Почему ТСПУ детектирует Reality и что делать вместо него

{
  "tag": "TROJAN_GRPC_selfsteal",
  "port": 8299,
  "listen": "0.0.0.0",
  "protocol": "trojan",
  "settings": { "clients": [], "fallbacks": [] },
  "sniffing": { "enabled": true, "destOverride": ["http", "tls"] },
  "streamSettings": {
    "network": "grpc",
    "security": "tls",
    "tlsSettings": {
      "alpn": ["h2"],
      "minVersion": "1.2",
      "certificates": [
        {
          "keyFile": "/etc/letsencrypt/live/[домен]/privkey.pem",
          "certificateFile": "/etc/letsencrypt/live/[домен]/fullchain.pem"
        }
      ]
    },
    "grpcSettings": { "serviceName": "trgrpc" }
  }
}

Обратите внимание: здесь security: "tls", потому что TLS принимает сам Xray напрямую. Это отличается от схемы через nginx (см. статью про Trojan gRPC через nginx), где security выставляется в "none", а TLS отдаёт nginx.

Получение сертификата и проброс в ноду

Сертификат выпускается обычным certbot в отдельном контейнере, а затем пробрасывается в контейнер ноды как volume — Xray не занимается получением сертификатов сам.

mkdir -p /opt/certbot && cd /opt/certbot && nano docker-compose.yml

services:
  certbot:
    container_name: certbot
    image: certbot/certbot
    network_mode: host
    volumes:
      - ./certs:/etc/letsencrypt

docker run --rm \
  -v $(pwd)/certs:/etc/letsencrypt \
  -v $(pwd)/var-lib-letsencrypt:/var/lib/letsencrypt \
  --network host \
  certbot/certbot certonly --standalone \
  --non-interactive --agree-tos \
  --email [почта] \
  -d [домен]

Дальше в docker-compose.yml ноды добавляется volume на папку с сертификатами (например /opt/certbot/certs:/etc/letsencrypt:ro), и нода перезапускается: docker compose down && docker compose up -d.

Fingerprint и другие протоколы под наблюдением

Отдельно стоит проверить отпечаток (fingerprint) клиента: старые версии Chrome заблокированы, поэтому в настройках Host лучше указывать firefox или random, а не chrome.

Протокол	Ситуация	Что делать
Reality	Детектируется ТСПУ	Заменить на self-steal или Trojan
VLESS / TCP	Под активным вниманием	Качественная заглушка, переход на Trojan/Hysteria
XHTTP	Внимание из-за CDN	Сменить uplink с POST/PUT на GET

Заглушка — самое важное, что часто делают неправильно

Не берите популярные готовые шаблоны заглушек — они уже узнаваемы и занесены в базы мониторинга; сотруднику РКН достаточно один раз увидеть типовой шаблон, чтобы IP ушёл в бан без возможности разбирательства. Заглушка должна выглядеть как обычный живой сайт, а не как «страница для прокси» — кладётся она в /var/www/html и раздаётся тем же nginx, что и обычный статический сайт.