对于纯 IPv6 环境的 VPS（如“德鸡”），手动搬运 Cloudflare 来源证书 + 严格核对端口号与回源规则是保持网络稳定连接的最短路径。配置完成后，记得备份证书文件和 UUID，未来重装只需几分钟即可复原。
1. 系统环境与网络基础
- 脚本执行顺序：必须先执行 WARP 脚本（
menu.sh 4）为服务器添加 IPv4 出口能力，再安装 3X-UI 面板。 - WARP 冲突规避：在申请证书时，WARP 的随机 IPv4 会干扰域名解析验证。如果使用脚本申请证书失败，应果断放弃，转为手动配置。
2. SSL/TLS 证书的最佳实践
- 摒弃自动申请：由于纯 IPv6 环境下 Let’s Encrypt 验证成功率低，建议使用 Cloudflare Origin Certificate（来源证书）。
- 手动部署路径：
- 在 Cloudflare 后台生成 15 年长效证书。
- 将公钥和私钥手动上传至服务器（如
/root/cert/server.crt和/root/cert/server.key），并确保权限为755。
- 面板设置：在 TLS 配置中，手动填入证书的绝对路径，而非通过脚本自动获取。
3. 防火墙与回源链路“四位一体”（避坑重点）
在纯 IPv6 + Cloudflare 代理的架构中，必须严格保证链路上的端口一致性：
- 面板入站监听端口（如
20148）。 - 服务器系统防火墙 (UFW / Iptables) 放行端口（
ufw allow 20148/tcp）。 - Cloudflare Origin Rules（回源规则）转发端口。
- 客户端连接端口（通常外部统一为
443）。
⚠️ 血泪经验：在配置 Cloudflare 回源规则时，务必仔细核对重写端口！任何一处的粗心（如将
20148误打成20148/20418）都会导致 TLS 握手失败，节点显示-1。
4. 客户端 (v2rayN) 关键微调与排查逻辑
4.1 正确的节点参数配置
- 跳过证书验证：由于使用的是 Cloudflare 来源证书，必须将
allowInsecure(跳过证书验证) 设为true，否则 TLS 握手会失败。 - 地址与端口配对逻辑（关键）：
- CDN 代理模式（推荐）：地址填入 Cloudflare 优选 IP/域名（如
www.shopify.com或你的二级域名deji.xunda.qzz.io），端口填443，SNI 与 Host 填入你的真实域名。此时流量会走 CF 的 443 端口并由 Origin Rules 重写转发至 VPS 目标端口。 - IPv6 直连模式：如果地址直接填 VPS 的 IPv6 地址（如
2a02:180:...），流量将绕过 Cloudflare。此时端口必须直接填 VPS 监听的真实端口（如20148），且本地网络必须具备 IPv6 访问能力。若配置混淆（如 IPv6 地址 + 443 端口），节点必然报错显示-1。
- CDN 代理模式（推荐）：地址填入 Cloudflare 优选 IP/域名（如
4.2 状态判定标准
列表测试延迟显示 -1 不一定代表服务器宕机，应右键节点打开实时日志观察：如果出现 accepted tcp:www.google.com:443，则说明底层连通正常，仅为 Ping 方式被阻断。
💡 总结：纯 IPv6 机器只要搞定 WARP IPv4 出口、 Cloudflare 回源规则（443 转发至非标端口）、以及客户端开启 allowInsecure，就能实现媲美双栈 VPS 的稳定访问体验。
发表回复