前言

某一天，群友告诉我梯子炸了，试了一下果然如此，被 GFW 封了443端口。但是 VLESS+TCP+XTLS 可是所谓的“终极形态”啊，怎么会这么容易地被发现呢？也许是我的问题，也许是 XTLS 或者 VLESS 的问题。但是无论怎么样，我们都需要更隐蔽的代理方式。

于是，我选择了最经典的 Nginx 流量伪装的 V2Ray+WebSocket 这种方式。

原理

Nginx 是一个高性能的 HTTP 和 Web 反向代理服务器。在这里将会像 配置 VLESS+TCP+XTLS + Nginx 流量伪装 + VMess 回落 这篇文章一样配置一个伪装站点，配置伪装内容的站点不在赘述。

Nginx 可以反向代理 WebSocket 流量，因此可以配置 Nginx 将请求转发至后端的 V2Ray 服务器。

分流

Nginx 要怎么区别哪些是网站的请求，哪些是代理请求呢？这个时候便需要用 Nginx 的 location 了。location 可以用来匹配访问不同路径的请求，进而对不同路径的请求进行不同的处理。

因此可以为不同的路径配置不同的处理方式，来将特定路径的请求代理到 V2Ray 服务器上。

代理

Nginx 反向代理可以使用 proxy_pass 这一属性，设置代理请求到其它的服务器上。对于特定路径 /specific/path 的格式如下：

location /specific/path/ {
	proxy_pass http://targetserver.com:12345;
    # 使用 HTTPS 也是可以的
    # proxy_pass https://targetserver.com:12346;
}

配置 V2Ray

这里以 Trojan 协议为例：

{
    "tag": "in-proxy-trojan",
    "protocol": "trojan",
    "listen": "127.0.0.1",
    "port": 10000,
    "settings": {
        "clients": [
            {
                "password": "YourPassword"
            }
        ]
    },
    "streamSettings": {
        "network": "ws",
        "wsSettings": {
            "path": "/yourpath/trojan"
        }
    }
}

后端的 V2Ray 服务器设置为监听本地连接。因为是本地连接，所以没有必要使用 TLS。WebSocket 需要匹配访问的路径，因此还需要设置好路径。

你也可以设置多个入站代理来支持多种协议。

配置 Nginx

Nginx 此时需要打开 SSL/TLS 来保证连接的安全性。由于之前已经配置好了服务器的其它部分，因此这里只给出特定路径部分的配置：

server
{
    listen 443 ssl; # 监听 SSL/TLS 连接
    location /yourpath/trojan {
		proxy_pass http://127.0.0.1:10000;
		proxy_intercept_errors on;
		error_page 400 = https://name.yourdomain/;
		# 代理 WebSocket 连接
		proxy_http_version 1.1;
		proxy_set_header Upgrade $http_upgrade;
		proxy_set_header Connection "upgrade";
        proxy_read_timeout 600s;
		# 传递客户端 IP 地址
		proxy_set_header X-Real-IP $remote_addr;
    	proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
	}
    # ...
}

设置代理 WebSocket 连接

由于 WebSocket 使用 HTTP/1.1，因此 Nginx 访问后端的 V2Ray 服务器时需要使用 HTTP/1.1 协议。添加如下设置：

proxy_http_version 1.1;

建立 WebSocket 连接时，客户端会请求将连接升级为 WebSocket，因此还需要使 Nginx 与后端服务器建立 WebSocket 连接。在此需要设置 Nginx 访问 V2Ray 服务器时的请求头，添加如下设置：

proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";

同时为了防止长时间没有数据发送导致 Nginx 切断连接，这里还可以设置超时时间：

proxy_read_timeout 600s;

传递客户端 IP 地址

由于是 Nginx 访问后端服务器，因此后端服务器并不知道客户端的真实 IP 地址。如果想要让后端服务器知道客户端的 IP 地址，同样需要设置请求头。添加如下设置：

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

捕获后端服务器的 400 Bad Request 响应

当通过不正确的方式访问 WebSocket 的路径时，后端服务器会响应 400 Bad Request。这对 GFW 来讲是一种可能可以被探测到的特征，因此可以设置 Nginx 捕获后端服务器的 400 Bad Request 响应，并跳转到其它位置。这里以跳转到主页为例，添加如下设置：

proxy_intercept_errors on;
error_page 400 = https://name.yourdomain/;

此时访问 https://name.yourdomain/yourpath/trojan 时将会跳转到 https://name.yourdomain 上。

配置客户端

客户端的配置比较简单，请注意选择 WebSocket 协议并使用 TLS 传输层安全，并且将你选择的路径填写到路径选项中。

参考资料