代理

代理页管四件事：出口节点、应用连的 SOCKS 端口、谁的流量走代理、哪些目标不走。所有改动都写进 config/xray/，由面板和 nhub apply 走同一条流水线渲染下去。

这一页不改 /etc 里的任何东西，想手写 xray 配置的同学，事实源是 config/xray/，手改那里面板未必配得齐。服务器形态下这台机器不替谁转发，所以局域网那个开关没有局域网可送，SOCKS 端口和本机流量照样管用。这一页每一次应用都会重启代理，经过它的连接都会断开。地理数据随包发布，运行时不更新，带的是宽松许可的那一对，完整那套是 GPL-3.0。

出口节点

出口节点是被代理的流量离开互联网的地方，均衡器按你选的策略在启用的节点之间挑一个。

1. 打开「代理」页。

预期：最上面是「出口节点」。一个都没有时写没有配置节点，让你用服务商给的分享链接加一个。

2. 点「添加节点」，粘贴分享链接，点「添加」。

预期：多出一张节点卡片，带名字和一个启用开关。链接按服务商给的原样粘进去就行，ss:// 和 vless:// 都认。

3. 选一个均衡策略，点「应用节点」。

预期：提示是「把出口节点装进正在运行的代理里。」，同时提醒会重启代理，经过它的连接都会断开。

三个策略分别是 leastPing（延迟最低的赢）、random（每条连接随机挑）和 roundRobin（轮流用）。每个节点旁边有「测试」，上面有「全部测试」，状态有「测试中…」「不可达」「还没有应答」和「未探测」，探测间隔也在这里设。删掉一个节点时，它的分享链接不会留底。

TIP

leastPing 要读 observatory，fallbackTag 也一样。配置里点了名却没有它，xray 会回一句 not all dependencies are resolved。面板两样是一起写的，手改过的 config/xray/ 不一定。

SOCKS 端口

SOCKS 端口是 SOCKS5 监听口，开在每个开放的接口上。每个端口要么直接从上行出去，要么经出口节点出去。

1. 翻到「端口」，填一个端口号，选「出口节点」或者「直连」，点「添加」。

预期：列表里多一行。端口号越界会被拒绝，提示端口的取值范围；端口已经有人监听时提示「端口 {port} 已被占用。」直连的那种「看起来来自这个网络」。

2. 点「应用端口」。

预期：提示是「重写 xray 的入站并重载代理。」，默认的 SOCKS 端口是 1080。

SOCKS 端口在每个开放的接口上应答，哪些接口算开放，由「网络」页的「开放范围」决定。

按设备和目标分流

分流这一段决定谁的流量走出口节点，以及哪些目标被排除在外。

1. 在「分流」里定两个开关：局域网的流量，以及这台机器自己的流量。

预期：服务器形态下局域网那个开关写「服务器模式下这台机器不替任何人转发，所以没有局域网流量可送。」本机那个开关在任何网络模式下都管用，和局域网那个互不影响。

2. 「GeoIP 分流」保持开着，或者关掉它让送进代理的一切都走代理。

预期：开着时，命中下面直连名单的域名和 IP 直接从 WAN 出去，其余送进代理的走出口节点均衡器，页面上那条流程带就是这么画的。

3. 按 xray 的规则语法编辑「直连域名」和「直连 IP」，点「应用分流」。

预期：提示是「重写 xray 的分流规则并重载代理。」域名写成 geosite:cn、domain:example.com、keyword:baidu，IP 写成 geoip:cn、geoip:private、10.0.0.0/8。

这一段下面还有两个解析器：直连解析器答直连名单里的名字，代理关掉时所有名字都由它答；远端解析器里的名字在出口节点上解析。

这台机器自己的流量

「让微子·中枢自己的流量走代理」这个开关只管这台机器自己发出去的流量，在任何网络模式下都能开，和局域网那个开关互不牵扯。

有一件事专门靠它：中枢连不上 NetBird 的管理面时，虚拟网页会让你回到这一页把它打开，等出口通了再去加入。

检查

# 1. 配置能不能渲染出来。应该没有报错，也没有待解决的依赖。
sudo nhub apply --only xray --dry-run

# 2. 代理这条路通不通。应该看到某个节点的地址，而不是你宽带的地址。
curl -s --socks5 127.0.0.1:1080 https://ifconfig.me; echo

WARNING

启用的出口节点全都不可达、而回退开关又关着时，送进代理的流量会直接失败，局域网的名字也一起解析不出来，因为它们是在出口上解析的。

在「分流」里打开「没有出口节点应答时直接放行」，或者去修好一个节点。打开回退时，这些流量改从 WAN 出去，用的是这台机器自己的地址。