技术文档

如何搭建 NaiveProxy 服务器

NaiveProxy 可以作为入站托管在带有 TLS 和域名的sing-box中。下面介绍节点结构、配置和基本检查。

1.DNS和ACME

例如，创建仅限 DNS 的 A 记录 naive.example.com，指向服务器IP。要自动颁发证书，域必须解析到此节点，并且 TCP 80 和 443 必须可从外部访问。请勿将单盒服务API发布到互联网上。

2. 音箱安装

使用官方的 sing-box 存储库和当前版本，其中包含所需的 NaiveProxy 类型。安装后，使用常规命令检查二进制文件和配置。

sing-box version
sing-box check -C /etc/sing-box

3. 最低配置结构

{
  "inbounds": [{ "type": "naive", "listen": "::", "listen_port": 443,
    "users": [{"username": "ACCOUNT", "password": "GENERATE_ME"}],
    "tls": {"enabled": true, "server_name": "naive.example.com",
      "acme": {"domain": ["naive.example.com"]}}
  }], "outbounds": [{"type": "direct", "tag": "direct"}]
}

在生产中，为本地 API 设置 ACME 电子邮件、日志限制、缓存文件和单独的随机密钥。以加密方式随机生成用户密码，并且不要重复使用它们。

4. 账户池

预载

入站用户是从配置加载的。要进行扩展，请准备一个账户池和一个托管重启计划。

访问状态

将服务器、端口、服务器名称、用户名和密码存储在安全存储中。释放过期账户必须是幂等的。

5. 监控和验证

检查单盒和 TLS 证书的状态。
监控 CPU、RAM、活动连接和流量速度。
仅将本地 API 存储在本地主机上，并使用防火墙将其关闭。
检查外部端口 443 并使用单独的客户端测试配置文件。

每个用户的统计数据需要程序集和代理中的单独支持。服务器范围流量的快照本身并不能证明特定用户的活动。

安全

不要将机密放在前端、Git、公共指令或 URL 中。使用单独的 API 密钥、SSH 密钥、配置备份和定期轮换。对于生产，首先在单独的域上测试配置。