CN2 GIA 线路机与住宅出口的双机方案

来源：X @bingwujinyi

搭建科学上网节点时，很多人希望用一台美国 VPS 同时满足 CN2 GIA 优化线路、美国原生住宅 IP 和较低价格三个条件 ^[0]。这种全能 VPS 并不常见，因为线路质量和出口身份是相互独立的两个问题：前者影响中国大陆到境外服务器的连接质量，后者决定目标网站看到的公网地址类型 ^[0]。工程上更可行的做法是拆分任务：线路机 A 负责连接稳定，住宅机 B 负责出口，两台机器通过隧道串联 ^[0]。

协议分工：每段链路只用最合适的工具

协议分配如下：客户端到线路机 A 的第一段使用 VLESS + REALITY + Vision，A 到住宅机 B 的第二段使用 WireGuard ^[0]。客户端不直接连 WireGuard，原因在于 Xray 官方文档指出：WireGuard 密码学强度足够，但固定 UDP 流量特征易被识别和封锁，和 Shadowsocks、VMess 一样缺乏 TLS/REALITY 提供的 HTTPS 外观，不适合直接用于过墙 ^[1]。REALITY 补上了这一环。它不是代理协议，而是一种替代传统 TLS 的传输层安全机制，常与 VLESS 配合：服务器不暴露自身证书，而是借用真实目标网站的 TLS 身份特征（SNI、ALPN、握手参数）来回应探测，使观察者误以为它在与该网站通信 ^[57]。免域名、免证书、部署简单 ^[56,58]；配合 VLESS 时，建议启用 xtls-rprx-vision 流控以提高性能 ^[57]。WireGuard 因此只在美国境内的 A 与 B 之间工作，不跨越大洋 ^[0]。它只承担隧道职责，不承担过墙职责，两段各取所长。

CN2 GIA 线路机：先弄清 GIA 值钱在哪

CN2 是中国电信的新一代骨干网（ChinaNet Next Carrying Network），AS 编号为 AS4809 ^[15,19]。GIA（Global Internet Access）是产品线中等级最高的：省级、出国和国际骨干节点都以 59.43 开头，全程无 202.97 节点，具有独立回国链路和较轻负载，是中国电信质量最好、价格最高的线路 ^{[15,19,24,52]}，为企业客户提供中国方向的优质互联网专线接入 ^[16]。相比之下，CN2 GT 仅在国际出口使用 CN2，进入国内仍走 163 骨干网，高峰期容易拥堵 ^{[15,16,17,19,24]}。163 承载了电信约九成业务负载，普通国际线路晚高峰丢包率可达 30% 以上 ^[15,52]。这是 CN2 GIA 标签价值高的原因。但商家的 CN2 GIA 标签不代表所有情况都好用。素材建议在购买前逐条核对以下清单：是否提供测试 IP 或 Looking Glass；中国到服务器和服务器回中国的双向路由；晚高峰的延迟、抖动与丢包；所在省份和运营商的实际表现；带宽是否共享、限速或严重超售；TCP/443 是否可用 ^[0]。运营商维度尤其需要实测。住宅类精品线路也出现过运营商差异故障：某商家公告 COGENT ISP 住宅产品在中国联通去程拥堵，而电信和移动不受影响 ^[48]。市场产品也印证了线路与身份是两个维度：一些套餐将两者捆绑（双 ISP 家宽住宅 IP 加中国大陆优化线路 ^[48]，或三网 CN2 GIA 回程配原生 IP ^[45,47]），另一些商家则明确分开销售（CN2 母鸡套餐注明非 ISP 住宅 IP ^[48]）。购买机器时，两个属性应分别核对。

住宅出口机：数据库中的住宅只是推测

住宅机 B 不承载中国方向连接，因此无需昂贵的中国优化线路，重点在出口属性 ^[0]。素材列出的条件包括：有 root、TUN、WireGuard 和 NAT 权限；是真正的 VPS 而不是 SOCKS/HTTP 代理账号；出口在多家 IP 数据库中定位为美国；ASN、ISP 和 User Type 接近居民宽带；没有明显的 Hosting、VPN、Proxy 标记；最好有独享、稳定的 IPv4；与 A 位于相同或相近地区 ^[0]。但这里的住宅属性需要打折理解。MaxMind 对 User Type 中 Residential 的官方解释是该 IP 可能被用于住宅互联网（likely used for residential internet use）^[29]，依据地址注册、使用模式和共享用户数量等信号 ^[29,31]。其用户计数字段本身就是过去 24 小时共享该 IPv4 的估计用户数 ^[31]。MaxMind 还有一份 Residential Proxy 数据库，用于识别曾在住宅代理网络中出现的 IP，并给出置信度、时间戳和代理提供商名称 ^[28]。因此，数据库提供的是概率性推测，而不是认证。住宅 ASN 不保证完全解锁，只是选型参考 ^[0]。

第一段：3x-ui 面板与 REALITY 入站

第一段用 3x-ui 管理。3x-ui 是一款支持多协议、多用户的 Xray 管理面板，带流量、到期时间和 IP 限制 ^[10]，属于第三方项目，不是 Xray-core 官方 ^[0]。素材按 v3.5.0 界面编写 ^[0]，该版本在 AUR 中有对应包（3.5.0-1）^[11]。当前版本将入站和客户端分开管理：先创建入站，再到独立的 Clients 页添加客户端并关联 ^[13]。素材建议原生安装而不是 Docker，因为容器会引入网络命名空间、宿主机转发和容器 NAT，使后续 WireGuard 策略路由复杂化 ^[0]。安装后进行面板安全设置：端口不要占用代理用的 TCP/443；用 HTTPS，或只监听 127.0.0.1 并通过 SSH 隧道访问；启用 2FA、强密码和随机访问路径；管理端口只允许自己的 IP；保留 SSH 与服务商控制台；定期备份 /etc/x-ui/x-ui.db ^[0]。在整条线路配置完成前，不要启用 VLESS 入站，以免测试流量直接从 A 出口 ^[0]。入站配置中决定成败的是 REALITY 的 Target 选择。REALITY 机制要求目标网站支持 TLS 1.3 和 HTTP/2、不重定向，最好与服务器 IP 地理位置接近 ^[57]。实践中可用浏览器开发者工具检查站点是否满足 TLS 1.3 / x25519 / H2，再选择与 VPS 地理位置相近或较冷门的网站 ^[56]。如果目标选得不好或服务器时间不准，即使配置全对也可能握手失败 ^[58]。素材建议使用面板自带的 Target 扫描功能，选择标准包括：线路机可稳定访问、支持合适的 TLS、SNI 与证书域名一致、网络相近、不是大型 CDN ^[0]。未通过 REALITY 验证的连接可能被转发到 Target，若选择大型 CDN 地址，服务器被扫描后可能成为可滥用的转发入口 ^[0]。接下来生成 X25519 密钥对、Short ID 和与 Target 证书匹配的 SNI：服务端私钥只留在 A，客户端持有公钥 ^[0]；面板可自动生成密钥 ^[13]。在独立的 Clients 页添加客户端：关联 VLESS 入站，UUID 使用面板生成值，Flow 填 xtls-rprx-vision，邮箱填设备标识 ^[0,57]，最后导出二维码或 VLESS 链接 ^[0,10]。素材建议客户端先保持关闭 Mux ^[0]；分享链接中 type=tcp 与界面显示的 RAW 并存是正常的兼容表示 ^[0]。

第二段：A 与 B 之间的 WireGuard

两台机器之间用 WireGuard 建立隧道，方向为住宅机 B 主动连接线路机 A，因为部分住宅 VPS 没有稳定的公网入站端口，B 只需能向外发送 UDP ^[0]。A 端不填 Endpoint，等待 B 连接；B 端设置 PersistentKeepalive = 25，这是官方针对 NAT 后节点的常用配置 ^[0]。A 的防火墙或安全组开放 UDP/51820 ^[0]。密钥只交换公钥，私钥不发送给任何人 ^[0]。A 端配置最关键的是 Table = off ^[0]。Table = off 时，wg-quick 完全不碰路由和防火墙规则，一切由管理员处理 ^[39,41]；默认的 Table = auto 在遇到 AllowedIPs = 0.0.0.0/0 时会额外添加路由表、路由规则、标记和防火墙规则 ^[39]。不关掉它，wg-quick 可能自动接管 A 的系统默认路由，影响 SSH、REALITY 回包和服务器自身联网 ^[0,39]。

B 上的转发与 NAT：让目标网站看到 B

A 上的 Xray 会终止第一段连接并建立新连接，所以 A 不需要开启 ip_forward；实际转发 IP 数据包的是 B ^[0]。在 B 上开启转发（/etc/sysctl.d 下配置），并用当前使用的 nftables、UFW 或 iptables 持久化 NAT 规则：数据包离开 B 的公网网卡前，源地址从隧道内网（如 10.77.0.1）改写为 B 的公网出口 IP ^[0]。目标网站建立连接时看到的是 B，而不是 A ^[0]。

A 上的 fail-closed 策略路由

A 不能将整个默认路由切换到 B，正确做法是只让 Xray 的流量进入隧道 ^[0]。具体实现是 fwmark 加独立路由表：Xray 出站套接字打上标记，用 ip rule 将带标记的流量导入专用路由表，表中默认路由指向 wg 接口 ^[0]。这是 Xray 官方文档推荐的 fwmark 加路由表分流方案 ^[34,40]。素材特别强调一个易被忽略的坑：WireGuard 掉线后专用表变为空表，Linux 可能继续查询主路由表，最终从 A 的机房 IP 出去 ^[0]。因此该表必须永久保留一条 unreachable default。WireGuard 正常时，低 metric 的 wg 默认路由优先；隧道消失后，这条路由随接口消失，只剩 unreachable default，流量直接失败，不会回落到 A 的机房 IP ^[0]。IPv6 同样配置不可达路由：本方案没有住宅 IPv6，不能允许 IPv6 从 A 的公网接口旁路 ^[0]。落地时，将这些规则封装为 systemd 服务（如 xray-egress-guard），让 3x-ui 等待策略路由和 WireGuard 就绪后再启动；启动顺序为先 A 后 B ^[0]。

面板路由：把两条腿接起来

在 3x-ui 中添加出站配置：协议 Freedom，Tag 为 residential，Domain Strategy 用 ForceIPv4，Sockopt 打开，Mark 填 102，Interface 留空 ^[0]。素材提醒不要同时填写 Mark 和 Interface。Xray 文档将 fwmark 和 sockopt.interface 作为两种可选方案分别给出 ^[34,40]；只绑定 Interface 在 Table = off 下不能自动完成策略路由，用 Mark 更容易验证，也便于断线保护 ^[0]。sockopt.interface 方案也有已知缺陷：有用户报告绑定 WireGuard 接口后只有 IPv4 被路由，IPv6 不生效 ^[33]。路由规则顺序：API 规则保留为第一条；Inbound Tag 选 VLESS 入站的真实标签；Network 覆盖 tcp,udp；Outbound Tag 指向 residential；放在普通直连规则之前；保留私网地址和滥用阻断规则 ^[0]。最好将 residential 放在出站列表首位，这样即使路由标签选错，Xray 也不会静默使用未标记的 direct 出站；如果无法调整顺序，就为原有 direct Freedom 出站也设置相同的 fwmark 102 ^[0]。

客户端接入与验证

客户端只需将导出的 VLESS 链接导入支持 REALITY 和 Vision 的软件 ^[0]。如果只使用浏览器，可以用系统代理；如果希望大部分程序都走节点，应启用 TUN 或 Route All、远程 DNS（DNS 经代理或 FakeDNS）、禁止 IPv6 直连、启用 xtls-rprx-vision，初始阶段关闭 Mux ^[0]。线路机 A 上的 Xray DNS 不要使用 localhost、https+local:// 等 Local Mode，因为这类查询不会经过正常路由。按 Xray 文档，非 Local DNS 可以通过 dns.tag 进入正常路由系统 ^[0]。验证分四步 ^[0]：检查 WireGuard 状态，latest handshake 持续更新、传输计数双向增长；检查 A 的策略路由，带 mark 102 的流量查表指向 wg 接口，不带标记的流量仍走 A 自己的公网网卡；检查 IPv6，未配置住宅 IPv6 时应返回不可达；最后做断线测试——停止 WireGuard 后客户端必须无法访问外网，而 A 的 SSH 和系统直连保持正常。最后一条是整套路由隔离的验收标准：隧道停止后客户端仍能访问，说明策略路由、出站排序或 fwmark 配置有遗漏 ^[0]；恢复隧道后应自动回到正常路径 ^[0]。

代价与边界

双机方案的代价明确：两台机器两份费用，多一跳延迟，多一份运维，任何一端故障都会影响使用 ^[0]。素材认为，普通浏览未必需要这么复杂；只有同时关注中国方向线路质量和美国住宅出口时，拆分才有意义 ^[0]。住宅类 VPS 通常也比纯机房 IP 的 VPS 价格更高 ^[44]。还需明确方案的边界：它改变的只是网络出口。网站仍会结合账号地区、Cookie、时区、语言、WebRTC、浏览器和设备指纹进行判断，住宅 IP 无法解决账号环境的稳定性和一致性 ^[0]。