Trojan (TLS / Reality)

Trojan прикидывается обычным HTTPS-сайтом: при «тыке» браузером отдаёт настоящий сайт (fallback), а проксирует только клиентов с верным паролем. Полезен как резерв другого «вида», если VLESS-паттерн начали фингерпринтить (вычислять по характерному «почерку» трафика). Сравнение смотрите в обзоре «Какой протокол выбрать».

📖 Незнакомые слова? Все термины простыми словами объяснены в Словаре терминов.

👇 Впишите данные в конструктор над статьёй.

🚀 Не хотите настраивать ноду руками? MultiScript поднимает ноду с этим протоколом по одной форме (протокол · транспорт · SNI · страна) и сам генерирует Reality-ключи и shortId. Подробнее: «О MultiScript».

Вариант A: Trojan + TLS (свой домен + серт, есть fallback на сайт)

apt -y install certbot
certbot certonly --standalone -d your.domain -m you@example.com --agree-tos --non-interactive

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "trojan-tls",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "trojan",
      "settings": {
        "clients": [{ "password": "СИЛЬНЫЙ_ПАРОЛЬ" }],
        "fallbacks": [{ "dest": "8080" }]
      },
      "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] },
      "streamSettings": {
        "network": "raw",
        "security": "tls",
        "tlsSettings": {
          "serverName": "your.domain",
          "alpn": ["h2", "http/1.1"],
          "certificates": [
            {
              "certificateFile": "/etc/letsencrypt/live/your.domain/fullchain.pem",
              "keyFile": "/etc/letsencrypt/live/your.domain/privkey.pem"
            }
          ]
        }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:category-ads-all"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

fallbacks → dest 8080: «левый» трафик уходит на реальный сайт/nginx на :8080. В Remnawave clients: [] можно оставить пустым (панель наполнит), но пароль Trojan можно и задать в профиле: он показан для наглядности.

Вариант B: Trojan + Reality (без своего домена/серта)

xray x25519          # privateKey → в конфиг
openssl rand -hex 8  # shortId

🔑 Ключи Reality проще всего сгенерировать прямо в панели. В редакторе конфига Remnawave (кнопка меню рядом с «Форматировать») есть пункт «Сгенерировать ключи» — он сам подставит пару privateKey/publicKey, ничего ставить и вызывать вручную не нужно. Там же есть «Скачать с Github» — подтянуть свежее ядро Xray.

Если нужно получить пару вне панели (например, готовите конфиг заранее), подойдёт любой путь: - на ноде, внутри контейнера: docker exec remnanode xray x25519; - на любой машине, хоть на своём ноутбуке — ключи к серверу не привязаны: wget -qO- https://github.com/XTLS/Xray-core/releases/latest/download/Xray-linux-64.zip | busybox unzip - xray && chmod +x xray && ./xray x25519

privateKey идёт в конфиг ноды, publicKey — на Host в панели.

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "trojan-reality",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "trojan",
      "settings": { "clients": [{ "password": "СИЛЬНЫЙ_ПАРОЛЬ" }] },
      "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "your-donor.de:443",
          "serverNames": ["your-donor.de"],
          "privateKey": "PRIVATE_KEY_X25519",
          "shortIds": ["REALITY_SHORT_ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:category-ads-all"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

Host в Remnawave

Password     : СИЛЬНЫЙ_ПАРОЛЬ
Address      : your.domain        (или IP/домен ноды)
Port         : 443
SNI / Host   : your.domain        (Вариант B — your-donor.de)
publicKey    : REALITY_PUBLIC_KEY  (только Вариант B)
shortId      : REALITY_SHORT_ID    (только Вариант B)
fingerprint  : firefox

Грабли

Это резерв, не основной для РФ: голый Trojan+TLS светит SNI ещё до шифрования; Trojan+Reality (маскировка под чужой реальный сайт, без своего домена) надёжнее.
Пароль должен быть длинным, без пробелов (openssl rand -hex 16); одинаковый на сервере и Host.
Trojan+gRPC за CDN: ещё один вариант обхода по IP (см. «XHTTP» / «Спрятать сервер за CDN»).

Обзор: «Какой протокол выбрать». Все профили: «Профили подключений (inbounds)».