TLS

如果已经注册有域名了可以跳过

TLS 需要一个域名，域名有免费的和有付费的，如果不舍得为一个域名每年花点钱，用个免费域名也可以，但总体来说付费的会优于免费的

为了方便，在本文中忽略如何注册购买域名了

注册好域名之后务必记得添加一个 A 记录 指向你的 VPS!

以下假设注册的域名为 mydomain.me，请将之替换成自己的域名

TLS 是证书认证机制，所以使用 TLS 需要证书，证书也有免费付费的

这里使用免费证书，证书认证机构为 Let's Encrypt 

证书的生成有许多方法，这里使用的是比较简单的方法：使用 acme.sh 脚本生成

本部分说明部分内容参考于acme.sh README 

证书有两种，一种是 ECC 证书（内置公钥是 ECDSA 公钥），一种是 RSA 证书（内置 RSA 公钥）

简单来说，同等长度 ECC 比 RSA 更安全,也就是说在具有同样安全性的情况下，ECC 的密钥长度比 RSA 短得多（加密解密会更快）

但问题是 ECC 的兼容性会差一些，Android 4.x 以下和 Windows XP 不支持。只要设备不是非常老的老古董，建议使用 ECC 证书

将证书和密钥安装到 /etc/v2ray 中：

$ sudo ~/.acme.sh/acme.sh --installcert -d mydomain.me --ecc \
  --fullchain-file /etc/v2ray/v2ray.crt \
  --key-file /etc/v2ray/v2ray.key

注意：无论什么情况，密钥(即上面的 v2ray.key)都不能泄漏

如果不幸泄漏了密钥，可以使用 acme.sh 将原证书吊销，再生成新的证书

吊销方法请自行参考 acme.sh 的手册

目前 Vmess + WebSocket + TLS （以下简称 wss）方式，因其特征如同 HTTPS 流量

可以隐藏 V2Ray 路径，主动侦测会得到正常 HTTP 网站响应，具有良好的伪装能力，目前被广泛用于反审查

但是如此强大的伪装能力，需要付出严重的性能代价：TLS 1.3 握手需要消耗 1-rtt，WS 握手也需要消耗 1-rtt，增大了握手延迟

V2Ray 增加了 mux 以减少握手的发生，然而实际使用中 mux 体验并不好，很多用户选择关闭

最近兴起了一个新的反审查工具 Trojan，这个工具将一个类似 Socks 的协议直接通过 TLS 传输，并将认证失败的流量交由 Web 服务器处理。降低 WS 延迟的同时，提供与 wss 方式一样的伪装能力

但是该工具较为年轻，没有路由功能，各平台图形化客户端也不完善

因此，这里尝试用 V2Ray 实现类似功能，即 Vmess + TCP + TLS 并网站伪装，省下 WS 的握手延迟

HaProxy 监听 443 端口，处理 TLS 之后，将 HTTP 流量交由 Web 服务器处理，非 HTTP 流量交由 V2Ray 按 Vmess 处理

本次方案使用 HaProxy，Nginx（Web 服务器的使用不是本教程的重点），V2Ray

1. 安装 HaProxy

   apt install haproxy
   

   为了较好的支持 TLS1.3，HaProxy 版本应大于 1.8.15，OpenSSl 版本应大于 1.1.1
   
   如果使用的发行版仓库自带的版本较低，需要自行编译安装
   

2. 安装 Web 服务器，Nginx

   apt install nginx
   

3. 安装 V2Ray，可以使用官方脚本官方脚本

4. 修改 V2Ray 配置文件，以 Vmess + TCP 方式 监听 40001 端口

   {
       "inbounds": [
           {
               "protocol": "vmess",
               "listen": "127.0.0.1",
               "port": 40001,
               "settings": {
                   "clients": [
                       {
                           "id": "f2435e5c-9ad9-4367-836a-8341117d0a5f"
                       }
                   ]
               },
               "streamSettings": {
                   "network": "tcp"
               }
           }
       ],
       "outbounds": [
           {
               "protocol": "freedom"
           }
       ]
   }
   

5. 修改 Web 服务器配置文件，部署 HTTP 服务于 8080 端口：

   # Nginx 在 http{} 里面添加
   
   server {
       listen 8080;
       server_name example.com;
       root /var/www/html;
   }
   

   /var/www/html 是静态网站目录
   
   实际服务请根据需要部署，也可以用 httpd 之类的替代
   
   似乎很多 Trojan 教程直接监听 80 端口，其实很多 HTTPS 网站 80 端口通常是重定向到 HTTPS
   

6. 修改 HaProxy 配置文件：

   global
   log /dev/log local0
   log /dev/log local1 notice
   chroot /var/lib/haproxy
   stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
   stats timeout 30s
   user haproxy
   group haproxy
   daemon
   ca-base /etc/ssl/certs
   crt-base /etc/ssl/private
   
   # 仅使用支持 FS 和 AEAD 的加密套件
   ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
   ssl-default-bind-ciphersuites TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
   # 禁用 TLS 1.2 之前的 TLS
   ssl-default-bind-options no-sslv3 no-tlsv10 no-tlsv11
   
   tune.ssl.default-dh-param 2048
   
   defaults
   log global
   # 我们需要使用 tcp 模式
   mode tcp
   option dontlognull
   timeout connect 5s
   # 空闲连接等待时间，这里使用与 V2Ray 默认 connIdle 一致的 300s
   timeout client  300s
   timeout server  300s
   
   frontend tls-in
   # 监听 443 tls，tfo 根据自身情况决定是否开启，证书放置于 /etc/ssl/private/example.com.pem
   bind *:443 tfo ssl crt /etc/ssl/private/example.com.pem
   tcp-request inspect-delay 5s
   tcp-request content accept if HTTP
   # 将 HTTP 流量发给 web 后端
   use_backend web if HTTP
   # 将其他流量发给 vmess 后端
   default_backend vmess
   
   backend web
   server server1 127.0.0.1:8080
   
   backend vmess
   server server1 127.0.0.1:40001
   

   与 Nginx 不同，HaProxy 的证书和密钥放于同一个文件
   
   可以使用命令 cat example.com.crt example.com.key > example.com.pem 合成证书
   

7. 重启服务

   systemctl restart haproxy
   systemctl restart nginx
   systemctl restart v2ray
   

8. 客户端连接 example.com:443 vmess tls 即可

   {
       "inbounds": [
           {
               "port": 1080,
               "listen": "127.0.0.1",
               "protocol": "socks"
           }
       ],
       "outbounds": [
           {
               "protocol": "vmess",
               "settings": {
                   "vnext": [
                       {
                           "address": "example.com",
                           "port": 443,
                           "users": [
                               {
                                   "id": "f2435e5c-9ad9-4367-836a-8341117d0a5f",
                                   "security": "none"
                               }
                           ]
                       }
                   ]
               },
               "streamSettings": {
                   "network": "tcp",
                   "security": "tls"
               }
           }
       ]
   }
   

测试工具为 vmessping ，可见 Vmess + TCP + TLS（左）延迟低于 Vmess + WSS（右）

• HaProxy，V2Ray，Nginx 都是支持 Domain Socket 的，流量较大或数据包较多时使用 ds 可以提高性能

  这里不做展开，可以参考这篇文章 https://gist.github.com/liberal-boy/b2d5597285b4202b6d607faaa1078d27
  

• 可以使用这个工具 开启 OCSP Stapling 减少客户端验证证书的时间
• 该方法的隐蔽性是否比 wss 低？
  • 中间人看来，该方法在建立 TLS 连接后，比 wss 少一次握手，即 TLS 建立后直接发送请求并获得响应，该行为是符合正常的 HTTPS 请求的
  • 主动探测时：
    • 如 TLS 建立后发送 HTTP 请求，则被发给 Web 服务器按正常 HTTP 请求处理
    • 如发送非 HTTP 请求，会被发给 V2Ray 处理，如 Vmess 认证失败，连接将被关闭，向 HTTPS 服务器发送非 HTTPS 请求，连接被关闭是正常的行为。

1. 安装 V2Ray，可以使用官方脚本官方脚本
2. 安装 TLS 分流器 ，见 安装说明

3. 修改 TLS 分流器配置文件，位于 /etc/tls-shunt-proxy/config.yaml

   listen: 0.0.0.0:443
   vhosts:
     # 将 example.com 改为你的域名
     - name: example.com
       tlsoffloading: true
       managedcert: true
       alpn: h2,http/1.1
       # 如果不需要兼容 tls12, 可改为 tls13
       protocols: tls12,tls13
       http:
         handler: fileServer
         # /var/www/html 是静态网站目录
         args: /var/www/html
         default:
           handler: proxyPass
           args: 127.0.0.1:40001
   

4. 修改服务器 V2Ray 配置文件 /etc/v2ray/config.json ，同 TCP + TLS + Web 方式

   {
       "inbounds": [
           {
               "protocol": "vmess",
               "listen": "127.0.0.1",
               "port": 40001,
               "settings": {
                   "clients": [
                       {
                           "id": "f2435e5c-9ad9-4367-836a-8341117d0a5f"
                       }
                   ]
               },
               "streamSettings": {
                   "network": "tcp"
               }
           }
       ],
       "outbounds": [
           {
               "protocol": "freedom"
           }
       ]
   }
   

5. 重启服务

   systemctl restart tls-shunt-proxy
   systemctl restart v2ray
   

6. 客户端连接 example.com:443 vmess tls 即可

   {
       "inbounds": [
           {
               "port": 1080,
               "listen": "127.0.0.1",
               "protocol": "socks"
           }
       ],
       "outbounds": [
           {
               "protocol": "vmess",
               "settings": {
                   "vnext": [
                       {
                           "address": "example.com",
                           "port": 443,
                           "users": [
                               {
                                   "id": "f2435e5c-9ad9-4367-836a-8341117d0a5f",
                                   "security": "none"
                               }
                           ]
                       }
                   ]
               },
               "streamSettings": {
                   "network": "tcp",
                   "security": "tls"
               }
           }
       ]
   }
   

相比 TCP，Domain Socket (以下简称 DS) 更为高效

根据测试反馈，速度超过 50Mbps 时，通常会有较明显的性能差距

DS 仅限分流器与服务端 V2Ray 连接，客户端连接服务器仍然使用 TCP, 即：

	      TLS over TCP                DS
客户端 V2Ray --------------- TLS 分流器 -------- 服务端 V2Ray

1. 修改分流器配置文件 /etc/tls-shunt-proxy/config.yaml

   listen: 0.0.0.0:443
   vhosts:
     # 将 example.com 改为你的域名
     - name: example.com
       tlsoffloading: true
       managedcert: true
       alpn: h2,http/1.1
       # 如果不需要兼容 tls12, 可改为 tls13
       protocols: tls12,tls13
       http:
         handler: fileServer
         # /var/www/html 是静态网站目录
         args: /var/www/html
         default:
           handler: proxyPass
           args: unix:@v2ray.sock
   

2. 修改服务器 V2Ray 配置文件 /etc/v2ray/config.json

   {
       "inbounds": [
           {
               "protocol": "vmess",
               "listen": "127.0.0.1",
               "port": 40001,
               "settings": {
                   "clients": [
                       {
                           "id": "f2435e5c-9ad9-4367-836a-8341117d0a5f"
                       }
                   ]
               },
               "streamSettings": {
                   "network": "ds",
                   "dsSettings": {
                       "path": "@v2ray.sock",
                       "abstract": true
                   }
   
               }
           }
       ],
       "outbounds": [
           {
               "protocol": "freedom"
           }
       ]
   }
   

3. 重启服务

   systemctl daemon-reload
   systemctl restart v2ray
   systemctl restart tls-shunt-proxy
   

TLS 分流器还可以实现 vmess + TLS + Web 和 trojan 共享端口

具体配置参数请参阅项目 https://github.com/liberal-boy/tls-shunt-proxy/blob/master/README.md