本文实现了在宝塔面板Nginx正常使用的基础之上，安装Trojan-go软件，由Nginx负责服务器网站的443端口HTTPS协议派发，最终实现宝塔面板现有网站和Trojan-go两者都正常运行。

共用443端口有两种方案，分别是由Nginx负责调度转发，或由Trojan负责调度转发。我建议用Nginx，毕竟是专业web服务端，性能、功能、稳定性都比Trojan强。

Trojan-go简介

与VPN/SS/SSR/V2RAY等协议致力于把自己数据加密加密再加密不同，Trojan-go设计理念是将自己的数据伪装成正常的https协议包。由于https协议包内容需要证书才能解密，没有证书的监听者则只能知道这是https协议包，无法解密数据内容。同时Trojan-go程序会对没有通过密码和证书验证的访问者提供正常的网页，因此监听者即使从https协议包里读取到你的Trojan服务器网址，模拟访问，也只会看到一个正常的网站。而目前互联网一半以上网站都已使用https协议，在巨量的网络https数据包里，Trojan十分隐蔽。

反之VPN/SS/SSR/V2RAY协议则不同，这些协议只研究对自己数据包进行加密加密再加密，虽然加密后的数据包监听者无法识别，但大家又不傻，一个境外IP没有ftp/http/https服务，在一个随机端口上出现大流量加密数据，那肯定有猫腻。何况这几个协议的数据包有特征码，已经可以做到精准被识别。总结近期发现的V2Ray弱点

宝塔和Trojan-go都可运行于linux/windows环境，两个环境配置过程都一样。

宝塔的安装、配置就不说了，网上很多文章，配置也简单。

实现原理

主要参考了Trojan 共用 443 端口方案，还原访客IP参考了Xray与多个HTTPS站点（Nginx）共存，两种443端口复用方案

访问者发起访问请求。如果是http，数据包由Nginx在http协议80端口处理。
如果是https，数据包根据域名由Nginx转发到不同端口，实现共用443端口。
延续第2步，如果数据包是正常网站，Nginx转发给网站https协议（非443端口），再通过443端口返回数据给访问者，在访问者看来这只是一次正常的https请求。
延续第2步，如果数据包是伪装网站，Nginx转发数据包给Trojan客户端。如果Trojan验证通过密码（和websocket），由Trojan访问奇怪的网站后把数据返回给Nginx，最后Nginx仍然是使用443端口返回数据给Trojan客户端。
如果Trojan没通过验证，由Trojan访问本机Nginx的伪装域名的http（80端口），再返回数据给 Nginx，Nginx用https协议443端口返回给访问者。因此访问者看到的https443其实是http80内容。

配置宝塔的Nginx

添加伪装网站

在宝塔面板添加要伪装的站点，比如域名是www.fake.com。添加过程和正常网站一样，不需要加SSL证书。

配置nginx.conf

添加好后，宝塔面板菜单的软件商店-Nginx设置-配置修改，将下面代码复制到worker_rlimit_nofile下面。此代码作用是根据SNI（域名）转发数据包，实现分配派发正常网站和伪装网站的https数据。

# 流量转发核心配置
stream {
    # 这里就是 SNI 识别，将域名映射成一个配置名
    map $ssl_preread_server_name $backend_name {
        www.已有域名1.com domain1;
	www.已有域名2.com domain2;
        www.fake.com proxy_trojan;
    # 域名都不匹配情况下的默认值
        default web;
    }

    # web，域名都不匹配配置转发详情
    upstream web {
        server 127.0.0.1:80;
    }
    
    # web，www.已有域名1.com配置转发详情
    upstream domain1 {
        server 127.0.0.1:8001;
    }

    # web，www.已有域名2.com配置转发详情
    upstream domain2 {
        server 127.0.0.1:8002;
    }
    
    # trojan本地代理转发，用于显示real ip
    upstream proxy_trojan {
        server 127.0.0.1:10249;
    }
    # trojan，配置转发详情
    upstream trojan {
        server 127.0.0.1:8000;
    }


    # 监听 443 并开启 ssl_preread
    server {
        listen 443 reuseport;
        listen [::]:443 reuseport;
        proxy_pass  $backend_name;
        proxy_protocol on;
        ssl_preread on;
    }
    
    # 这里的 server 就是用来帮 Trojan 卸载代理协议的中间层
    # 原来的 upstream trojan 配置不需要改动
    server {
        listen 10249 proxy_protocol;
        proxy_pass  trojan;
    }
}

# 流量转发核心配置

stream {

# 这里就是 SNI 识别，将域名映射成一个配置名

map $ssl_preread_server_name $backend_name {

www.已有域名1.com domain1;

www.已有域名2.com domain2;

www.fake.com proxy_trojan;

# 域名都不匹配情况下的默认值

default web;

}

# web，域名都不匹配配置转发详情

upstream web {

server 127.0.0.1:80;

}

# web，www.已有域名1.com配置转发详情

upstream domain1 {

server 127.0.0.1:8001;

}

# web，www.已有域名2.com配置转发详情

upstream domain2 {

server 127.0.0.1:8002;

}

# trojan本地代理转发，用于显示real ip

upstream proxy_trojan {

server 127.0.0.1:10249;

}

# trojan，配置转发详情

upstream trojan {

server 127.0.0.1:8000;

}

# 监听 443 并开启 ssl_preread

server {

listen 443 reuseport;

listen [::]:443 reuseport;

proxy_pass $backend_name;

proxy_protocol on;

ssl_preread on;

}

# 这里的 server 就是用来帮 Trojan 卸载代理协议的中间层

# 原来的 upstream trojan 配置不需要改动

server {

listen 10249 proxy_protocol;

proxy_pass trojan;

}

在include /www/server/panel/vhost/nginx/*.conf;语句下面增加下面两行代码。这两行代码作用是在日志里还原来访者IP。

include /www/server/panel/vhost/nginx/*.conf;
set_real_ip_from 127.0.0.1;
real_ip_header proxy_protocol;

include /www/server/panel/vhost/nginx/*.conf;

set_real_ip_from 127.0.0.1;

real_ip_header proxy_protocol;

配置站点conf

宝塔面板菜单-网站，除伪装网站外其余有SSL的网站都要设置一遍。

点一个网站的设置-配置文件，只需要改一行

listen 443 ssl http2;

1	listen 443 ssl http2;

443端口改为上面nginx.conf里对应域名的端口，比如www.已有域名1.com是8001端口，www.已有域名2.com是8002端口。再在分号前加上proxy_protocol。改好后的示例：

listen 8001 ssl http2 proxy_protocol;

1	listen 8001 ssl http2 proxy_protocol;

如果站点开启了HTTPS强制跳转，还需要修改下面一句，同样修改443端口，否则网站会无限重定向。

安装Trojan-go

运行脚本

bash <(curl -Lso- https://git.io/oneclick)

1	bash <(curl -Lso- https://git.io/oneclick)

选择4，只安装Trojan-go

提示80端口被占用，直接回车继续

提示443端口被占用，直接回车继续

输入你用于伪装的域名，比如上文里的www.fake.com

检测域名指向，按提示选择Y/N

是否申请证书，选Y

安装Trojan-go还是原版Trojan-go？推荐go

开启Websocket？根据官网文档按需选择。如果是本地直连服务器则不需要开启。

官网文档
在正常的直接连接代理节点的情况下，开启这个选项不会改善你的链路速度（甚至有可能下降），也不会提升你的连接安全性。你只应该在需要利用CDN进行中转，或利用nginx等服务器根据路径分发的情况下，使用websocket。

密码前缀？生成随机密码的前缀，随你填。

自定义Trojan-go端口号？需要输入前面在Nginx.conf里设置的，比如上文里是8000端口。

之后开始安装，安装完成后，备份一下脚本提示的管理命令和密码。在本地支持Trojan协议的客户端里就可以连接测试了。

实现效果

宝塔的正常网站都可以正常实现http和https方式访问。

宝塔的伪装网站用浏览器http和https方式可以正常打开。

伪装网站用Trojan协议客户端可以正常连接使用。

伪装网站的SSL证书续期由Trojan安装的acme脚本负责。

宝塔的网站日志里，来源IP正常。

伪装网站的Nginx网站日志来源IP都是127.0.0.1。但这个也不影响。通过Trojan客户端访问的连接日志不会出现在Nginx网站日志里，如果真有访问日志，那就得小心了。

使用宝塔面板管理SSL证书

如果想通过宝塔面板管理伪装站点的SSL证书，设置稍微复杂一点。由于宝塔的SSL证书格式是pem格式，Trojan不支持，因此需要自己事先申请一个cer/key格式的证书，并在宝塔里添加伪装网站后手动导入。

然后安装Trojan时，是否申请证书选N，安装完成后再给Trojan指定证书路径。宝塔域名证书存放路径可以在宝塔域名设置-配置文件里找到

修改Trojan-go配置

编辑 /root/trojan-go/server.json 文件

    ],
    "log_level": 1,
    "log_file": "/root/trojan-go-access.log",
    "ssl": {
        "verify": true,
        "verify_hostname": true,
        "cert": "/nginxweb/cert/fullchain.cer",
        "key": "/nginxweb/cert/private.key",
        "sni": "www.youdomain.com",
        "fallback_addr": "127.0.0.1",
        "fallback_port": 80, 
        "fingerprint": "chrome"
    },