VPN 代理指南

名詞分類與整體架構

在開始架設之前，必須先釐清「協議、引擎、面板、客戶端」這四個名詞的層級關係與相互依賴。

六大引擎比較

引擎是真正跑在伺服器或客戶端上的核心程式，負責把協議規格實作出來、處理實際流量傳輸。協議只是「規格書」，需要引擎才能動起來。

協議深度解析

協議定義了流量如何封裝與傳輸。在中國科學上網場景下，協議的「偽裝能力」與「抗封鎖能力」是首要考量。

VLESS

一種輕量、低開銷的代理協議，是 VMess 的簡化改進版。

VLESS + Reality + Vision（目前主流推薦）

這三個通常一起使用，各自扮演不同角色，是目前抗封鎖能力最強的組合：

為什麼這個組合強？

• GFW 看到的是「某台灣 IP 連到 Google、Apple 等大網站的正常 HTTPS 流量」，完全無法與真實流量區分。
• 不需要買域名、不需要申請 SSL 憑證。
• 沒有官方獨立引擎，需靠 Xray 或 Sing-box 跑。
• 適合情境：長期穩定科學上網、看 YouTube / Twitch / Discord。

VLESS + gRPC + TLS

把 VLESS 包在 HTTP/2 multiplex tunnel 裡，行為類似呼叫 API。

• 優點：長時間連線最穩定、重連少、手機最省電。
• 缺點：偽裝度中等（不像瀏覽網頁），延遲略高於 Reality 裸連；HTTP/2 流量樣式在行動網路的電信商深度封包檢測下，相對容易被辨識/限流。
• 適合情境：Discord 語音、長時間 RTMP 推流的「主線」——尤其是固定寬頻或 VPS 端（非手機 SIM 數據），可作為比 Reality 更穩定的主線來源。

VLESS + XHTTP + Reality

HTTP-like 行為包在 Reality 底層之上，且針對「連線頻繁中斷後快速恢復」做了設計。

• 優點：沿用 Reality 的握手層偽裝（信任基礎不變，只是換傳輸行為）；對頻繁斷線重連的環境比 gRPC/純 Reality 更寬容；底層仍是標準 TLS，對電信商中間設備來說接近一般瀏覽 HTTPS。
• 缺點：成熟度、教學資源不如 Reality/gRPC 豐富，設定較複雜；配置細節（padding、mode 選擇）踩雷回報較少。
• 適合情境（手機 SIM 卡數據推流）：基地台切換頻繁、需要抗斷線恢復時，可考慮作為主線候選，與 gRPC 是「TCP 兩個安全選項」二選一，實際表現需以當地電信商實測為準。
• 適合情境（固定寬頻/VPS）：屬於「介於 Reality 與 WS 之間」的折衷方案，非必要不用特別換過去。

Hysteria2

基於 QUIC（UDP）的代理協議，有自己的官方引擎。

• 特色：速度快、弱網環境表現好，核心賣點是 Brutal 擁塞控制——跟傳統 TCP/BBR 「一丟包就降速」相反，Brutal 是你告訴它頻寬多少，它就按固定速率硬推，丟包也不降速；對推流（上傳）友善，UDP 比 TCP 更不容易卡頓。
• 偽裝：有流量混淆，有一定抗封鎖能力（Salamander，2026 年 5 月起新增 Gecko）。
• 缺點：UDP 在某些中國 ISP 環境會被 QoS 限速。
• 適合情境：對速度要求高的場景，例如推流到 Twitch、大檔案下載（務必確認頻寬填寫正確）。

VLESS+Reality+Vision 有沒有用到 BBR？

沒有必然關係——BBR/CUBIC 是作業系統核心層的 TCP 壅塞控制演算法，VLESS、Reality、Vision 這三層全部跑在 TCP 之上，本身不含任何壅塞控制邏輯：VLESS 負責認證路由，Reality 負責偽裝，Vision 負責解決「TLS 套 TLS」的效能損耗。三者都不管封包丟了要不要降速，這件事交給當下的作業系統設定。

# 檢查目前演算法（Linux server 或 RPi5）
sysctl net.ipv4.tcp_congestion_control

# 啟用 BBR（核心需 >= 4.9）
echo "net.core.default_qdisc=fq" | sudo tee -a /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

WireGuard

現代化 VPN 協議，程式碼極簡、效能優秀。

SoftEther

多協議 VPN 伺服器軟體，同時支援自家協議、OpenVPN 相容模式、L2TP/IPSec、SSTP，曾以偽裝 HTTPS（443 埠）聞名。

OpenVPN

最老牌、生態最成熟的 VPN 協議，.ovpn 設定檔通用性極高。

協議選擇建議

手機直播情境的功耗考量

若情境是手機直接跑 VPN client 直播（而非 RPi5 端 Bonding 架構），協議選擇的第一優先順序是「會不會被電信商限速」，其次才是功耗與發熱。

什麼時候才切 Hysteria2：Reality 被 GFW 針對性封鎖時的備援；或訊號極差（丟包率高到 Reality 的 HOL Blocking 已嚴重卡頓）時，QUIC 的抗丟包能力比偽裝能力更急迫。

VPS vs 住宅 IP × 電腦/手機：三維度交叉分析

前面「協議選擇建議」只從流量特徵角度出發，實際上有三個變數要一起看，缺一個都可能誤判：① 伺服器掛的是 VPS 機房 IP 還是住宅 IP（IP 信譽差異詳見「VPS 選購指南」）；② 翻牆裝置是電腦（固定寬頻/Wi-Fi）還是手機（SIM 數據）；③ 是日常上網還是直播推流。三個變數交叉會有 8 種組合，拆成「電腦翻牆」「手機翻牆」兩張表比較好讀。

電腦翻牆（固定寬頻/Wi-Fi）

手機翻牆（SIM 數據）

主播進階：多協議自動 Fallback 架構

適用於想做「主線 + 自動備援」的進階需求（同時顧 RTMP 推流、Discord 語音、YouTube/Twitch 觀看）。只需單一穩定協議的話，用上方的 VLESS+Reality+Vision 就夠，不必做到這麼複雜。

IF gRPC 健康：使用 gRPC（主線）
ELSE IF gRPC 不穩：切換 → Reality
IF Reality 也不穩或被封：切換 → Hysteria2
IF 全部失敗：每 10 秒重試 gRPC（backoff）

IF gRPC 穩定滿 60 秒：切回 gRPC（主線）

健康判斷參考指標：RTT 持續超過 200ms、封包遺失率超過 3%、60 秒內重連 2 次以上、bitrate 驟降超過 30%、或 handshake 直接失敗。

RTMP 直播的協議優先序：① gRPC + TLS（主線，bitrate 最穩、抖動最低）② Reality（備援）③ 不建議把 Hysteria2 當 RTMP 上行主力（QUIC 波動較大，只適合觀看端）。

RTMP / SRT 與隧道協議搭配：依裝置與訊號拆解

適用於同時要顧「電腦 RTMP」「手機 RTMP」「未來手機 SRT」，且手機端會有戶外弱訊號情境的架設需求。單純只做電腦固網直播，上方「RTMP 直播的協議優先序」就夠用。

先分清楚：內容協議與隧道協議是兩層，不是同一件事

• 第一層：直播內容協議（OBS / 手機直播 App 怎麼把畫面送出去）——RTMP（建立在 TCP 上）、SRT（建立在 UDP 上，自帶抗丟包 ARQ 機制）
• 第二層：翻牆隧道協議（流量怎麼包起來繞過 GFW）——Reality/gRPC/XHTTP（TCP 家族）、Hysteria2（UDP/QUIC 家族）

OBS / 手機 App
   → RTMP(TCP) 或 SRT(UDP)                     ← 第一層：直播內容協議
      → 包進 VPN 隧道（Reality/gRPC/Hysteria2） ← 第二層：翻牆隧道協議
         → 送到 VPS → 平台伺服器

詳細原理與實測解法見 跨境直播 Bonding 架設指南 第 4、5 節「TCP in TCP 問題說明與解法」。

依裝置與訊號拆解建議

實務建議

1. 電腦端與手機端拆成兩套獨立設定，不要共用同一套判斷邏輯——兩者的網路特性（固網 vs 行動數據）差異太大。
2. 手機端再依「訊號好壞」做動態切換，而非固定死一個協議。上方「自動切換邏輯」的健康判斷指標（RTT 持續超過 200ms、封包遺失率超過 3%、60 秒內重連 2 次以上）可以直接沿用在手機端的判斷邏輯上。
3. 未來上 SRT 前，建議先做交換測試：同一台手機、同樣戶外弱訊號環境，分別實測「SRT+Hysteria2」與「RTMP+Reality」的實際卡頓/畫質表現。這塊目前是空白，理論推導不夠準，需要靠實測資料補上。

情境速查表

前面比較的是協議本身，這裡把它套進「你實際在做什麼」——用什麼裝置、有沒有翻牆、是單純上網還是直播。一共 8 種組合，差異主要來自兩個變數：

• 裝置差異的本質，其實是「網路來源」的差異：手機通常代表行動網路（4G/5G），電腦通常代表家用固網/Wi-Fi。裝置本身不影響協議選擇，真正影響的是它背後接的是哪種網路。
• 上網 vs 直播的差異，是「流量規模與持續性」：一般瀏覽是間歇性、小流量；直播是持續性、高碼率的長時間傳輸，更容易被 QoS 或審查系統盯上。

面板與客戶端選擇

面板是伺服器端的網頁管理介面，讓你不用打指令就能管理代理伺服器；客戶端則是朋友那端安裝的 App，用來連線到你架的伺服器。

面板：3x-ui vs s-ui

3x-ui 一鍵安裝指令：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

客戶端選擇

客戶端 = 朋友那端裝的 App，用來連線到你架的伺服器。

主流推薦客戶端

• Shadowrocket（iOS 專用）：iOS 科學上網最主流選擇。付費 App（約 $2.99 美金），需非中國區 Apple ID 購買。支援 VLESS+Reality、Hysteria2，掃 QR Code 即可連線。
• v2rayN（Windows 專用）：Windows 最主流的免費開源代理客戶端。支援訂閱連結一鍵更新、Xray/Sing-box 雙引擎、系統代理與 TUN 模式。

其他常用客戶端一覽

VPS 選購指南

真正決定 VPS 使用體驗的不是「地區」，而是線路、距離與 IP 信譽的綜合表現。地區是門牌號，線路是路況，IP 信譽是入場券，協議特徵決定這張票能用多久。

核心選購框架（三要素）

三大運營商回程線路

📡 電信（China Telecom）：追求穩定優先選 CN2 GIA，預算有限選 CN2 GT 或普通 163。

📡 聯通（China Unicom）：一般使用選 AS4837，重視晚高峰選 AS9929。

📡 移動（China Mobile）：注意「移動優化」不代表就是 CMIN2，要看 ASN 編號。

線路測試指令（雙向完整版）

商家宣傳的線路不可盡信，必須自己測。測試分兩個方向：去程（你的電腦 → VPS）與回程（VPS → 中國用戶）。

Step 1：在 VPS 上安裝工具並確認出口 IP

# Debian / Ubuntu 安裝工具
apt update && apt install -y mtr-tiny traceroute iputils-ping curl

# 確認 VPS 的出口 IP 與地理位置
curl ip.sb
curl ip-api.com/json

Step 2：回程測試（在 VPS 上執行，測 VPS → 中國方向）

# 分別測三大運營商方向（各跑 100 次取樣）
mtr -rwzbc 100 223.5.5.5        # 電信（阿里 DNS，AS4134）
mtr -rwzbc 100 114.114.114.114  # 聯通方向探測（114 DNS 為第三方公共 DNS，非聯通官方基礎設施，僅作經驗性替代）
mtr -rwzbc 100 180.76.76.76     # 移動路由測試（目標為百度 DNS，AS55967，僅作探測用途）


# 參數說明：
# -r 報告模式  -w 寬格式  -z 顯示 ASN (最關鍵)
# -b 顯示 IP/hostname  -c 取樣次數

SNI 網域批量測試（Reality 專用）

PC — OpenSSL + Xray 合併版（先用 openssl 快篩，ALPN 不過就跳過，過關的網域再接著跑 xray tls ping，不用測兩次）

$xrayPath = ".\xray.exe"   # 改成你的 xray.exe 實際路徑

$domains = @(
    "www.apple.com",
    "dl.google.com",
    "www.microsoft.com",
    "download-installer.cdn.mozilla.net",
    "addons.mozilla.org",
    "www.bing.com",
    "www.nvidia.com",
    "www.amd.com",
    "downloadmirror.intel.com",
    "www.adobe.com",
    "www.wto.org",
    "www.debian.org",
    "www.amazon.com",
    "www.ebay.com",
    "www.samsung.com",
    "www.ibm.com",
    "www.oracle.com",
    "www.cisco.com",
    "www.dell.com",
    "www.hp.com"
)

foreach ($d in $domains) {
    Write-Host "`n========== $d ==========" -ForegroundColor Cyan

    # ---- Step 1: openssl 快篩 ----
    Write-Host "--- OpenSSL 篩選 ---" -ForegroundColor Yellow
    $result = echo "" | openssl s_client -connect "${d}:443" -tls1_3 -alpn h2 -servername $d 2>&1

    $tls13 = $result | Select-String "TLSv1.3"
    $alpn  = $result | Select-String "ALPN protocol: h2"
    $group = $result | Select-String "Negotiated TLS1.3 group"
    $ech   = $result | Select-String "encrypted_client_hello"

    if ($tls13) { Write-Host "  TLS1.3: OK" -ForegroundColor Green } else { Write-Host "  TLS1.3: FAIL" -ForegroundColor Red }
    if ($alpn)  { Write-Host "  ALPN h2: OK" -ForegroundColor Green } else { Write-Host "  ALPN h2: FAIL" -ForegroundColor Red }
    if ($group) { Write-Host "  金鑰群組: $group" }
    if ($ech)   { Write-Host "  ECH: 偵測到，不建議使用" -ForegroundColor Red } else { Write-Host "  ECH: 未偵測到" -ForegroundColor Green }

    # openssl 沒過 ALPN 就直接跳過，不用再浪費時間跑 xray
    if (-not $alpn) {
        Write-Host "  --> ALPN 不合格，略過 xray 測試" -ForegroundColor DarkGray
        continue
    }

# ---- Step 2: xray tls ping 詳細確認 ----
    Write-Host "--- Xray TLS Ping ---" -ForegroundColor Yellow
    & $xrayPath tls ping $d

    # ---- Step 3: ping 延遲測試（家用網路環境判斷用）----
    Write-Host "--- Ping 延遲 ---" -ForegroundColor Yellow
    $pingResult = Test-Connection -ComputerName $d -Count 4 -ErrorAction SilentlyContinue
    if ($pingResult) {
        $avg = ($pingResult | Measure-Object -Property ResponseTime -Average).Average
        Write-Host "  平均延遲: $([math]::Round($avg, 1)) ms"
    } else {
        Write-Host "  Ping 無回應（可能封鎖 ICMP，不代表 TLS 連線異常）" -ForegroundColor DarkGray
    }
}

選 Reality 的偽裝目標網域（SNI）時，除了延遲，還要確認對方支援 TLS 1.3、H2，且沒有開啟 ECH（一旦目標開了 ECH，Reality 偽裝會失效）。以下提供 PC 與 VPS 兩端各三種批量測試腳本。

PC — PowerShell 版（呼叫 openssl.exe）

$domains = @(
    "www.apple.com",
    "dl.google.com",
    "www.microsoft.com",
    "download-installer.cdn.mozilla.net",
    "addons.mozilla.org",
    "www.bing.com",
    "www.nvidia.com",
    "www.amd.com",
    "downloadmirror.intel.com",
    "www.adobe.com",
    "www.wto.org",
    "www.debian.org",
    "www.amazon.com",
    "www.ebay.com",
    "www.samsung.com",
    "www.ibm.com",
    "www.oracle.com",
    "www.cisco.com",
    "www.dell.com",
    "www.hp.com"
)

foreach ($d in $domains) {
    Write-Host "`n=== 測試: $d ===" -ForegroundColor Cyan

    $result = echo "" | openssl s_client -connect "${d}:443" -tls1_3 -alpn h2 -servername $d 2>&1

    $tls13 = $result | Select-String "TLSv1.3"
    $alpn  = $result | Select-String "ALPN protocol: h2"
    $group = $result | Select-String "Negotiated TLS1.3 group"
    $ech   = $result | Select-String "encrypted_client_hello"

    if ($tls13) { Write-Host "  TLS1.3: OK" -ForegroundColor Green } else { Write-Host "  TLS1.3: FAIL" -ForegroundColor Red }
    if ($alpn)  { Write-Host "  ALPN h2: OK" -ForegroundColor Green } else { Write-Host "  ALPN h2: FAIL" -ForegroundColor Red }
    if ($group) { Write-Host "  金鑰群組: $group" }
    if ($ech)   { Write-Host "  ECH: 偵測到，不建議使用" -ForegroundColor Red } else { Write-Host "  ECH: 未偵測到" -ForegroundColor Green }
}

PC — Xray 版（xray.exe tls ping）

$xrayPath = ".\xray.exe"   # 改成你的 xray.exe 實際路徑

$domains = @(
    "www.apple.com",
    "dl.google.com",
    "www.microsoft.com",
    "download-installer.cdn.mozilla.net",
    "addons.mozilla.org",
    "www.bing.com",
    "www.nvidia.com",
    "www.amd.com",
    "downloadmirror.intel.com",
    "www.adobe.com",
    "www.wto.org",
    "www.debian.org",
    "www.amazon.com",
    "www.ebay.com",
    "www.samsung.com",
    "www.ibm.com",
    "www.oracle.com",
    "www.cisco.com",
    "www.dell.com",
    "www.hp.com"
)

foreach ($d in $domains) {
    Write-Host "`n=== 測試: $d ===" -ForegroundColor Cyan
    & $xrayPath tls ping $d
}

PC — OpenSSL 原生版（cmd 批次檔）

@echo off
setlocal enabledelayedexpansion

set domains=www.apple.com dl.google.com www.microsoft.com swcdn.apple.com download-installer.cdn.mozilla.net addons.mozilla.org www.bing.com dl.delivery.mp.microsoft.com www.nvidia.com www.amd.com downloadmirror.intel.com www.adobe.com www.wto.org www.debian.org

for %%d in (%domains%) do (
    echo === %%d ===
    echo. | openssl s_client -connect %%d:443 -tls1_3 -alpn h2 -servername %%d 2>&1 | findstr /C:"TLSv1.3" /C:"ALPN protocol" /C:"Negotiated TLS1.3 group"
    echo. | openssl s_client -connect %%d:443 -tls1_3 -servername %%d 2>&1 | findstr /I "encrypted_client_hello"
    echo.
)
pause

VPS — OpenSSL 版（bash，含延遲測試）

#!/bin/bash

domains=(
    www.apple.com
    dl.google.com
    www.microsoft.com
    download-installer.cdn.mozilla.net
    addons.mozilla.org
    www.bing.com
    www.nvidia.com
    www.amd.com
    downloadmirror.intel.com
    www.adobe.com
    www.wto.org
    www.debian.org
    www.amazon.com
    www.ebay.com
    www.samsung.com
    www.ibm.com
    www.oracle.com
    www.cisco.com
    www.dell.com
    www.hp.com
)

for d in "${domains[@]}"; do
    echo "=== $d ==="
    result=$(echo | openssl s_client -connect "$d:443" -tls1_3 -alpn h2 -servername "$d" 2>&1)

    echo "$result" | grep -q "TLSv1.3" && echo "  TLS1.3: OK" || echo "  TLS1.3: FAIL"
    echo "$result" | grep -q "ALPN protocol: h2" && echo "  ALPN h2: OK" || echo "  ALPN h2: FAIL"
    echo "$result" | grep "Negotiated TLS1.3 group"

    echo | openssl s_client -connect "$d:443" -tls1_3 -servername "$d" 2>&1 | grep -qi "encrypted_client_hello" \
        && echo "  ECH: 偵測到，不建議使用" || echo "  ECH: 未偵測到"

    ping -c 3 -q "$d" | tail -1
    echo ""
done

VPS — Xray 版（bash，xray tls ping）

#!/bin/bash

domains=(
    www.apple.com
    dl.google.com
    www.microsoft.com
    download-installer.cdn.mozilla.net
    addons.mozilla.org
    www.bing.com
    www.nvidia.com
    www.amd.com
    downloadmirror.intel.com
    www.adobe.com
    www.wto.org
    www.debian.org
    www.amazon.com
    www.ebay.com
    www.samsung.com
    www.ibm.com
    www.oracle.com
    www.cisco.com
    www.dell.com
    www.hp.com
)

for d in "${domains[@]}"; do
    echo "=== $d ==="
    xray tls ping "$d"
    echo ""
done

實測結果：優質網域排名（作者實測，僅供參考）

🥇 一線推薦（獨立 IP、without/with SNI 握手一致、延遲低、憑證乾淨）

🥈 可用但排序稍後（without SNI 握手失敗或給出不同憑證，代表是多租戶共享 CDN 邊緣節點——本身是常見的網路現象，不算致命，只是「這個 IP 為什麼服務它」的自然度論證比一線候選弱一點）

❌ 不建議選

地區選擇指南

IP 類型與信譽查詢

流媒體能不能看、帳號會不會被封，核心是 IP 被平台怎麼看。

常用 IP 信譽查詢工具：

• IPQS (ipqualityscore.com)：查 Fraud Score、是否被標記為 Proxy/VPN
• Scamalytics (scamalytics.com)：詐騙風險評分
• ip-api / ipinfo：查 ASN、組織名稱、GeoIP 是否準確

部署方式比較

科學上網服務大致分三種取得方式，各有不同的適用情境、成本與風險。自架的成本是「你的時間與維護精力」，機場的成本是「你對服務商的信任」。

三種方式一覽

住宅 IP 自架

在自己家裡的電腦或 NAS 上跑 Xray，讓中國朋友連線到你家的 IP。

• 優點：IP 是真實住宅 IP，平台風控極度友好；無額外 VPS 費用；流量特徵最低。
• 缺點：需處理浮動 IP (DDNS) 與 NAT (Port Forwarding)；家用寬頻上行通常僅 10-30Mbps，多人使用易成瓶頸；真實住家 IP 暴露給使用者，有隱私與連帶責任風險。
• 適合誰：技術能力強、已有長期開機設備 (NAS)、只供少數親近朋友使用。

自架 VPS（本文主要推薦方案）

租用雲端虛擬主機 (VPS)，自己安裝 3x-ui 面板，完全自行控制節點。

• 優點：固定 IP，設定一次後穩定運行；多用戶管理方便；IP 與住家無關聯，隱私較好；可選擇對中國大陸友好的線路 (CN2 GIA、CMIN2)。
• 缺點：機房 IP 大量被用於代理，GFW 可能主動封鎖 (台灣 VPS 風險相對較低)；需自行維護系統與面板更新。
• 適合誰：想供多位朋友使用、希望穩定低維護成本、有基礎 Linux 操作能力。

機場（訂閱式科學上網服務）

購買他人架設的代理節點訂閱，直接在客戶端使用。

• 優點：零技術門檻；節點多、地區多；一條被封自動換下一條。
• 缺點：隱私風險最高 (機場商可看所有流量與 DNS)；小機場有跑路風險；節點共享導致晚高峰品質不穩；無法自訂協議與線路。
• 適合誰：完全不想碰技術的朋友自用 (非你幫他們架設的場景)。

綜合建議

• 你幫朋友架、朋友自己用 ➡️ 自架 VPS + 3x-ui（優先考慮台灣 VPS，IP 被封風險低）。
• 你自己用、不想付 VPS 費用 ➡️ 住宅 IP 自架（需注意上行頻寬和隱私）。
• 朋友自己搞定、你不想管 ➡️ 推薦他買機場（按月付費、可隨時換）。

快速架設 SOP

以下為使用 3x-ui 面板 + VLESS+Reality 在台灣/海外 VPS 架設科學上網節點的標準流程。

Step 1：安裝 3x-ui 面板

SSH 連線到你的 VPS，執行以下一鍵安裝腳本（包含 Xray 核心）：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Step 2：登入面板

安裝完成後，終端機會顯示面板的存取資訊。請開啟瀏覽器登入，並立即修改預設密碼。

• 預設網址：http://你的IP:2053/面板路徑
• 預設帳號：admin
• 預設密碼：admin

Step 3：新增 Inbound (VLESS + Reality)

在左側選單點選「入站列表 (Inbounds)」→「添加 Inbound」，按照以下參數設定：

Step 4：產生客戶端連結

儲存 Inbound 後，回到列表頁面：

1. 點擊該 Inbound 右側的「二維碼 (QR Code)」圖示。
2. 將 QR Code 截圖或點擊「複製連結」。
3. 傳給朋友，使用 Shadowrocket (iOS) 或 v2rayN (Windows) 掃碼 / 貼上即可連線。

設定範本

以下提供 Xray (VLESS+Reality) 與 Hysteria2 的伺服器端核心設定範本。範本已移除所有敏感資訊，需自行替換佔位符。

Xray (VLESS + Reality + Vision)

適用於 3x-ui 面板底層或手動部署的 Xray-core。核心重點在於 xtls-rprx-vision 與 realitySettings 的偽裝目標配置。

{
  "log": { "loglevel": "warning" },
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "<YOUR_UUID_1>",
            "email": "user-self",
            "flow": "xtls-rprx-vision"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "dest": "www.cloudflare.com:443",
          "serverNames": ["www.cloudflare.com"],
          "privateKey": "<YOUR_PRIVATE_KEY>",
          "shortIds": ["", "0123456789abcdef"]
        }
      }
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      { "type": "field", "ip": ["geoip:private"], "outboundTag": "block" },
      { "type": "field", "protocol": ["bittorrent"], "outboundTag": "block" }
    ]
  },
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "block" }
  ]
}

Hysteria2 (UDP/QUIC)

適用於需要高速推流或弱網環境的備用協議。內建 BBR 擁塞控制與流量偽裝。

listen: :443

# TLS 憑證 (使用 ACME 自動簽發)
acme:
  domains:
    - "<YOUR_DOMAIN>"
  email: "<YOUR_EMAIL>"

# 身份驗證
auth:
  type: userpass
  userpass:
    "user1": "<STRONG_PASSWORD_1>"
    "user2": "<STRONG_PASSWORD_2>"

# 封鎖 QUIC 放大攻擊向量
acl:
  inline:
    - reject(all, udp/443)

# QUIC 效能調整 (針對直播長連接優化)
quic:
  initStreamReceiveWindow: 4194304
  maxStreamReceiveWindow: 8388608
  initConnReceiveWindow: 10485760
  maxConnReceiveWindow: 20971520
  maxIdleTimeout: 120s

# 頻寬上限 (依 VPS 實際頻寬調整)
bandwidth:
  up: 100 mbps
  down: 100 mbps

# 偽裝網站 (有人掃描 IP 時顯示)
masquerade:
  type: proxy
  proxy:
    url: https://www.bing.com
    rewriteHost: true

使用者指南

科學上網不僅是「連上伺服器」，更重要的是「防止本機洩漏」。以下提供 Windows 與 iOS 的標準防洩漏設定 SOP，確保 DNS、WebRTC 與系統流量不會繞過代理暴露真實 IP。

為什麼選擇「無 TUN + 規則」：四種純 client 組合比較

先把下方 Windows 方案（僅代理 Chrome）排除，只看純粹用 client 軟體本身（v2rayN / sing-box / Clash / NekoBox / Hiddify 這類支援 TUN 開關的軟體）做出來的四種組合。核心差異在於「攔截機制」跟「路由決策」是兩件不同的事，分開看才不會搞混。

管理員維護

此章節供管理員（伺服器架設者）使用，一般用戶不需要閱讀。涵蓋日常維護、DDNS 設定、時間同步與日誌查看。

DDNS 自動更新（浮動 IP 環境必讀）

若使用住宅 IP 自架（非 VPS），ISP 分配的是浮動 IP，需設定 DDNS 讓域名始終指向最新 IP。

伺服器時間同步

Reality 握手過程會校驗時間戳。若伺服器與客戶端時差超過數分鐘，極易導致 TLS 握手靜默失敗（不會有明顯錯誤訊息，連線就是建不起來）。

# Linux 伺服器確認時間同步狀態
timedatectl status

# 若未同步，啟用 NTP
sudo timedatectl set-ntp true

Xray 核心版本更新

定期更新核心以確保安全性和效能。

查看連線日誌

若需排查連線問題或確認用戶流量，可在設定檔中開啟日誌記錄。

// 在 config.json 的 log 區塊加入：
"log": {
  "loglevel": "warning",
  "access": "access.log",
  "error": "error.log"
}

儲存後重啟 Xray 服務，日誌檔案會出現在 xray 執行檔同一個資料夾（或指定的絕對路徑）。

新增或移除用戶

• 3x-ui 面板：直接在網頁介面「入站列表」中新增或刪除用戶，無需手動編輯 JSON。
• 手動編輯：用文字編輯器開啟 config.json，在 clients 陣列中新增或刪除用戶物件，隨後重啟服務。

# 產生新 UUID 的指令
xray uuid
# 或
uuidgen

Hysteria2 masquerade 候選網域批量測試

用 PowerShell 批量測試 masquerade 候選網域的 TLS handshake 延遲/抖動，並用 Alt-Svc 標頭判斷 h3 支援：

powershell -ExecutionPolicy Bypass -File .\hysteria2-masquerade-test.ps1 -Domains "www.bing.com","www.cloudflare.com","dl.google.com" -Samples 8

輸出會依平均延遲排序並存成 CSV。挑選原則：優先看Jitter（抖動）小、Success 全過的網域，AvgMs 低是加分但非唯一標準；避開高知名度/高敏感網域（如 microsoft.com，實測常見延遲/抖動異常）；避免跟你 Reality dest 用同一個網域（例如已用 Oracle/Samsung 當 dest，masquerade 就換別的），降低組合特徵被關聯分析的理論風險。

腳本檔案另存管理，不放進本文件，保存在伺服器同一資料夾備查。