新建入站
入站是内核上的一个代理服务，客户端连的就是它。所有配置由面板生成，节点上的 agent 只负责下载内核、写入配置、运行和守护进程。
开始前：落地机已 安装节点 并在线，并装好了内核（见 内核与协议）。
创建
落地 页 → 入站 标签 → 新建入站 → 选择节点和内核 → 点击一个快速模板 → 填名称 → 创建并下发。
端口留空会随机分配，UUID、密码、密钥留空会自动生成。
快速模板
模板只填好协议、传输和安全层，创建后都可以再改。
| 模板 | 内核 | 说明 |
|---|---|---|
| VLESS + Reality + Vision | Xray / sing-box | 推荐，无需域名和证书 |
| VLESS + Encryption + Vision | Xray | 抗量子加密，无需域名和证书；客户端需 Xray 25.9+ 或 Mihomo |
| VLESS + XHTTP + Reality | Xray | |
| Shadowsocks 2022 | Xray / sing-box | |
| Trojan + TLS（自签） | Xray / sing-box | 需要填写域名 |
| VMess + WS + TLS | Xray / sing-box | 兼容老客户端 |
| Hysteria2 | sing-box | 基于 QUIC，可选端口跳跃 |
| TUIC v5 | sing-box | 基于 QUIC |
| AnyTLS | sing-box | |
| SS2022 + ShadowTLS | sing-box | 仅 TCP |
| NaïveProxy | sing-box | 需要域名和真实证书 |
| WireGuard | Xray / sing-box | 所有人共用一份客户端配置；分享里有配置文件和二维码，WireGuard 官方 App 可直接导入 |
| SOCKS5 / HTTP 代理 | Xray / sing-box | 不加密，适合内网或经加密线路中转后使用；订阅用户各有自己的用户名和密码 |
| Snell / Snell + ShadowTLS | sing-box（1.14+）/ Snell | Surge 专用；两个内核的区别见 Snell 用哪个内核 |
证书
TLS 类入站有三种证书来源：
- 自动生成自签证书：开箱即用，客户端需要允许不安全证书（分享链接已自动带上）
- 使用节点上的证书文件：填写证书和私钥在节点上的绝对路径
- 自动申请证书（ACME）：仅 sing-box，需要 1.14 及以上
- 域名必须解析到该节点
- HTTP 验证：节点 80 端口要能从公网访问
- DNS 验证：支持 Cloudflare（API Token）和阿里云（AccessKey），不需要 80 端口
- 证书由 sing-box 自动续期
NaïveProxy 必须使用真实证书（ACME 或证书文件）。
Hysteria2 端口跳跃
在 Hysteria2 入站里填写一段 UDP 端口，例如 20000-30000。节点会用 nftables 把这段端口转到入站端口，客户端在其中随机切换，缓解运营商对单个 UDP 端口的限速。
- 范围不能包含入站端口本身，不能和其他入站、转发或节点的转发端口段重叠
- 只有直连地址带跳跃参数；经中转连接时只转发一个端口，不跳跃
监听地址
默认监听 ::（同时支持 IPv4 和 IPv6）。如果节点在内核启动参数里完全禁用了 IPv6（ipv6.disable=1），部分内核会绑定失败，此时在高级选项里把监听地址改为 0.0.0.0。
分享
点击入站 → 分享（电脑上也可以直接点行内的“分享”按钮）：显示通用分享链接和二维码；WireGuard 显示配置文件和二维码；Snell 没有通用链接，显示 Surge 配置行。
日常使用建议用 订阅：一个链接包含所有落地和中转线路，换了参数客户端更新一下就行。
入站上的其他操作
点击入站可以：
批量操作
入站多了不好管理时，点列表上方的 多选：点卡片勾选，全选 会选中当前列表里显示的全部入站（可以先用搜索或节点筛选缩小范围），然后可以批量 启用、停用 或 删除。每个受影响的内核只下发一次配置。