Протоколы и профили
Профиль — это конфиг Xray, который раздаётся нодам. В панели есть одиннадцать готовых заготовок: выбрали, создалось, дальше правите под себя.
Что работает
Проверено живым трафиком, а не по документации: каждый вариант поднимался на сервере, и через него запрашивалась внешняя страница.
| Протоколы | VLESS, VMess, Trojan, Shadowsocks 2022, Hysteria2 |
|---|---|
| Транспорты | TCP (raw), WebSocket, gRPC, XHTTP, HTTPUpgrade, mKCP |
| Шифрование | Reality, TLS, без шифрования (за обратным прокси) |
Чего движок не умеет
Это ограничения Xray, а не панели:
- h2 и QUIC удалены из Xray 26 — движок прямо предлагает перейти на XHTTP.
- mKCP есть, но поля
headerиseedиз него убрали; старый синтаксис отвергается. - TUIC отсутствует.
- WireGuard движок принимает, но это не подписочный протокол: там пары ключей на каждого участника, а не выдача клиентам.
Панель отклоняет такие конфиги с причиной от самого движка, а не общим «ошибка».
Заготовки
| Заготовка | Когда брать |
|---|---|
| VLESS + Reality (TCP) | Основной вариант. Не нужен ни домен, ни сертификат. |
| VLESS + Reality (gRPC) | Иногда проходит там, где режут обычный TCP. |
| VLESS + WebSocket | За обратным прокси или CDN. |
| VLESS + XHTTP | Живуч там, где веб-сокеты обрывают. |
| VLESS + HTTPUpgrade | Легче веб-сокета, проходит через большинство прокси. |
| VLESS + mKCP | Поверх UDP, лучше держится на плохой линии. |
| VMess + WebSocket | Если у клиентов приложения без поддержки VLESS. |
| Trojan + TLS | Выглядит обычным HTTPS-сайтом. Нужен домен и сертификат. |
| Shadowsocks 2022 | Без TLS вообще, отдельные ключи у каждого клиента. |
| Hysteria2 | Своё управление перегрузкой, хорошо держит потери пакетов. |
| Reality + WebSocket | Две точки входа в одном профиле: основная и запасная. |
Hysteria2: две тонкости
В Xray протокол называется hysteria, а не hysteria2.
Со вторым написанием движок отвечает unknown config id. Версия указывается
отдельно: "version": 2.
Реализация идёт поверх обычного транспорта, а не поверх QUIC. Поэтому подключаются клиенты на движке Xray, а отдельный QUIC-сервер hysteria к ней не подходит.
Сертификат обязателен — см. сертификат на ноде.
Shadowsocks: только 2022
У классических методов один пароль на всех, и раздать разным клиентам разные ключи
невозможно. Поэтому годятся только методы 2022-*.
В настройках инбаунда обязателен password — это серверный ключ. Клиент
подключается парой «серверный ключ : личный ключ», и без серверной половины движок
отвечает missing psk. Личный ключ панель выводит из UUID клиента, поэтому
отзыв подписки отключает доступ и здесь.
Маршрутизация
Блокировки и обходы делаются правилами в routing.rules. В редакторе есть
готовые блоки: блокировка торрентов и рекламы, российские сайты напрямую, заблокированные
в РФ в туннель, цепочка на вторую ноду, свой DNS.
geoip:private: если файла на ноде не окажется, правило со ссылкой на него
уронит весь конфиг.Служебный инбаунд
api-in слушает только петлю и существует ради статистики — через него агент
читает счётчики. Без него не работают лимиты трафика. В списках выбора локаций он не
показывается: подключиться к нему нельзя.