VLESS-TCP-TLS

Честный TLS на вашем домене и сертификате. Прост, дружит с CDN и умеет fallback на реальный сайт. Минус: TLS-ClientHello с вашим SNI можно резать по списку доменов, а вот Reality тут устойчивее. Берут ради CDN-совместимости, не как РФ-стелс. Сравнение смотрите в обзоре «Какой протокол выбрать».

📖 Незнакомые слова? Все термины простыми словами смотрите в Словаре терминов.

👇 Впишите домен и e-mail в конструктор над статьёй.

🚀 Не хотите настраивать ноду руками? MultiScript поднимает ноду с этим протоколом по одной форме (протокол · транспорт · SNI · страна) и автоматически генерирует Reality-ключи и shortId. Подробнее в статье «О MultiScript».

Шаг 1: выпустите сертификат

apt -y install certbot
certbot certonly --standalone -d your.domain -m you@example.com --agree-tos --non-interactive

Серт ляжет в /etc/letsencrypt/live/your.domain/.

Готовый Config Profile (вставляется целиком)

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "vless-tls",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [],
        "decryption": "none",
        "fallbacks": [{ "dest": "8080" }]
      },
      "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] },
      "streamSettings": {
        "network": "raw",
        "security": "tls",
        "tlsSettings": {
          "serverName": "your.domain",
          "minVersion": "1.2",
          "alpn": ["h2", "http/1.1"],
          "certificates": [
            {
              "certificateFile": "/etc/letsencrypt/live/your.domain/fullchain.pem",
              "keyFile": "/etc/letsencrypt/live/your.domain/privkey.pem"
            }
          ]
        }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:category-ads-all"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

fallbacks → dest 8080: «левый» трафик (без верного клиента) уйдёт на реальный сайт/nginx на :8080, чтобы при «тыке» браузером отдавалась нормальная страница. Серт нужно автообновлять (certbot renew по крону) и перезапускать ноду.

Host в Remnawave

Address      : your.domain
Port         : 443
SNI / Host   : your.domain
ALPN         : h2, http/1.1
flow         : (пусто)
fingerprint  : firefox

Грабли

SNI вашего домена виден, поэтому под жёстким РФ-DPI его могут резать по списку. Если режут, переходите на Reality/Selfsteal.
Серт живёт 90 дней, поставьте certbot renew в cron + рестарт ноды (иначе отдаётся старый серт).
Хорошо ложится за CDN, но для CDN чаще берут XHTTP (см. «Спрятать сервер за CDN»).

Полный список профилей смотрите в статье «Профили подключений (inbounds)», а обзор протоколов дан в статье «Какой протокол выбрать».