3x-ui: первый inbound VLESS-Reality

Inbound — это входящее подключение на сервере: порт плюс протокол, к которому цепляются клиенты. Пока inbound не создан, панель ничего не обслуживает.

Соберём VLESS + Reality — базовый выбор для РФ: рукопожатие маскируется под реальный TLS 1.3-сайт, DPI видит обычный визит на сайт, а не VPN. Почему именно он — в обзоре «Какой протокол выбрать».

📖 Незнакомые слова? Все термины простыми словами есть в Словаре терминов.

Панель ещё не стоит? Начните с «3x-ui с нуля: установка».

Главное отличие от Remnawave: там вы вставляете JSON-конфиг и вручную переносите publicKey и shortId на Host. Здесь ничего вставлять не нужно — всё собирается формой, а ключи панель генерирует сама.

Шаг 1: создайте inbound

Раздел Inbounds → кнопка Add Inbound. Откроется форма с вкладками (Basics, Protocol, Stream, Security, Sniffing, Advanced).

На вкладке Basics:

Protocol — vless;
Port — 443 (порт «обычного HTTPS», меньше всего внимания);
Remark — имя для себя, например VLESS-Reality.

Вкладка Basics в форме Add Inbound: протокол vless и порт — Add Inbound → **Basics**. Порт панель подставляет случайный — замените на `443`. Остальные поля вкладки (лимиты, срок) для первого запуска не трогаем.

⚠️ Порт 443 должен быть свободен. Если на сервере уже слушает nginx или Apache, Xray не стартует с ошибкой address already in use — либо освободите порт, либо ставьте панель на чистый сервер.

Шаг 2: включите Reality

Перейдите на вкладку Security и выберите Reality (три варианта: None / TLS / Reality).

Панель сразу заполняет всё криптографическое сама:

Public Key и Private Key — пара ключей Reality;
Short IDs — набор коротких идентификаторов;
SpiderX — путь-приманка.

Менять их не нужно. Команды xray x25519 и openssl rand -hex 8, которые нужны при ручной сборке конфига, здесь не требуются.

Вкладка Security с выбранным Reality: ключи и shortId уже сгенерированы — **Security → Reality**: `Public Key`, `Private Key`, `Short IDs` и `SpiderX` сгенерированы автоматически. Кнопка обновления справа перегенерирует значение.

Шаг 3: задайте маскировку (единственное, что вписывается руками)

Reality маскируется под чужой реальный сайт — его называют донором. Два поля:

Target — куда Xray реально проксирует «тык» DPI: домен-донор:443;
SNI — имя, которое видно в начале соединения: тот же домен.

Требования к донору: TLS 1.3 + HTTP/2, не за CDN, не ваш, нейтральный и стабильный. Рядом с полем есть кнопки Scan и Find Targets — панель сама проверит кандидата и подберёт рабочий домен.

Поля Target и SNI в настройках Reality — **Target** и **SNI** — это то же самое, что `target` и `serverNames` в JSON-конфиге. Кнопка **Scan** проверяет, подходит ли домен под Reality.

⚠️ SNI обязан совпадать с доменом в Target. Разные значения — соединение не установится, а симптом будет обманчивым: «пинг есть, коннекта нет».

Ротируйте доноров между серверами. Один и тот же SNI на всех нодах — заметный паттерн.

Нажмите Create. Inbound появится в списке с бейджами vless · TCP · Reality, Xray перезапустится сам.

Готовый inbound VLESS-Reality в списке Inbounds — Inbound поднят. Колонка **Clients** пока показывает 0 — пользователей добавим следующим шагом. Значок карандаша открывает настройки, три точки — меню (клонировать, экспортировать ссылки, удалить).

Шаг 4: выдайте доступ клиенту

В версии 3.6 клиенты вынесены в отдельный раздел — их можно привязывать сразу к нескольким inbound (раньше клиент жил внутри одного).

Раздел Clients → Add Clients: создайте клиента и привяжите к созданному inbound.

Раздел Clients в 3x-ui: добавление и привязка клиента — Раздел **Clients**: кнопка **Add Clients**, фильтр и поиск. Здесь же задаются лимит трафика и срок действия для каждого клиента.

Панель отдаст готовую ссылку vless://… и QR-код. publicKey, shortId и flow: xtls-rprx-vision подставляются в ссылку автоматически — вручную переносить их, как на Host в Remnawave, не нужно.

Ссылку скормите клиентскому приложению: v2rayNG (Android), Streisand или Hiddify (iOS), Hiddify / v2rayN (Windows). Что ставить клиентам — в статье «Клиентские приложения».

Массовая выдача: в меню inbound (три точки) есть Export All URLs и Export All URLs — Subscription — вторая даёт ссылку-подписку, которая обновляется у клиента сама.

Проверка, что всё работает

В списке inbound счётчик Clients больше нуля.
На дашборде Xray · Running, а в Connection Stats растут сокеты при подключении клиента.
Клиент подключился и открывает сайты. Если нет — сначала Logs на дашборде.

Грабли

fingerprint: chrome у клиента. Палится и на части сборок ломает подключение. Ставьте firefox. В самой панели uTLS можно оставить chrome — это параметр сервера, не клиента.
Донор за CDN. Cloudflare и подобные отдают чужой сертификат, Reality такой донор не примет. Проверяйте кнопкой Scan.
Порт 443 занят. Xray молча останется в Stopped, а панель при этом продолжит работать — легко принять за проблему клиента. Смотрите Logs.
Панель на дефолтных admin/admin и порту 2053. Сканеры находят такое за сутки, и вместе с панелью уходит сервер. См. «Защита панели и доступов».
Один SNI на всех серверах. Работает, но это отчётливый паттерн. Разные доноры на разные ноды.

Что дальше

Резервные протоколы на случай, когда Reality начали резать: «Hysteria2», «Trojan», «XHTTP».
Спрятать сервер за CDN и пережить блокировку по IP: «Спрятать сервер за CDN».
Диагностика, когда «не работает»: «Диагностика».