Установка VLESS с TLS и XHTTP: полное руководство по настройке безопасного прокси

Что такое VLESS, TLS и XHTTP и зачем они нужны

VLESS — это облегчённый прокси-протокол, разработанный для проекта Xray. Он не шифрует трафик сам по себе, а полагается на внешние механизмы защиты, такие как TLS (Transport Layer Security). Это делает его более гибким и быстрым по сравнению с более старыми протоколами вроде Shadowsocks, поскольку шифрование делегируется современным криптографическим стандартам.

XHTTP — это транспортный механизм, который позволяет передавать данные поверх HTTP/HTTPS и QUIC. Он был создан как развитие идей, заложенных в транспорте meek из проекта Tor, но с существенными улучшениями. Основная цель XHTTP — сделать трафик прокси неотличимым от обычного веб-трафика, что затрудняет его обнаружение и блокировку.

Комбинация VLESS + TLS + XHTTP обеспечивает высокий уровень приватности и устойчивости к блокировкам. TLS шифрует соединение, а XHTTP маскирует его под обычные HTTPS-запросы. Это особенно актуально в условиях, когда провайдеры и регуляторы пытаются анализировать трафик и блокировать VPN-сервисы.

Выбор сервера и подготовка окружения

Для установки VLESS с XHTTP вам понадобится VPS-сервер с публичным IP-адресом и доступом по SSH. Рекомендуется использовать Linux (например, Ubuntu 22.04 или 24.04), так как большинство инструкций и скриптов ориентированы на неё. При выборе хостинга обратите внимание на следующие моменты:

• Расположение: выбирайте локацию, которая обеспечивает хорошую скорость до вашего региона и не подвержена жёсткой цензуре.
• Оплата: некоторые хостеры принимают российские карты и криптовалюту, что удобно для пользователей из РФ.
• Производительность: даже самый дешёвый тариф обычно достаточен для личного использования, но если вы планируете передавать большие объёмы трафика, стоит выбрать тариф с большим объёмом памяти и более мощным процессором.

После покупки сервера вам нужно будет подключиться к нему по SSH. На Windows для этого удобно использовать PuTTY, на macOS и Linux — встроенный терминал. Убедитесь, что у вас есть root-доступ или права sudo.

Также вам понадобится доменное имя, если вы планируете использовать TLS с реальным сертификатом (например, через Caddy или Nginx). Для схемы с XTLS-Reality домен не обязателен, но для XHTTP через CDN он необходим.

Установка Xray на сервер

Xray — это основной компонент, который реализует протокол VLESS и транспорт XHTTP. Установка выполняется с помощью официального скрипта. На сервере выполните следующие команды:

sudo apt update
sudo apt install -y curl jq openssl
bash -c "$(curl -Ls https://github.com/XTLS/Xray-install/raw/main/install-release.sh)"

После установки проверьте версию:

xray version

Если выводится номер версии, установка прошла успешно. Далее необходимо настроить конфигурационный файл Xray, который находится по пути /usr/local/etc/xray/config.json. В этом файле определяются входящие и исходящие соединения, а также параметры транспорта.

Важно, чтобы версии Xray на клиенте и сервере совпадали, особенно при использовании XHTTP, так как протокол активно развивается и несовместимость версий может привести к ошибкам.

Базовая конфигурация VLESS + XHTTP + TLS

Рассмотрим пример конфигурации для сервера, который принимает подключения от клиентов по протоколу VLESS с транспортом XHTTP и защитой TLS. В этом случае Xray работает как самостоятельный сервер, а TLS-терминация происходит либо на самом Xray (если используется XTLS-Reality), либо на внешнем веб-сервере (Nginx или Caddy).

Если вы используете XTLS-Reality, конфигурация inbound будет выглядеть примерно так:

{
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "UUID",
            "flow": "xtls-rprx-vision"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "security": "reality",
        "realitySettings": {
          "dest": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "...",
          "shortIds": ["..."]
        }
      }
    }
  ]
}

Здесь network: "xhttp" указывает на использование транспорта XHTTP, а security: "reality" включает XTLS-Reality, который маскирует трафик под соединение с реальным сайтом (в примере — microsoft.com). Режим XHTTP по умолчанию — stream-one, который использует одно соединение для двусторонней передачи.

Если вы предпочитаете использовать внешний веб-сервер (например, Caddy) для TLS-терминации, то Xray будет слушать на локальном порту (например, 127.0.0.1:8080), а Caddy будет проксировать HTTPS-запросы на этот порт. В этом случае в конфигурации Xray указывается security: "tls" и настройки TLS, но сертификаты управляются Caddy.

Режимы XHTTP: packet-up, stream-up, stream-one

XHTTP поддерживает три режима работы, каждый из которых имеет свои особенности и компромиссы между скоростью и совместимостью.

• packet-up: самый медленный, но наиболее совместимый режим. Он использует одно долгоживущее соединение для передачи данных от сервера к клиенту и множество короткоживущих HTTP-запросов для передачи от клиента к серверу. Этот режим работает практически с любыми веб-серверами и CDN, но из-за большого количества запросов может быть менее эффективным.

• stream-up: более быстрый режим, который использует два отдельных долгоживущих соединения: одно для отправки данных от клиента к серверу, другое для получения данных от сервера. Он требует поддержки со стороны веб-сервера (например, Nginx с grpc_pass или Cloudflare с включённым gRPC).

• stream-one: единственный режим, который использует одно соединение для двусторонней передачи данных. Он похож на старый транспорт HTTP/2 и работает через Nginx с grpc_pass или Cloudflare с gRPC. Этот режим является наиболее скоростным, но менее гибким в плане маскировки.

Выбор режима зависит от ваших задач. Если вы используете CDN, лучше начать с packet-up для максимальной совместимости. Если вы подключаетесь напрямую к серверу, можно использовать stream-one для лучшей скорости.

Использование CDN для маскировки трафика

Одним из главных преимуществ XHTTP является возможность работы через CDN (сети доставки контента). Это позволяет скрыть реальный IP-адрес вашего сервера и сделать трафик неотличимым от обычных запросов к популярным сайтам.

Для этого вам нужно настроить ваш домен на использование CDN (например, Cloudflare). В DNS-панели Cloudflare создайте запись A, указывающую на IP вашего сервера, и включите проксирование (оранжевое облако). Затем настройте Xray на приём трафика через CDN. В этом случае XHTTP будет использовать режим packet-up или stream-up, так как CDN может не поддерживать stream-one.

Важно отметить, что не все CDN поддерживают XHTTP. Cloudflare поддерживает gRPC, что позволяет использовать режимы stream-up и stream-one. Другие CDN могут работать только с packet-up. Также стоит учитывать, что бесплатные CDN могут ограничивать объём трафика или блокировать подозрительную активность.

Использование CDN также позволяет применять технику domain fronting, когда вы подключаетесь к IP-адресу CDN, но с SNI другого домена, который обслуживается этим CDN. Это делает ваш трафик ещё более незаметным.

Двухсерверная схема с WARP и Caddy

Для повышения анонимности можно использовать схему с двумя серверами. Первый сервер (сервер А) принимает подключения от клиента, а второй (сервер Б) выпускает трафик в интернет, возможно, через WARP от Cloudflare. Это позволяет скрыть IP-адрес сервера Б и добавить дополнительный уровень защиты.

На сервере А устанавливается Xray, который принимает VLESS-подключения от клиента и перенаправляет их на сервер Б. На сервере Б также устанавливается Xray, который принимает трафик от сервера А и отправляет его в интернет через WARP или напрямую. Для TLS-терминации на сервере Б можно использовать Caddy, который автоматически выпускает и обновляет сертификаты.

Для настройки WARP на сервере Б необходимо получить ключи и адреса с помощью скрипта warp-reg. Эти данные затем используются в конфигурации Xray для создания исходящего подключения к WARP.

Такая схема полезна, если вы хотите скрыть свой реальный IP от целевых сервисов или обойти блокировки, которые применяются к IP-адресам хостинг-провайдеров. Однако она добавляет дополнительную задержку и может снизить скорость, поэтому её следует использовать только при необходимости.

Настройка клиентов для VLESS + XHTTP

Для подключения к вашему серверу вам понадобится клиент, поддерживающий VLESS и XHTTP. Наиболее популярные клиенты:

• Windows: InvisibleMan-XRay, v2rayN, Nekoray
• Android: v2rayNG, NekoBox
• iOS и macOS: FoXray, Shadowrocket, V2Box
• Linux: v2rayN (через Wine), Qv2ray

Важно, чтобы клиент поддерживал XHTTP. Клиенты на базе Sing-box (например, Nekoray) не поддерживают XHTTP, поэтому используйте клиенты на базе Xray.

Для настройки клиента вам понадобится ссылка-конфигурация, которую можно сгенерировать на сервере. Обычно она имеет вид vless://UUID@server:port?type=xhttp&security=reality&.... В клиенте вставьте эту ссылку, и он автоматически импортирует все настройки.

Если вы используете XTLS-Reality, убедитесь, что в клиенте указан правильный fingerprint (например, chrome) и SNI, соответствующий домену, под который вы маскируетесь.

Проверка и устранение неполадок

После настройки сервера и клиента важно проверить, что всё работает корректно. Для этого можно использовать следующие методы:

• Проверка конфигурации Xray: выполните команду xray run -test -config /usr/local/etc/xray/config.json на сервере, чтобы убедиться в отсутствии ошибок в конфигурации.
• Проверка статуса службы: используйте systemctl status xray, чтобы убедиться, что Xray запущен и работает.
• Тестирование подключения: подключитесь с клиента и попробуйте открыть какой-либо сайт. Если сайт не открывается, проверьте логи Xray на сервере (/var/log/xray/error.log).

Частые проблемы:

• Несовпадение версий Xray: убедитесь, что версии на клиенте и сервере совпадают.
• Неправильные ключи Reality: проверьте, что приватный ключ на сервере и публичный ключ на клиенте совпадают.
• Проблемы с DNS: если вы используете домен, убедитесь, что DNS-записи настроены правильно и указывают на ваш сервер.
• Блокировка порта: убедитесь, что порт 443 открыт в файрволе и не блокируется провайдером.

Если ничего не помогает, попробуйте временно отключить файрвол или использовать другой порт для тестирования.

Безопасность и юридические аспекты

Использование VPN и прокси-технологий может быть ограничено или запрещено в некоторых странах. Перед установкой и использованием VLESS с XHTTP обязательно ознакомьтесь с местным законодательством. В России, например, использование VPN для обхода блокировок не является незаконным, но некоторые сервисы могут быть заблокированы.

Также важно помнить, что даже с использованием XHTTP и XTLS-Reality ваш трафик не является полностью анонимным. Провайдер может видеть, что вы подключаетесь к определённым IP-адресам, хотя и не может расшифровать содержимое. Для повышения анонимности можно использовать дополнительные инструменты, такие как Tor, но это значительно снизит скорость.

Не используйте эти технологии для незаконных действий. Они предназначены для защиты вашей приватности и доступа к информации, а не для обхода закона.

Вопросы и ответы