2019谷歌云Outline科学上网服务器搭建指南

大家应该知道，谷歌云香港在注册之后绑定VISA信用卡是赠送2000多HKD的，有效期是一年，在大多数时候，谷歌云香港、台湾、日本等地的服务器到大陆的延迟是非常低的，很适合作为翻墙服务器。但是谷歌云配置Outline较为复杂（主要是改版之后防火墙规则和ssh登录较为麻烦），在这里我将重点介绍，至于如何免费用一年以及如何免费用第二年、第三年不在本文的讨论范围内，大家可以在网上自行查找薅羊毛指南。

前期准备

创建outline网络组

创建一个outline网络组，稍后将应用于创建的VM实例上，以满足outline官方要求的开放所有端口（实际上开放控制端、服务端连接这两个端口就可以，开放全部端口只是便于操作）。

从左边的侧边栏里找到Firewall rules（防火墙规则）进入。

￼

在上方选择CREATE FIREWALL RULE（创建防火墙规则）。

￼

￼ 在Name栏里输入outline。（我已经创建过相同名字网络组，因此有warning）

在Target tags（目标标签）栏内输入outline。

在Source IP ranges（源IP地址）栏内输入0.0.0.0/0。（针对服务器的公网IP）

在Protocols and ports（协议及端口）栏内选择Allow all

最后点击Create（创建）以生成该网络组。

生成密钥对

Mac OS X & Linux（以Mac OS X为例）

打开Terminal（终端）工具，（可以通过上方工具栏右侧的Spotlight Search来搜索），输入以下命令行

$ ssh-keygen -t rsa -f ~/.ssh/[KEY_FILENAME] -C [USERNAME]

其中，

[KEY_FILENAME]: 你生成的密钥文件名，[KEY_FILENAME]为私钥，[KEY_FILENAME].pub为公钥。以key作为密钥文件名为例，将会生成key.pub及key两个文件。
[USERNAME]: 上面生成的密钥对的使用者(the user applied to)。

比如，将key作为文件名，fenghe作为用户名，

$ ssh-keygen -t rsa -f ~/.ssh/key -C fenghe

如下图所示，它会要求你输入一个密码，你只要直接按回车，然后在下一步要求确认时再次按回车键就会自动生成密钥对。

输入密码，留空则不使用密码

成功生成密钥对

在文件夹中查看密钥

好了，密钥对生成成功，等会儿可以用于创建虚拟机实例了。

创建虚拟机实例

在侧边栏选择COMPUTE -> Compute Engine -> VM Instances。

点击上方CREATE INSTANCE。

在Region（区域）选项中选择对于中国大陆比较友好👬的Taiwan（台湾）, Hong Kong（香港）或Tokyo（东京）。

虚拟机区域选择

在Boot disk（系统启动盘）选项卡中，默认系统是Debian，单击Change变更默认选项。

选择Ubuntu 18.04 LTS，单击Select（选择）。

在Firewall（防火墙）选项卡中，单击Management开头的蓝色文字。

然后回到电脑本地的Terminal。

$ cat ~/.ssh/key.pub

复制显示在Terminal内的ssh-rsa开头的公钥。

把它粘贴到谷歌云创建实例页面中Management -> Security页面内下方的文本框中，谷歌云将会根据这个信息自动创建一个用户（本例中为fenghe），并且记录跟它匹配的公钥。

在Management -> Networking选项卡中的Network tags一栏内输入outline并且回车。

单击左下角的Create（创建），就会在你的账户的相应Project（工程）内生成一个实例。

在少数情况下，可能会存在因为库存不足而无法创建服务器的情况，这时候可以重复上述操作，选择不同区域来完成创建。比如下图没有创建成功的instance-1是香港的服务器，在更改成日本东京服务器后就能成功创建。

远程ssh登录

在本地命令行工具中输入

$ ssh -i ~/.ssh/key fenghe@35.200.3.89

即可实现服务器远程ssh登录。（将fenghe换成你自己的用户名，后面的IP地址换成你在谷歌云生成的IP地址）

配置Outline服务器

谷歌云和其他地方不一样，登录的时候用的不是root用户，所以要获取root权限之后才能修改系统配置。

$ sudo -i

接下来就可以按照本博客上的文章中的Outline搭建教程来配置Outline服务器了。

稍有不同的是，在点击Outline Manager左边绿色加号步骤中，在右边选择Google Cloud Platform（虽然Set up Outline anywhere应该也不会有太大问题）

附：谷歌云日本测速

在展示教程之前，我想先给大家看一眼谷歌云翻墙的具体效果，大家可以参考这个简单测评来决定是否入坑折腾。

测试环境： 移动教育网24M 1:00AM 谷歌云日本

YouTube看视频

Netflix

传言谷歌云的服务器原生支持Netflix，没有虚传，这是真的。

Fast测速

能跑满带宽。

Speedtest 测速

原贴链接：https://toutiao.io/posts/5fo90o/preview

这个东西用的人不少，知道原理的人却不多，很多时候很多事情都是以讹传讹瞎起哄。本文主要分析Shadowsocks实现的技术原理，讨论Shadowsocks的安全性。

Shadowsocks的架构

Shadowsocks（后文缩写为SS）由两部分组成，客户端和服务器端。常用的客户端有shadowsocks-win、ShadowsocksX-NG、shadowsocks-Qt5、shadowsocks-android…；常用的服务器端有Python版本，Go语言版本，C、C++……。客户端启动后会开启一个本地代理（一般用HTTP Proxy），通过修改操作系统配置或者浏览器配置把访问请求转发给本地代理。当我们通过浏览器访问某个地址的时候，数据会被转发到本地代理，由本地代理加密后转发到服务器端，服务器端处理完请求后把数据加密后返回给客户端的本地代理，本地代理再次返回给浏览器。

￼

要澄清两点：1. SS协议和Http Proxy、Socks5没有半毛钱关系，这两个协议是浏览器或者操作系统所支持的标准代理协议，SS的架构中只是用这两种协议作为“获取用户请求”的手段而已。2. SS协议中没有任何控制流，本地代理获取用户原始TCP/UDP数据包获取之后会直接取出Data部分，重新构造一个IP数据包（可能是TCP或者UDP，和用户原始请求是TCP还是UDP有关系。），目标地址和端口是服务器地址，数据包的Data部分是加密后的用户原始Data。

Shadowsocks数据包分析

我们通过一个例子来分析问题更容易理解，我通过SS代理访问http://php.net/robots.txt。

前三条是TCP握手我们无视后面是162字节的请求数据包，接着是服务器端回复一个ACK确认（60）字节，接着是服务器返回651字节的回复数据包；紧接着服务器发送60字节的TCP控制数据包扩大数据窗口；客户端回复54字节的ACK确认数据包。后面4条是TCP的关闭动作。

我们关注的重点是162字节的请求和651字节的回复是什么内容：

SS请求数据包、

关注IP头部和TCP头部，这两部分信息是源地址是本地代理的IP地址和端口；目标地址是服务器端的IP地址和端口，Data部分108字节是通过AES加密的原始请求，我们把它解开看一下。

￼

只看内容的话我们已经能够猜出个大概了，这是用户实际请求的数据包。SS的协议格式非常简陋，由两部分组成

* 目标地址有三部分组成，类型是一个字节的枚举类型

0x01:主机部分是 IPv4地址0x03: 主机部分是变长字符串，第一个字节表示长度后面是数据。最多承载255个字节的数据0x04: 主机部分是IPv6地址端口是两个字节的无符号整数类型。

* 数据部分就是用户原始的请求（TCP或UDP数据包部分）

截图中03表示主机是一个变长字符串（域名），07表示字符串的长度是7个字节，70 68 70 2e 6e 65 74是php.net，00 50是端口转换成十进制是80。再往后就是HTTP的协议部分了（TCP的Data部分）

SS回复数据包

￼

这是SS服务器回复给本地代理的数据包。IP和TCP头部没有什么特殊的，直接看Data部分，一共597字节。也是加密后的数据，我们把它解出来。

￼

服务器端没有增加特殊头部，直接把原始数据返回。

SS安全性

SS中本地代理和服务器通讯数据包都是经过加密的，DPI（深度数据包检测）只能检测到IP头部和TCP/UDP头部，无法对内容进行检测，而VPN之类的就特别容易被检测到了。想检测SS只能通过“流量特征”（数据包的结构）推测，但是使用SS一般选择带IV模式的AES加密算法作为加密方法（不了解AES的朋友请参考公众号的《深入浅出AES加密》），利用IV对数据做随机化，使每次请求的数据包都不一样，一般很难形成“流量特征”。如果SS无法使用那么一定是由于服务器端IP地址被限制了，被限制的原因也绝对不是由于SS被识别到了（除非谁有通天的能耐破解AES）。

SS改进

SS的设计很low（好吧，其实也没啥设计），效率也很差，特别是HTTP之类的短连接简直是灾难。一个Web页面中可能包含40-50个请求那么相当于SS中转40-50次，所以并发压力很大。但是它实现起来特别简单，而且行之有效，这也许就是它美妙的地方。

2019谷歌云Outline科学上网服务器搭建指南

Shadowsocks 原理详解