← → 翻页 · B 静态 · ESC 索引
← AX Skills ▶ 宣传片 源码 ↗
翻墙 RUNBOOK → SKILL
AX SKILLS · 01 / 09
AX Skills · 自建代理 Skill

搭一套自己的
翻墙服务

sing-box 多协议 + Reality 伪装 · 一套可复现的端到端搭建流程

从一台空 VPS,到一个抗封、跑五种协议的节点 —— 从零装,或克隆现有节点。坑都已固化进一份 runbook。

AX · proxy-node-setup·MIT·blog.ax0x.ai/proxy-runbook-zh
把一晚上的手搓调试,压进一条命令
— 2026 —
The Hook · 威胁模型
02 / 09
面向国内的 IP
裸跑 SS / VMess, 就是送人头

裸协议流量特征太明显,GFW 主动探测一打一个准,几小时就封 IP;而且每台机器手搓一遍,端口、证书、网卡名一处填错就静默挂掉,不可复现。

Page 02 · 威胁模型
Why It Gets Blocked
The Shift · 换种打法
03 / 09
不是换个机场,是换种打法

裸协议手搓,还是 sing-box

Before · 裸协议 + 手搓
裸奔,且不可复现
  • 单一 SS / VMess,特征明显,主动探测秒被墙
  • 端口、证书、网卡名全靠记忆,易错
  • 换台机器从头再来,出问题只能现场翻车
After · sing-box
多协议 + 固化流程
  • VLESS-Reality 偷真站 SNI,无独立指纹
  • Hysteria2 / TUIC / VMess-WS / AnyTLS 兜底
  • 一套固化流程,从零或克隆都能复现
Page 03 · 换种打法
Before / After
Architecture · 单台节点全景
04 / 09
一台节点,五种协议,一套配套服务

单台节点的全景

代理走裸 IP(协议穿不过 CDN),订阅与 TLS 证书才走域名;配置全部落在 /etc/s-box

VLESS-Reality
16883TCP
偷真站 TLS 指纹
Hysteria2
45734UDP
QUIC · 抗丢包
TUIC
31370UDP
低延迟回退
VMess-WS
8080TCP
WebSocket 兜底
AnyTLS
63058TCP
TLS 流量整形
nginx — TLS 订阅 + 流量统计
acme.sh — Cloudflare DNS-01 签 TLS 证书
Cloudflare — 管 DNS + 边缘回源
Page 04 · /etc/s-box
One Node, Five Protocols
Two Entry Points · 两种起点
05 / 09
两条上手路径,汇入同一条流程

从零装,还是 克隆

起点 A · 全新安装 · 主路径
从零,装一台
  • 没有参考机时的标准做法:跑 yonggekkk 的 sb.sh
  • 交互式:选 1(install),接受默认
  • 五协议端口随机生成,降低撞库
起点 B · 克隆 · 快路径
搬一份,改几行
  • 已有一台可跑节点时的快路径:tar /etc/s-box 搬运
  • sed 改 IP / 实例 ID(vmess 链是 base64,解码改回)
  • 确定性强,不跑交互脚本
两条路径都只是把节点立起来 —— 之后 Step 4 / 5 的证书与订阅完全一致
— 起点不同,流程同源
Page 05 · 两种起点
Fresh / Clone
Pipeline · 端到端六步
06 / 09
从空机到可用节点,背后六步

一条流程,六步落地

DNS → bootstrap → 装/克隆 → 证书 → 订阅 → 验证
01
DNS A 记录
Cloudflare 子域 · 灰云直连
02
bootstrap
装依赖 + 开启 BBR
03
装 / 克隆 sing-box
sb.sh 或 tar 搬运
04
acme 签证书
DNS-01 ECC · 无需开端口
05
nginx 订阅
TLS 订阅 + 流量统计
06
端到端验证
外部可达 + 真实出口 IP
验证两件事:nc 探端口确认外部可达,curl 看落地确认走的是节点出口。
— Space / → 逐步展开
Page 06 · 六步流程
End-to-End Pipeline
Field Notes · 踩过的车
07 / 09
五个静默失败点,全部已固化进 runbook

踩坑精选

A · 端口被封

边缘封 80/443

nginx 多监听高位端口 + 橙云 + Origin Rule 把回源改写到 2096,订阅 URL 保持干净 443。

B · CF token 误报

别用 /verify

/user/tokens/verify 对 zone 范围 token 会误报 Invalid;改用一次真实 zone 读取来验。

C · 网卡名

是 ens17

老教程默认 ens3,流量统计就空了;用 ip route 探真实网卡。

D · 证书双路径

两边要同步

nginx 读 ygkkkca 目录,sing-box 读 /etc/s-box/cert.pem;reloadcmd 同步两边。

E · UDP 误报

Hy2 / TUIC 是 UDP

nc -z(TCP)测会误报 filtered;改 nc -zuv 才准。

5
个静默失败点 · 已写进 runbook
Page 07 · 踩过的车
Field-Tested Gotchas
A Real Bring-up · 一次真实搭建
08 / 09
用「克隆」这条快路径搭起的台湾落地节点

一次真实搭建:落地台湾节点

从美国母机克隆到台湾落地:US 母机 → tar /etc/s-box → 搬到 TW 节点 → sed 改 IP / 实例 ID → 单独签证书。台湾机房封 443,用橙云 + Origin Rule 回源 2096 出干净订阅。

订阅 URL 仍是干净 443:
https://<你的域名>/<token>
— 节点 IP / 域名按需脱敏
出口 IP
VLESS-Reality 实测落地 = 节点本机 IP
EGRESS
连通性
generate_204 返回 204,通畅
204 OK
TLS 证书
Let's Encrypt ECC,~90 天有效,自动续期已修
LE ECC
协议栈
五协议齐活 · sing-box 1.13.2
5 PROTO
Page 08 · 一次真实搭建
Clone → TW Landing
Closing · 收束
09 / 09
Manifesto

一套流程,搭起一个 抗封的翻墙服务 —— 而且能复现。

01 · 说人话就触发

在 Claude Code 里说「搭个梯子」「搭一套翻墙服务」或「set up a proxy node」。

02 · 两种起点自动选

绿地 → sb.sh 全新安装;已有节点 → 克隆。之后流程一致。

03 · 坑都已固化

端口封锁、token 误报、网卡名、证书双路径、UDP 探测 —— 全在 runbook 里。

翻墙 runbook → proxy-node-setup
github.com/xingfanxia/AX-skills