搭建TLS加密线路 - DUK技术栈

开篇前还是那句老话：一款工具如何使用，是个人的意志决定的，工具本身没有好坏之分，请使用者自行斟酌

声明：本站不会承认该方案为原创#

本次搭建服务端使用的是带公网IP的VPS设备，当然原理都是相同，在内网或黑盒环境做也是没问题忽略掉第一步即可，别忘了网关服务器自行解析或者服务端内部直接IP定向；本次搭建使用docker容器进行，同时容器在使用过程中防第三方监听、渗透有奇效

好，废话少说现在开始#

容器目录	一级目录	二级目录
网站证书密钥	web.key	\
网站证书文件	web.crt	\
代理证书密钥	proxy.key	\
代理证书文件	proxy.crt	\
Trojan-go 配置文件	config.json	\
项目源码二进制文件提取	geoip.dat	\
项目源码二进制文件提取	geosite.dat	\
建立cointop容器及pull映像	docker-compose.yml	\
websocket通信协议指定目录，用户认证	proxy/	\
前端工具，定义劫持及流量转发	nginx/	nginx.conf

再梳理工作逻辑

客户机访问	流量发送到服务
正常网站访问	(前端劫持+分流规则)
Trojan 协议访问(后端线路)	非正确 Trojan 协议访问(重定向到前端劫持的网站)
非常规 (扫描) 等被动攻击访问	(重定向到前端劫持的网站)

搭建执行工作的逻辑文件目录#

证书要搞2套4份，具体怎么搞就不说了，本站有文章#

使用git工具拉取 trojan-go项目源码或者直接下载项目releases文件对应的系统版本并解压提取geoip.dat和geosite.dat复制到工作目录下#

建立docker-compose.yml文件(使用docker run同理)，如下内容#

1
services:
2
 trojan-go:
3
   container_name: trojan-go
4
   image: teddysun/trojan-go
5
   volumes:
6
     - ./:/etc/trojan-go/
7
   restart: always
8
   network_mode: "host"
9
   # 使用宿主机网络，以保证与nginx容器处于同一网段
10
   depends_on:
11
     - nginx
12
     # 在nginx容器已启动的状态下启动
13

14
 nginx:
15
   image: nginx
16
   restart: always
17
   container_name: nginx
18
   network_mode: "host"
19
   environment:
20
     - TZ=Asia/Shanghai
21
   ports:
22
     - "80:80"
23
     - "443:443"
24
     - "445"
25
     - "1443"
26
   volumes:
27
     - ./:/etc/trojan-go/
28
     - ./nginx/nginx.conf:/etc/nginx/nginx.conf
29
     - ./nginx/logs/:/etc/nginx/logs/

建立nginx/nginx.conf文件(定义前端劫持及分流规则)#

需要修改的部分注意看代码注释，千万不要遗漏，任何遗漏都会导致运行失败

1
    user nginx;
2
    worker_processes auto;
3
    error_log  logs/error.log;
4
    error_log  logs/error.log  notice;
5
    error_log  logs/error.log  info;
6

7
    pid        logs/nginx.pid;
8

9
    include /usr/share/nginx/modules/*.conf;
10

11
    events {
12
        worker_connections 2048; # 最大连接数可根据服务器性能调低
13
    }
14

15
    stream {
16
        map $ssl_preread_server_name $backend_name {
17
            web.net web; # 修改为你的网站域名(非劫持域名)
18
            proxy.net trojan; # 修改为你的Trojan协议网站域名
19
        }
20

21
        upstream web {
22
            server 127.0.0.1:1443;
23
        }
24

25
        upstream trojan {
26
            server 127.0.0.1:445;
27
        }
28

29
        server {
30
            listen 443 reuseport;
31
            listen [::]:443 reuseport;
32
            proxy_pass  $backend_name;
33
            ssl_preread on;
34
        }
35
    }
36

37
    http {
38

39
       server {
40
          listen 1443 ssl http2;
41
          server_name web.net; # 修改为你的网站域名(非劫持域名)
42

43
          ssl_certificate       /etc/trojan-go/web.crt;
44
          ssl_certificate_key   /etc/trojan-go/web.key;
45

46
          ssl_session_cache shared:SSL:1m;
47
          ssl_session_timeout 5m;
48
          ssl_session_tickets off;
49

50
          ssl_protocols         TLSv1.2 TLSv1.3;
51
          ssl_ciphers           ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
52
          ssl_prefer_server_ciphers on;
53

54
          location / {
55
               proxy_pass <https://hijack.net>; # 修改为你将要劫持的域名url
56
               proxy_ssl_server_name on;
57
               proxy_redirect off;
58
               sub_filter_once off;
59
               sub_filter "hijack.net" $server_name; # 修改为你将要劫持的域名
60
               proxy_set_header Host "hijack.net"; # 修改为你将要劫持的域名
61
               proxy_set_header Referer $http_referer;
62
               proxy_set_header X-Real-IP $remote_addr;
63
               proxy_set_header User-Agent $http_user_agent;
64
               proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
65
               proxy_set_header X-Forwarded-Proto https;
66
               proxy_set_header Accept-Encoding "";
67
               proxy_set_header Accept-Language "zh-CN";
68
                      }
69

70
            }
71

72
        server {
73
            listen       1443 ssl http2;
74
            server_name  proxy.net; # 修改为你的Trojan协议网站域名
75

76
            ssl_certificate      /etc/trojan-go/proxy.crt;
77
            ssl_certificate_key  /etc/trojan-go/proxy.key;
78

79
            ssl_session_cache    shared:SSL:1m;
80
            ssl_session_timeout  5m;
81

82
            ssl_protocols        TLSv1.2 TLSv1.3;
83
            ssl_ciphers          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
84
            ssl_prefer_server_ciphers  on;
85

86
            location / {
87
               proxy_pass <https://hijack.net>; # 修改为你将要劫持的域名url
88
               proxy_ssl_server_name on;
89
               proxy_redirect off;
90
               sub_filter_once off;
91
               sub_filter "hijack.net" $server_name; # 修改为你将要劫持的域名
92
               proxy_set_header Host "hijack.net"; # 修改为你将要劫持的域名
93
               proxy_set_header Referer $http_referer;
94
               proxy_set_header X-Real-IP $remote_addr;
95
               proxy_set_header User-Agent $http_user_agent;
96
               proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
97
               proxy_set_header X-Forwarded-Proto https;
98
               proxy_set_header Accept-Encoding "";
99
               proxy_set_header Accept-Language "zh-CN";
100
            }
101
        }
102

103
        server {
104
            listen 80;
105
            server_name web.net; # 修改为你的网站域名(非劫持域名)
106
            rewrite ^(.*)$ <https://$>{server_name}$1 permanent;
107
               }
108
    }

建立config.json配置文件#

需要修改的部分我就不注释了，因为配置文件运行容易报错，我简单说一下

“sni” 和 “hostname” 修改为你的Trojan协议网站域名
“password” 修改为你需要设置的密码，客户机连接会用到

1
# 文件内容如下
2
{
3
      "run_type": "server",
4
      "local_addr": "127.0.0.1",
5
      "local_port": 445,
6
      "remote_addr": "127.0.0.1",
7
      "remote_port": 80,
8
      "password": [
9
          "custom-password"
10
      ],
11
      "ssl": {
12
          "cert": "/etc/trojan-go/proxy.crt",
13
          "key": "/etc/trojan-go/proxy.key",
14
          "sni": "proxy.net",
15
          "fallback_addr": "127.0.0.1",
16
          "fallback_port": 1443
17
      },
18
      "router": {
19
          "enabled": true,
20
          "block": [
21
              "geoip:private"
22
          ],
23
          "geoip": "/etc/trojan-go/geoip.dat",
24
          "geosite": "/etc/trojan-go/geosite.dat"
25
      },
26

27
      "websocket": {
28
          "enabled": true,
29
          "path": "/etc/trojan-go/proxy",
30
          "hostname": "proxy.net"
31
      }
32
}

完成以上五个步骤所需的内容基本就搞定了#

接下来就是部署容器，启用服务端#

1
docker-compose up -d # 运行容器
2
docker-compose logs # 检查容器运行情况

客户端测试#

可以使用trojan协议的客户端有很多，需要自行尝试，我以clash为例配置为：

1
- {name: MySVR, server: web.net, port: 443, type: trojan, password: custom-password, sni: proxy.net, skip-cert-verify: false, udp: true, network: ws, ws-opts: {path: /etc/trojan-go/proxy, headers: {Host: proxy.net}}}
2
# 客户端除server使用网站域名以外，所有内容根据第五步配置文件进行调整

可选：物理机搭建注意事项#

有些童鞋不喜欢使用docker就要用物理机+项目源码的方式搭建，当然可以#

你需要先修改nginx.conf文件的头部为：

1
user nginx;
2
worker_processes auto;
3
error_log /var/log/nginx/error.log;
4
pid /run/nginx.pid;
5
include /usr/share/nginx/modules/*.conf;

还有就是需要注意nginx有可能在启动时会报错

1
systemctl status nginx # 查看运行情况
2
/usr/sbin/nginx -t -q # 查看报错信息
3
# 当出现 [emerg] getpwnam("nginx") failed 的错误信息，你需要
4
useradd -s /bin/false nginx # 加权
5
# 当出现 [emerg] unknown directive "stream" 的错误信息，你需要
6
load_module /usr/lib/nginx/modules/ngx_stream_module.so; # debian环境下加载模组
7
load_module '/usr/lib64/nginx/modules/ngx_stream_module.so'; # centos环境下加载模组

将模组加入nginx.conf文件的头部即可，根据自己的系统二选一加入，不要无脑全复制以上便是本章节全部内容

声明： 本站不会承认该方案为原创#

好，废话少说 现在开始#