Onc

AnyTLS 部署指南（sing-box）

Tue, 22 Sep 2026 00:00:00 GMT

AnyTLS 占用 TCP 443。证书用 ACME（推荐，要域名）或自签名。ACME 使用 certificate_providers，需要 sing-box 1.14.0 及以上。不要改回已废弃的 tls.acme，它会在 1.16.0 移除。入站占着 443，不能用 TLS-ALPN，只用 HTTP-01（TCP 80）或 DNS-01。域名为 IP 时，Let's Encrypt 会自动使用 shortlived profile，所以推荐域名。字段见 AnyTLS inbound。

准备

带 systemd 的 Linux VPS，有 root 或 sudo；官方安装脚本覆盖 deb、rpm、Arch、OpenWrt。
一个解析到该 VPS 的域名，以及可收信的邮箱。
安全组和本机防火墙放行 TCP 443；HTTP-01 还要放行 TCP 80。443 不能被 Nginx 或 Caddy 占用。
一个足够长的随机密码。

安装

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

版本必须 ≥ 1.14.0，否则不认识 certificate_providers。

证书

ACME 按下一节配置，sing-box 会申请并续期。自签名则不要长期开 insecure：

bash

sudo openssl ecparam -name prime256v1 -genkey -noout \
  -out /etc/sing-box/server.key

sudo openssl req -x509 -nodes \
  -key /etc/sing-box/server.key \
  -out /etc/sing-box/server.crt \
  -subj "/CN=bing.com" \
  -addext "subjectAltName=DNS:bing.com" \
  -days 825

sudo chmod 600 /etc/sing-box/server.key
sudo chmod 644 /etc/sing-box/server.crt

CN=bing.com 只是示例名。导入客户端并严格校验时，SAN 必须与 server_name 一致。密钥用 P-256，不要改成 Ed25519。自签名时删掉 certificate_providers，把 tls 换成：

json

"tls": {
  "enabled": true,
  "certificate_path": "/etc/sing-box/server.crt",
  "key_path": "/etc/sing-box/server.key"
}

服务端

写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "certificate_providers": [
    {
      "type": "acme",
      "tag": "acme_cert",
      "domain": [
        "YOUR_DOMAIN"
      ],
      "email": "YOUR_EMAIL@example.com",
      "data_directory": "/var/lib/sing-box/certmagic"
    }
  ],
  "inbounds": [
    {
      "type": "anytls",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN",
        "certificate_provider": "acme_cert"
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

data_directory 必须在官方服务的 StateDirectory（/var/lib/sing-box）下。省略时数据跟着 sing-box 用户的 HOME 走，重启后可能写不进去。YOUR_DOMAIN 在 domain[0] 和 tls.server_name 两处必须一致，并且已经解析到这台 VPS。

配置项	修改为
`certificate_providers[0].domain[0]`	解析到该 VPS 的域名
`certificate_providers[0].email`	邮箱
`users[0].password`	长随机密码
`tls.server_name`	与证书域名相同
`listen`	禁用 IPv6 时改为 `0.0.0.0`

padding_scheme 留空即用内置默认值，客户端不用配。users[].name 只用于日志。不要设置 client_metadata：1.13.16 起默认留空，加回去没有协议用途。

bash

sudo chmod 600 /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box

日志：sudo journalctl -u sing-box -e。

客户端

本机代理是 127.0.0.1:1080。ACME 证书不要加 insecure。自签名应导入证书，而不是打开 insecure。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "anytls",
      "tag": "anytls-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

排查

443 被占用时看 sudo ss -lntp | grep ':443'，停掉冲突服务或改 listen_port。禁用 IPv6 时不要听 ::。
ACME 失败时核对解析、domain[0] 与 server_name、TCP 80，以及 data_directory 是否为 /var/lib/sing-box/certmagic。不要用 TLS-ALPN。
客户端密码与 users[0].password 一致，安全组放行 TCP 443。日志里不应有认证失败或证书错误。

安全

密码用长随机值。config.json 和 server.key 权限 600。优先 ACME。不要自定义 client_metadata。升级后重新执行 sing-box check。

Hysteria2 部署指南（sing-box）

Tue, 22 Sep 2026 00:00:00 GMT

Hysteria2 基于 QUIC，服务端听 UDP。证书用 ACME（推荐，要域名）或自签名。ACME 使用 certificate_providers，bbr_profile 和 gecko 也需要 sing-box 1.14.0 及以上。不要改回已废弃的 tls.acme，它会在 1.16.0 移除。入站是 UDP 443，TCP 443 空着，所以 HTTP-01（TCP 80）和 TLS-ALPN（TCP 443）都可以。域名为 IP 时，Let's Encrypt 会自动使用 shortlived profile，所以推荐域名。字段见 Hysteria2 inbound 与 outbound。

准备

带 systemd 的 Linux VPS，有 root 或 sudo；官方安装脚本覆盖 deb、rpm、Arch、OpenWrt。
一个解析到该 VPS 的域名，以及可收信的邮箱。
安全组和本机防火墙放行 UDP 443。端口跳跃还要放行整个 UDP 范围，例如 20000–40000。
ACME 按挑战方式放行 TCP 80 或 TCP 443。
一个较长的随机密码。

安装

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

版本必须 ≥ 1.14.0。

证书

ACME 按下一节配置。自签名不要把 insecure 当默认，也不要用 Ed25519：1.14 客户端默认鹦鹉 Chrome QUIC，Chrome 不声明 Ed25519，握手会失败。ACME 证书不受影响。

bash

sudo openssl ecparam -name prime256v1 -genkey -noout \
  -out /etc/sing-box/server.key

sudo openssl req -x509 -nodes \
  -key /etc/sing-box/server.key \
  -out /etc/sing-box/server.crt \
  -subj "/CN=bing.com" \
  -addext "subjectAltName=DNS:bing.com" \
  -days 825

sudo chmod 600 /etc/sing-box/server.key
sudo chmod 644 /etc/sing-box/server.crt

CN=bing.com 只是示例名。导入客户端并严格校验时，SAN 必须与 server_name 一致。自签名时删掉 certificate_providers，把 tls 换成：

json

"tls": {
  "enabled": true,
  "certificate_path": "/etc/sing-box/server.crt",
  "key_path": "/etc/sing-box/server.key"
}

服务端

写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "certificate_providers": [
    {
      "type": "acme",
      "tag": "acme_cert",
      "domain": [
        "YOUR_DOMAIN"
      ],
      "email": "YOUR_EMAIL@example.com",
      "data_directory": "/var/lib/sing-box/certmagic"
    }
  ],
  "inbounds": [
    {
      "type": "hysteria2",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN",
        "certificate_provider": "acme_cert"
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

data_directory 必须在 /var/lib/sing-box 下。省略时数据跟着 sing-box 用户的 HOME 走，重启后可能写不进去。YOUR_DOMAIN 在 domain[0] 和 tls.server_name 两处必须一致。

配置项	说明
`certificate_providers[0].domain[0]`	解析到该 VPS 的域名
`certificate_providers[0].email`	邮箱
`users[0].password`	客户端密码
`tls.server_name`	与 `domain[0]` 一致
`listen`	禁用 IPv6 时改为 `0.0.0.0`

up_mbps / down_mbps 是服务端下发的 Brutal 上限，留空则不限速，且与 ignore_client_bandwidth 互斥。未设带宽时，ignore_client_bandwidth 让客户端改用 BBR；已设带宽时则禁止客户端用 BBR。bbr_profile 可选 conservative、standard、aggressive，默认 standard。官方程序的 userpass 在 sing-box 里要把 username:password 整段当作密码。

客户端自己的带宽字段是另一件事：留空则该客户端使用 BBR。

混淆时两端的类型和密码必须一致。gecko 还可设 min_packet_size（默认 512）和 max_packet_size（默认 1200）：

json

"obfs": {
  "type": "salamander",
  "password": "OBFS_PASSWORD"
}

未配置 masquerade 时，认证失败返回 404。对象写法与字符串简写都还在：

json

"masquerade": {
  "type": "proxy",
  "url": "https://www.bing.com/",
  "rewrite_host": true
}

bash

sudo chmod 600 /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box

日志：sudo journalctl -u sing-box -e。

客户端

本机代理是 127.0.0.1:1080。ACME 证书不要加 insecure。自签名应导入证书，server_name 填证书里的伪装域名。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "hysteria2",
      "tag": "hy2-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

服务端开了 obfs 时，客户端要配同样的类型和密码。误用 Ed25519 证书会握手失败。可以临时设 "disable_chrome_parrot": true 做对比，生产环境应换 ECDSA 或 RSA 证书，而不是关掉鹦鹉。

端口跳跃

示例把 UDP 20000:40000 转到本机 9443，网卡是 eth0。安全组放行这个 UDP 范围。DNAT 之后公网不必再放行 443 或 9443。

把服务端 listen_port 改成 9443 并重启。然后：

bash

sudo apt update
sudo apt install -y iptables-persistent
sudo iptables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo ip6tables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:40000 -j DNAT --to-destination :9443
sudo netfilter-persistent save

网卡不是 eth0 时，用 ip route get 1.1.1.1 查看后替换。客户端只写 server_ports，不要同时写 server_port。hop_interval 默认 30s，需要随机间隔时再加 hop_interval_max。

json

{
  "outbounds": [
    {
      "type": "hysteria2",
      "tag": "hy2-out",
      "server": "YOUR_SERVER_IP",
      "server_ports": [
        "20000:40000"
      ],
      "hop_interval": "30s",
      "password": "CHANGE_THIS_TO_A_STRONG_PASSWORD",
      "tls": {
        "enabled": true,
        "server_name": "YOUR_DOMAIN"
      }
    }
  ]
}

停用时删除对应 NAT 规则并 netfilter-persistent save。

排查

版本是否 ≥ 1.14.0，证书路径和权限是否可读，data_directory 是否可由 sing-box 用户写入。
不要同时设置带宽字段和 ignore_client_bandwidth。UDP 占用看 sudo ss -lunp | grep -E ':443|:9443'。禁用 IPv6 时不要听 ::。
只放行 TCP 不够，Hysteria2 走 UDP。自签名要导入证书，不要长期开 insecure，也不要用 Ed25519。
端口跳跃要求服务端听 9443，客户端只有 server_ports，DNAT 使用 UDP，IPv4 和 IPv6 都有规则，防火墙放行整个范围。
不想限速就删掉 up_mbps / down_mbps。要客户端改用 BBR，只设 "ignore_client_bandwidth": true。

安全

密码用长随机值。config.json 和 server.key 权限 600。优先 ACME。自签用 P-256 或 RSA。升级后重新执行 sing-box check。

Shadowsocks 部署指南（sing-box）

Tue, 22 Sep 2026 00:00:00 GMT

Shadowsocks 2022（2022-blake3-*）自带加密，没有 TLS，也不需要证书。旧版方法有重放风险，只用 2022 系列。需要 sing-box 1.14.0 及以上。字段见 Shadowsocks inbound。

准备

带 systemd 的 Linux VPS，有 root 或 sudo；官方安装脚本覆盖 deb、rpm、Arch、OpenWrt。
安全组和本机防火墙放行 TCP 443。需要 UDP 时一并放行。端口未被占用。
一块长度符合加密方法的密钥。

安装

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

版本必须 ≥ 1.14.0。

密钥

加密方法	密钥长度	说明
`2022-blake3-aes-128-gcm`	16 字节	有 AES 加速时优先
`2022-blake3-aes-256-gcm`	32 字节	余量更大
`2022-blake3-chacha20-poly1305`	32 字节	无 AES 加速时更快；不支持多用户

bash

sing-box generate rand --base64 16
sing-box generate rand --base64 32

密钥必须与客户端完全一致，长度也必须匹配，否则服务起不来或连不上。

服务端

写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "shadowsocks",
      "listen": "::",
      "listen_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "CHANGE_THIS_TO_GENERATED_KEY"
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

配置项	说明
`password`	生成的密钥，长度必须匹配加密方法
`method`	与客户端一致
`listen_port`	默认 `443`
`listen`	默认 `::`。禁用 IPv6 时改为 `0.0.0.0`

network 省略时同时监听 TCP 和 UDP。只要其一就写 "tcp" 或 "udp"，不要写 "tcp,udp"，也不要写成数组。

多路复用时，入站和出站使用同一段。开启 padding 后，服务端会拒绝未填充的连接：

json

"multiplex": {
  "enabled": true,
  "padding": true
}

bash

sudo chmod 600 /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box

日志：sudo journalctl -u sing-box -e。

客户端

出站必须放在 outbounds 里。本机代理是 127.0.0.1:1080。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "shadowsocks",
      "tag": "ss-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "CHANGE_THIS_TO_GENERATED_KEY"
    }
  ]
}

没有 TLS 段。method 和 password 必须与服务端一致。服务端开了 multiplex 时，客户端也要配同样的段。

多用户

顶层 password 仍是服务端密钥，不能删。2022-blake3-chacha20-poly1305 不能多用户。

json

{
  "inbounds": [
    {
      "type": "shadowsocks",
      "listen": "::",
      "listen_port": 443,
      "method": "2022-blake3-aes-128-gcm",
      "password": "SERVER_KEY",
      "users": [
        {
          "name": "user1",
          "password": "USER1_KEY"
        },
        {
          "name": "user2",
          "password": "USER2_KEY"
        }
      ]
    }
  ]
}

客户端 password 是 SERVER_KEY:USER_KEY，服务端密钥在前。

排查

密钥长度：aes-128-gcm 是 16 字节 Base64，其余是 32 字节，且必须是合法 Base64。
多用户时顶层 password 仍必填。
network 不要写成 "tcp,udp" 或数组。端口占用看 sudo ss -lntup | grep ':443'。禁用 IPv6 时不要听 ::。
客户端方法和密钥必须同一套。多用户时冒号顺序不能错。multiplex 两侧一致。
少量认证失败多半是扫描。持续失败就核对 Base64，包括结尾 =；泄露后立刻换密钥。

安全

只用 2022 系列。config.json 权限 600。443 上没有 TLS，流量不像 HTTPS。升级后重新执行 sing-box check。

Snell v6 部署指南（sing-box）

Tue, 22 Sep 2026 00:00:00 GMT

Snell v6 用 PSK 派生协议画像，并用 mode 做流量整形。sing-box 1.14.0 起提供该入站。字段见 Snell inbound 与 outbound。

模式	说明
`default`	默认整形，适合生产
`unshaped`	不做整形
`unsafe-raw`	明文调试，禁止用于生产

不要在多台服务器之间复用同一个 PSK。

准备

带 systemd 的 Linux VPS，有 root 或 sudo。官方安装脚本覆盖 deb、rpm、Arch、OpenWrt，不是任意发行版。
安全组和本机防火墙放行 TCP 443，且端口未被占用。
一串 12–255 字节的随机 PSK。

安装

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

版本必须 ≥ 1.14.0，否则识别不了 snell。

PSK

长度按字符串本身计算，推荐 32 字节随机值的 Base64：

bash

sing-box generate rand --base64 32

不要用短口令，也不要让 Base64 文本超过 255 字节。

服务端

写入 /etc/sing-box/config.json：

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "snell",
      "listen": "::",
      "listen_port": 443,
      "version": 6,
      "psk": "CHANGE_THIS_TO_A_GENERATED_PSK"
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

配置项	说明
`psk`	12–255 字节的随机值
`listen_port`	默认 `443`
`listen`	禁用 IPv6、报 `cannot assign requested address` 时改为 `0.0.0.0`

mode 默认 default，不清楚影响就不要改。

bash

sudo chmod 600 /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box

日志：sudo journalctl -u sing-box -e。

多用户

顶层 psk 仍是服务器密钥。每个用户用自己的 userkey。name 只用于日志。

json

{
  "inbounds": [
    {
      "type": "snell",
      "listen": "::",
      "listen_port": 443,
      "version": 6,
      "psk": "SERVER_PSK",
      "users": [
        {
          "name": "user1",
          "userkey": "USER1_KEY"
        }
      ]
    }
  ]
}

客户端同时填写顶层 psk 和该用户的 userkey。

客户端

本机代理是 127.0.0.1:1080。协议没有 TLS。mode 必须与服务端一致。reuse 是出站字段，默认关闭，需要连接复用时再设为 true。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "snell",
      "tag": "snell-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "psk": "CHANGE_THIS_TO_A_GENERATED_PSK",
      "version": 6
    }
  ]
}

排查

版本是否 ≥ 1.14.0，version 是否为数字 6，PSK 是否落在 12–255 字节。
端口占用看 sudo ss -lntp | grep ':443'。禁用 IPv6 时不要听 ::。
客户端地址、端口、PSK 一致。多用户还要填对 userkey。两端 mode 一致。
unsafe-raw 不加密，只用于本地调试。出现 unknown inbound type 或 unsupported version 时，升级到 1.14.0 及以上再试。

安全

PSK 用生成命令，不要短口令，也不要多机复用。config.json 权限 600。不要在生产环境使用 unsafe-raw。443 上没有 TLS。升级后重新执行 sing-box check。

VLESS 部署指南（sing-box）

Tue, 22 Sep 2026 00:00:00 GMT

VLESS + Reality + xtls-rprx-vision：不需要域名和证书，握手伪装成普通 HTTPS。需要 sing-box 1.14.0 及以上。字段见 VLESS inbound 与 TLS / Reality。

准备

带 systemd 的 Linux VPS，有 root 或 sudo；官方安装脚本覆盖 deb、rpm、Arch、OpenWrt。
安全组和本机防火墙放行 TCP 443，且端口未被占用。
VPS 能出站访问 443，Reality 握手要转发到伪装站点。

安装

bash

curl -fsSL https://sing-box.app/install.sh | sh
sing-box version

版本必须 ≥ 1.14.0。

密钥

bash

sing-box generate reality-keypair
sing-box generate uuid
openssl rand -hex 4

PrivateKey 只放服务端，PublicKey 给客户端。不要手编 UUID。short_id 是偶数长度的十六进制，解码后不超过 8 字节，也就是最多 16 个字符。

服务端

写入 /etc/sing-box/config.json。使用 Vision 时不要开 multiplex。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "vless",
      "listen": "::",
      "listen_port": 443,
      "users": [
        {
          "uuid": "CHANGE_THIS_TO_GENERATED_UUID",
          "flow": "xtls-rprx-vision"
        }
      ],
      "tls": {
        "enabled": true,
        "server_name": "www.microsoft.com",
        "reality": {
          "enabled": true,
          "handshake": {
            "server": "www.microsoft.com",
            "server_port": 443
          },
          "private_key": "CHANGE_THIS_TO_PRIVATE_KEY",
          "short_id": [
            "CHANGE_THIS_TO_SHORT_ID"
          ]
        }
      }
    }
  ],
  "outbounds": [
    {
      "type": "direct"
    }
  ]
}

配置项	填入
`users[0].uuid`	`sing-box generate uuid`
`tls.reality.private_key`	密钥对里的 `PrivateKey`
`tls.reality.short_id`	`openssl rand -hex 4` 的输出
`tls.server_name` / `handshake.server`	同一个伪装站点
`listen`	禁用 IPv6 时改为 `0.0.0.0`

伪装站选支持 TLS 1.3 和 HTTP/2、且 VPS 能访问的站点，不要用自己控制或容易关停的站。server_name、handshake.server 和客户端 server_name 必须一致。先用 curl -I 确认出站可达。

bash

sudo chmod 600 /etc/sing-box/config.json
sudo sing-box check -c /etc/sing-box/config.json
sudo systemctl enable sing-box
sudo systemctl restart sing-box

日志：sudo journalctl -u sing-box -e。

客户端

本机代理是 127.0.0.1:1080。官方把 uTLS 标为不推荐，字段仍在，示例继续用 chrome。

json

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "mixed",
      "listen": "127.0.0.1",
      "listen_port": 1080
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "vless-out",
      "server": "YOUR_SERVER_IP",
      "server_port": 443,
      "uuid": "CHANGE_THIS_TO_GENERATED_UUID",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "www.microsoft.com",
        "utls": {
          "enabled": true,
          "fingerprint": "chrome"
        },
        "reality": {
          "enabled": true,
          "public_key": "CHANGE_THIS_TO_PUBLIC_KEY",
          "short_id": "CHANGE_THIS_TO_SHORT_ID"
        }
      }
    }
  ]
}

客户端 short_id 是字符串，取服务端数组中的一项。flow 要么两端都开，要么都不开。

多用户时在 users 里加独立 UUID，共用同一组 Reality 密钥和 short_id。Reality 不申请证书：握手借用伪装站，服务端只保存自己的密钥对。

排查

private_key 要完整，结尾不要带引号或空格。short_id 必须是偶数长度，且不超过 16 个十六进制字符。
UUID 必须有效。Vision 下不要开 multiplex。端口占用看 sudo ss -lntp | grep ':443'。禁用 IPv6 时不要听 ::。
客户端的 uuid、flow、server_name、public_key、short_id 与服务端一致。安全组放行 TCP 443。
时间差过大也会握手失败。tls.reality.max_time_difference 省略时不检查；需要放宽时用官方示例 1m。
出站访问不了伪装站就换 handshake.server：curl -I --max-time 10 https://www.microsoft.com。

安全

UUID、密钥对和 short_id 都用生成命令，不要手编。config.json 权限 600。私钥只留在服务端。Vision 不要搭配 multiplex。升级后重新执行 sing-box check。

Debian 手动创建 Swap 文件

Sun, 02 Aug 2026 00:00:00 GMT

Swap 可在内存不足时提供磁盘缓冲，但速度远低于 RAM。以下命令需使用 root，示例创建 1 GB Swap。

检查状态

bash

swapon --show
free -h

创建并启用

bash

fallocate -l 1G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile

若 fallocate 创建的文件无法启用，改用：

bash

dd if=/dev/zero of=/swapfile bs=1M count=1024 status=progress
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile

用 swapon --show 确认。

设置开机启用

确认没有重复配置后，再追加到 /etc/fstab：

bash

echo '/swapfile none swap sw 0 0' >> /etc/fstab
findmnt --verify

调整 Swappiness

服务器可按负载将默认值 60 调低到 10：

bash

echo 'vm.swappiness=10' > /etc/sysctl.d/99-swappiness.conf
sysctl --system
sysctl vm.swappiness

长期频繁使用 Swap，通常说明内存不足，应优先优化应用或增加 RAM。

删除

bash

swapoff /swapfile
# 从 /etc/fstab 删除对应行
rm -f /swapfile
swapon --show
free -h

激活失败时，检查文件权限是否为 600，并查看 dmesg | tail -n 30。

你好，Rust

Sat, 01 Aug 2026 00:00:00 GMT

这是第一篇笔记：一个只用 Rust 标准库的静态博客生成器，当前是 Rust 1.98 与 2024 edition。

它能渲染什么

带空格的 ATX 标题、列表、引用、表格、图片和围栏代码块
RSS、sitemap、归档页和文章目录

添加文章

在 content/ 放一个 Markdown 文件，文件名会成为 slug：

markdown

---
title: 新文章标题
date: 2026-08-01
time: 09:30
---
正文从这里开始。

time 可选，按 UTC 写入 feed。没有 date 的文章排在最后，sitemap 也不写 lastmod。

Onc

AnyTLS 部署指南（sing-box）

#准备

#安装

#证书

#服务端

#客户端

#排查

#安全

Hysteria2 部署指南（sing-box）

#准备

#安装

#证书

#服务端

#客户端

#端口跳跃

#排查

#安全

Shadowsocks 部署指南（sing-box）

#准备

#安装

#密钥

#服务端

#客户端

#多用户

#排查

#安全

Snell v6 部署指南（sing-box）

#准备

#安装

#PSK

#服务端

#多用户

#客户端

#排查

#安全

VLESS 部署指南（sing-box）

#准备

#安装

#密钥

#服务端

#客户端

#排查

#安全

Debian 手动创建 Swap 文件

#检查状态

#创建并启用

#设置开机启用

#调整 Swappiness

#删除

你好，Rust

#它能渲染什么

#添加文章

准备

安装

证书

服务端

客户端

排查

安全

准备

安装

证书

服务端

客户端

端口跳跃

排查

安全

准备

安装

密钥

服务端

客户端

多用户

排查

安全

准备

安装

PSK

服务端

多用户

客户端

排查

安全

准备

安装

密钥

服务端

客户端

排查

安全

检查状态

创建并启用

设置开机启用

调整 Swappiness

删除

它能渲染什么

添加文章