一键部署

运行后会执行

1. 把你的公钥加入 root 的 authorized_keys
2. SSH 只允许密钥登录，所有用户禁用密码登录（配置排在云镜像默认配置之前，确保生效）
3. 启用 UFW：默认拒绝入站，SSH 端口限速；当前已对外监听的端口逐个询问是否放行，数据库/缓存类端口默认不放行（只新增规则，从不重置）
4. 安装 Fail2ban，对 SSH 暴力破解自动封禁
5. 写入内核网络加固参数，开启自动安全更新

需要输入

• SSH 公钥（ssh-ed25519 AAAA...）；root 已有密钥时可以直接回车保留
• 确认禁用密码登录

运行后会执行

1. 把公钥写入目标用户的 authorized_keys（Windows 管理员账户写入 administrators_authorized_keys），去重并修正文件权限
2. 确保这个公钥真的能用：没装 OpenSSH 服务端就自动安装并启动，开启公钥认证（macOS 打开「远程登录」；新版 macOS 可能要给终端「完全磁盘访问权限」，或在 系统设置 → 通用 → 共享 里手动打开）
3. 防火墙已启用时自动放行 SSH 端口；已有的规则（如服务器加固设的限速）保持不变

需要输入

• 接受密钥的用户（默认是当前用户）
• SSH 公钥

运行后会执行

1. Linux：安装 xrdp 并设置端口，修复 TLS 证书读取权限和反复弹出的色彩管理认证框，开机自启；没有检测到桌面环境时会给出提示
2. Windows：开启远程桌面并要求网络级身份验证，远程桌面服务设为自动启动
3. 按你选择的范围放行防火墙

需要输入

• 防火墙放行范围（Linux 可选「不放行」；Windows 只能选放行范围）
• Linux 另外询问：RDP 端口（默认 3389），是否屏蔽色彩管理认证弹窗；Windows 固定使用 3389 端口

运行后会执行

1. 检查域名的 A 记录确实指向本机，不符合就停止
2. 安装 Xray-core 和 acme.sh
3. 在 ufw / firewalld 中放行 VLESS 端口；申请证书时临时放行 80 端口，用完即关；注册续期钩子，以后自动续期
4. 写入 VLESS 入站配置（与 SOCKS5 共存），禁止通过代理访问内网地址
5. 启动服务，验证 TLS，输出 vless:// 分享链接

需要输入

• 域名
• 端口（默认 8443）
• Let's Encrypt 邮箱（可留空）

再次运行时会保留原 UUID，已发出的分享链接继续有效。

运行后会执行

1. 安装 Xray-core
2. 写入 SOCKS5 入站配置（与 VLESS 共存），禁止通过代理访问内网地址
3. 在 ufw 或 firewalld 中放行 SSH 和代理端口（不会启用原本关闭的防火墙）；端口变更时删除旧端口的规则
4. 启动服务，通过代理做一次自检，输出连接信息

需要输入

• 端口、用户名、密码：可以自定义，留空则随机生成
• 再次运行时直接回车会保留当前值，已在用的客户端不受影响

运行后会执行

1. 下载服务程序（Windows 会校验 SHA-256）和固定版本的 xray-core（校验 SHA-256）
2. 根据分享链接生成并校验 xray 配置
3. 注册开机自启服务，以低权限专用账户运行，在 127.0.0.1 上同时提供 SOCKS5 和 HTTP 代理

需要输入

• vless:// 分享链接
• 本地监听端口（默认 10808）
• 再次运行时直接回车，会保留当前的链接和端口

运行后会执行

1. 安装编译依赖；下载官方正式版 VPN Client（优先走本站镜像，校验 SHA-256），然后编译安装
2. 注册系统服务并固定英文界面，创建虚拟网卡
3. 导入你的 .vpn 配置，设为开机自动连接，并立即连接
4. 按你的选择配置网卡地址、全局路由和 IP 转发，重启后依然生效；VPN 网卡的 DHCP 不会改写本机的 DNS 设置
5. 已经安装过时显示菜单：重新配置 / 卸载 / 取消

需要输入

• 导出的 *.vpn：输入它在本机上的路径，或者直接回车后粘贴全文（单独输入一行 EOF 结束）
• 网卡地址方式：dhcp / 静态（IP、掩码、可选网关）/ 不配置
• 是否让全部流量走 VPN
• 是否开启 IP 转发

运行后会执行

1. 下载固定版本的 EasyTier（优先走本站镜像，校验 SHA-256），失败时回落到 GitHub，仍失败则询问 HTTP 代理
2. 注册开机自启服务：Linux 用 systemd，macOS 用 launchd，Windows 用系统服务
3. 默认用 DHCP 自动分配虚拟 IP，并启用魔法 DNS（可用 <hostname>.et.net 访问）
4. 远程访问只对 mesh 网卡放行：Windows 放行 SSH 22 与 RDP 3389；Linux 在 ufw / firewalld 已启用时同样只对 mesh 网卡放行（不会启用原本关闭的防火墙）
5. 自动选择空闲的监听 / RPC 端口，可与已有的 EasyTier 实例共存；不会覆盖不是本脚本创建的同名服务
6. 已经安装过时显示菜单：重新配置 / 卸载 / 取消（重新配置时回车保留当前密钥）

需要输入

• 网络密钥（唯一不写在脚本里的信息，输入时不回显；再次运行时回车保留当前值）
• 安装前确认一次

运行后会执行

1. 未安装时安装 Claude Code
2. 把账户同步脚本下载到 ~/.claude
3. 在 ~/.local/bin 生成以账户名命名的启动器，并加入 PATH
4. 第一次运行启动器时创建账户目录、链接共享配置，并提示你 /login

需要输入

• 启动器（账户）名称，默认 claude1
• 想增加账户，用新名称再运行一次即可

运行后会执行

1. ① 启用 WSL2，通过代理下载并导入专用的 AiCliBox-Debian 发行版，在其中安装 Docker 并设为自动启动；需要时提示你重启后再运行一次
2. ②③ 通过代理构建锁定的 Claude / Codex 镜像，冒烟测试通过后才安装 cc / cx 启动器
3. 容器内所有出站流量强制经过本机代理，其余直接出站一律阻断

需要输入

• 本机代理端口（默认 10808；②③ 默认取上次安装用的端口）
• ① 另外询问：是否使用自定义的 Debian / WSL 下载镜像

运行后会执行

1. 自动找到 claude 程序，把指定时区的触发时间换算成本机时间
2. 生成只有本人可读的执行脚本，提示词按原样保存，不会被 shell 或 cron 二次解析
3. 在你的 crontab 中写入（或替换）本脚本管理的任务块，不影响其他任务
4. 可选立即试运行一次，输出追加到 ~/.local/share/claude-cron.log

需要输入

• claude 程序路径（默认自动找到的路径，一般直接回车）
• 提示词（默认 hi，越短越省额度）
• 触发时间所用的时区（默认本机时区）
• 触发的小时，如 07 12 17
• 可选：Anthropic API key（只用于按量计费的 API；用订阅登录不要填，输入时不回显）

运行后会执行

1. 禁用 IPv6（Windows 还会禁用 Teredo / 6to4 / ISATAP 隧道）
2. 关闭定位服务（Windows 还会关闭 Wi-Fi 定位和热点上报）
3. 时区设为洛杉矶（America/Los_Angeles / Pacific Standard Time）
4. 系统区域和语言设为 en-US；Windows 的归属地设为美国
5. Windows 需要重启才能完全生效

需要输入

• 确认执行（只问一次）
• Windows 另外询问：是否顺带关闭遥测（可选，默认不关）

运行后会执行

1. 全部阻断：IPv4 + IPv6 的互联网和局域网都不可访问
2. 仅局域网：允许私有网段和局域网发现，阻断互联网
3. 仅指定 IP：只允许你输入的 IPv4 地址，阻断其余所有 IPv4 和全部 IPv6
4. 解除：清理该程序的规则（包括旧版脚本创建的）；切换模式时也会先清掉旧规则
5. 放行与阻断的地址范围互不重叠，不依赖系统默认出站策略

需要输入

• 操作：1 全部阻断 / 2 仅局域网 / 3 仅指定 IP / 4 解除
• 程序路径（.exe，多个用分号隔开）
• 仅指定 IP 时：允许的 IPv4 地址