Lv. MAX
·
使用 Caddy + acme.sh 搭建带认证的 TLS 正向代理
内容提要
Caddy通过forwardproxy插件简化HTTPS正向代理配置，支持Basic Auth认证，并使用acme.sh灵活管理证书，适合多种DNS服务商。配置简单，维护成本低，适合注重隐私的用户。
关键要点
-
Caddy通过forwardproxy插件简化HTTPS正向代理配置，支持Basic Auth认证。
-
使用acme.sh灵活管理证书，适合多种DNS服务商。
-
配置简单，维护成本低，适合注重隐私的用户。
-
传统代理方案（如Squid、Nginx）配置繁琐，TLS支持需要额外操作。
-
acme.sh提供更灵活的证书签发流程，支持DNS-01验证和指定CA。
-
需要一台有公网IP的服务器和一个已解析到服务器IP的域名。
-
支持API操作的DNS服务商是必需的，用于DNS-01验证。
-
提供自动化安装脚本，简化安装过程。
-
手动步骤包括安装acme.sh、设置API Token、签发证书和安装证书。
-
Caddy二进制不包含forwardproxy插件，需要使用xcaddy自行编译。
-
创建Caddyfile以配置代理和伪装普通网站。
-
配置中包括basic_auth、hide_ip、hide_via和probe_resistance等选项。
-
创建systemd服务以管理Caddy的启动和运行。
-
客户端使用HTTPS代理连接，支持浏览器和命令行工具。
-
推荐使用NaiveProxy客户端以获得更好的流量混淆效果。
-
acme.sh自动创建cron job以续期证书，无需手动干预。
延伸解读
Caddy与传统代理的对比
Caddy通过forwardproxy插件简化了HTTPS正向代理的配置，相比于传统的Squid和Nginx，用户无需进行繁琐的TLS支持设置。这使得Caddy更适合那些希望快速搭建代理服务的用户，尤其是对隐私有较高要求的用户。
acme.sh的灵活性
使用acme.sh管理证书提供了更大的灵活性，特别是在需要DNS-01验证或指定CA的情况下。对于防火墙限制较多的环境，acme.sh能够在不开放80/443端口的情况下获取证书，这为用户提供了更多选择。
配置注意事项
在配置Caddy时，确保域名已解析到服务器IP，并且DNS服务商支持API操作以便进行DNS-01验证。此外，Caddy的二进制文件不包含forwardproxy插件，用户需自行编译，这一点在安装过程中需要特别注意。
延伸问答
Caddy的forwardproxy插件有什么优势？
Caddy的forwardproxy插件简化了HTTPS正向代理的配置，支持Basic Auth认证，配置简单且维护成本低。
如何使用acme.sh管理TLS证书？
使用acme.sh可以灵活管理TLS证书，支持DNS-01验证和指定CA，适合在防火墙限制的环境中获取证书。
搭建Caddy正向代理需要哪些条件？
需要一台有公网IP的服务器和一个已解析到服务器IP的域名，且DNS服务商支持API操作。
如何配置Caddyfile以实现代理功能？
在Caddyfile中设置forward_proxy，配置basic_auth、hide_ip、hide_via等选项，以实现代理功能和伪装网站。
Caddy的安装和启动过程是怎样的？
需要编译带forwardproxy的Caddy，创建systemd服务文件，然后使用systemctl命令启动服务。
如何确保acme.sh自动续期证书？
acme.sh会自动创建cron job以续期证书，并通过--reloadcmd重启Caddy加载新证书，无需手动干预。
