Nodebuf 服务器面板使用指南：一键安装、节点管理、流量额度与网站订阅

如果你只是想在自己的服务器上搭一个节点，不必先研究配置文件，也不用先准备域名。Nodebuf Server Manager 可以在 Linux 上安装 sing-box，帮你生成连接参数；之后用网页面板或 nb 命令管理。

你也可以把它绑定到 Nodebuf，在网站查看多台服务器，并用自己的模板、前缀和分流规则生成订阅。绑定是可选的：不注册网站账号，本地面板和命令行照样能用。

这篇指南的基础功能说明始于 0.4.0，安装与终端操作已更新到 0.7.2：自动识别公网 IP、生成管理员密码，并提供分级操作菜单。网站联动、安装脚本和文中的网站入口统一使用正式域名 nodebuf.com。服务器本地面板账号与 Nodebuf 网站账号彼此独立。

先分清两个入口

安装程序运行在你的服务器上，不是在电脑上。 例如你购买了一台 VPS，就在那台 VPS 的终端执行安装命令。以后可以从自己的电脑浏览器打开它的面板。

127.0.0.1 始终表示当前设备本身。把电脑上的 http://127.0.0.1:39090 发给手机，手机不会因此访问到 VPS。普通安装直接使用服务器公网 IP 和面板端口即可；只有你主动建立本地转发时，才使用电脑的回环地址。

一、安装：一条命令开始

当前支持 Debian 12/13、Ubuntu 22.04/24.04 及兼容版本，Linux amd64 或 arm64，需要 systemd 和 root 权限。普通应用容器即使用户名是 root，也可能没有流量计量和限速需要的内核权限，优先安装在完整 VPS 或虚拟机中。

进入服务器的 root 终端，直接复制执行，无需修改命令：

curl -fsSLo singbox.sh https://nodebuf.com/singbox.sh && bash singbox.sh install

脚本会自动识别这台服务器的公网 IP，优先使用 IPv4，仅有 IPv6 时使用 IPv6；管理员密码由脚本随机生成，安装成功后会连同登录账号、面板地址和常用命令一起显示。识别失败时才需要输入本机公网 IP 或域名，也可以加 --server 自己的公网IP或域名 重试。多出口或 NAT 端口映射场景可手动指定实际访问地址；脚本不会自动配置云安全组或端口映射。如果当前是 Ubuntu 等系统的普通 sudo 用户，先运行 sudo -i 进入 root 终端，然后执行上面的命令。

安装入口示意。文中的管理页面截图使用演示数据，不包含真实用户的节点密码、绑定码或订阅密钥。

这里先把脚本下载成文件，再运行它。不要改成 curl ... | bash，请保留完整安装结果，后续操作可直接使用 nb 菜单；需要自定义密码时也能安全地通过终端或标准输入设置。

安装器会下载并校验管理器及固定版本 sing-box 核心，准备独立服务和数据目录。遇到同名目录、nb 命令、服务或占用的面板端口会停止，避免覆盖其他程序；它不会接管你以前安装的代理服务。

安装器默认生成安全随机密码，成功后显示账号、密码和面板地址。请保存这些信息；之后可运行 nb password 修改，自定义密码至少 8 位。默认端口是 TCP 39090；需要时可在安装参数中增加 --port 39091，以安装输出的实际地址为准。

为什么安装完浏览器还是打不开？

先检查地址有没有写成自己的服务器公网 IP，然后检查两层端口规则：

1. 云厂商控制台的安全组或网络防火墙。
2. 服务器系统自身的防火墙，例如 UFW、firewalld 或 nftables。

本程序不替你改云安全组，也不会覆盖现有防火墙放行策略。面板访问需要放行实际面板端口的 TCP。可以在服务器执行 nb panel 查看保存的地址，执行 nb status 查看服务状态。

如果安装在只监听本机的旧版本上，升级不会悄悄把它改成公网 HTTP。确实需要直接用 IP 访问时，可用同版本安装脚本明确切换：

bash singbox.sh access --public-http --server YOUR_PUBLIC_IP

关于 HTTP，只需要先记住这一点

默认的 IP 地址入口是 HTTP，便于第一次使用，但它不加密面板密码、会话和节点信息。请尽快在「服务与安全 → 域名与 HTTPS」完成 HTTPS 配置。 在此之前，应在可信网络使用，并尽量把 39090 的来源限制为自己的 IP。

你暂时没有域名，也可以先使用面板创建节点；没有要求你为了开始而购买域名。节点是否需要域名，与管理面板是否使用 HTTPS，是两件事。已经熟悉 SSH 的用户可以选择加密转发；不熟悉也不必把它当成创建节点的前置课程。

先从终端菜单开始

安装成功后输入 nb，即可按屏幕编号操作，不必记住全部参数。菜单按功能分为节点管理、添加节点、服务控制和系统维护；子菜单输入 0 返回，主菜单输入 0 退出。

• 获取节点：进入节点管理，选中节点，再查看详情、导出 URI 或完整客户端配置。自签名证书节点优先使用完整配置，保留证书信任。
• 新建节点：进入添加节点，选择协议或传输方案。常见 UUID、密码、路径和可用端口自动准备；默认 REALITY 不需要自有域名，域名证书申请需明确同意。
• 查看状态：打开运行状态，或运行 nb status，查看核心正在运行或已停止、节点数量和面板地址；支持颜色的终端会显示状态灯。
• 网页入口和密码：进入系统维护，或运行 nb panel / nb password。
• 卸载：nb uninstall 默认保留账号、节点和流量数据；nb uninstall --purge 需要在终端明确确认才会彻底清理。

已有安装使用升级，不要重新 install 或先卸载：

curl -fsSLo singbox.sh https://nodebuf.com/singbox.sh && bash singbox.sh upgrade

升级保留管理员密码、节点、订阅和历史流量，不会再生成初始密码。

二、先创建一个节点

登录服务器本地面板，进入节点页，点击「添加节点」。第一次使用，建议保留默认的 VLESS REALITY：不要求你持有自己的域名，端口、UUID、密钥和其他必要参数由程序生成。

你主要需要确认：节点名称、对外连接地址，以及准备使用的端口。高级参数默认收起，没有特别需求就先保留生成值。点击创建后，管理器会先调用真正的 sing-box 检查配置，再保存并加载；校验或启动失败时保留原配置，并显示失败原因。

想给手机和电脑分别控制流量，可以创建两个独立节点，分别命名为「我的手机」「我的电脑」。本管理器按节点的独立端口计量，不是同一个端口里给多个 UUID 做逐用户计费。

Hysteria2、TUIC 没有域名也能用吗？

可以。Hysteria2、TUIC、Trojan、AnyTLS 等 TLS 方案提供直接使用服务器 IP 的方式：管理器生成覆盖该 IP 的自签名证书，客户端用完整配置内嵌的证书建立信任。这里的做法是让客户端信任正确的证书，不是把验证关掉。

创建后优先使用「复制完整客户端配置」或下载 sing-box 配置，导入支持相应协议的客户端。受支持的 Mihomo 输出会保留固定证书指纹。不要为了把节点塞进某种格式，就删除证书或指纹，再只留下“跳过验证”。

若要普通 URI 在更多客户端之间流转，使用受客户端系统信任的正式 CA 证书通常更方便。自签名或私有 CA 的信任信息并没有所有协议、所有 URI 都通用的表达方式。管理器提供单独的 Hysteria2 指纹兼容 URI，但仍要求最终客户端和中间转换器真正保留并校验该指纹；不确定时就用完整配置。

选择「使用域名 · 自动证书」时，按页面要求填写自己的域名，检查 DNS 并同意 CA 条款。HTTP-01 需要域名正确指向服务器且公网 TCP 80 可访问、未被其他服务占用；DNS-01 可以使用有权限的 Cloudflare API Token 验证域名，不要求开放 80。签发失败会显示原因，不会悄悄切换成另一种证书方式。

正式受管 CA 证书满足条件后会自动续期，续期仍依赖正确的 DNS、端口或 DNS API 权限。自签证书不是 CA 自动续期；证书/IP/验证名称变化后，要重新导入相应客户端配置。

很容易漏掉：节点端口也要放行

面板能打开，不代表节点端口已通。比如 Hysteria2 使用 18443，通常需要在云安全组与系统防火墙中放行 UDP 18443，只放行 TCP 不够。TUIC 和 VMess QUIC 同样要注意 UDP；REALITY 等 TCP 方案则检查对应 TCP 端口。

如果导入配置成功却连不上，先查节点协议、端口与 TCP/UDP，再看本地诊断。服务器本机检测成功只能证明本机到节点的测试路径，不能证明从你手机所在网络到服务器的公网入站一定可达。

三、流量、额度、有效期怎么设置

在节点编辑页或流量页，可以查看累计上传/下载、当天用量、本月用量，并设置日额度、月额度、上传限速、下载限速和有效期。额度填 0 表示不限；有效期留空表示长期有效。

网站「我的服务器」中的额度单位是 GiB：1 GiB = 1,073,741,824 字节。它与运营商常写的 1 GB = 1,000,000,000 字节不完全相同。限速单位为 Mbps，不要与下载软件里的 MB/s 混淆：粗略说，8 Mbps 才约等于 1 MB/s，实际还会有协议开销。

服务器约每 5 秒记录一次端口传输字节，包含协议开销；达到额度、到期或策略变更会有短暂生效延迟，可能出现少量超额，不适合作为运营商级逐字节结算。

日/月统计按本地管理器的统计时区自然重置，不一定和你的电脑时区相同。已有流量后，统计时区会锁定，避免反复改时区重置额度。重启核心不会清空账本或配额。

本地面板还可以选择超额停用或降速。网站的远程额度编辑不等于修改整机带宽，也不限制服务器上其他程序的流量。上传限速使用丢包控制，实际 TCP 速度可能比填写上限低；下载使用整形，上限也不是保证带宽。

四、把服务器绑定到 Nodebuf

独立使用到这里就已经可用。需要多服务器监控或网站模板订阅时，再登录 我的服务器。

第一步：在网站生成绑定码

点击「绑定服务器」，选择权限，然后生成一次性绑定码。绑定码 10 分钟内有效，只能使用一次。不要发到公开群组，它代表一次账号授权。

三项权限分别是：

订阅同步会上传客户端连接凭据。 它们是导入代理需要的 UUID、密码、客户端公钥/证书等，应当视为私密数据。TLS 私钥、REALITY 私钥、SSH 密码、面板管理员密码和网站登录 Cookie 不在上传范围内。

第二步：在自己的服务器确认

打开本地面板的「网站绑定」，填入刚生成的绑定码与一个好辨认的服务器名称，确认本地允许的权限后绑定。网站上勾选一项，不会越过本地确认自动启用它。

本地权限确认示意。只开启自己需要的项目；网站账号与服务器管理员密码不会互相同步。

喜欢命令行也可以这样做。先在网站生成绑定码，再执行下面的命令，随后粘贴绑定码并回车；标准输入方式不会把码直接写进这条命令的历史：

nb bind --code-stdin --name '我的服务器'

需要网站节点管理及订阅时，明确加上这两个参数：

nb bind --code-stdin --name '我的服务器' --allow-manage --allow-subscribe

也支持 nb bind YOUR_ONE_USE_PAIRING_CODE --name '我的服务器'，但绑定码会进入命令历史，平时优先前面的标准输入方式。

第三步：回网站刷新

绑定完成后，回到「我的服务器」刷新。正常约 15 秒上报一次；网站页面可见时约每 30 秒刷新状态。无需为了网站绑定额外开放服务器入站端口：连接由管理器主动发起，走固定 HTTPS 接口。

多服务器页面示意。截图中的状态和节点是演示数据。

可以在本地暂停原先授予的权限，也可以在原始授权范围内恢复；要增加绑定时没有授予的权限，需要重新配对。暂停订阅权限会使已有网站订阅密钥失效，恢复后请在网站重新生成链接并更新客户端。

本地解除绑定或网站「撤销授权」都可以结束联动。撤销不会替你删除已经创建的本地节点；它只停止之后的网站授权访问与控制。已经导入客户端的配置也不能凭网站撤销从对方设备上抹掉。要停止真实连接，应停用节点或更换其凭据。

如果修改网站密码等账号安全信息后，页面提示“绑定已失效”，请先在网站撤销旧绑定，再在服务器本地面板解除并重新配对。不要反复刷新旧订阅密钥；失效绑定不能继续代表当前账号授权。

五、在网站操作节点，记得看最终结果

有节点管理权限时，网站可以创建安全的快速节点方案，或对已有节点启停、修改额度、限速、有效期。更细的传输参数、证书、伪装网站等，继续在服务器本地面板中操作。

网站不能向你的服务器发送任意 Shell 命令，也不需要 SSH 账号。节点密码和密钥由服务器本地生成，不通过网页表单指定远程私钥。

远程操作是异步的，提交成功表示已经排队，不表示节点已经改好。查看「最近操作」：

• 等待执行：管理器尚未领取，可以取消。
• 执行中：管理器已经领取，可能正在检查或保存配置，等待结果；不能保证这时取消就能撤回已经发生的变更。
• 执行成功：收到成功回执，再看刷新后的节点状态。
• 执行失败或已过期：读具体原因。端口占用、节点版本变化、证书未完成、配置校验失败，都有不同处理方式。

遇到“配置已变化”，先刷新，重新核对再提交；不要连续点击覆盖。服务器不在线时，先到本地面板检查联动状态和网络。一次只处理一项未完成命令，避免你在两个窗口里互相覆盖修改。

六、用网站模板、前缀和分流规则生成订阅

这里有两条路径，可以按需求选。

临时转换：不用绑定网站账号

本地面板「网站绑定」区域提供公开转换功能。选择 Mihomo、sing-box 等格式，明确同意把本次客户端节点配置发往 Nodebuf，再执行转换。

这个操作不借用浏览器的网站登录状态，不自动读取你的个人资源；未绑定使用的是站点公开默认配置。转换结果是本次生成的内容，不等于已经建立了一个长期网站订阅。

不愿上传客户端连接信息时，不勾选同意即可，继续用本地导出和本地订阅。无论使用哪种转换，原有证书信任都不能为了“兼容”被丢掉。自签名 TLS 节点优先完整 sing-box 或受支持的 Mihomo，不能完整表达的格式会明确拒绝。

长期订阅：绑定并授权订阅同步

在网站选择这台服务器，等待客户端配置同步，点击「生成订阅」。选择客户端格式，再选择转换模板、前置配置、字段映射，以及是否应用个人分流规则与转换偏好。

订阅设置示意，访问密钥在截图中不展示。

默认的「自动选择 · 个人设置优先」遵循网站已有规则：当次明确选择优先；没有临时选择时使用个人设置，个人没有设置再跟随站点默认，最后才是内置输出。管理员公开的配置、你自己的配置，以及其他用户公开共享且当前可用的配置，都按现有权限提供选择。

例如，你已经在「转换偏好」选好了 Mihomo 模板和前缀，这里保持自动即可，不需要再选一遍。想让这台服务器长期使用另一套模板，就在本次订阅设置中明确选择，不会替你改掉所有工具的个人默认。

个人规则在 转换偏好 查看入口，再到 Clash / Mihomo 规则工作区 或 sing-box 规则工作区 编辑并保存账号规则。只在工作区打字但没有保存，不会自动成为订阅规则。

URI、Base64 和 V2Ray 是纯节点输出，不使用完整客户端的前缀、策略组和分流模板。不同客户端支持的协议及传输不完全一样，包含无法保留的证书信任或不兼容方案时，系统会给出错误，请选择完整配置或调整节点。

保存后显示的是私有订阅链接。复制到客户端的订阅管理中，按客户端方法更新即可。不要把它发到公共截图、工单或聊天群；持有链接的人可以获取节点连接配置。更换密钥会立即使旧网站订阅链接失效，之后需要更新相关客户端。

为避免停用后继续发出旧节点，网站订阅要求管理器最近两分钟有心跳、同步快照在十分钟内；全部节点不可用时不会沿用旧的有效配置。网站或服务器断网时，订阅可能暂时无法更新，本地已经运行的代理不会因此自动停止。

七、日常维护：几个命令就够

把 NODE_ID 替换成 nb list 中的实际 ID。重启核心或应用节点变更可能短暂中断已有连接，尽量避开正在传输重要文件的时候。

BBR 主要改善 Linux TCP 拥塞控制，不能承诺一定提速；Hysteria2、TUIC 使用自身 UDP/QUIC 拥塞控制。管理器会检查算法、按需加载模块并验证设置，失败时显示缺少模块、宿主机权限、系统工具或参数冲突等具体原因，不会替你换内核或执行来历不明的加速脚本。

八、备份要放到服务器之外

「运维与备份」支持创建加密备份、下载和设置计划。建议保存 .nbb 备份，并把独立恢复密钥另外妥善保管；只在同一台服务器磁盘留一份备份，机器丢失时帮不上忙。

恢复会先展示影响预览，确认后替换受管节点与连接参数，可能中断代理。已有订阅是否保留、旧链接如何迁移，以恢复预览的策略为准。备份不能让旧 IP 地址自动跳到新服务器，要保持原地址还需要自己的域名等配合。

普通备份不包含面板管理员密码、网站机器绑定密钥、Telegram/Cloudflare Token 或备份恢复密钥。迁移后先设置新面板管理员，再恢复节点，重新绑定网站和配置需要的外部凭据。不要公开分享备份，即使文件已经加密也要按私密数据保管。

常见问题

网站提示在线，但某个节点不能连

在线表示管理器能向网站上报，和节点的公网入站是两条路径。检查节点是否启用、到期、超额，确认服务器核心运行，再查相应 TCP/UDP 端口、安全组和客户端证书。优先使用节点诊断逐项排查，不要把所有连接失败都当成转换问题。

绑定成功，没有“生成订阅”或者按钮不可用

检查绑定时网站和本地是否都开启了订阅权限，再看本地「网站绑定」的同步状态。创建至少一个启用且未到期的节点，点击主动同步，再回网站刷新。绑定监控权限不会自动同意上传节点凭据。

我已经登录 Nodebuf，为什么本地公开转换没有用我的模板？

本地面板和网站是不同站点、不同会话。公开转换不会把你的浏览器 Cookie 传给网站服务器。要使用个人资源，请绑定账号、授权订阅同步，然后在网站「我的服务器」设置这台服务器的订阅。

我没有域名，只想先用一个节点

先用默认 REALITY 即可。要使用 Hysteria2 或 TUIC，可以选择 IP 证书方式并导入完整客户端配置。面板第一次可通过 IP 和端口访问，随后根据自己的条件配置 HTTPS；有风险的地方页面会提示，不需要先完成所有高级功能才开始。

取消订阅链接，是否等于别人不能再用节点？

不是。它只能阻止继续通过旧地址取得配置，不能抹去已经拿到的密码或 UUID。需要真正停止某个节点的访问，请停用它或更换凭据，再更新你自己客户端里的配置。

如果按步骤仍有问题，反馈时请附版本、协议、报错文字、使用的客户端和失败发生在哪一步。不要发送面板密码、绑定码、订阅完整地址、节点 URI、私钥或备份恢复密钥。 可以先到 服务器面板入口 对照命令，也可以在 工具反馈 说明可公开的问题。