推荐订阅源

本地 Android 设备长期在线 + 云服务器对外提供签名接口（可落地方案）

适用场景

• libnep.so 为 arm64-v8a，无法在 x86_64 Linux 直接运行。
• 你有一台本地/办公室的 Android 设备可以长期在线。
• 你希望对外只暴露“云服务器接口”，云服务器再转发到本地 Android 设备执行签名。

核心思路（推荐）

• Android 设备主动向云服务器建立一条出站 TCP 隧道（避免家宽/内网没有公网 IP、端口不可达）。
• 云服务器本地监听一个端口（例如 127.0.0.1:18080），把请求通过隧道转到 Android 设备的 127.0.0.1:8080（即你 APK 的 POST /sign 服务）。
• 云服务器用 Nginx 暴露 https://<域名>/sign，并加一层鉴权（最简单用 Token Header）。

本方案选型

• 隧道工具：rathole（单二进制、配置简单、稳定；设备侧只需出站访问云服务器一个端口）
• 反代：Nginx

---

0. 前置准备

你需要准备以下信息（填入本文的配置中）：

• 云服务器公网 IP：<CLOUD_IP>
• 云服务器隧道端口（建议 2333）：<TUN_PORT>
• 云服务器对外 HTTPS 域名（可选）：<DOMAIN>
• 共享密钥（用于 rathole）：<RATHOLE_TOKEN>
• API Token（用于外部调用鉴权）：<API_TOKEN>

端口规划建议

• 云服务器对外：443（HTTPS），可选 80（跳转到 HTTPS）
• 云服务器隧道入口：2333/tcp
• 云服务器本地落地：127.0.0.1:18080（Nginx 反代到这里）

安全组/防火墙

• 云服务器放行：2333/tcp（rathole）、443/tcp（HTTPS）
• 不需要放行 18080（只监听 127.0.0.1）

---

1. 云服务器部署（Alibaba Cloud Linux 3，x86_64）

1.1 安装 Nginx 与基础工具

sudo dnf makecache
sudo dnf install -y nginx curl tar

1.2 安装 rathole（server 端）

1. 下载（请按你实际版本替换 URL；建议固定版本，避免未来链接变化）

sudo mkdir -p /opt/rathole
cd /opt/rathole

# 示例：从 GitHub Release 下载 Linux x86_64 二进制
# 若云服务器无法直连 GitHub，请在“下载机”下载后 scp 上传到此目录。
curl -L -o rathole.tar.gz <RATHOLE_LINUX_X86_64_TAR_GZ_URL>
tar -xzf rathole.tar.gz

# 期望得到可执行文件 rathole（或在解压目录中）
chmod +x rathole
sudo ln -sf /opt/rathole/rathole /usr/local/bin/rathole
rathole --version || true

2. 写 server 配置 /etc/rathole/server.toml

sudo mkdir -p /etc/rathole
sudo tee /etc/rathole/server.toml >/dev/null <<'EOF'
[server]
bind_addr = "0.0.0.0:2333"

[server.services.sign]
token = "RATHOLE_TOKEN_REPLACE"
bind_addr = "127.0.0.1:18080"
EOF

替换：

• 把 2333 改成你的 <TUN_PORT>（如需）
• 把 RATHOLE_TOKEN_REPLACE 替换为 <RATHOLE_TOKEN>

3. 配 systemd

sudo tee /etc/systemd/system/rathole-server.service >/dev/null <<'EOF'
[Unit]
Description=rathole server
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
ExecStart=/usr/local/bin/rathole /etc/rathole/server.toml
Restart=always
RestartSec=2
LimitNOFILE=1048576

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now rathole-server
sudo systemctl status rathole-server --no-pager

4. 验证本地落地端口（此时如果设备尚未连接，可能还没有流量，但端口会被监听）

ss -lntp | grep -E '(:2333|:18080)'

1.3 Nginx 对外暴露 /sign（带 Token 鉴权）

1. 写 Nginx 配置（以 /etc/nginx/conf.d/sign.conf 为例）

sudo tee /etc/nginx/conf.d/sign.conf >/dev/null <<'EOF'
server {
        listen 80;
        server_name _;
        # 如你有域名与证书，建议这里做 80->443 跳转；没有域名则可直接用 80（不推荐明文）

        location = /sign {
                # 简单 Token 鉴权：客户端需带 header: X-Auth-Token: <API_TOKEN>
                if ($http_x_auth_token = "") { return 401; }
                if ($http_x_auth_token != "API_TOKEN_REPLACE") { return 403; }

                proxy_http_version 1.1;
                proxy_set_header Connection "";
                proxy_set_header Host $host;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;

                proxy_connect_timeout 3s;
                proxy_read_timeout 10s;
                proxy_send_timeout 10s;

                proxy_pass http://127.0.0.1:18080/sign;
        }

        location / { return 404; }
}
EOF

替换：

• 把 API_TOKEN_REPLACE 替换为 <API_TOKEN>

2. 启动 Nginx

sudo nginx -t
sudo systemctl enable --now nginx
sudo systemctl reload nginx

---

2. Android 设备部署（arm64）

目标：让设备上的 APK 常驻运行并监听 8080；让设备侧 rathole client 常驻，把设备 127.0.0.1:8080 通过隧道暴露到云端 127.0.0.1:18080。

2.1 安装并运行 APK

• 安装你的签名 APK（手动安装或 adb 安装均可）
• 打开 App，确保服务启动（它应监听 8080 并提供 POST /sign）

建议（减少被系统杀死概率）

• 关闭电池优化/允许后台运行
• 保持常亮或接入稳定电源

2.2 安装 Termux（用于跑隧道客户端）

• 建议从 F-Droid 安装 Termux（Google Play 版本过旧）
• 打开 Termux 后执行：

pkg update -y
pkg install -y curl tar

2.3 安装 rathole（client 端，Android aarch64）

mkdir -p ~/rathole
cd ~/rathole

# 示例：从 GitHub Release 下载 Android aarch64 二进制
curl -L -o rathole.tar.gz <RATHOLE_ANDROID_AARCH64_TAR_GZ_URL>
tar -xzf rathole.tar.gz
chmod +x rathole
./rathole --version || true

2.4 写 client 配置并启动

写配置 ~/rathole/client.toml：

cat > ~/rathole/client.toml <<'EOF'
[client]
remote_addr = "<CLOUD_IP>:2333"

[client.services.sign]
token = "RATHOLE_TOKEN_REPLACE"
local_addr = "127.0.0.1:8080"
EOF

替换：

• <CLOUD_IP>、端口 2333（改成你的 <TUN_PORT>）
• RATHOLE_TOKEN_REPLACE（改成你的 <RATHOLE_TOKEN>）

启动：

cd ~/rathole
./rathole client.toml

看到已连接/无报错即可。

2.5 开机自启（可选但强烈建议）

Termux 自启通常用 Termux:Boot 插件：

• 安装 Termux:Boot
• 在 Termux 执行：

mkdir -p ~/.termux/boot
cat > ~/.termux/boot/start-rathole.sh <<'EOF'
#!/data/data/com.termux/files/usr/bin/sh
cd $HOME/rathole
exec ./rathole client.toml
EOF
chmod +x ~/.termux/boot/start-rathole.sh

然后重启手机验证是否自动连上。

---

3. 联调验证

3.1 云服务器确认隧道已连上

sudo journalctl -u rathole-server -n 200 --no-pager
ss -lntp | grep 18080

3.2 从云服务器本机打到设备签名服务

curl -sS http://127.0.0.1:18080/sign \
    -H 'Content-Type: application/json' \
    -d '{"url":"/v1/xxx","body":"...","headers":{"GL-Uid":"..."}}'

3.3 从外部通过云服务器对外接口调用

curl -sS http://<CLOUD_IP>/sign \
    -H 'Content-Type: application/json' \
    -H 'X-Auth-Token: <API_TOKEN>' \
    -d '{"url":"/v1/xxx","body":"...","headers":{"GL-Uid":"..."}}'

---

4. 常见故障排查

1. 云服务器 /sign 403/401

• 检查请求头 X-Auth-Token 是否正确
• sudo nginx -T | sed -n '1,200p'

2. 云服务器 18080 无响应/超时

• 看 rathole server 日志：sudo journalctl -u rathole-server -n 200 --no-pager
• 确认安全组放行 <TUN_PORT>/tcp

3. 设备经常断连

• 关闭电池优化、允许后台运行、接稳定电源
• Termux 保持前台（某些机型后台极易杀进程）

4. APK 服务本身没起来

• 在设备上先用浏览器/本机调用 http://127.0.0.1:8080/sign（若你有本机工具）或查看 App 日志

5. 建议的加固

• 强烈建议最终改成 HTTPS（配置域名证书）
• 为 /sign 增加限流（Nginx limit_req）