Каскад двух VPS
3x-ui

Подготовьте чистый тестовый сервер

Что это и зачем

Рабочий сервер с действующим VPN нельзя использовать как полигон: установщик может занять порт или изменить сеть.

Действия по порядку

1. Возьмите отдельный VPS с Ubuntu 24.04 и публичным IPv4.
2. Сохраните IP, логин SSH и способ входа через веб-консоль провайдера.
3. Подключитесь через Termius: Host = IP, Port = 22 (или указанный провайдером), Username = root либо выданный пользователь.
4. Перед первым подключением проверьте отпечаток SSH-ключа по консоли провайдера.

Команда или пример конфигурации

whoami && cat /etc/os-release && uname -m
ss -lntup

Правильный результат: Видна Ubuntu, архитектура и список уже занятых портов.

Если возникла ошибка: Если порт 443 занят, не останавливайте процесс вслепую: нужен другой VPS или согласованная схема с веб-сервером.

Подготовьте необходимые утилиты

Что это и зачем

Пакетный менеджер apt ставит программы из репозиториев Ubuntu. Обновление списка пакетов не равно обновлению всей ОС.

Действия по порядку

1. Убедитесь, что подключены к нужному тестовому VPS.
2. Вставьте команды по одной.
3. Дождитесь завершения apt; не закрывайте терминал во время установки.

Команда или пример конфигурации

sudo apt update
sudo apt install -y curl ca-certificates openssl jq nano dnsutils

Правильный результат: Команда curl --version показывает версию.

Если возникла ошибка: Если apt сообщает о блокировке, дождитесь завершения автоматического обновления; не удаляйте lock-файлы.

Подготовьте домен и DNS

Что это и зачем

A-запись связывает доменное имя с IPv4. REALITY может использовать чужой target для маскировки, но собственный сайт требует своего домена.

Действия по порядку

1. В личном кабинете регистратора откройте DNS-зону.
2. Создайте A-запись vpn.example.com, указывающую на IP вашего VPS.
3. Подождите распространения DNS и проверьте ответ.
4. Во всех следующих примерах заменяйте example.com на собственный домен; не вводите пример буквально.

Команда или пример конфигурации

dig +short A vpn.example.com @1.1.1.1
curl -4 https://api.ipify.org; echo

Правильный результат: DNS возвращает IP нужного VPS.

Если возникла ошибка: Если DNS пустой, проверьте NS-записи и правильность имени; не путайте A и CNAME.

Проверьте доступность порта

Что это и зачем

На одном IP и одном TCP-порту обычно может слушать только один процесс. Для REALITY нужен свободный входной порт; панель управления должна работать отдельно.

Действия по порядку

1. На сервере посмотрите занятые TCP-порты.
2. Выберите свободный порт, например 24443; проверьте, что провайдер разрешает входящие TCP на нём.
3. Не открывайте административный порт панели всем подряд: ограничьте его по IP либо используйте SSH-туннель.

Команда или пример конфигурации

sudo ss -lntp | grep -E ":(22|80|443|24443|2053)\b" || true

Правильный результат: Выбранный порт не занят; SSH остаётся доступным.

Если возникла ошибка: Если команда показывает LISTEN на выбранном порту, выберите другой и используйте его одинаково в панели и клиенте.

Установите 3x-ui официальным способом

Что это и зачем

3x-ui управляет Xray через браузер. Установщик из официального репозитория создаёт случайные реквизиты и путь панели.

Действия по порядку

1. Убедитесь, что это новый VPS без другой панели.
2. Откройте официальную страницу установки https://docs.sanaei.dev/ru/docs/guide/installation/ и сравните команду с приведённой.
3. Выполните команду. Сохраните выданные логин, пароль, порт и web base path в менеджер паролей.
4. Откройте выданный URL только через защищённый доступ; до публикации настройте HTTPS или SSH-туннель.

Команда или пример конфигурации

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)
sudo systemctl status x-ui --no-pager

Правильный результат: Служба x-ui active (running), меню x-ui доступно.

Если возникла ошибка: Если installer не стартует, проверьте curl и DNS. Если веб-панель не открывается, проверьте порт, путь и правила firewall провайдера.

Безопасно войдите в панель

Что это и зачем

Незащищённый HTTP передаёт пароль без TLS. Пока HTTPS не настроен, используйте локальный SSH-туннель или консоль провайдера.

Действия по порядку

1. Выполните x-ui и посмотрите текущие параметры панели.
2. Смените логин и пароль, включите 2FA, если доступна.
3. Настройте сертификат TLS согласно разделу First login официальной документации.
4. Не публикуйте в открытом доступе URL административной панели и секреты.

Команда или пример конфигурации

sudo x-ui
sudo journalctl -u x-ui -n 40 --no-pager

Правильный результат: Вход возможен с новым паролем; соединение HTTPS не выдаёт предупреждение о сертификате.

Если возникла ошибка: При потере учётных данных используйте меню x-ui в SSH, а не переустановку с потерей базы.

Создайте inbound VLESS + REALITY

Что это и зачем

Inbound — точка, в которую подключается клиент. В REALITY сервер хранит private key, а клиент получает public key.

Действия по порядку

1. В 3x-ui откройте Inbounds → Add inbound.
2. Protocol: VLESS; Remark: Reality-test; Listen IP: пусто; Port: 24443 (или ваш свободный порт).
3. Transmission: TCP / RAW (название зависит от версии). Security: REALITY. Flow для клиента: xtls-rprx-vision.
4. В настройках REALITY создайте пару x25519 ключей, Short ID и задайте Server Names (SNI) и target:443 одного доступного TLS-сайта. Выбирайте target, разрешённый вашей сетью и совместимый с REALITY; проверьте его доступность.
5. Создайте одного клиента с новым UUID, сохраните inbound.

Правильный результат: В списке inbound виден порт 24443, VLESS, REALITY и один клиент.

Если возникла ошибка: Если настройки не сохраняются, проверьте обязательные поля, тип транспорта и логи Xray; не вставляйте приватный ключ в клиент.

Экспортируйте клиентскую ссылку

Что это и зачем

Ссылка содержит UUID, публичный ключ, SNI, shortId, порт и flow. Ошибка в одном параметре нарушает подключение.

Действия по порядку

1. В строке inbound откройте список Clients и нажмите QR или Copy link.
2. Импортируйте ссылку в v2rayNG или другой совместимый Xray-клиент.
3. Проверьте: security=reality; pbk = public key; sid = short ID; sni = serverName; flow = xtls-rprx-vision; port = порт inbound.
4. Включите VPN и откройте сайт проверки IP.

Команда или пример конфигурации

curl -4 https://api.ipify.org; echo
sudo journalctl -u x-ui -n 80 --no-pager

Правильный результат: При подключении виден IP VPS, а не IP мобильного оператора.

Если возникла ошибка: Если не подключается: проверьте сетевой экран провайдера, порт, SNI, publicKey, shortId и журналы Xray.

Схема каскада без изменения default route

Что это и зачем

Чтобы не потерять SSH, нельзя наугад перенаправлять весь трафик VPS A в WireGuard. Безопаснее сначала создать отдельный туннель A↔B и направлять через него только исходящие соединения Xray.

Действия по порядку

1. Назовите VPS A входным сервером, VPS B выходным.
2. Публичный IP B — тот, который должен видеть сайт проверки IP.
3. Межсерверная подсеть примера 10.77.77.0/30: A = 10.77.77.1, B = 10.77.77.2.
4. На обоих VPS проверьте пересечения с Docker и другими VPN-сетями.

Команда или пример конфигурации

ip -4 route
sudo apt update && sudo apt install -y wireguard
sudo install -d -m 700 /etc/wireguard
umask 077
wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey >/dev/null
sudo cat /etc/wireguard/publickey

Правильный результат: На A и B созданы разные ключи; публичные ключи можно обменять.

Если возникла ошибка: Не публикуйте /etc/wireguard/privatekey. Не выполняйте wg-quick up до проверки обоих конфигов.

Создайте конфигурацию туннеля на VPS B

Что это и зачем

B принимает UDP-соединение от A. В этом минимальном туннеле не включается системная переадресация всего трафика; для выхода Xray используется отдельный SOCKS-прокси на B.

Действия по порядку

1. Сохраните публичный ключ A.
2. На B создайте /etc/wireguard/wg0.conf. Вместо меток подставьте реальные ключи.
3. В firewall провайдера B разрешите UDP 51820 только с публичного IP A.
4. Проверьте конфигурацию перед запуском.

Команда или пример конфигурации

[Interface]
Address = 10.77.77.2/30
ListenPort = 51820
PrivateKey = <ПРИВАТНЫЙ_КЛЮЧ_B>

[Peer]
PublicKey = <ПУБЛИЧНЫЙ_КЛЮЧ_A>
AllowedIPs = 10.77.77.1/32

Правильный результат: Файл chmod 600, ключи не содержат угловых скобок.

Если возникла ошибка: Команды с угловыми скобками — образец, не вставляйте буквально.

Создайте конфигурацию туннеля на VPS A

Что это и зачем

A знает публичный адрес B и шифрует трафик к внутреннему адресу 10.77.77.2.

Действия по порядку

1. Сохраните публичный ключ B.
2. На A создайте /etc/wireguard/wg0.conf.
3. В Endpoint укажите настоящий публичный IP B и порт 51820.
4. Установите права 600 и запустите туннель на обоих серверах.

Команда или пример конфигурации

[Interface]
Address = 10.77.77.1/30
PrivateKey = <ПРИВАТНЫЙ_КЛЮЧ_A>

[Peer]
PublicKey = <ПУБЛИЧНЫЙ_КЛЮЧ_B>
Endpoint = <ПУБЛИЧНЫЙ_IP_B>:51820
AllowedIPs = 10.77.77.2/32
PersistentKeepalive = 25

Правильный результат: После sudo wg-quick up wg0 на обоих серверах команда ping -c 3 10.77.77.2 с A получает ответы.

Если возникла ошибка: Если handshake нет: проверьте UDP 51820, Endpoint, ключи и AllowedIPs. Не меняйте default route VPS.

Проверка WireGuard до настройки Xray

Что это и зачем

Если туннель не работает, каскад через него не заработает.

Действия по порядку

1. На B выполните sudo wg-quick up wg0, затем на A ту же команду.
2. На A запустите ping и wg show.
3. На B проверьте, что виден peer A.
4. Только после этого настраивайте SOCKS и Xray.

Команда или пример конфигурации

sudo chmod 600 /etc/wireguard/wg0.conf
sudo wg-quick up wg0
sudo wg show
ping -c 3 10.77.77.2

Правильный результат: Есть latest handshake и растут transfer rx/tx.

Если возникла ошибка: Если wg0 уже поднят, wg-quick up сообщит об ошибке существующего интерфейса — проверьте ip addr show wg0.

Выход через B: SOCKS только внутри туннеля

Что это и зачем

Для каскада Xray на A должен передавать исходящие запросы на B. Один вариант — SOCKS inbound Xray на B, доступный только по 10.77.77.2:10808; затем SOCKS outbound Xray на A. Это не то же самое, что обычная цепочка из двух VLESS inbound.

Действия по порядку

1. На B установите Xray через выбранную панель и создайте SOCKS inbound: listen 10.77.77.2, port 10808, auth no auth, UDP выключен для первого теста.
2. На B ограничьте порт 10808 межсерверной сетью; никогда не публикуйте неаутентифицированный SOCKS в интернет.
3. На A добавьте в Xray outbound с protocol socks и settings.servers address 10.77.77.2 port 10808.
4. В правилах routing направьте трафик тестового VLESS inbound в outbound с tag exit-b.
5. Для DNS и UDP потребуется отдельная проработка: этот пример рассчитан на TCP.

Команда или пример конфигурации

{
  "tag": "exit-b",
  "protocol": "socks",
  "settings": {
    "servers": [{"address": "10.77.77.2", "port": 10808}]
  }
}

Правильный результат: После применения профиля на A TCP-трафик клиента выходит с публичного IP B.

Если возникла ошибка: Если нет подключения: с A проверьте nc -vz 10.77.77.2 10808, журналы Xray на обоих VPS и наличие маршрута в routing. Формат добавления outbound различается между версиями панелей.

Проверьте каскад с телефона

Что это и зачем

Внешний IP позволяет проверить выходной сервер, но не доказывает отсутствие утечек DNS или IPv6.

Действия по порядку

1. Подключите телефон к входному VLESS на A.
2. Откройте сайт определения IPv4. Ожидается IP B.
3. Проверьте DNS и IPv6; если они не маршрутизируются через B, настройте их отдельно или явно отключите соответствующий тип трафика у клиента.
4. На A и B посмотрите журналы во время подключения.

Команда или пример конфигурации

curl -4 https://api.ipify.org; echo
sudo wg show
sudo ss -lntp | grep 10808 || true

Правильный результат: На телефоне IPv4 совпадает с B, а в wg show увеличиваются счётчики.

Если возникла ошибка: Если IP A — правило маршрутизации не применилось. Если соединение не работает — проверьте SOCKS B и WG.