从零搭建中转服务器：那些没人告诉你的实战细节

大家好，我是33blog的站长。今天想和大家分享一个我最近折腾了整整两周才搞明白的技术话题——中转服务器的搭建。说实话，这玩意儿网上的教程要么太简单，要么太复杂，真正实用的细节反而没人提。下面我就把自己踩过的坑和总结的经验，用最直白的方式分享给大家。

为什么你需要一个中转服务器？

去年我遇到一个很头疼的问题：公司内网的服务需要对外提供API，但直接暴露内网IP太危险。这时候中转服务器就派上用场了——它就像个”中间人”，既能保护内网安全，又能转发请求。后来我发现，中转服务器还能用来：

• 突破某些地区的网络限制
• 加速特定服务的访问
• 做流量监控和日志记录

选型踩坑：Nginx还是HAProxy？

我最开始无脑选了Nginx，毕竟它太出名了。但实际用起来才发现，对于纯转发场景，HAProxy的性能要高出30%左右。这里有个性能测试对比：

# Nginx转发配置示例
location /api/ {
    proxy_pass http://backend_server;
    proxy_set_header Host $host;
}

# HAProxy配置示例
frontend web
    bind *:80
    default_backend servers

backend servers
    server server1 backend_server:80 check
  

不过Nginx在处理HTTPS时更方便，所以最终我的方案是：HAProxy做TCP层转发，Nginx处理HTTP/HTTPS。

那些教程里不会告诉你的安全细节

这里我要特别强调几个安全配置，都是血泪教训：

1. 一定要限制源IP：我吃过亏，服务器刚上线就被扫描了
2. 定期更新TLS证书：用acme.sh自动续期最省心
3. 监控连接数：突然暴增很可能是被攻击了

分享一个实用的iptables规则，可以防住大部分扫描：

# 限制每分钟新建连接数
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP
iptables -A INPUT -p tcp --dport 443 -m connlimit --connlimit-above 50 -j DROP
  

性能调优实战经验

当QPS上到2000+时，默认配置肯定扛不住。经过多次压测，我总结出几个关键参数：

• 调整内核参数：net.ipv4.tcp_max_tw_buckets
• 优化HAProxy的maxconn值
• 启用TCP Fast Open

最神奇的是调整somaxconn这个参数，直接把我们的吞吐量提升了40%。配置方法：

echo 65535 > /proc/sys/net/core/somaxconn
sysctl -w net.core.somaxconn=65535
  

监控与排错技巧

服务器跑起来只是开始，真正的挑战在运维阶段。推荐几个我每天必看的指标：

遇到问题先看日志！HAProxy的日志要这样配置才有用：

global
    log /dev/log local0 info

defaults
    log global
    option httplog
    option dontlognull
  

写在最后

搭建中转服务器看似简单，但魔鬼都在细节里。希望这篇实战总结能帮你少走弯路。如果遇到问题，欢迎来33blog的评论区交流。对了，最近我发现用Rust写的shadowsocks-rust性能很惊艳，下期可能会写相关评测，记得关注哦！