打通一条小路
最近被关小黑屋了好几个IP，基本寿命都不长，我很不开心。
于是，打一条稍微绕一些但是也许稍微安全一点点的小路。
首先，准备一只米国鸡，比如[这里]的。我这只已经换过两次IP了，还花了3美刀，肉疼。
装一个nginx，找个网站，代理一下，比如[cnet]，没啥讲究的，我就是找了一个会有内容更新的，也比较安全的速度不慢的网站。这里我用了我自己的二级域名：cnet.54np.net来代理www.cnet.com：
server {
listen 443 ssl;
listen [::]:443 ssl;
server_name cnet.54np.net;
ssl_certificate /opt/cert/cnet/cert.pem;
ssl_certificate_key /opt/cert/cnet/key.pem;
access_log off;
error_log off;
location / {
proxy_set_header Host www.cnet.com;
proxy_set_header X-Real-IP $remote_addr;
add_header Strict-Transport-Security "max-age=31536000;includeSubDomains" always;
proxy_pass https://www.cnet.com;
}
}
SSL证书是用acme.sh脚本搞来的，具体可以看[这里]，如果不想走这个麻烦，从腾讯云什么的搞一个免费的ssl证书也可以。只是，我的这个域名没备案，解析也不在dnspod上。或者，你也可以用caddy代替nginx，它可以自动去搞ssl。
然后，把80强跳到443：
server {
listen 80 default_server;
listen [::]:80 default_server;
root /opt/www;
server_name _;
return 301 https://cnet.54np.net;
}
重载nginx，访问cnet.54np.net，会自动HSTS到https上，并显示cnet网站：
其实，显示啥内容不重要，我就是想要个能在443 ssl上正常访问的网站。然后——
来装个v2ray，写点配置：
{
"inbounds": [{
"port": 3306,
"listen": "127.0.0.1",
"protocol": "vmess",
"settings": {
"clients": [
{
"id": "<一个奇奇怪怪的UUID>",
"level": 1,
"alterId": 64
}
]
},
"streamSettings": {
"network": "websocket",
"wsSettings": {
"path": "/wss"
}
},
"detour": {
"to": "proxy"
}
}],
"outbounds": [{
"protocol": "freedom",
"settings": {},
"tag": "proxy"
},{
"protocol": "blackhole",
"settings": {},
"tag": "blocked"
}]
}
这是干啥的呢~~？首先，它会监听一个127.0.0.1:3306端口，看起来好像是个mysql，然后只能本地访问，至于端口，其实无所谓，3306只是看起来比较迷惑。
这条连接会尝试用vmess来理解内容，关于vmess，可以参考[这里]。并且使用websocket通讯方式，websocket的path为/wss。
同时，确保一条freedom的出站规则，这个用来“上网”。
如果要发电报，可以再开一条MTProto规则。
然后，咱们来把前面仿造的cnet网站的/wss代理到v2ray上去：
server {
listen 443 ssl;
listen [::]:443 ssl;
server_name cnet.54np.net;
ssl_certificate /opt/cert/cnet/cert.pem;
ssl_certificate_key /opt/cert/cnet/key.pem;
access_log off;
error_log off;
location /wss {
proxy_redirect off;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Host $http_host;
proxy_pass http://127.0.0.1:3306;
}
location / {
proxy_set_header Host www.cnet.com;
proxy_set_header X-Real-IP $remote_addr;
add_header Strict-Transport-Security "max-age=31536000;includeSubDomains" always;
proxy_pass https://www.cnet.com;
}
}
重载nginx，https://cnet.54np.net/wss就可以upgrade成websocket with ssl了。
下面，在路的另一端，也就是咱的电脑上，同样搞一个v2ray：
{
"log": {
"loglevel": "warning"
},
"inbounds": [
{
"port": 1080,
"listen": "127.0.0.1",
"tag": "socks-inbound",
"protocol": "socks",
"settings": {
"auth": "noauth",
"udp": false,
"ip": "127.0.0.1"
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls"
]
}
}
],
"outbounds": [
{
"protocol": "vmess",
"settings": {
"vnext": [
{
"address": "cnet.54np.net",
"port": 443,
"users": [
{
"id": "<还是那个UUID>",
"level": 1,
"alterId": 64
}
]
}
]
},
"streamSettings": {
"network": "websocket",
"security": "tls",
"wsSettings": {
"path": "/wss"
}
},
"tag": "proxy"
},
{
"protocol": "blackhole",
"settings": {},
"tag": "blocked"
}
]
}
入站规则根据自己想要的样子，设置一下。这里是127.0.0.1:1080的socks5。出站规则使用路那头相同的vmess+websocket，这里不同的是，websocket entrypoint是带有tls的，目标地址是咱们的美国鸡。
设置好本地代理（可以靠神器[SwitchyOmega]），google一下，ok：
到这里，咱们的小路看起来是：
[这一头]->(socks5)->v2ray->(websocket+tls)->nginx->(websocket)->v2ray->[那一头]
其中“websocket+tls”这一段，就是公网越洋的载体。它是正常网站的一部分，它安全吗？我不知道。所以，再来一下子，咱们来搞个CDN，把美国鸡藏起来。
CDN其实在很多时候，是减速的，不过这里咱是为了增加安全性的。这也是为啥咱要选择websocket通道，很多CDN都支持websocket，比如cloudflare啥的。
cloudflare国际版的免费CDN，在境内访问起来其实挺一般的，我搞了一下更一般的腾讯云，它有每月免费的10G流量可以嫖：
不过，这个白嫖的流量包，是不能用于ECDN的！！！
创建一个加速域名，这里其实创建一个中国境内的加速就可以。腾讯云的CDN地域指的是访问方，不是回源：
注意加速类型，为了可以正常使用websocket，需要开通ECDN，腾讯云会提示计费方式与普通CDN不同，不搭理它，先嫖上。
CDN部署成功之后，访问一下加速域名，一样也可以访问到cnet，这时的cnet已经经过两次代理了。当然我们的目的本来也不是为了访问cnet。
修改本地的v2ray配置，把websocket目标地址改成加速域名，重启服务，测试，成功：
现在，这条小路变成了：
[这一头]->(socks5)->v2ray->(websocket+tls)->腾讯云CDN->(websocket+tls)->nginx->(websocket)->v2ray->[那一头]
腾讯云的可连通性，一定是没问题的，而且国内的两千多个节点，解决了运营商的线路适应性问题。
腾讯云到米国鸡之间是正常的CDN回源。
米国鸡的nginx和3306之间是本地连接，而且它已经不归功夫网管了。
如果，咱们还有已经死掉的ip，也不想花钱救它，直接让米国鸡的nginx proxy过去就行了，它死不死没关系，反正咱们直接连接的是腾讯云。
看看咱的账单：
噜啦啦噜啦啦噜啦噜啦——累~~
注：本实验室不提供任何代理相关资源，[参考]
