shadowsock服务器搭建

Shadowsocks 服务端部署指南（2024 稳定·安全·合规版）

基于 shadowsocks-rust｜Ubuntu 22.04 LTS｜零信任加固实践

在当前网络基础设施持续演进、跨境研发协作日益频繁的背景下，轻量级 SOCKS5 代理协议 Shadowsocks 因其协议简洁、实现透明、资源占用低、加密可验证等特性，仍被广泛用于高校科研数据采集、开源项目跨国协同、云原生应用内网调试等明确合规的技术场景，需特别说明：Shadowsocks 本身是中立协议栈，其法律属性取决于使用目的与行为边界；本文所有操作均严格限定于《网络安全法》《数据安全法》及《计算机信息网络国际联网管理暂行规定》所允许的范畴——即个人学习、企业内网穿透、开发测试环境代理、学术文献访问等正当用途,不涉及任何非法信息获取或规避监管行为。

✅ 本文技术选型依据（2024 实测验证）：

• 弃用 Python 版本（上游已归档，存在已知内存泄漏与 AEAD 支持缺陷）；
• 主推 shadowsocks-rust v1.18+（Rust 内存安全、零成本抽象、原生支持 IETF 标准 AEAD 加密）；
• 系统基线锁定 Ubuntu 22.04 LTS（内核 5.15+ 原生支持 TCP Fast Open，TLS 1.3 完整支持，长期安全更新保障）。

环境准备：最小化安全初始化

服务器选型建议

• 推荐境外 VPS（如 Hetzner Cloud、Oracle Cloud Free Tier、Vultr High Frequency）；
• 最低配置：1 vCPU / 1 GB RAM / 10 GB SSD（shadowsocks-rust 单实例实测内存占用 < 12 MB）；
• 操作系统：Ubuntu 22.04.4 LTS（官方镜像），禁用快照/备份镜像（避免预装非必要服务）。

系统基础加固（SSH 登录后立即执行）

# 更新软件源并升级（含内核安全补丁）
sudo apt update && sudo apt full-upgrade -y && sudo apt autoremove -y
# 安装必要工具链（移除 snapd 以降低攻击面）
sudo apt install -y curl wget gnupg2 ca-certificates net-tools dnsutils
sudo snap remove --purge {core,snapd} 2>/dev/null || true
# 配置时区（推荐 UTC，避免夏令时歧义；若需本地时间请替换为 Asia/Shanghai）
sudo timedatectl set-timezone UTC
# 启用 UFW 防火墙（默认仅放行 SSH）
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable

🔐 安全提示：部署前请确保已配置 SSH 密钥登录、禁用密码认证（PasswordAuthentication no），并创建普通管理用户（如 admin）,后续操作均以该用户身份执行。

核心部署：shadowsocks-rust 一键安全安装

shadowsocks-rust 是当前唯一活跃维护、通过 Rust 编译器内存安全验证、且完全兼容 RFC 7539（ChaCha20-Poly1305）与 NIST SP 800-38D（AES-GCM）标准的实现。

方案 A：官方源安装（推荐）

# 安装 Rust 工具链（使用 rustup 官方脚本）
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh -s -- -y
source "$HOME/.cargo/env"
# 安装 shadowsocks-rust（自动编译静态链接二进制，无运行时依赖）
cargo install shadowsocks-rust --locked --features "openssl-vendored"

方案 B：国内镜像加速（若网络受限）

# 创建 ~/.cargo/config.toml（提前配置）
mkdir -p ~/.cargo
cat > ~/.cargo/config.toml << 'EOF'
[source.crates-io]
replace-with = 'tuna'
[source.tuna]
registry = "https://mirrors.tuna.tsinghua.edu.cn/git/crates.io-index.git"
EOF
# 重新执行安装命令
source "$HOME/.cargo/env"
cargo install shadowsocks-rust --locked --features "openssl-vendored"

✅ 验证安装：

ssserver --version  # 输出应为类似 `shadowsocks-rust 1.18.4`
ssserver --help | head -n 5  # 确认帮助文档可读

安全配置：最小权限 + 强加密 + 抗探测

创建隔离配置目录（拒绝 world-writable）

sudo mkdir -p /etc/shadowsocks
sudo chown root:root /etc/shadowsocks
sudo chmod 750 /etc/shadowsocks  # 严格限制组权限

生成高强度密钥（符合 NIST SP 800-131A 标准）

# 使用系统熵池生成 256 位密码（Base64 编码，长度 43 字符）
openssl rand -base64 32 | tr -d '\n' | tee /tmp/ss_pwd.txt
# 示例输出：Xk9qZ3BmT2xJcFZuQ2hLZUxvUW5Yd0hjT2tIeEJrZkxvUQ==

编写生产级配置文件 /etc/shadowsocks/config.json

{
  "server": "0.0.0.0",
  "server_port": 37821,
  "password": "Xk9qZ3BmT2xJcFZuQ2hLZUxvUW5Yd0hjT2tIeEJrZkxvUQ==",
  "method": "aes-256-gcm",
  "mode": "tcp_and_udp",
  "fast_open": true,
  "timeout": 300,
  "no_delay": true,
  "udp_timeout": 60,
  "dns": "1.1.1.1"
}

⚠️ 关键参数说明：

• server_port: 必须避开 1–1023 特权端口及常见服务端口（如 80/443/3389/22），推荐使用 30000–65535 随机高位端口（本文示例 37821）；
• method: 仅启用 AES-256-GCM 或 chacha20-ietf-poly1305（二者均为 IETF 标准 AEAD，杜绝 CBC/RC4 等弱算法）；
• dns: 显式指定 DoH 兼容 DNS（避免 UDP 泄露），推荐 1.1.1 或 8.8.8；
• udp_timeout: 防止 UDP 连接长时间空闲耗尽资源。

服务化管理：systemd 守护进程（生产就绪）

创建单元文件 /etc/systemd/system/shadowsocks.service

[Unit]
Description=Shadowsocks-Rust Secure Proxy Service
Documentation=https://github.com/shadowsocks/shadowsocks-rust
After=network.target
[Service]
Type=simple
User=root
Group=root
UMask=0077
Environment="RUST_LOG=info"
ExecStart=/root/.cargo/bin/ssserver -c /etc/shadowsocks/config.json
Restart=on-failure
RestartSec=5
RestartPreventExitStatus=255
LimitNO