前置配置指引 · 中转 / 链式代理 / NAT

① 落地机在 NAT 后 / 入口出口 IP 不同

安装器自动探测的是出口 IP，不一定是客户端能连上的入口 IP。以下场景必须在安装时显式指定入口地址：

VPS 的入口与出口 IP 不同；
落地机在 NAT / CGNAT 之后；
客户端实际连接的是一台前置中转机（见下一节）。

curl -fsSL https://raw.githubusercontent.com/Loading886/Home-Location-Endpoint/v0.3.0/install.sh \
  | sudo env HLE_VERSION=v0.3.0 bash -s -- --mode full --port 443 --server 客户端实际连接的入口地址

✅

前后端端口保持一致最省心。安装器无法从落地机可靠推断云安全组、NAT 映射或前置机地址，所以这一步得你来定。

② Realm 纯 TCP 中转前置

前置机只做 TCP 字节流转发：不安装代理核心、不终止外层加密、不持有认证凭据，也不运行定位修改器。

客户端连前置机，前置机把 TCP 原样转给落地机。传输解密与定位改写都在落地机完成。

前置机 Realm 配置（TOML）

[log]
level = "warn"
output = "stdout"

[network]
no_tcp = false
use_udp = false
tcp_timeout = 10
tcp_keepalive = 15
tcp_keepalive_probe = 3

[[endpoints]]
listen = "0.0.0.0:443"
remote = "LANDING_IP:443"

客户端怎么改

把节点里的服务器地址与端口换成 RELAY_IP:443；认证、加密、握手与目标参数一律保持落地机生成的原值，中转机不得改写。

必须满足

转发协议是 TCP；除非落地协议明确支持并启用，否则不要额外加入 PROXY protocol。
前置机到落地机的安全组/防火墙尽量只允许前置机 IP 访问落地端口。
需要 UDP 应用时，所选代理协议必须能在这条 TCP 链内承载相应流量；Realm 这一跳仍只转发外层 TCP，不要把同端口配成公开 UDP full-cone relay。
多层中转时每层都同样纯 TCP 转发，且最终只能有一个落地机。
传输协议依赖的握手目标或外部资源由落地机访问，与前置机无关。

仓库 Realm 前置说明 ↗

③ 链式代理（所在网络受限，先过一层再到落地机）

如果你所在网络无法直接连到墙外的落地机，常见做法是：客户端先连一个能用的前置代理（你已有的翻墙节点），再从它的出口连到本项目落地机。这样定位改写照常在落地机完成。

「前置代理」负责穿透受限网络，本项目落地机负责定位改写。两者职责分开。

在客户端里怎么接

不同客户端叫法不同，但思路一致——给本项目这个节点指定一个前置出站：

sing-box：给本项目 outbound 设置 "detour": "你的前置节点tag"，让它经前置节点拨号。
Stash / Clash 系：用 dialer-proxy（或代理链 / relay 分组）把落地节点的拨号指向前置节点。
Shadowrocket：可用「落地/前置」链式（在节点设置里指定前置代理）。

⚠️

务必保持全局 / 全隧道：无论加了几层前置，最终 iOS 的定位流量都要经由落地机，才会被改写。链路里任何一层「直连绕过」都会让定位回到真实位置。

💡

如果你能自己在墙外机器间搭中转，用上一节的 Realm 纯 TCP 中转更简单、开销更低；客户端链式更适合「复用你已有的翻墙节点」。

④ 云安全组 / 防火墙

安装器只在检测到 UFW 已经启用时才添加代理端口放行，不会替你启用 UFW，也不改 SSH 规则。
云厂商的安全组需要你自己在控制台放行对应端口（如 443/TCP）——这是「URI 连不上」最常见的原因。
用了前置机时，落地机的落地端口应只允许前置机来源 IP 访问，缩小暴露面。
IPv6：安装器在可用时会监听双栈，但这不代表云防火墙已放行 IPv6，需要你自行配置。

➡️

链路打通后，回到 新手图文教程 完成手机端设置；需要菜单控制可用 Telegram 进阶模式；也可用 仅定位模式 接入已有代理核心。