自建與網絡，是對一項服務及通往服務的路徑負責，不只是安裝 VPN 客戶端。先確定要完成的工作，再選擇需要親自控制的最小範圍；開放入口之前，應有方法核對存取、撤銷權限及還原設定。

關鍵要點

互聯網出口、私人區域網絡服務與應用程式代理是不同工作。

管理伺服器亦要管理更新、憑證、防火牆、備份及停用。

握手只證明一個階段；應用程式流量、DNS、IPv6 和還原須分別核對。

先以獲授權的小規模測試核對預期現象，再啟用持續運作服務。

只需日常上網而毋須控制伺服器時，可以考慮託管出口。

本文是一份工作路線圖。IP 閘道可沿Ubuntu 閘道部署教學進行；本機應用程式代理可沿固定版本 Xray 部署教學進行。兩者並非互相依賴的前置步驟。

自建與網絡應完成甚麼工作？

把目標寫成一次請求，而非軟件名稱。「我的獲授權手提電腦透過自己的互聯網閘道上載檔案」交代了裝置、目的地類別及可觀察結果；「安裝代理」則沒有交代這三點。範圍含糊時，即使程序正在運作，也可能沒有證據顯示原本工作經過它。

互聯網出口經閘道把客戶端流量轉送往公開目的地。私人服務向指定獲授權客戶端提供自己控制的資源，例如家中的檔案伺服器。本機代理接收已設定使用其監聽入口的應用程式請求。這些角色可以同時存在，但其中一條連線成功不能替其他角色驗收。

目標	要控制的範圍	要保留的證據	退出條件
授權工作經自己的出口連往互聯網	客戶端路由、隧道、閘道轉送、出口	請求經預期出口且回程正常	還原路由並撤銷客戶端
存取私人網絡服務	遠端存取授權及目的地政策	指定資源可用，無關資源仍拒絕	移除存取而不暴露整個網絡
代理一個應用程式	本機監聽及該程式代理設定	程式經指定入口連往目的地	還原原設定並停止監聽
學習實作	一次性主機、固定版本、有限測試	設定、正反路徑及還原記錄	停止實例並作廢測試憑證

首先決定由誰控制。若需要檢視封包或指定伺服器實作，普通託管服務未必提供所需權限。若只需一般公開互聯網存取，管理作業系統可能增加責任而無助原本工作。建立主機之前，先比較 VPS 與託管 VPN 的維護責任。

家居存取與公開出口應分開。遠端 VPS 閘道不會自動令家中路由器後的打印機可達；仍需要獲授權路徑、存取政策及私人網段重疊檢查。家居路由器準備清單可協助確認本地位址與管理假設，再延伸存取。

甚麼是自建網絡服務？

服務是持續為客戶端提供的能力，不單是已下載的執行檔。有效範圍包括監聽、認證、授權目的地，以及重新啟動後仍讓設定生效的生命週期。WireGuard 把公鑰與 peer 及允許位址關聯；僅有介面並不構成完整互聯網閘道。［1］［2］

應用程式代理須區分本機入站與遠端伺服器。Project X 分開定義入站、出站、VLESS 身份及傳輸保護。［3］客戶端在回環位址接收 SOCKS 請求，不表示遠端監聽正常，亦不表示未設定的程式使用了它。協議分層說明提供背景，而不把各層合併成產品承諾。

首輪選一項可量度的工作。向自己控制的目的地發出瀏覽器請求，可檢查代理路徑；上載檔案可檢查回程及持續轉送；私人控制台可檢查內部服務權限。毋須一開始要求所有程式與位址族都可用；有限且清晰的範圍較易驗證及撤回。

何時值得承擔自建維護責任？

確實需要控制權，而且可以持續維護時，才值得考慮。只有管理權限並不足夠：還需要獨立重新進入主機的方法、跟進安全更新的時間，以及不依賴可能故障服務的憑證及可還原設定儲存位置。

付款之前，先確定要擁有哪一層。主機供應商控制基礎設施，亦可能保留中繼資料；目的地有自己的帳戶及授權要求；網絡營運者仍可影響可達性。自建改變部分路徑的管理者，並不消除全部依賴，亦不會令被禁止的行為合法。

責任	部署前要回答	應暫緩的情況
主機管理	可否獨立透過控制台登入？	唯一管理連線將被重新路由
軟件	可否確認精確版本及支援平台？	指示混用版本或架構
存取	誰發放、保存、輪換及撤銷憑證？	共用設定卻沒有負責人
暴露範圍	每個入口容許哪些來源？	將建立公開無認證代理
還原	最小可逆改動是甚麼？	只能整機還原
持續費用	誰檢查帳單及移除閒置資源？	誤把停止程序當取消主機

可否安全管理主機？

資料路徑失效時，獨立管理路徑應仍可用。供應商控制台、已核對的復原介面或另一條獨立授權連線，都可以擔當這角色。更改轉送及防火牆之前先測試。留住已開啟的終端有用，但不證明改規則後能建立新連線。

共用主機上的管理指令可能影響示例以外服務。整體重設防火牆會移除其他程式的保護；還原舊設定檔可能覆蓋別人的修改。確認每個受影響監聽與規則的擁有者；涉及整機路由或重新啟動時，使用專用測試主機。

能登入不等於獲授權替換現有服務、收集他人流量或借用憑證。作業系統與教學不同時，應改用匹配環境，或只進行文件研究。容器共用重要宿主屬性，不能證明整部 Ubuntu 的開機生命週期。

能否保持服務受支援？

固定版本使練習可重現，但仍要建立更新審查流程。版本固定描述本次評估的設定，不是永久忽略安全修補的許可。一起保留發行頁及設定文件，更新前確認欄位、傳輸及預設是否改變。

亦要預留退出時間。原目標消失後，不應讓無人維護的入口繼續運作或續費。撤銷存取、確認舊憑證失效、刪除自己建立的資源，再獨立查核帳單。卸載作業系統套件與刪除供應商資源是不同管理動作。

如何規劃最小而有用的網絡？

分別規劃管理及資料路徑，再為一個客戶端定義位址、監聽與憑證。圖表要交代請求從哪裏進入及離開。若不能區分管理連線與隧道請求，拓撲便未適合用於防火牆更改。

IP 閘道路徑為客戶端路由 → 加密介面 → 伺服器轉送 → 公開出口 → 目的地。Ubuntu 預設閘道示例除 WireGuard 設定，還需 IPv4 轉送及來源 NAT。［2］代理路徑為應用程式 → 本機監聽 → 受保護遠端連線 → 伺服器出站 → 目的地。兩者都處理互聯網工作，卻需要不同控制。

自建互聯網閘道的位址及監聽範圍

選擇不與客戶端日常區域網絡、其他 VPN 或伺服器網絡重疊的網段。客戶端介面位址與公開伺服器端點應分開記錄。私人隧道位址識別路徑內部介面，不一定是公開目的地看到的位址。

只供本機程式使用的代理應綁定回環位址。綁定全部介面會擴大可接觸服務的人群。公開伺服器在可行情況下應結合認證協議及來源限制，不能用防火牆規則取代認證。

安裝前盤點監聽，記錄連接埠、協議、所屬程序及防火牆負責人。同一號碼的 TCP 與 UDP 是不同監聽。已供網站使用的連接埠，不可只因教學採用它而改派。選擇空閒測試連接埠並記錄差異，讓兩端一致。

憑證及目的地權限

每個需要獨立管理生命週期的單元應有自己的憑證。若要單獨撤銷一部裝置，將同一設定複製至所有裝置便無法達標。私密值不要放進支援個案、儲存庫歷史、截圖、指令參數或公開貼文服務。公鑰亦可能揭示設定關係，診斷毋須時也應隱去。

記錄各欄位屬於哪一端。伺服器私鑰留在該端，客戶端取得對應公開資訊。身份令牌授權協議用戶，路由決定哪些流量到達該協議。用更換前者處理後者，會產生誤導結果，甚至洩露憑證卻未解決故障。

授權不限於登入。預先決定客戶端只可前往公開目的地、指定測試服務還是私人子網。服務若可到達主機管理網絡，認證客戶端可能獲得超出預期能力。目的地政策應獨立驗收，不可假定加密自然限制存取。

DNS 與 IPv6

DNS 亦是一條請求路徑。確認程式在本機解析、客戶端解析器使用特定介面，還是代理把名稱交往遠端解析。一次 IP 請求成功無法回答這些問題。記錄解析器及查詢方法，並在實際評估的同一程式驗證解析。

IPv6 要明確決定。IPv4 預設路由不會自動替換 IPv6 預設路由。瀏覽器可選任一位址族，程式亦可能繞過預期 IPv4 路徑而看似正常。首輪只涵蓋 IPv4 時，使用沒有有效替代 IPv6 路徑的受控客戶端，並清楚註明限制。

IP 頁面的國家標籤不是完整安全測試。它可協助核對該請求的可見出口，卻不能說明另一程序、DNS 或服務停止後的流量。稱為保護方案前，要先定義連線失敗時的行為；路徑可用與防洩漏政策是獨立交付內容。

哪條部署路線適合你的工作？

需要經介面路由指定地址集合時，選 IP 閘道；能明確把目標應用程式請求送到本機入口時，選應用程式代理。兩者都不保證更快、更便宜、匿名或兼容所有軟件。

路線	適合的首個工作	自己要承擔	不足以驗收的證據
WireGuard IP 閘道	授權客戶端經自己的閘道完成 IPv4 工作	peer 密鑰、允許位址、轉送、NAT、DNS	只有近期握手
VLESS/REALITY/Vision 代理	一個程式明確使用本機 SOCKS 入口	核心版本、身份、REALITY 配對、flow、客戶端設定	程序運作或回落回應
私人網絡存取	到達指定內部服務	路由、權限、網段重疊處理	公開出口 IP 改變
託管日常出口	使用支援裝置而不管理伺服器	帳戶、客戶端設定、服務條款	宣稱未公開的協議能力

WireGuard 角色與機制指南先說明 peer 關係；部署教學再補轉送及生命週期。分工清楚後，作業系統版本改變時可更新操作指示，毋須重寫協議定義。

Project X 傳輸設定決定代理訊息如何傳遞及鏈路如何保護。［4］REALITY 設定不會自動把每個程式變成隧道客戶端。透過全隧道與應用程式代理比較，定義實際要涵蓋的流量。

作業系統流量接管可參考TUN 與系統代理範圍。回環 SOCKS 監聽的範圍小於裝置路由。程式不能使用該入口時，選有文件支持的接管機制，視為另一項有還原方案的改動；不可暗中把伺服器教學延伸成整機保護承諾。

避免意外疊加路徑

代理測試期間再加入另一個 VPN，可能同時改變通往伺服器的路由、解析器及目的地出口。成功請求此時屬於組合路徑，而非獨立部署。保留日常網絡設定，只在能還原基線的授權測試客戶端試驗。

比較兩條路徑時，用同一有限工作，記錄每個請求實際經過哪一條。另一伺服器與協議成功，不足以定位自建實作的失敗階段。它有助選擇服務，但不是故障定位證據。

如何驗證存取與還原？

驗收表每行應代表獨立命題。最低限度記錄版本、設定修訂、可關聯時間、請求方法、預期結果及失敗處理。不複製完整憑證或封包內容；私有運作設定與公開脫敏證據分開保存。

命題	檢查方法	預期現象	失敗處理
設定已載入	驗語法，核對服務路徑及版本	使用預期設定及執行檔	測試流量前先修正路徑
授權客戶端獲准	用分配憑證建立新連線	認證到達文件所述下一階段	比較該階段設定
工作使用預期出口	重做授權請求及核對出口證據	預期伺服器觀察到請求	查接管、轉送、路由及回程
未授權客戶端被拒絕	未登記的一次性憑證新連線	沒有認證後轉送	停止暴露，檢查存取控制
撤銷有效	移除執行中及持久授權，再新連線	舊憑證不能取得新授權連線	找出重建權限的來源
重啟生命週期有效	只重啟獲授權測試主機	原監聽及政策按預期返回	查啟動依賴及持久設定
還原有效	只撤回測試改動，回讀基線	管理連線及原工作恢復	停止修改並檢查漂移

正向與拒絕測試有何分別？

正向測試證明一項授權請求能通過；拒絕測試核對未授權請求能否跨過同一邊界。使用自己的一次性憑證及授權目的地，不猜別人的識別碼或探測無關系統。預期拒絕是一項政策結果，不一定對應某段固定錯誤訊息。

REALITY 可把未通過認證的流量送往設定目標。［4］失敗嘗試收到資料，不代表代理認證成功。關聯客戶端請求、預期伺服器認證階段及目的地記錄。不一致時，記錄實際到達的階段，不以綠色「已連線」標籤概括。

撤銷比刪除客戶端訂閱更具體。從有效伺服器狀態及其持久來源移除授權，再驗證新握手。已認證連線需要獨立終止證據；應急方法若停止整個實例，要先考慮其他用戶影響。

找出第一個失敗邊界

依設定與監聽、認證、轉送、目的地回應逐層檢查。一次替換多個欄位會丟失故障資訊。寫一個假設，做一項小改動，重複同一請求；未按預期前進時，回復上一設定。

版本不符應先檢查。滾動文件的欄位可能未獲已安裝版本支援；驗證器亦可能接受不能表達預期路由的設定。語法、語義及實際請求要分別有證據，不能由指令成功推定全部成立。

重新啟動驗收需要真實作業系統與服務管理器。重啟容器不證明宿主防火牆在開機時還原。不能安全重啟主機時，保留生命週期未驗證範圍，繼續有限臨時試驗，不宣稱持久部署已完成。

自建網絡維護需要甚麼？

維護需要負責人、改動記錄及不依賴服務的還原路徑。按支援版本、安全通知、憑證或域名到期及自身需要安排檢查。固定日程仍須配合能捕捉兩次例行檢查之間變化的流程。

保留可還原設定、服務單元、相關防火牆政策及版本清單。含憑證備份要加密並限制取用；在另一授權環境測試還原。備份存在，不證明完整、可讀或兼容現有執行檔。

更新與漂移

更新前讀發行說明，比較實際使用欄位。保留已知可用執行檔及相容設定，避免降級時混用舊程式與新語法。更新後重啟成功只是開始，仍須重做工作、拒絕、解析器及流量範圍檢查。

版本以外亦有變化：供應商可改網絡，客戶端可匯入過時訂閱，管理面板可重建憑證或用戶清單。記錄哪個持久來源會重建狀態；只修執行中程序，舊問題可能在重啟後返回。

日誌只保存回答問題所需資訊。時間、內部用戶標籤、階段及錯誤類別可能足夠。長期保存完整 URL、UUID 或內容，可能形成另一安全問題。設定保存期限及存取權限，不為假想未來事件收集一切。

停用及還原

退出服務前停止發放存取。撤銷憑證、核對新連線拒絕，再按文件生命週期方法終止已有連線。移除監聽及僅為該服務引入的路由與規則，保留無關服務及共用設定。

回讀還原後系統，確認日常管理可用、測試連接埠關閉、臨時資源移除及原網絡設定返回。若別人期間改了共用檔案，協調相關欄位，不要以備份覆蓋整份檔案。

帳單清理獨立處理。已停止的服務仍可佔用收費主機、位址、磁碟或快照。按供應商流程清理自己擁有資源；決定保留哪些運維記錄之前，不刪除唯一可還原設定。

在哪裏找本專題的教學？

先看兩篇基礎教學，本專題其餘文章按任務分組列出。

基礎

建立及核對 Ubuntu IPv4 閘道：peer 擁有權、轉送、拒絕、重啟及還原。
以固定 Xray 版本設定應用程式代理：VLESS 身份、REALITY 配對、Vision、本機入口及撤銷。

閘道與 WireGuard 伺服器

應用程式代理伺服器

維護與排解問題

路由器與 Linux 閘道

客戶端、DNS 與本地分享

其他專題背景閱讀見上文責任比較、協議及流量接管指南；它們解釋決策，不是本專題額外部署教學。先完成其中一條路線及驗收記錄，再組合服務。

總結

選軟件前先定義請求及需要控制的範圍。
保留管理存取、憑證擁有權及最小還原方案。
分別驗收認證、轉送、DNS、流量範圍、拒絕與生命週期。
保持版本與持久狀態一致，並有計劃地清理資源。

常見問題

自建能令我匿名嗎？

不能。它改變部分路徑的營運者，但主機供應商、目的地帳戶及其他網絡依賴仍在。應為必要控制權自建，而非相信匿名保證。

必須租 VPS 嗎？

不一定。適合主機取決於工作及授權可達性。私人網絡存取與互聯網出口要求不同，購買公開主機不會自動解決兩者。

安裝 VPN 客戶端為何不等於部署伺服器？

客戶端可選路由或提交代理請求，但伺服器仍需認證、監聽政策、轉送及生命週期管理。已安裝程式只證明其中一個組件。

握手證明全部流量受保護嗎？

不能。它證明某次認證交換到達預期階段；程式接管、DNS、IPv6、目的地及失敗行為，仍須分別以請求核對。

甚麼需要定期維護？

支援軟件、憑證、監聽、路由、備份、域名依賴及收費資源都要有負責人。相關變化時檢查，更新後重做驗收。

未有還原環境可以開始嗎？

獨立管理與小範圍還原未就緒前，保留在規劃或文件研究階段。可能把自己鎖在外面的流程，不會因設定看來正確而準備完成。

只需要日常互聯網存取怎麼辦？

比較誰負責出口維護及服務實際支援裝置。託管服務可省去伺服器管理，但仍須按原工作核對條款及客戶端行為。

適用範圍：供自有或獲授權網絡規劃使用，未進行作者部署或效能實測。所連教學分別交代版本及驗證範圍。遵守當地法律及服務規則。

來源:

WireGuard, "Quick Start": https://www.wireguard.com/quickstart/
Ubuntu Server, "Using the VPN as the default gateway": https://ubuntu.com/server/docs/how-to/wireguard-vpn/vpn-as-the-default-gateway/
Project X, "VLESS inbound configuration": https://xtls.github.io/en/config/inbounds/vless.html
Project X, "REALITY configuration": https://xtls.github.io/en/config/transports/reality.html

Sources checked 2026 年 10 月 9 日。

相關文章：

自建與網絡實用指南：規劃、部署及持續維護的責任範圍