快速开始：从零构建你的跨平台原生 SSH VPN 安全网络

在当今的数字化运维和远程办公时代，安全、稳定且合规的连接通道是每个团队的刚需。传统的 VPN 搭建过程繁琐，需要配置复杂的证书及网关，且经常因防火墙拦截而中断。

易连系统（Easy Connect Systems） 另辟蹊径，直接以广泛存在且极度成熟的 SSH 协议 为基础，实现了高效、轻量、开箱即用的三层网络隧道（TUN 模式）与应用级代理（SOCKS 模式）。

本文将以最通俗、详实的语言，手把手带您从零开始快速上手，构建起专属的跨平台安全通信链路。

---

一、如何快速增加 Profile 建立 SSH VPN

无论您使用的是 macOS、Windows、Linux 还是移动端的 Android、iOS，易连助手（Easy Connect SSH）客户端的配置逻辑都是完全统一的。只需遵循以下三个步骤，即可在几秒钟内拉起你的专属安全通道：

1. 下载并安装客户端

首先，请前往我们的 下载中心 获取适配您操作系统架构的最新版易连助手安装包（如 macOS 的 .dmg，Windows 的安装程序，Linux 压缩包或 Android 的 .apk）。

2. 新增 Profile（配置节点）

打开应用，您会看到一个极简、纯净、无任何广告的控制面板：

1. 点击右上角或列表下方的 “+” 号按钮（新建配置）。
2. 在弹出的配置窗口中填写以下基础参数：
   • Host（别名）：给您的节点取一个好记的名字（例如：香港测试开发机）。
   • Address & Port：输入您的服务器公网 IP 地址或域名，以及对应的 SSH 端口号（默认为标准 22 端口）。
   • Username（用户名）：填写您在服务器上可登录的账号名（例如：vpnuser 或 root）。
   • Auth Type（认证方式）：
     • 密码认证 (Password)：直接填入登录密码。
     • 密钥认证 (SSH Key)（强烈推荐）：点击选择或填入您本地的 SSH 私钥文件路径（如 ~/.ssh/id_rsa 或 .pem 文件）。
   • Mode（工作模式）：根据需要选择 SOCKS5 或 TUN 模式。

3. 一键开启连接

保存节点配置后，回到主列表，选中刚才创建的节点，将 “连接” 开关拨至开启状态。

• 权限获取提示：若您首次开启 TUN 模式，操作系统会自动弹出安全确认框，请求授予虚拟网卡与网络扩展权限，点击“允许”并输入锁屏密码即可。
• 连接成功后，客户端界面将显示实时的上传/下载速率与连接时长，此时您的安全通道已正式建立！

---

二、深入对比：SOCKS 模式 vs. TUN 模式的区别与选购

在配置 Profile 时，您会面临工作模式的选择。理解两者的区别，能帮助您在不同的应用场景下做出最优决策。

比较维度	SOCKS 模式 (应用级代理)	TUN 模式 (系统级透明 VPN)
工作原理	在本地启动 SOCKS5 服务（默认 1080 端口）	在内核创建虚拟网卡，接管网络层（L3）流量
流量范围	仅限主动配置了代理的应用（如浏览器、开发套件）	全局整机流量（所有 TCP/UDP/ICMP 流量）
协议支持	仅支持 TCP 流量（部分支持 UDP，视应用而定）	完整支持 TCP、UDP、ICMP (可正常 ping 通)
使用门槛	运行在用户态，无需系统管理员/Root 权限	涉及底层网卡与路由表，必须获得管理员权限
典型场景	网页浏览器单向浏览、特定开发 IDE 联调	终端命令行工具、Git 同步、网游加速、全局网络互通
资费性质	免费开放，基础开源版支持	商业高级功能，需开通订阅授权

如果需要 TUN 模式，如何升级购买？

由于 TUN 模式涉及复杂的内核网络包拦截、用户态 TCP 栈重构优化，是易连系统的核心高级功能。如果您需要开启此模式，只需通过以下步骤升级：

1. 打开客户端的账户注册页面，或者直接访问我们的统一授权平台：易连系统用户中心。
2. 注册并登录您的个人账号。
3. 在订阅商店中，我们提供了多种极具性价比的方案以供选择：
   • 月度订阅：¥9.90/月 — 适合短期临时评估的运维极客（支持 3 台设备同时在线）。
   • 年度订阅：¥49.90/年 — 适合长期稳定使用的性价比首选（支持 5 台设备同时在线，折合仅约 ¥4.16/月）。
   • 终身买断：¥99.90/永久 — 一次付款，终身授权，永久锁定未来所有重大版本更新与特权。
4. 支付完成后，在客户端内登录您的账号，系统会自动下发授权证书，TUN 模式开关即可立刻解锁使用。

---

三、一次购买，全端通用（无需重复付费）

很多软件在不同操作系统（如 macOS 和 Windows，或者桌面端和移动端）上需要分开重复计费，而易连系统坚持**“以用户账号为核心”**的绿色商业策略：

• 全平台客户端登录：只要您在一个账号下开通了订阅，您就可以在 Android、macOS、Windows、Linux 以及 iOS 等所有官方支持的客户端上登录同一个账号。
• 多设备同时在线：根据您所购买的套餐级别，同一个账号支持 3 台至 5 台设备同时并发在线使用。这意味着，您可以同时让您的 MacBook 电脑、Windows 游戏本、Android 手机和 iPad 共享同一个订阅，彻底打通全平台，无需产生任何额外的重复消费。

---

四、零基础指引：如何通过云厂商购买轻量服务器并配置 SSH

如果您自己还没有可用的 SSH 服务器，不要担心！现在通过主流云厂商购买一台属于自己的 Linux 服务器非常便宜，且只需极少步骤即可完成配置。

1. 选购云服务器

1. 登录各大云厂商官网（国内推荐：阿里云、腾讯云、华为云；海外推荐：AWS、腾讯云海外版、UCloud 等）。
2. 在产品中搜索 “轻量应用服务器”（Lightweight Application Server）。这类服务器性价比极高，且包含了固定的公网带宽与流量包。
3. 地域选择：如果需要跨地域或跨国运维联调，请选择距离目标用户最近的境外地域（如中国香港、新加坡、东京等）。
4. 镜像选择：在系统镜像中，推荐选择 Ubuntu (20.04/22.04 LTS) 或 Debian (11/12)。

2. 设置安全组（防火墙）

购买成功后，进入云厂商控制台的“安全组”或“防火墙”管理页面，确保 SSH 默认端口（TCP 22） 已设为允许放行（Allow）。

3. 一键服务端安全配置

登录进入您的服务器终端，我们可以使用官方提供的服务端一键配置脚本，快速完成权限收紧与保活调优，杜绝安全隐患。 在服务器上执行以下命令：

# 1. 下载脚本
curl -o setup_vpn_server.sh https://raw.githubusercontent.com/sshvpn-go/ssh-vpn-wiki/main/scripts/setup_vpn_server.sh

# 2. 赋予执行权限并执行一键部署
chmod +x setup_vpn_server.sh
sudo ./setup_vpn_server.sh all

脚本做了什么？ 该脚本会自动创建专用的 VPN 连接账号 vpnuser，修改 /etc/ssh/sshd_config 文件并重启 SSH 服务。它会自动：

• 开启 AllowTcpForwarding yes（支持数据包转发）。
• 注入 ForceCommand /usr/sbin/nologin（限制该账号仅用于网络转发，不允许登录 Shell 执行任何命令，确保系统绝对安全）。
• 调优 TCP 心跳保活参数以保证连接不中断。

4. 生成并登记 SSH 密钥

强烈建议使用密钥代替密码：

# 生成并自动为 vpnuser 绑定 SSH 密钥
sudo ./setup_vpn_server.sh gen-key [email protected]

执行完毕后，终端会输出生成的私钥文件路径（如 /root/.ssh/your_email_ed25519）。运行 cat 命令查看并完整复制私钥内容，将其妥善保存在您本地电脑的文件中（例如命名为 id_ed25519.pem）。在易连客户端的 Profile 中，导入该密钥文件，用户名填写 vpnuser 即可连通！

---

五、深入底层：SSH VPN 技术机制与信息安全机制

为什么选择基于 SSH 协议来构建虚拟专用网络？这不仅是工程实现上的巧妙组合，更是为了安全与合规做出的最佳设计。

1. Yamux 多路复用技术

传统的 SSH 端口转发在处理高并发、多线程的网络请求时，会为每个请求新建一条 SSH TCP 连接，造成极高的延迟和资源浪费。易连助手在底层引入了 Yamux 多路复用协议。 它在单一的物理 SSH 连接上，虚拟出成百上千个逻辑双向流（Stream），不论您的浏览器同时发起多少个网页请求，都仅通过这一条高度加密的信道传输，减少了握手开销，网络响应速度大幅提高。

2. 用户态 SOCKS5 转 TUN 优化（摆脱 TCP-in-TCP 熔断）

直接在基于 TCP 的 SSH 连接中承载其他 TCP 包（即 TCP-in-TCP），一旦物理链路出现丢包，内外的 TCP 拥塞控制和重传算法会发生冲突，导致吞吐率呈现断崖式下跌。 易连系统设计了用户态 SOCKS5 转 TUN 链路：

• 客户端在本地截获 TUN 网卡发来的原始 IP 包后，并不粗暴地直接封装进 SSH，而是在用户态将 TCP 数据流拆解，直接送入高性能的本地 SOCKS5 转发模块。
• 这样，内层流量在进入 SSH 隧道前已被转换为纯数据负载（Payload），成功避免了双重 TCP 协议栈造成的重传熔断，在弱网环境下也能保持优秀的吞吐表现。

3. 顶尖的信息安全机制

• 原生军工级加密：易连助手没有发明任何私有的脆弱加密算法，而是完全继承了标准 OpenSSH v2 的最高安全特性。隧道连接强制采用目前行业公认最安全的 AES-256-GCM 或 ChaCha20-Poly1305 加密算法，无惧任何中间人（MITM）嗅探与网络监听。
• 最小化权限控制隔离：在服务端配置中，我们通过 ForceCommand /usr/sbin/nologin 彻底剥夺了 VPN 专用用户的终端执行权限。即使您的 VPN 密码或密钥不慎泄漏，攻击者也绝对无法通过该账号在您的服务器上执行任何代码或浏览文件，保障了云端服务器的整机安全。
• 沙箱化本地存储与隐私保护：易连助手各客户端严格遵守系统沙箱规范，所有 Profile（配置节点）均以加密形式安全存放在本地设备中。应用不包含任何第三方跟踪插件，绝不收集、不上传用户的任何网络浏览日志，确保您的数据足迹仅属于您自己。

---

结语

使用标准 SSH 协议作为骨干、融入现代化 TUN 网络层接管的 易连系统，让原本复杂的 VPN 部署变得像填写 IP 地址一样简单。无论是临时解决运维燃眉之急，还是为企业构建长期的合规访问链条，易连助手都是您口袋中最优雅、最可靠的远程连接利器。

如果您想深入了解更多参数调优或命令控制，建议阅读我们的：

• 客户端使用指南
• 服务端部署与使用指南
• SSH 配置文件解析 (profile.json)