VLESS-XHTTP (Reality / за CDN)

XHTTP это транспорт поверх HTTP (способ упаковки трафика, от него зависит стойкость к блоку): без «вебсокетных» болячек, дружелюбен к CDN и используется, когда блокируют по IP (прячемся за CDN-домен). С XHTTP flow не используется. Чем отличается и когда брать, смотрите в обзоре «Какой протокол выбрать».

📖 Незнакомые слова? Все термины простыми словами есть в Словаре терминов.

👇 Впишите данные в конструктор над статьёй, подставится в оба профиля.

🚀 Не хотите настраивать ноду руками? MultiScript поднимает ноду с этим протоколом по одной форме (протокол · транспорт · SNI · страна), Reality-ключи и shortId генерирует автоматически. Подробнее: «О MultiScript».

Шаг 1: ключи (для Reality-варианта)

xray x25519          # privateKey → в конфиг, publicKey → на Host
openssl rand -hex 8  # shortId

🔑 Ключи Reality проще всего сгенерировать прямо в панели. В редакторе конфига Remnawave (кнопка меню рядом с «Форматировать») есть пункт «Сгенерировать ключи» — он сам подставит пару privateKey/publicKey, ничего ставить и вызывать вручную не нужно. Там же есть «Скачать с Github» — подтянуть свежее ядро Xray.

Если нужно получить пару вне панели (например, готовите конфиг заранее), подойдёт любой путь: - на ноде, внутри контейнера: docker exec remnanode xray x25519; - на любой машине, хоть на своём ноутбуке — ключи к серверу не привязаны: wget -qO- https://github.com/XTLS/Xray-core/releases/latest/download/Xray-linux-64.zip | busybox unzip - xray && chmod +x xray && ./xray x25519

privateKey идёт в конфиг ноды, publicKey — на Host в панели.

Вариант A: XHTTP-Reality (прямой, без своего серта)

Плюсы XHTTP + стелс Reality (маскировка под чужой реальный сайт, без своего домена) без своего сертификата (донорский SNI: имя сайта, видное в начале соединения ещё до шифрования). Для прямого подключения (не за CDN).

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "vless-xhttp-reality",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": { "clients": [], "decryption": "none" },
      "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] },
      "streamSettings": {
        "network": "xhttp",
        "security": "reality",
        "xhttpSettings": {
          "path": "XHTTP_PATH",
          "mode": "auto"
        },
        "realitySettings": {
          "show": false,
          "target": "your-donor.de:443",
          "serverNames": ["your-donor.de"],
          "privateKey": "PRIVATE_KEY_X25519",
          "shortIds": ["REALITY_SHORT_ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:category-ads-all"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

Вариант B: XHTTP-TLS (для CDN / Cloudflare)

Честный TLS на вашем домене подходит для фронта за CDN (Cloudflare и др.). TLS терминирует ваш домен или CDN.

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "vless-xhttp-tls",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": { "clients": [], "decryption": "none" },
      "sniffing": { "enabled": true, "destOverride": ["http", "tls", "quic"] },
      "streamSettings": {
        "network": "xhttp",
        "security": "tls",
        "xhttpSettings": {
          "host": "your.domain",
          "path": "XHTTP_PATH",
          "mode": "auto"
        },
        "tlsSettings": {
          "serverName": "your.domain",
          "alpn": ["h2", "http/1.1"],
          "certificates": [
            {
              "certificateFile": "/etc/letsencrypt/live/your.domain/fullchain.pem",
              "keyFile": "/etc/letsencrypt/live/your.domain/privkey.pem"
            }
          ]
        }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:category-ads-all"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

Режимы mode: auto (сам выберет), packet-up (надёжнее за капризными CDN), stream-up (ниже задержка). За Cloudflare включите проксирование (оранжевое облако) и тот же path.

Host в Remnawave

Address      : your.domain        (Reality: IP/домен ноды; CDN: домен CDN)
Port         : 443
SNI / Host   : your.domain        (Reality-вариант — your-donor.de)
path         : XHTTP_PATH
publicKey    : REALITY_PUBLIC_KEY  (только для Варианта A — Reality)
shortId      : REALITY_SHORT_ID    (только для Варианта A — Reality)
flow         : (пусто — у XHTTP нет Vision)
fingerprint  : firefox

Грабли

path на сервере и Host должны совпадать (берите неочевидный, напр. /xh или вид API).
За CDN кеш по пути выключить, разрешить методы GET+POST (см. «Спрятать сервер за CDN»: там подробно по каждому CDN, в т.ч. Yandex GET-only).
Selfsteal-вариант XHTTP (target = ваш локальный сайт) смотрите в «Профили подключений → §6».

Полный CDN-фронтинг по провайдерам: «Спрятать сервер за CDN». Обзор протоколов: «Какой протокол выбрать».