cji03
commented
7 years ago ## ❹优化(使用Twist脚本搭建不需要进行①-④步，已自动完成优化；主要面向ShadowsocksR和其它Shadowsocks版本的用户)
主要通过第一次TCP握手后服务器产生Cookie作为后续TCP连接的认证信息，客户端通过TCP再次连接到服务器时，可以在SYN报文携带数据(RFC793)，降低了握手频率，可避免恶意攻击并大幅降低网络延迟(参考)；下面介绍如何开启这一功能
echo "net.ipv4.tcp_fastopen = 3" >> /etc/sysctl.conf
#运行以上命令，设置IPv4下的TFO默认为开启状态
sysctl -e -p
#运行以上命令，应用配置②改善TCP拥塞算法
HTTP协议在传输层使用TCP协议，TCP丢包重传机制算法的不同会大幅影响科学上网速度；更换TCP拥塞算法需要使用命令nano /etc/sysctl.conf编辑系统配置文件，并定位到net.ipv4.tcp_congestion_control = 这一行(若没有请手动添加)，其后接的算法主要有cubic,hybla,bbr等，修改完成后使用命令sysctl -e -p应用配置；下面是相关算法的简单介绍
cubic #由bic算法衍化而来，适用于低丢包率网络
hybla #卫星链路使用的算法，适用于高延迟，高丢包率的网络
bbr #由Google开源的算法，适用于低延迟，较低丢包率的网络(需要手动配置*)*配置Google BBR
开始配置BBR之前，确保你的内核版本>4.8.x(使用命令uname -a查看)，若低于最低版本，请先更新你的内核(Ubuntu)；若要更新内核，请先使用命令nano updatekernel.sh新建脚本，将下面的代码复制粘贴到脚本内并保存
KERNELVER="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/ | awk -F'\"v' '/v[4-9]./{print $2}' | cut -d/ -f1 | grep -v - | sort -V | tail -1)"
#获取最新的Linux Kernel版本
SYSTYPE="$(dpkg --print-architecture)"
#获取系统平台信息
[ "$SYSTYPE" = "amd64" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/amd64.deb/{print $2}' | cut -d'<' -f1 | head -1)"
[ "$SYSTYPE" = "i386" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/i386.deb/{print $2}' | cut -d'<' -f1 | head -1)"
[ "$SYSTYPE" = "armhf" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/armhf.deb/{print $2}' | cut -d'<' -f1 | head -1)"
[ "$SYSTYPE" = "arm64" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/arm64.deb/{print $2}' | cut -d'<' -f1 | head -1)"
[ "$SYSTYPE" = "ppc64el" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/ppc64el.deb/{print $2}' | cut -d'<' -f1 | head -1)"
[ "$SYSTYPE" = "s390x" ] && KERNEL="$(wget -qO- http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/ | grep "linux-image" | grep "generic" | awk -F'\">' '/s390x.deb/{print $2}' | cut -d'<' -f1 | head -1)"
#获取对应平台Kernel包的文件名
wget -t 3 -T 30 -nv -O "$KERNEL" "http://kernel.ubuntu.com/~kernel-ppa/mainline/v${KERNELVER}/${KERNEL}"
#下载对应的Kernel
dpkg -i $KERNEL
#安装下载好的Kernel
rm -f $KERNEL
#清理下载文件
update-grub
#更新启动菜单然后使用命令chmod -x updatekernel.sh && bash updatekernel.sh给予脚本运行权限并运行脚本来更新内核
若无需更新内核，则先将拥塞控制算法填写为bbr，再添加以下代码保存并使用命令sysctl -e -p应用
net.core.default_qdisc = fq
#将网络拥塞队列算法设置为性能和延迟最佳的fq_codel③内核优化
使用命令nano sysctl.conf编辑并在末尾加入如下代码，对系统进程及内存分配进行优化，保存并使用命令sysctl -e -p应用
fs.file-max = 1024000
#系统所有进程一共可以打开的句柄数(bytes)
kernel.msgmnb = 65536
#进程通讯消息队列的最大字节数(bytes)
kernel.msgmax = 65536
#进程通讯消息队列单条数据最大的长度(bytes)
kernel.shmmax = 68719476736
#内核允许的最大共享内存大小(bytes)
kernel.shmall = 4294967296
#任意时间内系统可以使用的共享内存总量(bytes)使用命令nano /etc/security/limits.conf编辑和写入如下代码，限制用户档案的体积大小，提高系统稳定性，完成后保存
* soft nofile 512000
#用户档案警告体积大小(bytes)
* hard nofile 1024000
#用户档案最大体积大小(bytes)④TCP的各种优化
涉及内核控制，TCP包大小，TCP转发，连接超时等优化，代码的简单释义已在其下方注明；使用命令nano sysctl.conf编辑并写入如下代码，保存并使用命令sysctl -e -p应用
net.core.somaxconn = 4096
#设置系统每一个端口的最大监听队列长度
net.core.rmem_max = 12582912
#设置内核接收Socket的最大长度(bytes)
net.core.wmem_max = 12582912
#设置内核发送Socket的最大长度(bytes)
net.core.rmem_default = 65536
#设置内核接收Socket的默认长度(bytes)
net.core.wmem_default = 65536
#设置内核发送Socket的默认长度(bytes)
net.core.netdev_max_backlog = 4096
#设置接收包设备队列最多设备数
net.ipv4.tcp_rmem = 10240 87380 12582912
#设置TCP Socket接收长度的最小值，预留值，最大值(bytes)
net.ipv4.tcp_rmem = 10240 87380 12582912
#设置TCP Socket发送长度的最小值，预留值，最大值(bytes)
net.ipv4.tcp_max_syn_backlog = 4096
#设置接收SYN包设备队列最多设备数
net.ipv4.tcp_max_tw_buckets = 5000
#设置TCP保持在TIME等待状态的最大设备数量
net.ipv4.ip_forward = 1
#开启所有网络设备的IPv4流量转发，用于支持IPv4的正常访问
net.ipv4.tcp_syncookies = 1
#开启SYN Cookie，用于防范SYN队列溢出后可能收到的攻击
net.ipv4.tcp_tw_reuse = 1
#允许将等待中的Socket重新用于新的TCP连接，提高TCP性能
net.ipv4.tcp_tw_recycle = 0
#禁止将等待中的Socket快速回收，提高TCP的稳定性
net.ipv4.tcp_fin_timeout = 30
#设置客户端断开Sockets连接后TCP在FIN等待状态的实际(s)，保证性能
net.ipv4.tcp_keepalive_time = 1200
#设置TCP发送keepalive数据包的频率，影响TCP链接保留时间(s)，保证性能
net.ipv4.tcp_mtu_probing = 1
#开启TCP层的MTU主动探测，提高网络速度
net.ipv4.conf.all.accept_source_route = 1
#接收IPv4环境下带有路由信息的数据包，保证安全性
net.ipv4.conf.all.accept_redirects = 0
#拒绝接收来自IPv4的ICMP重定向消息，保证安全性
net.ipv4.conf.all.send_redirects = 0
#禁止发送在IPv4下的ICMP重定向消息，保证安全性
net.ipv4.conf.all.rp_filter = 0
#关闭反向路径回溯进行源地址验证(RFC1812)，提高性能
net.ipv4.icmp_echo_ignore_broadcasts = 1
#忽略所有ICMP ECHO请求的广播，保证安全性
net.ipv4.icmp_ignore_bogus_error_responses = 1
#忽略违背RFC1122标准的伪造广播帧，保证安全性
net.ipv6.conf.all.accept_source_route = 1
#接收IPv6环境下带有路由信息的数据包，保证安全性
net.ipv6.conf.all.accept_redirects = 0
#禁止接收来自IPv6下的ICMPv6重定向消息，保证安全性
net.ipv6.conf.all.autoconf = 1
#开启自动设定本地连接地址，用于支持IPv6地址的正常分配
net.ipv6.conf.all.forwarding = 1
#开启所有网络设备的IPv6流量转发，用于支持IPv6的正常访问⑤使用m2crypto加速加解密(Python服务端)
apt-get install build-essential python3-dev python-dev python-pip libssl-dev swig
#运行以上命令，安装支持库
pip install m2crypto
#运行以上命令，安装m2crypto⑥使用Kcptun加速(会影响TCP Fast Open的正常工作，请自行取舍)
echo "$(dpkg --print-architecture)"
#运行以上命令，查看Linux硬件版本在这里获取最新的预编译版本Kcptun(Go)下载地址(注意选择相应的Linux系统版本)
wget [获取的下载地址]
#运行以上命令，下载预编译版本Kcptun
tar -zxvf [下载后的文件名]
#运行以上命令，解压预编译文件
./[解压后的文件名] -t "[服务器目标IPv4]:[Kcptun目标端口]" -l ":[Kcptun监听端口]"
#运行以上命令启动Kcptun，具体配置请参考官方README*
VPS服务商的选择
VPS服务商的选择将直接影响你的科学上网体验，下面提供一些参考建议，提供商均安全可靠且有一定知名度；在获得一个VPS实例之前，你可能需要先注册好相关账号并准备一张具有国际支付功能的信用卡(Visa,MasterCard…)
Google Cloud Computing Engine(推荐) 需要一个Google账号，初次注册可以获得300$有效期为一年的使用卷，最低配置使用一年几乎免费；建议选择Asia机房(IP Location:Mountain View)，速度和稳定性极佳，但不支持IPv6(不使用负载均衡的情况下)
AWS EC2(推荐) 需要一个Amazon账号，初次注册可以获得一年的Free Trial权限，出入站流量各15GB/月；建议选择Tokyo机房(IP Location:Tokyo)，稳定性极佳，速度尚可，支持IPv6(需设置VPC)
Vultr(推荐) 账号注册简易(可以使用PayPal，无需信用卡)，初次注册仅送50GB Block Storage，但费用廉价；建议选择5$套餐，包括1TB Bandwidth每月，建议选择Tokyo机房(IP Location:Tokyo)，速度一般，稳定性尚可，支持IPv6
Linode 账号注册简易，初次注册无优惠，费用廉价，建议选择5$套餐，包括1TB Bandwidth每月，建议选择Tokyo机房(IP Location:Tokyo)，速度极佳，稳定性较差(由于IP极易被Ban)，支持IPv6
Lightsail 需要一个Amazon账号，由AWS推出，初次注册无优惠，费用廉价配置一般，建议选择5$套餐，包括500GB Bandwidth每月，建议选择Tokyo机房(IP Location:Tokyo)，速度一般，稳定性极佳，不支持IPv6
Digital Ocean 账号注册简易，初次注册无优惠，费用廉价，建议选择5$套餐，包括1TB Bandwidth每月，建议选择Singapore机房(IP Location:Singapore)，速度一般，稳定性极佳，支持IPv6
Azure 需要一个Microsoft帐户，初次注册可获得300$有效期为三个月的试用卷；长期使用价格昂贵，建议选择Japan East/West机房(IP Location:Japan)，速度和稳定性极佳，支持IPv6
科学上网服务端搭建
## ❶建立实例 在确定好你所选择的服务商后，你需要建立一个用于提供科学上网服务的实例。建立实例时尽量按照自己的需求来选择实例配置，一般情况下共享的1vCPU和1GB内存就足够了；另外需要注意一下几点，以确保你能够正常连接并使用你的实例
①实例的出入站规则(Firewall)
入站规则：
出站规则：
*此处的Anywhere通常会显示为0.0.0.0/0;::/0
②实例的系统类型
使用Linux；如Ubuntu，Debian…建议使用Ubuntu 15.x-17.x，较新的发行版系统可以获得更多的特性支持及更好的安全性
③实例的网络设置，IP及连接方式
为了实例的安全性，建议开启实例的Private Network(如果有)；确定实例至少拥有一个Public IPv4地址，并开启IPv6支持(若有需要)；连接到实例需要使用SSH，应查看实例的IP和用户名，密码或密钥(需要下载)，并将其妥善保管
## ❷连接到实例
①MacOS&Linux
使用自带的Terminal进行连接
②Windows
使用PuTTY进行连接，若是.pem为后缀的密钥验证，需用PuTTYgen转换为.ppk为后缀的密钥才可以连接，详见AWS提供的文档
③iOS&Android
使用SSH第三方客户端进行登录，如Prompt2，Termius(支持多平台且免费)等 Prompt 2 iPhone 下载 Termius - SSH Shell / Console 下载
## ❸搭建Shadowsocks-libev服务器
Q1.为什么使用Shadowsocks协议？
相比传统的VPN(IKE,IPSec,PPTP…)，Shadowsocks协议具有更好的灵活性和隐蔽性，且搭建相对简单，因此可以拥有相对传统VPN更快的速度和更高的稳定性；关于其特点，原理及弱点的更多讨论，可以在这里稍做了解，本文不对此长篇大论
Q2.为什么使用Shadowsock-libev服务端？
相比原版Shadowsocks，libev(c#)版本提供了更多的特性支持；而关于ShadowsocksR(Python)，Shadowsocks-libev率先支持AEAD加密，并向ShadowsocksR学习引进了Obfs(Simple-Obfs，但与前者原理有所不同)，且提供稳定的周期性更新；关于未来，ShadowsocksR更倾向于none加密策略，而Shadowsocks-libev则倾向于传统的加密策略，两者有不同的侧重点(ShadowsocksR更侧重消除特征以更好穿过GFW，而Shadowsocks-libev则追求更高的安全性)，综合起来并无优劣之分
①以root权限运行命令
②开始搭建Shadowsocks-libev服务端
可以选择使用笔者的自动脚本(Twist)进行搭建或自行搭建(可参考❻疑难解答的Q8回答*)，这里主要介绍如何使用前者科学上网
**③自定义Shadowsocks-libev服务端***
若在安装之前，可以先直接编辑下载后的twist.sh后再安装，编辑命令如下
在编辑界面定位到function shadowsocksconfig(){以下至}前的内容，编辑""内的参数，下面是关于参数的简单介绍(说明中未标出及说明后面带有"!"号的是不建议修改的参数)
若是在使用默认的配置安装完毕后，则可以对安装后的配置文件进行编辑，编辑命令如下
其中大部分参数与twish.sh中的自定义参数含义相同，详见Shadowsocks-libev Wiki，完成编辑后需重启Shadowsocks-libev应用配置，命令如下
*加密，推荐使用AEAD加密，以下是四种AEAD加密方式
以及几种常用的OTA加密方式(OTA加密一定程度上可以加快加密速度并降低CPU使用率，但较前者安全性更低且有明显缺陷)
混淆方式，主要分为tls,http两种，相比http，tls更具优势，但支持Shadowsocks-libev的tls混淆客户端较少(比如Surge用户只能使用http混淆) 混淆域名，使用混淆时伪装的域名，一般选择大型企业，流量出入较大、CDN等未被墙的域名作为混淆域名(如伪装的特定端口下的IP或域名来免流)，常用的混淆域名有这些