https://techlog.122113.xyz/tags/shadowsocks/Recent content in Shadowsocks on TechLog 技术日志Hugozh-cnSat, 22 Aug 2026 20:00:00 +0800https://techlog.122113.xyz/posts/2026-08-22-shadowsocks-linux-cli/Sat, 22 Aug 2026 20:00:00 +0800https://techlog.122113.xyz/posts/2026-08-22-shadowsocks-linux-cli/<blockquote> <p>一个轻量、原生 Linux、无 GUI 的 Shadowsocks 分流工具的诞生过程。从需求分析到架构选型,从核心实现到踩过的每一个坑。</p> </blockquote> <h2 id="为什么要做这个">为什么要做这个</h2> <p>市面上的代理工具很多,但很少有同时满足以下条件的:</p> <ol> <li><strong>纯命令行、无 GUI</strong>——跑在服务器/WSL 上,没有桌面环境</li> <li><strong>全局接管</strong>——所有应用流量自动分流,不需要每个程序单独设置代理环境变量</li> <li><strong>规则分流</strong>——国内直连、被墙的走代理,而不是一刀切全代理或全直连</li> <li><strong>轻量可控</strong>——不依赖 Clash/mihomo 那套大而全的框架,只要核心功能</li> </ol> <p>Clash 系太重,simple-tun2socks 没有分流,tun2socks 只做协议转换不做路由决策。于是决定自己造一个。</p> <h2 id="架构设计">架构设计</h2> <p>核心思路: <strong>TUN 网卡 + 用户态 TCP/IP 栈 + 规则引擎 + Shadowsocks 子进程</strong></p> <div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">Linux / WSL </span></span><span class="line"><span class="cl"> │ 所有应用流量（无需设置任何代理环境变量） </span></span><span class="line"><span class="cl"> ▼ </span></span><span class="line"><span class="cl"> TUN 网卡 (sscli0) </span></span><span class="line"><span class="cl"> │ </span></span><span class="line"><span class="cl"> ▼ </span></span><span class="line"><span class="cl">sscli 路由引擎（gvisor 用户态 TCP/IP 栈 + 规则匹配） </span></span><span class="line"><span class="cl"> │ </span></span><span class="line"><span class="cl"> ├──── DIRECT ──→ 直接出网（fwmark 防回环） </span></span><span class="line"><span class="cl"> │ </span></span><span class="line"><span class="cl"> └──── PROXY ───→ 本地 SOCKS5 → sslocal → VPS </span></span></code></pre></div><h3 id="关键选型">关键选型</h3> <table> <thead> <tr> <th>组件</th> <th>选型</th> <th>理由</th> </tr> </thead> <tbody> <tr> <td>TUN 设备</td> <td><code>wireguard/tun</code> (MIT)</td> <td>WireGuard 同款,稳定可靠,MIT 许可</td> </tr> <tr> <td>用户态 TCP/IP 栈</td> <td><strong>gvisor netstack</strong> (Apache-2.0)</td> <td>sing-box/mihomo/tun2socks 同款,200 行就能桥接 TUN</td> </tr> <tr> <td>SOCKS5 客户端</td> <td><code>x/net/proxy</code></td> <td>Go 标准库扩展,支持 UDP ASSOCIATE</td> </tr> <tr> <td>Shadowsocks 加密</td> <td><strong>shadowsocks-rust 的 sslocal</strong></td> <td>不自己实现加密,复用官方预编译二进制,安全可靠</td> </tr> </tbody> </table> <p>为什么用 gvisor netstack 而不是直接处理 IP 包?因为 gvisor 提供了完整的 TCP/IP 协议栈——你只需要处理&quot;这个连接走代理还是直连&quot;,TCP 三次握手、拥塞控制、重传这些脏活累活全由 gvisor 在用户态搞定。</p>