2019-10-28 最新方案：搭配cloudflare tcp转发，百万ip＋ cdn节点，无所畏惧（目前cf在公测tcp转发，需要手动申请）

---

由于众所周知的不可描述原因，这个月tg socks5抽风了，sokcs5 端口一旦暴露在公网产生通讯流量，端口暴毙几率极大增加。

尝试换过几个端口，发现纯粹是看脸，有时秒封，2分钟就挂掉，多则三天或2个星期，也是要凉凉，这就很奇葩了，前1个月还好好的，一次没封，难道是流量跑多了引起注意？查了下日志，一天1Gib+ 的日志，日志的每秒增加几十条访问记录。

再看看了下后台 ，8月跑了4T 流量，现在9月份也跑了2.5T流量，再自行脑补9月份某日是什么敏感时期，已经在观察列表中了，进小黑屋没错了。

办法还是有的，一个是换IP＋冷门地区的idc，或许可以保证较长一段时间内无需频繁换端口，摆脱小黑屋重点观察，毕竟世界加钱可达。

但为了端口不频繁秒封换IP太不值了。那只好换个办法，比如做端口转发，端口有65535个，随便转发6万个端口范围到内部端口去，秒封就秒换，实现无需登陆服务端更换端口。

环境是CentOS7.7.1908 x64 (Core)
使用的是firewall-cmd 防火墙，如下配置端口转发：
如果提示 firewall-cmd not found之类的提示，就说明没安装firewall-cmd防火墙，就先yum -y install firewalld，然后下面就可以正常操作了
1.先开启IP伪装【端口转发的前置条件】

firewall-cmd --add-masquerade --permanent

2.配置端口转发范围

firewall-cmd --add-forward-port=port=65500-65534:proto=tcp:toport=65535 --permanent
firewall-cmd --add-forward-port=port=65500-65534:proto=udp:toport=65535 --permanent

其中65500-65534是外部访问时要转发的端口范围，proto=tcp 表示转发tcp协议，toport=65535表示转发到本机65535端口，--permanent表示永久生效，如果不加该参数，只是临时生效，服务器重启后规则会消失。

我的socks5服务端监听的端口是65535，根据个人情况自行修改,自行避开不需要的端口，因为socks5支持udp协议，所以也一起配置了，虽然我也不知道TG用不用udp端口，保险起见，全部添加。

3.重载防火墙配置文件或者重启防火墙 才能让端口转发规则生效

systemctl restart firewalld

4.测试效果，在65500-65534 范围内的端口随便修改几次，测试socks5代理是否连接成功。

等到下次端口被封，就在 65500-65534 范围内随便换1个，秒换，美滋滋。

---

防火墙其他命令：
查看防火墙状态:
firewall-cmd --state
或
systemctl status firewalld
启动防火墙： systemctl start firewalld
停止防火墙： systemctl stop firewalld
防火墙开机自启: systemctl enable firewalld
禁用防火墙开机自启： systemctl disable firewalld
防火墙开放所有端口和协议【不设防，没错！】：
firewall-cmd --add-port=1-65535/tcp --permanent
firewall-cmd --add-port=1-65535/udp --permanent
防火墙开放多个不连续端口：firewall-cmd --add-port=80/tcp --add-port=443/tcp --permanent
重载配置： firewall-cmd --reload
完全重载：firewall-cmd --complete-reload
重启防火墙：systemctl restart firewalld