作者：左耳朵 http://coolshell.cn 更新时间：2023-05-02

这篇文章可以写的更好，欢迎到 https://github.com/haoel/haoel.github.io 更新

首先，我们先明确一下，我科学上网的目的主要是为了学习、工作、交友、查资料、和丰富自己的眼界，不是其它的事。

对我来说，科学上网很重要，下面罗列一下需要科学上网，我才能真正学习工作和生活的网站：

所以，科学上网后，英文是一件很重要的事。

为什么这么说？这主要是针对计算机相关的知识，逻辑是这样的，如果你上了Google还是在用中文关键词，那么你好不容易出来了，结果又回去了，所以没什么意义。 换言之，科学上网的目的是为了进入广阔的世界范围与全世界的人交流，所以，英文是必备的，如果你英文有问题，VPN过去的用处也不大。

所以，我把这个前提条件放在第一的位置，就是说—— 真正的墙不是GFW，而是人的大脑！ 意思是，屏蔽你获得信息能力的不是墙，而很大一部分则是我们自己的语言能力！

对于科学上网，我强烈建议通过自建的方式。因为使用一些“机场”会有如下的几个问题：

自建梯子会是一条很好的路，不过，问题就是，自建梯子需要一定的技术能力，成本和门槛都比机场要高，但是，在安全性方面会比较好一些。自己动手，自力更生，让人有更多的安全感。

所以，如果你不是很有技术能力，或者不想花钱，那么，还是使用“机场”吧。

本文主要是针对自建的文档！

自建梯需要购买一台服务器 VPS。现在你买一台VPS也不贵了，一个月几十元钱。当然，如果需要好的线路得需要多花一些钱，但是也不贵。。

购买的 VPS 有几个要点 - “流量” 和 “位置”：

上述的这些东西在后面都会讲到。另外，VPS 建议安装成 Ubuntu，版本用 18.04，20.04，22.04 都行。

对于常规 VPS，主要是一个云服务提供商，大的原厂商都提供免费使用和赠金，所以，可以白嫖一段时间。

Note

你要知道很多云厂商的 VPS 服务器和流量是分开计费的，所以，你要确认一下你的云帐单以免出现不预期的费用。所以，最好购买包流量的 VPS。比如：AWS 的 LightSail, RackNerd 等。

在中国，因为有太多的网络提供商，所以，不同的地方，不同的网络，不同的时间，到不同的国家完全不一样，而且还经常性地调整路由，所以，经常性地有时候快有时候慢，简直就是随机的。如果你对上网要求比较高的人，最好会备 2-3个不同国家地区的VPS。

香港网速应该是比较好的，但是香港的成本也是比较高的（使用 Microsoft Azure 的 East Asia 可以把 VPS 买在香港区）。台湾的网速也是不错的（可以通过 Google Cloud 购买），日本的网速其次，新加坡再次之，然后是美国的东海岸。但是，因为线路的问题，如果没有为中国区优化的线路，丢包率是非常大的，日本区 ping 值虽然很低，但是经常性的丢包，好的线路的美国的 ping 值虽然大，但是也会飞快。

Google Cloud Platform - GCP 的香港和台湾节点也是很快的。但是你要能买GCP的主机，你还得先翻墙，所以，感觉有点死锁了。所以，你可能先用其它方式翻墙，然后再到GCP上购买。

如果你需要更好更高速的网络服务（比如你要看 Youtube 的 1080P），那么，你需要下面的这些服务器资源了（价格也会高一些）

CN2 和 GIA 是两个关键词。CN2 GIA 全称 China telecom Next Carrier Network- Global Internet Access 电信国际精品网络，特征是路由线路上骨干节点均为59.43开头的IP。如果想要寻找接入CN2线路的国外VPS提供商，建议使用 Next Carrier Network 或者 CN2 这个关键词搜索即可。

多说一句， CN2本身又分为两种类型：

CN2 GT: CN2 里属于Global Transit的产品(又名GIS-Global Internet Service)，在CN2里等级低，省级/出国节点为 202.97 开头，国际骨干节点有2～4个 59.43 开头的CN2节点。在出国线路上拥堵程度一般，相对于163骨干网的稍强，相比CN2 GIA，性价比也较高。

CN2 GIA: CN2 里属于Global Internet Access的产品，等级最高，省级/出国/国际骨干节点都以59.43开头，全程没有202.97开头的节点。在出国线路上表现最好，很少拥堵，理论上速度最快最稳定，当然，价格也相对 CN2 GT 偏高。

关于 CN2 线路的主机提供商，好些都不靠谱，只推荐下面两个，首推搬瓦工。

搬瓦工 这应该是美区最好的一个用来科学上网的VPS提供商了，实测飞快，无论在中国哪个地方都很快。购买时你需要注意VPS规格上的 CN2 和 GIA 的描述。（注：点击主页右上角的 regisiter 以后，你可以看到页面上方有两个导航条，在下面的导航条上点 Services -> Order New Services 就可以看到所有的列表了。买完后，你可能需要重装一下操作系统，装成64位带BBR的 ）

HostDare 的 CN2 GIA 产品也是三网直连。专门有两个分类针对中国的 CN2 GIA，一个是 Premium China Optimized NVMeKVM，一组是 Premium China Optimized KVM。支持支付宝和银联。购买后要等一段时间（2-4个小时）才会创建好，IP 有可能会给你是一个已经被封了的，如果是这样，你要在3天内申请换IP，都是免费的。时间长了也可以换，就是时间比较长，而且还要花一定的费用（3美金）。线路质量还不错，不过没有搬瓦工快。

更多的可以参考这篇文章《CN2 GIA VPS主机收集整理汇总-电信,联通,移动三网CN2 GIA线路VPS主机》（注：随时间推移，这篇文章的内容可能会失效）

重点说一下，CN2 GIA + 香港机房，你会得到巨快无比的上网速度（无论你在中国的哪个位置，无论使用哪家运营商，CN2 GIA都是最优的），然而，香港地区的VPS的确是有点贵了。在 Youtube上看 4K 的视频毫无压力。虽然阿里云和腾讯的也有，但是被查到的风险基本上是100%，不建议使用，被抓了别怪我没警告过你。

注：如下的搭建和安装脚本可参看本库的 scripts 目录下的脚本，如： Ubuntu 18.04 Installation Script （感谢网友 @gongzili456 开发），另外，这个脚本可能年久失修，不一定能用，但是可以参考，如果有问题，可以提交 PR。

首先，你要安装一个Docker CE 服务，这里你要去看一下docker官方的安装文档：

然后开始设置你的VPN/SS服务

TCP BBR（Bottleneck Bandwidth and Round-trip propagation time）是由Google设计，于2016年发布的拥塞算法。以往大部分拥塞算法是基于丢包来作为降低传输速率的信号，而BBR则基于模型主动探测。该算法使用网络最近出站数据分组当时的最大带宽和往返时间来创建网络的显式模型。数据包传输的每个累积或选择性确认用于生成记录在数据包传输过程和确认返回期间的时间内所传送数据量的采样率。该算法认为随着网络接口控制器逐渐进入千兆速度时，分组丢失不应该被认为是识别拥塞的主要决定因素，所以基于模型的拥塞控制算法能有更高的吞吐量和更低的延迟，可以用BBR来替代其他流行的拥塞算法，例如CUBIC。Google在YouTube上应用该算法，将全球平均的YouTube网络吞吐量提高了4%，在一些国家超过了14%。

BBR之后移植入Linux内核4.9版本，并且对于QUIC可用。

如果开启，请参看 《开启TCP BBR拥塞控制算法 》

为了更为的隐蔽，使用 HTTPS 服务，你需要完成如下工作：

1） 一个域名（可以上 GoDaddy，但一定要使用美国版）

2） 然后在 GoDaddy 上修改域名解析服务器，把其指向 Cloudflare —— 当你注册完 Cloudflare 帐号后，Cloudflare 会告诉你怎么做。

3）然后，你在 Cloudflare 上创建一个子域名解析到你的 VPS 上 IP 上（注：不要开启 Cloudflare 的 Proxy 模式）

4）最后，使用 Let's Encrypt 来签 一个证书。使用 Let's Encrypt 证书你需要在服务器上安装一个 certbot，点击 certbot 这个链接，你可以选择你的服务器，操作系统，然后就跟着指令走吧。

接下来，你需要申请一个证书（我们使用standalone的方式，然后，你需要输入你的电子邮件和你解析到 VPS 的域名）：

证书默认生成在 /etc/letsencrypt/live/ 目录下，这个证书90天后就过期了，所以，需要使用一个 cron job 来定期更新（稍后给出）

gost 是一个非常强的代理服务，它可以设置成 HTTPS 代理，然后把你的服务伪装成一个Web服务器，我感觉这比其它的流量伪装更好，也更隐蔽。这也是这里强烈推荐的一个方式。

接下来就是启动 gost 服务了，我们这里使用 Docker 的方式建立 gost 服务器。

上面这个脚本，你需要配置：域名(DOMAIN), 用户名 (USER), 密码 (PASS) 和 端口号(PORT) 这几个变量。

关于 gost 的参数， 你可以参看其文档：Gost Wiki，上面我设置一个参数 probe_resist=code:404 意思是，如果服务器被探测，或是用浏览器来访问，返回404错误，也可以返回一个网页（如：probe_resist=file:/path/to/file.txt 或其它网站 probe_resist=web:example.com/page.html）

Note

开启了探测防御功能后，当认证失败时服务器默认不会响应 407 Proxy Authentication Required，但某些情况下客户端需要服务器告知代理是否需要认证(例如Chrome中的 SwitchyOmega 插件)。通过knock参数设置服务器才会发送407响应。对于上面的例子，我们的knock参数配置的是www.google.com，所以，你需要先访问一下 https://www.google.com 让服务端返回一个 407 后，SwitchyOmega 才能正常工作。

如果认证信息（也就是用户名和密码）中包含特殊字符，则可以（应该是必须！否则客户端一侧会有很多不兼容）通过auth参数来设置，下面是使用 auth 参数的例子（注意，需要 gost 在 2.9.2+ 以上版本）：

如无意外，你的服务就启起来了。 你可以使用如下命令在检查有没有启动成功：

你可以使用下面的命令验证你的 gost 服务是否正常。

接下来就是证书的自动化更新。

可以使用命令 crontab -e 来编辑定时任务：

这样，服务器就配置完成了。客户端请移动后面的客户端章节。

使用 Cloudflare 的注意事项

上述的方法并不支持 Cloudflare CDN，如果你想使用了 Cloudflare CDN，你需要使用 WebSocket 协议，如下所示，你需要使用 mwss 协议。

在 CloudFlare 上，请将TLS/SSL设置为 完全

如果你的客户端只能使用 socks 协议，你还要在客户端这边转一下：

然后在其他软件中设置socks5代理即可

（注：ShadowSocks 被查的机率非常大，不推荐使用）

（如果有隧道转发，可以使用）

ShadowSocks 的 Docker 启动脚本 （其中的 SS_PORT 和 SS_PASSWD 需要重新定义一下）

（注：VPN方式被查的机率非常大，不推荐使用）

L2TP/IPSec 的启动脚本，其中的三个环境变量 USER， PASS 和 PSK 需要替换一下。

你可以使用 Chrome 插件 SwitchyOmega进行代理设置。在 SwitchyOmega 中，你需要设置一个代理服务器。

具体的教程可以参看官方教程 - 《最新 SwitchyOmega 使用教程快速入门篇》

如果无法直接配置 HTTPS 代理，具体原因可能是因为你设置了probe_resist以开启探测防御功能。这里，你需要在服务器端设置 knock 参数（参看 用 Gost 设置 HTTPS 服务 中的“注意”一节 ）

或是，干脆使用 gost 客户端在本机启动一个 SOCKS 5的代理服务用来代替（gost -L socks5://:1080 -F 'https://USER:PASS@DOMAIN:443'），然后在 SwitchyOmega 配置代理为'127.0.0.1:1080'即可。

在电脑上，使用 Clash 一个就可以了。Clash 支持很多翻墙协议：ShadowSocks(R), Vmess, Socks5, HTTP(s)，Snell，Trojan。 而且支持多个代理服务器的分组和负载均衡。

Clash 的客户端支持多种平台，包括 Windows, MacOS, Linux 等，你可以在 Clash 的 Release 页面 下载到最新的版本。这个是命令行版本，但配置其实并不复杂。

另外，有一些比较高级的功能，如：开启 Tun 网卡，需要使用 Clash Premium，这个版本不收费，但是是闭源的。

当然，如果你要安装 GUI 版本，你可以通过如下的项目安装：

下面是 Clash 安装完后的配置目录结构：

然后，在 Gost 的启动上加上这个参数：probe_resist=file:/var/www/html/index.html，这样，当有人探测你的端口的时候，会返回这个文件的内容，这样，就会让探测者以为你的端口是一个 Web 服务器，而不是一个代理服务器。

完整的启动脚本如下：

花钱购买的 VPS 即便做了流量伪装依然有很大的几率 IP 被封锁，大多 VPS 服务商并不提供更换 IP 的服务，使用 CDN 可以让被封锁的 VPS 继续发挥翻墙功能。

Cloudflare 是一个 CDN 服务商，目前国内依然能正常的访问，可以作为跳板来实现翻墙。

注册 Cloudflare 帐号，并有一个空闲域名（ 需要使用二级域名），交给 Cloudflare 托管并将域名指向被封的 VPS IP。Cloudflare 只需免费方案足以，不必花钱。

使用 Cloudflare 进行套壳需要有如下的条件：

关于优选IP，可以手动更改本地hosts文件指向最佳IP。

目前支持 WebSocket 的免费 CDN 似乎只有 Cloudflare 一家，国内 CDN 服务商既不支持也不安全，不要考虑了。如果有更好的服务商欢迎补充。

网络延迟比直连增加不少，如果是频繁操作会很痛苦。网络带宽如果运气好可能比直连还优化了，用来看 Youtube 搞不好更流畅。

所谓透明网关的意思是，一切都交给网关来做。最好的方式是你需要一个 OpenWRT 的路由器，推荐使用华硕的路由器，贵是贵一些，但是这几年用下来，非常不错。我用的是 华硕（ASUS） RT-AC68U 1900M AC 双频智能无线路由路 。

路由器买来后，要刷一下固件。首先 Asuswrt 是华硕公司为他的路由器所开发的固件。Asuswrt-merlin是一个对Asuswrt固件二次开发进行各种改进和修正的项目。源代码在这里：https://github.com/RMerl/asuswrt-merlin

不必担心把路由器刷废了，华硕的路由器可以让你一键重置回来

1）下载固件。先到 https://www.asuswrt-merlin.net/download 下载相应的固件，并解压。（我下载的是 RT-AC68U_380.61_0.zip ）

2）升级固件。登录到你的路由器后台 http://192.168.1.1/ ，在 系统管理 -> 固件升级 中上传固件文件（我上传的是：RT-AC68U_380.61_0.trx）

3）打开 JFFS 分区。系统管理 -> 系统设置 -> Persistent JFFS2 partition

4）打开 ssh 登录。 系统管理 -> 系统设置 -> SSH Daemon

接下来，在 WiFi 路由器上安装 Clash，就可以了。

大概的示意图如下所示。

如果你的路由器不能刷 OpenWRT，也就是没法通过SSH登录上去装软件，你就用一个别的设备。比如用一个树莓派。我正好有一个很老旧的树莓派，刷了一个老旧的 Debian 7.5的操作系统。

把它连上你的路由器上，然后，

大概的示意图如下所示。

Clash 的 Github项目是：Dreamacro/clash ，在它的 Release 页面上，你可以找到相关的下载。（注：在本文更新的时候，如果你需要支持 Tun，你需要下载 Clash 的 Premium 版本

Clash 支持很多翻墙协议：ShadowSocks(R), Vmess, Socks5, HTTP(s)，Snell，Trojan。

在你的 OpenWRT 或 树莓派 下用 uname -m 查看一下你的硬件架构是什么的，比如，我的是华硕和树莓派都是 armv7l 的，所以，需要下载 clash-linux-armv7-....的版本（注：根据 clash 官方仓库 Dreamacro/clash#189 系列固件不适用 armv7l 架构的 AC68U，需选择 armv5）。 下载完解压后，加个可执行权限 chmod +x clash 就可以运行了，不过，还差一个界面和两个配置文件，它们的目录关系如下：

编辑 /etc/network/if-pre-up.d/iptables，在网卡启动的时候加载这些规则

连接成功后，你可以会在本地有一个 Socks5 代理， 127.0.0.1:40000，你可以使用如下命令来查看：

4）验证 Cloudflare WARP

你可以使用如下命令来验证是否成功：

如果输出现如下的信息，那么恭喜你，你已经成功了

5）配置 Gost 路由转发

你可以使用如下命令来启动 gost 转发规则。下面的命行行意思是，把本地的 8080 端口转发到 Cloudflare WARP 的 Socks5 代理上。

当然，上面的配置是不够好的，我们最好使用有证书的 HTTPS 代理。这里的内容参见于 前的面 3.3 用 Gost 设置 HTTPS 服务。

为了使用两种不同的代理，你可以启动两个 gost 服务：

Note

你也可以使用 gost 的 bypass参数来让相应的域名的流量转发到 Cloudflare WARP 的 Socks5 代理上。如： -F=socks5://localhost:40000?bypass=~*.openai.com,openai.com¬ls=true

你也可以使用 V2Ray 的路由模式，参见 V2Ray 的路由功能。V2Ray的路由模式就比 gost 要强很多。你还可以通过使用预定义域名列表 geolocation-cn 把其的路由转发到 Cloudflare WARP 的 Socks5 代理上，以避免你的 VPS 的 IP 被暴露。

6）其它事宜

查看运行状态。 warp-cli 是 warp-svc 的客户端，真正的程序是 warp-svc，你可以使用如下命令来查看：

内存泄漏问题。 目前，warp-svc 这个程序有内存泄漏的问题（参看 #124），所以，你需要定期重启服务。你可以使用cronjob来重启服务。运行 crontab -e，然后添加如下内容：

文件描述符不足。另外，如果你的程序出现文件描述不足的情况：

你需要修改文件描述符的限制，这类的文章比较多，你自行 Google，这里就不再赘述了。如果你想配置 Cloudflare WARP 文件描述符的限制，你可以编辑 /lib/systemd/system/warp-svc.service，在 [Service] 下面添加如下内容：

然后，重启服务：

用 Docker 可以更方便地部署起一个 Cloudflare WARP Proxy，只需要一行命令:

这条命令会在容器上的 40001 开启一个 socks5 代理，接下来查看这个容器的 ip:

然后可以通过 curl 镜像来测试，例如，如果容器的 ip 是 172.17.0.2，则可以运行:

返回的结果中 org 字段应该能看到 Cloudflare 相关的信息。

接下来我们给 Gost 增加一个条件转发规则，转发我们希望的域名、地址到 cloudflare 的 warp 网络:

Note

bypass=~ 的含义是，只有命中后面规则时才转发请求到 172.17.0.2:40001 这个 socks5 代理。接下来，通过这个 Gost 代理访问 openai.com 时，就会走 warp 网络了。

如下还有一些其它的方式（注：均由网友提供，我没有验证过）

Outline 是由 Google 旗下 Jigsaw 团队开发的整套翻墙解决方案。Server 端使用 Shadowsocks，MacOS, Windows, iOS, Android 均有官方客户端。使用 Outline Manager 可以一键配置 DigitalOcean。其他平台例如 AWS, Google Cloud 也提供相应脚本。主要优点就是使用简单并且整个软件栈全部开源，有专业团队长期维护。

上述的搭建和安装脚本可参看本库的 scripts 目录下的脚本（感谢网友 @gongzili456 开发）

注意：这个脚本可能年久失修，不一定能用，但是可以参考，如果有问题，可以提交 PR。

欢迎补充和改善！

（全文完）