mihomo + metacubexd + docker compose + nginx 反代教程

[xfl12345]

先吐槽一番信息的闭塞与混乱。
一开始找 clash内核 的代替品，找到 "clash meta"/"singbox" 这两个内核。
clash meta 不知道为什么改名成了 mihomo （避嫌？），我很长一段时间不知道它们竟然是同一个东西！
（就像 USB 3.0 一改 3.1 再改 3.2 造成信息极度混乱的感觉……）
然后找容器化部署方案。mihomo 没有把 docker 部署方案写到 readme 里，网上也找不到教程。
却十分万幸地在这个仓库找到了镜像tag以及 docker compose 的写法。

碎碎念 废话结束，开始正篇！

[xfl12345]

• docker-compose.yml

# version: '3'
services:
  clash:
    container_name: clash-meta
    image: metacubex/mihomo:v1.18.4  # 最新版用 metacubex/mihomo:Alpha
    restart: always
    pid: host
    ipc: host
    network_mode: host
    cap_add:
      - ALL
    security_opt:
      - apparmor=unconfined
    volumes:
      - ~/clash_meta/clash:/root/.config/mihomo
      - /dev/net/tun:/dev/net/tun
      # 共享host的时间环境
      - /etc/timezone:/etc/timezone:ro
      - /etc/localtime:/etc/localtime:ro

  metacubexd:
    container_name: metacubexd
    image: ghcr.io/metacubex/metacubexd
    restart: always
    network_mode: bridge
    ports:
      - '127.0.0.1:28002:80'
    volumes:
      - ~/clash_meta/caddy:/config/caddy
      # 共享host的时间环境
      - /etc/timezone:/etc/timezone:ro
      - /etc/localtime:/etc/localtime:ro

[xfl12345]

启动命令：docker-compose up -d
停机并删除命令：docker-compose down
docker 其它用法，请自行查阅官方文档。

[xfl12345]

• ~/clash_meta/clash/config.yaml

mixed-port: 7890
allow-lan: true
external-controller: 127.0.0.1:28001
secret: 8a09518e-5d92-4a7e-b811-9dfd3b611842

mode: rule
proxies:
  - name: "本地xray"
    type: socks5
    server: 127.0.0.1
    port: 1080
    udp: true
  # - name: "本地singbox"
  #   type: socks5
  #   server: 127.0.0.1
  #   port: 8848
  #   udp: true

proxy-groups:
  - name: "我的跳板"
    type: select
    proxies:
      - "本地xray"
      # - "本地singbox"
  - name: "第三方跳板1"
    type: select
    use:
     - "第三方订阅（名字要和 proxy-providers 里的一样）"
  - name: "第三方跳板2"
    type: url-test # 根据 HTTP 测速延迟自动选择
    use:
     - "第三方订阅2"

# URL 延迟检测 通用配置
my-url-test: &my-url-test
  # 延迟检测 URL
  health-check:
    enable: true
    url: https://cp.cloudflare.com
    # 节点连通性检测时间，单位为秒
    interval: 300
    # 节点超时延迟，单位为毫秒
    timeout: 1000
    # 节点自动切换差值，单位为毫秒
    tolerance: 100

proxy-providers:
  "第三方订阅（名字要和 proxy-providers 里的一样）":
    type: http
    url: "https://你的第三方订阅URL，一般情况长这样，但不一定是这个样子/subscribe?token=2426efe5aaaaa492aaa458aaa4afa83d"
    path: /root/.config/mihomo/di3fang.yaml
    # 自动更新订阅时间，单位为秒
    interval: 3600 # 一小时
    # URL 延迟检测逻辑
    <<: *my-url-test
  "第三方订阅2":
    type: http
    url: "https://你的第三方订阅URL，一般情况长这样，但不一定是这个样子/subscribe?token=2426efe5acbda492aaa458aaa4afa83d"
    path: /root/.config/mihomo/di3fang22222222222222222222222222222.yaml
    # 自动更新订阅时间，单位为秒
    interval: 3600 # 一小时
    # URL 延迟检测逻辑
    <<: *my-url-test

dns:
  enable: true
  ipv6: true
  nameserver:
    - https://[2606:4700:4700::1111]/dns-query
    - 223.5.5.5
  fake-ip-filter:
    - +.stun.*.*
    - +.stun.*.*.*
    - +.stun.*.*.*.*
    - +.stun.*.*.*.*.*
    - "*.n.n.srv.nintendo.net"
    - +.stun.playstation.net
    - xbox.*.*.microsoft.com
    - "*.*.xboxlive.com"
    - "*.msftncsi.com"
    - "*.msftconnecttest.com"
    - WORKGROUP

rules:
  #- PROCESS-PATH,/usr/bin/xray,DIRECT
  - PROCESS-NAME,ddns-go,DIRECT
  - PROCESS-NAME,xray,DIRECT
  - PROCESS-NAME,qbittorrent-nox,DIRECT
  - MATCH,我的跳板

tun:
  enable: false
  stack: system
  auto-route: true
  auto-detect-interface: true

更多配置细节，请查阅官方文档
clash原版docs
mihomo docs

教程作者我是参考自这个大佬的 配置 才弄懂的

[xfl12345]

nginx 反代

• /etc/nginx/conf.d/ddns.conf

# clash meta WEBUI metacubexd
server {
    listen 0.0.0.0:2082;
    listen [::]:2082;
    client_max_body_size 32m;

    location /assets/ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002/assets/;
    }

    location ~* ^/.*\.(js|css|htm|html|bmp|png|jpg|jpeg|svg|ico|webmanifest)$ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002;
    }

    location / { # clash meta API
        if ($request_uri = "/") {
            return 301 ./index.html;
        }

        access_log /opt/wwwlogs/clash_api_access.log main;
        error_log /opt/wwwlogs/clash_api_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28001;
    }
}

• /etc/nginx/snippets/my_default_http1p1_proxy_setting.conf

include snippets/my_proxy_headers.conf;
proxy_http_version 1.1;
proxy_read_timeout 360s;

• /etc/nginx/snippets/my_proxy_headers.conf

set $diy_connection_upgrade "upgrade";
if ( $http_upgrade = '' ) {
    # set $diy_connection_upgrade "keep-alive";
    # set $diy_connection_upgrade "close";
    set $diy_connection_upgrade $connection;
}
proxy_set_header Connection $diy_connection_upgrade;
proxy_set_header Upgrade $http_upgrade;
# proxy_set_header Host $proxy_host;
proxy_set_header Host $http_host;
proxy_set_header REMOTE-HOST $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Host $http_host;
# proxy_set_header X-Forwarded-Port $remote_port;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Protocol $scheme;
proxy_set_header X-Scheme $scheme;
proxy_set_header X-Nginx-Proxy true;

[Vanhelsin21]

nginx 反代

• /etc/nginx/conf.d/ddns.conf

# clash meta WEBUI metacubexd
server {
    listen 0.0.0.0:2082;
    listen [::]:2082;
    client_max_body_size 32m;

    location /assets/ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002/assets/;
    }

    location ~* ^/.*\.(js|css|htm|html|bmp|png|jpg|jpeg|svg|ico|webmanifest)$ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002;
    }

    location / { # clash meta API
        if ($request_uri = "/") {
            return 301 ./index.html;
        }

        access_log /opt/wwwlogs/clash_api_access.log main;
        error_log /opt/wwwlogs/clash_api_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28001;
    }
}

• /etc/nginx/snippets/my_default_http1p1_proxy_setting.conf

include snippets/my_proxy_headers.conf;
proxy_http_version 1.1;
proxy_read_timeout 360s;

• /etc/nginx/snippets/my_proxy_headers.conf

set $diy_connection_upgrade "upgrade";
if ( $http_upgrade = '' ) {
    # set $diy_connection_upgrade "keep-alive";
    # set $diy_connection_upgrade "close";
    set $diy_connection_upgrade $connection;
}
proxy_set_header Connection $diy_connection_upgrade;
proxy_set_header Upgrade $http_upgrade;
# proxy_set_header Host $proxy_host;
proxy_set_header Host $http_host;
proxy_set_header REMOTE-HOST $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Host $http_host;
# proxy_set_header X-Forwarded-Port $remote_port;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Protocol $scheme;
proxy_set_header X-Scheme $scheme;
proxy_set_header X-Nginx-Proxy true;

反代这部分不太懂，求教，nginx已经安装了，相关文件也创建了，是还需要配置一个动态域名吗？菜鸟一只，没弄过反代

[xfl12345]

nginx 反代

• /etc/nginx/conf.d/ddns.conf

# clash meta WEBUI metacubexd
server {
    listen 0.0.0.0:2082;
    listen [::]:2082;
    client_max_body_size 32m;

    location /assets/ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002/assets/;
    }

    location ~* ^/.*\.(js|css|htm|html|bmp|png|jpg|jpeg|svg|ico|webmanifest)$ {
        access_log /opt/wwwlogs/clash_webui_access.log main;
        error_log /opt/wwwlogs/clash_webui_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28002;
    }

    location / { # clash meta API
        if ($request_uri = "/") {
            return 301 ./index.html;
        }

        access_log /opt/wwwlogs/clash_api_access.log main;
        error_log /opt/wwwlogs/clash_api_error.log;
        include snippets/my_default_http1p1_proxy_setting.conf;
        proxy_pass http://127.0.0.1:28001;
    }
}

• /etc/nginx/snippets/my_default_http1p1_proxy_setting.conf

include snippets/my_proxy_headers.conf;
proxy_http_version 1.1;
proxy_read_timeout 360s;

• /etc/nginx/snippets/my_proxy_headers.conf

set $diy_connection_upgrade "upgrade";
if ( $http_upgrade = '' ) {
    # set $diy_connection_upgrade "keep-alive";
    # set $diy_connection_upgrade "close";
    set $diy_connection_upgrade $connection;
}
proxy_set_header Connection $diy_connection_upgrade;
proxy_set_header Upgrade $http_upgrade;
# proxy_set_header Host $proxy_host;
proxy_set_header Host $http_host;
proxy_set_header REMOTE-HOST $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Host $http_host;
# proxy_set_header X-Forwarded-Port $remote_port;
proxy_set_header X-Forwarded-Port $server_port;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Protocol $scheme;
proxy_set_header X-Scheme $scheme;
proxy_set_header X-Nginx-Proxy true;

反代这部分不太懂，求教，nginx已经安装了，相关文件也创建了，是还需要配置一个动态域名吗？菜鸟一只，没弄过反代

慢慢学 NGINX 。有偿支持：tg

[xfl12345]

假设DDNS域名是 example.com
那么访问的时候，后地址是 http://example.com:2082
密钥就是写在 ~/clash_meta/clash/config.yaml 里的 secret 字段。（本教程的话就是8a09518e-5d92-4a7e-b811-9dfd3b611842）

这个密钥记得自己改！！！用 UUID 生成器随便生成一个！！！
这个密钥记得自己改！！！用 UUID 生成器随便生成一个！！！
这个密钥记得自己改！！！用 UUID 生成器随便生成一个！！！

为安全考虑，建议给 Nginx 装上 SSL证书。

Enjoy yourself! :)

[iseesaw]

您好！请问 mihomo + metacubexd docker 部署之后，如何使用呢？我在文件服务器上部署了 docker，希望在局域网服务器上通过下面命令使用

export https_proxy=http://IP:7890 http_proxy=http://IP:7890 all_proxy=socks5://IP:7890

请问这个要怎么实现呢？

[xfl12345]

mihomo 容器已经是 network_mode: host 了，已经是在宿主机网络堆栈监听 7890 端口了。
可以通过执行 netstat -nltup | grep 7890 来检查

[chrisdong]

我在compose需要代理的某个容器下方，加上了

• http_proxy=http://自己的ip:7890
• https_proxy=http://自己的ip:7890

[xfl12345]

这样写不太好，写死了。 鉴于教程提供的 network_mode 是 host

需要代理的 docker 容器 compose 配置文件直接添加如下代码

services:
  some_service_name:
    extra_hosts:
      - "host.docker.internal:host-gateway"
    environment:
      - http_proxy=http://host.docker.internal:7890
      - https_proxy=http://host.docker.internal:7890
      - all_proxy=socks5://host.docker.internal:7890

这种方式，貌似在linux下面不行，在docker desktop下面才可以

可以的。你的docker引擎什么版本？我的是26.1.4 而且是 cli 不是 desktop

[fighter2011]

这样写不太好，写死了。 鉴于教程提供的 network_mode 是 host
需要代理的 docker 容器 compose 配置文件直接添加如下代码

services:
  some_service_name:
    extra_hosts:
      - "host.docker.internal:host-gateway"
    environment:
      - http_proxy=http://host.docker.internal:7890
      - https_proxy=http://host.docker.internal:7890
      - all_proxy=socks5://host.docker.internal:7890

这种方式，貌似在linux下面不行，在docker desktop下面才可以

可以的。你的docker引擎什么版本？我的是26.1.4 而且是 cli 不是 desktop

版本是26.1.2，在另外一个容器里面Ping host.docker.internal只得到一条记录，然后超时，有点奇怪

[xfl12345]

这样写不太好，写死了。 鉴于教程提供的 network_mode 是 host
需要代理的 docker 容器 compose 配置文件直接添加如下代码

services:
  some_service_name:
    extra_hosts:
      - "host.docker.internal:host-gateway"
    environment:
      - http_proxy=http://host.docker.internal:7890
      - https_proxy=http://host.docker.internal:7890
      - all_proxy=socks5://host.docker.internal:7890

这种方式，貌似在linux下面不行，在docker desktop下面才可以

可以的。你的docker引擎什么版本？我的是26.1.4 而且是 cli 不是 desktop

版本是26.1.2，在另外一个容器里面Ping host.docker.internal只得到一条记录，然后超时，有点奇怪

ping 都不行啦……
那就看看是不是 docker 引擎自己的配置文件哪里有问题

• /etc/docker/daemon.json

{
    "ipv6": true,
    "experimental": true,
    "fixed-cidr-v6": "fd00:0:0:ffff::/90",
    "ip6tables": true,
    "features": {
        "buildkit": true
    },
    "bip": "172.17.0.1/16"
}

还有是不是主机禁 PING

你可以试试 busybox 镜像里 wget

[xfl12345]

这样写不太好，写死了。 鉴于教程提供的 network_mode 是 host
需要代理的 docker 容器 compose 配置文件直接添加如下代码

services:
  some_service_name:
    extra_hosts:
      - "host.docker.internal:host-gateway"
    environment:
      - http_proxy=http://host.docker.internal:7890
      - https_proxy=http://host.docker.internal:7890
      - all_proxy=socks5://host.docker.internal:7890

这种方式，貌似在linux下面不行，在docker desktop下面才可以

可以的。你的docker引擎什么版本？我的是26.1.4 而且是 cli 不是 desktop

版本是26.1.2，在另外一个容器里面Ping host.docker.internal只得到一条记录，然后超时，有点奇怪

写了一个 curl 测试

# version: "3"

# official repo URL=https://github.com/curl/curl-container
services:
  curl_test:
    container_name: curl-test
    image: ghcr.io/curl/curl-container/curl:master
    pull_policy: always
    extra_hosts:
      - "host.docker.internal:host-gateway"
    environment:
      - http_proxy=http://host.docker.internal:7890
      - https_proxy=http://host.docker.internal:7890
      - all_proxy=socks5://host.docker.internal:7890
    command: "curl --head https://www.google.com/"
    volumes:
      # 共享host的时间环境
      - /etc/timezone:/etc/timezone:ro
      - /etc/localtime:/etc/localtime:ro
    network_mode: bridge
    restart: "no"

docker compose up 测试，测试完了 docker compose down 避免浪费空间
如果在GFW部署区测试日志出现

curl-test  | HTTP/1.1 200 Connection established
curl-test  | 
curl-test  | HTTP/2 200

那就是成功走代理了

[fighter2011]

可以了，vps自己的防火墙把docker也给拦截了，放开了docker0网段就可以了

[foxdodo]

补充一下，用这个老哥的config.yaml配置文件 https://gist.github.com/liuran001/5ca84f7def53c70b554d3f765ff86a33
改下以下内容就可以用了

# metacubexd连接的端口和secret
external-controller: 0.0.0.0:28001
secret: 799c8b45-78e9-4bf8-86af-366c4b20970f
# 订阅地址
  订阅一:
    <<: *p
    path: ./proxy_provider/订阅一.yaml
    url: "你的订阅地址"

[ibarnard]

老哥，能否给出完整的 yaml 文件，我直接抄作业，因为我试过失败了。

[1525745393]

填写订阅地址一直打不开

[fbigun]

mark

[new1943]

我都启动完了，但一直认证失败是咋回事？

[new1943]

改了n次，就是打开metacubexd页面后，去认证mihomo的服务9090那个，提示401

[xfl12345]

改了n次，就是打开metacubexd页面后，去认证mihomo的服务9090那个，提示401

密码不对。确定填的是 clash 配置文件里的那个 secret 吗？

[michaelauto]

UI和内核怎么不整合在一起

[star8618]

按照你们的配置，我只能打开国内网站，国外网站一个打不开！知道什么情况不？

[uduoy]

其实用docker部署ShellCrash就行了，ShellCrash貌似可以用mihomo内核，多内核可选

[xfl12345]

失踪人口诈尸复活来更新了。关于第三方订阅的写法已 更新

一开始没有写订阅的写法是因为教程作者我主要利用 clash 的 TUN 能力，流量跑本地的 xray 的 socks5 然后再翻到我自建的小鸡。
自己本就是小鸡场主，没有用 clash 的捉襟见肘的支持特性，所以就没写 clash 的订阅配置。

召唤
@1525745393 @star8618 @ibarnard