wiki(nl-vds-3xui): new NL 3x-UI node + Reality PQ×dest root-cause

Reality 443 inbound silently fails: ML-DSA-65 (post-quantum) ClientHello
key-share X25519MLKEM768 relayed to dest www.intel.com (Akamai) -> HRR ->
borrowed-TLS handshake never completes. Plain VLESS 32030 unaffected.
Isolated via replica xray pair (matrix: intel+PQ is the only failing cell).
Fix (NOT applied, awaiting user): switch dest/SNI -> www.microsoft.com
(PQ-capable, verified) on both inbound and client profile.

- new entities/nl-vds-3xui.md
- new concepts/reality-pq-mldsa65-dest-incompatibility.md
- index.md + log.md updated
- creds saved to pass nl-vds-3xui/full-env (not in repo)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.wiki/entities/nl-vds-3xui.md

@@ -0,0 +1,72 @@
+---
+title: NL VDS — 3x-UI VLESS/Reality node
+type: entity
+tags: [vds, cloud, netherlands, vpn, vless, reality, xray, 3x-ui, proxy]
+sources: []
+updated: 2026-06-05
+---
+
+# NL VDS — 3x-UI
+
+Арендованный облачный VDS в Нидерландах, активирован 2026-06-05. Назначение — личный VLESS/Reality
+прокси-узел под управлением 3x-UI (x-ui panel). Через него ведётся рабочее соединение.
+
+## Hardware / tariff
+
+- **Локация:** Нидерланды
+- **Public IP:** `213.176.64.253`
+- **vCPU:** 1
+- **RAM:** 2 GiB
+- **Disk:** 30 GiB NVMe
+- **OS:** Ubuntu 24.04
+- **PTR:** `square-white.ptr.network`
+
+## Доступ
+
+- **SSH:** `root@213.176.64.253` (password auth включён). Host-key (ed25519): `SHA256:XR2+0PCVUoEMrFHOoIu7IPXb4xP2JnYkqFr1uqs8YrA`.
+  - С Windows non-interactive: `plink -ssh -batch -hostkey "SHA256:XR2+0PCVUoEMrFHOoIu7IPXb4xP2JnYkqFr1uqs8YrA" -pw <pass> root@213.176.64.253 "<cmd>"`. PowerShell-пайп `y` в `plink` для приёма host-key **не работает** (plink читает промпт с консоли, не stdin) — передавать `-hostkey` явно.
+- **Панель 3x-UI:** `https://213.176.64.253:49251/aTKt95PPgt9y2dUHi8` (port 49251, webBasePath `aTKt95PPgt9y2dUHi8`, sub-port 2096).
+- **Креды:** `pass show nl-vds-3xui/full-env` (root SSH pass, panel user/pass, API token, все UUID/ключи/seed Reality-инбаунда).
+
+## Software stack
+
+| Слой | Компонент | Версия |
+|---|---|---|
+| OS | Ubuntu | 24.04 |
+| Panel | 3x-UI (x-ui) | 3.2.7 |
+| Core | Xray | 26.6.1 |
+| DB | SQLite | `/etc/x-ui/x-ui.db` |
+| Firewall | ufw | inactive (iptables policy ACCEPT) |
+
+`x-ui` — нативный systemd-сервис (не docker). Сгенерированный конфиг ядра: `/usr/local/x-ui/bin/config.json`,
+бинарь xray: `/usr/local/x-ui/bin/xray-linux-amd64`.
+
+## Inbounds
+
+| Tag | Порт | Протокол | Security | Статус |
+|---|---|---|---|---|
+| `in-32030-tcp` | 32030 | VLESS / tcp | none | 🟢 работает (рабочее соединение) |
+| `in-443-tcp` | 443 | VLESS / tcp | **Reality + ML-DSA-65 (PQ)**, flow `xtls-rprx-vision` | 🔴 не коннектится |
+
+- **32030 (plain VLESS):** uuid `a6fa7965-…` (email `sx9l9csam3`). Без TLS — поэтому работает даже когда Reality лежит.
+- **443 (Reality, PQ):** два клиента — `5da48418-…`/`pqmkayaxo2` (flow vision, его использует v2rayN) и `7941887a-…`/`0h5rzrsex3`.
+  publicKey `zWTp-3dPfB78…`, shortId (клиент) `795fc9`, mldsa65Seed `E9zFSoOd…`. dest/SNI `www.intel.com`.
+
+## ⚠️ Открытый дефект: Reality 443 не работает
+
+Reality-инбаунд на 443 включает **пост-квантовый ML-DSA-65** с dest/SNI `www.intel.com`. Эта комбинация
+несовместима: Akamai-фронтящий `www.intel.com` не поддерживает PQ-обмен ключами (`X25519MLKEM768`) и шлёт
+HelloRetryRequest → borrowed-TLS рукопожатие REALITY не достраивается → `REALITY: handshake did not complete`.
+Plain VLESS на 32030 не затронут (там нет TLS). Полный разбор + изоляционная матрица +
+fix — [`reality-pq-mldsa65-dest-incompatibility`](../concepts/reality-pq-mldsa65-dest-incompatibility.md).
+
+**Fix (НЕ применён, ждёт команды user):** сменить dest/`target` + `serverNames` инбаунда и SNI клиентского
+профиля `www.intel.com` → `www.microsoft.com` (PQ-совместим, проверен 2026-06-05). ML-DSA-65 сохраняется.
+
+## Заметки по диагностике (read-only методология)
+
+- Дамп инбаундов: `python3` + `sqlite3 file:/etc/x-ui/x-ui.db?mode=ro` (read-only, sqlite3-CLI на сервере нет).
+- Изолированный тест клиента/сервера: поднять временный `xray run -c <tmp>` на отдельном localhost-порту
+  (socks 10888/10999) + `curl -x socks5h://…` — воспроизводит хендшейк, не трогая активный инбаунд.
+- Часы сервера синхронны (Reality time-skew исключён). publicKey выводится из privateKey через
+  `xray x25519 -i <priv>`; verify — из seed через `xray mldsa65 -i <seed>`.