Docker7530
235 lines
7.7 KiB
Markdown
235 lines
7.7 KiB
Markdown
# Trojan-Go 从零到一
|
||
|
||
Trojan-Go 是一个基于 Trojan 协议的代理工具，它通过将流量伪装成正常的 HTTPS 流量，从而有效地规避网络审查。相比原版 Trojan，Trojan-Go 提供了更多高级功能，如多路复用、路由、WebSocket 支持等，性能优异且配置灵活。
|
||
|
||
- **项目地址**：[https://github.com/p4gefau1t/trojan-go](https://github.com/p4gefau1t/trojan-go)
|
||
- **官方文档**：[https://p4gefau1t.github.io/trojan-go/](https://p4gefau1t.github.io/trojan-go/)
|
||
|
||
# 一、准备工作
|
||
|
||
在开始之前，请确保你已具备以下条件：
|
||
|
||
1. 一台境外 VPS：拥有 root 或 sudo 权限，并已安装好一个主流的 Linux 发行版（如 Ubuntu, Debian, CentOS）。
|
||
2. 一个域名：并将该域名解析到你的 VPS 公网 IP 地址。本文将以 `your.domain.com` 为例。
|
||
3. 基础的 Linux 操作能力：熟悉使用 SSH 连接服务器及执行基本命令。
|
||
|
||
# 二、申请 SSL/TLS 证书
|
||
|
||
Trojan 协议的核心是使用真实的 TLS 加密来伪装流量。因此，一个有效的域名证书是必不可少的。我们推荐使用 `acme.sh` 自动申请和续签 Let's Encrypt 等免费证书。
|
||
|
||
## 1. 安装 acme.sh
|
||
|
||
```bash
|
||
# 安装 acme.sh 工具
|
||
curl https://get.acme.sh | sh -s
|
||
|
||
# 如果提示 curl: command not found, 请先安装 curl
|
||
# apt update && apt install curl -y (Debian/Ubuntu)
|
||
# yum update && yum install curl -y (CentOS)
|
||
|
||
# 创建软链接，方便全局调用
|
||
ln -s /root/.acme.sh/acme.sh /usr/local/bin/acme.sh
|
||
|
||
# 注册 acme.sh 账户（邮箱会用于接收证书到期提醒）
|
||
acme.sh --register-account -m my@example.com
|
||
```
|
||
|
||
## 2. 安装依赖并开放端口
|
||
|
||
`acme.sh` 的 `standalone` 模式需要在 80 端口上启动一个临时验证服务器。
|
||
|
||
```bash
|
||
# 安装 socat，standalone 模式依赖它
|
||
apt update
|
||
apt install socat -y # Debian/Ubuntu
|
||
# yum install socat -y # CentOS
|
||
|
||
# 确保防火墙开放 80 端口（用于证书申请）和 443 端口（Trojan-Go 服务）
|
||
ufw allow 80
|
||
ufw allow 443
|
||
ufw reload
|
||
```
|
||
|
||
## 3. 申请证书
|
||
|
||
我们使用 ECC 证书（`ec-256`），它具有更好的性能和更小的密钥体积。
|
||
|
||
```bash
|
||
# --standalone 模式会自动监听 80 端口完成验证
|
||
acme.sh --issue -d your.domain.com --standalone -k ec-256
|
||
```
|
||
|
||
证书签发失败怎么办？
|
||
|
||
默认的 CA 服务商可能因为各种原因无法成功签发。你可以尝试切换到其他 CA：
|
||
|
||
```bash
|
||
# 切换到 Let’s Encrypt
|
||
acme.sh --set-default-ca --server letsencrypt
|
||
# 切换到 Buypass
|
||
acme.sh --set-default-ca --server buypass
|
||
# 切换到 ZeroSSL
|
||
acme.sh --set-default-ca --server zerossl
|
||
```
|
||
|
||
切换后，重新执行上面的申请命令即可。
|
||
|
||
## 4. 安装证书到指定目录
|
||
|
||
为了方便管理，我们将证书和密钥统一部署到一个目录，例如 `/root/trojan/`。
|
||
|
||
这里为了方便可以放到 trojan 目录下。
|
||
|
||
```bash
|
||
# 创建目录
|
||
mkdir -p /root/trojan
|
||
|
||
# 使用 --installcert 命令将证书文件复制到指定位置
|
||
# acme.sh 会在证书续签后自动将新证书部署到这里
|
||
acme.sh --installcert -d your.domain.com --ecc \
|
||
--key-file /root/trojan/server.key \
|
||
--fullchain-file /root/trojan/server.crt
|
||
```
|
||
|
||
备选方案：使用自签名证书
|
||
|
||
如果你只是为了临时测试或在内网环境使用，可以快速生成自签名证书。**注意：客户端连接时需要禁用证书验证，安全性较低，不推荐在生产环境使用。**
|
||
|
||
```bash
|
||
# 生成私钥
|
||
openssl ecparam -genkey -name prime256v1 -out /root/trojan/server.key
|
||
|
||
# 生成证书（-subj 参数可以自定义，CN需要是你的域名）
|
||
openssl req -new -x509 -days 36500 -key /root/trojan/server.key -out /root/trojan/server.crt -subj "/CN=your.domain.com"
|
||
|
||
```
|
||
|
||
# 三、下载并配置 Trojan-Go
|
||
|
||
#### 1. 下载 Trojan-Go
|
||
|
||
前往 Trojan-Go 的 [GitHub Releases](https://github.com/p4gefau1t/trojan-go/releases) 页面，找到最新的版本，复制对应你服务器架构的 `linux-amd64` 版本下载链接。
|
||
|
||
```bash
|
||
# 进入一个临时目录
|
||
cd /tmp
|
||
|
||
# 下载（请替换为最新的版本链接）
|
||
wget https://github.com/p4gefau1t/trojan-go/releases/download/v0.10.6/trojan-go-linux-amd64.zip
|
||
|
||
# 解压
|
||
unzip trojan-go-linux-amd64.zip
|
||
|
||
# 将可执行文件移动到系统路径
|
||
mv trojan-go /usr/local/bin/
|
||
|
||
# 创建配置文件目录
|
||
mkdir -p /etc/trojan-go
|
||
```
|
||
|
||
#### 2. 编写配置文件
|
||
|
||
创建一个配置文件 `config.json`。
|
||
|
||
```bash
|
||
vim /etc/trojan-go/config.json
|
||
```
|
||
|
||
将以下内容粘贴进去，并根据你的实际情况进行修改：
|
||
|
||
```json
|
||
{
|
||
"run_type": "server",
|
||
"local_addr": "0.0.0.0",
|
||
"local_port": 443,
|
||
"remote_addr": "127.0.0.1",
|
||
"remote_port": 80,
|
||
"password": [
|
||
"your_strong_password" // 请修改为你自己的强密码
|
||
],
|
||
"ssl": {
|
||
"cert": "/root/trojan/server.crt", // 证书路径
|
||
"key": "/root/trojan/server.key", // 私钥路径
|
||
"sni": "your.domain.com" // 你的域名
|
||
},
|
||
"router": {
|
||
"enabled": true,
|
||
"block": [
|
||
"geoip:private"
|
||
],
|
||
"geoip": "/usr/local/bin/geoip.dat",
|
||
"geosite": "/usr/local/bin/geosite.dat"
|
||
}
|
||
}
|
||
```
|
||
|
||
**配置文件关键参数解析：**
|
||
|
||
- `run_type`: 运行类型，服务端设置为 `server`。
|
||
- `local_addr` & `local_port`: Trojan-Go 监听的地址和端口，`0.0.0.0:443` 表示监听所有网络接口的 443 端口。
|
||
- `remote_addr` & `remote_port`: **伪装目标地址**。当有非 Trojan 协议的流量（如直接用浏览器访问你的域名）访问 `443` 端口时，Trojan-Go 会将该流量转发到此地址。通常，我们会在本地 80 端口搭建一个简单的 Nginx 网站，来完美伪装成一个真实网站。`127.0.0.1:80` 是最常见的配置。
|
||
- `password`: 客户端连接时需要使用的密码，可以设置多个。
|
||
- `ssl`: TLS 相关配置。
|
||
- `cert` & `key`: 指向你刚刚申请并安装的证书和私钥文件。
|
||
- `sni`: Server Name Indication，客户端必须指定此域名才能成功连接。这里填写你的域名。
|
||
- `router`: Trojan-Go 内置的简易路由器，可以用来屏蔽特定流量（如BT、私网IP等），增强安全性。`geoip.dat` 和 `geosite.dat` 文件随 Trojan-Go 压缩包一起提供，记得将它们也移动到 `/usr/local/bin/`。
|
||
|
||
# 四、设置后台运行与开机自启（Systemd）
|
||
|
||
为了让 Trojan-Go 能在后台稳定运行，并且在服务器重启后自动启动，我们为它创建一个 Systemd 服务。
|
||
|
||
```bash
|
||
nano /etc/systemd/system/trojan-go.service
|
||
```
|
||
|
||
将以下内容粘贴到文件中：
|
||
|
||
```ini
|
||
[Unit]
|
||
Description=Trojan-Go
|
||
Documentation=https://github.com/p4gefau1t/trojan-go
|
||
After=network.target nss-lookup.target
|
||
|
||
[Service]
|
||
User=root
|
||
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE
|
||
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE
|
||
NoNewPrivileges=true
|
||
ExecStart=/usr/local/bin/trojan-go -config /etc/trojan-go/config.json
|
||
Restart=on-failure
|
||
RestartSec=10s
|
||
LimitNOFILE=infinity
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
```
|
||
|
||
现在，使用以下命令来管理 Trojan-Go 服务：
|
||
|
||
```bash
|
||
# 重新加载 Systemd 配置
|
||
systemctl daemon-reload
|
||
|
||
# 启动 Trojan-Go 服务
|
||
systemctl start trojan-go
|
||
|
||
# 设置开机自启
|
||
systemctl enable trojan-go
|
||
|
||
# 查看服务运行状态
|
||
systemctl status trojan-go
|
||
```
|
||
|
||
如果状态显示 `active (running)`，则表示服务已成功启动。
|
||
|
||
# 五、客户端配置示例
|
||
|
||
在你的本地设备上，使用支持 Trojan 协议的客户端（如 V2RayN, Shadowrocket, Clash 等），并参考以下配置进行连接：
|
||
|
||
- **地址/服务器 (Address/Server)**: `your.domain.com`
|
||
- **端口 (Port)**: `443`
|
||
- **密码 (Password)**: `your_strong_password` (你在服务端设置的密码)
|
||
- **SNI/服务器名称指示 (SNI/Peer)**: `your.domain.com`
|
||
- **允许不安全 (Allow Insecure)**: `false` 或 `关闭` (因为我们用的是可信证书)
|
||
- **协议 (Protocol)**: `trojan`
|