服务器代理部署

2019 年的典型用法是 clash -d /etc/clash 手动起一个进程, 终端里 export http_proxy=https_proxy=127.0.0.1:7890 就够桌面场景, 但一关终端代理就没了。2020 年, Premium 闭源线把 TUN 模式和 iptables 透明代理带进来, allow-lan 一开, 内核直接变成软路由, 一个局域网共享一个出口。2021 年之后, mihomo 内核加 systemd 成为服务器和软路由的标准姿势。三个阶段的分水岭是同一个问题: 要不要无人值守地活着。单机模式死了你随时重开, 服务器模式死了整网断网。所以把 mihomo 想成 nginx 最顺手——它不是一个程序, 是一个服务, 部署的全部工作就是让它被 systemd 托管、按信号热重载、按配置自愈。

抄来的单元文件, 翻车点集中在三个字段。第一是能力: TUN 建虚拟网卡要摸内核网络栈, 必须给 AmbientCapabilities=CAP_NET_ADMIN CAP_NET_RAW CAP_NET_BIND_SERVICE, 少一个都是建 tun 时报 permission denied。第二是文件描述符: LimitNOFILE 默认 1024, 高并发连接一上来就是 too many open files, 很多人直接塞到 1000000。第三是重载方式: ExecReload 配成 /bin/kill -HUP $MAINPID, systemctl reload 走的是热重载, 只换配置不换进程; 而 systemctl restart 会把在途连接全部掐断, 线上切节点那一下全线闪断。记住这个口诀: reload 换配置, restart 换进程。为什么这么较真? 因为 restart 会先杀进程再拉新进程, 监听端口重新 bind, 正在传的大文件和保持的 SSH 会话全被打断; 而 HUP 只是重读配置, 连接池原地重建, 用户无感, 改配置从此变得廉价。再配上 Restart=on-failure 和 RestartSec=5, 进程崩溃五秒内自己爬起来, 这才是常驻该有的样子。

很多人以为开个 allow-lan 就能让局域网共享出口, 结果是把 mixed-port 整个暴露给了全世界。2023 年删库潮之后, 软路由和 VPS 部署激增, 公网扫描器对着 7890 这种默认端口全端口扫, 一旦撞上没配 secret 的 external-controller, 陌生人不仅能蹭你的流量, 还能直接 PUT /proxies 把你的节点改成他的, 出口 IP 被人拿去跑爬虫, 第二天节点就被封了。正确收口是三层: 第一, bind-address 只绑内网 IP, 别用星号; 第二, 云安全组或 ufw 只放行指定网段进来的流量; 第三, external-controller 配强随机 secret。防火墙放行端口的粒度, 决定了你是“软路由”还是“免费代理”。

部署完别急着收工, 先自检一遍。curl -x http://127.0.0.1:7890 http://cp.cloudflare.com/generate_204 应该返回 204; 再 curl -x socks5h://127.0.0.1:7890 https://api.ipify.org, 出口 IP 必须等于你选的节点, 不一致就说明代理链路压根没生效。之后订阅更新、节点测速、规则集刷新这些“跑起来之后的事”都交给 interval 和 cron(见 clash-schedule 词条), 部署层只负责一件长期的事: 观察。journalctl -u mihomo -f 盯启动日志, ss -tlnp 看端口监听, 必要时 tcpdump 抓包确认有没有直连了不该直连的域名。还有一条别漏: 服务器上没有 GUI 的进程名, 订阅里桌面向的 PROCESS-NAME 规则和 external-ui 要在部署时清掉, 否则就是“看似有规则实则不生效”。习惯之后你会发现, 部署是一次性的活, 运维才是长跑: 靠日志、端口、抓包三样工具把内核盯住, 它才有资格谈节点续期、订阅更新这些后续的事。