写在前面

最近这几天因为削挂不小心走了代理，导致机场流量告急，实在没法办下只好重启之前的自建节点，所以有了这篇文章，希望可以帮到大家。

在当前的扫描环境下，单纯的加密已不足以自保。本指南通过 3X-UI 搭建目前隐蔽性天花板组合：VLESS 协议、Reality 伪装、Vision 流控，并配合高强度自定义订阅管理，实现真正的“隐身”上网。

关键协议与核心项目

一、快速开始：一键安装3X-UI

在你的 VPS（推荐 Ubuntu 20.04+ 或 Debian 11+）中，执行以下官方安装脚本：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)
  • 初始设置：安装过程中会提示设置登录 用户名、密码 和 面板端口。

二、 配置参数速查表

三、 核心入站节点：每一项的深度解析

1. 基础信息设置

  • 协议 (Protocol)：选择 vless。

    • ​建议：不带冗余加密，是目前 Reality 的最佳搭档。

  • 端口 (Port)：建议填写 443。

    • ​说明：443 是标准 HTTPS 端口。如果你在防火墙开启 443 且伪装域名是 Google，流量看起来就是正常的网页访问。

2. 用户与流控 (核心必选)

  • ID (UUID)：点击生成。它是你的唯一钥匙。

  • 流控 (Flow)：必须填入 xtls-rprx-vision。

    • ​原理：Vision 能够动态填充数据包，消除 TLS 流量的长度特征。如果没有这一项，Reality 的隐蔽性会下降 50% 以上。

3. 传输配置 (Transport)

  • 传输协议：选择 tcp。

    • ​说明：Reality 协议目前仅支持 TCP 传输。

  • Proxy Protocol：保持 关闭。

    • ​说明：除非你的 VPS 前端挂了 Nginx 转发，否则开启后会导致无法连接。

4. Reality 伪装细节 (证书之魂)

  • uTLS：建议选 chrome。

    • ​建议：让你的流量握手指纹看起来像 Chrome 浏览器，最常见也最安全。

  • 目标网站 (Dest)：推荐 dl.google.com:443 或 www.microsoft.com:443。

    • ​配置建议​：选一个国内能直连、且支持 TLS 1.3 的国外大厂。

  • 服务名称 (SNI)：必须与 Dest 域名一致（不带端口），如 dl.google.com。

  • Short IDs：点击 [生成] 。

    • ​说明：这是连接时的额外身份 ID。只有带上正确 Short ID 的请求，服务器才会响应，以此防止防火墙主动探测。

  • 公私钥 (Public/Private Key)：点击 [Get New Cert] 。

    • ​建议​：自动生成的密钥对极其安全，私钥严禁外泄。

  • Vision Seed (随机种子)：点击 [Rand] 。

    • ​说明：增加数据包混淆的随机性，进一步干扰流量分析。

5. 流量嗅探 (Sniffing)

  • 开启 (Enabled)：必须开启。

  • 协议勾选：勾选 http, tls, quic。

  • 目标地址覆盖 (Dest Override)：必须开启。

    • ​建议：开启后，如果客户端发出的目标 IP 异常，服务器会根据嗅探到的域名自动修正，确保稳定访问 YouTube 等服务。

四、 订阅服务：深度安全定制

在 「面板设置」 -> 「订阅设置」 区域进行以下配置，锁死面板暴露风险：

1. 订阅服务监听端口 (Subscription Port)

  • 设置建议：填入一个未被占用的高位随机端口（如 49152-65535 之间的数字）。
  • 细节：严禁与面板登录端口或节点端口共用。

2. 订阅服务 URI 路径 (Subscription URI Path)

  • 设置建议：严禁使用默认的 /sub/。
  • 格式规范：必须以 / 开头，并以 / 结尾（例如 /my_private_path_99/）。
  • 安全逻辑：这相当于订阅链接的“二级密码”。攻击者通过扫描 IP 几乎不可能猜到这个复杂的路径。

五、 部署后的最后检查清单

  1. 面板设置：完成订阅设置后，点击 「保存配置」 并点击 「重启面板」 。

  2. 防火墙 (安全组)：前往 VPS 控制台，确保 TCP 443 (节点) 和 TCP 2096 (订阅) 均已开放。

  3. 时间校准：执行 date 命令，确保 VPS 时间与北京时间误差在 90 秒内。

  4. 目标网站 (Dest) 的存活检查

    • ​注意点：Reality 借用的“面具”网站如果挂了，你的节点也会跟着挂。
    • ​建议​：定期检查你设置的域名（如 dl.google.com​）是否依然支持 TLS 1.3 且在国内访问顺畅。
    • 避坑：千万不要使用 baidu.com 或已封锁的网站作为 Dest。

  5. 流量特征异常警示

    • ​注意点：虽然协议隐蔽，但如果单日流量异常激增（如几百 GB 的持续下载），依然可能引起运营商（ISP）的注意。
    • 建议：尽量模拟正常用户的上网行为，避免 24 小时高频大流量占用。

六、核心客户端适配建议

Shadowrocket (小火箭) —— iOS 首选

小火箭对 Reality 的支持非常成熟，但在手动配置或修改参数时请注意：

  • ​类型选择​：协议选 VLESS​，传输方式选 TCP。
  • ​安全类型 (Security) ​：务必下拉选择 ​​reality​。
  • ​公钥 (PublicKey) ​：填入 3X-UI 面板中生成的 ​Public Key。
  • ​流控 (Flow) ​：在 Flow​ 输入框内手动填入 ​​xtls-rprx-vision​。
  • ​指纹 (uTLS) ​：在设置最下方的 Fingerprint​ 选为 ​​chrome​。
  • ​SNI​：填入与面板一致的伪装域名（如 dl.google.com）。

Loon —— 极致稳定的新秀（推荐）

Loon 的配置文件结构清晰，支持 Reality 的语法如下：

  • ​配置关键点​：在节点行中添加 transport=tcp, security=reality, reality-public-key=你的公钥, flow=xtls-rprx-vision。
  • ​指纹模拟​：确保 sni​ 字段已填入，并配置 fingerprint=chrome。
  • ​优势​：Loon 对 QUIC 嗅探 的处理非常出色，建议在 Loon 内开启“跳过证书验证”以增强稳定性。

Surge —— 强大的网络分析仪

Surge 默认不直接支持 VLESS，通常需要使用插件或配合 External Proxy 逻辑：

  • ​适配方案​：建议使用 Sub-Store 进行转换。
  • ​配置参数​：在转换后的节点参数中，确保包含 underlying-proxy​ 指向你的 Reality 服务，并手动确认 xtls-rprx-vision 已激活。
  • ​注意​：Surge 的 ​MITM​（中间人攻击解密）可能会与 Reality 产生冲突，建议对节点域名执行 skip-proxy 或排除该节点的嗅探。

Quantumult X (圈 X) —— 订阅转换玩家

由于 Quantumult X 核心更新较慢，直接配置 VLESS Reality 较为复杂：

  • ​推荐方案​：强烈建议使用 Sub-Store 或后端转换链接，将节点转换为 Trojan 或其他圈 X 原生支持的格式。
  • ​手动尝试​：若使用最新测试版，请在配置文件中严格按照 vless=...​ 语法，并确保 reality-public-key 已正确映射。

Windows / Android 通用 (v2rayN / v2rayNG)

  • ​内核检查​：确保 Xray-core 版本 ​ ≥ 1.8.0。
  • ​一键配置​：直接复制 3X-UI 生成的 vless:// 链接粘贴即可。
  • Vision 检查：如果连接后网速极慢或无法打开网页，请检查“流控”一栏是否填错为 xtls-rprx-direct​（应为 vision）。

“虽然 Reality 是目前最隐蔽的方案，但针对部分追求极致分析的高端 iOS 客户端（如 Surge、Quantumult X 等），在 3X-UI 中开启一个 Trojan 节点作为备选，是保证全平台 100% 兼容的最优解。”

七、 长期维护与进阶优化

自动更新 Xray 内核

Reality 和 Vision 属于快速迭代的技术。如果内核版本过旧，会导致新版客户端无法连接。

  • 操作建议：在系统状态-Xray里，切换更新版本的内核。

定期更换 Reality “面具”（目标网站）

如果你发现原本流畅的节点突然变得断断续续，可能是你借用的伪装网站（Dest）被重点照顾了。

  • ​优化方案​：在面板中修改 Dest​ 和 SNI。
  • ​冷门推荐​：除了 Google 和 Microsoft，尝试使用一些大型国外高校或技术文档站，例如 www.cisco.com:443​ 或 www.debian.org:443。

解决 Google 搜索频繁跳验证码（开启 Warp）

由于 VPS 的 IP 通常被标记为机房 IP，使用 Google 搜索时常会弹出验证码（Cloudflare 验证）。

  • ​解决方案​：在服务器上安装 ​Cloudflare Warp，并在 3X-UI 的「面板设置」中配置“分流路由”，让 Google 流量通过 Warp 节点流出。这能有效“洗白”你的 IP，提升使用体验。

这套配置虽然步骤较多，但只要按部就班，设置妥当，就能在当前的环境下较为安全地使用。有空还可进一步优化内核、系统隐藏等操作，打造“彻底消失”的节点。