guanghulab/server/proxy

铸渊专线 · ZY-Proxy Service

🔺 Sovereign: TCS-0002∞ · 冰朔 | Root: SYS-GLW-0001 📜 Copyright: 国作登字-2026-A-00037559 🏛️ Guardian: ICE-GL-ZY001 · 铸渊

---

📋 评估报告 · Feasibility Evaluation

冰朔的需求

冰朔团队在中国大陆，需要通过VPN访问代码仓库和高功能推理模型。当前商业VPN体验差（卡顿、不稳定）。 需求：利用新加坡服务器(ZY-SVR-002)搭建私有代理节点，提供稳定、快速的网络访问。

评估结论：✅ 完全可行

评估维度	结论	说明
🏛️ 服务器资源	✅ 充足	2核8GB · 2560GB月流量 · 500GB分配给专线绰绰有余
🌏 地理位置	✅ 最优	新加坡 → 中国大陆延迟约30-60ms · 全球接入优秀
🔧 技术可行性	✅ 成熟	Xray-core + VLESS + Reality · 2026年最先进协议
📱 客户端兼容	✅ 全兼容	Shadowrocket / Clash Verge / ClashMi 全部支持
🔒 安全性	✅ 可保障	订阅链接仅通过邮件发送 · 仓库公开不暴露任何敏感信息
💰 额外成本	✅ 零成本	使用现有服务器 · 无额外费用
🛡️ 检测规避	✅ 最优	Reality协议伪装为正常HTTPS · 主动探测无法识别

带宽分配

SG服务器总月流量: 2560 GB

用途	分配	说明
🌐 专线代理	500 GB	所有订阅链接共享 · 月底自动重置
💻 开发/部署	~2000 GB	应用代码部署 · API调用 · 数据同步
📦 系统预留	~60 GB	系统更新 · SSH · 监控

---

🏗️ 技术架构 · Technical Architecture

核心协议

VLESS + Reality + Vision — 2026年最先进的代理协议

特性	说明
🥷 伪装度	Reality协议让连接看起来像在访问微软/苹果等网站
🔐 加密	TLS 1.3 + Vision流控 · 无法被中间人解密
⚡ 性能	零额外开销 · 接近裸连速度
🛡️ 抗探测	主动探测返回真实目标站点内容 · 无法区分代理流量

系统组件

┌─────────────────────────────────────────────────────────────┐
│                    🏛️ ZY-SVR-002 新加坡                      │
│                                                              │
│  ┌──────────┐  ┌──────────────┐  ┌─────────────────┐        │
│  │ Xray-core │  │ 订阅服务      │  │ 流量监控Agent    │        │
│  │ port 443  │  │ port 3802    │  │ (PM2 managed)   │        │
│  │ VLESS+    │  │ 生成配置      │  │ 500GB配额       │        │
│  │ Reality   │  │ 返回订阅      │  │ 每小时检查      │        │
│  └──────────┘  └──────────────┘  └─────────────────┘        │
│                                                              │
│  ┌──────────────┐  ┌──────────────┐  ┌──────────────┐       │
│  │ 守护Agent     │  │ Nginx        │  │ 邮件服务      │       │
│  │ 自动修复      │  │ port 80      │  │ SMTP发送      │       │
│  │ LLM推理      │  │ Web服务      │  │ 订阅链接      │       │
│  └──────────────┘  └──────────────┘  └──────────────┘       │
│                                                              │
│  ┌──────────────────────────────────────────────────┐       │
│  │ PM2 进程管理                                       │       │
│  │ zhuyuan-server · zhuyuan-preview ·                │       │
│  │ zy-proxy-sub · zy-proxy-monitor · zy-proxy-guard  │       │
│  └──────────────────────────────────────────────────┘       │
└─────────────────────────────────────────────────────────────┘

          ↕ 加密隧道 (VLESS + Reality)

┌─────────────────────────────────────────────────────────────┐
│                    📱 客户端 (中国大陆)                        │
│                                                              │
│  iPhone:     Shadowrocket (订阅URL)                          │
│  Mac:        Clash Verge  (订阅URL)                          │
│  Android:    ClashMi      (订阅URL)                          │
│  Windows:    Clash Verge  (订阅URL)                          │
│                                                              │
│  客户端内可查看: 500GB配额 · 已用/剩余 · 到期时间              │
└─────────────────────────────────────────────────────────────┘

数据流

1. 冰朔请求订阅链接
   → 铸渊运行 deploy-proxy-service workflow
   → 服务器生成订阅配置 + 唯一token
   → 通过邮件发送订阅URL到冰朔邮箱

2. 冰朔在客户端添加订阅URL
   → 客户端请求 http://server/api/proxy-sub/sub/{token}
   → 返回Clash YAML / Base64配置
   → 返回Header: subscription-userinfo (配额信息)
   → 客户端显示剩余流量

3. 使用代理上网
   → 客户端 → VLESS+Reality(443) → Xray-core → 互联网
   → 流量看起来像在访问 www.microsoft.com
   → GFW无法识别代理流量

4. 每小时流量监控
   → zy-proxy-monitor 查询Xray Stats API
   → 更新quota-status.json
   → 达到80%/90%/100%时邮件告警

5. 每日仪表盘更新
   → GitHub Action读取服务器流量数据
   → 更新README.md仪表盘区域
   → 不暴露任何敏感信息

安全设计 · 公开仓库保护

⚠️ 当前仓库是公开状态 · 以下安全措施确保敏感信息不泄露

信息类型	存储位置	公开可见?
服务器IP	GitHub Secrets	❌ 不可见
UUID密钥	GitHub Secrets + 服务器env	❌ 不可见
Reality密钥对	GitHub Secrets + 服务器env	❌ 不可见
订阅链接URL	仅通过邮件发送	❌ 不可见
订阅Token	服务器端生成	❌ 不可见
流量用量数字	README仪表盘	✅ 可见 (仅数字)
节点在线状态	README仪表盘	✅ 可见 (仅状态)
配置代码模板	仓库代码	✅ 可见 (无密钥)

新增GitHub Secrets

部署时需要冰朔添加以下Secrets（部署脚本会自动生成值）:

Secret名称	说明	生成方式
ZY_PROXY_UUID	VLESS用户ID	安装脚本自动生成
ZY_PROXY_REALITY_PRIVATE_KEY	Reality私钥	安装脚本自动生成
ZY_PROXY_REALITY_PUBLIC_KEY	Reality公钥	安装脚本自动生成
ZY_PROXY_REALITY_SHORT_ID	Reality短ID	安装脚本自动生成
ZY_PROXY_SUB_TOKEN	订阅访问Token	安装脚本自动生成

---

📱 客户端兼容性

平台	应用	协议支持	订阅格式
🍎 iOS	Shadowrocket	✅ VLESS+Reality	Base64 URI
🍎 macOS	Clash Verge	✅ VLESS+Reality	Clash YAML
🤖 Android	ClashMi (Mihomo)	✅ VLESS+Reality	Clash YAML
🪟 Windows	Clash Verge	✅ VLESS+Reality	Clash YAML

所有客户端均通过同一个订阅URL获取配置，服务端根据User-Agent自动返回对应格式。

---

🚀 部署步骤

步骤① 触发部署

1. 打开 GitHub → Actions → 🌐 铸渊专线 · 部署
2. 点击 Run workflow
3. action 选择 install (首次) 或 update (更新)

步骤② 安装完成后

部署脚本会自动生成所有密钥并输出到部署日志（⚠️ 日志仅对仓库管理员可见）。 冰朔需要将输出的密钥值添加到 GitHub Secrets。

步骤③ 发送订阅链接

1. 打开 GitHub → Actions → 🌐 铸渊专线 · 部署
2. action 选择 send-subscription
3. 输入目标邮箱
4. 铸渊自动生成订阅链接并发送到邮箱

步骤④ 客户端导入

1. 打开邮件，复制订阅URL
2. 在Shadowrocket/Clash Verge中添加订阅
3. 刷新订阅 → 看到节点和配额信息
4. 连接 → 开始使用

---

📁 文件结构

server/proxy/
├── README.md                     # 本文件 · 评估+架构
├── setup/
│   ├── install-xray.sh          # Xray-core安装 + BBR加速
│   └── generate-keys.sh         # 密钥生成(UUID/Reality)
├── config/
│   ├── xray-config-template.json # Xray服务端配置模板
│   └── nginx-proxy-snippet.conf  # Nginx订阅服务反代
├── service/
│   ├── subscription-server.js    # 订阅HTTP服务
│   ├── traffic-monitor.js       # 流量监控Agent
│   ├── quota-manager.js         # 500GB配额管理
│   ├── proxy-guardian.js        # 代理守护Agent(含LLM)
│   └── send-subscription.js    # 邮件发送订阅链接
├── dashboard/
│   └── update-dashboard.js      # README仪表盘更新
├── deploy-proxy.sh              # 一键部署入口
└── ecosystem.proxy.config.js    # PM2代理服务配置

---

铸渊专线 · 冰朔的私有网络 · 语言驱动操作系统的物理桥梁 铸渊守护 · 安全 · 稳定 · 快速