VLESS + WebSocket + TLS + 3X-UI 面板，全程让 AI 帮你动手。你要做的，只有买好三样东西，再把信息一次给全。
核心：VPS + 域名 + Cloudflare
工具：Muse AI + 3X-UI
先说清楚：没有任何方案能保证“永不被墙”。这套做法的价值，是把直连 VPS 的单点风险，换成 Cloudflare 全球节点做桥梁，从而大幅降低被封概率，也让服务器真实 IP 不直接暴露在连接里。
为什么现在要换一种搭法
2026 年 10 月底开会之后，不少人发现原来的梯子突然用不了，连 YouTube、Telegram 都打不开，只剩下微信能发消息。这一轮不只是批量机场受影响，很多自己搭在 VPS 上的节点也被封了 IP。
会用现成服务是入门，会自己搭，才不怕某一家突然失效。但以前自建教程又长又劝退；现在借助 AI，复杂的安装、配置、验证都可以交给它执行，教程本身反而可以写得很短：原理搞懂，准备做对，剩下的照清单走。
这篇教程适合谁
- 原来直连 VPS 的节点被封过 IP，想换更稳的结构；
- 没系统学过服务器运维，但愿意按步骤操作；
- 想把节点握在自己手里，不依赖别人随时可能停服。
阅读顺序：先看完原理和准备清单，再动手购买。文末附有一条可直接复制发布的推特（X）短教程。
一、原理：墙能封一个 IP，封不完一整张网
直连为什么脆弱？传统搭法是电脑直接连 VPS，再由 VPS 去访问外面的网站。一旦 VPS 的 IP 被识别和封锁，这条路当场断掉，换端口、改配置都救不回来，只能换服务器、换 IP。
套 CDN 之后不一样。在电脑和 VPS 之间加一层 Cloudflare CDN（内容分发网络）：
- Cloudflare 在全球有大量节点，个别节点不可用，还有其他节点可以走；
- 你的客户端连的是域名和 Cloudflare，VPS 藏在后面，不直接面对封锁；
- VPS 与外部网站之间本来就是通畅的，它负责真正访问外网，CDN 只做中间的桥梁；
- Cloudflare 免费计划就够用，还附带免费的 Origin SSL 证书，省掉单独买证书的钱。
一句话记住：不是把梯子藏起来，而是给梯子换了一个有无数入口的门。堵住一扇，还有下一扇。
整套结构长这样
协议用 VLESS + WebSocket + TLS，管理用 3X-UI 面板，域名解析托管在 Cloudflare 并开启代理（小云朵），节点端口走 443。这也是后面让 AI 搭建时要原样说清的组合，不要中途换协议。
二、准备三样东西，先把 VPS 线路选对
| 要准备的 | 说明 |
|---|---|
| 1. 一台 VPS | 整套节点的落点。选三网优化线路，最低配即可。 |
| 2. 一个域名 | 客户端连域名、不连 IP。挑最便宜的后缀就行。 |
| 3. Cloudflare 账号 | 免费注册。负责 CDN 中转、DNS 解析和 Origin 证书。 |
线路名词，先看懂再下单
| 线路 | 属于谁 | 适合谁 |
|---|---|---|
| CN2 GIA | 中国电信高端线路 | 三网通用，体验最好，首选 |
| CMI | 中国移动 | 主要优化移动用户 |
| 9929 | 中国联通 | 主要优化联通用户 |
简单判断：不知道选什么就选 GIA / 三网优化。它针对电信、联通、移动都做了优化，谁用都顺；CMI 和 9929 也能用，但优化主要只覆盖自家宽带。
为什么视频里选 VMRack
对比一下就明白：搬瓦工的 GIA 洛杉矶机型大约要五六十美元一个月，门槛不低。VMRack 同样有三网优化线路，价格友好得多（以下为视频录制时的价格，以购买页面当时标价为准）：
| VMRack 宽带类型 | 大致价位 | 点评 |
|---|---|---|
| 精品网络（CN2 GIA） | 约 11.5 美元 / 月 | 最好，也最贵，晚高峰更稳 |
| 三网优化 | 比精品便宜 | 白天很好，晚高峰略逊于精品 |
| 美国原生 | 约 6 美元 / 月 | 最便宜，优化程度最低 |
下单动作
- 注册 VMRack 账号，进入自定义配置，选最低配——搭节点足够了；
- 宽带类型按预算选：追求稳选精品网络，性价比选三网优化；
- 系统选
Debian，设置一个root强密码，完成购买并部署； - 部署后进控制台，记下服务器 IP（本文一律写作“服务器IP”，请换成你自己的）。
三、域名买最便宜的，Cloudflare 做四件事
第一步：买域名
在阿里云国际版搜索域名注册，挑最便宜的后缀即可，例如 .shop 当时约 1.35 美元 / 年。选国际版的一个原因是免实名认证，流程更简单。域名只是地址牌子，不用为它多花钱。下文一律写作“你的域名”。
第二步：把域名接入 Cloudflare
- 注册 Cloudflare 免费账号，点
Add a domain（添加站点），填入你的域名； - 计划选 Free（免费），足够本教程使用；
- 按 Cloudflare 给出的提示，去域名注册商后台把 Nameserver（DNS 服务器）改成 Cloudflare 提供的那两条；
- 等生效：通常 1-2 小时，最长 24 小时。没生效前不要往下搭。
小提示：如果域名直接在 Cloudflare 购买，这一步接入会自动完成，可以跳过改 Nameserver。
第三步：创建免费 Origin 证书
- 进入
SSL/TLS > Origin Server（源服务器），点创建证书； - 有效期选 10 年或 15 年，免费；主机名填你的域名，并加上泛域名
*.你的域名，以后所有子域名共用这一张； - 创建后会得到两个文件内容：证书（.pem）和私钥（.key），分别保存好，后面交给 AI 安装时要用。
私钥只会出现这一次，要妥善保管。不要发到公开聊天、不要截图外传、不要写进博客。丢了就重新创建一张。
第四步：加一条 DNS 记录，并打开小云朵
- 进入
DNS > Records，添加记录，类型选 A 记录； - 名称填一个子域名前缀，例如
gia，完整地址就是gia.你的域名； - IPv4 地址只填服务器IP，不要带端口、不要带其他字符；
- 代理状态打开——图标变成橙色小云朵。这一步不开，流量就不会经过 CDN，整套原理等于没做。
第五步：确认 SSL 加密模式
进入 SSL/TLS > Overview，加密模式选 Full（完全）或 Full (Strict)（完全-严格）。装了 Origin 证书后两者都可用；如果模式停留在 Flexible，后面很容易出现重定向或连接错误。
动手搭建前的自检：域名状态显示已受 Cloudflare 保护；DNS 里那条 A 记录是橙色小云朵；证书和私钥都保存好了；服务器 IP 和 root 密码在手边。四项都对，再进入下一步。
四、让 Muse AI 动手：先把话说对，信息一次给全
注册 Muse 账号时需要用 Visa 或 Mastercard 做一次验证，确认不是批量注册的机器人，过程本身很简单。注册好之后，新开一个对话，把需求一次说清：
我有一台服务器，已经解析到 Cloudflare，也有 SSL 证书。
请帮我在这台服务器上搭建一个 WebSocket + TLS 的节点，
使用 3X-UI 面板。
你需要哪些信息，请列给我。它会反过来向你要资料，这正说明需求说对了。按下面的清单把信息补齐即可，不要东一句西一句分开发。
给 AI 的信息清单（全部换成你自己的）
| 项目 | 填什么 |
|---|---|
| 服务器 IP | 服务器IP（控制台里看到的地址） |
| SSH 端口 / 系统 | 22 / Debian |
| 域名 | gia.你的域名，且已打开 Cloudflare 代理 |
| 证书 | Origin 证书内容 + 私钥内容（通过安全方式提供） |
| 面板 | 3X-UI，面板端口、用户名和强密码由你指定 |
| 节点参数 | 默认即可：VLESS + WebSocket + TLS，端口 443 |
密码和私钥不要随手贴在公开聊天里。优先用平台提供的安全输入方式提交凭据；搭完之后，立刻改掉曾在聊天里出现过的密码。博客、截图、推文里更不能出现真实密码、私钥、UUID 和服务器 IP。
最容易卡住的一步：SSH 权限
- 如果 AI 提示连接服务器失败，多半是网络权限没放行；
- 打开网页版 Muse（手机 App 里找不到这个设置，别在 App 里翻）；
- 进入
Settings > Permissions > Direct network protocols > SSH； - 把策略从
Deny改为Ask，回到对话里告诉它“已打开”，需要授权时点允许。
权限打开后，AI 会自己完成安装 3X-UI、写入证书、创建入站节点、重启并验证。你要做的就是等它汇报完成，再按下面亲自验收一遍——面板能登录、客户端能连上、网页能打开，三项都过才算搭好。
五、面板也要套 Cloudflare，客户端这样验收
别忘了面板：IP 被封时它是救命入口
节点套了 CDN，面板如果还靠 IP + 默认端口直连，IP 一旦被封，你连自己的面板都进不去。让 AI 顺手把面板也搬到 Cloudflare 后面：
- 面板端口不能再用 55555——它不在 Cloudflare 支持的代理端口里；
- 改为 Cloudflare 支持的 HTTPS 端口
2053； - 给面板启用 TLS，使用同一张 Origin 证书；
- 之后用
https://你的域名:2053/登录面板，IP 被封也能进。
客户端导入与测速
- 在 3X-UI 面板里打开入站的二维码，用客户端扫码，或复制 VLESS 链接导入；
- 确认导入的地址是域名而不是服务器 IP——是域名，才说明真正套上了 CDN；
- 连上后打开几个外部网站验证，再跑一次测速。
预期要放平：套了免费 CDN，中转多一跳，ping 会比 GIA 直连稍高，这是正常代价。视频实测套 CDN 后速度仍能到 300 多 Mbps，不套 CDN 直连可到 500 多 Mbps——换来的是节点不再因为 IP 被封而整段失效，这笔交换值得。
连不上，先查这四处
- 域名解析生效了吗
- 小云朵是橙色吗
- SSL 模式是 Full 吗
- 客户端地址是域名吗
面板进不去，先查这三处
- 端口改成 2053 了吗
- 面板 TLS 开了吗
- 用的是域名地址吗
安全收尾清单
- 面板不要用默认密码，用户名和密码都换成强密码；
- root 密码用强密码，且不与其他服务共用；
- 证书私钥、UUID、订阅链接只给自己人，不公开分享；
- 价格、套餐和端口支持情况都会变，购买与操作时以官网当时信息为准。