AI 指令：搭建 AnyTLS + Reality + Hysteria 2 双栈节点 + 自动优化 + 看门狗 WebUI 订阅

本页面向 AI 提供「如何在具备独立公网 IP 的 VPS / 服务器上搭建 AnyTLS + Reality + Hysteria 2 节点及全功能看门狗 WebUI」的固定指令。AI 访问本页后，按下列规则执行落地。

目标概览

搭建一套自托管、抗封锁、高性能的代理与运维管控系统：

第一步：VPS 环境探测与系统级自适应调优

Hysteria 2 对 Linux UDP 缓冲区大小极度敏感，缓冲区过小会导致严重丢包；AnyTLS 也需要 BBR 提供稳定的拥塞控制。

AI 应在宿主机执行系统检查与参数优化：

# 1. 开启 BBR 与 FQ 队列调度
sysctl -w net.core.default_qdisc=fq
sysctl -w net.ipv4.tcp_congestion_control=bbr

# 2. 调大系统 UDP 接收与发送缓冲区（专为 Hysteria 2 优化）
sysctl -w net.core.rmem_max=8388608
sysctl -w net.core.wmem_max=8388608
sysctl -w net.core.rmem_default=4194304
sysctl -w net.core.wmem_default=4194304

# 3. 增大文件句柄与网络连接队列
sysctl -w fs.file-max=1000000
sysctl -w net.core.somaxconn=4096

# 4. 持久化至 /etc/sysctl.d/99-proxy-tuning.conf
cat << 'EOF' > /etc/sysctl.d/99-proxy-tuning.conf
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
net.core.rmem_max = 8388608
net.core.wmem_max = 8388608
net.core.rmem_default = 4194304
net.core.wmem_default = 4194304
fs.file-max = 1000000
net.core.somaxconn = 4096
EOF
sysctl --system

获取当前 VPS 公网 IP：自动通过 curl -s4 https://api64.ipify.org || curl -s4 https://ifconfig.me 探测公网 IPv4，记录为 publicIp。

第二步：安装 sing-box 核心

自动匹配系统架构下载 sing-box 1.12.0 或更新版本至 bin/sing-box（或 /usr/local/bin/sing-box）：

ARCH=$(uname -m)
case "$ARCH" in
  x86_64) SB_ARCH="amd64" ;;
  aarch64|arm64) SB_ARCH="arm64" ;;
  *) echo "不支持的架构: $ARCH"; exit 1 ;;
esac

LATEST_TAG=$(curl -s https://api.github.com/repos/SagerNet/sing-box/releases/latest | grep '"tag_name":' | sed -E 's/.*"([^"]+)".*/\1/')
TAR_NAME="sing-box-${LATEST_TAG#v}-linux-${SB_ARCH}.tar.gz"
DOWNLOAD_URL="https://github.com/SagerNet/sing-box/releases/download/${LATEST_TAG}/${TAR_NAME}"

curl -Lo /tmp/sing-box.tar.gz "$DOWNLOAD_URL"
tar -xzf /tmp/sing-box.tar.gz -C /tmp/
install -m 755 /tmp/sing-box-*/sing-box /usr/local/bin/sing-box
rm -rf /tmp/sing-box* /tmp/sing-box.tar.gz

第三步：生成随机端口、安全凭据与防火墙放行

端口必须随机从 10000~60000 中选取未占用端口，并必须提示或自动放行 VPS 本地防火墙，否则客户端无法连入。

AI 应编写自动分配与安全凭据生成逻辑：

第四步：生成 sing-box 配置文件（含流量统计 API）

配置开启 clash_api 导出流量统计接口（监听 127.0.0.1:9090），写入 /etc/sing-box/config.json：

{
  "log": {
    "level": "warn",
    "timestamp": true
  },
  "experimental": {
    "clash_api": {
      "external_controller": "127.0.0.1:9090",
      "secret": "<CLASH_API_SECRET>"
    }
  },
  "inbounds": [
    {
      "type": "anytls",
      "tag": "anytls-in",
      "listen": "::",
      "listen_port": <ANYTLS_PORT>,
      "users": [
        {
          "name": "user1",
          "password": "<ANYTLS_PASSWORD>"
        }
      ],
      "padding_scheme": [
        "stop=8",
        "0=30-30",
        "1=100-400",
        "2=400-500,c,500-1000,c,500-1000,c,500-1000,c,500-1000",
        "3=9-9,500-1000",
        "4=500-1000",
        "5=500-1000",
        "6=500-1000",
        "7=500-1000"
      ],
      "tls": {
        "enabled": true,
        "server_name": "gateway.icloud.com",
        "reality": {
          "enabled": true,
          "handshake": {
            "server": "gateway.icloud.com",
            "server_port": 443
          },
          "private_key": "<PRIVATE_KEY>",
          "short_id": ["<SHORT_ID>"]
        }
      }
    },
    {
      "type": "hysteria2",
      "tag": "hy2-in",
      "listen": "::",
      "listen_port": <HY2_PORT>,
      "users": [
        {
          "name": "user1",
          "password": "<HY2_PASSWORD>"
        }
      ],
      "ignore_client_bandwidth": false,
      "tls": {
        "enabled": true,
        "certificate_path": "/etc/sing-box/certs/hy2.crt",
        "key_path": "/etc/sing-box/certs/hy2.key"
      }
    }
  ],
  "outbounds": [
    {
      "type": "freedom",
      "tag": "direct"
    }
  ]
}

第五步：节点信息落盘 anytls_hy2.json

把所有配置信息及订阅地址落盘到 anytls_hy2.json（权限 600）：

{
  "publicIp": "<PUBLIC_IP>",
  "anytlsPort": 38214,
  "anytlsPassword": "<PASSWORD>",
  "realityPublicKey": "<PUBLIC_KEY>",
  "realityShortId": "<SHORT_ID>",
  "realitySni": "gateway.icloud.com",
  "hy2Port": 49152,
  "hy2Password": "<PASSWORD>",
  "hy2Sni": "bing.com",
  "webPort": 3589,
  "subToken": "<HEX_TOKEN>",
  "subUrl": "http://<PUBLIC_IP>:3589/sub?token=<HEX_TOKEN>",
  "clashSubUrl": "http://<PUBLIC_IP>:3589/sub?token=<HEX_TOKEN>&format=clash",
  "createdAt": "2026-10-05T12:00:00+08:00"
}

第六步：用 Go 写看门狗与 WebUI（端口 3589，默认密码 temp123）

参考 vless_cf 模式，编写轻量 Go 单二进制程序（建议仅用标准库），身兼编排器、看门狗、订阅服务器与 Web 控制台。

功能特性：

第七步：页面展示要点（Vanilla JS，无外部 CDN）

WebUI 前端页面需展示：

第八步：交付标准与验收