V2Ray梯子 前置Caddy V2使用Cloudflare泛域名15年证书 相当于有无限的域名

点击标签看相关主题:

现在最保险的梯子是Websocket + TLS模式了。为了再保险一点，使用正常的WebSever前置。一般常见的是Nginx或Caddy。我喜欢配置方便，使用的是Caddy V2

Websocket + TLS模式常常域名被干扰，之前的解决方案是同时多配置几个域名，一个被干扰了就换一个。

本文使用Cloudflare泛域名15年证书，也就是说，你相当于有无限多个域名可以使用了，也不用担心证书过期的问题了。

设置Cloudflare泛域名15年证书

1. 设置DNS解析

将你原来的DNS解析的名称那里修改为 *

代理状态 打开CDN

如果你是第一次设置DNS解析，请注意类型与IP地址对应。A类解析对应IPv4，AAAA类解析对应IPv6

2. 设置 SSL/TLS 为 完全(严格)


3. 申请*.mydomain.com的15年泛域名证书

确认一下主机名称里，包含了 *.mydomain.com (蓝色部分应该是你自己的域名)

4. 保存为 mydomain.com.pem 和 mydomain.com.key

5. 保存到 VPS 上, 用户和用户组为 caddy

我是在 /etc/caddy/ 下面开了个目录叫 pem-key

cd /etc/caddy/
mkdir pem-key

把 mydomain.com.pem 和 mydomain.com.key 放进去

然后修改 pem-key 目录 以及 .pem 和 .key 文件 的用户和用户组为 caddy

chown -R caddy:caddy pem-key

6. 修改Caddyfile

第一行修改为 

*.mydomain.com

下面 tls 那行修改为

tls /etc/caddy/pem-key/mydomain.com.pem /etc/caddy/pem-key/mydomain.com.key


7. 保存Caddyfile再重启caddy就行了

service caddy restart

你试一下在浏览器里访问 随便什么.mydomain.com 试试？

是不是打开了你的反代伪装网站？

你再试一下 随便什么.mydomain.com/你的path

是不是得到了 400 Bad Request?

设置翻墙客户端里的节点

8. 先在浏览器里访问 随便什么.mydomain.com

等待一会儿才会正常显示伪装站

9. 在你的翻墙客户端里，把原来的节点复制一份；然后修改参数

地址(address) 和 伪装域名(host) 为 随便什么.mydomain.com

你就有了一个新域名的节点了。

参考：
https://blog.mswins.net/network-promotion/267.html


评论

  1. tdj十月 01, 2022

    墙不能把整个域名封了？我有个思路：服务端只监听80端口，cloudflare里选灵活，这样不用证书就能有tls。被墙了再把dns解析改一下，不用动服务端就能换域名，彻底滥用。

    回复删除
    回复
    1. ǝɔɐǝԀʎzɐɹƆ十月 02, 2022

      我是没见到墙直接封 *.xxx.xxx 一般你换个前缀就能通。

      删除
    2. ǝɔɐǝԀʎzɐɹƆ十月 02, 2022

      当然你的想法没有错， 是可以这么干的。我记得很久之前， 233boy就写过你这个思路的一篇教程的。

      删除

发表评论

The Hot3 in Last 30 Days

用浏览器 检测Reality伪装效果 是否搭建成功 排错Troubleshoot

图片
Reality的原理: 当 Reality 节点收到数据包的时候, 如果 Reality 协议的验证通过, 就走节点的翻墙逻辑; 如果 Reality 协议的验证不通过, 就把数据包转发到伪装站. 后续的整个交互过程就像是在和伪装站交互一样. 我们可以简单地用浏览器验证 Reality 伪装效果. 也相当于检测 从你自己到 Reality 节点之间的数据通路是否畅通. 以这样的一个 Reality 节点为例. IP  142.171.237.9 端口  18255 伪装站 learn.microsoft.com 在电脑的hosts文件中, 设置 learn.microsoft.com 解析的IP 为  142.171.237.9   然后在浏览器中, 访问 https://learn.microsoft.com: 18255 可以看到, TLS的锁是正常的. 验证证书, 也是正常的. 从你自己到Reality节点的数据路径是畅通的之后, 如果你的节点还不能用, 那么, 就应该检查你的Reality节点验证信息了 (UUID, 公钥) ======== update 如果是用了中转后的 Reality 节点 原 Reality 节点 IP  142.171.237.9 端口  18255 伪装站 learn.microsoft.com 中转 VPS  IP 142.171.223.56 端口 28828 那么, 在电脑的hosts文件中, 设置 learn.microsoft.com 解析的IP 为  142.171.223.56 然后在浏览器中, 访问 https://learn.microsoft.com: 28828 可以看到, TLS的锁是正常的. 验证证书, 也是正常的.
Read more »

用darkstat统计VPS上的流量

图片
感谢 https://0x3f.org/posts/darkstat-as-a-network-discharge-meter/ https://ilovn.com/2023/03/25/darkstat/ 安装 apt install -y darkstat 启用 darkstat -i 监听网卡 -p 网页端的端口号 如 darkstat -i eth0 -p 8964 页面端查看 http:// 你的vps的IP : 网页端的端口号 如 http:// 12.34.56.78 : 8964 效果类似下面这样 点 host 可以看到数字表格的统计信息. 点其中一条 可以看到更详细的信息. 能看到在本VPS上, 还有指定IP上, 分别用到了什么端口(包括TCP UDP), 以及分别跑了多少流量. 如果你有有更好的工具, 欢迎留言分享!
Read more »

233 sing-box 脚本 TCP 端口转发 Reality 协议 排错 Troubleshoot

图片
233 boy 的 TCP 端口转发的教程 https://233boy.com/sing-box/sing-box-direct/ 下图中示意, 左边的 142.171.237.9 是被墙的VPS, 右边的 142.171.223.56 是用来做端口中转的VPS. 如果你照着教程操作一遍, 发现不能正常使用. 那么本文指导你如何排查问题所在. ======== 首先, 你要理解整个原理是什么. 左边的, 本来的reality协议节点, 底层是TCP直连, 那么是从你的 翻墙客户端(手机/电脑/...) 去连接  142.171.237.9  的 18255 端口. 现在被墙了, 那么无法直接TCP连接了. 右边的, 用于中转的VPS, 设置的 TCP端口中转 的本质是,  142.171.223.56  从端口 28828 收到的TCP数据, 会转发给  142.171.237.9  的 18255 端口.  所以, 你现在可以把本来准备发送给  142.171.237.9  的  18255  端口 的realiy数据包, 发送给  142.171.223.56  的  28828  端口; 142.171.223.56  从端口  28828  收到的TCP数据, 转发给  142.171.237.9  的  18255  端口. ======== 我们延着数据路径一段一段的排查. 1. 从我们的翻墙客户端(手机/电脑/...)连接中转VPS  142.171.223.56  的  28828  端口; a) 可以用 tcp.ping.pe 检测 142.171.223.56  的  28828  端口是否正常; b) 在你自己的电脑  tcping 检测 142.171.223.56  的  28828  端口是否可连接. 2. 在中转VPS上查 sing-box 的 access.log cat /var/log/sing...
Read more »