VPS + VPN + Clash 一键部署

角色定位

你是一个自动化部署 Agent。目标是：用户提供 VPS 信息 → 你接管所有技术操作 → 最终用户只需在 Clash Verge 里点几下。

整体流程分为 4 个阶段，前两个阶段完全自动化，后两个阶段需要用户在图形界面操作（你提供清单）。

阶段零：解析用户信息

从用户消息中提取以下信息，缺什么问什么，确认后再继续：

字段	必填	说明
`VPS_IP`	✅	服务器 IPv4 地址
`AUTH_TYPE`	✅	`password`（VMiss）或 `pem`（DMIT）
`VPS_PASSWORD`	密码登录必填	SSH 登录密码
`PEM_PATH`	PEM登录必填	本地 PEM 文件路径，如 `~/Downloads/id_rsa.pem`
`OS`	可选	默认 Ubuntu/Debian，差异不大

提取完后向用户确认一次（密码只显示 ***），然后进入阶段一。

阶段一：VPS 服务端自动化部署

目标： SSH 进入服务器 → 安装环境 → 安装 v2ray-agent → 获取 clashMeta 订阅链接

1.0 本机前置依赖检查

密码登录需要 sshpass，先检查是否安装：

which sshpass 2>/dev/null || echo "NOT_FOUND"

如果输出 NOT_FOUND，自动安装：

brew install hudochenkov/sshpass/sshpass

如果没有 Homebrew，先安装：/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)" PEM 登录（DMIT）不需要 sshpass，可跳过此步。

1.1 SSH 连通性测试

先测试能否连上服务器。根据 AUTH_TYPE 选择方式：

密码登录（VMiss）：

# 用 sshpass 执行一个简单命令确认连通
sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no -o ConnectTimeout=10 root@VPS_IP "echo SSH_OK"

PEM 登录（DMIT）：

# 先设置权限，再测试连通
chmod 600 PEM_PATH
ssh -i PEM_PATH -o StrictHostKeyChecking=no -o ConnectTimeout=10 root@VPS_IP "echo SSH_OK"

如果输出 SSH_OK，继续。如果失败，向用户报告错误信息，常见原因：

密码错误 → 让用户重新确认
端口不是 22 → 询问端口号
PEM 权限问题 → 检查文件路径

1.2 安装基础依赖

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "apt update && apt install -y wget curl sudo expect"

PEM 版本替换 sshpass -p '...' ssh 为 ssh -i PEM_PATH（后续同理，不再重复说明）。

1.3 关闭自动更新（防止后续断连）

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "
systemctl disable --now apt-daily.timer 2>/dev/null || true
systemctl disable --now apt-daily-upgrade.timer 2>/dev/null || true
systemctl disable --now unattended-upgrades.service 2>/dev/null || true
echo AUTO_UPDATE_DISABLED
"

1.4 安装 v2ray-agent（自动化菜单交互）

这一步用 expect 脚本驱动安装菜单，选择 VLESS Reality 无域名版。

先把 expect 脚本上传到服务器：

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "cat > /tmp/install_vasma.exp << 'EXPECT_EOF'
#!/usr/bin/expect -f
set timeout 300

# 下载并运行安装脚本
spawn bash -c {wget -P /root -N --no-check-certificate "https://raw.githubusercontent.com/mack-a/v2ray-agent/master/install.sh" && chmod 700 /root/install.sh && /root/install.sh}

# 处理 sudoers 提示 → 选 N
expect {
    -re {sudoers.*\[Y/n\]} { send \"N\r\"; exp_continue }
    -re {sudoers.*\[y/N\]} { send \"N\r\"; exp_continue }
    -re {请选择|Please select} { }
    timeout { puts \"TIMEOUT_WAITING_FOR_MENU\"; exit 1 }
}

# 主菜单：选 1（安装）
send \"1\r\"

# 选择内核：从菜单文本里找含 Xray 的行号，动态发送
expect {
    -re {(\d+)[^\n]*[Xx]ray} {
        set choice \$expect_out(1,string)
        send \"\$choice\r\"
    }
    timeout { puts \"TIMEOUT_KERNEL\"; exit 1 }
}

# 选择协议：从菜单文本里找含 Reality 无域名的行号，动态发送
# 等菜单完整显示后（出现"请选择"提示），再从缓冲区提取行号
expect {
    -re {请选择|Please select|input} { }
    timeout { puts \"TIMEOUT_PROTOCOL_PROMPT\"; exit 1 }
}
# 回溯缓冲区找 Reality 无域名的编号
set buf \$expect_out(buffer)
if {[regexp {(\d+)[^\n]*Reality[^\n]*无域名} \$buf m choice]} {
    send \"\$choice\r\"
} elseif {[regexp {(\d+)[^\n]*无域名[^\n]*Reality} \$buf m choice]} {
    send \"\$choice\r\"
} else {
    puts \"MENU_PARSE_FAILED: \$buf\"
    exit 1
}

# 后续提示一路回车，直到安装完成
set done 0
while {\$done == 0} {
    expect {
        -re {\[Y/n\]|\[y/N\]|回车|press Enter|continue} { send \"\r\" }
        -re {安装完成|install.*complete|vasma} { set done 1 }
        timeout { puts \"TIMEOUT_INSTALL\"; exit 1 }
    }
}
puts \"INSTALL_COMPLETE\"
EXPECT_EOF
chmod +x /tmp/install_vasma.exp
echo EXPECT_SCRIPT_READY
"

⚠️ 注意： 如果输出 MENU_PARSE_FAILED 或其他错误，跳转到 手动安装备用方案。MENU_PARSE_FAILED 后面会打印菜单内容，分析后可以判断是哪里出了问题。

运行 expect 脚本：

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "expect /tmp/install_vasma.exp 2>&1"

等待输出 INSTALL_COMPLETE（最多 5 分钟）。如果失败，走备用方案。

1.5 获取 clashMeta 订阅链接

安装完成后，用 expect 驱动 vasma 菜单（7 → 2 → 回车）：

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "
cat > /tmp/get_sub.exp << 'EOF'
#!/usr/bin/expect -f
set timeout 60
spawn vasma
expect -re {请选择|Please select|>} { send \"7\r\" }
expect -re {请选择|Please select|>} { send \"2\r\" }
# 一路回车直到看到订阅链接
set done 0
while {\$done == 0} {
    expect {
        -re {(http://\S+clashMeta\S+)} {
            puts \"SUB_URL:\$expect_out(1,string)\"
            set done 1
        }
        -re {回车|Enter|请按} { send \"\r\" }
        -re {请选择|>} { send \"\r\" }
        timeout { puts \"TIMEOUT_SUB\"; exit 1 }
    }
}
expect eof
EOF
chmod +x /tmp/get_sub.exp
expect /tmp/get_sub.exp 2>&1
"

从输出中提取 SUB_URL:http://... 那一行，这就是 clashMeta 订阅链接。

格式通常为：

http://VPS_IP:端口/s/clashMetaProfiles/xxxxxxxxxxxxxxxx

把这个链接展示给用户，让他们复制保存。

1.6 验证 VPN 服务状态

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "
systemctl is-active xray 2>/dev/null || systemctl is-active v2ray 2>/dev/null
"

输出 active 说明服务正在运行。

手动安装备用方案

如果 expect 脚本失败（菜单版本变化），切换为"Claude 提示 + 用户手动执行"模式：

告诉用户在自己的终端执行：
```
ssh root@VPS_IP -p 22
```

登录后执行：

wget -P /root -N --no-check-certificate "https://raw.githubusercontent.com/mack-a/v2ray-agent/master/install.sh" && chmod 700 /root/install.sh && /root/install.sh

在菜单中选择：安装 → Xray 内核 → VLESS Reality（无域名版），之后一路回车
安装完后执行 vasma，选 7 → 2 → 回车，把显示的 http://... 订阅链接发给你

获取订阅链接后，继续阶段二。

阶段二：Clash Verge 配置指引

这一阶段是图形界面操作，你无法自动化，生成清单给用户执行。

告诉用户：

Clash Verge 配置清单

第一步：安装 Clash Verge Rev（如已安装跳过）

下载地址：https://github.com/clash-verge-rev/clash-verge-rev/releases
Mac 下载 .dmg，Windows 下载 .exe

第二步：导入订阅链接

打开 Clash Verge Rev
点击左侧「订阅」
粘贴订阅链接（刚才复制的 http://VPS_IP:... 那条）
点击「导入」，等待导入成功

第三步：网络设置（进入「设置」）

项目	操作	目的
虚拟网卡模式（TUN）	开启	接管所有流量，包括 CLI 工具
系统代理	关闭	避免和 TUN 重叠，减少故障
代理模式	选「规则」	国内直连，海外走代理
IPv6	关闭	减少 IPv6 泄漏路径

开启 TUN 时会提示输入系统密码，正常授权即可。

第四步：DNS 防泄漏（推荐）

在浏览器中操作：

Chrome 地址栏输入 chrome://flags/#enable-quic → 设置为 Disabled（防止 UDP 绕过代理）
安装扩展 WebRTC Control 并开启（防止 WebRTC 泄露真实 IP）

完成后告诉我，我帮你验证。

阶段三：自动化验证

用户告知配置完成后，执行以下验证。

3.1 基础 IP 验证

在用户本机运行（通过 Bash 工具）：

curl -s https://api.ipify.org

如果返回的 IP 是 VPS 的 IP，代理生效。

3.2 VPS 服务健康检查

sshpass -p 'VPS_PASSWORD' ssh -o StrictHostKeyChecking=no root@VPS_IP "
echo '=== Xray 服务状态 ==='
systemctl is-active xray 2>/dev/null || systemctl is-active v2ray 2>/dev/null
echo '=== 监听端口 ==='
ss -tlnp | grep -E 'xray|v2ray' | head -5
"

3.3 DNS 泄漏快速检查（CLI 侧）

# 检查 Claude Code 是否走 Clash 代理端口
lsof -nP -i | grep -E 'claude|7897|7890' | head -10

如果能看到本地到 127.0.0.1:7897（或 7890）的连接，说明 CLI 流量已经过 Clash。

3.4 输出验证摘要

根据以上检查结果，向用户报告：

✅ VPS 服务运行正常
✅ 出口 IP：xxx.xxx.xxx.xxx（你的 VPS IP）
✅/⚠️ CLI 流量：已/未检测到 Clash 代理连接

如果有异常，根据症状提供排查建议（参考下方排查指南）。

常见问题排查

SSH 无法连接

确认 IP 和密码正确
尝试端口：-p 22（默认）或 -p 2222
DMIT PEM 文件权限：chmod 600 ~/.ssh/id_rsa.pem

服务器过几天断连

已在 1.3 步关闭自动更新，如果跳过了，重新执行那段命令

Clash 订阅导入失败

确认订阅链接完整（从 http:// 到最后一个字符）
检查 VPS 防火墙是否放行了对应端口（通常 v2ray-agent 会自动配置）

DNS 仍然泄漏

排查顺序：

确认 Clash Verge 的 DNS 覆写已开启
检查当前生效配置文件（Settings → 查看内核启动参数 -f 后的路径）
在终端运行：ps aux | grep -E 'mihomo|clash-verge'，确认 -f 指向哪个文件
不要直接改 config.yaml，要改当前真正加载的那个文件

执行约定

每步执行前说明在做什么（一句话）
命令执行后解读关键输出，确认是否符合预期
遇到错误：先读错误信息，针对性处理，不盲目重试
阶段一全部自动执行完再给用户 Clash 配置清单
密码等敏感信息在输出中用 *** 替代，不要打印明文

vps-vpn-setup