tasks(fix-nl-vds-reality-pq-dest): open ⚪ — Reality 443 PQ×dest diagnosed, fix awaits user

Read-only diagnosis complete, server untouched. Root cause: ML-DSA-65 (PQ)
incompatible with dest www.intel.com (Akamai). Fix (intel->microsoft) staged
on board, not applied. Plain VLESS 32030 works.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.tasks/STATUS.md

@@ -1,4 +1,5 @@
 # Admin Task Board
+_Updated: 2026-06-05 — заведена ⚪ `fix-nl-vds-reality-pq-dest`. Новый NL VDS (213.176.64.253, 3x-UI/Xray 26.6.1): диагностирован (read-only, сервер не тронут) отказ Reality-инбаунда 443 — **ML-DSA-65 (PQ) × dest `www.intel.com` (Akamai шлёт HRR)**; plain VLESS 32030 работает. Fix (intel→microsoft симметрично server+client) НЕ применён, ждёт команды user. Узел+root-cause в вики (`nl-vds-3xui`, `reality-pq-mldsa65-dest-incompatibility`, commit `4fc7cbf6`); креды в `pass nl-vds-3xui/full-env`._
 _Updated: 2026-05-31 — 🟢 `vehicles-loader-progress-deploy` **closed**: live-verify прогона Sun 31.05 06:21→07:53 MSK прошёл — progress-logging показывает движение по всем фазам (▶/батчи/✓/delete-sweep), НЕ тишина; exit 0; `importRun id=4 ok`, `reportJson errors:[]`. **Попутно найден+починен email-баг:** `STOSTAYER_MAIL_TO=site@stostayer.ru` (слалось само себе) → `vitya.kuznetsov@gmail.com` в host env (бэкап `.bak.20260531`); доставка на gmail подтверждена тест-письмом (`250 queued`). Follow-up'ы (не блокеры): units-фаза 1h31m на 100k rows = узкое место; generation `unmatched:51`; репо `config/default.json` дефолт `to` всё ещё site@ (прод перекрыт env)._
 _Updated: 2026-05-30 — 🟡 `vehicles-loader-progress-deploy`: деплой 0.4.0 ВЫПОЛНЕН (build здесь → push `docker.stostayer.ru` → host pull + re-tag `:latest`=0.4.0, 0.3.0 retained). Acceptance #1 ✅. Verify-окно = natural (user-выбор, не форсим baseline → клиент без внепланового email). timer next trigger Sun 2026-05-31 06:21 MSK → live-verify journalctl в след. сессию. Open Q #1 (push кода) снят: `a74ef73` уже в origin/master._
 _Updated: 2026-05-30 — заведена ⚪ `vehicles-loader-progress-deploy` (handoff из stostayer.new). Progress-logging 0.4.0 зашипан в коде (stostayer.new `a74ef73`, 24/24 теста); ops-follow-up — rebuild образа той же схемой (build здесь → push `docker.stostayer.ru` → host pull+re-tag) и снять `journalctl` с боевого прогона (закрывает не-верифицированный 5-й критерий «journalctl показывает движение»). Попутно добивает остаток email-SEND из `vehicles-loader-image-distribution`._
@@ -25,6 +26,15 @@ _Updated: 2026-05-26 — заведена `bookva-tenant-cutover-prep` ⚪ (7-st
 
 _Updated: 2026-05-25 (`iis-migration-to-ruvds` 🟢 closed Phase 1 per user decision — 9/24 hostnames live на RUVDS, source IIS оставлен running. `migrate-elasticsearch-to-books-vds` 🟢 closed ранее сегодня. 16 IIS hostnames + LE renewal pipeline + decommission — descoped в Closure note, не отдельные tracker tasks.)_
 
+## ⚪ [fix-nl-vds-reality-pq-dest] — Reality-инбаунд 443 на NL VDS (213.176.64.253) не коннектится
+**Status:** ready (awaiting user «чини»)
+**Where I stopped:** диагностика завершена read-only, сервер не тронут. Root cause: ML-DSA-65 (PQ) × dest `www.intel.com` (Akamai не умеет PQ key-exchange → HRR → REALITY handshake fail). Plain VLESS 32030 работает. Доказано изоляционной матрицей на replica-паре.
+**Next action:** по команде user — сменить dest/SNI `www.intel.com`→`www.microsoft.com` симметрично (инбаунд 443: target+serverNames; v2rayN профиль pqmkayaxo2: SNI). См. [fix-nl-vds-reality-pq-dest.md](fix-nl-vds-reality-pq-dest.md) + `.wiki/concepts/reality-pq-mldsa65-dest-incompatibility.md`.
+**Branch:** n/a (admin ops)
+<!-- created-by: vitya@.admin-exec / 2026-06-05 / trigger: user-задача "не получается vless+Reality" -->
+
+---
+
 ## 🟢 [vehicles-loader-progress-deploy] — closed 2026-05-31 — 0.4.0 задеплоен + live-verify прошёл. Прогон Sun 31.05 06:21:48→07:53:14 MSK на changed-выгрузке: журнал показал движение по всем фазам (▶ branches/vehicles/units/delete-sweep, батч-прогресс `manufacturers 18/183…`, `units 3/26…`, `✓ done: N rows`, per-model delete-sweep), НЕ тишина. exit 0, `importRun id=4 ok`, `reportJson errors:[]`. **Email-баг найден+починен:** `STOSTAYER_MAIL_TO` слался сам себе (`site@stostayer.ru`) → исправлен на `vitya.kuznetsov@gmail.com` в host env (бэкап `.bak.20260531`), доставка на gmail подтверждена тест-письмом. Все 4 acceptance ✅. См. [vehicles-loader-progress-deploy.md](vehicles-loader-progress-deploy.md).
 **Follow-ups (не блокеры, в stostayer.new):** (1) units-фаза 1h31m на 100529 rows — узкое место, батч-инсёрт/индексы; (2) generation `unmatched:51` — проверить не теряем ли данные; (3) `config/default.json` дефолт `to: site@stostayer.ru` выровнять (прод перекрыт env).
 **Branch:** n/a

.tasks/fix-nl-vds-reality-pq-dest.md

@@ -0,0 +1,27 @@
+# fix-nl-vds-reality-pq-dest
+
+**Status:** ready (awaiting user "чини")
+**Created:** 2026-06-05
+
+## Проблема
+Reality-инбаунд на 443 (NL VDS `213.176.64.253`, 3x-UI) не коннектится. Root cause доказан:
+ML-DSA-65 (post-quantum REALITY) × dest/SNI `www.intel.com` (Akamai, не поддерживает PQ key-exchange
+`X25519MLKEM768` → HelloRetryRequest → borrowed-TLS handshake REALITY не достраивается). Plain VLESS
+на 32030 работает (там `security: none`). Полный разбор + изоляционная матрица:
+`.wiki/concepts/reality-pq-mldsa65-dest-incompatibility.md`; узел: `.wiki/entities/nl-vds-3xui.md`.
+
+## Fix (рекомендация — НЕ применён, ждёт команды)
+Сменить `www.intel.com` → `www.microsoft.com` (PQ-совместим, проверен 2026-06-05), симметрично:
+1. **Сервер, инбаунд 443:** `realitySettings.target` → `www.microsoft.com:443`, `serverNames` → `["www.microsoft.com"]`.
+2. **Клиент v2rayN, профиль `pqmkayaxo2`:** SNI → `www.microsoft.com`.
+
+Менять через панель 3x-UI (Inbounds → edit) ИЛИ правкой `x-ui.db` + reload xray. Активное соединение
+на 32030 это не заденет. Альтернатива (проще, но теряем PQ): выключить ML-DSA-65 на инбаунде, оставить intel.
+
+## Acceptance
+- v2rayN профиль `pqmkayaxo2` (Reality 443) подключается, трафик идёт.
+- Plain VLESS 32030 продолжает работать.
+
+## Where I stopped
+Диагностика завершена (read-only, сервер не тронут). Жду команды user на применение fix.
+<!-- created-by: vitya@.admin-exec / 2026-06-05 / trigger: user-задача "не получается vless+Reality" -->