Перейти к содержимому
0 Голосов

Исходный код вики 1. 3x-ui MASSIVE script

Версия 4.2 от Anton Krivchenkov на 30.05.2026 23:05
Скрыть последних авторов
Anton Krivchenkov 1.1 1 # Запуск скрипта
2
Anton Krivchenkov 4.1 3 curl -fsSL 'https://xwiki.dev0ps.online/xwiki/bin/download/DevOps/Proxy/3x-ui/1.%203x-ui%20MASSIVE%20script/WebHome/3x_massive_script.sh?rev=1.1' | sudo bash
Anton Krivchenkov 1.1 4
Anton Krivchenkov 4.2 5 ### Как правильно обрабатывать UDP 443 (Hysteria2 / QUIC)
6
7 Поскольку в твоем конфиге Nginx слушает listen 443; (по умолчанию это подразумевает только TCP), порт **UDP 443 остается свободным** на уровне операционной системы хоста.
8
9 Лучший и самый производительный паттерн:
10
11 * **TCP 443:** Оставь за Nginx (твой текущий конфиг). Он будет разбирать SNI и раскидывать трафик по бэкендам.
12 * **UDP 443:** Настрой твой VPN-бэкенд (например, 3x-ui для Hysteria2) так, чтобы он напрямую слушал 0.0.0.0:443 по протоколу UDP. Они с Nginx не подерутся за порты, так как протоколы разные.
13
14 -
15
16 ### Если всё-таки очень нужно проксировать UDP через Nginx
17
18 Если твой бэкенд находится на другой машине (например, на 192.168.1.121) и у нее вообще нет внешнего IP для прямого прослушивания UDP, тебе придется создать **отдельный** блок server.
19
20 Но помни: маршрутизировать UDP по доменам (SNI) в Nginx нельзя. Весь UDP-трафик с порта 443 придется отправлять строго на один конкретный IP:
21
22 # Отдельный блок для 'глупого' проброса всего UDP 443
23 server {
24 listen 443 udp;
25 listen [::]:443 udp;
26
27 # ssl_preread здесь не работает.
28 # Весь UDP трафик летит на указанный бэкенд.
29 proxy_pass 192.168.1.121:443;
30 }
31
Anton Krivchenkov 1.1 32 # ПРО Скрипт
33
34 Скрипт представляет собой ультимативное решение для автоматизированного развертывания комбайна по обходу систем глубокой инспекции пакетов (DPI/ТСПУ). Основой служит панель **3x-ui** (ядро Xray), спрятанная за мультиплексором **Nginx** и защищенная эшелонированной системой безопасности. Дополнительно интегрированы **NaiveProxy** для маскировки под обычный браузерный трафик и **B4 DPI Bypass** для фрагментации пакетов.
35
36 #### ⚙️ Используемые компоненты
37
38 | ------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ |
39 | **Компонент** | **Роль в системе** |
40 | **Nginx (Stream + HTTP)** | Фронтенд-маршрутизатор. Сортирует трафик на 443 порту по SNI, защищает от активных сканеров (Graylist) и проксирует запросы на нужные локальные порты. |
41 | **3x-ui (Xray)** | Ядро маршрутизации и VPN. Обрабатывает VLESS (XHTTP, gRPC, WS, HTTPUpgrade), Reality, Hysteria2 и mKCP. |
42 | **NaiveProxy (Caddy)** | Отдельная точка входа на порту 2053. Использует Chromium-стек для идеальной маскировки под HTTPS-трафик. |
43 | **Nextcloud** | Сайт-камуфляж. Принимает на себя весь нелегитимный трафик (боты, сканеры, ошибочные запросы), делая сервер похожим на обычное облачное хранилище. |
44 | **B4 DPI Bypass** | Инструмент фрагментации пакетов и обхода ТСПУ на уровне сетевого стека (netfilter/iptables). |
45 | **Fail2ban & UFW** | Защита от брутфорса и строгий файрвол. Доступ к админ-панели и SSH ограничен по IP-адресам. |
46 | **TrafficGuard** | Блокировка известных IP-адресов сканеров и ботнетов на уровне ядра. |
47
Anton Krivchenkov 2.1 48 *
Anton Krivchenkov 1.1 49
50 #### 🗺️ Карта сети и портов
51
52 Архитектура строго разделяет публичные (смотрящие в интернет) и локальные (изолированные) порты.
53
54 **🌐 Публичные порты (0.0.0.0 / Открыты в UFW):**
55
56 * **TCP 443:** Главная точка входа (Nginx Stream).
57 * **UDP 443:** Транспорт Hysteria2 (Слушает 3x-ui).
58 * **TCP 2053:** Точка входа NaiveProxy (Слушает Caddy).
59 * **TCP 7443:** Админ-панель B4 DPI Bypass (Nginx Auth).
60 * **UDP 33005:** Транспорт mKCP (Слушает 3x-ui).
61 * **TCP {NODE_PORT}:** Прямой доступ к панели 3x-ui (открыт _только_ для IP-адреса балансировщика/админа).
Anton Krivchenkov 2.1 62 *
Anton Krivchenkov 1.1 63
64 **🔒 Внутренние порты (127.0.0.1 / Закрыты снаружи):**
65
66 * **TCP 4443:** Внутренний HTTP-блок Nginx (обработка WebSocket, gRPC, XHTTP).
67 * **TCP 8443:** Транспорт VLESS Reality в 3x-ui (проброс по SNI из Nginx Stream).
68 * **TCP 8080:** Сайт-камуфляж Nextcloud.
69 * **TCP 7000:** Процессор B4 DPI.
70 * **TCP 10809:** HTTP Inbound в 3x-ui для распакованного трафика от NaiveProxy.
71 * **TCP 33000-33004:** Локальные порты транспортов Xray (VLESS TCP, XHTTP, gRPC, WS, HTTPUpgrade).
Anton Krivchenkov 2.1 72 *
Anton Krivchenkov 1.1 73
74 #### 🔄 Логика маршрутизации трафика (Flow)
75
76 1. **Входящий запрос на TCP 443** попадает в блок Nginx stream.
77 1. Nginx проверяет IP клиента по graylist. Если клиент подозрительный — трафик принудительно отправляется на внутренний порт 4443 (и в итоге на сайт-камуфляж).
Anton Krivchenkov 2.1 78 1. Nginx читает SNI (Server Name Indication) из TLS ClientHello: * Если SNI совпадает с REALITY_SNI $\rightarrow$ трафик летит в 3x-ui на порт 8443 (Reality Inbound). * В противном случае $\rightarrow$ трафик отправляется во внутренний HTTP-блок на порт 4443.
79 1. Во внутреннем HTTP-блоке (listen 4443) происходит разбор HTTP-запроса: * Если путь совпадает с секретным URL админки (/${PANEL_SECRET_PATH}/) $\rightarrow$ проксируется в панель 3x-ui. * Если путь совпадает с настроенными путями (XHTTP, gRPC, WS, Upgrade) $\rightarrow$ проксируется на соответствующий локальный порт 3300X. * Если это сканер, бот (bad agent) или левый путь $\rightarrow$ возвращается код 418 и трафик заворачивается на Nextcloud (порт 8080).
Anton Krivchenkov 1.1 80
Anton Krivchenkov 4.1 81 *
Anton Krivchenkov 2.1 82 *
Anton Krivchenkov 1.1 83
84 #### 🛡️ Особые механизмы защиты
85
86 * **Fallback-сертификаты:** При отсутствии реальных SSL-сертификатов скрипт автоматически генерирует самоподписанные заглушки на 1 год, чтобы Nginx успешно запустился без fatal-ошибок.
87 * **DPI-Detector:** Скрипт (через awk) парсит suspicious.log Nginx'а в реальном времени. Если один IP-адрес ошибается 3 раза (обращается к камуфляжу или стучится не по тем путям), он автоматически заносится в graylist.conf, и Nginx перезагружается.
88 * **Маскировка Naive:** В конфигурацию Caddy добавлена директива probe_resistance secret.localhost, которая защищает порт 2053 от активного прощупывания сканерами.