vitya
fc245c23c7
Per user "и то и другое": - Reality 443 dest www.intel.com -> www.microsoft.com (x-ui.db + restart), verified end-to-end tunnel through real :443 (SNI microsoft) -> HTTP 204. ML-DSA-65 kept. Plain VLESS 32030 unaffected (xray restarted, listening). - Rotated leaked creds: root SSH password, panel username+password (bcrypt), panel JWT secret (kills install API token + sessions). New creds in pass nl-vds-3xui/full-env; old SSH pass now rejected; db backed up on server. - Remaining client-side: user sets v2rayN profile pqmkayaxo2 SNI -> microsoft. Task fix-nl-vds-reality-pq-dest -> 🟡 (awaiting client-side + confirm). Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
35 lines
3.2 KiB
Markdown
35 lines
3.2 KiB
Markdown
# fix-nl-vds-reality-pq-dest
|
||
|
||
**Status:** 🟡 server-side done 2026-06-05 — awaiting client-side SNI change + user confirm
|
||
**Created:** 2026-06-05
|
||
|
||
## Проблема
|
||
Reality-инбаунд на 443 (NL VDS `213.176.64.253`, 3x-UI) не коннектится. Root cause доказан:
|
||
ML-DSA-65 (post-quantum REALITY) × dest/SNI `www.intel.com` (Akamai, не поддерживает PQ key-exchange
|
||
`X25519MLKEM768` → HelloRetryRequest → borrowed-TLS handshake REALITY не достраивается). Plain VLESS
|
||
на 32030 работает (там `security: none`). Полный разбор + изоляционная матрица:
|
||
`.wiki/concepts/reality-pq-mldsa65-dest-incompatibility.md`; узел: `.wiki/entities/nl-vds-3xui.md`.
|
||
|
||
## Fix (рекомендация — НЕ применён, ждёт команды)
|
||
Сменить `www.intel.com` → `www.microsoft.com` (PQ-совместим, проверен 2026-06-05), симметрично:
|
||
1. **Сервер, инбаунд 443:** `realitySettings.target` → `www.microsoft.com:443`, `serverNames` → `["www.microsoft.com"]`.
|
||
2. **Клиент v2rayN, профиль `pqmkayaxo2`:** SNI → `www.microsoft.com`.
|
||
|
||
Менять через панель 3x-UI (Inbounds → edit) ИЛИ правкой `x-ui.db` + reload xray. Активное соединение
|
||
на 32030 это не заденет. Альтернатива (проще, но теряем PQ): выключить ML-DSA-65 на инбаунде, оставить intel.
|
||
|
||
## Acceptance
|
||
- v2rayN профиль `pqmkayaxo2` (Reality 443) подключается, трафик идёт.
|
||
- Plain VLESS 32030 продолжает работать.
|
||
|
||
## Done 2026-06-05 (server-side, по команде user "и то и другое")
|
||
- ✅ Reality dest `www.intel.com:443`→`www.microsoft.com:443` + serverNames→`["www.microsoft.com"]` (правка `x-ui.db` id=1 + `x-ui restart`). Проверено сквозным тоннелем (temp-клиент → реальный `:443`, SNI microsoft, uuid 5da48418+vision+mldsa65Verify) → **HTTP 204**. 32030 жив.
|
||
- ✅ Креды ротированы (оригиналы были в плейнтексте): root SSH pass (новый работает, старый Access denied), panel username+password (CLI `x-ui setting`, bcrypt в БД), panel `secret` JWT (убил install API token/сессии). Всё в `pass nl-vds-3xui/full-env`. БД-бэкап `/root/x-ui.db.bak.20260605_083658`.
|
||
|
||
## ⏳ Остаётся (client-side, делает user)
|
||
В v2rayN профиль `pqmkayaxo2`: **SNI** `www.intel.com` → `www.microsoft.com`, save, переподключиться → должно подняться. (Не правил guiNDB.db: v2rayN держит активное соединение.) После подтверждения — закрыть таску 🟢.
|
||
|
||
## Where I stopped
|
||
Server-side fix + ротация применены и проверены. Жду от user: смену SNI в v2rayN + подтверждение, что профиль Reality поднялся.
|
||
<!-- created-by: vitya@.admin-exec / 2026-06-05 / trigger: user-задача "не получается vless+Reality" -->
|