协议服务配置

协议服务是一条运行在 Zero 节点上的线路。先完成节点接入，再选择客户端也支持的协议。

配置流程

1. 打开“节点系统 → 节点协议 → 创建协议服务”，选“实际协议监听”。
2. 选择已安装 Zero 的服务器和协议；填写容易辨认的名称。
3. 填监听端口、对外地址和对外端口。有端口映射时对外端口可不同；客户端使用对外地址，不能填仅面板能访问的内网地址。
4. 按协议填写 TLS、REALITY 或传输参数。放行服务器和云防火墙中的对应 TCP/UDP 端口。
5. 保存并检查发布记录。校验、激活或健康检查失败时先修复首个错误。
6. 将服务加入“权限组”，按分配订阅给自己开通。订阅生成凭据后可能再次发布，等待完成后再导入客户端。

成功标准： 有效订阅中能看到这条线路，客户端实际连接成功，随后能查到对应使用量。仅保存或显示“已启用”不足以证明线路可用。

VLESS 与 VMess 传输

两者可选 TCP、WebSocket 或 gRPC。服务端与客户端必须一致：

• WebSocket 路径以 / 开头，请求头也须匹配。
• gRPC 填明确的 Service Name，两端一致。
• WebSocket 和 gRPC 不能同时使用。
• VLESS REALITY 当前只与原始 TCP 组合。
• VMess 仍要求 TLS，选择传输不会取消该要求。

优先在面板统一修改，再更新客户端订阅，不要只改导出文件的一端。

托管订阅用户

面板根据有效订阅生成协议凭据。不要把自己的协议认证秘密写成所有用户共用的模板占位值。

是否能使用某个协议，由面板构建、节点内核和发布状态共同决定。特别是 Mieru：界面显示不可用时，已有记录仅供查看或停用，不会进入新订阅或节点发布；不能仅根据协议名称或统一版本号判断已支持。

Hysteria2/Mieru 没有有效订阅凭据时可能不启动监听。这时先完成订阅分配并检查自动发布，不要为“监听为空”随意添加共享密码。

发布状态与订阅交付

分别核对：配置已保存 → 节点校验并激活成功 → 上报恢复 → 客户端连接成功。内核安装健康与 Connector 上报不是同一状态，也不能把等待事件理解成所有安装都应回滚。

托管凭据交付依赖节点已验证的实际能力。缺少能力或发布失败时，按错误处理，不通过伪造凭据绕过。详见配置发布与故障恢复。

前置端口转发与共享代理池

需要换一个入口地址再到现有协议时，选择“前置端口转发”：

• 外部转发：登记已经由外部软件维护的地址和端口，不要求面板管理入口服务器。
• Zero 托管转发：指定另一台入口服务器，由面板部署原始 TCP/UDP 转发；可以按需使用该入口服务器的共享代理池。

权限组只选前置入口时，系统会为父协议生成认证凭据，但只下发被选中的入口地址。想同时交付父协议直连地址，需要单独选中该直接协议。

具体创建、授权及验证步骤见网络前置。

可选出站代理

协议端点默认直连。需要这条协议的流量再经上游代理时，可在协议编辑器配置一个出站，导入支持的分享链接或填写 SOCKS5、Shadowsocks、VLESS、VMess、Trojan、Hysteria2 或 Mieru 参数。

该设置仅作用于这个端点，秘密加密保存。保存通过校验仍需实际测试链路；它与前置转发节点的共享代理池是不同设置。

证书绑定

使用 TLS 时，可绑定同一服务器上覆盖协议域名的有效托管证书。核对域名、SNI、证书文件和状态；续期或签发有错误时先看操作记录。具体见DNS 与证书。

保存前检查

• 对外地址、端口映射和防火墙正确。
• 协议、传输、TLS/REALITY 参数与客户端格式兼容。
• 内核支持所需能力，监听端口无冲突。
• 权限组和订阅包含预期线路，最近发布成功。

最后在客户端连接，不能用表单验证代替真实连接测试。