{
    "server":"1.2.3.4",
    "server_port":443,
    "local_port":1080,
    "password":"password",
    "timeout":60,
    "method":"chacha20-ietf-poly1305"
}

-u, --fast-open 等参数无法通过配置文件指定。

initscript

initscript 配置文件：/etc/default/shadowsocks-libev

# Defaults for shadowsocks initscript
# sourced by /etc/init.d/shadowsocks-libev
# installed at /etc/default/shadowsocks-libev by the maintainer scripts

#
# This is a POSIX shell fragment
#
# Note: `START', `GROUP' and `MAXFD' options are not recognized by systemd.
# Please change those settings in the corresponding systemd unit file.

# Enable during startup?
START=yes

# Configuration file
CONFFILE="/etc/shadowsocks-libev/config.json"

# Extra command line arguments
DAEMON_ARGS="-u"

# User and group to run the server as
USER=root
GROUP=root

# Number of maximum file descriptors
MAXFD=1024

Tips

"block all requests from X.X.X.X" error

这是auto ban机制，一个IP多次连接失败就会被(永久)ban，只有重启server服务器才行解封。

Fix:

Add your IP to the [white_list] section of the ACL file.

ACL

启动 ss-server 时用 --acl <acl_file> 参数指定 acl 文件路径。

ACL 文件格式：

#[accept_all]
# 除黑名单IP外，允许所有IP连接。（默认模式)

[reject_all]
# 拒绝所有IP 连接 (除了[white_list]白名单里的IP)

[black_list]
# 黑名单 IP

[white_list]
# IP白名单。在启用了 [reject_all] 的模式下，只有这里IP能够连接。
# 另外，白名单里的IP不会因为多次尝试连接失败而被自动封禁。

127.0.0.1
::1
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
fc00::/7

[outbound_block_list]
# 禁止访问列表

(^|\.)\w*adwords\w*\.\w*$

[bypass_all]
# 直连所有IP模式 (适用于 ss-local 的配置)

[proxy_all]
# 代理所有IP模式 (适用于 ss-local 的配置)

[bypass_list]
#直连列表 (适用于 ss-local 的配置)

[proxy_list]
#代理列表 (适用于 ss-local 的配置)

black_list / white_list 每一条记录是一个 IP 或 IP段。
outbound_block_list / bypass_list / proxy_list 每一条是IP、IP段或用来匹配域名的正则表达式。
参考: acl.c

Docker

mritd/shadowsocks

中继服务器

可以在任意 Linux 机器上简单设置几条 iptables 规则架设 shadowsocks 服务器的中继服务器(Relay server)。

需要中继服务器具有公网IP，并且开启 IPV4 转发 net.ipv4.ip_forward=1。

参考 iptables 规则：（具体原理请参考 Netfilter）

SS_IP=1.2.3.4
SS_PORT=8080
LOCAL_IP=1.2.3.4 # Relay 服务器本地 IP
LOCAL_PORT=80 # Relay 服务器转发端口
iptables -t nat -I PREROUTING 1 -p tcp -d $LOCAL_IP --dport $LOCAL_PORT -j DNAT --to $SS_IP:$SS_PORT -m comment --comment relay
iptables -t nat -I PREROUTING 1 -p udp -d $LOCAL_IP --dport $LOCAL_PORT -j DNAT --to $SS_IP:$SS_PORT -m comment --comment relay
iptables -t nat -I POSTROUTING 1 -d $SS_IP -p tcp --dport $SS_PORT -j SNAT --to $LOCAL_IP -m comment --comment relay
iptables -t nat -I POSTROUTING 1 -d $SS_IP -p udp --dport $SS_PORT -j SNAT --to $LOCAL_IP -m comment --comment relay

使用时在 shadowsocks 客户端的连接配置里使用中继服务器的 IP 和端口信息（LOCAL_IP && LOCAL_PORT）即可。这种情况下 shadowsocks 服务器“看到的”连接请求均显示为来源于中继服务器IP，建议在 shadowsocks 服务器配置里设置 ACL 规则将中继服务器 IP 加入白名单。

家庭宽带路由器作为ss中继

如果中继服务器是动态公网 IP（比如家庭宽带），那么不能直接使用 -d $LOCAL_IP 和 --to $LOCAL_IP，而应该：

PREROUTING 里使用 -i 指定 incoming 网卡名。
POSTROUTING 里使用 -j MASQUERADE 代替 SNAT。
(推荐)在 -t mangle PREROUTING 里对流量打标记(mark)，在 -t nat POSTROUTING 里匹配标记。（防止匹配其他到SS服务器的流量）。

参考配置：

SS_IP=1.2.3.4
SS_PORT=8080
LOCAL_PORT=21
WAN_IF=pppoe-wan # WAN 网卡名

ip rule add fwmark 0x4/0x4 lookup main prio 2

iptables -t mangle -I PREROUTING 1 -i $WAN_IF -p tcp --dport $LOCAL_PORT -j MARK --set-mark 0x4/0x4
iptables -t mangle -I PREROUTING 1 -i $WAN_IF -p udp --dport $LOCAL_PORT -j MARK --set-mark 0x4/0x4
iptables -I FORWARD 1 -m mark --mark 0x4/0x4 -j ACCEPT
iptables -t nat -I PREROUTING 1 -i $WAN_IF -p tcp --dport $LOCAL_PORT -j DNAT --to $SS_IP:$SS_PORT
iptables -t nat -I PREROUTING 1 -i $WAN_IF -p udp --dport $LOCAL_PORT -j DNAT --to $SS_IP:$SS_PORT
iptables -t nat -I POSTROUTING 1 -m mark --mark 0x4/0x4 -j MASQUERADE

Tips:

-t nat PREROUTING 里不能仅用 -m mark --mark 匹配作为条件。-j DNAT 要求必须指定协议和端口。（但 POSTROUTING 里的 SNAT / MASQUERADE 无此要求）
如果路由器设置了全局翻墙，必须在路由表里添加中国IP直连规则。
路由器需要配置 DDNS，然后在 ss 客户端里直接使用路由器的公网 IP 绑定的 DDNS 域名连接。

shadowsocks-windows

特点：在同一端口(默认 1080) 同时提供 Socket5 和 http(s) 代理。

Problems

访问个别站（例如GETCHU）会很卡，但改用同一IP的VPN就正常

Workaround：用 Socket5代理，不要用 http(s)代理。

shadowsocks-win 自动设置的系统代理只能设为 http。使用 Socket5代理需要安装 Chrome SwitchyOmega 扩展并使用其管理 Chrome 代理设置。

Last update: 2019-02-19 12:16:48 UTC

🛈