3X-UI: Shadowsocks-2022 & XRay (XTLS) сервер с простой настройкой и приятным интерфейсом

Некоего быстро настраиваемого ультимативного шаблона, подходящему 95% пользователей, чтобы можно было 2 соединения из статьи настроить в минимальное количество кликов. Точнее, все, которые могут в теории понадобиться, включая упомянутые фоллбеки использующие grpc/websockets.

Вот этого реально не хватает, да. Потому что настройка SS элементарная, настройка Reality тоже простая (хотя flow я бы ставил по-умолчанию), а вот настройка websockets или gRPC требует цепочки fallback'ов, которые создавать руками муторно и можно легко ошибиться.

А ещё чего не хватает - интегрированного ACME клиента, чтобы можно было запросить и автоматически обновлять бесплатные сертификаты для домена сразу из панели (для того же TLS без Reality и проксирование через CDN).

Я себе таки настроил Reality через traefik.

Идея в том, что нужно создать роутер, который будет отправлять запросы на поддельный адрес (www.microsoft.com в моем случае) на 443 порт контейнера. Для этого используется директива HostSNI.

443 порт в контейнере должен быть свободен, веб-морду и сервис подписок вешайте на другие порты (я на них делаю роутинг через отдельные поддомены, traefik запрашивает сертификат сразу на все поддомены, wildcard certificate).

version: "3.9"

services:
  xui:
    image: alireza7/x-ui
    container_name: x-ui
    volumes:
      - ПУТЬ_ДЛЯ_БЕКАПА_НАСТРОЕК:/etc/x-ui/
    environment:
      PUID: 1000
      PGID: 1000
      TZ: America/Los_Angeles #ПОМЕНЯЙТЕ НА СВОЙ ЧАСОВОЙ ПОЯС
      XRAY_VMESS_AEAD_FORCED: "false"
    networks:
      - intranet
    restart: unless-stopped
    labels:
      - traefik.http.routers.xui.rule=Host(`xui.ДОМЕН_TRAEFIK.com`)
      - traefik.http.routers.xui.service=xui-web-config
      - traefik.http.services.xui-web-config.loadbalancer.server.port=54321 #ПОРТ ДЛЯ Web-морды

      - traefik.http.routers.xui-sub.rule=Host(`sssub.ДОМЕН_TRAEFIK.com`)
      - traefik.http.routers.xui-sub.service=xui-subscription
      - traefik.http.services.xui-subscription.loadbalancer.server.port=4433 #ПОРТ для подписок

      - traefik.tcp.routers.vless.rule=HostSNI(`www.microsoft.com`) 
      - traefik.tcp.routers.vless.tls.passthrough=true
      - traefik.tcp.routers.vless.service=xui-reality
      - traefik.tcp.services.xui-reality.loadbalancer.server.port=443
      
networks:
  intranet: #СЕТЬ В КОТОРОЙ РАБОТАЕТ TRAEFIK
    external: true

Единственная проблема в том, что в веб-морде неправильно отображается ссылка на подписки, приходится менять http на https в начале и удалять порт. Если кто-то знает где это принудительно настроить, буду очень благодарен.

А в чем проблема с QR? Только что проверил, v2rayNG и Nekobox на Андроиде считали QR без проблем и сразу заработали.

После настроек inbounds на панели имеет смысл пойти на главную страницу и проверить, что Xray на сервере нормально стартанул. Если вдруг видео, что не стартанул - медитировать (логи-то сломаны :)) и думать, скорее всего или что-то совсем плохое в одном из полей (некорректные символы), или порт уже занят каким-то другим процессом, или неправильно задан listening IP (если его задавали явно).

Конкретно с панелью или без? Без панели - рабочий вариант проксирование VLESS-over-websockets описан в одной из предыдущей статей советским примерами конфигов.

Сложнее и интереснее. XRay (на котором основана панель) довольно продвинутый в этом плане.

Фильтрация IP: если запрос на прокси приходит сразу с IP как target, то сервер просто его проверяет по GeoIP базам или маске; если запрос приходит с доменом как target, домен резолвится и дальше то же самое;

Фильтрация по домену: если запрос на прокси приходит сразу с доменом как target, то сервер просто его проверяет по подстроке/регэкспу, если запрос приходит для IP, то XRay умеет анализировать первые пакеты подключения и выцеплять домен из HTTP-запроса (для HTTP) или из SNI (для TLS).

Как фильтруют торренты - фиг его знает, надо в код заглянуть, но не удивлюсь, если у них тоже реализован парсер заголовков для BT и uTP протоколов.

Конечно можно, я в статье упомянул про TLS-сертификаты и как их прописать.

И такой вопрос по поводу udp.Если я правильно понимаю, xtls-rprx-vision-udp443 отвечает за его поддержку? т.к стандартный v2ray только tcp поддерживает, значит можно его выбирать?

UPD. Запустился xtls, но надо было в dest добавить приставку www к сайту

Настройка на клиенте или на сервере?

API работает, но как-то странно.

1. Создание пользователей с данными в формате json мне не удалось, но в urlencode успешно отработало.

2. Эксперименты проводил в консоли bash с помощью curl, отдельно пришлось указывать версию http0.9

P.S.: Тележный бот только для информирования.

Увы, мне не попадалось. Сам такую хочу.

Это загадка черной дыры, над которой мы долго ломали голову и так полностью и не разгадали.

У XRay совершенно точно трафик не прогоняется через какие-либо сервера ни в Иране, ни где-либо еще - это не то чтобы даже невозможно, но точно бессмысленно технически. В коде XRay ничего подобного нет.

Было подозрение что автор панели добавил в XRay какую-то отсебятину - проверили, в docker-образе оно собирается из исходников с гита, там никаких подозрительных патчей нет, и потом еще кто-то в комментариях к одной из старых статей пожаловался на такое же, только не про Иран, а про Китай :)

Для уверенности мы довольно долго смотрели в netstat и wireshark, вердикт - никаких левых подключений не делается.

Была теория, что возможно где-то в коде или конфигах захардкожены какие-нибудь региональные DNS-сервера (региональный сервер, резовля условный гугл и ютуб, может отдать его же адреса региональных зеркал и гугл с ютубом подумают, что вы оттуда) - опять же, в коде и конфигах ничего такого не нашлось.

Так что фиг знает. Единственное, что наталкивает на размышления - в docker-контейнере из коробки стоит таймзона Asia/Tehran, но как именно оно утекает - вопрос, потому что по идее из контейнера если "свои" запросы и делаются, то таймзона там не фигурирует - есть теория про проверку связности (обычно делается запрос на gstatic за 204-м кодом) или про DoH, в результате чего таймзона контейнера как-то все-таки уходит в запросе Гуглу и тот использует часовой пояс как основной критерий для геолокации, причем оно у них донельзя забаговано и через браузерные куки распространяется половым путем - например, Гугл стал считать иранским айпишник одного европейского хостера, на котором никогда не XRay, ни панели не было, а был обычный OpenConnect, причем считать стал ретроспективно, с 2021 года (когда на этом сервере вообще никаких прокси не водилось).

Есть кстати ещё одна идея. Случайно не Nekobox в TUN-режиме используете? И Chrome как браузер?

Сначала нужно зарегистрировать домен. Если нет нужды работать через CDN, то подойдет даже какой-нибудь no-ip или dynu. Если нужно работать через CDN, то домен должен быть настоящий (не dyndns).

Домен должен указывать на IP-адрес вашего сервера.

Сертификаты можно запросить у Let's Encrypt бесплатно, инструкции есть на сайте certbot.

Просто говоря, нужно установить certbot (apt install certbot на debian/ubuntu), потом сделать

certbot certonly --standalone --preferred-challenges http -d example.com

подставив там свой домен, он получит сертификаты и будет автоматически их обновлять каждые три месяца. Ну и потом использовать эти сертификаты.

Настройка XRay вручную описана в предыдущей статье, и там же есть про сертификаты.

Если хочется через панель, то... то лучше не надо. Там все настолько мозголомно и запутанно получается, что лучше даже не стоит ввязываться, я серьезно, вручную гораздо проще будет. Лучше сойтись на том, что панель для такого не предназначена.

Wings X по-прежнему в аппсторе: https://apps.apple.com/us/app/wings-x/id6446119727
Другое дело, что он не работает на устройствах со старой iOS.

А что кривого в Shadowrocket? Я им пользовался когда еще не знал про Wings X, он крутой, все что надо есть и работает как надо, своих денег вполне стоит.

Wings X кажется воскрес в сторах под названием FoXray: https://apps.apple.com/us/app/foxray/id6448898396

Особенности проксирования через CDN/Websocket/gRPC для обхода блокировок

Тут нужно только добавить. что, судя по названию, он основан на Clash, а у Clash во-первых свой специфичный формат конфигов (в прошлой статье я приводил пример), а во-вторых, оригинальный Clash не поддерживает VLESS и все эти новомодные штуки типа XTLS, и этот проект, судя по всему основан именно на оригинальном Clash, а не на форке Clash Meta (который гораздо прогрессивнее)

можно ли как-нибудь настроить DNS over HTTPS формата "https://dns.google/dns-query" , хочу чтобы рекламу резало на уровне dns, но не могу разобраться как правильно вписать это в конфиг в json формате.

Во-первых можно настроить чтобы все обычные (не DoH) запросы переадресовывались на какой-нибудь сервер (например 8.8.8.8 или на локальный типа dnsmasq или PiHole), это сработает при использовании VPN/TUN-режима, но для тупого системного прокси может не прокатить.

В outbounds добавить специальный outboud:

  {
      "tag": "DNS-Internal",
      "protocol": "dns",
      "settings": {
        "address": "127.0.0.53",
        "port": 53
      }
  }

и добавить специальное правило в routing, чтобы все что идет на 53 UDP или TCP порт заворачивалось туда:

{
  "type": "field",
  "port": 53,
  "network": "tcp,udp",
  "outboundTag": "DNS-Internal"
},

DoH можно попробовать вкрячить через sniffing, для прокси-inbound'а включить sniffing:

"sniffing": {
  "enabled": true,
  "destOverride": ["http", "tls", "quic"]
}

и в корне конфига добавить секцию "dns", типа так:

"dns": {
    "servers": [
      {
        "address": "https://8.8.8.8/dns-query",
        "domains": [],
        "queryStrategy": ""
      },
    ],
    "tag": "dns"
  },

Но будет ли оно работать - вопрос открытый :)

Можно не печалиться. Автор упомянул "панель Алирезы", не знаю, означает ли это что будет что-то принципиально новое, но у Ализеры есть форк X-UI: https://github.com/alireza0/x-ui
(и туда, судя по всему, контрибьтит и автор 3X-UI), я только что потестировал - тоже работает без проблем, есть небольшие отличия, но в целом инструкции подходят те же самые.

Спасибо, я пока сам не пробовал, лишь видел упоминание этой панели в официальных рекомендациях от Xray. Можешь подсказать про мультисерверность? Она умеет настраивать несколько удаленных серверов, как я спрашивал в этой ветке, или просто соединять их в цепочку (inbounds / outbounds)?

@Drno Дружище, приветствую! "А в hiddify нет ограничений по количеству одновременных сессий для юзера (" - здесь ты имеешь в виду чтобы один конфиг был только для 1 устройства? Вот например на Pritunl можно можно поставить такую галочку как "Disable multiple devices". В этом случае запрещается одновременное подключение двух разных устройств с одного конфига. На практике это работает так - они просто "перебивают" друг друга. Тоесть если ты включил у себя, а твой друг включит у себя, то тогда у тебя соединение разорвется. И соответственно наоборот. Так вот к чему я это пишу - возможно ли что-то подобное сделать на 3X-UI ? Просто ты пишешь про hiddify и я подумал, может ты знаешь как это сделать в 3X-UI. Видел там есть ограничение по IP, но как это работает пока нифига не понимаю. Поставил значение 1(чтобы не больше одного), сохранил настройки на серваке, на двух устройствах обновил подписку(URL конфиг один и тот же есно) - хоть бы хны! Сначала включил на айфоне, даже включил видео на ютубчике. Потом запустил этот же конфиг на андроиде, он спокойно подцепился и тоже начал гонять трафик. Причем сначала он ничего не пробивал, но после пары обновлений страниц в браузере все завелось. Также ютуб и остальные приложение, везде все прогружалось. При этом на айфоне соединение тоже осталось активным, гоняло трафик и даже не думало отключаться. При всей продуманности 3X-UI(просто мечта впнщика), как они могли так облажаться с такой элементарной необходимой функцией - я не понимаю, правда. Есть ли решение этой проблемы в этой панельке? Просто получается, что одной подпиской может пользоваться хоть целый город, а так не пойдет.

Не подскажу, слишком мало информации, я не телепат :) чтобы сказать, нужно знать, какой именно адрес утек. Нередко все эти кривые "сервисы проверки анонимности" паникуют и кричат про утечку, показывая в качестве "утекшего" адреса локальный класса C (за роутером) или вообще адрес TUN-интерфейса, и утечкой как таковой это не является.

Добавьте расширение в браузер: WebRTC Control - Интернет-магазин Chrome (google.com) и утечка реального ip прекратится.

Ещё 5 коп.
При использовании dns cloudflare (1.1.1.1) в тестах а-ля "DNS Leak Test", помимо прочих, нерусских, лезут российские ip-шники DNS серверов cloudflare.

простой SS имеет очень длительный handshake 4200 мс и не открывается ни один сайт

Это очень странно. В плане времени хендшейка никаких особых различий между VLESS и SS быть не должно.

Попробуйте перевесить SS на другой порт (если бы на низком типа 23, то на высокий типа 34567, и наоборот).

Ну ошибка там прямым текстом указана - слишком старая версия докера.

Варианты:

• обновиться с ubuntu 20.04 на 22.04

• попробовать поставить docker не из репов дистрибутива, а подключив докеровские репы, там должна быть версия свежее

• попробовать подкрутить версию в docker-compose.yml, может быть сработает

Сложно сказать, не видя конфигов сервера и выхлоп курла (какой именно домен фигурирует в неправильном сертификате?)

а там прослушивание нужного порта только на ipv6.

Уверены? Как точно выглядит строка?

В линуксе "tcp6 :::2323" обычно означает что сокет доступен и по IPv6, и по IPv4.

И 3X-UI (как и X-UI) по умолчанию слушает и на IPv4, и на IPv6. Может у вас какие-то правила фаервола мешают?

Из лога Tor'а непонятно, что конкретно ему не нравится, поэтому не знаю.

Я в свое время делал проще - раз уж есть VPS, то Tor-клиент ставил прямо на этом VPS, а в Xray-core на том же сервере в качестве outbound прописывал на freedom, а этот самый локальный Tor в качестве вышестоящего socks-прокси. И все работало, хотя параноикам, наверное, такой вариант может и не подойти.

Разобрался, я неверный файл указывал изначально. Вот правильный вариант.

Выше это был 3x-ui и там все получилось.

Решил я x-ui попробовать, сделал всё также, но опять ошибка вернулась.

Можно указать сертификаты в xray, сделать fallback на nginx, в nginx проксировать на x-ui.

Не надо никакие http/s порты выставлять наружу дополнительно.

Это не сработает с Reality, в случае с Reality фолбэк может быть только один, и он должен быть на какой-то другой популярный сервер, иначе теряется весь смысл.

Неужели только у меня такая проблема?

Только что проверил с последним FoxRay, SS-2022 подключение отсканировалось без проблем, что из v2rayNG, что из Nekobox.
Если пытаетесь сканировать QR из X-UI панели - можно попробовать сначала добавить подключение оттуда по ссылке в локальный Nekoray, а уже оттуда пошарить QR. Ну и проверить, что в названии конфига и параметрах нет никаких лишних символов (кириллицы, амперсандов, вопросов, точек, лишних слешей, и т.д.)

Чтобы переключаться (два альтернативных варианта). Можно забить.

Да, у меня с некорэем SS работал.

В 99% случаев когда что-то не контачится, это будет какое-то несоответствие конфигурации между клиентом и сервером. Сам протокол сделан так, чтобы быть максимально недетектируемым, поэтому если серверу что-то не нравится (например, не совпал ключ пользователя, или еще что), то в ответ он не пришлет никаких ошибок чтобы не демаскировать себя, а будет молчать или рвать соединение - и остается только угадывать по логам.