Files

vitya 4fc7cbf688 wiki(nl-vds-3xui): new NL 3x-UI node + Reality PQ×dest root-cause

Reality 443 inbound silently fails: ML-DSA-65 (post-quantum) ClientHello
key-share X25519MLKEM768 relayed to dest www.intel.com (Akamai) -> HRR ->
borrowed-TLS handshake never completes. Plain VLESS 32030 unaffected.
Isolated via replica xray pair (matrix: intel+PQ is the only failing cell).
Fix (NOT applied, awaiting user): switch dest/SNI -> www.microsoft.com
(PQ-capable, verified) on both inbound and client profile.

- new entities/nl-vds-3xui.md
- new concepts/reality-pq-mldsa65-dest-incompatibility.md
- index.md + log.md updated
- creds saved to pass nl-vds-3xui/full-env (not in repo)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

2026-06-05 11:26:16 +03:00

4.5 KiB

Raw Blame History

title, type, tags, sources, updated

title

type

NL VDS — 3x-UI

Арендованный облачный VDS в Нидерландах, активирован 2026-06-05. Назначение — личный VLESS/Reality прокси-узел под управлением 3x-UI (x-ui panel). Через него ведётся рабочее соединение.

Hardware / tariff

Локация: Нидерланды
Public IP: 213.176.64.253
vCPU: 1
RAM: 2 GiB
Disk: 30 GiB NVMe
OS: Ubuntu 24.04
PTR: square-white.ptr.network

Доступ

SSH: root@213.176.64.253 (password auth включён). Host-key (ed25519): SHA256:XR2+0PCVUoEMrFHOoIu7IPXb4xP2JnYkqFr1uqs8YrA.
- С Windows non-interactive: plink -ssh -batch -hostkey "SHA256:XR2+0PCVUoEMrFHOoIu7IPXb4xP2JnYkqFr1uqs8YrA" -pw <pass> root@213.176.64.253 "<cmd>". PowerShell-пайп y в plink для приёма host-key не работает (plink читает промпт с консоли, не stdin) — передавать -hostkey явно.
Панель 3x-UI: https://213.176.64.253:49251/aTKt95PPgt9y2dUHi8 (port 49251, webBasePath aTKt95PPgt9y2dUHi8, sub-port 2096).
Креды: pass show nl-vds-3xui/full-env (root SSH pass, panel user/pass, API token, все UUID/ключи/seed Reality-инбаунда).

Software stack

Слой	Компонент	Версия
OS	Ubuntu	24.04
Panel	3x-UI (x-ui)	3.2.7
Core	Xray	26.6.1
DB	SQLite	`/etc/x-ui/x-ui.db`
Firewall	ufw	inactive (iptables policy ACCEPT)

x-ui — нативный systemd-сервис (не docker). Сгенерированный конфиг ядра: /usr/local/x-ui/bin/config.json, бинарь xray: /usr/local/x-ui/bin/xray-linux-amd64.

Inbounds

Tag	Порт	Протокол	Security	Статус
`in-32030-tcp`	32030	VLESS / tcp	none	🟢 работает (рабочее соединение)
`in-443-tcp`	443	VLESS / tcp	Reality + ML-DSA-65 (PQ), flow `xtls-rprx-vision`	🔴 не коннектится

32030 (plain VLESS): uuid a6fa7965-… (email sx9l9csam3). Без TLS — поэтому работает даже когда Reality лежит.
443 (Reality, PQ): два клиента — 5da48418-…/pqmkayaxo2 (flow vision, его использует v2rayN) и 7941887a-…/0h5rzrsex3. publicKey zWTp-3dPfB78…, shortId (клиент) 795fc9, mldsa65Seed E9zFSoOd…. dest/SNI www.intel.com.

⚠️ Открытый дефект: Reality 443 не работает

Reality-инбаунд на 443 включает пост-квантовый ML-DSA-65 с dest/SNI www.intel.com. Эта комбинация несовместима: Akamai-фронтящий www.intel.com не поддерживает PQ-обмен ключами (X25519MLKEM768) и шлёт HelloRetryRequest → borrowed-TLS рукопожатие REALITY не достраивается → REALITY: handshake did not complete. Plain VLESS на 32030 не затронут (там нет TLS). Полный разбор + изоляционная матрица + fix — reality-pq-mldsa65-dest-incompatibility.

Fix (НЕ применён, ждёт команды user): сменить dest/target + serverNames инбаунда и SNI клиентского профиля www.intel.com → www.microsoft.com (PQ-совместим, проверен 2026-06-05). ML-DSA-65 сохраняется.

Заметки по диагностике (read-only методология)

Дамп инбаундов: python3 + sqlite3 file:/etc/x-ui/x-ui.db?mode=ro (read-only, sqlite3-CLI на сервере нет).
Изолированный тест клиента/сервера: поднять временный xray run -c <tmp> на отдельном localhost-порту (socks 10888/10999) + curl -x socks5h://… — воспроизводит хендшейк, не трогая активный инбаунд.
Часы сервера синхронны (Reality time-skew исключён). publicKey выводится из privateKey через xray x25519 -i <priv>; verify — из seed через xray mldsa65 -i <seed>.

4.5 KiB Raw Blame History Unescape Escape