Хостер запретил Reality: что делать
На OBLAKO Reality разрешён
Эта статья про других хостеров. У нас держать личный VPN на VLESS Reality можно: достаточно, чтобы в SNI был ваш собственный домен, как в нашей инструкции по self-steal, и чтобы сервером пользовались вы и ваши близкие. Подробности в правилах.
Некоторые хостинги рассылают клиентам письма примерно такого содержания: при плановой проверке выяснилось, что TLS-порты сервера отдают сертификаты сторонних доменов, а маскировка под чужие сайты запрещена. Дальше обычно дают срок на исправление, после которого сервер останавливают.
Разберёмся, почему так происходит и как настроить личный VPN, чтобы таких вопросов не возникало. На OBLAKO Reality разрешён: если сервер служит вам и близким и настроен по нашим инструкциям, он полностью соответствует правилам.
Почему хостер это видит
Классический VLESS Reality настраивают так, что на 443 порту сервер выдаёт себя за популярный сайт, например www.microsoft.com. Если подключиться к такому серверу без ключа, он перешлёт соединение на настоящий сайт, и в ответ придёт его настоящий сертификат.
Хостинги регулярно сканируют свои сети: ищут открытые прокси, фишинговые страницы, взломанные серверы. Для сканера сервер, который на адресе хостинга показывает сертификат Microsoft или Apple, выглядит как подделка известного бренда. Именно так это и описывается в письмах. Хостеру неважно, что внутри личный VPN: он видит внешний признак, который похож на фишинг, и реагирует по своим правилам.
Есть и второй довод против чужого домена. Тот же признак замечают не только хостинги, но и системы блокировок: несовпадение адреса сервера с сайтом, который он изображает, выдаёт Reality. Подробно это разобрано в статье Блокировки VLESS Reality и переход на self-steal.
Что делать: два варианта
1. Перевести Reality на свой домен
Это решение, которое снимает вопрос и у хостинга, и у блокировок. В схеме self-steal Reality изображает ваш собственный сайт на вашем собственном домене. На порту 443 сервер отдаёт действующий сертификат вашего домена, а домен указывает на этот же сервер. Никакого чужого бренда, никакого несовпадения.
Что для этого нужно:
- Купить домен. Подойдёт недорогое нейтральное имя, советы по выбору в статье Домен для self-steal.
- Поднять на сервере простой сайт и получить сертификат Let's Encrypt.
- Поменять в конфиге Xray два значения: куда пересылать посторонние подключения (
target) и какое имя ожидать (serverNames).
UUID, ключи и shortIds при этом остаются прежними. Пошагово, в том числе для 3x-ui, Marzban и Remnawave, это описано в разделе Если Xray уже установлен.
После перехода ответьте хостеру: напишите, что сервер теперь отдаёт сертификат вашего домена, и приложите адрес сайта. Обычно этого достаточно.
2. Сменить протокол
Если домен заводить не хочется, можно уйти от TLS-маскировки совсем, например на AmneziaWG. Такой сервер вообще не отвечает на 443 порту как сайт, и проверка про сторонние сертификаты к нему не относится. Минус в том, что UDP-протоколы у части мобильных операторов работают нестабильно. Установка без командной строки описана в статье AmneziaVPN на своём сервере.
Что разрешают правила OBLAKO
В правилах допустимого использования OBLAKO есть отдельный раздел про VPN и прокси. Коротко:
- Пункт 3.1. VPN- и прокси-серверы разрешено размещать для личного пользования: для себя и своего домашнего круга.
- Пункт 3.2. Запрещено массовое и коммерческое использование: перепродажа доступа, публичные, общие или бесплатные сервисы для всех, доступ для неопределённого круга людей, включение сервера в чужие прокси-сети и пулы.
- Пункт 3.3. Если сервер похож на коммерческий VPN (много одновременных подключений из разных мест, объём трафика не по личным меркам), скорость могут ограничить до 1 Мбит/с.
Reality на OBLAKO разрешён, но с одним условием: в SNI должен стоять ваш собственный домен. Система OBLAKO регулярно проверяет серверы и автоматически выключает те, что отдают сертификат популярного чужого сайта, потому что РКН блокирует такие IP-адреса целиком. Поэтому мы рекомендуем self-steal: сервер показывает ваш собственный домен, это надёжнее против блокировок и не вызывает вопросов ни у одного хостинга. Если сомневаетесь в своём сценарии, спросите поддержку до заказа.
Как перенести VPN на сервер OBLAKO
Переезд занимает около получаса. Главное не удалять старый сервер, пока новый не заработает.
Шаг 1. Сохраните настройки со старого сервера
Для Xray, поставленного официальным скриптом, достаточно конфига. Скопируйте его к себе на компьютер:
scp root@СТАРЫЙ_IP:/usr/local/etc/xray/config.json ./xray-config.jsonЕсли Xray стоит в панели, сохраните её базу. У 3x-ui это файл /etc/x-ui/x-ui.db. У Marzban данные лежат в /var/lib/marzban, а настройки панели в /opt/marzban/.env. В Remnawave переносить панель не нужно: новый сервер подключается к ней как ещё одна нода.
Шаг 2. Подготовьте новый сервер
Закажите VPS, подключитесь по SSH и пройдите базовую защиту сервера. Установите Xray тем же способом, что и раньше.
Шаг 3. Перенесите конфиг
scp ./xray-config.json root@НОВЫЙ_IP:/usr/local/etc/xray/config.json
ssh root@НОВЫЙ_IP "xray run -test -c /usr/local/etc/xray/config.json && systemctl restart xray"Ключи Reality и UUID переезжают вместе с конфигом, поэтому новые ключи клиентам не понадобятся.
Шаг 4. Переключите домен
Если вы используете self-steal, поменяйте A-запись домена на новый IP, поднимите на новом сервере сайт и выпустите сертификат, как в первых шагах инструкции по self-steal. Клиенты подключаются по имени домена, поэтому после обновления DNS они сами окажутся на новом сервере, менять ссылки не придётся.
Если ссылки содержат IP-адрес, замените его на новый в каждом клиенте. Заодно это хороший повод перейти на домен: в следующий раз переезд пройдёт незаметно для всех устройств.
Шаг 5. Проверьте и удалите старый сервер
Подключитесь с телефона и компьютера, откройте сервис определения IP и убедитесь, что виден новый адрес. После этого старый сервер можно удалить. В OBLAKO это делается из панели, см. Как удалить VPS.
Кратко
- Письмо про сторонние сертификаты означает, что ваш Reality изображает чужой сайт.
- Самое надёжное решение: self-steal на своём домене. Он устраивает хостинги и хуже детектируется.
- Правила OBLAKO разрешают личный VPN и прокси для себя и домашнего круга, запрещают публичные и коммерческие сервисы.
- При переезде сохраняйте конфиг целиком: ключи и UUID остаются, клиенты по домену переключатся сами.