TrustTunnel 服务端完整部署教程

一、TrustTunnel 简介 TrustTunnel 是 AdGuard 于 2026 年初开源的现代代理协议，核心设计目标是让代理流量与普通 HTTPS 流量完全无法区分。自 mihomo v1.19.21 起已原生支持该协议的入站与出站。主要特点：流量伪装极强：基于 HTTP/2 / HTTP/3 over TLS，DPI 无法有效识别原生 UDP 支持：同时监听 TCP/UDP 443 端口，适合游戏、视频等场景连接复用：多路复用设计，减少握手延迟，在移动网络下表现稳定标准 TLS 1.3：支持 Let's Encrypt 证书自动申请，无需自定义加密方案二、部署前准备开始前请确认以下条件：一台具有公网 IP 的 Linux 服务器（Ubuntu / Debian 均可）一个解析到该服务器公网 IP 的域名（用于 TLS 证书申请）防火墙 / 安全组已放行 80 端口（ACME 验证）和 443 端口（代理服务）验证域名解析是否正确 # 查看服务器公网 IP curl -4 https://icanhazip.com # 查看域名解析结果（两者应一致） nslookup 你的域名 ⚠️ 注意：如域名解析 IP 与服务器 IP 不一致，请先在 DNS 服务商处修改 A 记录，等待生效后再继续。三、安装 TrustTunnel 使用官方一键安装脚本（需要 root 权限）： curl -fsSL https://raw.githubusercontent.com/TrustTunnel/TrustTunnel/refs/heads/master/scripts/install.sh | sh 安装完成后，程序文件位于 /opt/trusttunnel/ 目录下： trusttunnel_endpoint — 主程序 setup_wizard — 交互式配置向导 trusttunnel.service.template — systemd 服务模板四、运行配置向导在 root 用户 home 目录下运行配置向导： /opt/trusttunnel/setup_wizard 向导会依次询问以下内容，按下表填写：配置项推荐填写说明监听地址 0.0.0.0:443（默认）直接回车即可凭据文件路径 credentials.toml（默认）直接回车即可用户名自定义，如 admin 记住，客户端连接要用密码强密码建议用 openssl rand -base64 16 生成规则文件路径 rules.toml（默认）直接回车即可是否配置过滤规则 no 个人使用无需配置，允许所有连接主配置文件路径 vpn.toml（默认）直接回车即可证书获取方式 Let's Encrypt 有公网域名选此项域名你的域名需已解析到服务器 IP 邮箱你的邮箱用于证书到期通知验证方式 HTTP-01 80 端口可访问时选此项使用测试环境 no 直接申请正式有效证书备用 SNI no 无需配置 TLS 配置文件路径 hosts.toml（默认）直接回车即可向导完成后，在当前目录生成以下文件： vpn.toml — 主配置文件 hosts.toml — TLS 配置文件 credentials.toml — 用户凭据 rules.toml — 过滤规则 certs/cert.pem — TLS 证书 certs/key.pem — TLS 私钥五、导出客户端 URI 向导完成后，导出客户端连接 URI（部分客户端可直接导入）： # 将 admin 替换为你的用户名，vpn.xxx.com 替换为你的域名 /opt/trusttunnel/trusttunnel_endpoint vpn.toml hosts.toml -c admin -a vpn.xxx.com 输出结果类似： tt://?AQ90bi54aWFvYmFvMDMudGsFBWFkbWluBgthZG1pbjEy... 💡 提示：请妥善保存这段 URI，AdGuard 官方 Flutter 客户端及部分支持 TrustTunnel 的工具可直接使用。六、配置 systemd 开机自启由于 systemd 服务模板中 WorkingDirectory 指向 /opt/trusttunnel/，需先将配置文件移动过去： mv ~/vpn.toml ~/hosts.toml ~/credentials.toml ~/rules.toml /opt/trusttunnel/ mv ~/certs /opt/trusttunnel/ 复制服务文件并启动： cp /opt/trusttunnel/trusttunnel.service.template /etc/systemd/system/trusttunnel.service systemctl daemon-reload systemctl enable --now trusttunnel 验证服务状态： systemctl status trusttunnel 看到以下输出即表示运行正常： Active: active (running) ... Listening to TCP 0.0.0.0:443 Listening to UDP 0.0.0.0:443 ✅ 服务已设置为开机自启，重启服务器后无需手动启动。七、mihomo 客户端配置在 mihomo 的 config.yaml 中添加以下内容： mixed-port: 7890 allow-lan: false mode: rule log-level: info dns: enable: true listen: 0.0.0.0:1053 enhanced-mode: fake-ip fake-ip-range: 198.18.0.1/16 nameserver: - 223.5.5.5 - 119.29.29.29 fallback: - 8.8.8.8 - 1.1.1.1 proxies: - name: "TrustTunnel" type: trusttunnel server: 你的域名 port: 443 username: 你的用户名 password: 你的密码 tls: true sni: 你的域名 proxy-groups: - name: "Proxy" type: select proxies: - TrustTunnel - DIRECT rules: - DOMAIN-SUFFIX,cn,DIRECT - GEOIP,CN,DIRECT - MATCH,Proxy ⚠️ 注意：TrustTunnel 在 mihomo 中的支持于 v1.19.21 刚刚加入，配置字段以 wiki.metacubex.one 更新后的官方文档为准。八、常用管理命令服务管理 systemctl start trusttunnel # 启动 systemctl stop trusttunnel # 停止 systemctl restart trusttunnel # 重启 systemctl status trusttunnel # 查看状态 journalctl -fu trusttunnel # 实时查看日志添加新用户 # 编辑凭据文件 nano /opt/trusttunnel/credentials.toml # 新增用户后重启服务使配置生效 systemctl restart trusttunnel 九、配置信息汇总配置项说明服务端域名你的域名监听端口 443（TCP + UDP）用户名你设置的用户名密码你设置的密码证书路径 /opt/trusttunnel/certs/cert.pem 私钥路径 /opt/trusttunnel/certs/key.pem 开机自启 ✅ 已通过 systemd 配置 mihomo 最低版本 v1.19.21