没有直连出站的云桌面上装 3x-ui：把 xray 出站改走本地 SOCKS 代理

2026 年 11 月 8 日，我在一台免费 AI 云桌面（Simular Box，Ubuntu 24.04，出口 IP 在美国芝加哥）上装了 3x-ui v3.11.0，想跑一个 VLESS+WS 节点。面板、订阅都正常，节点也建好了，但客户端一连就失败——出站根本走不出去。
这台机器的网络模型和一般云服务器不一样：它没有直连出站。裸 socket 连任何地址都失败（DNS 解析直接报错，连纯 IP 也是 Network is unreachable），所有流量必须走本机上的两个代理：HTTP CONNECT 代理 127.0.0.1:3128 和 SOCKS5 代理 127.0.0.1:1080。curl 能正常上网，就是因为它走了代理环境变量。
而 3x-ui 默认的 xray 配置里，tag 为 direct 的出站是 freedom，也就是直连。直连在这台机器上是死路，节点自然不通。
先确认出站模型。机内实测：curl https://ipinfo.io 正常，返回芝加哥出口 IP；Python 原始 socket 直连域名或 IP 全部失败；经 127.0.0.1:3128 做 CONNECT，能拿到 VPS 的 SSH banner，argotunnel 的 7844 和 443 端口都返回 200；经 127.0.0.1:1080 的 SOCKS5 出口，IP 同样是芝加哥那个地址。结论很明确：这台机器只有代理出口，没有直连出口。xray 的 freedom 出站必须换掉。
还有一个坑：v3.11.0 全新安装的数据库里，settings 表默认没有 xrayTemplateConfig 这一行——模板是程序内置的，只有保存过自定义出站后才会落库。直接改面板上的出站设置走不通，最后是停掉服务后直接写数据库解决的。
改法是：按 xray 生成的 bin/config.json 构造模板，把 direct 出站由 freedom 改为 socks，指向 127.0.0.1:1080，然后把这行 INSERT 进 settings 表的 xrayTemplateConfig，重启 x-ui。重启后生成的配置验证通过：direct 出站确实变成了 socks，blocked 仍是 blackhole。入站只建了一条：VLESS + WS，路径 /ws，不带 TLS，只监听 127.0.0.1:2097。
验证时也踩了一个假失败：最开始用 curl --socks5 去测，失败了。原因是 curl --socks5 会在本地解析 DNS，而这台机器没有直连 DNS，解析直接挂掉。改用裸 SOCKS 协议（或 --socks5-hostname，让代理端解析域名）后就通了。
完整链路实测：临时 xray 客户端（本地 SOCKS 10808）→ VLESS-WS 127.0.0.1:2097 → 服务端 → socks 出站 127.0.0.1:1080 → 访问 ipinfo.io 成功，返回的出口 IP 与直接走平台 SOCKS 1080 的对照结果一致，都是芝加哥那个地址。全链路通了。
经验：第一，在没有直连出站的环境里部署代理，第一件事是确认出站模型，不要默认 freedom 可用。curl 能通不代表直连能通——它可能只是走了代理环境变量。第二，测 SOCKS 链路时注意 DNS 在哪一端解析：本地解析会先死在无直连 DNS 上，要让代理端解析。第三，3x-ui v3.11 的 xray 模板在全新库里默认不在 settings 表里，改出站要先把模板行写进去，重启后以生成的配置为准，不要只看面板显示。第四，这种云桌面没有公网入站，节点目前只在机器本机可达；要对外用，还得再接一条 Cloudflare 隧道之类的入口，这是下一步的事。