如何配置 Xray-Core 入站和出站：完整教程

Xray-core 是一个功能强大且高度可扩展的网络代理工具集，它允许用户通过灵活的 JSON 配置文件构建复杂的网络流量转发、代理和过滤系统。本教程旨在引导初学者和中级用户，逐步掌握 Xray-core 的核心配置，特别是其灵魂所在——入站（inbounds）和出站（outbounds）处理器的设置。

无论您是想搭建个人专属的私密网络通道，还是需要为复杂的业务场景定制流量规则，理解 Xray-core 的配置逻辑都是第一步。我们将从基础的配置文件结构讲起，深入探讨 VLESS、VMess、Trojan 等主流协议的配置方法，并最终解锁路由规则和多文件配置等高级技巧。

配置入站处理器 (Inbounds)

入站处理器是 Xray-core 的门户，负责监听指定端口，并使用特定协议接收数据。您可以配置多个入站处理器，以支持不同的协议或端口。

示例 1: 配置 VLESS 入站

VLESS 是一种性能卓越、配置简洁的协议。它通常与 TLS 结合使用，以获得更好的安全性和伪装效果。以下是一个典型的 VLESS + TCP + TLS 入站配置：

{
  "protocol": "vless",
  "port": 443,
  "listen": "0.0.0.0",
  "tag": "vless-in",
  "settings": {
    "clients": [
      {
        "id": "your-uuid-here", // 使用 'xray uuid' 命令生成
        "flow": "xtls-rprx-direct"
      }
    ],
    "decryption": "none"
  },
  "streamSettings": {
    "network": "tcp",
    "security": "tls",
    "tlsSettings": {
      "serverName": "your.domain.com",
      "certificates": [
        {
          "certificateFile": "/path/to/your/fullchain.cer",
          "keyFile": "/path/to/your/private.key"
        }
      ]
    }
  }
}

关键字段说明：`port` 是监听端口，`id` 是用户唯一标识符（UUID），`streamSettings` 定义了传输层配置，其中 `security` 设置为 `tls` 并提供证书路径是实现加密和伪装的关键。

示例 2: 配置 VMess 入站

VMess 是 V2Ray 的原生协议，功能丰富，但配置相对复杂。它同样支持多种传输方式，如 TCP、mKCP、WebSocket 等。

{
  "protocol": "vmess",
  "port": 10086,
  "listen": "0.0.0.0",
  "tag": "vmess-in",
  "settings": {
    "clients": [
      {
        "id": "your-uuid-here",
        "alterId": 0 // 建议设置为 0 以兼容新客户端
      }
    ]
  },
  "streamSettings": {
    "network": "ws", // 使用 WebSocket
    "wsSettings": {
      "path": "/your-secret-path"
    }
  }
}

此示例使用 WebSocket (`ws`) 作为传输方式，可以与 Nginx 等 Web 服务器配合，将代理流量伪装成正常的网页访问。`alterId` 是一个历史遗留字段，现在通常建议设为 0。

示例 3: 配置 Trojan 入站

Trojan 协议通过模仿 HTTPS 流量，提供了极佳的伪装性。其配置要求必须使用 TLS。

{
  "protocol": "trojan",
  "port": 443,
  "listen": "0.0.0.0",
  "tag": "trojan-in",
  "settings": {
    "clients": [
      {
        "password": "your-strong-password"
      }
    ]
  },
  "streamSettings": {
    "network": "tcp",
    "security": "tls",
    "tlsSettings": {
      "serverName": "your.domain.com",
      "certificates": [
        {
          "certificateFile": "/path/to/your/fullchain.cer",
          "keyFile": "/path/to/your/private.key"
        }
      ]
    }
  }
}

Trojan 的用户认证方式是 `password`，而不是 UUID。同样，正确的 TLS 证书配置是使其正常工作的先决条件。

路由规则 (Routing) 的强大功能

路由是 Xray-core 的精髓。它通过 `routing.rules` 数组中的一系列规则来决定数据包的命运。规则按顺序进行匹配，一旦匹配成功，就会将流量发送到规则指定的 `outboundTag`。

路由规则匹配条件

您可以使用多种条件来构建灵活的路由规则：

• `inboundTag`: 匹配来自特定入站的流量。
• `domain`: 匹配目标域名，支持关键词、正则表达式和预定义的 `geosite` 列表。
• `ip`: 匹配目标 IP 地址，支持 CIDR 格式和预定义的 `geoip` 列表。
• `port`: 匹配目标端口。
• `network`: 匹配网络类型 (tcp, udp)。
• `protocol`: 匹配应用层协议（http, tls, bittorrent）。

路由规则示例：分流国内外流量

这是最常见的应用场景。利用 `geoip` 和 `geosite` 规则文件，可以轻松实现对中国大陆流量直连，海外流量走代理。

"routing": {
  "domainStrategy": "AsIs",
  "rules": [
    {
      "type": "field",
      "ip": ["geoip:private"], // 私有地址直连
      "outboundTag": "direct"
    },
    {
      "type": "field",
      "domain": ["geosite:cn"], // 国内域名直连
      "outboundTag": "direct"
    },
    {
      "type": 'field',
      "ip": ["geoip:cn"], // 国内 IP 直连
      "outboundTag": "direct"
    },
    {
      "type": "field",
      "port": "0-65535", // 剩余所有流量走代理
      "outboundTag": "proxy-out"
    }
  ]
}

要使此配置生效，您需要下载 `geoip.dat` 和 `geosite.dat` 文件，并将其与 Xray 可执行文件放在同一目录。这些文件包含了大量的 IP 和域名数据。

实践与安全

配置完成后，请务必遵循安全最佳实践，以确保您的网络环境稳固可靠：

• 始终使用 TLS 加密流量，并确保证书有效。
• 为每个用户生成强壮且唯一的 UUID 或密码。
• 定期更新 Xray-core 到最新版本，以获取安全补丁和性能改进。
• 将日志级别设置为 `warning`，并定期检查日志中是否有异常活动。
• 使用复杂的 WebSocket 路径或 gRPC serviceName 增加被探测的难度。

对于需要管理大量代理IP或进行复杂网络操作的用户，手动配置可能非常繁琐。专业的代理IP服务，如 IPOCTO，提供了稳定可靠的节点，可以与 Xray-core 无缝集成，作为高质量的出站选择。而对于需要管理多个浏览器环境以进行社交媒体营销或电商运营的用户，AntidetectBrowser 结合 Xray-core 可以为每个浏览器配置文件设置独立的代理，极大地提高了账户的安全性与隔离性。

总结

通过本教程，您应该已经对 Xray-core 的配置有了系统性的了解。从核心的 `inbounds` 和 `outbounds`，到强大的 `routing` 规则，再到灵活的 `override` 机制，Xray-core 为构建定制化网络工具提供了无限可能。它的强大之处在于其灵活性和高性能，允许用户根据自身需求精确控制每一条数据流。

最好的学习方式是实践。我们鼓励您动手尝试不同的协议和路由组合，解决实际遇到的网络问题。当遇到更复杂的场景时，不要忘记查阅