搭建梯子

2025-09-19

字数统计: 6.3k字 | 阅读时长≈ 28分

搭建梯子

常见梯子协议

“梯子”通常指用于翻墙或代理的工具，其核心依赖各种协议来传输数据。下面我列出一些常见的协议，包括传统VPN协议（如OpenVPN、WireGuard）和代理协议（如Shadowsocks、Trojan，常用于绕过审查）。

我将使用表格形式比较，便于阅读。数据基于常见协议的通用特性。

协议名称	基本原理	优点	缺点	Clash 是否支持
OpenVPN	开源协议，使用SSL/TLS加密，建立隧道传输数据。	安全性高，支持强加密（如AES-256）；开源，可自定义配置；兼容性好。	速度较慢（加密开销大）；配置复杂，不适合初学者。	不直接支持，但可以通过Clash Meta的兼容模式或外部配置间接使用。
WireGuard	现代轻量级协议，使用ChaCha20加密，专注于速度和简单性。	速度快、代码简洁、安全性高；易设置，低延迟。	较新协议，可能在某些旧设备上兼容性差；不支持UDP伪装。	是，支持WireGuard协议。
IKEv2/IPSec	结合IKEv2密钥交换和IPSec加密，常用于移动设备。	连接稳定、速度快；适合切换网络（如WiFi到移动数据）。	可能被防火墙检测阻塞；安全性不如OpenVPN。	不支持。
L2TP/IPSec	第2层隧道协议结合IPSec加密，内置于许多系统。	易设置，许多设备原生支持；兼容性广。	速度慢；安全性一般，可能有漏洞。	不支持。
PPTP	旧式点对点隧道协议，使用GRE封装。	速度快、设置简单。	安全性极低，已过时，不推荐使用。	不支持。
Shadowsocks (SS)	代理协议，通过SOCKS5伪装流量，绕过审查。	伪装能力强、速度快；简单高效，常用于翻墙。	加密不如VPN全面；依赖服务器配置。	是，支持SS和SSR（ShadowsocksR）变体。
VMess (V2Ray)	V2Ray框架下的协议，支持多路复用和伪装。	高度自定义、绕过检测强；支持多协议 multiplexing。	配置复杂；资源消耗较高。	是，支持V2Ray/VMess。
Trojan	基于HTTPS伪装的代理协议，模拟正常Web流量。	检测难度高、稳定；加密强。	依赖TLS证书；速度中等。	是，支持Trojan。
Hysteria/Hysteria2	基于QUIC的协议，专注于抗丢包和高吞吐。	速度极快、抗干扰强；适合弱网络环境。	配置稍复杂；兼容性取决于客户端。	是，支持Hysteria和Hysteria2。
SOCKS5	通用代理协议，支持UDP/TCP。	灵活、兼容多种应用；速度快。	无加密，安全性低；易被检测。	是，支持SOCKS。

附加说明

对于翻墙需求，优先考虑Shadowsocks、Trojan或Hysteria，这些协议在绕过GFW方面表现更好。传统VPN如WireGuard适合隐私保护，但可能被封锁。

常见协议搭建

服务器性能优化

优化服务器性能适用于所有代理协议（如 Shadowsocks、Trojan、V2Ray），可提高连接速度、降低延迟并支持更多并发连接。以下是主要优化的用途和原理，以及具体配置步骤。

优化用途和原理

TCP Fast Open：
- 用途：减少 TCP 连接建立的往返时间（RTT），提高首次连接速度。
- 原理：TCP Fast Open 允许在三次握手时携带数据，减少一次往返。这对高延迟网络（如跨国连接）尤为有效，特别适合 TLS 协议（如 Trojan、V2Ray）或频繁建立连接的场景（如 Shadowsocks）。
文件描述符限制调整：
- 用途：增加服务器支持的并发连接数，防止因高负载导致连接失败。
- 原理：文件描述符是系统分配给网络连接和文件的资源句柄。默认限制较低（通常 1024），可能不足以应对高并发。提高限制（如 51200）允许服务器处理更多同时连接。

优化配置步骤

Red Hat/CentOS

开启 TCP Fast Open：

1	sudo nano /etc/sysctl.d/99-tcp-fastopen.conf

添加：

1	net.ipv4.tcp_fastopen = 3

应用：

1	sudo sysctl -p /etc/sysctl.d/99-tcp-fastopen.conf

调整文件描述符限制：

1	sudo nano /etc/security/limits.conf

添加：

1 2	* soft nofile 51200 * hard nofile 51200

应用：

1	ulimit -n 51200

Ubuntu/Debian

开启 TCP Fast Open：

1	sudo nano /etc/sysctl.conf

添加：

1	net.ipv4.tcp_fastopen = 3

应用：

1	sudo sysctl -p

调整文件描述符限制：

1	sudo nano /etc/security/limits.conf

添加：

1 2	* soft nofile 51200 * hard nofile 51200

应用：

1	ulimit -n 51200

Shadowsocks

工作原理

Shadowsocks 是一种基于 SOCKS5 的代理协议，通过在客户端和服务器之间建立加密通道传输数据。其核心优势在于轻量高效和伪装能力。客户端将数据加密后发送到服务器，服务器解密后转发到目标网站，返回的数据则反向加密传输。由于其流量可以伪装为常规 SOCKS5 流量，且支持多种加密算法（如 chacha20-ietf-poly1305 和 aes-256-gcm），Shadowsocks 能有效绕过防火墙检测（如 GFW），特别适合翻墙场景。相比传统 VPN，Shadowsocks 更专注于代理而非全面隧道，配置更灵活但不加密整个网络栈。

默认端口

Shadowsocks 默认使用 8388 端口，但可以自定义为任意高位端口（1024-65535）。建议选择随机高位端口以降低被扫描或封锁的风险。配置文件中的 server_port 参数用于设置此端口。

Red Hat/CentOS

环境

操作系统：RHEL 8/9 或 CentOS 8/9
权限：Root 或 sudo 权限
工具：Shadowsocks-libev（推荐，轻量高效）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1
2
3

sudo dnf update -y
sudo dnf install -y epel-release
sudo dnf install -y curl wget git

2. 安装 Shadowsocks-libev

RHEL/CentOS 不提供官方的 Shadowsocks-libev 包，需通过源码编译安装。

# 安装编译依赖
sudo dnf groupinstall -y "Development Tools"
sudo dnf install -y libev-devel libsodium-devel mbedtls-devel c-ares-devel

# 下载并编译 Shadowsocks-libev
git clone https://github.com/shadowsocks/shadowsocks-libev.git
cd shadowsocks-libev
git submodule update --init
./autogen.sh
./configure
make
sudo make install

3. 配置 Shadowsocks

创建配置文件 /etc/shadowsocks-libev/config.json。

1 2	sudo mkdir -p /etc/shadowsocks-libev sudo nano /etc/shadowsocks-libev/config.json

粘贴以下配置（根据需要修改）：

{
    "server":"0.0.0.0",
    "server_port":8388,
    "local_port":1080,
    "password":"your_secure_password",
    "timeout":300,
    "method":"chacha20-ietf-poly1305",
    "fast_open":true,
    "nameserver":"8.8.8.8",
    "mode":"tcp_and_udp"
}

server：监听地址，0.0.0.0 表示所有接口。
server_port：服务端口，建议 8388 或随机高位端口（避免被扫描）。
password：设置强密码，建议 16 位以上随机字符串。
method：推荐 chacha20-ietf-poly1305 或 aes-256-gcm，安全性高且性能好。
fast_open：启用 TCP Fast Open，减少连接延迟。
mode：支持 TCP 和 UDP，适合多种应用。

保存并退出（Ctrl+O, Enter, Ctrl+X）。

4. 创建 systemd 服务

Shadowsocks-libev 需要手动创建 systemd 服务文件以便管理。

1	sudo nano /etc/systemd/system/shadowsocks-libev.service

添加以下内容：

[Unit]
Description=Shadowsocks-libev Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/ss-server -c /etc/shadowsocks-libev/config.json
Restart=on-failure

[Install]
WantedBy=multi-user.target

保存后，启用并启动服务：

1
2
3

sudo systemctl daemon-reload
sudo systemctl start shadowsocks-libev
sudo systemctl enable shadowsocks-libev

检查服务状态：

1	sudo systemctl status shadowsocks-libev

Ubuntu/Debian

环境

操作系统：Ubuntu 20.04/22.04 或 Debian 10/11
权限：Root 或 sudo 权限
工具：Shadowsocks-libev（推荐，轻量高效）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1 2	sudo apt update && sudo apt upgrade -y sudo apt install -y curl wget software-properties-common

2. 安装 Shadowsocks-libev

Ubuntu/Debian 提供官方 PPA，安装更简单。

# 添加 PPA
sudo add-apt-repository ppa:max-c-lv/shadowsocks-libev -y
sudo apt update

# 安装 Shadowsocks-libev
sudo apt install -y shadowsocks-libev

3. 配置 Shadowsocks

创建配置文件 /etc/shadowsocks-libev/config.json。

1 2	sudo mkdir -p /etc/shadowsocks-libev sudo nano /etc/shadowsocks-libev/config.json

粘贴以下配置（根据需要修改）：

{
    "server":"0.0.0.0",
    "server_port":8388,
    "local_port":1080,
    "password":"your_secure_password",
    "timeout":300,
    "method":"chacha20-ietf-poly1305",
    "fast_open":true,
    "nameserver":"8.8.8.8",
    "mode":"tcp_and_udp"
}

server：监听地址，0.0.0.0 表示所有接口。
server_port：服务端口，建议 8388 或随机高位端口（避免被扫描）。
password：设置强密码，建议 16 位以上随机字符串。
method：推荐 chacha20-ietf-poly1305 或 aes-256-gcm，安全性高且性能好。
fast_open：启用 TCP Fast Open，减少连接延迟。
mode：支持 TCP 和 UDP，适合多种应用。

保存并退出（Ctrl+O, Enter, Ctrl+X）。

4. 启动 Shadowsocks 服务

Shadowsocks-libev 默认以服务形式运行，配置 systemd 服务。

# 启动服务
sudo systemctl start shadowsocks-libev

# 设置开机自启
sudo systemctl enable shadowsocks-libev

检查服务状态：

1	sudo systemctl status shadowsocks-libev

Trojan

工作原理

Trojan 是一种基于 HTTPS 的代理协议，设计目标是伪装成常规的 Web 流量以绕过深度包检测（如 GFW）。它利用 TLS/SSL 加密，客户端与服务器之间的通信通过 HTTPS 协议（基于 TCP 443 端口）进行，流量看起来像是普通的 HTTPS 网站访问。Trojan 服务器接收客户端请求后，验证 TLS 证书和密码，解密数据并转发到目标地址。返回的数据同样通过 TLS 加密回传。这种伪装使得 Trojan 在严格审查环境下难以被检测，适合翻墙场景。相比 Shadowsocks，Trojan 的加密更强（依赖 TLS），但需要有效的 SSL 证书。

默认端口

Trojan 默认使用 443 端口，与标准 HTTPS 一致。这使得其流量难以与常规 Web 流量区分，增强了伪装能力。配置文件中的 local_port 参数设置此端口，可根据需要更改，但建议保留 443 以最大化伪装效果。

Red Hat/CentOS

环境

操作系统：RHEL 8/9 或 CentOS 8/9
权限：Root 或 sudo 权限
工具：Trojan（官方实现，轻量高效）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1
2
3

sudo dnf update -y
sudo dnf install -y epel-release
sudo dnf install -y curl wget git openssl

2. 安装 Trojan

Trojan 需要从源码编译安装。

# 安装编译依赖
sudo dnf groupinstall -y "Development Tools"
sudo dnf install -y boost-devel openssl-devel

# 下载并编译 Trojan
git clone https://github.com/trojan-gfw/trojan.git
cd trojan
cmake .
make
sudo make install

3. 获取 SSL 证书

Trojan 需要有效的 SSL/TLS 证书。

使用 Let’s Encrypt 获取免费证书。
1
2
sudo dnf install -y certbot python3-certbot-nginx
sudo certbot certonly --standalone -d your_domain.com
证书通常存储在 /etc/letsencrypt/live/your_domain.com/，记录 fullchain.pem 和 privkey.pem 的路径。

4. 配置 Trojan

创建配置文件 /usr/local/etc/trojan/config.json。

1 2	sudo mkdir -p /usr/local/etc/trojan sudo nano /usr/local/etc/trojan/config.json

添加以下配置（根据需要修改）：

{
    "run_type": "server",
    "local_addr": "0.0.0.0",
    "local_port": 443,
    "remote_addr": "127.0.0.1",
    "remote_port": 80,
    "password": ["your_secure_password"],
    "ssl": {
        "cert": "/etc/letsencrypt/live/your_domain.com/fullchain.pem",
        "key": "/etc/letsencrypt/live/your_domain.com/privkey.pem",
        "cipher": "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384",
        "prefer_server_cipher": true
    },
    "tcp": {
        "fast_open": true
    }
}

local_addr：监听所有接口（0.0.0.0）。
local_port：端口 443，模拟 HTTPS 流量。
password：强密码，建议 16 位以上。
cert 和 key：SSL 证书和私钥路径。
fast_open：启用 TCP Fast Open 降低延迟。

保存并退出（Ctrl+O, Enter, Ctrl+X）。

5. 创建 systemd 服务

创建 systemd 服务文件以管理 Trojan。

1	sudo nano /etc/systemd/system/trojan.service

添加：

[Unit]
Description=Trojan Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/trojan -c /usr/local/etc/trojan/config.json
Restart=on-failure

[Install]
WantedBy=multi-user.target

启用并启动服务：

1
2
3

sudo systemctl daemon-reload
sudo systemctl start trojan
sudo systemctl enable trojan

检查服务状态：

1	sudo systemctl status trojan

Ubuntu/Debian

环境

操作系统：Ubuntu 20.04/22.04 或 Debian 10/11
权限：Root 或 sudo 权限
工具：Trojan（官方实现，轻量高效）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1 2	sudo apt update && sudo apt upgrade -y sudo apt install -y curl wget git openssl

2. 安装 Trojan

从源码编译安装 Trojan。

# 安装编译依赖
sudo apt install -y build-essential cmake libboost-all-dev libssl-dev

# 下载并编译 Trojan
git clone https://github.com/trojan-gfw/trojan.git
cd trojan
cmake .
make
sudo make install

3. 获取 SSL 证书

Trojan 需要有效的 SSL/TLS 证书。

使用 Let’s Encrypt 获取免费证书。
1
2
sudo dnf install -y certbot python3-certbot-nginx
sudo certbot certonly --standalone -d your_domain.com
证书通常存储在 /etc/letsencrypt/live/your_domain.com/，记录 fullchain.pem 和 privkey.pem 的路径。

4. 配置 Trojan

创建配置文件 /usr/local/etc/trojan/config.json。

1 2	sudo mkdir -p /usr/local/etc/trojan sudo nano /usr/local/etc/trojan/config.json

添加（根据需要修改）：

{
    "run_type": "server",
    "local_addr": "0.0.0.0",
    "local_port": 443,
    "remote_addr": "127.0.0.1",
    "remote_port": 80,
    "password": ["your_secure_password"],
    "ssl": {
        "cert": "/etc/letsencrypt/live/your_domain.com/fullchain.pem",
        "key": "/etc/letsencrypt/live/your_domain.com/privkey.pem",
        "cipher": "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384",
        "prefer_server_cipher": true
    },
    "tcp": {
        "fast_open": true
    }
}

保存并退出（Ctrl+O, Enter, Ctrl+X）。

5. 创建 systemd 服务

1	sudo nano /etc/systemd/system/trojan.service

添加：

[Unit]
Description=Trojan Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/trojan -c /usr/local/etc/trojan/config.json
Restart=on-failure

[Install]
WantedBy=multi-user.target

启用并启动：

1
2
3

sudo systemctl daemon-reload
sudo systemctl start trojan
sudo systemctl enable trojan

检查状态：

1	sudo systemctl status trojan

V2Ray (VMess)

工作原理

VMess 是 V2Ray 框架下的核心代理协议，通过加密和多路复用（multiplexing）实现高效、安全的流量传输。客户端与服务器通过加密通道通信，支持动态端口、流量伪装（如 HTTP/HTTPS 或 WebSocket）和多路复用以降低检测风险。VMess 流量可伪装为常规 Web 流量，结合 TLS 或其他传输协议（如 WebSocket），使其在严格审查环境下表现优异。相比 Shadowsocks，VMess 配置更复杂但功能更强大；相比 Trojan，它更灵活但伪装能力稍逊。VMess 适合需要高自定义和复杂路由规则的翻墙场景。

默认端口

VMess 没有固定的默认端口，但通常使用 443（模拟 HTTPS）或 1080（常见代理端口）。建议使用 443 以增强伪装效果，配置文件中的 port 参数用于设置端口。

Red Hat/CentOS

环境

操作系统：RHEL 8/9 或 CentOS 8/9
权限：Root 或 sudo 权限
工具：V2Ray（官方实现，功能强大）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1
2
3

sudo dnf update -y
sudo dnf install -y epel-release
sudo dnf install -y curl wget git unzip

2. 安装 V2Ray

从官方发布页面下载并安装 V2Ray。

1 2	# 下载最新版 V2Ray bash <(curl -L https://github.com/v2fly/v2ray-core/releases/latest/download/install-release.sh)

这会将 V2Ray 安装到 /usr/local/bin/v2ray 和配置文件到 /usr/local/etc/v2ray。

3. 获取 SSL 证书

VMess 若使用 TLS 传输（如 HTTPS 伪装）需要 SSL 证书。使用 Let’s Encrypt 获取免费证书。

1 2	sudo dnf install -y certbot python3-certbot-nginx sudo certbot certonly --standalone -d your_domain.com

证书存储在 /etc/letsencrypt/live/your_domain.com/，记录 fullchain.pem 和 privkey.pem 路径。

4. 配置 V2Ray

创建配置文件 /usr/local/etc/v2ray/config.json。

1 2	sudo mkdir -p /usr/local/etc/v2ray sudo nano /usr/local/etc/v2ray/config.json

添加以下配置（使用 VMess + TLS，需修改）：

{
    "inbounds": [{
        "port": 443,
        "protocol": "vmess",
        "settings": {
            "clients": [
                {
                    "id": "your_uuid",
                    "alterId": 0
                }
            ]
        },
        "streamSettings": {
            "network": "tcp",
            "security": "tls",
            "tlsSettings": {
                "certificates": [
                    {
                        "certificateFile": "/etc/letsencrypt/live/your_domain.com/fullchain.pem",
                        "keyFile": "/etc/letsencrypt/live/your_domain.com/privkey.pem"
                    }
                ]
            }
        }
    }],
    "outbounds": [{
        "protocol": "freedom",
        "settings": {}
    }]
}

port：443，模拟 HTTPS 流量。
id：使用 UUID（运行 v2ray uuid 生成）。
alterId：建议设为 0（新版 V2Ray 默认）。
certificateFile 和 keyFile：SSL 证书和私钥路径。
streamSettings：使用 TLS 传输，伪装 HTTPS。

保存并退出（Ctrl+O, Enter, Ctrl+X）。

5. 创建 systemd 服务

V2Ray 默认提供 systemd 服务，确认配置文件。

1 2	sudo systemctl enable v2ray sudo systemctl start v2ray

检查服务状态：

1	sudo systemctl status v2ray

Ubuntu/Debian

环境

操作系统：Ubuntu 20.04/22.04 或 Debian 10/11
权限：Root 或 sudo 权限
工具：V2Ray（官方实现，功能强大）

步骤

1. 更新系统并安装依赖

确保系统软件包是最新的，并安装必要的工具。

1 2	sudo apt update && sudo apt upgrade -y sudo apt install -y curl wget git unzip

2. 安装 V2Ray

使用官方安装脚本。

1	bash <(curl -L https://github.com/v2fly/v2ray-core/releases/latest/download/install-release.sh)

安装路径同 Red Hat/CentOS。

3. 获取 SSL 证书

1 2	sudo apt install -y certbot python3-certbot-nginx sudo certbot certonly --standalone -d your_domain.com

证书存储在 /etc/letsencrypt/live/your_domain.com/。

4. 配置 V2Ray

创建配置文件 /usr/local/etc/v2ray/config.json。

1 2	sudo mkdir -p /usr/local/etc/v2ray sudo nano /usr/local/etc/v2ray/config.json

添加（与 Red Hat/CentOS 相同，需修改）：

{
    "inbounds": [{
        "port": 443,
        "protocol": "vmess",
        "settings": {
            "clients": [
                {
                    "id": "your_uuid",
                    "alterId": 0
                }
            ]
        },
        "streamSettings": {
            "network": "tcp",
            "security": "tls",
            "tlsSettings": {
                "certificates": [
                    {
                        "certificateFile": "/etc/letsencrypt/live/your_domain.com/fullchain.pem",
                        "keyFile": "/etc/letsencrypt/live/your_domain.com/privkey.pem"
                    }
                ]
            }
        }
    }],
    "outbounds": [{
        "protocol": "freedom",
        "settings": {}
    }]
}

保存并退出（Ctrl+O, Enter, Ctrl+X）。

5. 创建 systemd 服务

1 2	sudo systemctl enable v2ray sudo systemctl start v2ray

检查状态：

1	sudo systemctl status v2ray

客户端连接

在客户端（如 Clash Verge、V2Ray 客户端）配置：

服务器地址：服务器公网 IP 或域名
端口：协议对应端口（如 Shadowsocks 8388、Trojan/V2Ray 443）
密码/ID：配置文件中的密码或 UUID
协议：Shadowsocks、Trojan 或 VMess
TLS（Trojan/V2Ray）：启用，需有效证书

Clash Verge 支持： Clash 完全支持 Shadowsocks、Trojan 和 VMess 协议。在 Clash 中，导入以下 YAML 配置：

proxies:
  - name: "ss-server"
    type: ss
    server: your_server_ip
    port: 8388
    cipher: chacha20-ietf-poly1305
    password: your_secure_password
    udp: true
  - name: "trojan-server"
    type: trojan
    server: your_domain.com
    port: 443
    password: your_secure_password
    sni: your_domain.com
    skip-cert-verify: false
    udp: true
  - name: "vmess-server"
    type: vmess
    server: your_domain.com
    port: 443
    uuid: your_uuid
    alterId: 0
    cipher: auto
    tls: true
    skip-cert-verify: false
    network: tcp
    udp: true

Clash 客户端配置

Clash（如 Clash Verge）是一个功能强大的代理客户端，支持多种协议（如 Shadowsocks、Trojan、VMess）。以下是你提供的 Clash 配置文件中各部分的作用和推荐配置方式：

配置文件解析

port: 7890
allow-lan: true
mode: rule
log-level: info
unified-delay: true
global-client-fingerprint: chrome
dns:
  enable: true
  listen: :53
  ipv6: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  default-nameserver: 
    - 223.5.5.5
    - 8.8.8.8
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
  fallback:
    - https://1.0.0.1/dns-query
    - tls://dns.google
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4
proxies:
  - name: "ss-server"
    type: ss
    server: your_server_ip
    port: 8388
    cipher: chacha20-ietf-poly1305
    password: your_secure_password
    udp: true
  - name: "trojan-server"
    type: trojan
    server: your_domain.com
    port: 443
    password: your_secure_password
    sni: your_domain.com
    skip-cert-verify: false
    udp: true
  - name: "vmess-server"
    type: vmess
    server: your_domain.com
    port: 443
    uuid: your_uuid
    alterId: 0
    cipher: auto
    tls: true
    skip-cert-verify: false
    network: tcp
    udp: true
proxy-groups:
- name: 负载均衡
  type: load-balance
  url: https://cp.cloudflare.com/generate_204
  interval: 300
  strategy: round-robin
  proxies:
    - ss-server
- name: 自动选择
  type: url-test
  url: https://cp.cloudflare.com/generate_204
  interval: 300
  tolerance: 50
  proxies:
    - ss-server
- name: Nick666
  type: select
  proxies:
    - 负载均衡
    - 自动选择
    - DIRECT
    - ss-server
rules:
  # 规则部分待补充

各部分作用与配置建议：

基本配置：
- port: 7890
  - 作用：设置 Clash 的 HTTP 代理端口，客户端通过此端口访问代理（如浏览器设置代理为 127.0.0.1:7890）。
  - 推荐配置：默认 7890，需确保本地无其他程序占用。可改为其他端口（如 8080），但需同步更新客户端配置。
- allow-lan: true
  - 作用：允许局域网设备通过 Clash 代理访问网络（如手机连接电脑的 Clash 代理）。
  - 推荐配置：若仅本地使用，设为 false 以提高安全性；若需局域网共享，设为 true，并确保防火墙允许相关端口（如 7890）。
- mode: rule
  - 作用：设置代理模式，rule 表示按规则分流（根据 rules 决定哪些流量走代理）。其他选项包括 global（全部走代理）或 direct（全部直连）。
  - 推荐配置：rule 适合国内用户，结合规则实现国内外流量分流；global 适合完全代理场景。
- log-level: info
  - 作用：设置日志级别，info 显示常规日志信息。其他选项：silent（无日志）、warning、error、debug。
  - 推荐配置：日常使用设为 info；调试时设为 debug；生产环境可设为 warning 或 error 减少日志。
- unified-delay: true
  - 作用：启用统一延迟测试，规范化不同协议的延迟测量结果。
  - 推荐配置：设为 true，确保延迟测试准确，方便选择最优节点。
- global-client-fingerprint: chrome
  - 作用：伪装客户端的 TLS 指纹为 Chrome 浏览器，降低被防火墙检测的风险。
  - 推荐配置：设为 chrome 或其他主流浏览器（如 firefox），增强伪装效果。
DNS 配置：
- enable: true
  - 作用：启用 Clash 的 DNS 解析功能，接管系统 DNS 请求。
  - 推荐配置：设为 true，确保 DNS 请求通过代理，防止泄露。
- listen: :53
  - 作用：Clash 监听本地 53 端口处理 DNS 请求（需 root 权限或重定向）。
  - 推荐配置：保持 :53，但需确保系统防火墙允许 53 端口，或使用高位端口（如 1053）避免冲突。
- ipv6: true
  - 作用：启用 IPv6 DNS 解析支持。
  - 推荐配置：国内环境建议设为 false（多数网络 IPv6 不稳定）；若网络支持 IPv6，可设为 true。
- enhanced-mode: fake-ip
  - 作用：使用 Fake IP 模式，将域名解析为虚拟 IP（198.18.0.1/16），通过 Clash 代理解析真实地址，防止 DNS 污染。
  - 推荐配置：fake-ip 适合翻墙场景；若无需防污染，可用 redir-host 模式。
- fake-ip-range: 198.18.0.1/16
  - 作用：Fake IP 的 IP 范围，Clash 用此范围分配虚拟 IP。
  - 推荐配置：默认 198.18.0.1/16，无需修改，确保不与本地网络冲突。
- default-nameserver:
  - 作用：用于解析 DNS 配置本身的域名（如 dns.alidns.com）。
  - 配置：223.5.5.5（阿里 DNS）、8.8.8.8（Google DNS），国内建议优先使用国内 DNS。
- nameserver:
  - 作用：主 DNS 服务器，处理国内域名解析（如 https://dns.alidns.com/dns-query）。
  - 推荐配置：使用 DoH（DNS over HTTPS）服务器，如阿里、腾讯的 DoH，提升安全性。
- fallback:
  - 作用：备用 DNS 服务器，处理国外域名解析（如 https://1.0.0.1/dns-query、Google DNS）。
  - 推荐配置：使用国外 DoH/TLS 服务器，确保翻墙域名解析正常。
- fallback-filter:
  - 作用：过滤 DNS 解析结果，决定哪些域名使用 fallback 服务器。
  - geoip: true, geoip-code: CN：国内 IP 地址使用 nameserver 解析。
  - ipcidr: 240.0.0.0/4：指定 IP 范围（如组播地址）走 fallback。
  - 推荐配置：保持 geoip: true 和 geoip-code: CN，确保国内域名走国内 DNS，国外域名走国外 DNS。

proxies：

作用：定义代理节点（如 Shadowsocks 节点）。

示例：

proxies:
  - name: "ss-server"
    type: ss
    server: your_server_ip
    port: 8388
    cipher: chacha20-ietf-poly1305
    password: your_secure_password
    udp: true
  - name: "trojan-server"
    type: trojan
    server: your_domain.com
    port: 443
    password: your_secure_password
    sni: your_domain.com
    skip-cert-verify: false
    udp: true
  - name: "vmess-server"
    type: vmess
    server: your_domain.com
    port: 443
    uuid: your_uuid
    alterId: 0
    cipher: auto
    tls: true
    skip-cert-verify: false
    network: tcp
    udp: true

name：节点名称，任意设置，便于识别。
type：协议类型。
server：服务器 IP 或域名。
port：服务器端口，与服务器配置一致。
cipher：加密算法，需与服务器一致。
password：密码，需与服务器一致。
udp：启用 UDP 支持，适合游戏或实时应用。

推荐配置：确保 server、port、cipher 和 password 与服务器配置完全匹配；udp: true 适合需要 UDP 的场景。

proxy-groups：

作用：定义代理组，控制节点的选择方式（如手动选择、自动测试、负载均衡）。

示例：

- name: 负载均衡
  type: load-balance
  url: https://cp.cloudflare.com/generate_204
  interval: 300
  strategy: round-robin
  proxies:
    - ss-server
- name: 自动选择
  type: url-test
  url: https://cp.cloudflare.com/generate_204
  interval: 300
  tolerance: 50
  proxies:
    - ss-server
- name: Nick666
  type: select
  proxies:
    - 负载均衡
    - 自动选择
    - DIRECT
    - ss-server

负载均衡（type: load-balance）：
- 作用：将流量平均分配到多个节点，适合高负载场景。
- url：测试延迟的 URL，https://cp.cloudflare.com/generate_204 是一个快速响应地址。
- interval：测试间隔（秒），300 表示每 5 分钟测试一次。
- strategy: round-robin：轮询分配流量，另可选 consistent-hashing。
- 推荐配置：适合多节点场景，interval 设为 300-600，url 使用可靠测试地址。
自动选择（type: url-test）：
- 作用：自动选择延迟最低的节点。
- tolerance：延迟变化容忍度（毫秒），50 表示延迟变化小于 50ms 不切换。
- 推荐配置：interval 设为 300-600，tolerance 设为 50-100，适合动态选择最优节点。
手动选择（type: select）：
- 作用：允许用户手动选择代理组或节点（如 负载均衡、自动选择、直接连接或具体节点）。
- 推荐配置：作为顶层组，包含其他组和 DIRECT，便于灵活切换。

rules：
- 作用：定义流量分流规则，决定哪些流量走代理、哪些直连。
- 示例（需补充完整规则）：
  1
  2
  3
  4
  5
  rules:
  - DOMAIN-SUFFIX,google.com,自动选择
  - DOMAIN-SUFFIX,cn,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,Nick666
  - DOMAIN-SUFFIX：匹配域名后缀（如 google.com 走代理）。
  - GEOIP：匹配 IP 地理位置（如国内 IP 直连）。
  - MATCH：默认规则，匹配未命中规则的流量。
  - 推荐配置：
    - 使用域名规则（如 DOMAIN-SUFFIX）区分国内外流量。
    - 使用 GEOIP,CN,DIRECT 确保国内流量直连。
    - 规则文件可从开源项目（如 Loyalsoldier/clash-rules）导入，减少手动配置。

本文作者： NICK
本文链接： https://nicccce.github.io/TechNotes/Build-A-Ladder/
版权声明： 本博客所有文章除特别声明外，均采用 MIT 许可协议。转载请注明出处！