VLESS UI: как настроить 3X-UI для приватного прокси с Reality

Что такое VLESS UI и зачем он нужен

VLESS UI — это общее название для веб-интерфейсов, которые упрощают управление прокси-серверами на базе протокола VLESS. Сам VLESS — это легковесный протокол передачи данных, разработанный для обхода блокировок и обеспечения приватности. В отличие от более старых протоколов, таких как Shadowsocks или VMess, VLESS не шифрует трафик самостоятельно, а полагается на внешний транспорт (например, TLS), что снижает нагрузку на процессор и делает соединение менее заметным для систем глубокого анализа пакетов (DPI).

На практике VLESS UI — это панель управления, которая позволяет создавать и настраивать входящие подключения, управлять пользователями, следить за трафиком и менять параметры без ручного редактирования JSON-конфигов. Самой популярной реализацией такого интерфейса является 3X-UI — форк проекта x-ui, который активно развивается и поддерживает множество протоколов и транспортов.

Для обычного пользователя VLESS UI решает главную задачу: превращает сложную настройку прокси в несколько кликов в браузере. Вместо того чтобы разбираться в конфигурационных файлах Xray-core, вы работаете с понятными формами: выбрали протокол, указали порт, нажали кнопку — и получили готовую ссылку для подключения. Это особенно важно для тех, кто хочет развернуть собственный VPN-сервер, но не имеет глубоких технических знаний.

Ключевое преимущество VLESS в связке с Reality — это маскировка трафика под обычное HTTPS-соединение. Сервер не использует собственный домен или сертификат, а «заимствует» TLS-рукопожатие у реального сайта. Для DPI такое соединение выглядит как обычный заход на доверенный ресурс, что значительно снижает вероятность блокировки по сигнатуре протокола.

Как работает VLESS + Reality: принципы маскировки

Reality — это технология, которая делает TLS-рукопожатие прокси неотличимым от рукопожатия настоящего сайта. Вместо того чтобы создавать собственный TLS-сертификат, сервер подключается к выбранному сайту-маске (например, www.samsung.com) и пересылает клиентское рукопожатие этому сайту. Для внешнего наблюдателя это выглядит как обычный HTTPS-запрос к доверенному домену.

Свой клиент сервер распознаёт по специальной метке, зашифрованной общим ключом. Эта метка встраивается в служебное поле TLS-рукопожатия и не видна снаружи. После распознавания сервер подменяет сертификат сайта своим временным, подписанным тем же ключом, и клиент проверяет подпись. Сканер или браузер, не знающий ключа, получает подлинный сертификат сайта-маски и его страницу — как при обычном заходе.

Дополнительно используется flow xtls-rprx-vision, который убирает второе шифрование. Данные, уже зашифрованные TLS, передаются без дополнительного слоя, что снижает нагрузку на процессор и делает трафик менее характерным по размеру записей. Это важно, потому что вложенный TLS часто выдаёт себя специфическими паттернами.

Однако Reality не скрывает всё. Ритм и объём трафика, репутация подсети хостинга и количество параллельных соединений к одному SNI остаются видимыми. Именно по этим признакам Reality могут обнаружить и заблокировать. Поэтому важно выбирать сайт-маску с умом и следить за поведением сервера.

Требования к серверу для VLESS UI

Для развёртывания VLESS UI с протоколом Reality нужен VPS-сервер. Минимальные требования скромные: один виртуальный процессор, 512 МБ оперативной памяти и 5 ГБ дискового пространства. Однако для комфортной работы и возможности установки дополнительных инструментов рекомендуется выбирать конфигурацию с 1–2 vCPU, 1 ГБ RAM и 10 ГБ SSD.

Операционная система — Ubuntu 22.04 или 24.04 LTS, хотя подойдут и другие дистрибутивы Debian. Важно, чтобы виртуализация была KVM, а не OpenVZ, потому что KVM позволяет включить ускорение BBR, которое заметно повышает скорость передачи данных.

Расположение сервера играет критическую роль. Reality маскируется под сторонний сайт, и задержка до него добавляется к времени подключения. Поэтому сервер должен находиться в крупном европейском дата-центре (Германия, Нидерланды, Финляндия), где легко найти подходящую цель в соседней сети. Хороший ориентир — задержка от VPS до сайта-маски не более 30 мс.

Также необходим белый IPv4-адрес без NAT и свободный порт 443. Многие хостинг-провайдеры, такие как Hetzner, Selectel или DigitalOcean, имеют собственные сетевые файрволы, которые нужно настроить в панели управления — иначе трафик не дойдёт до сервера, даже если UFW на самом VPS открыт.

Установка панели 3X-UI: пошаговый процесс

Установка 3X-UI выполняется одной командой, но требует внимательности. Сначала нужно подключиться к серверу по SSH. На Windows можно использовать PowerShell, на macOS или Linux — Terminal. Команда подключения выглядит так: ssh root@IP_СЕРВЕРА. При первом подключении нужно подтвердить отпечаток ключа и ввести пароль.

Перед установкой рекомендуется обновить систему: apt update && NEEDRESTART_MODE=a apt upgrade -y. Флаг NEEDRESTART_MODE=a предотвращает зависание обновления на экране со списком служб. Затем запускается официальный установщик:

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Установщик задаст несколько вопросов. Первый — выбор базы данных. Для личного использования достаточно SQLite (вариант 1), PostgreSQL избыточен. Далее спросит, хотите ли вы изменить порт панели. Рекомендуется ответить n, чтобы панель получила случайный порт из диапазона 1024–62000 — это защитит от автоматических сканеров, которые ищут стандартные порты.

Затем будет вопрос о SSL-сертификате. Варианты: Let's Encrypt на домен, на IP-адрес, свои файлы или без SSL. Если порт 80 открыт, можно выбрать вариант 2 — сертификат на IP выпускается автоматически и продлевается сам. Если открыть порт 80 нельзя, выберите вариант 4 и привяжите панель к 127.0.0.1, чтобы она не была доступна из интернета. В этом случае для доступа к панели нужно будет использовать SSH-туннель.

По завершении установки на экране появятся случайные логин, пароль, порт и секретный путь (WebBasePath). Эти данные сохраняются в файле /etc/x-ui/install-result.env, который доступен только root. Если вы их потеряли, можно посмотреть командой x-ui settings.

Настройка VLESS Reality inbound в 3X-UI

После входа в веб-панель 3X-UI нужно создать входящее подключение (inbound). В левом меню выберите «Входящие» и нажмите «Добавить входящее». В открывшейся форме заполните несколько вкладок.

На вкладке «Основное» укажите произвольное имя (например, reality-443), выберите протокол VLESS, порт 443 и транспорт RAW (бывший TCP). На вкладке «Безопасность» включите переключатель Reality. Поля «Цель» (Target) и «SNI» нужно заполнить вручную: укажите домен сайта-маски с портом (например, www.samsung.com:443) и без порта соответственно. Остальные поля — ключи x25519, Short IDs, SpiderX — панель сгенерирует автоматически при выборе Reality, их трогать не нужно.

Важно выбрать правильный сайт-маску. Цель должна поддерживать TLS 1.3, HTTP/2 и обмен ключами X25519, иметь действующий сертификат и быть доступной с самого VPS. В панели есть кнопки «Сканировать» и «Найти цели», которые проверяют совместимость и подбирают подходящие домены. Не рекомендуется использовать сайты за Cloudflare, а также домены, содержащие apple, icloud, microsoft или заканчивающиеся на .ru, .cn, .ir — они часто блокируются или вызывают подозрения.

На вкладке «Поток» (Flow) для клиента нужно указать xtls-rprx-vision. Это значение добавляется на вкладке «Учетные данные» при создании клиента, а не в настройках inbound. Также можно включить Sniffing (HTTP, TLS, QUIC) — это позволит Xray определять домены внутри соединений, что необходимо для правил маршрутизации.

Создание клиентов и выдача ключей

В 3X-UI пользователи управляются в разделе «Клиенты». Одна запись клиента может быть привязана к нескольким inbound. При создании клиента нужно указать уникальный Email (например, iphone-anna), при желании — лимит трафика, лимит одновременных IP и срок действия. На вкладке «Учетные данные» выберите Flow xtls-rprx-vision и привяжите созданный inbound.

После сохранения в строке клиента появятся иконки QR-кода и ссылки. Ссылка имеет вид:

vless://UUID@IP_СЕРВЕРА:443?encryption=none&flow=xtls-rprx-vision&fp=chrome&pbk=ПУБЛИЧНЫЙ_КЛЮЧ&security=reality&sid=SHORT_ID&sni=www.samsung.com&spx=%2Fa1b2c3d4e5f6a7b&type=tcp#reality-443

Эту ссылку можно импортировать в клиентское приложение. Если устройств несколько, для каждого лучше создавать отдельного клиента — так вы сможете контролировать трафик и отзывать доступ по отдельности. Один ключ на несколько устройств технически работает, но статистика смешивается, а лимиты применяются ко всем сразу.

Для удобства можно включить подписку в настройках панели. Тогда у клиента появится ссылка-подписка, и приложения будут автоматически подтягивать новые параметры при изменении конфигурации. Путь подписки по умолчанию /sub/ известен сканерам, поэтому его стоит сменить.

Выбор сайта-маски и настройка uTLS

Сайт-маска — это домен, под который маскируется ваш прокси. От его выбора зависит стабильность работы и вероятность блокировки. Основные требования: поддержка TLS 1.3, HTTP/2, X25519, действующий сертификат и доступность с сервера. Также важно, чтобы домен не был заблокирован у клиента.

Для пользователей из России хорошими вариантами считаются ya.ru, 2gis.ru, pochta.ru — они не заблокированы и выглядят естественно. Из зарубежных подходят dl.google.com, www.microsoft.com, www.cloudflare.com, но последние два часто используются и могут привлекать внимание. Лучше всего использовать кнопку «Найти цели» в панели, которая сканирует соседние сети дата-центра и предлагает подходящие домены с минимальной задержкой.

Настройка uTLS — это выбор отпечатка TLS-клиента. Панель по умолчанию подставляет chrome, но по опыту многих пользователей отпечаток firefox проходит фильтрацию стабильнее. Это значение попадает в ссылку как параметр fp=firefox. Если вы меняете uTLS у готового подключения, не забудьте выдать клиентам ссылки заново.

Также стоит обратить внимание на поля mldsa65 Seed и Verify — это постквантовая подпись Reality. Кнопка «Получить новый Seed» заполняет оба поля, и публичная часть уходит в ссылку параметром pqv. Современные клиенты на свежем Xray-core её понимают, но без неё Reality тоже работает.

Безопасность сервера: UFW, SSH и защита панели

После установки панели важно настроить файрвол. Если используется UFW, откройте порт панели и порт 443 (или другой, на котором работает прокси):

sudo ufw allow 6873/tcp
sudo ufw allow 443/tcp

Проверить правила можно командой sudo ufw status. Однако помните, что у многих хостинг-провайдеров есть собственный сетевой файрвол, который нужно настраивать в панели управления — UFW на него не влияет.

Панель 3X-UI по умолчанию работает по HTTP, что небезопасно: пароль и ключи передаются в открытом виде. Рекомендуется либо включить HTTPS-сертификат в настройках панели, либо привязать панель к 127.0.0.1 и открывать её через SSH-туннель. Команда для туннеля:

ssh -L 2222:127.0.0.1:ПОРТ_ПАНЕЛИ root@IP_СЕРВЕРА

После этого панель будет доступна по адресу http://localhost:2222/ВЕБ-ПУТЬ/.

Также рекомендуется сменить пароль администратора на свой и включить двухфакторную аутентификацию, если панель это поддерживает. Не забывайте про регулярные обновления панели и ядра Xray — команда x-ui предоставляет меню для управления, включая обновление.

Блокировка рекламы и российских доменов

3X-UI позволяет настроить маршрутизацию трафика, чтобы блокировать нежелательные домены и IP-адреса. Это полезно для экономии трафика и повышения безопасности. В разделе «Xray Configs» → «Basic Routing» можно задать правила.

Рекомендуется блокировать:

• Private IPs — доступ к внутренней сети сервера (10.0.0.0/8, 192.168.0.0/16 и т.д.). Это обязательное правило безопасности, иначе клиент может получить доступ к панели.
• RU Russia — российские IP-адреса и домены из списков geoip/geosite.
• .ru, .su, .рф — доменные зоны, которых нет в geosite.
• Ads All, Ads RU — рекламные и трекерные домены.

После включения этих правил российские сайты станут недоступны при включённом VPN. Если это нежелательно, можно убрать блокировку .ru-доменов и оставить только рекламу и приватные IP. Важно, что маскировка под ya.ru продолжит работать, так как TLS-хендшейк Reality — это отдельное прямое соединение сервера, и правила маршрутизации на него не влияют.

Для включения правил нажмите Save и подтвердите перезапуск ядра Xray.

Клиентские приложения и подключение

Ссылки и QR-коды из 3X-UI поддерживаются большинством современных клиентов. На Android это Hiddify, v2rayNG, NekoBox; на iOS — Streisand, FoXray, Shadowrocket, V2Box; на Windows и macOS — Hiddify, NekoRay, v2rayN.

Для импорта ссылки достаточно скопировать её из панели и вставить в приложение, либо отсканировать QR-код. Все параметры подставятся автоматически. После импорта нужно выбрать узел и нажать кнопку подключения.

Если соединение не устанавливается, проверьте:

• Открыт ли порт на сервере и в файрволе хостинга.
• Правильно ли выбран сайт-маска (доступен ли он с сервера).
• Не блокирует ли провайдер клиента порт 443.
• Актуальна ли версия клиентского приложения.

Также можно включить ускорение BBR через меню x-ui (пункт 26). BBR оптимизирует управление перегрузкой TCP и обычно снижает задержку, повышая скорость.

Вопросы и ответы