Свой VPN на 3x-ui со своим доменом

1Шаг 1Вход в личный кабинет

Откройте https://my.xorek.cloud/ и войдите со своими логином и паролем.

2Шаг 2Заказ домена

Если домен уже есть, переходите к шагу 3. В примере используется уже купленный 213awsdasd.top.

1. Откройте Товары/Услуги → Домены. Там видны ваши домены. Нажмите Регистрация.

   

2. Откроется прайс зон. Смотрите не только на цену регистрации, но и на цену продления: например, .top стоит 600 ₽ в первый год и 2 500 ₽ за продление.

   

3. Введите имя без зоны и нажмите Проверить. Выбирайте нейтральное имя, без слов vpn, proxy и подобных (myvpn-example на скриншоте — только для примера).

   

4. Нажмите ⊕ у нужной зоны, затем Зарегистрировать.

   

5. На странице «Настройка доменов»:

   • Период: 1 год.
   • Владелец: профиль с вашими данными. Если профиля нет, создайте его кнопкой «Редактировать».
   • Автопродление: по желанию.

   

6. В блоке Серверы имён (NS) оставьте включённым «Серверы имён провайдера». Тогда DNS-записи можно будет править прямо в кабинете (шаг 5).

   

7. Нажмите Оплатить. Домен появится в разделе «Домены» со статусом «Активен».

3Шаг 3Заказ сервера

1. Товары/Услуги → Виртуальные серверы.

   

2. Нажмите Заказать.

   

3. Откроется список тарифов. Нажмите Дата-центр.

   

4. Отметьте страну, где нужен сервер, и нажмите Выбрать. Подходит любая локация, дальше всё делается одинаково. На скриншоте выбрана Финляндия.

   

5. У любого подходящего тарифа нажмите Заказать. Для VPN на несколько человек хватает 1 vCPU и 1–2 ГБ RAM, больше нужно, только если пользователей десятки.

   

6. Выберите Операционную систему: Ubuntu 24.04 (стрелка у Ubuntu) и Период оплаты.

   

7. Внизу формы поставьте галочку «Я прочитал и согласен с условиями предоставления услуг». При желании выключите Автопродление. Нажмите Оплатить.

   

8. Выберите способ оплаты, например Лицевой счёт, и снова нажмите Оплатить.

   

   

9. Сервер появится в списке со статусом «Обрабатывается (открытие)». Через 1–2 минуты он станет «Активен».

   

   

4Шаг 4Данные для входа на сервер

Отметьте сервер галочкой. На панели инструментов нажмите стрелку > справа, затем Инструкция.

В инструкции указаны IP-адрес, пользователь root и пароль. Сохраните их.

5Шаг 5A-запись домена: домен → IP сервера

1. Товары/Услуги → Домены. Отметьте домен и нажмите DNS.

   

2. Откроется DNS-зона. Нам нужна запись типа A с именем @ (сам домен без поддомена).

   

3. Отметьте запись @ и нажмите Изменить. Если записи @ нет, нажмите Добавить и выберите тип A, имя @.

   

4. В поле Значение впишите IP сервера из шага 4, TTL поставьте «15 минут», нажмите Ok.

   

   

Проверьте, что домен уже смотрит на новый IP. В Windows:

nslookup 213awsdasd.top 1.1.1.1

В ответе должен быть IP сервера. В нашем случае запись обновилась примерно за минуту, но иногда это занимает до нескольких часов. Не переходите к шагу 8, пока домен не указывает на сервер, иначе сертификат не выпустится.

6Шаг 6Подключение к серверу по SSH

Откройте терминал (в Windows — «Терминал» или PowerShell) и выполните:

ssh root@152.234.237.183

• При первом подключении на вопрос Are you sure you want to continue connecting ответьте yes.
• Затем вставьте пароль из инструкции (правой кнопкой мыши или Ctrl+Shift+V) и нажмите Enter. Символы пароля на экране не отображаются — это нормально.

7Шаг 7Обновление системы

apt update && apt upgrade -y

Если в конце видно Pending kernel upgrade, перезагрузите сервер и через минуту подключитесь снова (шаг 6):

reboot

8Шаг 8Установка 3x-ui и сертификата на домен

Запустите официальный установщик:

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Установщик задаст вопросы. Отвечайте так:

В выводе может появиться строка Failed to restart x-ui.service: Unit x-ui.service not found. При первой установке это нормально: служба создаётся чуть позже тем же скриптом.

В конце установщик выведет логин, пароль, порт, WebBasePath (секретный путь) и Access URL. Обязательно сохраните их. Позже их можно посмотреть командой x-ui settings или в файле /etc/x-ui/install-result.env.

Заодно установщик ставит fail2ban и включает автозапуск панели.

Где лежит сертификат: /root/cert/213awsdasd.top/fullchain.pem и /root/cert/213awsdasd.top/privkey.pem.

9Шаг 9Первый вход в панель

Откройте Access URL из вывода установщика, вида https://213awsdasd.top:47821/<секретный-путь>/. Замок в адресной строке означает, что сертификат на домен работает. Войдите с логином и паролем из шага 8.

10Шаг 10nginx и сайт-заглушка

Зачем это нужно:

• Любой, кто зайдёт на https://213awsdasd.top/ без VPN-ключа (браузер, сканер РКН/ТСПУ), увидит обычный сайт, а не обрыв соединения или ошибку.
• Через этот же nginx откроем панель и подписку по секретным путям на порту 443. Отдельные порты панели и подписки закроем.
• nginx на порту 80 будет обслуживать продление сертификата.

10.1. Установка и папки

apt install -y nginx
mkdir -p /var/www/213awsdasd.top /var/www/acme

10.2. Сайт-заглушка

Положите в /var/www/213awsdasd.top/ любой простой статический сайт: лендинг, блог, визитку. Главное, чтобы он выглядел как живой сайт. Простейший вариант — одна страница:

nano /var/www/213awsdasd.top/index.html

(В примере это маленькая страница «фотоблога». Подойдёт любой HTML-шаблон.)

10.3. Конфиг nginx

nano /etc/nginx/sites-available/213awsdasd.top

Вставьте конфиг ниже, заменив: - 213awsdasd.top на ваш домен; - /ПУТЬ_ПАНЕЛИ/ на ваш WebBasePath (из шага 8), например /Xk3pQ9vT2mLr8sYd/; - /ПУТЬ_ПОДПИСКИ/ на путь подписки: Настройки панели → Подписка → URI-путь; - 47821 на ваш порт панели.

map $http_upgrade $connection_upgrade { default upgrade; '' close; }

# Порт 80: только проверка Let's Encrypt и редирект на https
server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    location /.well-known/acme-challenge/ { root /var/www/acme; }
    location / { return 301 https://213awsdasd.top$request_uri; }
}

# Сайт-заглушка + панель и подписка по секретным путям
#  8001/8002 — сюда Xray отдаёт «чужой» трафик (вариант А, TLS уже снят Xray)
#  8443      — сюда смотрит Reality (вариант Б, здесь TLS с сертификатом домена)
server {
    listen 127.0.0.1:8001 proxy_protocol;
    listen 127.0.0.1:8002 http2 proxy_protocol;
    listen 127.0.0.1:8443 ssl http2 proxy_protocol;
    server_name 213awsdasd.top;

    ssl_certificate     /root/cert/213awsdasd.top/fullchain.pem;
    ssl_certificate_key /root/cert/213awsdasd.top/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    set_real_ip_from 127.0.0.1;
    real_ip_header proxy_protocol;
    server_tokens off;
    absolute_redirect off;

    root /var/www/213awsdasd.top;
    index index.html;

    # Панель 3x-ui
    location /ПУТЬ_ПАНЕЛИ/ {
        proxy_pass https://127.0.0.1:47821;
        proxy_ssl_verify off;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto https;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }

    # Подписка 3x-ui
    location /ПУТЬ_ПОДПИСКИ/ {
        proxy_pass https://127.0.0.1:2096;
        proxy_ssl_verify off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto https;
    }

    location / { try_files $uri $uri/ =404; }
}

Включите сайт и проверьте конфиг:

rm -f /etc/nginx/sites-enabled/default
ln -s /etc/nginx/sites-available/213awsdasd.top /etc/nginx/sites-enabled/
nginx -t && systemctl reload nginx

Наружу nginx слушает только порт 80. Остальные его порты висят на 127.0.0.1: их видит только Xray на этом же сервере.

11Шаг 11Подключение VLESS + TLS + Vision (вариант А)

1. В меню слева откройте Входящие и нажмите Создать подключение.

   

   

2. Вкладка Основное:

   Поле	Значение
   Примечание	любое, например VLESS-TLS-Vision
   Протокол	vless
   Адрес	пусто
   Стратегия адреса для ссылок	Пользовательская
   Пользовательский адрес для ссылок	213awsdasd.top: в ссылках клиентов будет домен, а не IP
   Отключить поток XTLS	выключено
   Порт	443

   

3. Вкладка Протокол: «Расшифрование» и «Шифрование» оставьте none. Fallback'и настроим после вкладки «Безопасность»: они становятся доступны только после выбора TLS.

   

4. Вкладка Поток: транспорт RAW (это обычный TCP). Остальное не трогайте.

   

5. Вкладка Безопасность → TLS:

   Поле	Значение
   SNI	213awsdasd.top
   Мин/Макс версия	1.2 / 1.3
   uTLS	firefox
   ALPN	h2, http/1.1

   

   Ниже, в блоке SSL-сертификат, выберите «Путь к сертификату» и нажмите «Установить сертификат панели». Поля заполнятся путями /root/cert/213awsdasd.top/fullchain.pem и .../privkey.pem.

   

   Блок ECH оставьте пустым.

   

6. Вернитесь на вкладку Протокол. В блоке Fallback'и дважды нажмите «Добавить фолбэк» и заполните:

   	SNI	ALPN	Path	Dest	xver
   1	—	—	—	127.0.0.1:8001	1
   2	—	h2	—	127.0.0.1:8002	1

   Так всё, что пришло на 443 и не является вашим VLESS-клиентом, уходит в nginx: браузеры с HTTP/2 — на 8002, остальные — на 8001. xver 1 передаёт nginx настоящий IP посетителя (PROXY protocol).

   

7. Нажмите Создать.

   

12Шаг 12Клиент (пользователь VPN)

В 3x-ui v3 клиенты вынесены на отдельную страницу и привязываются к одному или нескольким подключениям.

1. Откройте Клиенты → Добавить клиентов.

   

2. Вкладка Основное:

   • Email: любое имя клиента, например my-phone.
   • По желанию задайте лимиты: трафика в ГБ, IP, HWID, срок действия.

   

   Ниже, в поле Привязанные входящие, выберите созданное подключение.

   

3. Вкладка Учетные данные → Flow: xtls-rprx-vision. UUID и остальное сгенерируются сами.

   

4. Нажмите Создать.

   

5. Иконка QR в строке клиента покажет:

   • Информация о подписке: QR и ссылку на подписку. Удобно, если подключений несколько, клиенты сами её обновляют.

     

   • Блок Vless TCP TLS: QR и ссылку vless:// на конкретное подключение. Иконка копирования рядом с названием.

     

Ссылка выглядит так (UUID заменён):

vless://<UUID>@213awsdasd.top:443?alpn=h2%2Chttp%2F1.1&encryption=none&flow=xtls-rprx-vision&fp=firefox&security=tls&sni=213awsdasd.top&type=tcp#VLESS-TLS-Vision-my-phone

13Шаг 13Прячем панель и подписку за nginx

1. Настройки панели → Панель → IP-адрес для управления панелью: 127.0.0.1 → Сохранить.

   

2. Настройки панели → Подписка:

   • Прослушивание IP: 127.0.0.1.
   • URI обратного прокси: https://213awsdasd.top/ПУТЬ_ПОДПИСКИ/. Тогда в QR и ссылках подписки будет адрес на порту 443.

   Нажмите Сохранить → Перезапустить панель.

   

Теперь: - панель: https://213awsdasd.top/ПУТЬ_ПАНЕЛИ/; - подписка: https://213awsdasd.top/ПУТЬ_ПОДПИСКИ/<subId>; - порты 47821 и 2096 снаружи не отвечают.

Где лежат пути к сертификату панели: Настройки панели → Панель → вкладка «Сертификаты».

14Шаг 14Продление сертификата через nginx

Установщик выпустил сертификат в режиме standalone: acme.sh сам занимал порт 80. Теперь порт 80 занят nginx, поэтому переводим продление на webroot и задаём команду, которая после продления перезагружает nginx и Xray:

~/.acme.sh/acme.sh --issue -d 213awsdasd.top -w /var/www/acme --server letsencrypt --force
~/.acme.sh/acme.sh --install-cert -d 213awsdasd.top --ecc \
  --key-file /root/cert/213awsdasd.top/privkey.pem \
  --fullchain-file /root/cert/213awsdasd.top/fullchain.pem \
  --reloadcmd 'systemctl reload nginx; systemctl restart x-ui'

Сертификат живёт 90 дней. acme.sh продлевает его сам: проверка идёт по cron 4 раза в сутки, ближайшее продление видно в строке Next renewal time. Посмотреть список сертификатов можно командой ~/.acme.sh/acme.sh --list.

15Шаг 15Фаервол: открыты только 22, 80, 443

ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable
ufw status verbose

На вопрос Proceed with operation (y|n)? ответьте y. Правило для 22 (SSH) добавляется до включения, иначе вы потеряете доступ к серверу.

• 443: VPN и сайт.
• 80: продление сертификата и редирект на https.
• 22: SSH.

Порт панели и порт подписки не открываем: они доступны только через nginx.

16Шаг 16Бан подсетей сканеров РКН

Что это даёт и чего не даёт. На ntc.party собрали адреса, с которых сканируют серверы: ФГУП ГРЧЦ (AS61280), CyberOK «СКИПА», F6. Бан этих подсетей — гигиена: сканер не увидит, что у вас открыто. Но это не броня. Волны блокировок 04.08 и 21.09.2026 били целыми пачками IP популярных хостеров, и бан сканеров от такого не спасает.

Какие списки используем:

16.1. ipset и скрипт обновления

apt install -y ipset
nano /usr/local/sbin/rkn-blocklist-update.sh

#!/usr/bin/env bash
# Обновляет ipset-наборы rkn4/rkn6 подсетями сканеров РКН/ГРЧЦ/CyberOK/F6.
set -euo pipefail
URLS=(
  https://raw.githubusercontent.com/shadow-netlab/traffic-guard-lists/refs/heads/main/public/antiscanner.list
  https://raw.githubusercontent.com/tread-lightly/CyberOK_Skipa_ips/refs/heads/main/lists/skipa_cidr.txt
)
ASNS="61280"                                    # ФГУП ГРЧЦ: свежие анонсы из RIPEstat
EXTRA="85.142.100.0/24 46.161.48.0/22 95.215.0.0/24 45.91.64.0/24"   # CyberOK СКИПА, F6
ALLOW=/etc/rkn-allow.txt                        # свои адреса, которые банить нельзя

T=$(mktemp -d); trap 'rm -rf "$T"' EXIT
for u in "${URLS[@]}"; do
  curl -fsSL --retry 3 --max-time 60 "$u" >> "$T/raw" || echo "WARN: не скачался $u" >&2
  echo >> "$T/raw"
done
for a in $ASNS; do
  curl -fsSL --max-time 60 "https://stat.ripe.net/data/announced-prefixes/data.json?resource=AS$a" \
    | grep -oE '"prefix": ?"[^"]+"' | cut -d'"' -f4 >> "$T/raw" || echo "WARN: RIPEstat AS$a" >&2
done
echo "$EXTRA" | tr ' ' '\n' >> "$T/raw"

sed -e 's/#.*//' -e 's/[[:space:]]//g' "$T/raw" | grep -E '^[0-9a-fA-F:.]+(/[0-9]{1,3})?$' | sort -u > "$T/all" || true
N=$(wc -l < "$T/all")
[ "$N" -ge 50 ] || { echo "Подозрительно мало записей ($N), оставляю старые наборы" >&2; exit 1; }

{
  echo "create rkn4_tmp hash:net family inet hashsize 4096 maxelem 131072"
  echo "create rkn6_tmp hash:net family inet6 hashsize 1024 maxelem 32768"
  awk '!/:/{print "add rkn4_tmp "$0} /:/{print "add rkn6_tmp "$0}' "$T/all"
  if [ -s "$ALLOW" ]; then sed -e 's/#.*//' "$ALLOW" | awk 'NF && $1 !~ /:/ {print "add rkn4_tmp "$1" nomatch"}'; fi
} > "$T/restore"

ipset list -n rkn4 >/dev/null 2>&1 || ipset create rkn4 hash:net family inet hashsize 4096 maxelem 131072
ipset list -n rkn6 >/dev/null 2>&1 || ipset create rkn6 hash:net family inet6 hashsize 1024 maxelem 32768
ipset destroy rkn4_tmp 2>/dev/null || true; ipset destroy rkn6_tmp 2>/dev/null || true
ipset restore -exist < "$T/restore"
ipset swap rkn4_tmp rkn4 && ipset swap rkn6_tmp rkn6
ipset destroy rkn4_tmp && ipset destroy rkn6_tmp
{ ipset save rkn4; ipset save rkn6; } > /etc/ipset-rkn.conf.new && mv /etc/ipset-rkn.conf.new /etc/ipset-rkn.conf
echo "OK: $N подсетей (IPv4: $(ipset list rkn4 | grep -c '^[0-9]'), IPv6: $(ipset list rkn6 | grep -c '^[0-9a-f]*:'))"

chmod +x /usr/local/sbin/rkn-blocklist-update.sh
touch /etc/rkn-allow.txt
/usr/local/sbin/rkn-blocklist-update.sh

Проверьте, что свой IP не попал в список: ipset test rkn4 ВАШ_IP.

16.2. Автозапуск и ежедневное обновление

/etc/systemd/system/rkn-ipset-restore.service поднимает наборы до ufw. Если набора нет, ufw не стартует, и сервер останется без фаервола.

[Unit]
Description=Restore RKN ipsets before ufw
DefaultDependencies=no
After=local-fs.target
Before=ufw.service network-pre.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/bin/sh -c '[ -s /etc/ipset-rkn.conf ] && ipset restore -exist -f /etc/ipset-rkn.conf; ipset list -n rkn4 >/dev/null 2>&1 || ipset create rkn4 hash:net family inet hashsize 4096 maxelem 131072; ipset list -n rkn6 >/dev/null 2>&1 || ipset create rkn6 hash:net family inet6 hashsize 1024 maxelem 32768'

[Install]
WantedBy=ufw.service

/etc/systemd/system/rkn-blocklist-update.service:

[Unit]
Description=Update RKN scanners ipset blocklists
Wants=network-online.target
After=network-online.target rkn-ipset-restore.service

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/rkn-blocklist-update.sh

/etc/systemd/system/rkn-blocklist-update.timer:

[Unit]
Description=Daily RKN blocklist update

[Timer]
OnCalendar=*-*-* 05:00:00
RandomizedDelaySec=1h
Persistent=true

[Install]
WantedBy=timers.target

16.3. Правило в ufw

Откройте /etc/ufw/before.rules и сразу после строки

-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

добавьте:

# RKN/gov blocklist (только новые входящие)
-A ufw-before-input -m set --match-set rkn4 src -m limit --limit 10/min -j LOG --log-prefix "RKN-DROP: "
-A ufw-before-input -m set --match-set rkn4 src -j DROP

В /etc/ufw/before6.rules то же самое после строки с ufw6-before-input ... RELATED,ESTABLISHED, только цепочка ufw6-before-input и набор rkn6.

Включите всё:

systemctl daemon-reload
systemctl enable rkn-ipset-restore.service
systemctl enable --now rkn-blocklist-update.timer
ufw reload
iptables -L ufw-before-input -n -v | grep rkn
systemctl list-timers rkn-blocklist-update.timer

Проверено: после reboot наборы восстанавливаются, ufw поднимается, правила на месте.

Через неделю посмотрите, срабатывает ли бан: journalctl -k | grep RKN-DROP и счётчики в iptables -L ufw-before-input -n -v.

17Шаг 17Сервер не ходит в РФ

На ntc.party в ноябре 2026 описали баны IP, через которые VPS ходил на российские сайты. Входящих подключений из РФ на эти IP при этом не было. XTLS в эталонной конфигурации тоже советует запрещать трафик «обратно» в страну цензора. Поэтому запрещаем серверу ходить на российские IP и домены.

1. Маршрутизация → Базовые соединения:

   • Заблокированные IP-адреса: Private IPs (уже стоит) + Russia;
   • Заблокированные домены: Russia + .ru.

   Нажмите Сохранить.

   

   На вкладке «Маршрутизация» это превратится в правила geoip_RU.dat:ru и geosite_RU.dat:ru-available-only-inside + *.ru → blocked.

   

2. Конфигурации Xray → Основные настройки → Настройка маршрутизации доменов: IPIfNonMatch → Сохранить. Без этого правила по IP (geoip:ru) не срабатывают, когда клиент передаёт домен: vk.com не в зоне .ru, но его IP российские.

   

3. Входящие → карандаш у подключения → вкладка Сниффинг: Включить, протоколы HTTP, TLS, QUIC, Только маршрутизация — включено. Так доменные правила сработают, даже если клиент передаёт IP вместо домена, например в режиме TUN.

   

Проверка через туннель на тестовом сервере: ifconfig.me и github.com открываются, ya.ru, gosuslugi.ru и vk.com блокируются.

18Шаг 18Проверка

1. Откройте https://213awsdasd.top/ в обычном браузере без VPN. Должен открыться сайт-заглушка.

   

2. Откройте https://213awsdasd.top/случайный-путь. Должна прийти обычная страница 404 от nginx.

3. Порт 47821 снаружи открываться не должен.

4. Подключитесь клиентом (шаг 19) и откройте https://ifconfig.me (через VPN). Должен показаться IP сервера. В панели на странице «Входящие» пойдёт трафик.

   

На тестовом сервере через VPN-туннель 50 МБ скачались примерно за 0,7 секунды (около 500 Мбит/с, замер с самого сервера).

19Шаг 19Приложения для подключения

Как добавить подключение (во всех приложениях похоже): - QR-код: «+» → «Сканировать QR» → наведите камеру на QR из шага 12. - Ссылка: скопируйте vless://… или ссылку подписки → «+» → «Импорт из буфера обмена». - Подписка: «+» → «Добавить подписку» → вставьте https://213awsdasd.top/ПУТЬ_ПОДПИСКИ/<subId>. Приложение будет само подтягивать изменения.

Обязательно включите в приложении раздельную маршрутизацию «Россия напрямую». Сервер российские адреса блокирует (шаг 17), так что без неё ру-сайты через VPN не откроются.

Если в российском App Store нужного приложения нет, обычно его скачивают с Apple ID другого региона.