Подключение за прокси

Если порт 443 на сервере уже держит nginx или HAProxy, протоколы можно спрятать за ним: прокси принимает соединения на 443 и по SNI раздаёт их протоколам на 127.0.0.1:444, :445 и так далее.

Настроить

В настройках подключения блок За прокси (nginx, HAProxy):

• Где нода слушает: «Все адреса» (как обычно), «Только localhost» (127.0.0.1) или «Свой IP».
• Адрес для клиентов: какой адрес получат клиенты в подписке. Пусто: адрес ноды.
• Порт для клиентов: обычно 443, порт прокси. Пусто: порт подключения.
• SNI для клиентов: для протоколов со своим TLS-именем. У REALITY им остаётся домен сайта маскировки, по нему прокси и различает соединения.

Осторожно

Если нода слушает только localhost, а порт для клиентов не задан, клиенты пойдут на закрытый снаружи порт. Панель предупредит об этом: укажите порт прокси.

Пример для nginx stream

stream {
    map $ssl_preread_server_name $mikan {
        www.microsoft.com  127.0.0.1:444;   # VLESS · REALITY, сайт маскировки
        default            127.0.0.1:4430;  # ваш сайт
    }
    server {
        listen 443;
        ssl_preread on;
        proxy_pass $mikan;
    }
}

Это набросок: имена и порты подставьте свои.

Что меняется

У подключения за прокси автоподбор выключен и не включается:

• порт не переносится, иначе прокси не узнает новый;
• сайт маскировки не меняется, ведь прокси может маршрутизировать по его имени.