1. 安装 3x-ui 面板#

这里使用 MHSanaei 版 3x-ui，并固定安装在 v3.4.2 版本。

固定版本的好处是可以避免后续脚本更新导致配置或功能发生变化，方便长期维护。

执行以下命令：

1
bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh) v3.4.2

安装完成后，根据安装脚本提示访问 3x-ui 管理面板。

建议首次进入面板后立即修改默认的管理账号、密码以及面板端口，避免使用默认配置长期暴露在公网。

2. 安装 Cloudflare WARP#

为了让部分 Google 服务通过 WARP 出口访问，可以使用 fscarmen/warp 提供的脚本安装 WARP。

下载并运行安装脚本：

1
wget -N https://gitlab.com/fscarmen/warp/-/raw/main/menu.sh
2

3
chmod +x menu.sh
4

5
bash menu.sh

1
协议：Socks5
2
地址：127.0.0.1
3
端口：40000

1
127.0.0.1:40000

1
ss -lntp | grep 40000

3.1 新增 WARP 出站#

在 Outbound（出站）配置中新增一个 Socks5 出站。

配置如下：

核心配置可以理解为：

1
{
2
  "protocol": "socks",
3
  "settings": {
4
    "servers": [
5
      {
6
        "address": "127.0.0.1",
7
        "port": 40000
8
      }
9
    ]
10
  },
11
  "tag": "warp"
12
}

其中：

• 127.0.0.1 表示 WARP Socks5 运行在本机
• 40000 是 WARP Socks5 监听端口
• warp 是这个出站的 Tag，后面的路由规则会引用它

3.2 配置路由规则#

接下来配置 Routing，让指定的 Google / Gemini 流量通过 warp 出站。

以下规则保留了原有的分流逻辑：

1. api 入站流量 → api
2. 私有 IP → blocked
3. BitTorrent → blocked
4. YouTube → direct
5. 指定 Google / Gemini 域名 → warp
6. Google IP → warp

配置如下：

1
[
2
  {
3
    "type": "field",
4
    "inboundTag": [
5
      "api"
6
    ],
7
    "outboundTag": "api"
8
  },
9
  {
10
    "type": "field",
11
    "ip": [
12
      "geoip:private"
13
    ],
14
    "outboundTag": "blocked"
15
  },
16
  {
17
    "type": "field",
18
    "protocol": [
19
      "bittorrent"
20
    ],
21
    "outboundTag": "blocked"
22
  },
23
  {
24
    "type": "field",
25
    "domain": [
26
      "geosite:youtube"
27
    ],
28
    "outboundTag": "direct"
29
  },
30
  {
31
    "type": "field",
32
    "domain": [
33
      "gemini.google.com",
34
      "aistudio.google.com",
35
      "makersuite.google.com",
36
      "ai.google.dev",
37
      "labs.google",
38
      "generativelanguage.googleapis.com",
39
      "aiplatform.googleapis.com",
40
      "alkalimakersuite-pa.clients6.google.com",
41
      "google.com",
42
      "www.google.com",
43
      "accounts.google.com",
44
      "ogs.google.com",
45
      "clients.google.com",
46
      "clients1.google.com",
47
      "clients2.google.com",
48
      "clients3.google.com",
49
      "clients4.google.com",
50
      "clients5.google.com",
51
      "clients6.google.com",
52
      "oauth2.googleapis.com",
53
      "www.googleapis.com",
54
      "googleapis.com",
55
      "gstatic.com",
56
      "gvt1.com",
57
      "gvt2.com",
58
      "gvt3.com"
59
    ],
60
    "outboundTag": "warp"
61
  },
62
  {
63
    "type": "field",
64
    "ip": [
65
      "geoip:google"
66
    ],
67
    "outboundTag": "warp"
68
  }
69
]

1
客户端请求
2
    │
3
    ├── 私有 IP ──────────→ blocked
4
    │
5
    ├── BT 流量 ──────────→ blocked
6
    │
7
    ├── YouTube ──────────→ direct
8
    │
9
    ├── Google / Gemini ──→ warp
10
    │
11
    └── 其他流量 ─────────→ 默认出站

4.1 安装 UFW#

首先更新系统并安装 UFW：

1
apt update && apt upgrade -y
2

3
apt install ufw -y

设置默认策略：

1
ufw default deny incoming
2

3
ufw default allow outgoing

含义如下：

4.2 放行 SSH 端口#

如果 SSH 使用默认的 22 端口：

1
ufw allow 22/tcp

如果你修改过 SSH 端口，例如使用 22222，则应该放行实际使用的端口：

1
ufw allow 22222/tcp

不要在没有确认新 SSH 连接可以正常使用之前关闭当前 SSH 会话。

建议先打开一个新的终端窗口测试 SSH 登录，确认没有问题后再继续。

4.3 放行 3x-ui 面板端口#

假设 3x-ui 面板使用 9850 端口：

1
ufw allow 9850/tcp

如果你修改了面板端口，需要替换成实际端口。

4.4 放行节点端口#

根据实际节点配置放行相应端口。

例如：

1
ufw allow 443/udp
2

3
ufw allow 80/tcp
4

5
ufw allow 22464/tcp

如果需要开放一个连续的 TCP 端口范围，例如 10000-20000：

1
ufw allow 10000:20000/tcp

不需要使用的端口不要开放。端口开放得越多，服务器公网暴露面也越大。

4.5 启用 UFW#

确认 SSH、面板以及节点端口全部放行后，再启用防火墙：

1
ufw enable

查看当前防火墙状态：

1
ufw status

如果需要查看更加详细的信息：

1
ufw status verbose

5.1 检查 WARP Socks5#

确认 40000 端口正在监听：

1
ss -lntp | grep 40000

如果没有监听，需要回到 WARP 脚本检查 Socks5 模式是否正常启动。

5.2 检查 Xray 配置#

在 3x-ui 中保存 Xray 配置并重启相关服务。

如果 Xray 无法启动，优先检查：

• JSON 格式是否正确
• warp 出站 Tag 是否与路由规则中的 outboundTag 完全一致
• WARP Socks5 地址和端口是否正确
• 路由规则是否存在语法错误

可以通过 3x-ui 的日志功能查看 Xray 的启动日志。

5.3 检查 UFW#

查看当前规则：

1
ufw status numbered

确认至少包含实际使用的：

• SSH 端口
• 3x-ui 面板端口
• 节点端口
• 其他确实需要公网访问的服务端口

6.1 开启 UFW 后 SSH 断开#

最常见的原因是 SSH 端口没有提前放行。

例如 SSH 使用 22 端口：

1
ufw allow 22/tcp

如果 SSH 使用其他端口，则必须放行对应端口。

如果已经失去 SSH 连接，需要通过 VPS 服务商提供的 Web Console / VNC / Serial Console 等带外管理方式进入服务器，再检查 UFW 规则。

6.2 WARP 已安装，但 Google AI 仍然无法访问#

首先检查 WARP Socks5 是否正常：

1
ss -lntp | grep 40000

然后检查 3x-ui 中的 Outbound：

1
Address: 127.0.0.1
2
Port: 40000
3
Tag: warp

同时确认路由规则中的：

1
"outboundTag": "warp"

与 Outbound 的 Tag 完全一致。

6.3 修改了 WARP Socks5 端口#

如果 WARP 从：

1
127.0.0.1:40000

改成了其他端口，例如：

1
127.0.0.1:50000

那么 3x-ui 的 Socks5 Outbound 也必须同步修改：

1
{
2
  "address": "127.0.0.1",
3
  "port": 50000
4
}

否则 Xray 会连接到错误的端口。

6.4 为什么不直接让所有流量走 WARP？#

这套配置的目的并不是让 VPS 的所有流量都经过 WARP，而是针对特定服务进行分流。

这样做可以减少不必要的代理链路，同时保留 VPS 原有的直连出口。

整体逻辑可以概括为：

1
普通流量
2
    ↓
3
VPS 原始出口
4
    ↓
5
Direct
6

7
Google / Gemini
8
    ↓
9
Xray Routing
10
    ↓
11
WARP Socks5
12
    ↓
13
Cloudflare WARP
14
    ↓
15
Google / Gemini