apt update
apt install haproxy -y

# /etc/haproxy/haproxy.cfg

global
  maxconn 51200      # 全局最大连接数，确保高并发不瓶颈
  daemon             # 后台守护进程运行

defaults
  mode    tcp        # 默认模式设为纯 TCP 四层转发
  option  tcplog
  timeout connect 5s
  timeout client  10m
  timeout server  10m

# 核心：中转机代理端口与落地机负载均衡池
listen proxy_relay
  bind *:8080          # 中转机对外暴露的监听端口
  mode tcp
  balance roundrobin   # 负载均衡策略：轮询

  # 落地机节点列表（替换为你真实的落地机 IP 和端口）
  # check：开启主动健康检查
  # inter 5s：每 5 秒检查一次
  # rise 2：成功 2 次认为节点恢复正常
  # fall 3：失败 3 次认为节点宕机并自动剔除
  server node1 1.1.1.1:8388 check inter 5s rise 2 fall 3 weight 1  # 落地机1：IP 和代理服务端口
  server node2 2.2.2.2:8388 check inter 5s rise 2 fall 3 weight 1  # 落地机2：IP 和代理服务端口

# 可视化 Web 监控面板（强烈推荐）
listen stats
  bind *:8888
  mode http
  stats enable
  stats hide-version
  stats uri /stats              # 访问路径：http://中转机IP:8888/stats
  stats auth admin:admin123     # 面板登录账号密码（请修改）

systemctl restart haproxy
systemctl enable haproxy
ss -tulnp | grep haproxy       # 确认 8080 和 8888 端口在监听

apt update
apt install nginx -y

# 验证安装是否成功
nginx -v

# 查看当前是否已开启
sysctl net.ipv4.ip_forward

# 如果输出是 net.ipv4.ip_forward = 0，则需要开启
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# /etc/nginx/nginx.conf —— 在文件末尾添加以下内容

stream {
  # 转发 TCP 到落地机（如 VLESS、Trojan、Shadowsocks）
  server {
    listen 10521;                    # 中转机暴露的 TCP 端口
    proxy_pass 1.1.1.1:8388;        # 替换为你的落地机 IP 和代理端口
  }

  # 转发 UDP 到落地机（如 Hysteria2）
  server {
    listen 10522 udp;                # 必须加 udp 关键字
    proxy_pass 1.1.1.1:443;         # 替换为你的落地机 IP 和 Hysteria 端口
  }
}

stream {
  # 定义上游节点池
  upstream proxy_nodes {
    server 1.1.1.1:8388 weight=1 max_fails=3 fail_timeout=30s;  # 落地机1
    server 2.2.2.2:8388 weight=1 max_fails=3 fail_timeout=30s;  # 落地机2
  }

  # 中转机监听端口
  server {
    listen 8080;                     # 客户端连接这个端口
    proxy_pass proxy_nodes;          # 转发到上面定义的节点池
    proxy_timeout 10m;
    proxy_connect_timeout 5s;
  }
}

stream {
  upstream hysteria_nodes {
    server 1.1.1.1:443 weight=1;     # 落地机1
    server 2.2.2.2:443 weight=1;     # 落地机2
  }

  server {
    listen 10521 udp;                # 对外暴露 UDP 端口
    proxy_pass hysteria_nodes;
    proxy_timeout 5m;                # UDP 会话保持时间
  }
}

nginx -t

# 首次启动
systemctl start nginx
systemctl enable nginx

# 后续修改配置后重新加载（比 restart 更优雅，不中断已有连接）
systemctl reload nginx

# 查看端口是否在监听
ss -tulnp | grep nginx

# 查看 Nginx 运行状态
systemctl status nginx

# 查看实时日志（转发异常的排查入口）
tail -f /var/log/nginx/error.log

systemctl stop nginx
systemctl disable nginx
apt remove --purge nginx nginx-common -y

systemctl restart nginx
systemctl enable nginx
ss -tulnp | grep nginx

iptables --version

# Debian / Ubuntu
apt update
apt install iptables -y

# Alpine
apk add iptables

# 先查看当前状态
sysctl net.ipv4.ip_forward

# 如果输出 net.ipv4.ip_forward = 0，执行以下命令开启
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# 再次验证，应该输出 net.ipv4.ip_forward = 1
sysctl net.ipv4.ip_forward

# 将中转机 10521 端口的 TCP 流量转到落地机 1.1.1.1 的 8388 端口
# 按你的实际情况替换 IP 和端口
iptables -t nat -A PREROUTING -p tcp --dport 10521 -j DNAT --to-destination 1.1.1.1:8388

# 源地址伪装：确保落地机的回包能回到客户端
iptables -t nat -A POSTROUTING -p tcp -d 1.1.1.1 --dport 8388 -j MASQUERADE

# 防火墙放行转发流量
iptables -A FORWARD -p tcp -d 1.1.1.1 --dport 8388 -j ACCEPT

# 将中转机 10522 端口的 UDP 流量转到落地机 1.1.1.1 的 443 端口
iptables -t nat -A PREROUTING -p udp --dport 10522 -j DNAT --to-destination 1.1.1.1:443

iptables -t nat -A POSTROUTING -p udp -d 1.1.1.1 --dport 443 -j MASQUERADE

iptables -A FORWARD -p udp -d 1.1.1.1 --dport 443 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 10521 -j DNAT --to-destination 1.1.1.1:8388
iptables -t nat -A PREROUTING -p udp --dport 10521 -j DNAT --to-destination 1.1.1.1:8388
iptables -t nat -A POSTROUTING -p tcp -d 1.1.1.1 --dport 8388 -j MASQUERADE
iptables -t nat -A POSTROUTING -p udp -d 1.1.1.1 --dport 8388 -j MASQUERADE
iptables -A FORWARD -p tcp -d 1.1.1.1 --dport 8388 -j ACCEPT
iptables -A FORWARD -p udp -d 1.1.1.1 --dport 8388 -j ACCEPT

# 查看 NAT 转发规则（DNAT 和 SNAT）
iptables -t nat -L -n -v

# 查看过滤规则（FORWARD 放行）
iptables -L -n

# 如果只想看特定端口的规则，用 grep 过滤
iptables -t nat -L -n -v | grep 10521

# 安装持久化工具
apt install iptables-persistent -y

netfilter-persistent save

# 将中转机 20000~30000 端口的 UDP 流量全部汇聚到落地机 443 端口
iptables -t nat -A PREROUTING -p udp --dport 20000:30000 -j DNAT --to-destination 1.1.1.1:443
iptables -t nat -A POSTROUTING -p udp -d 1.1.1.1 --dport 443 -j MASQUERADE
iptables -A FORWARD -p udp -d 1.1.1.1 --dport 443 -j ACCEPT

# 保存规则
netfilter-persistent save

{
  "type": "hysteria2",
  "server": "中转机IP",
  "server_ports": ["20000-30000"],
  "hop_interval": "30s",
  "password": "your_password",
  "tls": {
    "enabled": true,
    "server_name": "your-domain.com",
    "insecure": true,
    "alpn": ["h3"]
  }
}

# 先查看规则编号（每行前面会有 num 列）
iptables -t nat -L PREROUTING -n --line-numbers

# 输出示例：
# num  target     prot opt source         destination
# 1    DNAT       tcp  --  0.0.0.0/0      0.0.0.0/0    tcp dpt:10521 to:1.1.1.1:8388

# 删除第 1 条规则
iptables -t nat -D PREROUTING 1

# 清空 nat 表规则
iptables -t nat -F

# 清空 filter 表规则（注意：这也会删除你手动添加的其他防火墙规则）
iptables -F

# 清空后重新持久化
netfilter-persistent save

modprobe tcp_bbr
echo "tcp_bbr" > /etc/modules-load.d/modules.conf 2>/dev/null || echo "tcp_bbr" >> /etc/modules
cat >> /etc/sysctl.conf << 'EOF'
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
EOF
sysctl -p

sysctl net.ipv4.tcp_congestion_control    # 应输出 bbr
lsmod | grep bbr                           # 应看到 tcp_bbr

apt install nload -y
nload
# 界面上下部分分别显示接收/发送流量，重点看 Curr（当前速度）和 Max（历史峰值）
# 按 q 退出

apt install iftop -y
iftop -n -N -P
# -n 禁止反向解析，-N 禁止端口名解析，-P 显示端口号
# 右侧三列分别为过去 2 秒/10 秒/40 秒平均速度
# 按 q 退出

apt install vnstat -y
# 等待 5 分钟收集初始数据后：
vnstat      # 基础汇总
vnstat -d   # 每日统计
vnstat -m   # 每月统计（对齐 3T 等限额）
vnstat -l   # 实时动态（类似 nload 轻量平替）

nano /etc/vnstat.conf   # 修改 MonthRotate 15
systemctl restart vnstat