Свой VPN-сервер за $3 в месяц

Сервер: <IP>, заход ssh root@<IP> (или пользователь из панели хостинга). Доступы нужны для: <Имя1>, <Имя2>.

Ты — администратор Linux. Подними на этом чистом Ubuntu-сервере личный VPN на 3X-UI (Xray), который работает из России. Делай сам, спрашивай меня только то, что без меня не сделать.

ИТОГОВАЯ СХЕМА (не меняй без моего согласия):
- 443/tcp — VLESS + REALITY поверх XHTTP (mode auto). НЕ RAW/TCP и НЕ flow xtls-rprx-vision: из РФ ТСПУ пропускает рукопожатие RAW-Reality, но замораживает любую загрузку.
- 443/udp — Hysteria2 на самоподписанном сертификате, в ссылке клиента обязателен pinSHA256.
- Панель 3X-UI — только на 127.0.0.1, вход через SSH-туннель. Наружу открыты только порт SSH, 443/tcp и 443/udp.
- Версии: 3X-UI v3.8.5 (внутри Xray 26.9.9) — на них схема проверена из РФ 14.10.2026. Новее — только после повторной проверки из шага 10.

ШАГИ
1. Доступ. SSH-ключ я добавил при создании сервера (не знаешь какой — найди в ~/.ssh или спроси меня).
   - Заведи пользователя с входом по этому ключу и sudo без пароля: /etc/sudoers.d/90-<имя> с NOPASSWD:ALL, проверь visudo -cf. Иначе после отключения root sudo попросит пароль, которого нет.
   - В ОТДЕЛЬНОЙ сессии войди новым пользователем и выполни sudo -n true. Только если прошло — иди дальше.
   - Закрой вход файлом /etc/ssh/sshd_config.d/00-hardening.conf: PermitRootLogin no, PasswordAuthentication no, KbdInteractiveAuthentication no. Именно так: в образах Ubuntu есть 50-cloud-init.conf с PasswordAuthentication yes, и правка главного sshd_config ничего не меняет. sshd -t, перезагрузи ssh, проверь: sshd -T | grep -Ei '^(permitrootlogin|passwordauthentication|kbdinteractive)'.
   - Добавь алиас сервера в мой ~/.ssh/config.
2. База. DEBIAN_FRONTEND=noninteractive apt-get update && apt-get -y -o Dpkg::Options::=--force-confold upgrade, поставь unattended-upgrades. ufw: allow <порт из sshd -T>/tcp, 443/tcp, 443/udp, всё остальное входящее — deny; включай ufw --force enable.
3. Сеть. В /etc/sysctl.d/99-vpn.conf: net.core.default_qdisc=fq, net.ipv4.tcp_congestion_control=bbr, net.ipv4.tcp_mtu_probing=1, net.core.rmem_max=16777216, net.core.wmem_max=16777216 (буферы UDP для Hysteria2). sysctl --system, проверь значения.
4. 3X-UI v3.8.5. Ставь БЕЗ терминала и с выводом в файл: установщик печатает логин, пароль и токен в консоль, а с терминалом задаёт вопросы и пытается выпустить сертификат через закрытый порт 80:
   XUI_NONINTERACTIVE=1 XUI_SSL_MODE=none XUI_ENABLE_FAIL2BAN=false bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh) v3.8.5 >/root/x-ui-install.log 2>&1; chmod 600 /root/x-ui-install.log
   Если всё же встал fail2ban — проверь, что он не забанит мой IP, или выключи его. Учётные данные бери из /etc/x-ui/install-result.env (600), в чат не выводи. Панель на localhost: /usr/local/x-ui/x-ui setting -listenIP 127.0.0.1 && x-ui restart. Порт подписок (2096) слушает все интерфейсы — убедись, что ufw его закрывает. Xray лежит в /usr/local/x-ui/bin/xray-linux-amd64, в PATH его нет.
5. Маскировка REALITY. Нужен НАСТОЯЩИЙ сайт самого хостера или соседа по подсети: TLS 1.3 + h2, сертификат публичного центра, домен резолвится в соседний IP. Ищи RealiTLScanner (github.com/XTLS/RealiTLScanner): лучше с моего компьютера (авторы пишут, что скан с VPS может подставить сервер под жалобу; для Mac собери из исходников, нужен Go). Если с сервера — один раз и мягко: -addr <IP>/24 -port 443 -thread 2 -timeout 4. Не бери чужие VPN (сертификаты крупных доменов вроде www.cloudflare.com, apple.com, ozon.ru на соседних IP), Cloudflare и самоподписанное. Нет подходящего соседа — www.microsoft.com. Проверь с сервера: curl -sI https://<домен>.
6. Вход «Основной»: vless, порт 443, network xhttp, xhttpSettings {path: "/<24 случайных hex>", mode: "auto"}, security reality: target <домен>:443, serverNames [<домен>], ключи из `/usr/local/x-ui/bin/xray-linux-amd64 x25519` (PrivateKey и Password (PublicKey)), shortIds [8 случайных hex], fingerprint chrome, sockopt tcpKeepAliveIdle 60 / tcpKeepAliveInterval 30. flow у клиентов — пустой.
7. Вход «Быстрый»: hysteria (версия 2), 443/udp, TLS 1.3, alpn h3. Сертификат самоподписанный, EC prime256v1, на 10 лет, CN и subjectAltName = IP:<IP>; файлы в /etc/x-ui/certs, права 600. Пин = openssl x509 -in hysteria.crt -outform der | sha256sum | cut -d' ' -f1 (hex без двоеточий). Пропиши его в настройках этого входа: tlsSettings.settings.pinnedPeerCertSha256 = ["<пин>"] — тогда панель сама кладёт pinSHA256 в ссылки.
8. Клиенты. Каждого человека создавай ОДНИМ вызовом сразу в оба входа (API panel/api/clients/add с inboundIds [<xhttp>, <hysteria>]) с понятным именем. По одному входу с разными subId панель откажет: Duplicate email.
9. Ссылки. Возьми ссылки из панели и проверь/допиши:
   - Hysteria2: есть pinSHA256=<пин>; нет — допиши, без него клиент отвергает сертификат;
   - XHTTP: параметр extra = {"xmux":{"maxConnections":1,"hMaxRequestTimes":"600-900","hMaxReusableSecs":"1800-3000","hKeepAlivePeriod":30}} в URL-кодировке (если в extra уже есть поля — слей с ними);
   - имя после # : «1 Основной (XHTTP) · Имя» и «2 Быстрый (Hysteria2) · Имя».
   Сохрани ссылки каждого человека в /root/vpn-links/<имя>.txt (600) и скопируй мне на компьютер в ~/Downloads/vpn-<имя>.txt (600).
10. Проверка по-настоящему. Для КАЖДОЙ ссылки запусти отдельный xray-клиент (SOCKS на 127.0.0.1) ТОЙ ЖЕ версии, что на сервере (xray-linux-amd64 version; на GitHub пометка Latest стоит на старом релизе, бери тег сервера). Для Hysteria2 в тестовом клиенте — tlsSettings.pinnedPeerCertSha256, allowInsecure в Xray 26 удалён. Через клиент: curl https://api.ipify.org — должен вернуть IP сервера; затем скачай https://speed.cloudflare.com/__down?bytes=2000000 — должны прийти все 2 000 000 байт. Сначала на сервере, потом с моего компьютера (xray во временную папку). Если у меня включён другой VPN — привяжи клиент к физическому интерфейсу (sockopt.interface, на Mac обычно en0), иначе проверишь туннель в туннеле. Короткий запрос без загрузки — не проверка. Временные конфиги — 600, после удали.
11. Отчёт мне: что сделано; вывод ss -lntup и ufw status; результаты проверки по каждой ссылке; где лежат доступы и ссылки; как зайти в панель (ssh -L <порт>:127.0.0.1:<порт панели> <алиас>); как добавить нового человека и выдать ему ссылки.

ПРАВИЛА
- Не выводи в чат приватные ключи, UUID, пароли, токены и сами ссылки — только пути к файлам.
- Любую конфигурацию Xray сначала прогони через xray-linux-amd64 run -test -c <файл>.
- Меняй панель через её API, а не правкой базы. Перед правками — бэкап базы через SQLite backup (python3 -c "import sqlite3; s=sqlite3.connect('/etc/x-ui/x-ui.db'); d=sqlite3.connect('/root/x-ui.db.bak'); s.backup(d)"), не cp: база в режиме WAL, простая копия теряет свежие изменения.
- API 3X-UI 3.8+ отдаёт settings и streamSettings объектами, старые версии — строками JSON; учитывай оба варианта.
- Не открывай наружу порт панели и подписок, не ставь на этот сервер ничего, кроме VPN.
- Всё, что запускал для проверки, за собой гаси.