VLESS + Xray + Reality на VPS: личный прокси, который не блокируют

1. Как работает Reality

WireGuard и OpenVPN строят собственный туннель со своим рукопожатием, и DPI узнаёт его по первым пакетам. Reality не придумывает свой TLS, а показывает чужой.

2. Требования к VPS

3. Установка 3X-UI

3X-UI — это веб-панель для Xray. Один скрипт ставит ядро, панель и systemd-сервис. Команды даны для root: под обычным пользователем добавляйте sudo.

# NEEDRESTART_MODE=a нужен, чтобы обновление не встало на фиолетовом
# экране со списком служб: они перезапустятся сами
apt update && NEEDRESTART_MODE=a apt upgrade -y

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Что спросит установщик, по порядку

# Пробросить порт панели на локальный 2222
ssh -L 2222:127.0.0.1:ПОРТ_ПАНЕЛИ root@IP_СЕРВЕРА

# Затем открыть в браузере
# http://localhost:2222/ВЕБ-ПУТЬ/

Что покажет в конце

# Статус сервиса
systemctl status x-ui --no-pager

# Меню управления: обновление, порт, логи, firewall
x-ui

# Текущие настройки панели без меню
x-ui settings

4. Настройка VLESS Reality inbound

Панель переведена на русский: язык выбирается прямо на экране входа, а позже в «Настройки панели» → «Язык интерфейса». Названия полей ниже даны по русскому интерфейсу.

Откройте Входящие и нажмите Создать подключение. Форма разбита на вкладки, нужны три.

Руками заполняются только Цель и SNI. Пару ключей x25519, Short IDs и путь SpiderX панель генерирует в момент выбора Reality, трогать их не нужно.

Как выбрать сайт-маску

Цель должна поддерживать TLS 1.3, HTTP/2 и обмен ключами X25519, иметь действующий сертификат и открываться с самого VPS: рукопожатие через неё идёт с сервера, клиент к ней не обращается. Со стороны клиента важно другое — чтобы его оператор не резал этот SNI. Проверять вручную не нужно: рядом с полем Цель есть две кнопки.

openssl s_client -connect www.samsung.com:443 -servername www.samsung.com \
  -tls1_3 -alpn h2 </dev/null 2>/dev/null \
  | grep -E "New, TLSv1.3|ALPN protocol|Server Temp Key"

# Годная цель отвечает всеми тремя строками:
#   Server Temp Key: X25519, 253 bits
#   New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384
#   ALPN protocol: h2
# Пустой вывод или меньше трёх строк: цель не годится, берите другую.

Нажмите Создать. Панель применит конфигурацию к Xray сама, перезапускать ничего не нужно.

5. Клиент и ссылка на подключение

В 3X-UI 3.x пользователи вынесены в отдельный раздел Клиенты: одна запись может быть привязана к нескольким inbound. Нажмите кнопку с плюсом: откроется окно «Добавить клиента» с тремя вкладками. Нужны две первые.

После сохранения в строке клиента появятся иконки QR-кода и ссылки. Ссылка выглядит так:

vless://UUID@IP_СЕРВЕРА:443?encryption=none&flow=xtls-rprx-vision&fp=chrome&pbk=ПУБЛИЧНЫЙ_КЛЮЧ&security=reality&sid=SHORT_ID&sni=www.samsung.com&spx=%2Fa1b2c3d4e5f6a7b&type=tcp#reality-443

6. Подключение клиентов

Windows: v2rayN

Качать с github.com/2dust/v2rayN/releases, актуальная версия 7.24.9. Два варианта сборки: v2rayN-windows-64.zip (привычный вид Windows) и v2rayN-windows-64-desktop.zip (новый интерфейс). Язык переключается в настройках, пункт Language, с перезапуском. Названия пунктов ниже даны для русского интерфейса.

Android: v2rayNG или Happ

iOS: OneXray или Shadowrocket, а для аккаунта не из России — ещё Happ и Streisand

7. UFW и безопасность сервера

Прокси смотрит в интернет, и панель тоже, если вы не привязали её к 127.0.0.1. Минимум: закрытый firewall и вход по SSH-ключу.

# SSH. Добавить ДО включения UFW, иначе потеряете доступ.
# Если SSH на своём порту, укажите его вместо 22
ufw allow 22/tcp

# Порт прокси из настроек inbound
ufw allow 443/tcp

# Порт 80 нужен только для продления Let's Encrypt (варианты SSL 1 и 2)
ufw allow 80/tcp

# Порт панели: открыть только со своего адреса.
# Свой IP: curl ifconfig.me на домашнем компьютере.
# Дома адрес обычно динамический: сменится — панель перестанет открываться.
# Лечится через консоль провайдера: ufw status numbered, затем
# ufw delete НОМЕР и правило заново с новым адресом.
# Если панель привязана к 127.0.0.1, эта строка не нужна вовсе
ufw allow from ВАШ_ДОМАШНИЙ_IP to any port ПОРТ_ПАНЕЛИ

# ufw enable под SSH переспросит: Proceed with operation (y|n)?
# Отвечайте y, правило для 22 порта уже добавлено выше
ufw enable
ufw status verbose

SSH-ключи вместо пароля

ssh-keygen -t ed25519 -C "vps-proxy"
ssh-copy-id root@IP_СЕРВЕРА

# Убедиться, что ключ доехал (команда запускается локально)
ssh root@IP_СЕРВЕРА "cat /root/.ssh/authorized_keys 2>/dev/null | grep -c ssh-ed25519"
# Ожидаем число 1 или больше. Ноль значит, что ключ не скопировался.
# Файл читается через cat, чтобы ответ был ровно одним числом
# и когда файла ещё нет: grep по несуществующему пути молчит.

# 1. Откройте ВТОРУЮ сессию SSH и убедитесь, что вход по ключу работает.
#    Первую не закрывайте, пока не проверите.

# 2. Убрать override cloud-init
rm -f /etc/ssh/sshd_config.d/50-cloud-init.conf

# 3. Выставить две настройки. В свежей Ubuntu обе строки
#    закомментированы, поэтому правка через nano требует убрать #.
#    Эти четыре команды делают то же самое при любом состоянии файла:
sed -i 's|^#*PasswordAuthentication.*|PasswordAuthentication no|' /etc/ssh/sshd_config
grep -q '^PasswordAuthentication no' /etc/ssh/sshd_config || echo 'PasswordAuthentication no' >> /etc/ssh/sshd_config
sed -i 's|^#*PermitRootLogin.*|PermitRootLogin prohibit-password|' /etc/ssh/sshd_config
grep -q '^PermitRootLogin prohibit-password' /etc/ssh/sshd_config || echo 'PermitRootLogin prohibit-password' >> /etc/ssh/sshd_config

systemctl restart ssh

# 4. Проверить итоговые значения, а не содержимое файлов
sshd -T | grep -iE "passwordauthentication|permitrootlogin"
# Ожидаем ровно две строки:
#   passwordauthentication no
#   permitrootlogin without-password
# Второе значение не опечатка: sshd печатает старое название
# для prohibit-password, это одно и то же.
# Если видите passwordauthentication yes, остался ещё один
# файл с настройкой: grep -r PasswordAuth /etc/ssh/

Полезные пункты меню x-ui

2    обновить панель
7    сбросить логин и пароль
8    сменить веб-путь панели
10   сменить порт панели
11   показать текущие настройки
14   перезапустить панель
17   логи
23   правила firewall
26   включить BBR

8. Если не работает

Почти все проблемы сводятся к восьми причинам. Проверяйте по порядку.

1. Не открывается панель

Причина номер один, и обычно это firewall провайдера, а не UFW.

systemctl status x-ui --no-pager
ss -tlnp | grep ':ПОРТ_ПАНЕЛИ'

# Linux и macOS: -w 5 ограничивает ожидание пятью секундами
nc -zv -w 5 IP_ВАШЕГО_VPS ПОРТ_ПАНЕЛИ

# Windows, PowerShell
Test-NetConnection -ComputerName IP_ВАШЕГО_VPS -Port ПОРТ_ПАНЕЛИ

succeeded! — порт открыт, дело не в сети.
Connection refused, отказ сразу: сервис на VPS не запущен.
timed out через 5 секунд: режет firewall, чаще всего в панели провайдера. Добавьте там входящее правило TCP на порт панели, лучше только со своего адреса.

2. Клиент не подключается

• Ядро клиента. Сервер по умолчанию принимает только Xray-core 26.3.27 и новее. Обновите клиент, возьмите другой на Xray-core или поставьте в inbound «Мин. версия клиента» = 1.0.0.
• Порт закрыт. Проверьте с домашнего компьютера: nc -zv -w 5 IP 443, в Windows — Test-NetConnection -ComputerName IP -Port 443. Порт открывается и в UFW, и в панели провайдера.
• Xray не слушает. На сервере: ss -tlnp | grep ':443 '. Пусто означает, что inbound выключен переключателем или Xray не стартовал. Если 443 занял чужой процесс — чаще всего Nginx или Caddy, — освободите порт: Reality лучше оставить на 443. Панель при этом работает как обычно и показывает статус Xray «Ошибка».
• Часы. Сверка времени включается полем «Макс. разница во времени (мс)» в inbound и по умолчанию выключена. Если вы его заполняли, проверьте время на сервере: timedatectl.
• Ссылка устарела. После правки inbound возьмите её из панели заново.
• Расходится flow. Даёт таймаут при верной во всём остальном ссылке. Разбор по сообщениям из лога — в следующем пункте.

3. Ошибки flow в логе

Причину отказа Xray клиенту не сообщает: тот видит только обрыв или таймаут, одинаковый на все случаи жизни. Настоящая причина остаётся в логе сервера. 3X-UI забирает вывод ядра себе и пишет его вместе со своими сообщениями, помечая строки ядра префиксом XRAY: — отдельного файла у Xray здесь нет.

Искать надо именно в файле панели. В системный журнал все строки ниже не попадают: панель считает оборванное соединение рядовым событием и понижает его до уровня debug, а в журнал отдаёт только то, что важнее. Поэтому ни journalctl, ни пункт 17 меню x-ui их не покажут. В файл пишется всё.

# Последние сообщения ядра
grep XRAY /var/log/x-ui/3xui.log | tail -50

# Смотреть вживую и одновременно пробовать подключиться клиентом.
# --line-buffered обязателен: без него grep копит вывод и на экране
# ничего не появляется
tail -f /var/log/x-ui/3xui.log | grep --line-buffered XRAY

Уровень логирования самого Xray по умолчанию warning, и все сообщения ниже приходят именно на нём — поднимать его до debug незачем. Пять строк, которые стоит узнавать в лицо:

4. Подключение есть, интернета нет или он медленный

• Цель не подходит. Нажмите «Сканировать» рядом с полем Цель: нужны TLS 1.3, ALPN h2, обмен ключами X25519 и живой сертификат.
• Цель отдаёт ошибку. Проверьте с сервера: curl -I https://ЦЕЛЬ. Reality должен пересылать чужой трафик на работающий сайт.
• Замедление со стороны оператора. Отдельный случай, разобран в следующем пункте.
• Утечка DNS. В настройках клиента включите отправку DNS через прокси, проверьте на browserleaks.com/dns.
• Маршрутизация в клиенте. Режим должен быть глобальным, а не «в обход локальных сетей».

5. Работало, а теперь нет: фильтрует оператор

Настройки фильтрации у операторов меняют волнами, и Reality на 443 порту переживает их лучше остальных вариантов, но не всегда. Признак тот же: клиент показывает «Подключено», а страницы не грузятся.

Прежде чем что-то менять, стоит понять, в чём дело: соединение опознали или заблокировали сам адрес сервера. Это разные вердикты, и второй настройками не лечится. Как отличить их за пять минут, разобрано в отдельной статье — почему VLESS перестал работать в России. Здесь — только сам порядок действий, когда вердикт уже известен.

1. Смените сайт-маску (Target и SNI). Популярные цели выгорают быстрее всех. Как выбрать новую, описано в разделе 4.
2. Смените uTLS на firefox. По наблюдениям тех, кто разбирал летние блокировки 2026 года, под ударом оказались прежде всего отпечатки chrome, safari и ios, а firefox и Edge встречаются в прокси-конфигах реже. Документального перечня нет, это догадка из практики, но смена бесплатна и занимает минуту. После неё заново скопируйте ссылку клиента.
3. Смените транспорт на XHTTP. В inbound на вкладке «Поток» выберите Транспорт XHTTP, Безопасность оставьте Reality. XHTTP разбивает поток на отдельные HTTP-транзакции, и поведенческий анализ различает его хуже. Учтите: flow xtls-rprx-vision держится за транспортный TLS, поэтому на XHTTP панель его снимает — если только вы не включили собственное шифрование VLESS (поля «Шифрование» и «Расшифрование» на вкладке «Протокол»): оно даёт Vision тот самый недостающий слой, и тогда flow остаётся доступен.
4. Смените хостинг или локацию. Если отвалилась вся подсеть, настройки не помогут: нужен другой провайдер, а не другой конфиг.
5. Держите запасной протокол. В 3X-UI 3.7 встроен AmneziaWG: это WireGuard с изменённым рукопожатием, он поднимается отдельным inbound и не требует ни модуля ядра, ни Docker.

6. Потерян доступ по SSH

Восстановление одно: консоль в панели провайдера, она же VNC или Serial Console.

sshd -T | grep -iE "passwordauthentication|permitrootlogin"
cat /root/.ssh/authorized_keys

# Временно вернуть вход по паролю
rm -f /etc/ssh/sshd_config.d/50-cloud-init.conf
sed -i 's|^#*PasswordAuthentication.*|PasswordAuthentication yes|' /etc/ssh/sshd_config
grep -q '^PasswordAuthentication yes' /etc/ssh/sshd_config ||
  echo 'PasswordAuthentication yes' >> /etc/ssh/sshd_config
systemctl restart ssh

7. Сервис x-ui не запускается

Речь о самой панели. Занятый 443 сюда не относится: на нём падает Xray, а сервис x-ui продолжает работать — это пункт 2 выше.

journalctl -u x-ui -n 100 --no-pager
journalctl -u x-ui -f

• Порт панели занят. Смените его: x-ui, пункт 10.
• Битая конфигурация панели. Сброс: x-ui, пункт 9. Клиенты, inbound, логин и пароль останутся, но порт и веб-путь вернутся к значениям по умолчанию: новый адрес смотрите пунктом 11.

8. Серый IP за NAT

ip -4 addr show scope global | grep inet
curl -4 ifconfig.me

Если на интерфейсе адрес из диапазонов 10., 172.16–31. или 192.168., а внешний другой, у вас NAT и входящие подключения не проходят. Нужен белый IPv4, обычно он покупается отдельно.

Быстрый чек-лист

9. Частые вопросы