开张复盘：两天把一台免费云机器，折腾成一条日本家宽线

Rebooting this blog with a hands-on story: two days, one free cloud machine, and a real Japanese residential broadband line at the end of it.

这个博客 7 月就搭好了，启航文也写了，然后就被日常淹没，一停三个多月。这次重启不写感想，先交一篇硬核复盘：过去两天，我和我的 AI 助手一起，把一台免费的云端小机器从排队候补一路折腾到跑通一条真正的日本家庭宽带线路。过程里该踩的坑一个没少踩，正好都记下来。

先看框架：全流程路线图

赶时间的朋友看这一节就够了。整件事分七步，每步一句话结论：

申请候补：某云平台的免费计划要排队，我排在两万多名——结论：免费的东西不等人，先占坑。
邀请激活：五天后邀请邮件到达，当天激活、建机——结论：坑占对了。
打通管理通道：上午机器假死、密钥三连错，折腾大半天；下午换对方法后，API 通道一次打通——结论：方法不对，努力白费，这一步的坑最值钱。
机器体检：配置不错，但出口是美国机房 IP——结论：平台本身不送家宽，网上标题党文章要打个问号。
机房线：先把最基础的一条代理线跑通并验线——结论：简单可靠，做保底。
家宽线：接入志愿者提供的日本家庭宽带出口，逐项验线——结论：真家宽到手，但它是"借来的"，要接受它的脾气。
组网：把机器拉进自己的私有网络——结论：以后管理它不用再暴露在公网上。

下面是每一步的细节、坑和判断依据。

细节一：从候补到激活

这个平台叫 InstaBox，主打"给 AI 助手用的云端小机器"：免费计划是 4 核 CPU、8GB 内存、20GB 持久盘，预装 Docker 和主流 AI 编程工具。申请只能用 Google 或 GitHub 账号登录，我走了 Google。提交之后就是候补名单，两万多名开外。

五天后的早上，邀请邮件到了（发件人是真人，不是系统群发）。用邮件里的一次性邀请码激活账号、创建机器，前后几分钟。机器名我起得很随意，就叫 free-main。至此一切顺利——然后就卡住了。

细节二：上午的坑——机器"假死"与密钥三连错

坑一：机器显示 Running，却怎么都连不上。控制台说机器在运行，但网页终端一直是"无法连接"，远程桌面也无响应。我试了控制台重启，等了几分钟再查，还是老样子。当时机器是空的，没有任何部署，所以没有损失，但原因不明，看起来是平台侧的开通卡住了。最后的处理方式很佛系：先放着，去忙别的，下午回来它自己好了。经验：云平台的免费资源出这种假死，第一选择是等和复查，而不是反复重启。

坑二：一把 API 密钥，错了三次。为了让 AI 助手能通过接口管理这台机器，需要生成一把 API 密钥。第一次我图省事，照着屏幕手打——错了，密钥里全是长得像的字符（0 和 O、l 和 I），人眼根本分不清。更糟的是我还把密钥发到了聊天里、截了图——进了聊天和截图的密钥，一律按泄露处理，直接作废。后面又试了两次粘贴，也都失败。最后下午换到电脑上操作才搞明白：生成密钥的弹窗只出现一次，必须先点复制、再关弹窗，然后把整串粘贴进安全录入通道，全程不手打、不经过聊天。新密钥一次通过。

这半天的教训可以浓缩成一句：长密钥是给机器读的，不是给人抄的。复制粘贴 + 安全通道，是唯一正确的姿势。

细节三：机器体检——以及一个重要的辟谣

API 通道打通后，先给机器做全面体检：系统是 Debian 13，4 核、约 8GB 内存，根盘 16GB、数据盘 20GB，Docker、Node、主流 AI 编程工具都预装好，开机进程是正经的 systemd，还有免密 sudo——是一台能干活的机器。

最关键的一项是出口 IP：查出来是美国俄勒冈的 AWS 机房地址（亚马逊 AS16509）。这就实锤了一件事：这个平台本身不提供任何住宅 IP，出口就是标准的云厂商机房 IP。网上流传的"白嫖日本家宽"文章，家宽出口并不是平台送的，而是另行接入的外部出口——文章自己的注释里其实也承认了这一点，只是标题不会告诉你。想要家宽，得自己想办法接，这正是后面第六步做的事。

细节四：机房线——先把最稳的一条线立起来

第一条线走最朴素的方案：Xray 核心，VLESS + WebSocket 协议，装成系统服务开机自启；平台支持把机器端口发布成一个公开的 HTTPS 地址，正好给这条线当入口。

验线我只认三件事，缺一不可：

普通浏览器访问入口地址，返回 404（不暴露任何服务特征）；
用错误的 WebSocket 路径访问，返回 404（路径不对，谁来都进不去）；
用正确的路径访问，返回 101 Switching Protocols（协议升级成功，通道是真的通的）。

三项全过，机房线交付：链接和二维码导入手机代理工具即可用。它的定位是保底——出口是机房 IP，有些对机房 IP 一刀切的网站会过不去，但胜在稳定、完全在自己掌控里。

细节五：家宽线——借一条真正的日本家庭宽带

家宽出口的来源是 VPN Gate——一个由日本学术机构发起、全球志愿者提供中继的公共实验项目。志愿者里有不少日本家庭用户，出口就是他们家的光纤。这一步的方案分工是：一个网关容器负责拨上志愿者节点、把流量转出去；Xray 只管对内提供代理入口，流量全部交给网关。

这个网关用的是开源方案，用之前先逐行审代码，确认了三件保命的事才敢部署：

容器内的 SOCKS 代理只绑定本机回环地址，外人连不进来，不会变成开放代理；
带断网保护（kill switch）：防火墙规则只允许流量走 VPN 隧道，隧道一断，全部断网——宁可断，不可裸奔泄漏真实出口；
有个看门狗每分钟探活，隧道假死会自动处理。

选节点的过程也有插曲：先扫美国池，结果整个池子只有 3 个候选，挨个试全部失败——志愿者池就这样，看天吃饭。转头扫日本池，第一个就命中。验线结果：出口在大阪，运营商是关西地区的家庭光纤品牌（OPTAGE 的 eo 光），主机名也是典型的家宽格式，和机器自身的机房 IP 毫无关系。验线四步——探针有出口、出口不等于机器 IP（防泄漏）、国家与运营商对版、最后真机导入实测——前三步当场全过，第四步在我手机上完成。

这条线的脾气也要说清楚：出口是志愿者家的宽带，对方关机下线，这条线就断。所以架构上提前做了准备：哪天节点死了，只需要替换网关里的一个节点配置文件，客户端的链接和二维码永远不用换。另外一条铁律：陌生人的家宽出口，只用来日常浏览查资料，绝不在上面登录银行、支付这类敏感账号。

细节六：组网——把机器拉进自己的私有网络

最后装了 Tailscale，把这台机器加入我自己的私有组网，拿到一个 100 开头的内网地址。授权这一步是我本人在网页上点的确认——登录、授权、付款这类动作，永远是我亲手，AI 只带路，这是我和助手之间的铁律。组网完成后，以后我的电脑、手机和这台机器之间可以走内网直连，管理它不必再经过公网入口。

细节七：必须知道的时效规则

免费的东西都有规矩，这个平台有两条硬线，官方文档写得明明白白：

闲置 30 分钟自动暂停：没人用就睡，文件和配置都保留，有连接进来再唤醒。第一下连接可能要多等几秒，是在叫醒它。
单次最长运行 8 小时：连续跑满 8 小时强制停一次，重新启动即可，东西不丢，服务都是自启的。

所以它的正确定位是备用线 + 临时工位，不是 24 小时常驻的服务器。我的主力另有一台年付的小服务器在跑，这个免费机器是锦上添花——认清定位，就不会对它有错误的期待。

写在最后

两天折腾下来，收获的不只是两条线，更是一套和 AI 协作的方法：它负责执行、验证、记录，我负责决策和所有涉及账号与钱的动作；密钥只走安全通道，公开分享经验时把所有敏感信息剥干净。这个博客从今天起就按这个节奏更新，分类先立五个：技术探索、经营感悟、英语学习、免费情报、踩坑记录——有事的那天写一篇，没事不硬凑。

下一篇大概率是踩坑记录：就写写那把错了三次的密钥。