NaiveProxy安装配置

-

本教程测试环境：ubuntu 22.04 X64

NaiveProxy，官网介绍：NaïveProxy使用Chrome的网络堆栈来伪装流量，具有很强的抗审查能力和低可探测性。重用Chrome的堆栈也确保了性能和安全方面的最佳实践。

一、安装Go

apt install golang

二、安装 NaiveProxy 服务端（编译Caddy）

go install github.com/caddyserver/xcaddy/cmd/xcaddy@latest
~/go/bin/xcaddy build --with github.com/caddyserver/forwardproxy@caddy2=github.com/klzgrad/forwardproxy@naive

编译译成功后，可以看到当前目录中存在一个名为caddy的文件。也可以从这里直接下载。

wget https://github.com/klzgrad/forwardproxy/releases/download/v2.7.6-naive/caddy-forwardproxy-naive.tar.xz
tar xvf caddy-forwardproxy-naive.tar.xz

三、配置Caddy

1、官方配置(适合于全新VPS，并确保防火墙放行80，443端口)

在上述编译的caddy文件同目录下新建Caddyfile文件

nano Caddyfile

输入以下内容，将域名，邮件地址，用户名及密码修改成自己的

{
  order forward_proxy before file_server
}
:443, mydomain.com {
  tls me@youreamil.com
  forward_proxy {
    basic_auth user password
    hide_ip
    hide_via
    probe_resistance
  }
  file_server {
    root /var/www/html
  }
}

运行caddy,它将自动申请证书

./caddy run

此命令在前台运行，输出日志，便于排查。若运行无误，则使用以下命令后台运行

./caddy start

2、自定义配置。官方是极简配置，若想用自己申请的证书（参考这里第5点），将Caddyfile文件修改以下

{
	order forward_proxy before route
	admin off
        auto_https off
	log { 
		output file /var/log/caddy/access.log
		level ERROR
	}
      
}

:443 { 
	tls /root/cert/cert.crt /root/cert/private.key {
		ciphers TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
		alpn h2 http/1.1
	}

	
	forward_proxy {
		basic_auth user  password
		hide_ip
		hide_via
		probe_resistance
	}

	@host {
		host mydomain.com
	}
	route @host {
		header {
			Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" 
		}
		file_server {
			root  /usr/share/nginx/html
		}
	}
}

若想自己申请证书，还想使用443以外的端口如8443，使用以下Caddyfile文件(测试无误，删除了log日志)（实际使用需删除注释）

{
	order forward_proxy before route
	admin off
        auto_https off
        https_port 8443   
}

:8443  {  
	tls /root/cert/cert.crt /root/cert/private.key {  #证书地址，修改为自己的
		ciphers TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
		alpn h2 http/1.1
	}

	
	forward_proxy {
		basic_auth user  password  #用户与密码，修改为自己的
		hide_ip
		hide_via
		probe_resistance
	}

	@host {
		host mydomain.com  #限定域名访问（禁止以ip方式访问网站），修改为自己的域名。
	}
	route @host {
		header {
			Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"  #启用HSTS
		}
		file_server {
	           root  /usr/share/nginx/html #修改为自己的WEB文件路径,也可用伪装网站，见下第四点
		} 
	}
}

3、也可以使用json文件，二者效果一样。编辑config.json文件

{
  "admin": {
    "disabled": true
  },
  "logging": {
    "sink": {
      "writer": {
        "output": "discard"
      }
    },
    "logs": {
      "default": {
        "writer": {
          "output": "discard"
        }
      }
    }
  },
  "apps": {
    "http": {
      "servers": {
        "srv0": {
          "listen": [
            ":8443"
          ],
          "routes": [
            {
              "handle": [
                {
                  "handler": "subroute",
                  "routes": [
                    {
                      "handle": [
                        {
                          "auth_pass_deprecated": "password",
                          "auth_user_deprecated": "user",
                          "handler": "forward_proxy",
                          "hide_ip": true,
                          "hide_via": true,
                          "probe_resistance": {}
                        }
                      ]
                    },
                    {
                      "match": [
                        {
                          "host": [
                            "mydomain.com"
                          ]
                        }
                      ],
                      "handle": [
                        {
                          "handler": "file_server",
                          "root": "/usr/share/nginx/html",
                          "index_names": [
                            "index.html"
                          ]
                        }
                      ],
                      "terminal": true
                    }
                  ]
                }
              ]
            }
          ],
        
          "tls_connection_policies": [
            {
              "match": {
                "sni": [
                  "mydomain.com"
                ]
              }
            }
          ],
          "automatic_https": {
            "disable": true
          }
        }
      }
    },
    "tls": {
      "certificates": {
        "load_files": [
          {
            "certificate": "/root/cert/cert.crt",
            "key": "/root/cert/private.key"
          }
        ]
      }
    }
  }
}

4、配置开机启动caddy

mkdir -p /etc/caddy

mv caddy /usr/bin/caddy

mv Caddyfile /etc/caddy/Caddyfile

nano /etc/systemd/system/caddy.service

输入以下内容

[Unit]
Description=Caddy
Documentation=https://caddyserver.com/docs/
After=network.target network-online.target
Requires=network-online.target

[Service]
Type=notify
ExecStart=/usr/bin/caddy run --environ --config /etc/caddy/Caddyfile
ExecReload=/usr/bin/caddy reload --config /etc/caddy/Caddyfile
TimeoutStopSec=5s
LimitNOFILE=1048576
LimitNPROC=512
PrivateTmp=true
ProtectSystem=full
AmbientCapabilities=CAP_NET_BIND_SERVICE

[Install]
WantedBy=multi-user.target

systemctl enable --now caddy

以上配置，在全新的VPS上ubuntu 22.04全部测试通过。

四、若你的VPS已经安装了v2ray,博客网站等，并且自己已经申请了证书，就象此博文一样，naiveproxy也可以进行配置，与之并存于同一个VPS。

  假设你的VPS上已经申请了mydomain.com及*.mydomain.com泛域名证书，且证书地址在 /root/cert/ 文件夹内。那么需再次运行acme.sh申请一个域名如nas.mydomain.com的证书，专门用于naiveproxy，并将其安装到一个不同的文件夹内，如 /etc/caddy

acme.sh --issue --dns dns_cf -d nas.mydomain.com  -k ec-256
acme.sh --installcert -d nas.mydomain.com --key-file /etc/caddy/private.key --fullchain-file /etc/caddy/cert.crt --ecc

相应地，修改Caddyfile文件证书地址（测试无误，删除掉log日志）

{
	order forward_proxy before route
	admin off
        auto_https off
        https_port 8443   
}

:8443  {  
	tls /etc/caddy/cert.crt /etc/caddy/private.key {  
		ciphers TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
		alpn h2 http/1.1
	}

	
	forward_proxy {
		basic_auth user  password  
		hide_ip
		hide_via
		probe_resistance
	}

	@host {
		host nas.mydomain.com  
	}
	route @host {
		header {
			Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"  
		}
	reverse_proxy  https://www.mydomain.com  { 
              header_up  Host  {upstream_hostport}
              header_up  X-Forwarded-Host  {host}
         }
         
	}
}

其他的无需修改。

五、客户端配置

1、NaïveProxy网站下载 NaiveProxy 对应的客户端，修改config.json配置文件。设置开机运行参考这里 三.1点。

{
  "listen": "socks://0.0.0.0:1080",
  "proxy": "https://user:password@mydomain.com:port"
}

2、nekoray,基于 Qt 的跨平台代理配置管理器 (后端 v2ray / sing-box),目前支持 Windows / Linux 开箱即用。支持的协议很多，如vmess、vless、tuic、naiveproxy、trojan等。

六、与v2ray,xray,torjan,博客网站共存于同一个VPS，并共用443端口

若已经按上述步骤安装了caddy，且想按此博文共用443端口，则经过简单的设置即可实现上述目标。

Caddyfile文件配置（必须为nas.mydomain.com单独申请证书，并安装到与nginx配置文件中所用证书地址不同的文件夹里）参考上述第四点。

{
	order forward_proxy before route
	admin off
        auto_https off
        https_port 10248   
}

:10248  {  
	tls /etc/caddy/cert.crt /etc/caddy/private.key {  
		ciphers TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
		alpn h2 http/1.1
	}

	
	forward_proxy {
		basic_auth user  password  
		hide_ip
		hide_via
		probe_resistance
	}

	@host {
		host nas.mydomain.com  
	}
	route @host {
		header {
			Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"  
		}
	reverse_proxy  https://mydomain.com  { 
              header_up  Host  {upstream_hostport}
              header_up  X-Forwarded-Host  {host}
         }
         
	}
}

nginx.conf文件配置

以下配置中，mydomain.com用于配置V2ray,同时也指向FreshRSS;

bbs.mydomain.com 用于配置Trojan-Go;free.mydomain.com 用于配置Xray;

api.mydomain.com 用于配置全文API;

www.mydomain.com 用于配置rsshub;

hub.mydomain.com 用于配置rssbridge。

FreshRSS，RSS-Bridge，Readability API的配置参考这里，rsshub的配置参考这里。

#user www-data;
worker_processes 1;
error_log  logs/error.log;
pid  logs/nginx.pid;
events {
    worker_connections  2048;
}

 stream {
    # 这里就是 SNI 识别，将域名映射成一个配置名
    map $ssl_preread_server_name $backend_name {
        www.mydomain.com web;
        mydomain.com vmess;
        bbs.mydomain.com trojan;
        free.mydomain.com xtls;
        api.mydomain.com api;
        hub.mydomain.com hub;
        nas.mydomain.com caddy;
    # 域名都不匹配情况下的默认值
        default web;
    }

    # web，配置转发详情,端口与下面server字段中www.mydomain.com监听端口一致
    upstream web {
        server 127.0.0.1:10240;
    }

    # caddy，配置转发详情,端口与Caddyfile配置文件中的端口一致
    upstream caddy {
        server 127.0.0.1:10248;
    }

    # vmess，配置转发详情，端口与下面server字段中mydomain.com监听端口一致
    upstream vmess {
        server 127.0.0.1:10249;
    }
    # trojan，配置转发详情，与trojan配置文件中的端口一致
    upstream trojan {
        server 127.0.0.1:10241;
    }
    # xtls，配置转发详情，与xray配置文件中的端口一致
   upstream xtls {
        server 127.0.0.1:10247;
    }
  # api，配置转发详情
  upstream api {
        server 127.0.0.1:10246;
    }
  # hub，配置转发详情
  upstream  hub {
        server 127.0.0.1:10245;
    }
    # 监听 443 并开启 ssl_preread
    server {
        listen 443 reuseport;
        # listen [::]:443 reuseport;
        proxy_pass  $backend_name;
        ssl_preread on;
    }
}

 http {
    server_tokens off;
    include       mime.types;
    default_type  application/octet-stream;
    access_log off;
    sendfile        on;
    tcp_nopush     on;
    tcp_nodelay on;
    keepalive_timeout  65;
    gzip  on;
    client_max_body_size 10m;
    client_body_buffer_size 128k;

 server {
        listen       80 default_server;
        server_name  www.mydomain.com;
        root         /usr/share/nginx/html;

        return 301 https://$server_name$request_uri;
      
        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
}

 server {
  listen  10240 ssl;
  server_name           www.mydomain.com;

  ssl_certificate      /root/cert/cert.crt;
  ssl_certificate_key  /root/cert/private.key; 

  ssl_protocols         TLSv1.2 TLSv1.3;
  ssl_ciphers           HIGH:!aNULL:!MD5;

location / {
       proxy_pass http://127.0.0.1:1200;
    }
} 

 server {
  listen  10249 ssl;
  server_name           mydomain.com;

  ssl_certificate      /root/cert/cert.crt;
  ssl_certificate_key  /root/cert/private.key; 

  ssl_protocols         TLSv1.2 TLSv1.3;
  ssl_ciphers           HIGH:!aNULL:!MD5;

 location /yourwebsocketpath { 
        proxy_redirect off;
        proxy_pass http://127.0.0.1:10000;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $http_host;
        }
        
 location / {
       proxy_pass http://127.0.0.1:8080;
    }
} 

 server {
        listen   10246 ssl;
        server_name  api.mydomain.com;

        ssl_certificate      /root/cert/cert.crt;
        ssl_certificate_key  /root/cert/private.key;

        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;
        
        location / {
          proxy_pass http://127.0.0.1:3000;
           }
 }

 server {
        listen   10245 ssl;
        server_name  hub.mydomain.com;
     
        ssl_certificate      /root/cert/cert.crt;
        ssl_certificate_key  /root/cert/private.key;
     
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;
        
        location / {   
          proxy_pass http://127.0.0.1:4000;
           }
 }
}
测试配置文件是否正确
/usr/local/nginx/sbin/nginx -t -c  /usr/local/nginx/conf/nginx.conf
重新加载nginx配置文件使之生效（无需重启服务器）
/usr/local/nginx/sbin/nginx -s reload

说明：防火墙放行相关的端口，如443等。

sudo ufw allow 443

评论

发表评论

热门博文

Xray安装配置VLESS-XTLS-Vision及VLESS-XTLS-uTLS-REALITY

-
最后更新：2023-06-05 VMESS-TLS/ VMESS-TLS-WS 安装配置教程 参考这里 一、安装，参考 官方指南 安装xray bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install 查看运行状态 systemctl status xray 设置开机运行并启动xray systemctl enable --now xray 若出现权限之类的报错,可能需要编辑文件 vi  /etc/systemd/system/xray.service ,将 User=nobody 修改为User=root  。嫌麻烦的话，直接运行以下命令安装 sudo bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install -u root 升级的话也只需运行安装脚本。 二、VLESS-XTLS-Vision配置（ 需自备域名 ） 申请证书， 参考这里  1.4点或 这里 第5点 1、服务器端配置 编辑服务器端配置文件 vi /usr/local/etc/xray/config.json ， 实际使用中需删除注释。 { "log": { "loglevel": "warning" }, "routing": { "domainStrategy": "AsIs", "rules": [ { "type": "field", "ip": [ "geoip:private" ], "outboun...
阅读全文 »

V2Ray安装配置VMESS-TLS及VMESS-TLS-WS

-
最后更新：2023-06-09 VLESS-XTLS-Vision及VLESS-XTLS-uTLS-REALITY安装配置教程 参考这里 我的VPS ：Ubuntu 2022 x64  一、 VMESS-TLS 安装配置 1.1. 时间校准 对于 V2Ray，它的验证方式包含时间，就算是配置没有任何问题，如果时间不正确，也无法连接 V2Ray 服务器的，服务器会认为你这是不合法的请求。所以系统时间一定要正确，只要保证时间误差在 一分钟 之内就没问题。 1.2. 服务器端安装 下载安装脚本 curl -O https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh 执行安装： bash install-release.sh 如果安装不成功脚本会有红色的提示语句，这个时候你应当按照提示除错，除错后再重新执行一遍脚本安装 V2Ray。 设置开机自启动 并运行V2Ray: systemctl enable --now v2ray 停止运行 V2Ray: systemctl stop v2ray 重启 V2Ray: systemctl restart v2ray 在首次安装完成之后，V2Ray 不会自动启动，需要手动运行上述启动命令。而在已经运行 V2Ray 的 VPS 上再次执行安装脚本，安装脚本会自动停止 V2Ray 进程，升级 V2Ray 程序，然后自动运行 V2Ray。在升级过程中，配置文件不会被修改。 更新 V2Ray 的方法是 再次执行安装脚本 ！ 1.3.注册一个域名 如果已经注册有域名了可以跳过。 域名有免费的有付费的，总体来说付费的会优于免费的。 1.4. 证书生成 使用 TLS 需要证书，证书也有免费付费的，同样的这里使用免费证书，证书认证机构为 Let's Encrypt。 证书的生成有许多方法，这里使用的是比较简单的方法：使用  acme.sh  脚本生成，本部分说明部分内容参考于 此处 。 证书有两种，一种是 ECC 证书（内置公钥是 ECDSA 公钥），一种是 RSA 证书（内置 RSA 公钥）。简单来说，同等长度 ECC 比 RSA 更安全,...
阅读全文 »

在VPS上轻松搭建L2TP/IPSec图文教程(通吃各种架构的VPS，包括KVM，OpenVZ等)

-
最后更新：2019-11-25         秋水逸冰的博客 提供了一个 L2TP/IPSec一键安装脚本，大大方便了新手安装使用。但该脚本有个缺点，不支持OpenVZ架构的VPS。       本博客提供一种方法，可以通用于KVM，OpenVZ各种架构的VPS，一劳永逸解决 L2TP/IPSec的在各种VPS上的安装问题。博主使用半年多来，运行稳定，好像也没有受到GFW的特殊关照。      本博客没有什么特别的地方，就是利用SoftEther VPN支持 L2TP/IPsec 协议这一特点，在VPS安装L2TP/IPsec。      SoftEther VPN 是日本筑波大学的一个研究项目，它包括服务器端、客户端、服务器端管理工具等数个软件，支持 SSL-VPN (SoftEther VPN) 协议、 L2TP/IPsec 协议、 OpenVPN 协议和 Microsoft SSTP 协议，Windows、Linux、Android和IOS等操作系统都可以连接到SoftEther VPN服务器。      安装方便：SoftEther VPN的Linux服务器端是一键安装的，甚至比其Windows安装包的一路“Next”还要简单。      管理方便：配置服务器，你不必为不会使用Linux命令行或者手动修改配置文件担心，你只需要下载一个SoftEther VPN的管理工具，输入服务器端的IP地址，然后就可以通过Windows的图形界面进行管理了。      SoftEther VPN默认支持IPv6网络，所以事先你无需做任何配置，只要保证服务器支持IPv6网络即可。 SoftEther VPN的详细配置教程： 一、Linux端服务器端配置 1.操作系统及软件要求 SoftEther VPN Server对当前流行的各大linux发行版本都能很好支持 2.下载SoftEther VPN Server 以CPU是 Intel x64/AMD64为例，其他型号请到官网下载对应的版本，http:...
阅读全文 »