作者： jjm6

• 剪贴板按钮，复制文件的全部内容
• 点击左侧的 ＋ 号，选择 “New Project / Repository”。然后选择“Create blank project”
• 输入项目名称，项目类型选择“Private”，点击“Create project”按钮进行创建库
• 点击“Edit”下的“Web IDE”按钮，进入 GitLab 的编辑器
• 点击文件视图上方的新建按钮，然后输入文件名称（文件名后面记得加 .yaml 后缀！！）
• 将第一步的内容粘贴到新建的文件中
• 在第一区域中，可以修改有关 DNS 配置（如不懂修改请保持默认即可）
• 在第二区域中，可以修改节点配置（修改的地方已标注注释，根据注释修改即可）
• 在第三区域中，可以修改分流组设置，按需求自行增减，确保出现的节点名称在代理协议中可查找得到
• 在第四区域中，可以修改代理规则设置。如各位会玩的朋友来说，可以在此适当增加代理规则。一般情况下，默认的规则就已经够用了
• 转到项目设置中的“Access Tokens”页面，新增一个 Token。名称可以随意填写，其的有效期可以点击“×”号禁用。组选择“Owner”，访问权限勾选 api，然后点击“Create project access token”按钮
• 生成完访问密钥之后，点击剪贴板按钮将密钥复制，保存备用
• 通过修改以下链接的仓库名称和 Token，获取自己的节点配置文件订阅链接
• plaintext
• 可以使用基于 Clash Meta 内核的客户端，测试导入节点。如能正常导入则说明节点配置没有任何问题

说在最前面，不是特别建议直接更新ipk的方式更新，因为依赖不一样，版本差距较大会带来不可预知的BUG。

1、查看自己的软 路由CPU架构

进入TTYD终端或通过shell进入软 路由

输入 uname -m

然后再输入 opkg print-architecture

最简单的
cat /etc/os-release |grep ARCH

例如我的r4s，可以看到 arch aarch64_generic 那我去找对应的插件就行。

2、查找插件

推荐网站

https://op.dllkids.xyz/

https://op.supes.top/packages/

packages目录里面选aarch64_generic

然后搜索 passwall

之后，下载

3、升级

软 路由— 软件包—过滤器，搜passwall，然后选择移除。

文件传输—选择文件—上传—结束。

4、注意

如果passwall的版本垮的多，建议恢复默认后重新设置。

http://软 路由IP/cgi-bin/luci/admin/services/passwall/reset_config

第二种方法

下载作者原版ipk以及相关依赖
https://github.com/xiaorouji/ openwrt-passwall/releases

一个passwall、一个语言包，一个依赖包（根据之前查询到的cpu类型下载）
1.进入软 路由 ，在/tmp 里面新建一个文件，然后把 软件全部上传进去
2.执行安装代码
第一次用这种方式升级，强烈建议用第一个代码,如果第一个代码报错，试试第二个

opkg install *.ipk --force-reinstall

opkg install *.ipk --force-depends

此后升级，如果发现依赖不用替换，之是升级passwall的话，用下面这个代码

opkg install *.ipk

还有人问我，我的passwall规则设置如下一定要注意先后关系，也就是顺序不能错

STEAM
域名

api.steampowered.com
regexp:\.cm.steampowered.com$
regexp:\.steamserver.net$

IP

103.10.124.0/24
103.10.125.0/24
103.28.54.0/24
146.66.152.0/24
146.66.155.0/24
153.254.86.0/24
155.133.224.0/23
155.133.226.0/24
155.133.227.0/24
155.133.230.0/24
155.133.232.0/24
155.133.233.0/24
155.133.234.0/24
155.133.236.0/23
155.133.238.0/24
155.133.239.0/24
155.133.240.0/23
155.133.245.0/24
155.133.246.0/24
155.133.248.0/24
155.133.249.0/24
155.133.250.0/24
155.133.251.0/24
155.133.252.0/24
155.133.253.0/24
155.133.254.0/24
155.133.255.0/24
162.254.192.0/24
162.254.193.0/24
162.254.194.0/23
162.254.195.0/24
162.254.196.0/24
162.254.197.0/24
162.254.198.0/24
162.254.199.0/24
185.25.182.0/24
185.25.183.0/24
190.217.33.0/24
192.69.96.0/22
205.185.194.0/24
205.196.6.0/24
208.64.200.0/24
208.64.201.0/24
208.64.202.0/24
208.64.203.0/24
208.78.164.0/22

AD
域名

geosite:category-ads-all

BT

Netflix
域名

geosite:netflix

disney
域名

geosite:disney

Proxy
域名

geosite:geolocation-!cn

ip

149.154.160.0/20
91.108.4.0/22
91.108.56.0/24
109.239.140.0/24
67.198.55.0/24
8.8.4.4
8.8.8.8
208.67.222.222
208.67.220.220
1.1.1.1
1.1.1.2
1.0.0.1
9.9.9.9
149.112.112.112
2001:67c:4e8::/48
2001:b28:f23c::/48
2001:b28:f23d::/48
2001:b28:f23f::/48
2001:b28:f242::/48
2001:4860:4860::8888
2001:4860:4860::8844
2606:4700:4700::1111
2606:4700:4700::1001

Direct
域名

geosite:category-games@cn
geosite:cn

IP

223.5.5.5/32
119.29.29.29/32
180.76.76.76/32
114.114.114.114/32
geoip:cn
geoip:private

安装X-UI
bash <(curl -Ls https://raw.githubusercontent.com/FranzKafkaYu/x-ui/956bf85bbac978d56c0e319c5fac2d6db7df9564/install.sh) 0.3.4.4

搭建vision节点申请证书

#安装证书工具：
curl https://get.acme.sh | sh; apt install socat -y || yum install socat -y; ~/.acme.sh/acme.sh --set-default-ca --server letsencrypt

#三种方式任选其中一种，申请失败则更换方式
#申请证书方式1： 
~/.acme.sh/acme.sh  --issue -d 你的域名 --standalone -k ec-256 --force --insecure
#申请证书方式2： 
~/.acme.sh/acme.sh --register-account -m "${RANDOM}@chacuo.net" --server buypass --force --insecure && ~/.acme.sh/acme.sh  --issue -d 你的域名 --standalone -k ec-256 --force --insecure --server buypass
#申请证书方式3： 
~/.acme.sh/acme.sh --register-account -m "${RANDOM}@chacuo.net" --server zerossl --force --insecure && ~/.acme.sh/acme.sh  --issue -d 你的域名 --standalone -k ec-256 --force --insecure --server zerossl

#安装证书：
~/.acme.sh/acme.sh --install-cert -d 你的域名 --ecc --key-file /etc/x-ui/server.key --fullchain-file /etc/x-ui/server.crt

Reality寻找适合的目标网站
查询ASN：https://tools.ipip.net/as.php

寻找目标：https://fofa.info

asn==”25820″ && country==”US” && port==”443″ && cert!=”Let’s Encrypt” && cert.issuer!=”ZeroSSL” && status_code=”200″

检测端口是否被封
https://tcp.ping.pe/

在之前我记录了一下xrayr后端节点的常用配置方法，在这种方法下，tls是直接由xrayr处理的，这样一来会有一些问题。

首先为了避免机器被墙，现在无一例外肯定是使用vmess+websocket+tls或者vless+xtls（xrayr是支持的）

但无论你使用上面提到的这两种方法的哪一种，都是非常依赖443端口的，如果让xrayr直接监听443的话，机器就不能再做其他事情了。比如用nginx或者caddy建站就不能https了。

用其他端口配置吧，又显得有点不伦不类。所以最好的办法是让nginx来处理tls，这样443端口就可以腾出来给nginx用了。

vless+xtls其实是目前更推荐的配置方法，但是目前v2board面板的订阅还不支持，所以下面我就用vmess+websocket+tls来演示一下配置。

首先在节点上安装需要用到的包：

apt -y update
apt -y install nginx python-certbot-nginx supervisor

启动服务并设置开机自启：

systemctl enable --now nginx supervisor

接着在v2board面板内添加一个websocket节点：

注意这里的连接端口和服务端口，连接端口配置为443，服务端口配置为4443。

连接端口就相当于是用户通过订阅连接配置在客户端上的端口，而服务端口是xrayr后端实际监听的端口。

另外别忘了配置path：

现在新建一个nginx站点配置文件：

nano /etc/nginx/conf.d/xrayr.conf

写入如下配置：

server {
    listen       80;
    server_name  rucn2.ohshit.club;

    location /sometimesnaive {
        proxy_pass                       http://127.0.0.1:4443;
        proxy_redirect                   off;
        proxy_http_version               1.1;
        proxy_set_header Upgrade         $http_upgrade;
        proxy_set_header Connection      "upgrade";
        proxy_set_header Host            $http_host;
        proxy_set_header X-Real-IP       $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

剩下给nginx配置ssl证书的这些步骤全部交给certbot自动帮我们处理即可：

certbot --nginx

现在安装xrayr：

mkdir /opt/xrayr && cd /opt/xrayr
wget https://github.com/XrayR-project/XrayR/releases/download/v0.5.0/XrayR-linux-64.zip

编辑xrayr配置文件：

nano config.yml

改为如下配置，重要部分写了注释：

Log:
  Level: debug
  AccessPath: ./access.log
  ErrorPath: ./error.log
DnsConfigPath: ./dns.json
Nodes:
  -
    PanelType: "V2board"
    ApiConfig:
      ApiHost: "https://v2board.ohshit.club/"
      ApiKey: "imlalaimlalaimlala"
      NodeID: 4 // 对应v2board面板内的节点id
      NodeType: V2ray
      Timeout: 30
      EnableVless: false
      EnableXTLS: false
    ControllerConfig:
      ListenIP: 127.0.0.1 // 仅监听在本地
      UpdatePeriodic: 60
      EnableDNS: false
      CertConfig:
        CertMode: none // 关闭证书申请
        CertDomain: "rucn2.ohshit.club" 
        Provider: cloudflare 
        Email: example@lala.im
        DNSEnv: 
          CF_DNS_API_TOKEN: cwPZEBAvIXUcxCdy4v2ib5j8uK-KwnRMDuNPxE-n

新建supervisor配置文件用于守护xrayr：

nano /etc/supervisor/conf.d/xrayr.conf

写入如下配置：

[program:xrayr]
directory=/opt/xrayr
command=/opt/xrayr/XrayR -config config.yml
autostart=true
autorestart=true

启动xrayr：

supervisorctl update

至此配置就全部完成了。对接有任何问题，查看相应的日志文件有助于排错：

/opt/xrayr/access.log
/opt/xrayr/error.log

下面是我自己的配置：

server {
    server_name  s**.jjm6.com;

    location /allgood {
        proxy_pass                       http://127.0.0.1:14431;
        proxy_redirect                   off;
        proxy_http_version               1.1;
        proxy_set_header Upgrade         $http_upgrade;
        proxy_set_header Connection      "upgrade";
        proxy_set_header Host            $http_host;
        proxy_set_header X-Real-IP       $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/sgp.jjm6.com/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/sgp.jjm6.com/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}server {
    if ($host = sgp.jjm6.com) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


    listen       80;
    server_name  sgp.jjm6.com;
    return 404; # managed by Certbot


}

节点搭建

#更新软件源
apt update
#启用 BBR TCP 拥塞控制算法
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

#安装x-ui：
bash <(curl -Ls https://raw.githubusercontent.com/vaxilu/x-ui/master/install.sh)

#安装nginx
apt install nginx
#安装acme：
curl https://get.acme.sh | sh
#添加软链接：
ln -s  /root/.acme.sh/acme.sh /usr/local/bin/acme.sh
#切换CA机构： 
acme.sh --set-default-ca --server letsencrypt
#申请证书： 
acme.sh  --issue -d 你的域名 -k ec-256 --webroot  /var/www/html
#安装证书：
acme.sh --install-cert -d 你的域名 --ecc --key-file /etc/x-ui/server.key  --fullchain-file /etc/x-ui/server.crt --reloadcmd "systemctl force-reload nginx"

寻找适合的伪装站

http站点优先，个人网盘符合单节点大流量特征

示例关键字：intext:登录 Cloudreve

配置nginx

配置文件路径：/etc/nginx/nginx.conf

user www-data;
worker_processes auto;
pid /run/nginx.pid;
include /etc/nginx/modules-enabled/*.conf;

events {
    worker_connections 1024;
}

http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;

    include /etc/nginx/mime.types;
    default_type application/octet-stream;
    gzip on;

    server {
        listen 443 ssl;
        
        server_name nicename.co;  #你的域名
        ssl_certificate       /etc/x-ui/server.crt;  #证书位置
        ssl_certificate_key   /etc/x-ui/server.key; #私钥位置
        
        ssl_session_timeout 1d;
        ssl_session_cache shared:MozSSL:10m;
        ssl_session_tickets off;
        ssl_protocols    TLSv1.2 TLSv1.3;
        ssl_prefer_server_ciphers off;

        location / {
            proxy_pass https://bing.com; #伪装网址
            proxy_redirect off;
            proxy_ssl_server_name on;
            sub_filter_once off;
            sub_filter "bing.com" $server_name;
            proxy_set_header Host "bing.com";
            proxy_set_header Referer $http_referer;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header User-Agent $http_user_agent;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto https;
            proxy_set_header Accept-Encoding "";
            proxy_set_header Accept-Language "zh-CN";
        }


        location /ray {   #分流路径
            proxy_redirect off;
            proxy_pass http://127.0.0.1:10000; #Xray端口
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection "upgrade";
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
        
        location /xui {   #xui路径
            proxy_redirect off;
            proxy_pass http://127.0.0.1:9999;  #xui监听端口
            proxy_http_version 1.1;
            proxy_set_header Host $host;
        }
    }

    server {
        listen 80;
        location /.well-known/ {
               root /var/www/html;
            }
        location / {
                rewrite ^(.*)$ https://$host$1 permanent;
            }
    }
}

每次修改nginx配置文件后必须使用 systemctl reload nginx 命令重新加载配置文件

多用户合租

通过修改nginx的配置文件实现ws path路径分流

location /ray {   #分流路径
    proxy_redirect off;
    proxy_pass http://127.0.0.1:10000; #Xray端口
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

本配置TLS 由 REALITY 取代，可消除服务端 TLS 指纹特征，仍有前向保密性等，且证书链攻击无效，安全性超越常规 TLS。可指向别人的网站，无需自己买域名、配置 TLS 服务端，更方便，实现向中间人呈现指定 SNI 的全程真实 TLS，可解决 SNI 名单阻断问题。

#安装并将 Xray-core 升级到预发布版本

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install --version 1.8.0

#修改Xray配置信息(/usr/local/etc/xray/config.json)

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [ 
    {
      "listen": "0.0.0.0",
      "port": 443, //监听端口
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "uuid", //执行xray uuid生成
            "flow": "xtls-rprx-vision" //启用XTLS Vision
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "show": false, // 选填，若为 true，输出调试信息
          "dest": "www.microsoft.com:443", //转发给自己设定的目标网站
          "xver": 0, //选填，默认关闭PROXY protocol发送
          "serverNames": [ // 必填，客户端可用的 serverName 列表，暂不支持 * 通配符
            "www.microsoft.com" //修改为目标网站的域名
          ],
          "privateKey": "ILdQxyQYfeI2ZE0NXTDtbUjsdYAYk6EmPVoDSJMsz2A", //修改为执行xray x25519后生成的私钥。
          "minClientVer": "1.8.0", //客户端 Xray 最低版本
          "shortIds": [ 
            "a3f9df45ae15d6c2" //若有此项，客户端shortId可为空。若不为空，可0到f（0123456789abcdef），长度为2的倍数，长度上限为16。执行：openssl rand -hex 8
          ]
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls"
        ]
      }
    }
  ],
  "routing": {
    "rules": [
      {
        "type": "field",
        "protocol": [
          "bittorrent"
        ],
        "outboundTag": "blocked",
        "ip": [
          "geoip:cn",
          "geoip:private"
        ] 
      }
    ]
  },
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {}
    },
    {
    "tag": "blocked",
      "protocol": "blackhole",
      "settings": {}
    }
  ]
}

#目标网站最低标准：国外网站，支持 TLSv1.3 与 H2，域名非跳转。目标网站是否符合标准检查网站：https://www.ssllabs.com/ssltest/

#win版本客户端下载地址：https://github.com/2dust/v2rayN/releases

#安卓客户端下载地址：https://github.com/2dust/v2rayNG/releases

#Xray-core下载地址：https://github.com/XTLS/Xray-core/releases

欢迎使用WordPress。这是您的第一篇文章。编辑或删除它，然后开始写作吧！