Xray 升級需要可還原的二進制與設定組合；遷移主機還要清楚安排端點切換及資源退役。每次只改一個變數，啟動前以目標版本檢查設定，回退時仍須執行後來的憑證撤銷決定。

關鍵要點：

登記實際服務，包括 drop-in、運行用戶及數據檔案。

使用固定官方版本，保留可信舊程式及配套設定。

解析通過不代表客戶端兼容或流量行為正確。

本文的 Xray 升級程序適用於甚麼部署？

本文適用於 Ubuntu 24.04 LTS 原生 Xray 與 systemd，路徑依照 Xray-install 的 FHS 佈局。示例目標為官方穩定版 Xray-core v26.3.27；這是固定例子，不表示每個部署都應升至此版。須閱讀現有版本至目標版本之間的相關發行說明。本文按官方文件整理，未進行完整端到端實測。［1］［2］

先透過自建網絡運維框架確認管理歸屬。你需要 sudo、已驗證的獨立控制台、維護時段、授權試切客戶端、受保護備份及還原舊版能力。未獲中斷許可時，不可操作共享生產實例。

這不是面板資料庫搬遷。由面板、容器映像或套件管理器擁有的部署，須採用其支援的備份與生命週期流程，不覆寫受管理檔案。資料庫匯出不能通用替代 Xray 程式、JSON 設定、憑證、規則與證書備份。Xray 與 V2Ray 元件說明可協助識別真正服務客戶端的可執行檔。

選擇一個分支：保留端點，在原主機升級；或先把可信現有版本移到新主機，日後才升級。把作業系統搬遷、核心升級、傳輸更改及密鑰輪換混在一起，會令試切失敗難以定位。已確認洩漏屬例外：在可信基建還原並更換受影響憑證，不要復活已洩漏身份。

步驟 1：記錄實際服務與還原組合

只在本機讀取中繼資料，不輸出完整 JSON 或秘密環境變數：

/usr/local/bin/xray version
sudo systemctl is-enabled xray
sudo systemctl is-active xray
sudo systemctl show xray -p FragmentPath -p DropInPaths -p User -p Group -p ExecStart
sudo systemctl cat xray

單元文字須私下檢查，自訂參數可能含秘密，分享前須遮除。記錄實際可執行檔及 ExecStart 每個 -config 或 -confdir 輸入，不假定只有 /usr/local/etc/xray/config.json。記下運行身份、capabilities、檔案存取、環境檔路徑及資源目錄設定，但不把秘密值複製至報告。［1］［4］

還原項目	保存內容	原因
可執行檔與版本	可信舊程式、架構及發行來源	新設定結構未必能由舊程式讀取
設定輸入	全部已載入 JSON 及排序約定	單一檔案可能漏掉有效入站或路由
服務定義	單元、準確 drop-in、啟用狀態、用戶及 capabilities	正確 JSON 也可能以錯誤身份運行
規則及外部檔案	實際 geoip/geosite、引用檔案及路徑	缺失或改變規則會影響流量選擇
憑證及證書	有效憑證、使用中的證書與私鑰、續期歸屬	忽略生命週期還原秘密可能恢復已撤銷存取
網絡依賴	DNS、供應商及本機防火牆、上游依賴	核心設定備份並不包含這些內容

獨立保存附日期撤銷記錄，以及有效客戶端的非秘密參數。備份只供 root 存取，異機副本加密，並確認還原負責人能讀取。快照名稱唯一，不讓面板自動工作覆蓋可信還原集合。只備份實際使用的證書私鑰，續期秘密仍依原存取政策保存。

寫下回退觸發條件與適合部署的最長決策窗口，例如啟動失敗、必要舊客戶端失效、路由錯誤或管理存取中斷。程序啟動成功不能單獨關閉觀察窗口。不要為新套件騰出空間而刪除舊還原組合。

步驟 2：準備官方目標，避免執行未知腳本

開啟固定發行頁，確認 XTLS 項目、架構及相關變更，再取得相符官方制品。保存其提供的完整性資料，按官方發行方式驗證。校驗值只檢查制品，不證明隨機鏡像可信；不可只因版本字串較大便選預發行版。［2］

如採用 Xray-install，先下載官方倉庫腳本至受保護工作區，記錄已審閱修訂，讀清安裝、服務及數據檔行為後才執行。固定目標版本，不執行未審閱的 curl | bash，不啟用 beta，也不假設它只改程式。準備階段毋須執行安裝器。［1］

手動升級分支把已驗證目標程式解包至 root 控制、獨立於生產的暫存目錄；示例為 /root/xray-change/target/xray。設成可執行並先核對 version。替換任何內容前，把舊程式保存在 /root/xray-change/backup/xray，連同配套設定及其他還原材料保存。這些只屬本次操作示例路徑，不可覆寫舊還原工作區。

暫存所有有效設定輸入，依獨立記錄移除已撤銷憑證，只改目標版本要求的內容。生產秘密須保持私密，不公開合併設定，亦不以 CLI dump 作快捷診斷，因為它可能披露有效認證資料。

步驟 3：離線設定檢查能證明甚麼？

實際單元只載入一個設定檔時，以目標程式檢查暫存副本：

sudo /root/xray-change/target/xray version
sudo /root/xray-change/target/xray run -test -config /root/xray-change/target/config.json

把輸入路徑換成自己的副本。目錄部署改用對應 -confdir；明確多檔案部署則保留實際輸入及次序。固定版本 CLI 定義 -test 為只測設定、不啟動伺服器。它仍需引用檔案及正確資源路徑，須使用已審閱部署環境。［3］

通過只證明目標程式可在該上下文載入設定，並不證明運行用戶可讀取檔案、綁定端口、存取證書、連接依賴或與所有客戶端互通。檢查實際單元用戶的目錄穿越及檔案權限，不把整個秘密目錄改成所有人可讀。保留最小必要 capabilities，不要為消除錯誤而把服務改以 root 運行。

用可信舊程式檢查已重套最新撤銷的回退設定。無法準備可載入的舊組合時，切換前停止。新版專屬設定可能需要舊設定配對，只換回舊可執行檔並非完整回退。

步驟 4：切換版本或主機，二擇其一

在現有主機升級

除非發行說明要求，端點、協議及客戶端設定維持不變。在授權時段只停止 xray，把審閱過的目標程式及暫存設定依登記路徑、擁有者及權限安裝，啟動同一單元。若改單元或 drop-in，先執行 daemon-reload；純設定改動毋須此步。［4］

採用平台已審閱的替換流程，避免複製中斷留下不完整程式。不要同時重新設計路由或清理無關服務。私下記錄版本、單元狀態及首個相關 journal 錯誤；啟動失敗便進入成套還原，不隨機試多個版本。

遷移 Xray 伺服器基建

先以可信現有版本建立替代主機。經已認證且主機密鑰已核驗的管理通道，傳送必要設定及還原材料，重建運行身份、capabilities、資源路徑及受限制防火牆入口。不要把整部主機或面板資料庫複製到不同佈局，便假設有效單元不變。

使用獨立試切設定，指向新端點並填入預期伺服器身份及憑證。伺服器公有參數、證書或域名依賴、REALITY 設定，只按所選分支需要修改。不可盲目複製證書續期歸屬，不公開新設定；舊端點只在仍可信且獲授權時保留。

DNS 編輯不會強制每個應用丟棄有效連接或快取設定。依客戶端文件重新連接或匯入，再核對實際目的地。客戶端設定更新檢查有助區分新伺服器失效與客戶端仍沿用舊值。

步驟 5：核對舊客戶端、流量與已撤銷憑證

測試必須支援的最舊客戶端版本，以及各種實質不同的客戶端類型，記錄版本，不承諾通用兼容矩陣。VLESS/REALITY 分支核對必要認證與傳輸參數，採用REALITY 失敗檢查清單，不要猜新版欄位。保持證書驗證。

檢查方法	預期現象	失敗處理
讀取運行版本及有效單元	所選程式及目標設定正在使用	客戶端測試前修正路徑或歸屬
授權舊客戶端提出必要請求	支援範圍內應用經指定實例成功	查實際設定與版本變更
使用專用已撤銷測試憑證	不能取得受保護代理服務	停止驗收，各處重套撤銷
核對出口及 DNS 路徑	所選應用遵從已聲明路由與解析器	分開檢查路由及客戶端覆蓋
查必要 UDP、IPv6 及斷線行為	每項符合已聲明部署範圍	不接受未驗證覆蓋主張，還原安全政策

互聯網代理須經實際配置的應用路徑核對應用的公網 IP。伺服器查詢或未經代理的瀏覽器並不等價。TCP 成功不證明 UDP，IPv4 成功不證明 IPv6，而 active 程序不代表斷線保護。

拒絕測試同時以合法憑證作正向對照。不測未知用戶的憑證，不把回落掩護網站當作代理認證成功證據。不能完成某項客戶端或負向測試時，記作未驗證並保留對應驗收項。

步驟 6：執行 Xray 備份還原並安全退役

試切失敗時，經獨立控制台只停本次更改實例。依還原清單成套恢復可信舊程式、配套設定、必要規則、單元或 drop-in 及實際證書。啟動前重新套用之後所有憑證撤銷。洩漏密鑰或過期證書須按正確還原程序更換，不能從方便的備份復活。

還原已記錄用戶、權限及 capabilities；只有恢復單元定義才 daemon-reload。以舊程式本身的檢查命令驗證舊組合，啟動一次，再查版本、合法及撤銷客戶端、流量。主機遷移則讓試切裝置回到可信舊端點與設定，重新核對目的地和服務；放棄該遷移時停止替代實例。

成功後觀察至約定窗口結束，驗證獲授權開機持久化，核對休眠客戶端後才退役。移除臨時憑證及遷移入口，按政策保存受保護還原材料並驗證移除。停止並停用舊服務；供應商運算、磁碟、地址及快照另行取消，程序停止不表示收費結束。

若重複維護時段超出自建出口價值，可權衡 VPS 控制權與託管 VPN 維護。這是責任選擇，不會修復 Xray 或退役舊憑證。鄰近的WireGuard 開機生命週期檢查展示服務歸屬，但命令不可套用於 Xray。

總結

保存可信還原組合及有效服務依賴。
先查設定，再驗證實際客戶端與流量。
還原前重套撤銷，按程序退役基建。

常見問題

只複製 config.json 足夠備份嗎？

只有它確實是全部設定，且引用依賴另有保存，才算足夠。先登記有效單元，再決定複製範圍。

可以同時升級及遷移嗎？

盡可能分開變數，讓故障有清楚原因。先移動可信現有版本並驗收，再獨立安排升級。

run -test 代表服務必定可用嗎？

它只檢查設定載入，不啟動伺服器。運行權限、端口綁定、客戶端兼容與流量政策仍須分別驗證。

應自動選最新預發行版嗎？

應選適合部署、經審閱且受支援的目標。本文固定 v26.3.27，並不證明日後預發行版適合你的客戶端。

回退可以只更換可執行檔嗎？

亦須還原兼容設定及依賴。舊程式本身完整，也可能拒絕較新的設定欄位。

還原備份會恢復已刪除用戶嗎？

舊備份可能包含其憑證。啟動前重套最新撤銷記錄，再以授權測試身份驗證拒絕。

面板備份可取代此原生程序嗎？

面板備份只對應它管理的狀態。應按其文件還原，不把資料庫與原生檔案的手動替換混在一起。

來源:

XTLS — Xray-install — https://github.com/XTLS/Xray-install
XTLS — Xray-core v26.3.27 release — https://github.com/XTLS/Xray-core/releases/tag/v26.3.27
XTLS — v26.3.27 command-line configuration checks — https://github.com/XTLS/Xray-core/blob/v26.3.27/main/run.go
Ubuntu Noble — systemd.service(5) — https://manpages.ubuntu.com/manpages/noble/man5/systemd.service.5.html

Sources checked 2026 年 10 月 11 日。

延伸閱讀:

Xray 升級與遷移：備份、兼容驗證及成套回退步驟