名詞速查表
本頁列出下列主題的名詞、協議、引擎和底層技術：VPN 代理、中國戶外直播 Bonding、MediaMTX 安全架構、應用層端對端加密和雲端服務。
| 名詞 | 類型 | 說明 |
|---|---|---|
| Xray | 引擎 | 伺服器端代理核心程式。XTLS 團隊開發。VLESS+Reality 的最佳實作。 |
| Sing-box | 引擎 | 通用代理工具鏈。SagerNet 團隊開發。客戶端廣泛使用。支援的協議最多。 |
| Hysteria2 官方 | 引擎 | Hysteria2 協議的官方實作（apernet）。基於 QUIC。可以獨立部署。 |
| WireGuard 官方 | 引擎 | 現代 VPN 協議的官方實作。內建於 Linux kernel。WireGuard 沒有混淆功能，所以不適用於在中國科學上網。 |
| VLESS | 協議 | 輕量代理協議。VLESS 沒有官方的獨立引擎。VLESS 必須搭配 Xray 或 Sing-box，並搭配 Reality 使用。 |
| Reality | 偽裝技術 | 把流量偽裝成真實的 TLS 1.3 網站流量。可以抵抗 GFW 的主動探測和識別。 |
| Vision | 流量優化 | 搭配 VLESS+Reality 的流量優化模式（xtls-rprx-vision）。Vision 消除內層 TLS 的特徵。 |
| Hysteria2 | 協議 / 引擎 | 基於 UDP/QUIC 的高速代理協議。內建 BBR 擁塞控制。適合弱網和推流。 |
| WireGuard | 協議 / 引擎 | 現代 VPN 協議。效能極佳。UDP 特徵明顯。在中國科學上網時，GFW 會立即封鎖 WireGuard。 |
| 3x-ui | 面板 | Xray 的網頁管理介面。支援多使用者、流量統計和 QR Code 產生。 |
| s-ui | 面板 | Sing-box 的網頁管理介面。適合需要使用 Sing-box 專有協議的進階使用者。 |
| Shadowrocket | 客戶端 | iOS 付費科學上網 App。支援 VLESS+Reality 和 Hysteria2。掃描 QR Code 即可連線。 |
| v2rayN | 客戶端 | Windows 免費開源科學上網軟體。支援 Xray 和 Sing-box 兩種引擎，以及訂閱連結。 |
| Hiddify | 客戶端 | 跨平台免費科學上網 App。底層是 Sing-box。支援 TUN 全域代理。 |
| MPTCP | 技術 / 協議 | Multipath TCP。一條 TCP 連線可以同時使用多條網路路徑（例如多張 SIM 卡）。 |
| OpenMPTCProuter | 軟體 | 基於 OpenWrt 的路由器系統。設計用途是多 WAN 頻寬合併（Bonding）和 VPS 聚合。 |
| RTMP | 協議 | Real-Time Messaging Protocol。基於 TCP 的直播推流協議。LiveU 和 OBS 常用 RTMP。 |
| CAKE QoS | 技術 | Linux 上的佇列管理演算法。CAKE QoS 用於解決 Bufferbloat。CAKE QoS 確保大流量不會阻塞 ACK 封包。 |
| MSS Clamp | 技術 | 強制調整 TCP 最大分段大小（MSS）。多層封裝可能使封包超過 MTU，封包會被靜默丟棄。MSS Clamp 避免封包被丟棄。 |
| Bonding | 技術 | 頻寬合併技術。把多條獨立的網路連線（例如 3 張 4G SIM 卡）聚合成一條高頻寬通道。 |
| GFW | 名詞 | Great Firewall（防火長城）。中國的網路審查和封鎖系統。GFW 會執行 DPI（深度封包檢測）。 |
| DPI | 技術 | Deep Packet Inspection（深度封包檢測）。GFW 用 DPI 識別並封鎖特定協議。 |
| Bufferbloat | 名詞 | 路由器佇列過大，造成延遲大幅上升的現象。直播推流的 TCP ACK 因此延遲，並觸發降碼率。 |
| CGNAT | 名詞 | Carrier-Grade NAT。電信商等級的 NAT。使用者無法取得真實公網 IP，所以無法設定 Port Forwarding。 |
| HOL Blocking | 名詞 | Head-of-Line Blocking。在 TCP in TCP 架構中，外層 TCP 重傳會阻塞內層 ACK。 |
| MediaMTX | 軟體 | 開源串流媒體伺服器。支援 RTMP、RTSP、SRT 和 WebRTC 之間的互相轉換。MediaMTX 偵測到設定檔變更時，會熱加載（Hot Reload）設定。更新時，播放中的串流不會中斷。 |
| SRT | 協議 | Secure Reliable Transport。基於 UDP 的低延遲可靠傳輸協議。內建錯誤修正和加密。適合弱網直播推流。SRT 的握手特徵明顯，DPI 容易識別。因此 SRT 不利於科學上網時隱藏流量。 |
| RTSP | 協議 | Real Time Streaming Protocol。控制串流媒體播放的協議。播放端（例如 GStreamer 和 VLC）常用 RTSP 拉流。 |
| Cloudflare Tunnel | 技術 | 常駐程式（cloudflared）主動建立出站連線。服務只綁定在主機內部的 Loopback 介面。不需要在防火牆開放對外 port，就可以把服務安全地公開到公網。 |
| ECDH | 技術 | Elliptic Curve Diffie-Hellman。橢圓曲線金鑰交換演算法。雙方在不安全的通道上協商出只有雙方知道的共享金鑰。使用臨時金鑰時，ECDH 具備前向保密（Forward Secrecy）。 |
| P-256 | 名詞 | NIST 定義的橢圓曲線參數集（secp256r1）。常搭配 ECDH 和 ECDSA 使用。P-256 兼顧安全性和運算效能。瀏覽器的 Web Crypto API 原生支援 P-256。 |
| AES-256-GCM | 技術 | 256 位元 AES 對稱加密，搭配 GCM 認證模式。同時提供資料機密性和完整性驗證。可以偵測封包是否被竄改。 |
| Web Crypto API | 技術 | 瀏覽器原生的加密函式庫。前端 JavaScript 可以直接執行 ECDH 和 AES-GCM 等加密運算。不需要載入第三方加密套件。 |
| 端對端加密（E2EE） | 技術 | End-to-End Encryption。只有發送端和接收端可以解密資料。中間的任何節點（包括伺服器）都無法讀取明文。 |
| 零信任（Zero Trust） | 名詞 | 一種安全模型。預設不信任任何內部或外部節點。每次存取都必須重新驗證身分和權限。零信任不只信任邊界防火牆。 |
| 縱深防禦（Defense in Depth） | 名詞 | 不依賴單一防線的安全體系。縱深防禦組合多個獨立機制：縮小對外暴露範圍、動態白名單、強認證和自動封鎖。單一層被突破時，其他層仍然可以持續阻擋攻擊。 |
| IP 白名單 Hot Reload | 技術 | 動態更新防火牆或服務允許連線的 IP 清單。變更後不需要重啟服務，立即生效。這降低維運中斷的風險。 |
| Fail2Ban | 軟體 | 自動封鎖常駐程式。Fail2Ban 即時檢查日誌。偵測到連續認證失敗時，Fail2Ban 直接封鎖來源。Fail2Ban 是縱深防禦體系中的最後一層自動防禦。 |
| TLS Termination | 技術 | TLS 解密截斷。邊緣節點（例如 Cloudflare Edge）代理客戶端的 HTTPS 連線時，先把流量解密成明文，再檢查和轉發。這時邊緣節點可以看見明文內容。 |
| TOFU（Trust On First Use） | 名詞 | 初次信任風險。客戶端第一次取得伺服器的靜態公鑰時，可能遭遇精準的中間人攻擊。如果發生，之後建立的端對端加密連線在理論上可能被破解。 |
| Cloudflare KV | 服務 | Cloudflare 的全球分散式鍵值儲存服務。本站用 KV 存放目前的家用浮動 IP。Worker 即時讀取家用浮動 IP。 |
| Cloudflare Workers | 服務 | Cloudflare 的邊緣運算平台。可以執行自訂 JavaScript 程式碼。本站用 Workers 依請求路徑動態產生訂閱內容。 |
| Cloudflare WARP | 服務 | Cloudflare 的消費級 VPN 服務。底層是 WireGuard 協議。可以作為 outbound 出口線路之一。 |
| wgcf | 軟體 | 非官方的 Cloudflare WARP 命令列客戶端。在沒有官方 App 的環境（例如 Linux 伺服器），wgcf 可以產生 WARP 連線設定。 |
| DDNS | 名詞 | Dynamic DNS（動態網域名稱解析）。家用 IP 變動時，自動更新 DNS 記錄。網域因此持續指向目前的真實 IP。 |
| Clash / Mihomo | 客戶端 | 跨平台科學上網客戶端。Clash 以 YAML 設定規則分流聞名。Mihomo 是 Clash Meta 停止維護後，由社群接手的活躍分支。 |
| CA（Certificate Authority） | 名詞 | 簽發數位憑證，為網站身分背書的機構。瀏覽器和作業系統內建信任清單。瀏覽器依這份清單判斷是否信任某個 CA 簽發的憑證。 |
| Let's Encrypt | 服務 | 非營利、免費、高度自動化的公開 CA。Let's Encrypt 透過 ACME 協議簽發憑證。本站示範主要使用 Let's Encrypt 的憑證。 |
| ACME | 協議 | Automatic Certificate Management Environment。基於 HTTPS JSON API 的憑證申請和續簽自動化協議（RFC 8555）。ACME 本身不提供任何信任背書。 |
| OpenSSL | 軟體 | 命令列工具。產生金鑰、CSR 和（自簽）憑證。OpenSSL 不是 CA，也不執行 ACME 協議。 |
| CSR（Certificate Signing Request） | 名詞 | 向 CA 申請憑證時提交的簽署請求檔。內含公鑰和網域資訊。 |
| Cloudflare Origin CA | 服務 | Cloudflare 提供的憑證簽發服務。專用於 Cloudflare Edge 與你的伺服器（Origin）之間。效期最長 15 年。只有 Cloudflare 信任這種憑證，瀏覽器不信任。 |
| 自簽憑證（Self-signed Certificate） | 名詞 | 由持有者自己簽發的憑證，沒有任何 CA 背書。瀏覽器預設不信任。在科學上網的場景中，GFW 容易用自簽憑證識別非正常網站。 |
| TLS（Transport Layer Security） | 協議 | 先用憑證驗證身分，再協商對稱金鑰來加密通訊的協議。TLS 是 HTTPS 的加密基礎。 |
| (EC)DHE 金鑰交換 | 技術 | 現代 TLS（尤其是 TLS 1.3）使用的臨時橢圓曲線迪菲-赫爾曼金鑰交換機制。具備前向保密（Forward Secrecy）。取代舊式 RSA 金鑰交換。 |
| Cloudflare R2 | 服務 | Cloudflare 的物件儲存。相容 S3 API。沒有出站流量費。Cloudflare、AWS、GCP 和 Azure 的功能對照，見 雲端服務對照表。 |
| Cloudflare D1 | 服務 | Cloudflare 的關聯式資料庫。基於 SQLite。通常搭配 Workers 使用。 |
| Durable Objects | 服務 | Cloudflare 的有狀態邊緣運算。同一個物件的請求會集中處理。可以保留 WebSocket 連線狀態。AWS、GCP 和 Azure 沒有直接對應的服務。 |
| AWS EC2 | 服務 | AWS 的虛擬機器（VPS / VM）服務。可以自選規格和系統。常用作後端伺服器。 |
| AWS Lambda | 服務 | AWS 的無伺服器函式運算服務。功能最接近 Cloudflare Workers。Lambda 在區域機房執行，不在邊緣節點執行。 |
| CDN（內容傳遞網路） | 名詞 | 把網站內容快取到各地節點。使用者從最近的節點取得資料。CDN 加快載入速度，並分擔來源伺服器的負載。 |
| WAF（Web 應用程式防火牆） | 技術 | 在應用層檢查 HTTP 請求的防火牆。WAF 阻擋 SQL 注入和 XSS 等攻擊。Cloudflare、AWS 和 Azure 都有對應的產品。 |
| EC2 執行個體（Instance） | 名詞 | AWS 上的一台虛擬機器。一個執行個體就是一台 VPS。可以開機、關機和重新開機。 |
| AMI（Amazon Machine Image） | 名詞 | 整台虛擬機器的打包檔，包含作業系統、系統碟內容和預先安裝的軟體。建立新執行個體時，先選一個 AMI 當起點。也可以把自己的執行個體打包成 AMI。 |
| EBS（Elastic Block Store） | 服務 | EC2 使用的雲端硬碟服務。執行個體的系統碟和資料碟都是 EBS 磁碟區（Volume）。 |
| EBS 快照（Snapshot） | 技術 | EBS 硬碟在某個時間點的備份。快照是增量備份：只儲存和上一次相比有變化的區塊。AWS 不會自動備份。你必須自己建立快照，或用 Lifecycle Manager 排程。 |
| 安全群組（Security Group） | 技術 | EC2 的虛擬防火牆。設定哪些 IP 可以連入，以及可以使用哪個 port。例如：只對自己的 IP 開放 SSH（port 22）。 |
| VPC（Virtual Private Cloud） | 服務 | 你在 AWS 中的專屬虛擬網路。EC2 和安全群組都位於 VPC 內。 |
| Elastic IP | 服務 | 固定的公網 IPv4 位址。申請後，執行個體停止再啟動，位址也不會變。自 2024-02-01 起，AWS 對所有公網 IPv4 位址收費，包括已綁定在執行個體上的位址。價格是每個位址每小時 US$0.005。免費方案的前 12 個月，每月包含 750 小時。 |
| 金鑰對（Key Pair） | 技術 | 登入 EC2 的金鑰。AWS 只儲存公鑰。私鑰（.pem）只在建立時下載一次。私鑰遺失後，無法登入執行個體。 |
| ENI（Elastic Network Interface） | 名詞 | 虛擬網卡。每個 EC2 執行個體透過 ENI 連上網路。公網 IP 設定在 ENI 上，不是設定在執行個體上。 |
| 負載平衡器（Load Balancer） | 服務 | 接收進來的流量，並平均分配給後端的多個執行個體。ALB 處理 HTTP/HTTPS。NLB 處理 TCP/UDP。 |
| 目標群組（Target Group） | 名詞 | 負載平衡器使用的清單。清單指定流量要分配給哪些執行個體。目標群組也包含健康檢查，會自動移除故障的執行個體。 |
| Auto Scaling | 服務 | 自動擴展。設定執行個體數量的上限和下限。流量大時自動增加執行個體，流量小時自動減少。故障的執行個體會被自動替換。 |
| 啟動範本（Launch Template） | 名詞 | 開機參數的範本。範本儲存機型、AMI、金鑰和安全群組。重複建立執行個體或使用 Auto Scaling 時，直接套用範本。 |
| Spot 執行個體 | 名詞 | 競價型執行個體。價格最多便宜 90%。AWS 可以隨時收回 Spot 執行個體。適合可中斷的批次工作。 |
| Savings Plan | 服務 | 節省方案。承諾 1 年或 3 年的運算用量，換取較低的單價。比舊的 Reserved Instances 更有彈性。 |
| IMDS（Instance Metadata Service） | 技術 | 執行個體內部查詢自身資訊的服務（例如查詢自己的 instance ID）。IMDSv2 比較安全。可以在 Settings 強制使用 IMDSv2。 |
| CloudShell | 服務 | 瀏覽器中的臨時 Linux 終端機。預先安裝 AWS CLI。用來下指令管理 AWS 資源。CloudShell 不是你的 EC2 執行個體。 |
| Session Manager | 服務 | AWS Systems Manager 的功能。不需要開放 SSH port，就可以連入執行個體操作。執行個體必須有 SSM Agent 和 IAM 角色。 |