科学上网 – 怀旧家

一、首先购买一个海外vps ，安装centos7系统

VPS有：BandwagonHost，dataocean，vultr，linode。选择服务器地址时，可以先测试一下速度，选速度快的机房。

二、登录vps 并加固

1、利用SSH远程登入 centos7，方便后续操作。（有些vps的ip可能被屏蔽了，所以需要换一个vps试试看）
SSH远程连接入门

2、加固 centos7 安全性：

(1)、更新centos7系统。
(2)、解决系统编码问题。
(3)、开启防火墙。

systemctl start firewalld

(4)、修改SSH默认端口，SSH只用密钥登录。

3、安装VNC软件，进行远程访问。（可选操作，如果不适应用命令行操作，可以借助vnc 进行远程桌面操作）
（为了提高安全性，使用SSH端口转发，登入服务器）
vnc远程连接配置与入门

三、安装shadowsocks服务端

我们安装的是python版本的。因为centos7 默认自带了 python，所以不需要安装了。如果没有安装的话，可以运行

yum install python

这样子也可以检查出，是否安装了python。

安装 pip :
1、可以用 VNC 远程登录 vps 主机，然后用浏览器下载 pip 安装包。
下载页面：https://pypi.org/project/pip/9.0.1/
文件链接地址：https://files.pythonhosted.org/packages/11/b6/abcb525026a4be042b486df43905d6893fb04f05aac21c32c638e939e447/pip-9.0.1.tar.gz

为什么不选最新版，因为最新版pip 和 python 有一点兼容性问题。
也可以在SSH中用命令行的方式下载文件：

curl https://files.pythonhosted.org/packages/11/b6/abcb525026a4be042b486df43905d6893fb04f05aac21c32c638e939e447/pip-9.0.1.tar.gz -o pip.tar.gz --progress

文件下载完，可以用 VNC 桌面方式进行解压。或者在 SSH 中用命令行进行解压。

tar zxvf pip-9.0.1.tar.gz -C /root/mydir

将文件解压到了mydir目录下面。
解压完成后，进入 mydir 文件夹。可以用vnc 直接进入。也可以用命令行

cd /root/mydir

只有进入到 mydir文件夹以后，下面的安装才能成功。
在SSH下或者vnc的终端运行命令行：

python setup.py install

(其实用命令行可以直接装 pip,但是安装的是最新版的pip，好像与python存在兼容性问题)

curl "https://bootstrap.pypa.io/get-pip.py" -o "get-pip.py"
python get-pip.py

2.安装 shadowsocks
在SSH或者VNC的终端下运行如下代码：

安装 加密软件 库 用于支持 aes-256-gcm 加密方式 （带#的，都是注释，不需要打 ）
 yum install epel-release
 
yum install libsodium
 安装 或升级 最新 软件 版本
 pip install --upgrade git+https://github.com/shadowsocks/shadowsocks.git@master

3.配置shadowsocks
SSH下：

[bash] # 创建 /etc/shadowsocks.json vim /etc/shadowsocks.json [/bash]

上面就创建了配置文件，然后用 vim 编辑下面内容就行了。

{
"server": "0.0.0.0",
"server_port": 3678,
"password": "sdfsndsfoni",
"method": "aes-256-cfb"
}

多余多个端口可以如下：(顺便说了一下，可以添加PID_FILE和LOG_FILE)

pidfile

{
  "server": "0.0.0.0",
  "port_password": {
        "8850":"hehe2016"
 },
  "method": "aes-256-gcm",
  "PID_FILE": "/var/run/shadowsocks_ssserver.pid",
  "LOG_FILE": "/var/run/shadowsocks_ssserver.log"
}

添加PID_FILE，是因为执行下面这句话时，需要PID 文件，否则会报错。

ssserver -c /etc/shadowsocks.json -d  stop

这个时候，服务器就可以使用了：

##### 开启 shadowsocks  服务
ssserver -c /etc/shadowsocks.json -d  stop

##### 关闭 shadowsocks  服务
ssserver -c /etc/shadowsocks.json -d  start

后面提到的shadowsocks.service是另一种启动方式。

##### 查看 shadowsocks 状态 
#####（如果 我用ssserver -c /etc/shadowsocks.json -d start 启动，那么这里查看的启动状态是 dead 的，两种启动方法 应该隶属于 不同的管理方式中）
systemctl status shadowsocks

##### 启动 shadowsocks 服务
systemctl start shadowsocks

##### 关闭 shadowsocks 服务
systemctl stop shadowsocks

注意：加密方式（method），密码（password），服务器端口（server-port）都可以自己设置，只要客户端相同就行。服务器端口 1024以下是系统保留的，从1024-65535是用户使用的。密码建议选择 aes 系列。method为加密方法，可选aes-128-cfb, aes-192-cfb, aes-256-cfb, bf-cfb, cast5-cfb, des-cfb, rc4-md5, chacha20, salsa20, rc4, table

vim编辑器用法可以查看：vim入门基础
VNC桌面环境就直接创建json文件就行了。

4.配置开机自启动。SSH和VNC操作都行。

新建启动脚本文件/etc/systemd/system/shadowsocks.service，内容如下：

[Unit]
Description=Shadowsocks
[Service]
TimeoutStartSec=0
ExecStart=/usr/bin/ssserver -c /etc/shadowsocks.json
[Install]
WantedBy=multi-user.target

然后，在SSH或者VNC终端下：输入命令

systemctl enable shadowsocks
systemctl start shadowsocks

为了检查 shadowsocks 服务是否已成功启动，可以继续执行以下命令查看服务的状态：

systemctl status shadowsocks -l

如果服务启动成功，则控制台显示的信息可能类似这样：

● shadowsocks.service - Shadowsocks
 Loaded: loaded (/etc/systemd/system/shadowsocks.service; enabled; vendor preset: disabled)
 Active: active (running) since Mon 2015-12-21 23:51:48 CST; 11min ago
 Main PID: 19334 (ssserver)
 CGroup: /system.slice/shadowsocks.service
 └─19334 /usr/bin/python /usr/bin/ssserver -c /etc/shadowsocks.json
 Dec 21 23:51:48 morning.work systemd[1]: Started Shadowsocks.
 Dec 21 23:51:48 morning.work systemd[1]: Starting Shadowsocks…
 Dec 21 23:51:48 morning.work ssserver[19334]: INFO: loading config from /etc/shadowsocks.json
 Dec 21 23:51:48 morning.work ssserver[19334]: 2015-12-21 23:51:48 INFO loading libcrypto from libcrypto.so.10
 Dec 21 23:51:48 morning.work ssserver[19334]: 2015-12-21 23:51:48 INFO starting server at 0.0.0.0:8388

不过此时还连接不上服务器，因为CentOS 7默认防火墙是阻止SS端口的，这里需要放行SS端口，由于CentOS 7的防火墙升级为Firewall了，操作方式与之前的iptables有所不同（3678为文中shadowsocks服务器配置端口号，这里要改为你安装SS时设置的端口）：
firewall-cmd –permanent –add-port=3678/tcp
firewall-cmd –reload

四、安装kcp加速插件

由于原生shadowsocks速度慢，所以用kcp 插件加速。
访问链接，选择linux-amd64 下载，centos7系统是 64位的linux系统。
https://github.com/shadowsocks/shadowsocks-windows/releases

解压后有两个文件，其中类似server_linux_amd64这样的文件就是服务端程序了，另一个类似client_linux_amd64的就是客户端程序了。如果客户端在Windows上使用要下载Windows版本的哦。

SSH 里面可以用 tar命令进行解压（前面解压pip文件已经提到过了）， ls 命令可以查看当前目录所有文件 cd 命令表示进入某目录。可以搜索一下bash常用命令操作。
VNC里面直接可视化操作就行了。

先来创建服务端配置文件，创建开机启动项如下供参考：

[bash] vim /etc/systemd/system/kcptun.service [/bash]

然后配置启动文件如下：

[Unit]
 Description=kcptun
 [Service]
 TimeoutStartSec=20
 ExecStart=/usr/bin/server_linux_amd64 -t "0.0.0.0:3678" -l ":5678" -mode fast2
 [Install]
 WantedBy=multi-user.target

其中TimeoutStartSec为延时启动的时间，这里由于需要等待ShadowSocks启动完成后再启动，所以配置20秒的延迟。ExecStart后的server_linux_amd64为你刚刚下载的文件的位置，建议放到相应的文件夹以便管理。-t后的是服务器的IP和ShadowSocks服务的端口，这里IP配置为本机IP即可。-l表示KCP服务使用的端口，-mode表示速度的模式，从快到慢依次是fast3 > fast2 > fast > normal > default，fast3一般用于游戏，不想要任何的延迟(no lag)，但这也意味浪费的流量会增多，这里我选择fast2就够用了。

[bash] systemctl daemon-reload # 创建开机启动 systemctl enable kcptun # 启动kcp服务。 systemctl start kcptun # 防火墙开放 kcp 端口（kcp 是 udp 协议，shadowsocks 是tcp协议） firewall-cmd –permanent –add-port=5678/udp # 防火墙重新加载配置 firewall-cmd –reload [/bash]

五、安装客户端

安卓版本：（个人用 3.3.1 版本，因为好像不需要 google play 插件吧。并且内置kcp 插件）
https://github.com/shadowsocks/shadowsocks-android/releases
windows版本：
https://github.com/shadowsocks/shadowsocks-windows/releases
需要下载kcp客户端单独进行集成。（Windows-386 32位系统，Windows-amd64 64位系统）
https://github.com/xtaci/kcptun/releases
集成方法可以参考链接：
（总体思路是本地shadowsocks先连接本地的kcptun，然后kcptun 连接代理服务器的 kcptun，
接着代理服务器的kcptun 连接代理服务器的 shadowsocks）
https://blog.csdn.net/farawayzheng_necas/article/details/63255799

mac版本：（内置kcp插件）
https://github.com/shadowsocks/ShadowsocksX-NG
ios版本：
因为大陆已经下架，需要在其他地区搜索：Shadowrocket 等支持shadowsocks的应用软件。

之前3.几的安卓客户端，kcp与客户端是集成的，配置文件中，shadowsocks服务器端口就填shadowsocks端口。kcp配置：需要配置kcp端口，kcp参数:

--crypt aes-192 --key "hello"

到了安卓4.x版本，kcp是插件化了。无法启动kcp，可能是1、shadowsocks卸载重装2、手机管家的自启动的链式启动，允许kcptun。

如果要添加kcp插件，那么shadowsocks的端口就要填 kcp的端口，kcp的插件需要配置：[注意与3.x的配置不同，这里的密码，不再需要添加引号了]

key=hello;crypt=aes-192

六、安装obfs 混淆，这个只能与 kcp 二选一

服务器：centos

sudo yum install gcc autoconf libtool automake make zlib-devel openssl-devel asciidoc xmlto

git clone https://github.com/shadowsocks/simple-obfs.git
cd simple-obfs
git submodule update --init --recursive
./autogen.sh
./configure && make
sudo make install

### 会报错 缺少 libev，于是 猜测 shadowsocks libev版本有，
### 于是安装 shadowsocks libev 的依赖库
yum install gcc gettext autoconf libtool automake make pcre-devel asciidoc xmlto c-ares-devel libev-devel libsodium-devel mbedtls-devel -y

服务器配置：

因为是独立模式：vim /etc/systemd/system/obfs-server.service

[Unit]
Description=Simple-obfs
After=network.target

[Service]
Type=simple-obfs
User=nobody
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
ExecStart=/usr/local/bin/obfs-server -s 0.0.0.0 -p 443 --obfs tls -r 127.0.0.1:8866

[Install]
WantedBy=multi-user.target

监听 1024以下端口需要 root 用户权限，所以采用下面的方法：（应该是绑定服务吧）

setcap cap_net_bind_service=+ep /usr/local/bin/obfs-server

### 最后更新服务并启动：
sudo systemctl enable obfs-server
sudo systemctl daemon-reload
sudo systemctl restart obfs-server

特别注意：复制粘贴时的问题：【正常情况应该不会出现这个问题，然后我把vim后面的空格给删了，然后用打了一个空格，结果就好了，可以新建文件了】

[root@superguy ~]# vim /etc/systemd/system/obfs-server.service
-bash: vim /etc/systemd/system/obfs-server.service: No such file or directory

这里有编译好的软件可直接放到目标位置 obfs-local 和 obfs-server

有可能 443端口被占用了，导致绑定出错，可以换其他端口再重试。

# 查看端口被占用方法

lsof -i:443

客户端：因为是集成插件模式：

1、客户端连接服务器端口就是 443

2、指定插件为: obfs-local【有些地方填：simple-obfs】 ; 并配置插件参数，如下面的示例。

--plugin-opts "obfs=tls;obfs-host=www.bing.com"

备注：obfs 类型有 tls和http 主要是服务器和客户端类型要统一。

参考教材：

###Plugin mode with shadowsocks
###Add respective item to --plugin and --plugin-opts arg or as value of plugin and plugin_opts in JSON.

### On the client:

ss-local -c config.json --plugin obfs-local --plugin-opts "obfs=http;obfs-host=www.bing.com"
### On the server:

ss-server -c config.json --plugin obfs-server --plugin-opts "obfs=http"
### Standalone mode
### On the client:

obfs-local -s server_ip -p 8139 -l 1984 --obfs http --obfs-host www.bing.com
ss-local -c config.json -s 127.0.0.1 -p 1984 -l 1080
### On the server:

obfs-server -s server_ip -p 8139 --obfs http -r 127.0.0.1:8388
ss-server -c config.json -s 127.0.0.1 -p 8388

七、nginx与shadowsocks共用443端口伪装

1、shadowsocks 转发给 nginx

最近突发奇想把网站改为https，不可避免的遇到了与shadowsocks的443端口冲突问题（443端口不容易被检出）。废了好大劲才发现原来ss的simple-obfs已经带有非ss流量转发功能。

shadowsocks

# HTTP only with plugin mode
ss-server -c config.json --plugin obfs-server --plugin-opts "obfs=http;failover=example.com:80"

# Both HTTP and HTTPS with standalone mode
obfs-server -s server_ip -p 80 --obfs http -r 127.0.0.1:8388 --failover example.com:80
obfs-server -s server_ip -p 443 --obfs tls -r 127.0.0.1:8388 --failover example.com:443

# suppose you have an HTTP webserver (apache/nginx/whatever) listening on localhost:8080 and HTTPS on 8443
# (you probably shouldn't expose these ports)
obfs-server -s server_ip -p 80 --obfs http -r 127.0.0.1:8388 --failover 127.0.0.1:8080
obfs-server -s server_ip -p 443 --obfs tls -r 127.0.0.1:8388 --failover 127.0.0.1:8443

这样便将web流量转发到了8443端口

nginx

user xx xx;
worker_processes  1;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;

    #gzip  on;

    types_hash_max_size 1024;

    server {
        listen       80;
        server_name  localhost;
        return       301    https://$host$request_uri;  #redir to https
   #     #charset koi8-r;

   #     #access_log  logs/host.access.log  main;

        # redirect server error pages to the static page /50x.html
        #
        #error_page   500 502 503 504  /50x.html;
        #location = /50x.html {
        #    root   /usr/share/nginx/html;
        #}

        # proxy the PHP scripts to Apache listening on 127.0.0.1:80
        #
        #location ~ \.php$ {
        #    proxy_pass   http://127.0.0.1;
        #}

        # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
        #
        #location ~ \.php$ {
        #    root           html;
        #    fastcgi_pass   127.0.0.1:9000;
        #    fastcgi_index  index.php;
        #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
        #    include        fastcgi_params;
        #}

        # deny access to .htaccess files, if Apache's document root
        # concurs with nginx's one
        #
        #location ~ /\.ht {
        #    deny  all;
        #}
    }


    # another virtual host using mix of IP-, name-, and port-based configuration
    #
    #server {
    #    listen       8000;
    #    listen       somename:8080;
    #    server_name  somename  alias  another.alias;

    #    location / {
    #        root   html;
    #        index  index.html index.htm;
    #    }
    #}


    # HTTPS server
    #
    server {
        listen       8443 ssl http2;
        server_name  localhost;

        ssl_certificate      /etc/letsencrypt/live/cclin.net/fullchain.pem; #managed by Certbot
        ssl_certificate_key  /etc/letsencrypt/live/cclin.net/privkey.pem; #managed by Certbot
        include /etc/letsencrypt/options-ssl-nginx.conf;
        ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

        location / {
            uwsgi_pass 127.0.0.1:3031;
            include uwsgi_params;
        }

        }
    #   ssl_session_cache    shared:SSL:1m;
    #   ssl_session_timeout  5m;

    #    ssl_ciphers  HIGH:!aNULL:!MD5;
    #    ssl_prefer_server_ciphers  on;

    }
}

2、利用nginx转发到shadowsocks

下面的方法 可以 ，即访问网站，同时又 ss。 也就是说 simple-obfs 支持 http代理 转发
server {
    listen       80;
     server_name  localhost;
  # server_name  www.huaijiujia.com;
    #charset koi8-r;
    #access_log  /var/log/nginx/host.access.log  main;

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;

        if ($http_upgrade = "websocket") {
             proxy_pass http://127.0.0.1:8443;
        }
        proxy_http_version 1.1;
        proxy_set_header Upgrade "websocket";
        proxy_set_header Connection "upgrade";
    }

…..

}

下面的 方法 不行，只能访问 网路，但是无法 使用  ss。也就是说 simple-obfs 不支持 tls 代理 转发

server {
    listen   443  default_server;
    server_name  _;
    ssl_certificate     https_cert/huaijiujia_ca_chained.crt;
    ssl_certificate_key https_cert/huaijiujia_private.key;
    ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers         HIGH:!aNULL:!MD5;
  #  return 404;
   #   return 301 https://www.amazon.com;
      location = / {
        if ($http_upgrade = "websocket") {
             proxy_pass https://127.0.0.1:8443;
        }
        proxy_http_version 1.1;
        proxy_set_header Upgrade "websocket";
        proxy_set_header Connection "upgrade";
    }
   return 301 https://www.amazon.com;
}

因为，安卓手机的功能不完善，不完全支持 simpobfs功能，所以需要重新下个改进版的。点击下载： Simple-obfuscation-fix

补充：

如果 shadowsocks需要支持 aes-256-gcm加密的话：

For CentOS 7, if you need AEAD ciphers（支持aes-256-gcm加密）, you need install libsodium

yum install libsodium python34-pip
pip3 install  git+https://github.com/shadowsocks/shadowsocks.git@master

Category: 科学上网

科学上网-零基础搭建个人专线shadowsocks