基于云服务的分布式系统网络性能优化实验记录

在折腾 VPS 网络环境时，我们往往面临一个两难的选择：是追求极致的稳定性与隐蔽性，还是追求在恶劣网络环境下的极致速度？

很多人的答案是“我全都要”。

基于这个需求，我设计了一套“一机双发”的配置方案。这套方案在同一台 VPS 上同时运行了两套逻辑完全不同的协议栈：一套是基于 TCP + XTLS-Vision 的“伪装大师”，另一套是基于 UDP + Hysteria 2 的“暴力美学”。两者互为备份，并在系统底层做了 BBR 拥塞控制和 IPv6 优化。

今天这篇博客不谈 apt install，我们来聊聊这套配置背后的设计哲学与运行原理。

一、主战坦克：443 端口的“隐形堡垒” (Xray/VLESS)

这套架构的核心是一套基于 Xray 的 VLESS 协议，它监听着服务器最神圣的端口——443。

1. 为什么是 XTLS-Vision？

在配置中，我们使用了 VLESS + TCP + TLS + XTLS-Vision。

早期的代理协议像是在数据包外面包了一层信封（TLS），但在高墙日益智能的今天，简单的包裹已经不够了。XTLS-Vision 是一种“穿透”技术，它能极其逼真地模拟正常的 TLS 1.3 握手流量。

原理：它不仅仅是加密，而是对流量特征进行了“整形”。当你的数据流经防火墙时，它看起来和访问普通的 HTTPS 网站没有任何区别，从而大幅降低被主动探测机制（Active Probing）识别的风险。

2. 精妙的“洋葱式”回落机制 (Cascading Fallback)

这套配置最精彩的地方在于它的回落（Fallback）设计。我们将流量处理设计成了一个漏斗，层层筛选：

第一层（门神）：流量到达 443 端口。Xray 检查这是否是合法的 VLESS 请求（通过 UUID）。如果是，直接放行代理，速度飞快。
第二层（管家）：如果请求不是 VLESS 协议（比如有人用浏览器直接访问，或者探测器来扫描），Xray 会把它“踢”给本地的 8388 端口。这里运行着一个 Trojan 协议监听器。
- 为什么要这一层？ 这提供了一种兼容性冗余。如果你手头有只支持 Trojan 的老旧设备，依然可以通过 443 端口连接进来。
第三层（伪装）：如果 8388 端口发现来的流量连 Trojan 密码都不对（彻底的陌生人），它会再次回落，把流量转发给 Nginx (80端口)。
终点（门面）：Nginx 会展示一个精心准备的静态网站（比如一个能源仪表盘页面）。

效果：对于探测者来说，无论他怎么扫描 443 端口，只要没有密钥，他最终看到的永远是一个人畜无害的“能源监控系统”网站。这就是完美的“大隐隐于市”。

二、疯狂麦克斯：UDP 赛道的 Hysteria 2

如果说 Xray 是平稳的轿车，那 Hysteria 2 就是加装了氮气加速的越野车。我们在 8848 端口 部署了这套备用方案。

1. 暴力美学的原理

Xray 走的是 TCP 协议，讲究“握手”、“确认”、“有序”，在网络丢包率高的时候，TCP 会反复重传，导致速度骤降。

Hysteria 2 基于 UDP，它的逻辑是自研的拥塞控制。它不管网络堵不堵，只要带宽允许，就通过暴力发包来抢占速度。

适用场景：当晚高峰线路拥堵，或者你在使用移动数据网络、公共 WiFi 等丢包严重的坏境时，TCP 协议可能卡得动不了，但 Hysteria 2 依然能跑满带宽。

2. 也是一种伪装：自签证书 + Masquerade

虽然 Hysteria 2 追求速度，但裸奔是危险的。配置中虽然使用了自签名证书（无需购买域名），但配合了 Masquerade（伪装） 模式。

逻辑：当外界探测这个 UDP 端口时，Hysteria 会模拟成 bing.com 的流量特征进行回复。这虽然不如 443 端口的 TLS 那么完美，但在 UDP 的混战中足以迷惑大多数自动化嗅探工具。
限速的智慧：配置中特意限制了上行 13Mbps/下行 50Mbps。这不仅是为了防止 VPS 流量超标，更是为了避免长时间占满带宽被云服务商判定为 DDoS 攻击而封号。

三、地基加固：系统级优化

再好的软件也需要优秀的操作系统环境支持。

BBR 拥塞控制：这就好比给服务器装了涡轮增压。Linux 默认的拥塞控制算法比较保守，开启 Google 的 BBR 算法后，能显著提高 TCP（即 Xray 那部分）在长肥管道（高延迟、高带宽）链路上的吞吐量。
IPv6 的取舍：我们在配置中坚决地禁用了 IPv6。
- 原因：目前的代理生态中，IPv6 经常导致路由黑洞或者 DNS 解析泄露（DNS Leak）。强制系统只走 IPv4，相当于把复杂的立交桥封死，只走最熟悉的主干道，虽然牺牲了先进性，但换来了极致的稳定性和可控性。
看得见的流量：vnStat安全感来源于“看见”。通过部署 vnStat，我们可以实时监控网卡流量。这不仅是看个热闹，更是为了第一时间发现异常流量（比如被当成了肉鸡，或者配置错误导致流量回环）。