V2ray on Liangweidong's blog

企业 VPN 与代理自托管：OpenVPN 与 V2Ray 部署实战

Wed, 15 Dec 2021 00:00:00 +0800

自建 VPN / 代理是企业内网穿透、跨地域开发、远程办公的高频需求。本篇把两条主流路线整理清楚：基于 kylemanna/openvpn 的 OpenVPN 方案（10 分钟跑通），以及基于 v2fly/v2fly-core 的 V2Ray 方案（更现代、抗检测更强）。

说明：本文仅讨论技术原理与自托管方法。部署代理服务请遵守所在国家/地区法律法规——中国大陆、俄罗斯、伊朗、北朝、土库曼斯坦、白俄罗斯、伊拉克、缅甸等地区对代理工具有明确限制，部署前请评估合规风险。

阅读对象：需要为团队搭建远程办公网络、跨地域内网访问的运维 / 后端工程师 覆盖范围：kylemanna/openvpn 完整部署流程 + 多用户共享配置 + V2Ray Docker 部署 + 配置文件详解 + 客户端使用

一、OpenVPN vs V2Ray 选型

维度	OpenVPN	V2Ray
协议	SSL/TLS（基于 OpenSSL）	自研 VMess / VLESS（可套 TLS）
抗检测	较易被 DPI 识别	支持 mKCP / WebSocket / HTTP/2 伪装
速度	快（TLS 直连）	略慢（多一层封装）
配置复杂度	简单（脚本化）	中等（要写 JSON）
客户端支持	全平台（OpenVPN Connect）	全平台（v2rayN / v2rayNG / Qv2ray）
企业内网适用	✅ 首选	适合特殊场景

默认推荐 OpenVPN——稳定、客户端完善、企业内网审计方便。V2Ray 适合需要"看起来像正常 HTTPS"的场景。

二、OpenVPN 部署（kylemanna/openvpn）

2.1 一键启动

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# 1. 拉镜像
docker pull kylemanna/openvpn

# 2. 创建配置卷
OVPN_DATA="ovpn-data"
docker volume create --name $OVPN_DATA

# 3. 生成服务端配置（替换为你的公网 IP）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn \
 ovpn_genconfig -u udp://vpn.example.com

# 4. 初始化 PKI（CA 证书）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 ovpn_initpki

ovpn_initpki 交互式提示：

1
2
3
4
5


Confirm removal: yes # 输入 yes
Enter PEM pass phrase: # 输入 CA 私钥密码（如 {{REDACTED}}）
Verifying - Enter PEM pass phrase: # 重新输入
Common Name (eg: your user, host, or server name) [Easy-RSA CA]: # 直接回车
Enter pass phrase for /etc/openvpn/pki/private/ca.key: # 输入刚才的密码

2.2 启动 OpenVPN 服务

1
2
3
4
5


docker run -d --name openvpn --restart=always \
 -v $OVPN_DATA:/etc/openvpn \
 -p 1194:1194/udp \
 --cap-add=NET_ADMIN \
 kylemanna/openvpn

--cap-add=NET_ADMIN 必须加——OpenVPN 需要修改网络接口，Docker 默认不授予这个能力。

2.3 签发客户端证书

1
2
3
4


# 给用户 alice 签证书（nopass 表示不加密私钥）
docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 easyrsa build-client-full alice nopass

nopass 适合脚本化场景——客户端不用每次输密码。生产推荐每个用户独立密码：

1
2
3


docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn \
 easyrsa build-client-full alice # 去掉 nopass，会交互式要求密码

2.4 导出客户端 .ovpn 文件

1
2
3


docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn \
 ovpn_getclient alice > alice.ovpn

把 alice.ovpn 拷贝给用户，用户用 OpenVPN Connect 导入即可连接。

客户端下载：

Windows: https://openvpn.net/client/
macOS: Tunnelblick
iOS/Android: App Store / Google Play 搜 “OpenVPN Connect”

2.5 多人共用：开启 duplicate-cn

默认配置每个证书只能 1 个客户端在线。多人共用要开 duplicate-cn：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 拷贝配置到本地
docker cp openvpn:/etc/openvpn/openvpn.conf ./

# 2. 在最后一行加
echo "duplicate-cn" >> openvpn.conf

# 3. 拷回去
docker cp ./openvpn.conf openvpn:/etc/openvpn/

# 4. 重启
docker restart openvpn

2.6 增删用户脚本

加用户（add_user.sh）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


#!/bin/bash
OVPN_DATA="ovpn-data"
read -p "请输入用户名: " NAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa build-client-full $NAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm \
 kylemanna/openvpn ovpn_getclient $NAME > "/root/${NAME}.ovpn"

docker restart openvpn
echo "客户端配置已生成: /root/${NAME}.ovpn"

删用户（del_user.sh）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


#!/bin/bash
OVPN_DATA="ovpn-data"
read -p "请输入要删除的用户名: " DNAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa revoke $DNAME

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn easyrsa gen-crl

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/reqs/${DNAME}.req

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/private/${DNAME}.key

docker run -v $OVPN_DATA:/etc/openvpn --log-driver=none --rm -it \
 kylemanna/openvpn rm -f /etc/openvpn/pki/issued/${DNAME}.crt

docker restart openvpn

2.7 客户端使用

Linux 命令行：

1
2


sudo apt install openvpn
openvpn --config alice.ovpn

看到 Initialization Sequence Completed 就连接成功了。

三、V2Ray 部署（v2fly/v2fly-core）

3.1 服务端部署

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


# 1. 拉镜像
docker pull v2fly/v2fly-core:v4.45.2

# 2. 准备配置
mkdir -p /home/v2ray
cat > /home/v2ray/config.json <<'EOF'
{
 "inbounds": [{
 "port": 443,
 "protocol": "vless",
 "settings": {
 "clients": [{
 "id": "00000000-0000-0000-0000-000000000000",
 "level": 0
 }],
 "decryption": "none"
 },
 "streamSettings": {
 "network": "tcp",
 "security": "none"
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "tag": "direct"
 }]
}
EOF

# 3. 启动（用 host 网络）
docker run -d --name v2ray --network host \
 -v /home/v2ray/config.json:/etc/v2ray/config.json \
 v2fly/v2fly-core:v4.45.2

config.json 是 V2Ray 的核心——inbounds 定义接入协议，outbounds 定义出口规则。上面是最简配置：TCP + VLESS + 无加密——生产应该加 TLS。

3.2 完整 VLESS + WebSocket + TLS 配置

最常见的"看起来像正常 HTTPS"配置：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30


{
 "inbounds": [{
 "port": 443,
 "protocol": "vless",
 "settings": {
 "clients": [{
 "id": "{{UUID}}",
 "level": 0
 }],
 "decryption": "none"
 },
 "streamSettings": {
 "network": "ws",
 "wsSettings": {
 "path": "/vless"
 },
 "security": "tls",
 "tlsSettings": {
 "certificates": [{
 "certificateFile": "/etc/v2ray/tls/fullchain.pem",
 "keyFile": "/etc/v2ray/tls/privkey.pem"
 }]
 }
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "tag": "direct"
 }]
}

关键点：

{{UUID}} 用 cat /proc/sys/kernel/random/uuid 生成
/vless 路径和 CDN 转发配合使用，让流量看起来像 WebSocket 网站
TLS 证书用 Let’s Encrypt 免费签发

3.3 客户端配置（v2rayN / v2rayNG）

Windows 客户端 v2rayN：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


{
 "v": "2",
 "ps": "my-v2ray-server",
 "add": "vpn.example.com",
 "port": "443",
 "id": "{{UUID}}",
 "aid": "0",
 "net": "ws",
 "type": "none",
 "host": "",
 "path": "/vless",
 "tls": "tls"
}

Android 客户端 v2rayNG：扫描 v2rayN 导出的二维码即可。

macOS 客户端 Qv2ray 或 V2RayXS。

四、容器内启用代理

部署好代理后，业务容器怎么用？在 Docker 中给容器设代理：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


# 1. 创建代理容器专用的 network
docker network create \
 --driver bridge \
 --subnet 10.10.0.0/24 \
 proxy-net

# 2. V2Ray 容器加入
docker run -d --name v2ray \
 --network proxy-net \
 --ip 10.10.0.2 \
 v2fly/v2fly-core

# 3. 业务容器也加入，配置走代理
docker run -d --name myapp \
 --network proxy-net \
 -e http_proxy=http://10.10.0.2:10809 \
 -e https_proxy=http://10.10.0.2:10809 \
 myapp:latest

Linux 全局代理：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 临时
export ALL_PROXY=socks5://127.0.0.1:1080
export http_proxy="socks5://127.0.0.1:1080"
export https_proxy="socks5://127.0.0.1:1080"

# 永久（写入 /etc/profile）
cat >> /etc/profile <<'EOF'
export ALL_PROXY=socks5://127.0.0.1:1080
export http_proxy="socks5://127.0.0.1:1080"
export https_proxy="socks5://127.0.0.1:1080"
EOF
source /etc/profile

五、安全加固

5.1 OpenVPN 加固清单

不要开 duplicate-cn 在生产——审计上每个用户独立证书更安全
关闭 comp-lzo：VORACLE 攻击利用 LZO 压缩解密的侧信道
强制 TLS 1.2+：

1
2
3
4


# openvpn.conf 添加
tls-version-min 1.2
auth SHA256
cipher AES-256-GCM

客户端证书有效期 1 年：easyrsa 默认 825 天，生产改成 365 天

5.2 V2Ray 加固清单

必须用 UUID 不用固定密码：cat /proc/sys/kernel/random/uuid
alterId 必须 0：V2Ray 5.x 已废弃 alterId，旧配置 alterId > 0 有被识别风险
开启 fallback：Nginx 同机部署，让 443 同时服务正常网站和 V2Ray

1
2
3
4
5
6
7
8


"streamSettings": {
 "network": "tcp",
 "security": "tls",
 "tlsSettings": {
 "alpn": ["h2", "http/1.1"],
 "certificates": [...]
 }
}

六、典型坑位

6.1 OpenVPN 连接后无法访问内网

症状：VPN 连上了，但 ping 不通内网服务器。

原因：服务端没开启 IP 转发或 NAT。

修复：

1
2
3
4


# 在 openvpn.conf 添加
push "route 10.0.0.0 255.255.255.0"
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"

并确保宿主机：

1

sysctl -w net.ipv4.ip_forward=1

6.2 V2Ray 启动报 “x509: certificate signed by unknown authority”

症状：V2Ray 启动失败，TLS 握手错误。

修复：

证书路径写对——/etc/v2ray/tls/fullchain.pem（不是 cert.pem）
fullchain.pem 是证书链（包含中间 CA），cert.pem 只有叶子证书
用 openssl x509 -in fullchain.pem -text -noout 检查是否完整

6.3 客户端频繁断连

症状：V2Ray 用 30 分钟断一次。

修复：

开启 mux（多路复用）：

1
2
3
4
5
6


"streamSettings": {
 "mux": {
 "enabled": true,
 "concurrency": 8
 }
}

或换 WebSocket + CDN（Cloudflare 免费层支持）

七、监控与日志

OpenVPN 状态查询：

1

docker exec openvpn tail -f /var/log/openvpn/status.log

输出：

1
2
3
4
5
6
7


OpenVPN CLIENT LIST
Updated,Fri May 21 05:02:01 2021
Common Name,Real Address,Bytes Received,Bytes Sent,Connected Since
alice,1.2.3.4:54321,12345,67890,Fri May 21 04:30:00 2021
bob,5.6.7.8:12345,50000,40000,Fri May 21 03:00:00 2021
ROUTING TABLE
...

V2Ray 接入 Prometheus：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


"stats": {},
"policy": {
 "levels": {
 "0": {
 "statsUserUplink": true,
 "statsUserDownlink": true
 }
 },
"api": {
 "tag": "api",
 "services": ["StatsService"]
},
"routing": {
 "rules": [{
 "inboundTag": ["api"],
 "outboundTag": "api",
 "type": "field"
 }]
}

然后用 v2ray-exporter 抓取 metrics。

八、卸载清理

1
2
3
4
5
6
7
8


# OpenVPN
docker rm -f openvpn
docker volume rm ovpn-data
rm -rf /home/docker/openvpn

# V2Ray
docker rm -f v2ray
rm -rf /home/v2ray

九、选型决策树

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


需要稳定、易审计、客户端完善？
└─ 是 → OpenVPN（kylemanna/openvpn）

需要抗检测、套 CDN、跨云？
└─ 是 → V2Ray（v2fly/v2fly-core）

需要浏览器插件直连（无需客户端）？
└─ 是 → Trojan / Shadowsocks（本文不展开）

需要 L3 VPN（路由全走 VPN）？
└─ 是 → WireGuard（性能最强，但配置稍复杂）

2024+ 视角补充

本文写于 2021-12，2024-2026 期间 VPN / 代理生态关键演进：

WireGuard 1.0+（2020 合并入 Linux 内核，2024+ 全面成熟）：比 OpenVPN 快 3-4x、配置极简、跨平台——2024+ 几乎所有自建 VPN 场景的首选
OpenVPN 2.6+（2023-2024）：WireGuard 模式化（不再强推 OpenVPN 模式）、DCO 内核加速、性能与稳定性提升
Tailscale / Headscale 1.50+：基于 WireGuard 的零配置 VPN——Headscale 是开源自托管版本，异地组网神器，2024-2026 替代 OpenVPN 的主流选择
NetBird 0.x（2023-2025）：Headscale 的同类竞品，自托管 + Web UI 体验更好
OpenZiti 1.x（2023-2024）：零信任网络（Zero Trust） 开源实现，比传统 VPN 更安全
V2Ray / Xray 1.8+（抗检测代理）：Vision / REALITY 等新协议——抗 DPI 能力 2024+ 大幅提升
sing-box 1.8+（2023-2025）：统一 SOCKS5 / HTTP / TUIC / Hysteria2 / ShadowTLS——V2Ray 体系更现代的替代
Cloudflare WARP + Zero Trust（2024+）：企业级零信任——小团队不折腾 VPN 的最佳选择

实战建议（2025-2026 视角）：

企业内网 VPN → WireGuard（首选）或 Headscale / NetBird（异地多机房）
远程办公 / 零信任 → Cloudflare Zero Trust / Tailscale——新项目首选
跨境 / 抗检测 → sing-box + Hysteria2（V2Ray 体系已被淘汰）
传统 OpenVPN 集群 → 老场景保留，但新项目不要选

合规提醒（2026 视角）：本文中 V2Ray 部分仍受合规限制（已在原文标注）。2024+ 主流趋势是"零信任 + 内网 SaaS 化"——VPN 需求被 Cloudflare Access / Okta / Azure AD Application Proxy 等方案部分替代。

下一步

想看 站点与博客自托管（WordPress / WVP 视频监控）→ 站点与博客自托管
想看 Watchtower 容器自动更新（守护所有容器的升级）→ Watchtower 容器自动更新
想看 Vaultwarden 密码管理（Bitwarden 自托管）→ Vaultwarden 密码管理

代理工具技术原理与海外业务场景：V2Ray / v2fly 内核 + Docker 部署 + 系统代理配置

Tue, 15 Sep 2020 00:00:00 +0800

合规提示（必读）：本文仅讨论 V2Ray 等网络代理工具的技术原理与海外业务部署，这些是公开的网络技术。部署、使用代理服务务必遵守所在国家/地区法律法规：

中国大陆境内严格遵循《计算机信息网络国际联网管理暂行规定》《网络安全法》，未经批准擅自建立、使用其他信道进行国际联网属违法行为。

合法用途：跨境企业内部网络互通、海外业务数据回传、学术研究、协议分析、网络安全演练、海外差旅访问公司资源。

本文不评价、不推荐任何"绕过监管"的服务，不提供节点订阅、节点分享、节点购买链接。

V2Ray（Project V）是一个"网络代理工具平台"，支持 VMess / VLESS / Trojan / Shadowsocks 等多种协议，跨平台、性能好、对抗检测能力优于早期 SS/SSR。V2Ray 核心原项目（V2Ray Core）在 2020 年左右原作者退出社区，后续由 v2fly 社区继续维护 fork（v2fly/v2ray-core），版本号沿用 v4.x。这篇文章基于 v2fly 内核 + Docker，讲清楚服务端/客户端的部署、配置、系统代理接入，仅供企业内网 / 海外业务 / 学术研究场景参考。

阅读对象：需要为企业跨境网络、海外业务、学术研究自建代理服务的同学
覆盖范围：v2fly/v2ray-core v4.45.2 容器化部署、config.json 客户端配置、系统代理环境变量

一、背景与版本选择

项目	状态	维护方
`v2ray/v2ray-core`	已停止	原 V2Ray 团队（2020 退出）
`v2fly/v2ray-core`	活跃	v2fly 社区 fork
`xtls/Xray-core`	活跃	XTLS 项目（VLESS + XTLS 性能更强）
`shadowsocks/shadowsocks-libev`	活跃	经典 SS，仍在维护
`trojan-gfw/trojan`	活跃	伪装成 HTTPS

本文选型：用 v2fly/v2ray-core，跨平台、社区稳定、文档齐全。如果追求极致性能/抗检测，可考虑 Xray-core（VLESS + XTLS 组合），但配置复杂度更高。

再次提醒：本节技术细节用于海外业务、跨境企业内网、学术研究、协议原理学习等合法场景。请勿用于违反所在国法律法规的用途。

二、平台要求

V2Ray 跨 Linux 主流发行版：

Linux 内核 ≥ 2.6.23（Debian 7+、Ubuntu 12.04+、CentOS 7+、Arch 都 OK）
查看内核：uname -r，比如 3.10.0-1127.13.1.el7.x86_64

架构支持：x86 / amd64 / arm / arm64 / mips64 / mips / riscv64。

三、容器化部署

3.1 拉镜像

1

docker pull v2fly/v2fly-core:v4.45.2

离线包（无 Docker 环境的兜底）：从 https://github.com/v2fly/v2ray-core/releases 下载 v2ray-linux-64.zip，解压即可运行。

3.2 配置文件

V2Ray 配置文件默认在 /etc/v2ray/config.json，主要字段：

服务器监听端口
协议（VMess / VLESS / Shadowsocks / Trojan / SOCKS）
客户端 UUID（VMess）/ 密码（SS/Trojan）
传输层（TCP / WebSocket / HTTP/2 / gRPC / QUIC）
TLS（证书 + 域名）

完整 config.json 示例（VMess + WebSocket + TLS）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


{
 "log": {
 "loglevel": "warning"
 },
 "inbounds": [{
 "port": 443,
 "protocol": "vmess",
 "settings": {
 "clients": [
 {
 "id": "{{UUID}}",
 "alterId": 0
 }
 ]
 },
 "streamSettings": {
 "network": "ws",
 "wsSettings": {
 "path": "/{{WS_PATH}}"
 },
 "security": "tls",
 "tlsSettings": {
 "certificates": [
 {
 "certificateFile": "/etc/v2ray/tls/fullchain.pem",
 "keyFile": "/etc/v2ray/tls/privkey.pem"
 }
 ]
 }
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "tag": "direct"
 }]
}

UUID 生成：cat /proc/sys/kernel/random/uuid 或用 v2ctl 工具生成。 alterId 0：VMess AEAD 模式，老版本 alterId > 0 已被废弃。 WebSocket path：必须以 / 开头，Nginx 反代时匹配同一路径。

3.3 启动

1
2
3
4
5
6


# 把 config.json 挂进去
docker run -d \
 --name v2ray \
 --network host \
 -v /home/v2ray/config.json:/etc/v2ray/config.json \
 v2fly/v2fly-core:v4.45.2

或者用 --restart=always + 日志驱动：

1
2
3
4
5
6


docker run -d \
 --name v2ray \
 --network host \
 --restart=always \
 -v /home/v2ray/config.json:/etc/v2ray/config.json \
 v2fly/v2fly-core:v4.45.2

3.4 文件结构

容器内关键路径：

/etc/v2ray/config.json：主配置文件
/usr/bin/v2ray：V2Ray 主程序
/usr/bin/v2ctl：V2Ray 辅助工具（生成 UUID、查看配置等）
/usr/local/share/v2ray/geoip.dat：IP 数据文件（按国家分流用）
/usr/local/share/v2ray/geosite.dat：域名数据文件（按域名分流用）

四、客户端接入

4.1 桌面客户端

Windows / macOS / Linux：Qv2ray（Qt 写的跨平台 GUI，已停更但仍可用）、V2RayN（Windows 经典）、V2RayU（macOS）、V2RayA（带 WebUI）
iOS：Shadowrocket（小火箭，付费）、Quantumult X、Stash
Android：v2rayNG（开源）、SagerNet

4.2 客户端配置

客户端和服务端是"协议对协议"——服务端 VMess+WS+TLS，客户端必须配相同参数。客户端 config.json：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


{
 "log": { "loglevel": "warning" },
 "inbounds": [{
 "port": 1080,
 "listen": "127.0.0.1",
 "protocol": "socks",
 "settings": { "udp": true }
 }, {
 "port": 1081,
 "listen": "127.0.0.1",
 "protocol": "http"
 }],
 "outbounds": [{
 "protocol": "vmess",
 "settings": {
 "vnext": [{
 "address": "{{SERVER_IP}}",
 "port": 443,
 "users": [{
 "id": "{{UUID}}",
 "alterId": 0,
 "security": "auto"
 }]
 }]
 },
 "streamSettings": {
 "network": "ws",
 "wsSettings": { "path": "/{{WS_PATH}}" },
 "security": "tls",
 "tlsSettings": { "serverName": "{{DOMAIN}}" }
 }
 }]
}

五、系统代理配置

V2Ray 客户端启动后，监听本地 1080（SOCKS5）/ 1081（HTTP）端口。Linux 上让命令行流量走代理：

1
2
3
4
5
6
7


vim /etc/profile

export ALL_PROXY=socks5://127.0.0.1:1080
export http_proxy="socks5://127.0.0.1:1080"
export https_proxy="socks5://127.0.0.1:1080"

source /etc/profile

验证：

1

curl -x socks5://127.0.0.1:1080 https://www.google.com

图形界面代理：Linux 桌面一般在系统设置 → 网络 → 代理，填 SOCKS5 127.0.0.1:1080。 Windows：Qv2ray / V2RayN 启动后会自动设置系统代理（或按 Win+R 输入 inetcpl.cpl 手动配）。 macOS：Qv2ray / V2RayU 默认开启"系统代理"开关。

六、Nginx 反代 V2Ray（域名 + 443 共用）

很多场景下不想专门为 V2Ray 开 443 端口，而是和现有 Web 服务共用 443（WebSocket path 区分）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


server {
 listen 443 ssl;
 server_name v2.example.com;

 ssl_certificate /www/.../fullchain.pem;
 ssl_certificate_key /www/.../privkey.pem;

 # 正常 Web 流量
 location / {
 root /var/www/html;
 }

 # V2Ray 流量
 location /{{WS_PATH}} {
 proxy_redirect off;
 proxy_pass http://127.0.0.1:10000;
 proxy_http_version 1.1;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 }
}

此时 V2Ray 容器监听 127.0.0.1:10000（--network=host 模式下用 127.0.0.1 暴露给 Nginx）。

七、踩坑清单

UUID 写错——UUID 格式 xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx，客户端服务端必须完全一致
alterId 不一致——服务端 0，客户端也必须 0（VMess AEAD 强制）
TLS 证书路径错——容器内路径用 /etc/v2ray/...，挂载到宿主机的实际路径
防火墙没开 443——国内云厂商对 443 有备案要求，备案后才能用
Docker 网络模式——--network=host 和端口映射二选一，混用导致监听不到
客户端系统代理没开——V2Ray 起来了但流量没走，桌面端检查"系统代理"开关
DNS 污染——开启 V2Ray 后仍访问不了某些网站，是 DNS 污染。客户端要配 dns: { "servers": ["8.8.8.8"] }，或在 V2Ray 启用 dns 段

八、参考资料

v2fly 官方仓库：https://github.com/v2fly/v2ray-core
v2fly 文档：https://www.v2fly.org/
V2Ray 配置生成器：https://www.v2fly.org/config/tools.html
Xray 项目（VMess/VLESS 性能更优）：https://github.com/XTLS/Xray-core
V2Ray 客户端列表：https://www.v2fly.org/awesome/tools.html

下一步

自建企业 VPN？→ OpenVPN 自建 VPN 服务一文
反向代理网关？→ Nginx 反向代理实战一文
实时视频流？→ 流媒体与 WebRTC 实时视频一文