3x-ui: VLESS-XHTTP (за CDN и против блокировки по IP)

XHTTP (наследник SplitHTTP) заворачивает трафик в обычные HTTP-запросы. Для DPI это похоже на работу браузера с сайтом, а не на VPN-туннель. Главное практическое следствие: XHTTP умеет ходить через CDN — клиент подключается к адресу CDN, а не к вашему серверу.

Зачем это нужно: когда IP ноды попадает в блокировку, Reality на своём IP умирает вместе с ним. XHTTP за CDN продолжает работать — блокировать пришлось бы сам CDN.

📖 Незнакомые слова? Все термины простыми словами есть в Словаре терминов.

Панель ещё не стоит? Начните с «3x-ui с нуля: установка», затем «первый inbound VLESS-Reality».

Шаг 1: транспорт

Создайте inbound (Inbounds → Add Inbound), на вкладке Basics протокол vless и порт. Затем вкладка Stream → Transmission: XHTTP.

Поля, которые реально важны:

Поле	Что ставить	Зачем
Path	/ или свой путь (/api/v2/stream)	Путь запроса. Правдоподобный путь лучше голого /
Host	пусто (или домен CDN)	Заголовок Host. Заполняется, когда впереди CDN
Mode	auto	Режим потока, разбор ниже
Padding Bytes	100-1000 (по умолчанию)	Добивка размеров пакетов, ломает анализ по длине
Uplink HTTP Method	Default (POST) или GET	⭐ Главный переключатель под CDN, разбор ниже

Остальное (Max Upload Size, Max Buffered Upload, Min upload interval, Server Max Header Bytes) трогайте только если тюнингуете под конкретный CDN — значения по умолчанию рабочие.

Шаг 2: Mode - какой режим выбрать

• auto — панель сама решает. Правильный выбор для первого запуска и для прямого подключения без CDN.
• packet-up — аплинк режется на отдельные HTTP-запросы. Это режим для CDN: прокси-серверы не любят один бесконечный запрос и рвут его, а короткие переживают.
• stream-up — один длинный поток вверх. Быстрее, но переживает только «умный» фронт, который не режет долгие соединения.
• stream-one — один поток в обе стороны, самый требовательный к фронту.

Практика: без CDN → auto, за CDN → packet-up.

Шаг 3: ⭐ Uplink HTTP Method - то, из-за чего XHTTP «не работает за CDN»

По умолчанию XHTTP шлёт аплинк методом POST. Часть российских CDN (Yandex, Beeline и другие) режут POST на эдже — отвечают 405 Method Not Allowed. Симптом обманчивый: нода живая, конфиг верный, клиент подключается и тут же отваливается.

Лечится одним полем: Uplink HTTP Method → GET. Тогда аплинк уходит GET-запросами, которые CDN пропускает.

⚠️ Меняйте метод и на сервере, и в ссылке клиента — иначе стороны не договорятся. В 3x-ui ссылка клиента формируется панелью, поэтому достаточно поменять на inbound и перевыдать ссылку.

Подробный разбор конкретных CDN и их ограничений — в разделе «CDN и др. обходы».

Шаг 4: шифрование

XHTTP работает и с Reality, и с TLS — выбирается на вкладке Security.

Что выбирать:

• Прямое подключение к ноде (без CDN): Reality. Маскировка под чужой TLS 1.3-сайт, ключи генерируются автоматически.
• За CDN: TLS. Reality через CDN не проходит — CDN терминирует TLS у себя и подменяет сертификат, а Reality именно на подлинности сертификата и держится.

Это частая ошибка: люди ставят Reality, заводят CDN сверху и получают неработающую связку. За CDN — только TLS.

Готовый inbound

Выдача клиенту — как обычно: Clients → Add Clients, привязать к inbound, забрать ссылку.

Грабли

• Reality + CDN. Не работает никогда. За CDN только TLS.
• POST против российского CDN. 405 на эдже. Переключайте Uplink HTTP Method → GET.
• Кеширование на CDN. Некоторые фронты кешируют ответы и ломают поток. Для пути XHTTP кеш нужно отключить в настройках CDN.
• Mode: stream-up за CDN. Долгий запрос обрывается по таймауту фронта. Берите packet-up.
• Слишком «нарядный» Path. Путь вида /vpn или /xray — подарок для анализа. Пишите что-то обыденное.

Что дальше

• Скрытый резерв того же Reality: «3x-ui: gRPC-Reality».
• Когда TCP захлёбывается на мобильном: «3x-ui: Hysteria2».
• Общая база по фронтам: «Спрятать сервер за CDN».