VLESS через Cloudflare CDN на своём VPS: WebSocket, TLS и маскировка

Что такое VLESS через Cloudflare CDN и зачем это нужно?

Настроить VLESS через Cloudflare CDN на своём VPS с WebSocket и TLS для маскировки трафика можно за 30-45 минут, используя Xray-core и Nginx, чтобы скрыть реальный IP вашего сервера за сетью Cloudflare. Эта схема позволяет эффективно обходить блокировки по IP-адресу, предоставляя дополнительный уровень конфиденциальности и доступности. В отличие от прямого подключения, где ваш реальный IP-адрес виден, Cloudflare действует как прокси-сервер, маршрутизируя трафик через свою глобальную сеть.

Основная цель использования Cloudflare CDN в связке с VLESS+WebSocket+TLS — это **маскировка трафика CDN** и сокрытие истинного IP-адреса вашего VPS. Когда вы подключаетесь к своему прокси-серверу, ваш трафик сначала идёт на один из множества узлов Cloudflare (PoP), а уже оттуда перенаправляется на ваш VPS. Для внешнего наблюдателя, например, интернет-провайдера, выглядит так, будто вы подключаетесь к обычному сайту, защищённому Cloudflare. Это значительно усложняет блокировку вашего сервиса, так как блокировка IP-адреса Cloudflare затронет миллионы легальных сайтов.

Схема клиент → Cloudflare → ваш VPS предоставляет ряд преимуществ:

• Скрытие реального IP сервера: Ваш VPS-сервер становится недоступным напрямую из интернета по его IP-адресу, что повышает безопасность и устойчивость к DDoS-атакам.
• Обход блокировок по адресу: Многие государственные блокировки основаны на чёрных списках IP-адресов. Cloudflare эффективно обходит такие блокировки, поскольку её IP-адреса редко попадают в эти списки.
• Дополнительный уровень защиты: Cloudflare предоставляет базовую защиту от DDoS-атак даже на бесплатных тарифах.
• TLS-шифрование: Весь трафик между клиентом и Cloudflare, а также между Cloudflare и вашим VPS, шифруется с помощью TLS, что обеспечивает конфиденциальность данных.

Однако, стоит помнить, что эта схема имеет свои ограничения, включая потенциальное снижение скорости из-за маршрутизации через Cloudflare и определённые правила использования CDN, которые могут быть нарушены при интенсивном использовании для VPN-трафика. Подробнее о том, как выбрать оптимальный VPS для подобных задач, вы можете узнать в статье VPN на своём VPS: полное руководство 2026.

Как работает VLESS + WebSocket + TLS за Cloudflare CDN?

Принцип работы VLESS + WebSocket + TLS за Cloudflare CDN основан на многоуровневом проксировании и шифровании. Клиент устанавливает соединение с доменным именем, которое указывает на Cloudflare. Cloudflare принимает этот трафик, расшифровывает его (если включено полное шифрование), а затем пересылает на ваш VPS по протоколу WebSocket поверх TLS. На VPS Nginx выступает в роли обратного прокси, который принимает зашифрованный трафик от Cloudflare, расшифровывает его и перенаправляет уже чистый WebSocket-трафик на Xray-core.

Последовательность соединения:

1. Клиент → Cloudflare: Ваш VLESS-клиент устанавливает зашифрованное TLS-соединение с одним из ближайших серверов Cloudflare. При этом используется доменное имя, которое вы привяжете к Cloudflare, а не реальный IP вашего VPS. Трафик выглядит как обычный HTTPS-запрос к веб-сайту.
2. Cloudflare → Ваш VPS (Nginx): Cloudflare, получив трафик, устанавливает новое TLS-соединение с вашим VPS. В зависимости от настроек SSL/TLS в Cloudflare (Full/Full (strict)), этот трафик также будет зашифрован. Cloudflare пересылает WebSocket-трафик на Nginx, который слушает порт 443 на вашем VPS.
3. Nginx → Xray-core: Nginx на вашем VPS выступает в качестве обратного прокси. Он принимает входящее TLS-соединение от Cloudflare, расшифровывает его, а затем перенаправляет чистый WebSocket-трафик на локальный порт, где слушает Xray-core (например, 127.0.0.1:10000).
4. Xray-core: Xray-core принимает WebSocket-трафик, обрабатывает его согласно протоколу VLESS и устанавливает соединение с целевым ресурсом (например, сайтом в интернете).

Эта схема обеспечивает эффективную маскировку трафика CDN, так как внешний наблюдатель видит только HTTPS-соединение с Cloudflare. Использование websocket tls vless в этой комбинации делает трафик практически неотличимым от обычного веб-трафика, что является мощным инструментом для обхода цензуры.

Подготовка VPS и домена для настройки VLESS через Cloudflare

Прежде чем приступить к vless через cloudflare настройка, убедитесь, что у вас есть все необходимое. Это критически важный этап, который заложит основу для стабильной работы вашего прокси.

Требования к VPS:

Для большинства пользователей, даже при умеренной нагрузке, достаточно VPS с 2 vCPU, 2 GB RAM и 40 GB NVMe-диска. Для 50 одновременных пользователей достаточно 4 vCPU, 8 GB RAM и NVMe-диска на 80 GB.

Выбор VPS с NVMe-дисками значительно повышает производительность, особенно при активном использовании, как подробно описано в статье NVMe, RAM или сеть: что реально важно для VPS под прокси и VPN.

1. VPS-сервер: Убедитесь, что ваш VPS работает на операционной системе Linux (рекомендуется Debian 11/12 или Ubuntu 20.04/22.04). Доступ по SSH обязателен.
2. Доменное имя: Вам потребуется собственное доменное имя (например, `example.com` или поддомен `sub.example.com`). Это необходимо для работы Cloudflare и TLS-сертификатов.
3. Cloudflare аккаунт: Зарегистрируйтесь на Cloudflare.com и добавьте свой домен. Установите DNS-серверы Cloudflare в качестве авторитетных для вашего домена.

Настройка DNS в Cloudflare:

В панели управления Cloudflare для вашего домена создайте A-запись, указывающую на IP-адрес вашего VPS.

1. Перейдите в раздел DNS -> Records.
2. Добавьте новую A-запись:
   • Type: `A`
   • Name: `sub` (или любой другой поддомен, например, `proxy`, `cdn` и т.д.)
   • IPv4 address: `IP_ВАШЕГО_VPS`
   • Proxy status: Убедитесь, что оранжевое облачко включено (Proxied). Это критически важно для работы CDN.

После сохранения записи подождите несколько минут, пока изменения вступят в силу. Теперь ваш поддомен будет направлять трафик через Cloudflare на ваш VPS.

Пошаговая настройка VLESS + WS + TLS на VPS с Xray и Nginx

Этот раздел проведёт вас через детальную настройку VLESS ws tls setup на вашем VPS, включая установку необходимых компонентов и их конфигурацию.

Установка Xray-core на VPS

Xray-core — это мощный инструмент для реализации различных прокси-протоколов, включая VLESS. Установка довольно проста.

# Обновляем систему
sudo apt update && sudo apt upgrade -y

# Устанавливаем необходимые утилиты
sudo apt install -y curl wget unzip

# Устанавливаем Xray-core (рекомендуется использовать официальный скрипт)
bash -c "$(curl -L https://raw.githubusercontent.com/XTLS/Xray-install/main/install-release.sh)" @ install

После установки Xray-core будет запущен как системная служба. Проверить статус можно командой `sudo systemctl status xray`.

Конфигурация Nginx для проксирования WebSocket и TLS

Nginx будет слушать входящий трафик на 443 порту, терминировать TLS-соединение от Cloudflare и перенаправлять WebSocket-трафик на Xray-core.

# Устанавливаем Nginx
sudo apt install -y nginx

# Создаем директорию для конфигурации нашего сайта
sudo mkdir -p /etc/nginx/sites-available/
sudo mkdir -p /etc/nginx/sites-enabled/

# Удаляем дефолтный конфиг Nginx, если он есть
sudo rm /etc/nginx/sites-enabled/default
sudo rm /etc/nginx/sites-available/default

# Создаем новый файл конфигурации Nginx
sudo nano /etc/nginx/sites-available/your_domain.conf

Вставьте следующий код в файл `your_domain.conf`, заменив `your_domain.com` на ваш поддомен (например, `sub.example.com`).

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name your_domain.com; # Замените на ваш поддомен

    # Убедитесь, что ваш сертификат Cloudflare Origin CA установлен в /etc/ssl/nginx/
    # Это важно для Full (strict) SSL в Cloudflare
    ssl_certificate /etc/ssl/nginx/your_domain.com.pem;
    ssl_certificate_key /etc/ssl/nginx/your_domain.com.key;

    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers off;

    # Добавляем заголовки, необходимые Cloudflare
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header X-Frame-Options DENY;

    # Можно добавить фейковый сайт для маскировки
    # root /var/www/html;
    # index index.html index.htm;

    location / {
        # Если вы хотите показывать фейковый сайт, раскомментируйте следующие строки
        # try_files $uri $uri/ =404;
        # return 404; # Или 200, если хотите пустую страницу
        
        # Перенаправляем весь трафик на Xray, если URL не соответствует нашему пути VLESS
        # Это может быть опасно, если у вас есть легальный сайт на этом домене.
        # Лучше использовать отдельный поддомен или конкретный path для VLESS.
        return 404; # Просто возвращаем 404 для всех запросов, кроме VLESS path
    }

    location /your_vless_path { # Замените на уникальный путь, например /panel/path
        if ($http_upgrade != "websocket") {
            return 404;
        }
        proxy_redirect off;
        proxy_pass http://127.0.0.1:10000; # Порт, на котором слушает Xray-core
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

После сохранения файла создайте символическую ссылку, чтобы активировать конфигурацию:

sudo ln -s /etc/nginx/sites-available/your_domain.conf /etc/nginx/sites-enabled/your_domain.conf

Проверьте синтаксис Nginx и перезагрузите его:

sudo nginx -t
sudo systemctl restart nginx

Важный момент по SSL-сертификатам: Для схемы Full (strict) в Cloudflare вам понадобится Origin CA Certificate от Cloudflare. Его можно сгенерировать в панели Cloudflare (SSL/TLS -> Origin Server -> Create Certificate). Срок действия такого сертификата — 15 лет. Сохраните ключ (`.key`) и сертификат (`.pem`) в директории `/etc/ssl/nginx/` (или любой другой, указанной в конфиге Nginx) и обновите пути в Nginx-конфигурации.

Настройка Xray-core для VLESS и WebSocket

Теперь настроим Xray-core для приёма VLESS-трафика через WebSocket на локальном порту.

sudo nano /usr/local/etc/xray/config.json

Вставьте следующую конфигурацию, заменив `YOUR_UUID` на сгенерированный UUID (можно сгенерировать командой `xray uuid` или онлайн-генератором), а `your_vless_path` на тот же путь, что вы указали в Nginx-конфигурации.

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "port": 10000, # Этот порт будет слушать Nginx
      "listen": "127.0.0.1", # Слушаем только локальные соединения от Nginx
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "YOUR_UUID", # Сгенерируйте свой UUID
            "level": 0
          }
        ],
        "decryption": "none",
        "fallbacks": []
      },
      "streamSettings": {
        "network": "ws",
        "wsSettings": {
          "path": "/your_vless_path", # Должен совпадать с путем в Nginx
          "headers": {
            "Host": "your_domain.com" # Замените на ваш поддомен
          }
        }
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {}
    },
    {
      "protocol": "blackhole",
      "settings": {},
      "tag": "blocked"
    }
  ]
}

Сохраните файл и перезапустите Xray-core:

sudo systemctl restart xray

Проверьте статус Xray-core, чтобы убедиться, что он работает без ошибок:

sudo systemctl status xray

Настройка Cloudflare для проксирования VLESS трафика

Правильная настройка Cloudflare критична для работы вашего cdn для vpn сервера.

1. DNS-запись: Убедитесь, что A-запись для вашего поддомена (например, `sub.example.com`) указывает на IP вашего VPS и имеет оранжевое облачко (Proxied).
2. SSL/TLS-режим: Перейдите в раздел SSL/TLS -> Overview. Установите режим на "Full (strict)". Это гарантирует, что Cloudflare будет шифровать трафик до вашего VPS, а ваш Nginx будет использовать действительный Origin CA Certificate.
3. Правила брандмауэра (Firewall Rules): Если вы столкнетесь с проблемами, убедитесь, что Cloudflare не блокирует ваш трафик. В разделе Security -> WAF -> Firewall rules вы можете временно отключить некоторые правила или добавить исключения для своего IP.
4. Правила кэширования (Caching Rules): В разделе Caching -> Configuration убедитесь, что уровень кэширования для вашего поддомена установлен на "No Query String" или "Standard", или лучше создать правило "Bypass Cache" для вашего VLESS-пути.
5. Правила Pages (Page Rules): Для лучшей совместимости и производительности, а также чтобы избежать ненужного кэширования, рекомендуется создать Page Rule для вашего поддомена. Перейдите в Rules -> Page Rules и добавьте правило:
   • URL: `*your_domain.com/your_vless_path*`
   • Settings: `Cache Level: Bypass`, `Disable Performance`, `Disable Security` (или настройте по своему усмотрению), `SSL: Full (strict)`
   Это поможет гарантировать, что Cloudflare не будет вмешиваться в ваш WebSocket-трафик.

Внимательно проверьте, что все настройки соответствуют указанным, чтобы обеспечить бесперебойную работу cloudflare прокси vless.

Настройка клиента VLESS + WS + TLS

После того как серверная часть настроена, необходимо настроить клиентское приложение. Примеры клиентов включают V2RayN (Windows), Nekoray (Windows/Linux), Shadowrocket/Streisand (iOS), v2rayNG (Android).

Пример конфигурации для клиента (параметры могут немного отличаться в зависимости от приложения):

• Протокол: VLESS
• Адрес (Address): `your_domain.com` (ваш поддомен Cloudflare)
• Порт (Port): `443`
• UUID: `YOUR_UUID` (тот же, что вы использовали в конфиге Xray)
• Шифрование (Encryption): `none`
• Транспорт (Transport): `WebSocket`
• TLS (Enable TLS): `True`
• SNI: `your_domain.com` (ваш поддомен Cloudflare)
• Хост (Host Header): `your_domain.com` (ваш поддомен Cloudflare)
• Путь (Path): `/your_vless_path` (тот же, что вы использовали в Nginx и Xray)
• Allow insecure: `False` (если используете Origin CA Certificate)

Убедитесь, что все параметры точно соответствуют серверной конфигурации. Неправильно указанный UUID, путь или домен приведут к ошибкам подключения. Для пользователей Android, подробную инструкцию по настройке можно найти в статье Своя VPS + v2rayNG: настройка VLESS Reality на Android за 10 минут.

Ограничения и потенциальные проблемы VLESS через CDN

Несмотря на свою эффективность, использование Cloudflare CDN для проксирования VLESS-трафика имеет ряд ограничений и потенциальных проблем, которые стоит учитывать.

1. Скорость и производительность: Трафик проходит через серверы Cloudflare, что может добавить задержку (latency) и снизить общую пропускную способность. Скорость зависит от загруженности ближайших к вам PoP-серверов Cloudflare и их маршрутизации до вашего VPS. Cloudflare не оптимизирована для постоянного высокоскоростного туннелирования большого объема данных.
2. Правила использования CDN (ToS): Cloudflare, как правило, не одобряет использование своих бесплатных услуг для не-HTTP(S) трафика или туннелирования. Хотя VLESS через WebSocket+TLS выглядит как обычный HTTPS-трафик, интенсивное использование или обнаружение нетипичной активности может привести к отключению проксирования (оранжевое облачко станет серым) или даже блокировке домена.
3. Лимиты трафика: На бесплатных тарифах Cloudflare нет жестких лимитов по трафику, но при чрезмерном использовании (например, несколько терабайт в месяц) могут возникнуть вопросы. Если вы планируете гонять большие объемы данных, рассмотрите варианты Unmetered VPS vs лимит трафика (TB/мес).
4. Блокировка Cloudflare IP-адресов: В некоторых регионах, где цензура очень строга, могут блокироваться целые диапазоны IP-адресов Cloudflare. Хотя это редкость, такой риск существует.
5. Отсутствие кэширования: Для VLESS-трафика кэширование Cloudflare не работает, так как это не статический контент. Все запросы всё равно идут до вашего VPS.
6. Дополнительная точка отказа: Cloudflare добавляет еще один узел в цепочку, что может стать дополнительной точкой отказа или причиной сбоев в работе.

Понимание этих ограничений поможет вам решить, является ли cdn для vpn сервера подходящим решением для ваших конкретных потребностей. Для оценки потребления трафика вашим сервером, полезно ознакомиться с расчётом полосы и лимитов на VPS.

Когда VLESS Reality лучше, чем Cloudflare CDN?

Хотя VLESS через Cloudflare CDN является эффективным методом обхода блокировок, существуют сценарии, когда протокол VLESS Reality предлагает более надёжное и производительное решение. VLESS Reality — это относительно новая технология в Xray-core, разработанная специально для обхода глубокой инспекции пакетов (DPI) без использования сторонних CDN.

Reality работает, выдавая себя за легитимный TLS-трафик к известному веб-сайту. Он перехватывает TLS-рукопожатие клиента и перенаправляет его на целевой "отражающий" сервер, при этом создавая видимость соединения с настоящим, популярным сайтом (например, microsoft.com, apple.com). Это делает трафик практически неотличимым от обычного HTTPS-трафика, что затрудняет его блокировку даже для самых продвинутых систем цензуры.

Преимущества Reality над Cloudflare CDN:

1. Устойчивость к DPI: Reality гораздо более устойчив к продвинутой DPI, поскольку он не полагается на IP-адреса CDN, которые могут быть заблокированы. Он создает полностью легитимный TLS-отпечаток.
2. Меньшая задержка и выше скорость: Трафик идёт напрямую от клиента к вашему VPS (скрытому за Reality), без промежуточных узлов CDN. Это снижает задержку и увеличивает пропускную способность, делая соединение более быстрым и стабильным.
3. Отсутствие зависимости от ToS CDN: Вы не нарушаете правила использования Cloudflare или других CDN, поскольку не используете их для проксирования. Ваш сервер не подвержен риску блокировки со стороны CDN.
4. Полный контроль: Вы полностью контролируете свой сервер и не зависите от политики сторонних компаний.
5. Не требует домена: Reality может работать без собственного доменного имени, используя только IP-адрес вашего VPS и SNI известного сайта. Это упрощает настройку для тех, у кого нет домена.

Когда стоит выбрать VLESS Reality:

• Если вы находитесь в регионе с очень строгой цензурой и блокируются даже IP-адреса Cloudflare.
• Если вам нужна максимально возможная скорость и минимальная задержка.
• Если вы хотите избежать любых рисков, связанных с нарушением ToS CDN.
• Если вы предпочитаете более "незаметное" решение, которое не полагается на известные инфраструктуры.

Для настройки VLESS Reality на своём VPS вы можете обратиться к статье Свой VPN на VPS: VLESS Reality + Xray-core за 10 минут, которая подробно описывает этот процесс. В общем, Reality является более современным и надёжным решением для тех, кто ищет максимальную устойчивость к блокировкам и высокую производительность.

Часто задаваемые вопросы

Здесь собраны ответы на наиболее распространённые вопросы о настройке VLESS через Cloudflare CDN.

Зачем использовать Cloudflare CDN для VLESS?

Использование Cloudflare CDN для VLESS позволяет скрыть реальный IP-адрес вашего VPS-сервера, что является ключевым для обхода блокировок по IP. Трафик проходит через глобальную сеть Cloudflare, маскируясь под обычный HTTPS-запрос, что делает ваш VPN-сервер менее заметным для систем цензуры. Это значительно повышает доступность и устойчивость к внешним атакам, таким как DDoS, используя бесплатные возможности Cloudflare.

Какой режим SSL/TLS нужно выбрать в Cloudflare?

Для оптимальной работы и безопасности рекомендуется выбрать режим "Full (strict)" в настройках SSL/TLS Cloudflare. Этот режим гарантирует, что трафик будет зашифрован не только между клиентом и Cloudflare, но и между Cloudflare и вашим VPS-сервером. Для этого на вашем VPS должен быть установлен валидный SSL-сертификат, например, Cloudflare Origin CA Certificate, который можно получить бесплатно на 15 лет.

Может ли Cloudflare заблокировать мой домен за использование VLESS?

Теоретически, Cloudflare может заблокировать домен или отключить проксирование (оранжевое облачко) за нарушение своих Условий использования, которые обычно запрещают использование их бесплатных сервисов для "туннелирования" или не-HTTP(S) трафика. Однако, поскольку VLESS через WebSocket+TLS выглядит как обычный HTTPS-трафик, на практике такие случаи редки, особенно при умеренном использовании. Тем не менее, для очень высоких объемов трафика или при обнаружении необычной активности риск возрастает. Для таких случаев лучше рассмотреть VLESS Reality.

Нужен ли мне реальный домен или достаточно IP-адреса?

Для схемы VLESS через Cloudflare CDN обязательно нужен собственный домен или поддомен. Cloudflare работает на уровне доменных имен, проксируя трафик именно для них. Кроме того, TLS-сертификаты, используемые для шифрования, привязываются к доменному имени. Использование только IP-адреса не позволит вам задействовать преимущества Cloudflare CDN для маскировки и обхода блокировок.

Какую роль играет Nginx в этой схеме?

Nginx играет роль обратного прокси-сервера на вашем VPS. Он принимает входящие зашифрованные TLS-соединения от Cloudflare на 443 порту, терминирует SSL (расшифровывает трафик), а затем перенаправляет чистый WebSocket-трафик на локальный порт (например, 127.0.0.1:10000), где слушает Xray-core. Nginx также позволяет маскировать VLESS-трафик, добавляя HTTP-заголовки и, при необходимости, показывая фейковый веб-сайт на корневом пути вашего домена, что делает его более похожим на обычный веб-сервер.

Выводы

Настройка VLESS через Cloudflare CDN с WebSocket и TLS на вашем VPS — это мощное и доступное решение для обхода интернет-цензуры и сокрытия реального IP-адреса сервера. Эта схема эффективно маскирует ваш VPN-трафик под обычный HTTPS, используя глобальную сеть Cloudflare. Для максимальной стабильности и производительности рекомендуется использовать VPS с NVMe-дисками и достаточным объемом RAM, а также внимательно следовать всем шагам конфигурации Nginx и Xray-core, особенно в части SSL-сертификатов и путей WebSocket.