VLESS через Cloudflare CDN на VPS: WebSocket, TLS, маскування

VLESS через Cloudflare CDN: що це і навіщо використовувати?

Налаштувати VLESS через Cloudflare CDN на своєму VPS з WebSocket та TLS для маскування трафіку можна за 30-45 хвилин, використовуючи Xray-core та Nginx, щоб приховати реальний IP вашого сервера за мережею Cloudflare. Ця схема дозволяє ефективно обходити блокування за IP-адресою, надаючи додатковий рівень конфіденційності та доступності. На відміну від прямого підключення, де ваша реальна IP-адреса видима, Cloudflare діє як проксі-сервер, маршрутизуючи трафік через свою глобальну мережу.

Основна мета використання Cloudflare CDN у поєднанні з VLESS+WebSocket+TLS — це **маскування CDN-трафіку** та приховування справжньої IP-адреси вашого VPS. Коли ви підключаєтеся до свого проксі-сервера, ваш трафік спочатку надходить на один із численних вузлів Cloudflare (PoP), а вже звідти перенаправляється на ваш VPS. Для зовнішнього спостерігача, наприклад, інтернет-провайдера, це виглядає так, ніби ви підключаєтеся до звичайного сайту, захищеного Cloudflare. Це значно ускладнює блокування вашого сервісу, оскільки блокування IP-адреси Cloudflare зачепить мільйони легальних сайтів.

Схема клієнт → Cloudflare → ваш VPS надає низку переваг:

• Приховування реального IP сервера: Ваш VPS-сервер стає недоступним безпосередньо з інтернету за його IP-адресою, що підвищує безпеку та стійкість до DDoS-атак.
• Обхід блокувань за адресою: Багато державних блокувань базуються на чорних списках IP-адрес. Cloudflare ефективно обходить такі блокування, оскільки її IP-адреси рідко потрапляють до цих списків.
• Додатковий рівень захисту: Cloudflare надає базовий захист від DDoS-атак навіть на безкоштовних тарифах.
• TLS-шифрування: Весь трафік між клієнтом і Cloudflare, а також між Cloudflare та вашим VPS, шифрується за допомогою TLS, що забезпечує конфіденційність даних.

Однак, варто пам'ятати, що ця схема має свої обмеження, включаючи потенційне зниження швидкості через маршрутизацію через Cloudflare та певні правила використання CDN, які можуть бути порушені при інтенсивному використанні для VPN-трафіку. Детальніше про те, як вибрати оптимальний VPS для подібних завдань, ви можете дізнатися у статті VPN на своєму VPS: повний посібник 2026.

Принцип роботи VLESS + WebSocket + TLS за Cloudflare CDN

Принцип роботи VLESS + WebSocket + TLS за Cloudflare CDN базується на багаторівневому проксіюванні та шифруванні. Клієнт встановлює з'єднання з доменним ім'ям, яке вказує на Cloudflare. Cloudflare приймає цей трафік, розшифровує його (якщо увімкнено повне шифрування), а потім пересилає на ваш VPS за протоколом WebSocket поверх TLS. На VPS Nginx виступає в ролі зворотного проксі, який приймає зашифрований трафік від Cloudflare, розшифровує його та перенаправляє вже чистий WebSocket-трафік на Xray-core.

Послідовність з'єднання:

1. Клієнт → Cloudflare: Ваш VLESS-клієнт встановлює зашифроване TLS-з'єднання з одним із найближчих серверів Cloudflare. При цьому використовується доменне ім'я, яке ви прив'яжете до Cloudflare, а не реальний IP вашого VPS. Трафік виглядає як звичайний HTTPS-запит до веб-сайту.
2. Cloudflare → Ваш VPS (Nginx): Cloudflare, отримавши трафік, встановлює нове TLS-з'єднання з вашим VPS. Залежно від налаштувань SSL/TLS у Cloudflare (Full/Full (strict)), цей трафік також буде зашифрований. Cloudflare пересилає WebSocket-трафік на Nginx, який слухає порт 443 на вашому VPS.
3. Nginx → Xray-core: Nginx на вашому VPS виступає як зворотний проксі. Він приймає вхідне TLS-з'єднання від Cloudflare, розшифровує його, а потім перенаправляє чистий WebSocket-трафік на локальний порт, де слухає Xray-core (наприклад, 127.0.0.1:10000).
4. Xray-core: Xray-core приймає WebSocket-трафік, обробляє його згідно з протоколом VLESS та встановлює з'єднання з цільовим ресурсом (наприклад, сайтом в інтернеті).

Ця схема забезпечує ефективне маскування CDN-трафіку, оскільки зовнішній спостерігач бачить лише HTTPS-з'єднання з Cloudflare. Використання websocket tls vless у цій комбінації робить трафік практично невідмінним від звичайного веб-трафіку, що є потужним інструментом для обходу цензури.

Підготовка VPS та домену для налаштування VLESS через Cloudflare

Перш ніж приступити до налаштування VLESS через Cloudflare, переконайтеся, що у вас є все необхідне. Це критично важливий етап, який закладе основу для стабільної роботи вашого проксі.

Вимоги до VPS:

Для більшості користувачів, навіть при помірному навантаженні, достатньо VPS з 2 vCPU, 2 GB RAM та 40 GB NVMe-диска. Для 50 одночасних користувачів достатньо 4 vCPU, 8 GB RAM та NVMe-диска на 80 GB.

Вибір VPS з NVMe-дисками значно підвищує продуктивність, особливо при активному використанні, як детально описано у статті NVMe, RAM чи мережа: що дійсно важливо для VPS під проксі та VPN.

1. VPS-сервер: Переконайтеся, що ваш VPS працює на операційній системі Linux (рекомендується Debian 11/12 або Ubuntu 20.04/22.04). Доступ по SSH обов'язковий.
2. Доменне ім'я: Вам знадобиться власне доменне ім'я (наприклад, `example.com` або піддомен `sub.example.com`). Це необхідно для роботи Cloudflare та TLS-сертифікатів.
3. Акаунт Cloudflare: Зареєструйтеся на Cloudflare.com та додайте свій домен. Встановіть DNS-сервери Cloudflare як авторитетні для вашого домену.

Налаштування DNS у Cloudflare:

У панелі керування Cloudflare для вашого домену створіть A-запис, що вказує на IP-адресу вашого VPS.

1. Перейдіть до розділу DNS -> Records.
2. Додайте новий A-запис:
   • Type: `A`
   • Name: `sub` (або будь-який інший піддомен, наприклад, `proxy`, `cdn` тощо)
   • IPv4 address: `IP_ВАШОГО_VPS`
   • Proxy status: Переконайтеся, що помаранчева хмарка увімкнена (Proxied). Це критично важливо для роботи CDN.

Після збереження запису зачекайте кілька хвилин, доки зміни набудуть чинності. Тепер ваш піддомен направлятиме трафік через Cloudflare на ваш VPS.

Покрокова інструкція: налаштування VLESS + WS + TLS на VPS з Xray та Nginx

Цей розділ проведе вас через детальне налаштування VLESS WS TLS на вашому VPS, включаючи встановлення необхідних компонентів та їх конфігурацію.

Встановлення Xray-core на VPS

Xray-core — це потужний інструмент для реалізації різних проксі-протоколів, включаючи VLESS. Встановлення досить просте.

# Оновлюємо систему
sudo apt update && sudo apt upgrade -y

# Встановлюємо необхідні утиліти
sudo apt install -y curl wget unzip

# Встановлюємо Xray-core (рекомендується використовувати офіційний скрипт)
bash -c "$(curl -L https://raw.githubusercontent.com/XTLS/Xray-install/main/install-release.sh)" @ install

Після встановлення Xray-core буде запущено як системну службу. Перевірити статус можна командою `sudo systemctl status xray`.

Конфігурація Nginx для проксіювання WebSocket та TLS

Nginx буде слухати вхідний трафік на 443 порту, термінувати TLS-з'єднання від Cloudflare та перенаправляти WebSocket-трафік на Xray-core.

# Встановлюємо Nginx
sudo apt install -y nginx

# Створюємо директорію для конфігурації нашого сайту
sudo mkdir -p /etc/nginx/sites-available/
sudo mkdir -p /etc/nginx/sites-enabled/

# Видаляємо дефолтний конфіг Nginx, якщо він є
sudo rm /etc/nginx/sites-enabled/default
sudo rm /etc/nginx/sites-available/default

# Створюємо новий файл конфігурації Nginx
sudo nano /etc/nginx/sites-available/your_domain.conf

Вставте наступний код у файл `your_domain.conf`, замінивши `your_domain.com` на ваш піддомен (наприклад, `sub.example.com`).

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name your_domain.com; # Замініть на ваш піддомен

    # Переконайтеся, що ваш сертифікат Cloudflare Origin CA встановлено в /etc/ssl/nginx/
    # Це важливо для Full (strict) SSL у Cloudflare
    ssl_certificate /etc/ssl/nginx/your_domain.com.pem;
    ssl_certificate_key /etc/ssl/nginx/your_domain.com.key;

    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers off;

    # Додаємо заголовки, необхідні Cloudflare
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header X-Frame-Options DENY;

    # Можна додати фейковий сайт для маскування
    # root /var/www/html;
    # index index.html index.htm;

    location / {
        # Якщо ви хочете показувати фейковий сайт, розкоментуйте наступні рядки
        # try_files $uri $uri/ =404;
        # return 404; # Або 200, якщо хочете порожню сторінку
        
        # Перенаправляємо весь трафік на Xray, якщо URL не відповідає нашому шляху VLESS
        # Це може бути небезпечно, якщо у вас є легальний сайт на цьому домені.
        # Краще використовувати окремий піддомен або конкретний path для VLESS.
        return 404; # Просто повертаємо 404 для всіх запитів, крім VLESS path
    }

    location /your_vless_path { # Замініть на унікальний шлях, наприклад /panel/path
        if ($http_upgrade != "websocket") {
            return 404;
        }
        proxy_redirect off;
        proxy_pass http://127.0.0.1:10000; # Порт, на якому слухає Xray-core
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Після збереження файлу створіть символічне посилання, щоб активувати конфігурацію:

sudo ln -s /etc/nginx/sites-available/your_domain.conf /etc/nginx/sites-enabled/your_domain.conf

Перевірте синтаксис Nginx та перезавантажте його:

sudo nginx -t
sudo systemctl restart nginx

Важливий момент щодо SSL-сертифікатів: Для схеми Full (strict) у Cloudflare вам знадобиться Origin CA Certificate від Cloudflare. Його можна згенерувати в панелі Cloudflare (SSL/TLS -> Origin Server -> Create Certificate). Термін дії такого сертифіката — 15 років. Збережіть ключ (`.key`) та сертифікат (`.pem`) у директорії `/etc/ssl/nginx/` (або будь-якій іншій, вказаній у конфігу Nginx) та оновіть шляхи в Nginx-конфігурації.

Налаштування Xray-core для VLESS та WebSocket

Тепер налаштуємо Xray-core для прийому VLESS-трафіку через WebSocket на локальному порту.

sudo nano /usr/local/etc/xray/config.json

Вставте наступну конфігурацію, замінивши `YOUR_UUID` на згенерований UUID (можна згенерувати командою `xray uuid` або онлайн-генератором), а `your_vless_path` на той самий шлях, що ви вказали в Nginx-конфігурації.

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "port": 10000, # Цей порт буде слухати Nginx
      "listen": "127.0.0.1", # Слухаємо лише локальні з'єднання від Nginx
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "YOUR_UUID", # Згенеруйте свій UUID
            "level": 0
          }
        ],
        "decryption": "none",
        "fallbacks": []
      },
      "streamSettings": {
        "network": "ws",
        "wsSettings": {
          "path": "/your_vless_path", # Повинен збігатися зі шляхом у Nginx
          "headers": {
            "Host": "your_domain.com" # Замініть на ваш піддомен
          }
        }
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {}
    },
    {
      "protocol": "blackhole",
      "settings": {},
      "tag": "blocked"
    }
  ]
}

Збережіть файл та перезапустіть Xray-core:

sudo systemctl restart xray

Перевірте статус Xray-core, щоб переконатися, що він працює без помилок:

sudo systemctl status xray

Налаштування Cloudflare для проксіювання VLESS-трафіку

Правильне налаштування Cloudflare критично важливе для роботи вашого CDN для VPN-сервера.

1. DNS-запис: Переконайтеся, що A-запис для вашого піддомену (наприклад, `sub.example.com`) вказує на IP вашого VPS та має помаранчеву хмарку (Proxied).
2. Режим SSL/TLS: Перейдіть до розділу SSL/TLS -> Overview. Встановіть режим на "Full (strict)". Це гарантує, що Cloudflare шифруватиме трафік до вашого VPS, а ваш Nginx використовуватиме дійсний Origin CA Certificate.
3. Правила брандмауера (Firewall Rules): Якщо ви зіткнетеся з проблемами, переконайтеся, що Cloudflare не блокує ваш трафік. У розділі Security -> WAF -> Firewall rules ви можете тимчасово відключити деякі правила або додати винятки для свого IP.
4. Правила кешування (Caching Rules): У розділі Caching -> Configuration переконайтеся, що рівень кешування для вашого піддомену встановлено на "No Query String" або "Standard", або краще створити правило "Bypass Cache" для вашого VLESS-шляху.
5. Правила Pages (Page Rules): Для кращої сумісності та продуктивності, а також щоб уникнути непотрібного кешування, рекомендується створити Page Rule для вашого піддомену. Перейдіть до Rules -> Page Rules та додайте правило:
   • URL: `*your_domain.com/your_vless_path*`
   • Settings: `Cache Level: Bypass`, `Disable Performance`, `Disable Security` (або налаштуйте на свій розсуд), `SSL: Full (strict)`
   Це допоможе гарантувати, що Cloudflare не буде втручатися в ваш WebSocket-трафік.

Уважно перевірте, що всі налаштування відповідають зазначеним, щоб забезпечити безперебійну роботу Cloudflare проксі VLESS.

Налаштування клієнта VLESS + WS + TLS

Після того, як серверну частину налаштовано, необхідно налаштувати клієнтський додаток. Приклади клієнтів включають V2RayN (Windows), Nekoray (Windows/Linux), Shadowrocket/Streisand (iOS), v2rayNG (Android).

Приклад конфігурації для клієнта (параметри можуть дещо відрізнятися залежно від додатка):

• Протокол: VLESS
• Адреса (Address): `your_domain.com` (ваш піддомен Cloudflare)
• Порт (Port): `443`
• UUID: `YOUR_UUID` (той самий, що ви використовували в конфігу Xray)
• Шифрування (Encryption): `none`
• Транспорт (Transport): `WebSocket`
• TLS (Enable TLS): `True`
• SNI: `your_domain.com` (ваш піддомен Cloudflare)
• Хост (Host Header): `your_domain.com` (ваш піддомен Cloudflare)
• Шлях (Path): `/your_vless_path` (той самий, що ви використовували в Nginx та Xray)
• Allow insecure: `False` (якщо використовуєте Origin CA Certificate)

Переконайтеся, що всі параметри точно відповідають сервісній конфігурації. Неправильно вказаний UUID, шлях або домен призведуть до помилок підключення. Для користувачів Android докладну інструкцію з налаштування можна знайти у статті Свій VPS + v2rayNG: налаштування VLESS Reality на Android за 10 хвилин.

Обмеження та потенційні проблеми VLESS через Cloudflare CDN

Незважаючи на свою ефективність, використання Cloudflare CDN для проксіювання VLESS-трафіку має низку обмежень та потенційних проблем, які варто враховувати.

1. Швидкість та продуктивність: Трафік проходить через сервери Cloudflare, що може додати затримку (latency) та знизити загальну пропускну здатність. Швидкість залежить від завантаженості найближчих до вас PoP-серверів Cloudflare та їх маршрутизації до вашого VPS. Cloudflare не оптимізована для постійного високошвидкісного тунелювання великого обсягу даних.
2. Правила використання CDN (ToS): Cloudflare, як правило, не схвалює використання своїх безкоштовних послуг для не-HTTP(S) трафіку або тунелювання. Хоча VLESS через WebSocket+TLS виглядає як звичайний HTTPS-трафік, інтенсивне використання або виявлення нетипової активності може призвести до відключення проксіювання (помаранчева хмарка стане сірою) або навіть блокування домену.
3. Ліміти трафіку: На безкоштовних тарифах Cloudflare немає жорстких лімітів за трафіком, але при надмірному використанні (наприклад, кілька терабайт на місяць) можуть виникнути питання. Якщо ви плануєте передавати великі обсяги даних, розгляньте варіанти Unmetered VPS проти ліміту трафіку (ТБ/міс).
4. Блокування IP-адрес Cloudflare: У деяких регіонах, де цензура дуже сувора, можуть блокуватися цілі діапазони IP-адрес Cloudflare. Хоча це рідкість, такий ризик існує.
5. Відсутність кешування: Для VLESS-трафіку кешування Cloudflare не працює, оскільки це не статичний контент. Усі запити все одно йдуть до вашого VPS.
6. Додаткова точка відмови: Cloudflare додає ще один вузол у ланцюжок, що може стати додатковою точкою відмови або причиною збоїв у роботі.

Розуміння цих обмежень допоможе вам вирішити, чи є CDN для VPN-сервера відповідним рішенням для ваших конкретних потреб. Для оцінки споживання трафіку вашим сервером, корисно ознайомитися з розрахунком пропускної здатності та лімітів на VPS.

Коли VLESS Reality є кращим вибором, ніж Cloudflare CDN?

Хоча VLESS через Cloudflare CDN є ефективним методом обходу блокувань, існують сценарії, коли протокол VLESS Reality пропонує більш надійне та продуктивне рішення. VLESS Reality — це відносно нова технологія в Xray-core, розроблена спеціально для обходу глибокої інспекції пакетів (DPI) без використання сторонніх CDN.

Reality працює, видаючи себе за легітимний TLS-трафік до відомого веб-сайту. Він перехоплює TLS-рукостискання клієнта та перенаправляє його на цільовий "відбиваючий" сервер, при цьому створюючи видимість з'єднання зі справжнім, популярним сайтом (наприклад, microsoft.com, apple.com). Це робить трафік практично невідмінним від звичайного HTTPS-трафіку, що ускладнює його блокування навіть для найпросунутіших систем цензури.

Переваги Reality над Cloudflare CDN:

1. Стійкість до DPI: Reality значно стійкіший до просунутої DPI, оскільки він не покладається на IP-адреси CDN, які можуть бути заблоковані. Він створює повністю легітимний TLS-відбиток.
2. Менша затримка та вища швидкість: Трафік йде безпосередньо від клієнта до вашого VPS (прихованого за Reality), без проміжних вузлів CDN. Це знижує затримку та збільшує пропускну здатність, роблячи з'єднання швидшим та стабільнішим.
3. Відсутність залежності від ToS CDN: Ви не порушуєте правила використання Cloudflare або інших CDN, оскільки не використовуєте їх для проксіювання. Ваш сервер не піддається ризику блокування з боку CDN.
4. Повний контроль: Ви повністю контролюєте свій сервер і не залежите від політики сторонніх компаній.
5. Не вимагає домену: Reality може працювати без власного доменного імені, використовуючи лише IP-адресу вашого VPS та SNI відомого сайту. Це спрощує налаштування для тих, у кого немає домену.

Коли варто вибрати VLESS Reality:

• Якщо ви перебуваєте в регіоні з дуже суворою цензурою і блокуються навіть IP-адреси Cloudflare.
• Якщо вам потрібна максимально можлива швидкість та мінімальна затримка.
• Якщо ви хочете уникнути будь-яких ризиків, пов'язаних з порушенням ToS CDN.
• Якщо ви віддаєте перевагу більш "непомітному" рішенню, яке не покладається на відомі інфраструктури.

Для налаштування VLESS Reality на своєму VPS ви можете звернутися до статті Свій VPN на VPS: VLESS Reality + Xray-core за 10 хвилин, яка детально описує цей процес. Загалом, Reality є більш сучасним та надійним рішенням для тих, хто шукає максимальну стійкість до блокувань та високу продуктивність.

Часто задавані питання

Здесь собраны ответы на наиболее распространённые вопросы о настройке VLESS через Cloudflare CDN.

Навіщо використовувати Cloudflare CDN для VLESS?

Використання Cloudflare CDN для VLESS дозволяє приховати реальну IP-адресу вашого VPS-сервера, що є ключовим для обходу блокувань за IP. Трафік проходить через глобальну мережу Cloudflare, маскуючись під звичайний HTTPS-запит, що робить ваш VPN-сервер менш помітним для систем цензури. Це значно підвищує доступність та стійкість до зовнішніх атак, таких як DDoS, використовуючи безкоштовні можливості Cloudflare.

Який режим SSL/TLS потрібно вибрати в Cloudflare?

Для оптимальної роботи та безпеки рекомендується вибрати режим "Full (strict)" у налаштуваннях SSL/TLS Cloudflare. Цей режим гарантує, що трафік буде зашифрований не тільки між клієнтом і Cloudflare, але й між Cloudflare та вашим VPS-сервером. Для цього на вашому VPS має бути встановлений валідний SSL-сертифікат, наприклад, Cloudflare Origin CA Certificate, який можна отримати безкоштовно на 15 років.

Чи може Cloudflare заблокувати мій домен за використання VLESS?

Теоретично, Cloudflare може заблокувати домен або відключити проксіювання (помаранчева хмарка) за порушення своїх Умов використання, які зазвичай забороняють використання їхніх безкоштовних сервісів для "тунелювання" або не-HTTP(S) трафіку. Однак, оскільки VLESS через WebSocket+TLS виглядає як звичайний HTTPS-трафік, на практиці такі випадки рідкісні, особливо при помірному використанні. Тим не менш, для дуже високих обсягів трафіку або при виявленні незвичайної активності ризик зростає. Для таких випадків краще розглянути VLESS Reality.

Чи потрібен мені реальний домен чи достатньо IP-адреси?

Для схеми VLESS через Cloudflare CDN обов'язково потрібен власний домен або піддомен. Cloudflare працює на рівні доменних імен, проксіюючи трафік саме для них. Крім того, TLS-сертифікати, що використовуються для шифрування, прив'язуються до доменного імені. Використання лише IP-адреси не дозволить вам задіяти переваги Cloudflare CDN для маскування та обходу блокувань.

Яку роль відіграє Nginx у цій схемі?

Nginx відіграє роль зворотного проксі-сервера на вашому VPS. Він приймає вхідні зашифровані TLS-з'єднання від Cloudflare на 443 порту, термінує SSL (розшифровує трафік), а потім перенаправляє чистий WebSocket-трафік на локальний порт (наприклад, 127.0.0.1:10000), де слухає Xray-core. Nginx також дозволяє маскувати VLESS-трафік, додаючи HTTP-заголовки і, за необхідності, показуючи фейковий веб-сайт на кореневому шляху вашого домену, що робить його більш схожим на звичайний веб-сервер.

Висновки

Налаштування VLESS через Cloudflare CDN з WebSocket та TLS на вашому VPS — це потужне та доступне рішення для обходу інтернет-цензури та приховування реальної IP-адреси сервера. Ця схема ефективно маскує ваш VPN-трафік під звичайний HTTPS, використовуючи глобальну мережу Cloudflare. Для максимальної стабільності та продуктивності рекомендується використовувати VPS з NVMe-дисками та достатнім обсягом RAM, а також уважно дотримуватися всіх кроків конфігурації Nginx та Xray-core, особливо в частині SSL-сертифікатів та шляхів WebSocket.