VLESS Reality на сервере: частые ошибки и решения

MAATRIX

VLESS Reality настроен, но клиент не подключается, интернета под ним нет, а иногда соединение работает день и отваливается. Reality — протокол требовательный к деталям: одна опечатка в ключе, неверный SNI или сбитое время ломают всё. Хорошая новость — почти все проблемы Reality укладываются в десяток типовых причин с чёткой диагностикой. Разберём частые ошибки VLESS Reality на сервере по порядку, от подключения до маскировки.

Клиент не подключается: с чего начать

Первое при любой проблеме — посмотреть, что происходит на сервере. Проверьте, запущен ли Xray и слушает ли он порт:

systemctl status xray
ss -tlnp | grep 443

Если служба не запущена, смотрите, почему она падает — чаще всего дело в ошибке конфига:

journalctl -u xray -n 50

Xray при старте проверяет config.json и в случае синтаксической ошибки (лишняя запятая, незакрытая скобка) не поднимается. Проверьте конфиг на валидность:

xray run -test -config /usr/local/etc/xray/config.json

Команда покажет точное место ошибки. Если конфиг валиден и служба слушает 443, а клиент всё равно не подключается — проблема в firewall или в параметрах клиента. Убедитесь, что порт открыт: ufw allow 443/tcp. Дальше разберём частые ошибки на стороне соответствия сервера и клиента.

Неверный ключ, UUID или shortId

Reality работает на паре ключей и наборе идентификаторов, и они должны совпадать на сервере и клиенте с точностью до символа. Самая частая ошибка новичков — рассинхрон этих значений.

Проверьте соответствие по пунктам:

• UUID. В config.json в блоке clients и в ссылке клиента (vless://UUID@...) должен быть один и тот же UUID.
• Ключи. В конфиге сервера — приватный ключ (privateKey), у клиента — публичный (pbk) из той же пары. Перепутать приватный с публичным — типичная ошибка.
• shortId. Значение sid у клиента должно быть в списке shortIds сервера (или клиент использует пустой, если сервер его допускает).

Если вы потеряли, какой публичный ключ соответствует приватному, сгенерировать пару заново и переписать обе стороны — быстрее, чем гадать. Одна несовпадающая буква в ключе даёт молчаливый отказ без внятной ошибки на клиенте, поэтому сверяйте значения посимвольно, а лучше копируйте, а не набирайте руками.

Рассинхрон времени ломает Reality

Reality чувствителен к точности часов: хендшейк завязан на временные метки, и если время сервера или клиента расходится с реальным больше чем на пару минут, соединение не устанавливается. Это одна из самых коварных причин — конфиг верный, ключи совпадают, а подключения нет.

Проверьте и синхронизируйте время на сервере:

timedatectl set-ntp true
timedatectl status

В выводе System clock synchronized: yes подтверждает, что NTP работает. На клиенте тоже включите автоматическую установку времени в настройках устройства. Если Reality внезапно перестал работать «сам по себе» после того как долго функционировал, рассинхрон времени — первый подозреваемый, особенно на VPS, где часы иногда уплывают. Включённый NTP закрывает эту проблему навсегда.

Соединение есть, а интернета нет

Клиент подключился, но сайты не открываются. Это уже не проблема Reality как такового, а маршрутизации трафика на сервере. Reality установил канал, но сервер не выпускает трафик в интернет.

Проверьте блок outbounds в конфиге — для прямого выхода там должен быть протокол freedom:

"outbounds": [{ "protocol": "freedom" }]

Если outbound настроен, проверьте, что сам сервер имеет доступ в интернет и его IP не заблокирован на стороне целевых сервисов. Ещё одна причина — блокировка исходящего трафика firewall'ом сервера: убедитесь, что ufw не режет исходящие соединения. И проверьте DNS: если на клиенте не указан рабочий резолвер, имена не разрешаются, хотя канал работает. Пропишите в клиенте надёжный DNS (например, 1.1.1.1). Симптом «подключено, но ничего не грузится» почти всегда означает именно проблему выхода или DNS, а не самого Reality.

Хендшейк палится или соединение режут

Reality создан, чтобы быть неотличимым от визита на чужой сайт, но неудачный выбор маскировочного домена или настроек сводит маскировку на нет. Если соединение устанавливается, но канал быстро режут, дело обычно в dest и serverNames.

Правила выбора маскировочного домена:

• Крупный и живой сайт с TLS 1.3. Прятаться под мелкий или редкий домен — плохая идея, такой трафик выделяется. Берите microsoft.com, apple.com и подобные.
• Домен не должен быть заблокирован в вашем регионе, иначе вы маскируетесь под уже недоступный ресурс, и это выглядит подозрительно.
• Согласованность. dest, serverNames на сервере и sni на клиенте должны указывать на один домен.

Ещё проверьте параметр fp (fingerprint) на клиенте — он должен имитировать реальный браузер, например fp=chrome. Без него отпечаток TLS выдаёт нестандартного клиента. Порт держите 443: нестандартный порт сам по себе привлекает внимание фильтров, каким бы хорошим ни был Reality.

Проверить, что маскировка работает, можно прямо с сервера или из браузера: откройте https://IP_СЕРВЕРА напрямую. Вы должны увидеть контент маскировочного сайта или обычную ошибку сертификата, но никак не признаки прокси. Если же по этому адресу отдаётся что-то нехарактерное для выбранного домена, значит, dest настроен неверно, и наблюдатель заметит несоответствие. Смысл Reality именно в том, чтобы порт 443 выглядел как рядовой веб-сервер популярного сайта, и любое отклонение от этой картины — потенциальная зацепка для системы обнаружения.

Нестабильность и обрывы

Канал работает, но периодически рвётся или проседает скорость. Первая проверка — ресурсы сервера: при десятках клиентов на слабом VPS процессор упирается в шифрование. Посмотрите нагрузку:

top

Если CPU постоянно под сотню — сервер маловат для числа клиентов, нужен тариф помощнее. Вторая причина обрывов — устаревшая версия Xray: протокол активно развивается, и старые сборки хуже переживают методы блокировки. Обновите Xray до свежей версии тем же способом, что ставили. Третья — нестабильный маршрут до сервера; иногда помогает смена локации VPS на ту, откуда связность лучше.

Если проблема в том, что сервер не тянет нагрузку или его IP плохого качества, честное решение — взять VPS получше с чистым выделенным адресом. MAATRIX даёт сервер в США или UK с чистым IP и оплатой картой РФ, СБП или криптой, без иностранной карты, — Reality на нём работает стабильно, а поднимается сервер за пару минут.

Частые вопросы