VPN 代理指南

名詞分類與整體架構

在開始架設之前，必須先釐清「協議、引擎、面板、客戶端」這四個名詞的層級關係與相互依賴。

四大引擎比較

引擎是真正跑在伺服器或客戶端上的核心程式，負責把協議規格實作出來、處理實際流量傳輸。協議只是「規格書」，需要引擎才能動起來。

協議深度解析

協議定義了流量如何封裝與傳輸。在中國翻牆場景下，協議的「偽裝能力」與「抗封鎖能力」是首要考量。

VLESS

一種輕量、低開銷的代理協議，是 VMess 的簡化改進版。

VLESS + Reality + Vision（目前主流推薦）

這三個通常一起使用，各自扮演不同角色，是目前抗封鎖能力最強的組合：

為什麼這個組合強？

• GFW 看到的是「某台灣 IP 連到 Google、Apple 等大網站的正常 HTTPS 流量」，完全無法與真實流量區分。
• 不需要買域名、不需要申請 SSL 憑證。
• 沒有官方獨立引擎，需靠 Xray 或 Sing-box 跑。
• 適合情境：長期穩定翻牆、看 YouTube / Twitch / Discord。

Hysteria2

基於 QUIC（UDP）的代理協議，有自己的官方引擎。

• 特色：速度快、弱網環境表現好（內建 BBR 擁塞控制）；對推流（上傳）友善，UDP 比 TCP 更不容易卡頓。
• 偽裝：有流量混淆，有一定抗封鎖能力。
• 缺點：UDP 在某些中國 ISP 環境會被 QoS 限速。
• 適合情境：對速度要求高的場景，例如推流到 Twitch、大檔案下載。

WireGuard

現代化 VPN 協議，程式碼極簡、效能優秀。

協議選擇建議

面板與客戶端選擇

面板是伺服器端的網頁管理介面，讓你不用打指令就能管理代理伺服器；客戶端則是朋友那端安裝的 App，用來連線到你架的伺服器。

面板：3x-ui vs s-ui

3x-ui 一鍵安裝指令：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

客戶端選擇

客戶端 = 朋友那端裝的 App，用來連線到你架的伺服器。

主流推薦客戶端

• Shadowrocket（iOS 專用）：iOS 翻牆最主流選擇。付費 App（約 $2.99 美金），需非中國區 Apple ID 購買。支援 VLESS+Reality、Hysteria2，掃 QR Code 即可連線。
• v2rayN（Windows 專用）：Windows 最主流的免費開源代理客戶端。支援訂閱連結一鍵更新、Xray/Sing-box 雙引擎、系統代理與 TUN 模式。

其他常用客戶端一覽

VPS 選購指南

真正決定 VPS 使用體驗的不是「地區」，而是線路、距離與 IP 信譽的綜合表現。地區是門牌號，線路是路況，IP 信譽是入場券，協議特徵決定這張票能用多久。

核心選購框架（三要素）

三大運營商回程線路

📡 電信（China Telecom）：追求穩定優先選 CN2 GIA，預算有限選 CN2 GT 或普通 163。

📡 聯通（China Unicom）：一般使用選 AS4837，重視晚高峰選 AS9929。

📡 移動（China Mobile）：注意「移動優化」不代表就是 CMIN2，要看 ASN 編號。

線路測試指令（雙向完整版）

商家宣傳的線路不可盡信，必須自己測。測試分兩個方向：去程（你的電腦 → VPS）與回程（VPS → 中國用戶）。

Step 1：在 VPS 上安裝工具並確認出口 IP

# Debian / Ubuntu 安裝工具
apt update && apt install -y mtr-tiny traceroute iputils-ping curl

# 確認 VPS 的出口 IP 與地理位置
curl ip.sb
curl ip-api.com/json

Step 2：回程測試（在 VPS 上執行，測 VPS → 中國方向）

# 分別測三大運營商方向（各跑 100 次取樣）
mtr -rwzbc 100 223.5.5.5        # 電信（阿里 DNS，AS4134）
mtr -rwzbc 100 114.114.114.114  # 聯通（114 DNS，AS4837）
mtr -rwzbc 100 180.76.76.76     # 移動（百度 DNS，AS58461）

# 參數說明：
# -r 報告模式  -w 寬格式  -z 顯示 ASN (最關鍵)
# -b 顯示 IP/hostname  -c 取樣次數

地區選擇指南

IP 類型與信譽查詢

流媒體能不能看、帳號會不會被封，核心是 IP 被平台怎麼看。

常用 IP 信譽查詢工具：

• IPQS (ipqualityscore.com)：查 Fraud Score、是否被標記為 Proxy/VPN
• Scamalytics (scamalytics.com)：詐騙風險評分
• ip-api / ipinfo：查 ASN、組織名稱、GeoIP 是否準確

部署方式比較

翻牆服務大致分三種取得方式，各有不同的適用情境、成本與風險。自架的成本是「你的時間與維護精力」，機場的成本是「你對服務商的信任」。

三種方式一覽

住宅 IP 自架

在自己家裡的電腦或 NAS 上跑 Xray，讓中國朋友連線到你家的 IP。

• 優點：IP 是真實住宅 IP，平台風控極度友好；無額外 VPS 費用；流量特徵最低。
• 缺點：需處理浮動 IP (DDNS) 與 NAT (Port Forwarding)；家用寬頻上行通常僅 10-30Mbps，多人使用易成瓶頸；真實住家 IP 暴露給使用者，有隱私與連帶責任風險。
• 適合誰：技術能力強、已有長期開機設備 (NAS)、只供少數親近朋友使用。

自架 VPS（本文主要推薦方案）

租用雲端虛擬主機 (VPS)，自己安裝 3x-ui 面板，完全自行控制節點。

• 優點：固定 IP，設定一次後穩定運行；多用戶管理方便；IP 與住家無關聯，隱私較好；可選擇對中國大陸友好的線路 (CN2 GIA、CMIN2)。
• 缺點：機房 IP 大量被用於代理，GFW 可能主動封鎖 (台灣 VPS 風險相對較低)；需自行維護系統與面板更新。
• 適合誰：想供多位朋友使用、希望穩定低維護成本、有基礎 Linux 操作能力。

機場（訂閱式翻牆服務）

購買他人架設的代理節點訂閱，直接在客戶端使用。

• 優點：零技術門檻；節點多、地區多；一條被封自動換下一條。
• 缺點：隱私風險最高 (機場商可看所有流量與 DNS)；小機場有跑路風險；節點共享導致晚高峰品質不穩；無法自訂協議與線路。
• 適合誰：完全不想碰技術的朋友自用 (非你幫他們架設的場景)。

綜合建議

• 你幫朋友架、朋友自己用 ➡️ 自架 VPS + 3x-ui（優先考慮台灣 VPS，IP 被封風險低）。
• 你自己用、不想付 VPS 費用 ➡️ 住宅 IP 自架（需注意上行頻寬和隱私）。
• 朋友自己搞定、你不想管 ➡️ 推薦他買機場（按月付費、可隨時換）。

快速架設 SOP

以下為使用 3x-ui 面板 + VLESS+Reality 在台灣/海外 VPS 架設翻牆節點的標準流程。

Step 1：安裝 3x-ui 面板

SSH 連線到你的 VPS，執行以下一鍵安裝腳本（包含 Xray 核心）：

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Step 2：登入面板

安裝完成後，終端機會顯示面板的存取資訊。請開啟瀏覽器登入，並立即修改預設密碼。

• 預設網址：http://你的IP:2053/面板路徑
• 預設帳號：admin
• 預設密碼：admin

Step 3：新增 Inbound (VLESS + Reality)

在左側選單點選「入站列表 (Inbounds)」→「添加 Inbound」，按照以下參數設定：

Step 4：產生客戶端連結

儲存 Inbound 後，回到列表頁面：

1. 點擊該 Inbound 右側的「二維碼 (QR Code)」圖示。
2. 將 QR Code 截圖或點擊「複製連結」。
3. 傳給朋友，使用 Shadowrocket (iOS) 或 v2rayN (Windows) 掃碼 / 貼上即可連線。

設定範本

以下提供 Xray (VLESS+Reality) 與 Hysteria2 的伺服器端核心設定範本。範本已移除所有敏感資訊，需自行替換佔位符。

Xray (VLESS + Reality + Vision)

適用於 3x-ui 面板底層或手動部署的 Xray-core。核心重點在於 xtls-rprx-vision 與 realitySettings 的偽裝目標配置。

{
  "log": { "loglevel": "warning" },
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "<YOUR_UUID_1>",
            "email": "user-self",
            "flow": "xtls-rprx-vision"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "dest": "www.cloudflare.com:443",
          "serverNames": ["www.cloudflare.com"],
          "privateKey": "<YOUR_PRIVATE_KEY>",
          "shortIds": ["", "0123456789abcdef"]
        }
      }
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      { "type": "field", "ip": ["geoip:private"], "outboundTag": "block" },
      { "type": "field", "protocol": ["bittorrent"], "outboundTag": "block" }
    ]
  },
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "block" }
  ]
}

Hysteria2 (UDP/QUIC)

適用於需要高速推流或弱網環境的備用協議。內建 BBR 擁塞控制與流量偽裝。

listen: :443

# TLS 憑證 (使用 ACME 自動簽發)
acme:
  domains:
    - "<YOUR_DOMAIN>"
  email: "<YOUR_EMAIL>"

# 身份驗證
auth:
  type: userpass
  userpass:
    "user1": "<STRONG_PASSWORD_1>"
    "user2": "<STRONG_PASSWORD_2>"

# 封鎖 QUIC 放大攻擊向量
acl:
  inline:
    - reject(all, udp/443)

# QUIC 效能調整 (針對直播長連接優化)
quic:
  initStreamReceiveWindow: 4194304
  maxStreamReceiveWindow: 8388608
  initConnReceiveWindow: 10485760
  maxConnReceiveWindow: 20971520
  maxIdleTimeout: 120s

# 頻寬上限 (依 VPS 實際頻寬調整)
bandwidth:
  up: 100 mbps
  down: 100 mbps

# 偽裝網站 (有人掃描 IP 時顯示)
masquerade:
  type: proxy
  proxy:
    url: https://www.bing.com
    rewriteHost: true

使用者指南

翻牆不僅是「連上伺服器」，更重要的是「防止本機洩漏」。以下提供 Windows 與 iOS 的標準防洩漏設定 SOP，確保 DNS、WebRTC 與系統流量不會繞過代理暴露真實 IP。

管理員維護

此章節供管理員（伺服器架設者）使用，一般用戶不需要閱讀。涵蓋日常維護、DDNS 設定、時間同步與日誌查看。

DDNS 自動更新（浮動 IP 環境必讀）

若使用住宅 IP 自架（非 VPS），ISP 分配的是浮動 IP，需設定 DDNS 讓域名始終指向最新 IP。

伺服器時間同步

Reality 握手過程會校驗時間戳。若伺服器與客戶端時差超過數分鐘，極易導致 TLS 握手靜默失敗（不會有明顯錯誤訊息，連線就是建不起來）。

# Linux 伺服器確認時間同步狀態
timedatectl status

# 若未同步，啟用 NTP
sudo timedatectl set-ntp true

Xray 核心版本更新

定期更新核心以確保安全性和效能。

查看連線日誌

若需排查連線問題或確認用戶流量，可在設定檔中開啟日誌記錄。

// 在 config.json 的 log 區塊加入：
"log": {
  "loglevel": "warning",
  "access": "access.log",
  "error": "error.log"
}

儲存後重啟 Xray 服務，日誌檔案會出現在 xray 執行檔同一個資料夾（或指定的絕對路徑）。

新增或移除用戶

• 3x-ui 面板：直接在網頁介面「入站列表」中新增或刪除用戶，無需手動編輯 JSON。
• 手動編輯：用文字編輯器開啟 config.json，在 clients 陣列中新增或刪除用戶物件，隨後重啟服務。

# 產生新 UUID 的指令
xray uuid
# 或
uuidgen