Адрес панели без слеша nginx перенаправлял на https://IP:10446/… (внутренний порт) —
панель не открывалась. absolute_redirect off и адрес панели сразу со слешем.
- nginx stream на 443: по SNI — REALITY, XHTTP REALITY (свой сайт маскировки), MTProto
(свой FakeTLS-домен); остальное — HTTPS-сервер nginx
- HTTPS-сервер: VLESS WS, VMess WS, Trojan gRPC, подписка (kit-sub) и панель по секретным
путям, сайт-заглушка на всё прочее
- Подключения слушают только localhost, ссылки ведут на 443 через External Proxy 3X-UI;
настоящие IP клиентов доходят через proxy protocol (лимит устройств работает)
- Снаружи открыты только 443/tcp, 80, SSH, Shadowsocks и UDP-порты
- Режим для новых установок с доверенным сертификатом; --multi-port — прежняя схема;
старые многопортовые установки не переделываются автоматически
Проверено: Mihomo по подписке 10/10 у двух пользователей, официальный AmneziaWG,
матрица Xray/Mihomo/sing-box, панель и заглушка, пробы REALITY и MTProto без ключа.
- scripts/kit.sh (команда kit на сервере): user add/list/link/limit/off/on/del;
общие трафик, лимит, срок и число устройств на все протоколы
- Установщик создаёт подключения без клиентов и первого пользователя сразу во все,
имя подписки случайное (чужую подписку не угадать по имени)
- AmneziaWG: у записи 3X-UI одна пара ключей WireGuard, поэтому ко второму AmneziaWG
подключается запись-«двойник» с подпиской «-awg»; kit работает с обеими как с одной
- kit-sub фильтрует по содержимому: Clash-приложениям без AmneziaWG он вырезается,
приложениям со ссылками не отдаются vpn:// и tg://
Проверено: три пользователя — Mihomo по подписке 10/10 у каждого, официальный клиент
AmneziaWG — оба варианта у каждого; выключение, лимиты и удаление действуют на все записи.
Karing запрашивает формат Clash, но работает на sing-box и AmneziaWG не умеет —
на телефоне AmneziaWG вернулся с ошибкой. Теперь Karing, Hiddify, NekoBox, Happ, Stash
и похожие получают Clash-конфиг без AmneziaWG. В журнал kit-sub пишется User-Agent
и выбранный вариант (без IP) — чтобы видеть, чем представляются приложения.
- scripts/kit-sub.py — посредник на публичном порту подписки (HTTPS), 3X-UI только на 127.0.0.1
- Clash/Mihomo (Clash Verge, FlClash…) получают конфиг 3X-UI плюс AmneziaWG
- Happ, v2rayN, Karing, Hiddify — ссылки без AmneziaWG, которого они не умеют
- expire=0 убирается из Subscription-Userinfo — больше нет «01.01.1970»
- Сертификат перечитывается после продления Let's Encrypt, TLS в потоках, тайм-ауты
- Установщик ставит kit-sub сам (systemd, ограничения безопасности); адрес подписки не меняется
Проверено: Mihomo по итоговому Clash-конфигу — все 10 прокси, включая оба AmneziaWG;
обновление поверх существующей установки на сервере в России.
Проверено на телефоне (Karing, мобильный МТС): приложения на sing-box и Xray видят
AmneziaWG как обычный WireGuard и не подключаются. Теперь общая подписка содержит
только протоколы, которые понимают все приложения; AmneziaWG — в подписке «-awg»
(Clash Verge, FlClash), ссылки vpn:// для AmneziaVPN и tg:// для Telegram — в /root/3x-ui.txt.
- Повторный запуск: панель по HTTPS определяется сама
- Клиент с занятым именем (остался от удалённого подключения) получает уникальное имя
Установка командой из инструкции на чистый Ubuntu 24.04 в России:
- Let's Encrypt на IP выпускается, панель/подписка/TLS-протоколы на нём
- через интернет работают REALITY, Hysteria2, XHTTP, VLESS/VMess WS, Trojan gRPC,
Shadowsocks, TUIC и оба AmneziaWG (Mihomo, Xray, sing-box, официальный AmneziaWG)
- обычный WireGuard режет DPI (ответ сервера не доходит) — убран из набора по умолчанию
- хостер блокирует Telegram — установщик проверяет доступ и пропускает MTProto
- Баннер, заголовки, шапки генераторов и картинки без прежнего названия
- Все ссылки на установку, генераторы и репозиторий — на новый адрес
- hysteria2.sh: файл настроек install.env, старый pinkman.env переносится сам
Xray 26.7.11 и новее не пропускает REALITY-клиентов на Mihomo и sing-box
(Hiddify, FlClash, Clash Verge, Mihomo в XKeen). 3X-UI 3.8.5 ставит 26.9.9,
поэтому скрипт переключает ядро на 26.6.27 — последнюю версию, с которой
работают все клиенты и которую принимает панель.
Сайты маскировки: убраны Microsoft и Apple — их не советует сам Xray.
- scripts/3x-ui.sh: официальная 3X-UI v3.8.5 её установщиком, сертификат
Let's Encrypt на IP для панели, подключение VLESS REALITY через API,
подбор сайта для маскировки, ufw, ссылка и QR-код
- scripts/hysteria2.sh: официальный Hysteria 2.12.3 с проверкой sha256,
Let's Encrypt или самоподписанный сертификат с pinSHA256, сайт-заглушка,
ufw, команда hy2 для управления пользователями
- Инструкции переписаны под скрипты, старые (x-ui-pro, Blitz) удалены
Проверено: сквозные тесты в контейнерах с systemd и подключение через
интернет к тестовому серверу (VLESS REALITY и Hysteria2).
itsnotkubrick