VPS

我与我的 VPS 的故事。服务器运维/代理搭建。

与 VPS 无关的 linux 问题请移步 linux

个人偏好

• 带宽偏好：我个人入户只有 100Mbps，所以不低于 100Mbps 我都能接受。国内云厂商那堆小水管还是算了吧。
• 地点偏好：我有明确的地点偏好：JP。
  • 我对延迟有一定要求，所以 US 全部 out。不过由于 US 机便宜，有时也会搞个当备用垫底。
  • 在东亚里，SG, KR, TW 的延迟也是垫底的，随便 ping 都上 200ms。所以 out。
    • 为什么 KR 节点这么差？
  • 最后剩下 JP 和 HK，虽然 HK 延迟最低，但由于非常多的服务是屏蔽 HK 的（chatgpt，许多日本网站，gemini 和其他 google 家大模型），所以 JP 胜出。

购买

消息来源

• 主机百科
• nodeseek
• lowendbox
• Runaway 避坑

我买到的

白嫖

阿里云和 Azure 理论上都是不能当代理机用的，不过真拿来跑，自用的话它们也不管。

• 阿里云学生：免费服务器，每年 300 元优惠券，可以全额抵扣。
  1. （需要 chromium 系浏览器）university.aliyun.com 学生认证领券
  2. 首页，产品 - 计算 - 轻量应用服务器 下单即可。新加坡、日本有货，香港需要 12 点抢。注意，下单不锁定，以支付成功为界。
  • 学生优惠现在无法购买轻量；在领券页面下面只能购买国内 ECS，无法作为翻墙机使用，而且带宽很低。
• Azure：每年 $100 优惠券，学生无限续。财大气粗！
  1. 先过学生认证
  2. 服务器下单，配置那边按价格排序一下，选便宜的，1C1G 够用了。
  3. 开好机子，默认不能 root 登录。查看 允许 root 章节可解。
  4. 默认是不放行其他端口的。去 网络，自己添加入站和出站规则，放开所有端口。
• Google Cloud：$300 体验金。
  • Google Cloud 还是有点贵的，最便宜的 1c1g 每个月也要 $22。
  • Google Cloud 控制台页面卡得要死。。连接 vps 最好用网页面板。如果想用本机 ssh，要把密钥传到 vps，使用 RESTAPI POST 还不行（没法两步验证），还得下载一个 gcloud cli 是最傻逼的(ref)。所以我建议去网页面板自己手操。
  • Google Cloud 默认也是开启防火墙措施，无法在本机上访问 vps 的其他端口。要在左侧 Cloud NGFW - 防火墙政策 里改一条规则，允许来源改成 0.0.0.0/0，并且将优先级调为 1000。

工具

• 记得禁用 ipv6！！！不然机子会出现各种 google 墙，youtube 墙，网页打开慢等各种问题。
  sh

  echo "net.ipv6.conf.all.disable_ipv6 = 1" | sudo tee -a /etc/sysctl.conf
  echo "net.ipv6.conf.default.disable_ipv6 = 1" | sudo tee -a /etc/sysctl.conf
  sudo sysctl -p

• 一键代理脚本：不得不提我自己写的一键脚本，一键常用软件 + 代理（hysteria + trojan-go + trojan）
• ping.pe：连通性
• 全面评测：
  • VPS 融合怪 - GO 重构版本
  • 一键网络质量：NetQuality
• 全球测速
  • curl -Lso- bench.sh | bash：VPS 信息，全球测速
• 国内三网测速
  • ecsspeed
• https://bgp.tools/，ASN 信息
• https://ip.skk.moe/，群友搭的查自己 IP 的面板
• 网络面板流量消耗器
• Live Proxy and VPN Detection
• bin456789/reinstall：一键重装或者 dd 到其他镜像

SSH

别名

建立一个 别名 -> VPS(用户 + ip + 端口) 的映射关系。

# edit ~/.ssh/config
Host <name>
  User root
  Hostname <ip>
  Port 22

添加公钥

由于 vps 暴露在公网，因此需要复杂的密码，但我肯定不想每次登录都需要输那么一长串的密码，因此需要将公钥添加到 vps。

允许 root

一般的 vps 都是允许 root 登录的，但是像 azure 这些“大厂”则不行。所以需要用户进去改 ssh 配置。

sudo vim /etc/ssh/sshd_config
# 设置：
# PermitRootLogin yes
# PasswordAuthentication yes
# PubkeyAuthentication yes
sudo systemctl restart sshd

端口转发

将来自端口 <from> 的流量转发到 <to>

socat TCP-LISTEN:<from>,reuseaddr,fork TCP:localhost:<to> # 最简型
socat -dd -lf <log_file> TCP-LISTEN:<from>,reuseaddr,fork TCP:localhost:<to>  # 复杂型
socat -dd -lf <log_file> -F port_forwarding.conf  # 泛用型

firewall-cmd --add-forward-port=port=<from>:proto=udp:toport=<to> --permanent

我的设置

1. 增加 UDP Buffer Sizes
2. 如果 VPS 没开 bbr 记得开。（参考 11. sysctl 相关）

安全性

VPS 的公网 ip 会带来安全性问题，不过尝试登录的多，真正攻进去的也几乎没有。

自检

• 可以在 /var/log/auth.log 中查看登录日志。我的日志里的攻击记录非常多。
  • less /var/log/auth.log | grep -i 'accepted' 可以查看登录成功的记录，看看是不是自己的 ip。
• ps aux | grep sshd 查看有没有除自己以外的 sshd: root [.*] 类型的进程。
  • ps aux | grep 'sshd' | grep -v 'root@pts/0\|grep\|/sbin/sshd' | awk '{print $2}' | xargs kill -9 可以杀掉这些进程。（很粗糙了属于是）
• lastb -9 可以查看最近 9 条登录失败记录

解法

• 可以通过修改 /etc/ssh/sshd_config 中的内容进行限制，例如修改 MaxAuthTries。
• 密码位数太少也不安全。一个简单的方法是将你的密码重复两遍。
• 限制登录 ip。修改 /etc/hosts.allow & /etc/hosts.deny 文件。
• 尝试 fail2ban 等软件。（这个我不会用）

防火墙

systemctl <start | enable | stop | disable> firewalld
firewall-cmd --state
firewall-cmd --reload   # after change
firewall-cmd --add-masquerade --permanent   # 伪装
firewall-cmd --add-port=<port>/tcp --permanent  # 永久放行
firewall-cmd --zone=public --list-all
firewall-cmd --zone=public --list-ports

代理

不要把证书放在 /root ！！！ 我又不能改 /root 权限，代理服务端又会出一大堆权限问题，日志还不好看。

协议

网上小白教程比较多的是 vmess/vless + ws + tls 的方案，这些协议比较老，基本被打烂了。我选择 trojan，也是一个比较常见的方案，相对来说安全性更高。trojan 使用 TLS 加密方案，安全性高，但是数据包比较大，现在也存在着 trojan 检测技术。

我最开始直接用 trojan 一键脚本^[2]。如 GFW 会主动对端口进行封禁，我的端口基本只能存活一天。（后来做了端口转发就基本没死了，偶尔会被 Qos(?)）

随着后来自己也使用 linux，我对于一键脚本不够满意，因此开始自己写 trojan/trojan-go 配置文件。也尝试了一下 hysteria 协议，并且写了个教程。

评价起来就是，hysteria 延迟最低，trojan-go 小幅度落后，差得不多。trojan 延迟比较大，但是胜在兼容性强。而 hysteria 风险较大，没必要为了几十 ms 延迟去冒险，因此还是 trojan-go 适合我。

脚本

• 我的一键脚本：linux 常用工具，trojan-go, trojan, hysteria
• V2ray 脚本：融合怪，啥都有
• trojan 脚本：仅 trojan

WARP

有的 IP 访问 Google 时会有机器人异常验证。可以用 WARP 一键脚本解决。

对抗 GFW

GFW 检测到异常就会封禁端口，若换端口继续使用则需要考虑 ip 被永久封禁的风险。trojan 本身是 TLS over TLS 加密方式，但仍然有办法识别出流量特征。

我使用如下方式降低封锁几率（有没有用其实是不太清楚的）：

• 反代一个伪装主页，详见反向代理。（然而 443 早就被封了，令人感慨）
• 设置一个固定端口与一个活动端口，固定端口将流量转发到活动端口。

清理僵尸进程

如果你看到许多 [journalctl] <defunct> 标识，这代表有未结束的僵尸子进程。可以参考此处清理他们。

top -b1 -n1 | grep Z    # find
ps -A -ostat,ppid | grep -e '[zZ]'| awk '{ print $2 }' | uniq | xargs ps -p # Find the parent of zombie processes, remenber ppid
kill -s SIGCHLD <ppid>
top -b1 -n1 | grep Z    # Identify if the zombie processes have been killed
# if haven't been killed, just kill <ppid>

运维

虽然我非常菜，但还是姑且记录一些心得。由于有的服务器是公家的，想干点啥总是感觉束手束脚。。

1. 如果是自己的服务器，那肯定先把常用工具下载好。
   • 公家服务器如果有权限安装软件，也可以装一些典型的/极大增加效率的。例如 fish, zoxide
2. ssh 保活用的 screen 而不是 tmux。一些基础命令，加一个删除命令，加一个 <C-a> [ 进 copy mode 然后可以往上滚的命令。
   • 当然不缺配置的话就用 zellij 了。

挂机

VPS 的流量可以共享，并且可以赚点小钱(src)。为了防止 IP 被污染，一般放在非主要的 VPS 上跑。

跑挂机的 VPS 就变成美国最抢手了，毕竟 openai 流媒体啥的都能解。（我的 jp 机就没法解 openai）

一般挂机都拿 docker 跑，我当然！用 podman 啦。

• PacketStream：0.1$/G，满 5$ 可提现。
  • 流量跑得慢，80M / 36h，不过至少可用
• EarnFM，不可用：Connection is halted because: This IP is a known proxy connection, therefore its not allowed.
• repoket: 满 20$ 可提。不可用：Too many devices on the same IPs.
• traffmonetizer,不可用。

先挂着，到时候再看看收益。

遇到的问题

无法使用密钥登录

某天服务器突然无法使用密钥验证登录了。查一下日志，发现一句：Authentication refused: bad ownership or modes for directory /root。

我确实改过 /root 的权限，因此改回 750 即可。

卡在 Reloading system manager configuration

archlinux 的服务器，每次安装软件都卡在 Reloading system manager configuration，卡大约 1min。

尝试了一下 systemctl daemon-reload 也卡住了。

然后根据这个回答，罪魁祸首是 netplan（netplan 是 cloud-init 的可选依赖。而 cloud-init 是 VPS 自带的玩意）于是卸载，问题解决——

才怪。服务器重启就连不上 ssh 了。。。

这就不得不说，我这次买的 vps，silicloud 家的并没有 rescue 服务。还好我乱搞炸的是网络而不是系统，用 VNC 面板进去修就行了。

所以这个问题是无解的，或许得等我哪天琢磨出换个 vps 联网手段才行吧。

ps. 群里也有相同问题的。

端口被封问题

20230520：端口每天被封一次，于是写了个 fish 脚本每天更换端口并显示在伪装页面上映射到 12138（还作出了其他努力）。脚本还是有 bug 的（我菜），$temp 赋值不成功，但无伤大雅。

# fish function
function new_trojan_port --description 'change to a new trojan port'
    firewall-cmd --remove-forward-port=port=12138:proto=tcp:toport=$trojan_port --permanent
    firewall-cmd --remove-forward-port=port=12138:proto=udp:toport=$trojan_port --permanent
    set -U trojan_port (math $trojan_port + 1)
    firewall-cmd --add-forward-port=port=12138:proto=udp:toport=$trojan_port --permanent
    firewall-cmd --add-forward-port=port=12138:proto=tcp:toport=$trojan_port --permanent
    set temp (echo $trojan_port | trojan port | tee /dev/tty | sed -n "s/.*端口: \([0-9]*\).*/\1/p")
    echo "port: $temp -> $trojan_port"
    firewall-cmd --reload
    # update blog and show port
    cd /etc/nginx/lxl66566.github.io
    git pull origin main
    # sed -i "s/MyGitHub/$trojan_port/g" index.html
    nginx -s reload
end

不应同时使用 firewalld 和 iptables，可能会导致混乱。由于 firewalld 是更高一层的抽象(?)，因此我使用之：

systemctl stop iptables
systemctl disable iptables
systemctl mask iptables
systemctl unmask firewalld
systemctl enable firewalld
systemctl start firewalld

后来采用端口转发和伪装后就没被封过端口了 www

配置了错误的 firewalld 把自己防住了

20230516：如题，乱搞 firewalld，结果忘记放行 22 端口（ssh）直接 reload，直接把我 ssh 干掉了。。。然后进 rescue mode 抢救了...

rescue mode 是 VPS 服务商的一项服务，可以将 VPS 挂载到另一个虚拟机上，通过其对文件进行备份与修改，适用于乱搞把 VPS 搞炸了的情况。

rescue 只有 nano file editor；挂载了分区到 test 以后，直接 nano /test/etc/firewalld/zones/public.xml 加上 <port port="22" protocol="tcp"/>。

X-UI does not work

我小白一个，只会跟着用简单的一键部署脚本，然后寄了。面板添加节点后，使用 v2rayN 添加服务器无法连上。

后面换了 trojan 面板，能正常用一阵子，但稳定性一般。

顺带，x-ui 在 alpine 的表现可谓是《惊艳》到我了，，，

~# x-ui install
> [ERR] 面板启动失败，可能是因为启动时间超过了两秒，请稍后查看日志信息
~# x-ui log
> [ERR] 请先安装面板

external

1. 节点搭建系列教程 - 不良林，在一众垃圾 youtube 教程中算是讲得比较透彻的。
2. vps2arch：为你的 vps 安装 arch！
3. 使用一键脚本，部署 Hysteria 2 协议节点