓名（用于账单） Email Address：常用邮箱 Password：设置强密码 点 Register 完成注册 去邮箱验证邮件（有时在垃圾邮件文件夹里） 注册完成后自动登录到控制面板（Client Area）。 ...

Hysteria2 是一个基于 QUIC 协议（UDP）的代理工具，在高丢包、高延迟网络下表现远超 TCP 协议。它和 VLESS+XTLS-Reality 形成互补：TCP 受限时用 Hysteria2，UDP 受限时用 VLESS+Reality，两个协议搭配部署是目前最稳的方案。 为什么选 Hysteria2 核心优势： 基于 QUIC/UDP，在高丢包网络下仍有较好速度表现 内置带宽伪装，流量特征更难被精准识别 配置简单，比 Xray 轻量 mihomo（Clash Meta）原生支持 适用场景： 场景 推荐协议 TCP 被 QoS 限速 Hysteria2 ✓ UDP 被封 VLESS+XTLS 日常使用（两个都有） mihomo 自动切换 前置准备 一台海外 VPS，推荐 DMIT（支持 Hysteria2 的 UDP 流量） Ubuntu 22.04+ 一个域名（可选，用自签证书也可以） 服务端部署 安装 Hysteria2 bash <(curl -fsSL https://get.hy2.sh/) 安装完成后，程序位于 /usr/local/bin/hysteria，systemd 服务名为 hysteria-server。 生成自签证书 不需要域名的情况下，用自签证书： ...

Xray 的 VLESS+XTLS-Reality 是目前公认抗封锁能力最强的协议组合。它的核心原理是流量伪装成正常的 TLS 握手，让 GFW 难以通过特征识别判断是代理流量。 这篇文章从零开始，完整部署一套可用的配置。 前置准备 一台海外 VPS（推荐 DMIT 香港或美国节点，线路质量好） VPS 系统：Ubuntu 22.04+ 本地客户端：mihomo（原 Clash Meta） 服务端部署 安装 Xray bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install 生成 XTLS-Reality 所需密钥 xray x25519 输出类似： Private key: 你的私钥（保存好） Public key: 你的公钥（填入客户端配置） 再生成 UUID： xray uuid 服务端配置文件 /usr/local/etc/xray/config.json： { "inbounds": [ { "port": 443, "protocol": "vless", "settings": { "clients": [ { "id": "你的UUID", "flow": "xtls-rprx-vision" } ], "decryption": "none" }, "streamSettings": { "network": "tcp", "security": "reality", "realitySettings": { "show": false, "dest": "www.apple.com:443", "xver": 0, "serverNames": ["www.apple.com"], "privateKey": "你的私钥", "shortIds": [""] } }, "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] } } ], "outbounds": [ {"protocol": "freedom", "tag": "direct"}, {"protocol": "blackhole", "tag": "block"} ] } 关键参数说明： ...

IP 被封是代理节点的常见问题，处理过很多次了，这篇文章写下完整的应对流程。 第一步：确认是 IP 被封还是其他问题 连不上节点时，先排除非封锁原因： # 从国内测试 IP 连通性（用手机热点，排除本地网络问题） ping 你的VPS_IP # 测试端口是否通 nc -z -w5 你的VPS_IP 443 && echo "open" || echo "blocked" 常见混淆情况： 现象 可能原因 ping 不通，但 SSH 能连 协议被识别，端口被封 SSH 也连不上 IP 被完全封锁，或 VPS 宕机 能 ping 通，但连接慢 线路拥塞，不是封锁 只有晚高峰断 QoS 限速，不是封锁 验证 IP 是否被墙的最快方法：用国内网络和海外网络分别 ping，海外能 ping 国内不行 = 被墙。 在线工具：ping.pe，输入 IP 从多个国家测试连通性。 第二步：应急切换 如果有备用节点 这是最重要的一课：永远不要只有一个节点。 我的 mihomo 配置了自动故障切换： proxy-groups: - name: "自动选择" type: fallback # 有节点挂了自动切换 url: http://www.gstatic.com/generate_204 interval: 30 proxies: - DMIT-HK - DMIT-US - 腾讯云-JP 主节点被封后 30 秒内自动切到备用，用户无感知。 ...