mirror of
https://github.com/MHSanaei/3x-ui.git
synced 2026-10-13 09:25:14 +03:00
feat(xray): add the MASQUE protocol and transport
xray-core v26.10.10 serves MASQUE: CONNECT-IP over HTTP/3 or HTTP/2, always behind TLS, as an inbound and an outbound protocol riding a dedicated "masque" transport. The panel could not create either. Inbound: MASQUE is a multi-user protocol whose users log in with their email and password over Basic auth. The panel keeps the client's "password" like trojan and GenXrayInboundConfig hands it to the core as "pass", so the full-config path, the live AddInbound path and node pushes all emit what the core reads; one user with an empty pass makes the core refuse the whole inbound. Live user adds build a masque.Account from either key, client-only changes diff per user so a new client does not drop every connected tunnel, and client creation, copy, validation and edits key on the password. The address pool and MTU get form fields, TLS is mandatory, and the port check follows the core's listener choice: HTTP/2 on TCP when the ALPN offers h2, HTTP/3 on UDP when it offers h3 or not h2. Nodes may host MASQUE from v3.9.1, the first panel release that knows to rename the password. MASQUE has no share-link format, so links and Clash skip it; the JSON subscription builds the client's masque outbound with its email and password, and the subscription allowlist now lets a subId see MASQUE inbounds at all. The IP-limit job, client pages and traffic tracking list the protocol. Outbound: the form edits the server, remote DNS, and the transport's host, path, Basic credentials, headers and WARP block (enrolled key, endpoint public key, tunnel addresses), which xray-core refuses next to user/pass. The outbound test probes it through the core, since its default HTTP/3 dial is UDP.
This commit is contained in:
MHSanaei
@@ -65,6 +65,7 @@ The inbound editor accepts these protocols:
|
||||
| **Dokodemo-door / Tunnel** | Port forwarding / traffic redirect. |
|
||||
| **MTProto** | Telegram MTProto proxy, served by a bundled `mtg` process (not Xray). |
|
||||
| **TUIC** | QUIC-based proxy protocol (v5), served by an in-process native Go server. See [TUIC](/docs/config/tuic). |
|
||||
| **MASQUE** | CONNECT-IP tunnel over HTTP/3 or HTTP/2, always behind TLS; delivered to clients through the JSON subscription. See [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
Hysteria2 isn't a separate protocol internally — it's the `hysteria` protocol
|
||||
|
||||
@@ -0,0 +1,54 @@
|
||||
---
|
||||
title: MASQUE
|
||||
description: Serve MASQUE (CONNECT-IP) inbounds in 3x-ui, connect outbounds to MASQUE servers, and reach Cloudflare WARP over MASQUE.
|
||||
icon: Waypoints
|
||||
---
|
||||
|
||||
**MASQUE** carries IP packets over HTTP/3 (or HTTP/2) with the CONNECT-IP method, so a
|
||||
client gets a full layer-3 tunnel that looks like ordinary HTTPS traffic. xray-core
|
||||
serves it natively; 3x-ui offers it as an inbound protocol, an outbound protocol, and the
|
||||
matching `masque` transport they both ride on.
|
||||
|
||||
## Inbound
|
||||
|
||||
| Field | Description |
|
||||
| ---------------- | ----------- |
|
||||
| **Clients** | Each client logs in with its **email** and **password** (HTTP Basic auth). Traffic, quotas, IP limits and expiry work like any other multi-user protocol. |
|
||||
| **Address pool** | Prefixes the tunnel addresses are leased from — at most one IPv4 and one IPv6 (default `10.14.0.1/24`, `fd14::1/64`). The pool size caps how many clients can be connected at once. |
|
||||
| **MTU** | Tunnel MTU, 1280–65535; leave empty for the core default. |
|
||||
| **Path** | Request path the server answers on (default `/.well-known/masque/ip/*/*/`). |
|
||||
| **Security** | Always TLS. The ALPN picks the listeners: `h3` serves HTTP/3 on UDP, `h2` serves HTTP/2 on TCP, and both together serve both. |
|
||||
|
||||
<Callout type="info">
|
||||
MASQUE has no share-link format, so MASQUE inbounds get no link, QR code or Clash
|
||||
entry. Clients get a ready-to-import config from the **JSON subscription**: a `masque`
|
||||
outbound that authenticates with the client's email and password.
|
||||
</Callout>
|
||||
|
||||
## Outbound
|
||||
|
||||
Pick **masque** as the outbound protocol, then set:
|
||||
|
||||
| Field | Description |
|
||||
| ----------------------- | ----------- |
|
||||
| **Address / Port** | The MASQUE server. |
|
||||
| **Remote DNS** | Optional DNS server IPs queried inside the tunnel. |
|
||||
| **Host / Path** | Authority and path of the CONNECT-IP request; the path must match the server's. |
|
||||
| **Username / Password** | HTTP Basic credentials — on a 3x-ui server, the client's email and password. |
|
||||
| **Headers** | Extra request headers. |
|
||||
| **TLS** | Required. An ALPN of `h2` alone switches to HTTP/2 over TCP; otherwise HTTP/3 is used. |
|
||||
|
||||
## WARP over MASQUE
|
||||
|
||||
Turn on **WARP** in the masque transport to reach Cloudflare WARP through its MASQUE
|
||||
endpoint instead of WireGuard. It takes a WARP registration enrolled for MASQUE:
|
||||
|
||||
| Field | Description |
|
||||
| ----------------------- | ----------- |
|
||||
| **Private key** | The enrolled ECDSA P-256 private key (PEM, or base64 DER). |
|
||||
| **Endpoint public key** | Cloudflare's endpoint public key returned by the enrollment. |
|
||||
| **Tunnel addresses** | The IPv4 and IPv6 addresses Cloudflare assigned to the registration. |
|
||||
|
||||
Host and path then default to Cloudflare's endpoint, and WARP can't be combined with a
|
||||
username or password. Point the outbound at the endpoint address from your enrollment and
|
||||
set the TLS server name to `consumer-masque.cloudflareclient.com`.
|
||||
@@ -8,6 +8,7 @@
|
||||
"reality",
|
||||
"amneziawg",
|
||||
"tuic",
|
||||
"masque",
|
||||
"transports",
|
||||
"clients",
|
||||
"subscription",
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
---
|
||||
title: Transports & Security
|
||||
description: Every transport 3x-ui exposes — TCP, mKCP, WebSocket, gRPC, HTTPUpgrade, XHTTP, Hysteria, XDRIVE — with their settings, plus FinalMask obfuscation, sockopt, TLS/REALITY, XTLS-Vision, and VLESS encryption.
|
||||
description: Every transport 3x-ui exposes — TCP, mKCP, WebSocket, gRPC, HTTPUpgrade, XHTTP, Hysteria, XDRIVE, MASQUE — with their settings, plus FinalMask obfuscation, sockopt, TLS/REALITY, XTLS-Vision, and VLESS encryption.
|
||||
icon: Network
|
||||
---
|
||||
|
||||
@@ -24,6 +24,7 @@ network writes its own settings key on the wire (`tcpSettings`, `kcpSettings`,
|
||||
| **XHTTP** | `xhttpSettings` | Modern stream-multiplexed HTTP transport; CDN-friendly and REALITY-capable. |
|
||||
| **Hysteria** | `hysteriaSettings` | QUIC-based transport — only for the **Hysteria2** protocol. |
|
||||
| **XDRIVE** | `xdriveSettings` | Tunnels the stream through files in shared cloud storage (Google Drive, a local folder or any HTTP storage API). |
|
||||
| **MASQUE** | `masqueSettings` | CONNECT-IP over HTTP/3 or HTTP/2 — only for the **MASQUE** protocol. See [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
**WireGuard** and **Tunnel** (dokodemo-door) inbounds expose no transport
|
||||
|
||||
@@ -65,6 +65,7 @@ TLS یا REALITY) را انتخاب کنید. به [انتقالها](/docs/c
|
||||
| **Dokodemo-door / Tunnel** | فورواردینگ پورت / هدایت ترافیک. |
|
||||
| **MTProto** | پراکسی MTProto تلگرام که توسط یک فرایند همراه `mtg` سرویس میشود (نه Xray). |
|
||||
| **TUIC** | پروتکل پراکسی مبتنی بر QUIC نسخه ۵ که به صورت سرور بومی Go درون فرایند ارائه میشود. مشاهده [TUIC](/docs/config/tuic). |
|
||||
| **MASQUE** | تونل CONNECT-IP روی HTTP/3 یا HTTP/2، همیشه پشت TLS؛ از طریق اشتراک JSON به کلاینتها تحویل داده میشود. مشاهده [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
Hysteria2 در سطح داخلی یک پروتکل جداگانه نیست — همان پروتکل `hysteria` است که
|
||||
|
||||
@@ -0,0 +1,55 @@
|
||||
---
|
||||
title: MASQUE
|
||||
description: راهاندازی inbound از نوع MASQUE (CONNECT-IP) در 3x-ui، اتصال outbound به سرورهای MASQUE و دسترسی به Cloudflare WARP از طریق MASQUE.
|
||||
icon: Waypoints
|
||||
---
|
||||
|
||||
**MASQUE** بستههای IP را با روش CONNECT-IP روی HTTP/3 (یا HTTP/2) حمل میکند، بنابراین
|
||||
کلاینت یک تونل کامل لایهٔ ۳ میگیرد که شبیه ترافیک معمولی HTTPS است. xray-core آن را بهصورت
|
||||
بومی ارائه میکند؛ 3x-ui آن را بهعنوان پروتکل inbound، پروتکل outbound و transport متناظر
|
||||
`masque` که هر دو روی آن سوار میشوند در اختیار میگذارد.
|
||||
|
||||
## Inbound
|
||||
|
||||
| فیلد | توضیح |
|
||||
| ---------------- | ----- |
|
||||
| **کلاینتها** | هر کلاینت با **ایمیل** و **رمز عبور** خود وارد میشود (HTTP Basic auth). ترافیک، سهمیه، محدودیت IP و انقضا مانند هر پروتکل چندکاربرهٔ دیگر کار میکند. |
|
||||
| **مخزن آدرس** | پیشوندهایی که آدرسهای تونل از آنها تخصیص داده میشوند — حداکثر یک IPv4 و یک IPv6 (پیشفرض `10.14.0.1/24` و `fd14::1/64`). اندازهٔ مخزن سقف کلاینتهای همزمان متصل را تعیین میکند. |
|
||||
| **MTU** | MTU تونل، بین 1280 تا 65535؛ برای پیشفرض هسته خالی بگذارید. |
|
||||
| **Path** | مسیر درخواستی که سرور به آن پاسخ میدهد (پیشفرض `/.well-known/masque/ip/*/*/`). |
|
||||
| **امنیت** | همیشه TLS. ALPN شنوندهها را تعیین میکند: `h3` روی UDP پروتکل HTTP/3 و `h2` روی TCP پروتکل HTTP/2 را سرو میکند و هر دو با هم، هر دو را. |
|
||||
|
||||
<Callout type="info">
|
||||
MASQUE فرمت لینک اشتراکگذاری ندارد، بنابراین inboundهای MASQUE لینک، کد QR یا ورودی
|
||||
Clash ندارند. کلاینتها کانفیگ آمادهٔ import را از **اشتراک JSON** میگیرند: یک outbound
|
||||
از نوع `masque` که با ایمیل و رمز عبور کلاینت احراز هویت میکند.
|
||||
</Callout>
|
||||
|
||||
## Outbound
|
||||
|
||||
**masque** را بهعنوان پروتکل outbound انتخاب کنید و سپس تنظیم کنید:
|
||||
|
||||
| فیلد | توضیح |
|
||||
| -------------------------- | ----- |
|
||||
| **آدرس / پورت** | سرور MASQUE. |
|
||||
| **Remote DNS** | IPهای اختیاری سرور DNS که داخل تونل پرسوجو میشوند. |
|
||||
| **Host / Path** | authority و مسیر درخواست CONNECT-IP؛ مسیر باید با مسیر سرور یکسان باشد. |
|
||||
| **نام کاربری / رمز عبور** | اعتبارنامهٔ HTTP Basic — روی سرور 3x-ui، همان ایمیل و رمز عبور کلاینت. |
|
||||
| **Headers** | هدرهای اضافی درخواست. |
|
||||
| **TLS** | الزامی. ALPN فقط `h2` اتصال را به HTTP/2 روی TCP میبرد؛ در غیر این صورت HTTP/3 استفاده میشود. |
|
||||
|
||||
## WARP از طریق MASQUE
|
||||
|
||||
**WARP** را در transport مربوط به masque روشن کنید تا بهجای WireGuard از طریق endpoint
|
||||
مخصوص MASQUE به Cloudflare WARP برسید. این کار به یک ثبتنام WARP نیاز دارد که برای MASQUE
|
||||
ثبت شده باشد:
|
||||
|
||||
| فیلد | توضیح |
|
||||
| ------------------------ | ----- |
|
||||
| **کلید خصوصی** | کلید خصوصی ECDSA P-256 ثبتشده (PEM یا DER با base64). |
|
||||
| **کلید عمومی endpoint** | کلید عمومی endpoint کلودفلر که در ثبتنام برگردانده میشود. |
|
||||
| **آدرسهای تونل** | آدرسهای IPv4 و IPv6 که کلودفلر به این ثبتنام اختصاص داده است. |
|
||||
|
||||
در این حالت host و path بهطور پیشفرض endpoint کلودفلر هستند و WARP را نمیتوان با نام
|
||||
کاربری یا رمز عبور ترکیب کرد. outbound را به آدرس endpoint حاصل از ثبتنام خود هدایت کنید و
|
||||
نام سرور TLS را `consumer-masque.cloudflareclient.com` قرار دهید.
|
||||
@@ -6,6 +6,7 @@
|
||||
"ssl-certificates",
|
||||
"inbounds",
|
||||
"reality",
|
||||
"masque",
|
||||
"transports",
|
||||
"clients",
|
||||
"subscription",
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
---
|
||||
title: انتقالها و امنیت
|
||||
description: هر انتقالی که 3x-ui ارائه میدهد — TCP، mKCP، WebSocket، gRPC، HTTPUpgrade، XHTTP، Hysteria، XDRIVE — بههمراه تنظیماتشان، و نیز مبهمسازی FinalMask، sockopt، TLS/REALITY، XTLS-Vision و رمزنگاری VLESS.
|
||||
description: هر انتقالی که 3x-ui ارائه میدهد — TCP، mKCP، WebSocket، gRPC، HTTPUpgrade، XHTTP، Hysteria، XDRIVE، MASQUE — بههمراه تنظیماتشان، و نیز مبهمسازی FinalMask، sockopt، TLS/REALITY، XTLS-Vision و رمزنگاری VLESS.
|
||||
icon: Network
|
||||
---
|
||||
|
||||
@@ -24,6 +24,7 @@ icon: Network
|
||||
| **XHTTP** | `xhttpSettings` | انتقال HTTP مدرن با مالتیپلکس جریانی؛ سازگار با CDN و توانمند برای REALITY. |
|
||||
| **Hysteria** | `hysteriaSettings` | انتقال مبتنی بر QUIC — تنها برای پروتکل **Hysteria2**. |
|
||||
| **XDRIVE** | `xdriveSettings` | جریان را از طریق فایلها در یک فضای ذخیرهسازی ابری مشترک (Google Drive، یک پوشهٔ محلی یا هر API ذخیرهسازی HTTP) تونل میکند. |
|
||||
| **MASQUE** | `masqueSettings` | CONNECT-IP روی HTTP/3 یا HTTP/2 — تنها برای پروتکل **MASQUE**. مشاهده [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
inboundهای **WireGuard** و **Tunnel** (dokodemo-door) هیچ انتخابگر انتقالی
|
||||
|
||||
@@ -66,6 +66,7 @@ icon: ArrowDownToLine
|
||||
| **Dokodemo-door / Tunnel** | Перенаправление портов / перенаправление трафика. |
|
||||
| **MTProto** | Прокси Telegram MTProto, обслуживаемый встроенным процессом `mtg` (не Xray). |
|
||||
| **TUIC** | Протокол проксирования на базе QUIC (v5), обслуживаемый встроенным сервером на Go. См. [TUIC](/docs/config/tuic). |
|
||||
| **MASQUE** | Туннель CONNECT-IP поверх HTTP/3 или HTTP/2, всегда за TLS; клиенты получают его через JSON-подписку. См. [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
Hysteria2 внутренне не является отдельным протоколом — это протокол `hysteria`
|
||||
|
||||
@@ -0,0 +1,54 @@
|
||||
---
|
||||
title: MASQUE
|
||||
description: Настройка инбаундов MASQUE (CONNECT-IP) в 3x-ui, подключение аутбаундов к серверам MASQUE и доступ к Cloudflare WARP через MASQUE.
|
||||
icon: Waypoints
|
||||
---
|
||||
|
||||
**MASQUE** передаёт IP-пакеты поверх HTTP/3 (или HTTP/2) методом CONNECT-IP, поэтому клиент
|
||||
получает полноценный туннель третьего уровня, похожий на обычный HTTPS-трафик. xray-core
|
||||
поддерживает его нативно; 3x-ui предлагает его как протокол инбаунда, протокол аутбаунда и
|
||||
соответствующий транспорт `masque`, на котором работают оба.
|
||||
|
||||
## Инбаунд
|
||||
|
||||
| Поле | Описание |
|
||||
| ---------------- | -------- |
|
||||
| **Клиенты** | Каждый клиент входит со своими **email** и **паролем** (HTTP Basic auth). Трафик, квоты, лимиты IP и срок действия работают как в любом другом многопользовательском протоколе. |
|
||||
| **Пул адресов** | Префиксы, из которых выдаются адреса туннелей, — не более одного IPv4 и одного IPv6 (по умолчанию `10.14.0.1/24`, `fd14::1/64`). Размер пула ограничивает число одновременно подключённых клиентов. |
|
||||
| **MTU** | MTU туннеля, 1280–65535; оставьте пустым для значения ядра по умолчанию. |
|
||||
| **Path** | Путь запроса, на который отвечает сервер (по умолчанию `/.well-known/masque/ip/*/*/`). |
|
||||
| **Безопасность** | Всегда TLS. ALPN определяет слушатели: `h3` обслуживает HTTP/3 по UDP, `h2` — HTTP/2 по TCP, вместе — оба. |
|
||||
|
||||
<Callout type="info">
|
||||
У MASQUE нет формата ссылок, поэтому для инбаундов MASQUE не создаются ссылка, QR-код и
|
||||
запись Clash. Клиенты получают готовую к импорту конфигурацию из **JSON-подписки**:
|
||||
аутбаунд `masque`, который аутентифицируется email и паролем клиента.
|
||||
</Callout>
|
||||
|
||||
## Аутбаунд
|
||||
|
||||
Выберите протокол аутбаунда **masque** и задайте:
|
||||
|
||||
| Поле | Описание |
|
||||
| -------------------------- | -------- |
|
||||
| **Адрес / Порт** | Сервер MASQUE. |
|
||||
| **Remote DNS** | Необязательные IP DNS-серверов, к которым идут запросы внутри туннеля. |
|
||||
| **Host / Path** | Authority и путь запроса CONNECT-IP; путь должен совпадать с путём сервера. |
|
||||
| **Имя пользователя / Пароль** | Учётные данные HTTP Basic — на сервере 3x-ui это email и пароль клиента. |
|
||||
| **Headers** | Дополнительные заголовки запроса. |
|
||||
| **TLS** | Обязательно. ALPN только с `h2` переключает на HTTP/2 по TCP; иначе используется HTTP/3. |
|
||||
|
||||
## WARP через MASQUE
|
||||
|
||||
Включите **WARP** в транспорте masque, чтобы подключаться к Cloudflare WARP через его
|
||||
MASQUE-эндпоинт вместо WireGuard. Для этого нужна регистрация WARP, привязанная к MASQUE:
|
||||
|
||||
| Поле | Описание |
|
||||
| -------------------------- | -------- |
|
||||
| **Закрытый ключ** | Зарегистрированный закрытый ключ ECDSA P-256 (PEM или DER в base64). |
|
||||
| **Открытый ключ эндпоинта** | Открытый ключ эндпоинта Cloudflare, возвращённый при регистрации. |
|
||||
| **Адреса туннеля** | Адреса IPv4 и IPv6, которые Cloudflare назначил регистрации. |
|
||||
|
||||
В этом случае host и path по умолчанию указывают на эндпоинт Cloudflare, а WARP нельзя
|
||||
сочетать с именем пользователя или паролем. Направьте аутбаунд на адрес эндпоинта из вашей
|
||||
регистрации и укажите имя сервера TLS `consumer-masque.cloudflareclient.com`.
|
||||
@@ -7,6 +7,7 @@
|
||||
"inbounds",
|
||||
"reality",
|
||||
"tuic",
|
||||
"masque",
|
||||
"transports",
|
||||
"clients",
|
||||
"subscription",
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
---
|
||||
title: Транспорты и безопасность
|
||||
description: Все транспорты, которые предоставляет 3x-ui — TCP, mKCP, WebSocket, gRPC, HTTPUpgrade, XHTTP, Hysteria, XDRIVE — с их настройками, а также обфускация FinalMask, sockopt, TLS/REALITY, XTLS-Vision и шифрование VLESS.
|
||||
description: Все транспорты, которые предоставляет 3x-ui — TCP, mKCP, WebSocket, gRPC, HTTPUpgrade, XHTTP, Hysteria, XDRIVE, MASQUE — с их настройками, а также обфускация FinalMask, sockopt, TLS/REALITY, XTLS-Vision и шифрование VLESS.
|
||||
icon: Network
|
||||
---
|
||||
|
||||
@@ -26,6 +26,7 @@ network записывает свой собственный ключ настр
|
||||
| **XHTTP** | `xhttpSettings` | Современный HTTP-транспорт с мультиплексированием потоков; дружественный к CDN и совместимый с REALITY. |
|
||||
| **Hysteria** | `hysteriaSettings` | Транспорт на базе QUIC — только для протокола **Hysteria2**. |
|
||||
| **XDRIVE** | `xdriveSettings` | Туннелирует поток через файлы в общем облачном хранилище (Google Drive, локальная папка или любой HTTP API хранилища). |
|
||||
| **MASQUE** | `masqueSettings` | CONNECT-IP поверх HTTP/3 или HTTP/2 — только для протокола **MASQUE**. См. [MASQUE](/docs/config/masque). |
|
||||
|
||||
<Callout type="info">
|
||||
Inbound-соединения **WireGuard** и **Tunnel** (dokodemo-door) не предоставляют
|
||||
|
||||
@@ -62,6 +62,7 @@ icon: ArrowDownToLine
|
||||
| **Dokodemo-door / Tunnel** | 端口转发 / 流量重定向。 |
|
||||
| **MTProto** | Telegram MTProto 代理，由内置的 `mtg` 进程提供（而非 Xray）。 |
|
||||
| **TUIC** | 基于 QUIC 的代理协议（v5），由进程内原生 Go 服务器提供。参见 [TUIC](/docs/config/tuic)。 |
|
||||
| **MASQUE** | 基于 HTTP/3 或 HTTP/2 的 CONNECT-IP 隧道，始终使用 TLS；通过 JSON 订阅下发给客户端。参见 [MASQUE](/docs/config/masque)。 |
|
||||
|
||||
<Callout type="info">
|
||||
在内部，Hysteria2 并不是一个独立的协议——它是把传输版本设为 2 的 `hysteria`
|
||||
|
||||
@@ -0,0 +1,51 @@
|
||||
---
|
||||
title: MASQUE
|
||||
description: 在 3x-ui 中提供 MASQUE（CONNECT-IP）入站、将出站连接到 MASQUE 服务器，以及通过 MASQUE 连接 Cloudflare WARP。
|
||||
icon: Waypoints
|
||||
---
|
||||
|
||||
**MASQUE** 使用 CONNECT-IP 方法通过 HTTP/3（或 HTTP/2）承载 IP 数据包，客户端因此获得一条看起来与普通
|
||||
HTTPS 流量无异的完整三层隧道。xray-core 原生支持它；3x-ui 将其作为入站协议、出站协议以及二者共用的 `masque`
|
||||
传输方式提供。
|
||||
|
||||
## 入站
|
||||
|
||||
| 字段 | 说明 |
|
||||
| ------------ | ---- |
|
||||
| **客户端** | 每个客户端使用自己的**邮箱**和**密码**登录（HTTP Basic 认证）。流量、配额、IP 限制和到期时间与其他多用户协议相同。 |
|
||||
| **地址池** | 隧道地址从这些前缀中分配——最多一个 IPv4 和一个 IPv6（默认 `10.14.0.1/24`、`fd14::1/64`）。地址池大小决定同时在线的客户端上限。 |
|
||||
| **MTU** | 隧道 MTU，1280–65535；留空则使用内核默认值。 |
|
||||
| **Path** | 服务端响应的请求路径（默认 `/.well-known/masque/ip/*/*/`）。 |
|
||||
| **安全** | 始终为 TLS。ALPN 决定监听方式：`h3` 在 UDP 上提供 HTTP/3，`h2` 在 TCP 上提供 HTTP/2，两者同时设置则都提供。 |
|
||||
|
||||
<Callout type="info">
|
||||
MASQUE 没有分享链接格式，因此 MASQUE 入站不生成链接、二维码或 Clash 条目。客户端通过 **JSON 订阅**获取可直接导入的配置：
|
||||
一个使用该客户端邮箱和密码认证的 `masque` 出站。
|
||||
</Callout>
|
||||
|
||||
## 出站
|
||||
|
||||
选择 **masque** 作为出站协议，然后设置：
|
||||
|
||||
| 字段 | 说明 |
|
||||
| ------------------- | ---- |
|
||||
| **地址 / 端口** | MASQUE 服务器。 |
|
||||
| **Remote DNS** | 可选，在隧道内查询的 DNS 服务器 IP。 |
|
||||
| **Host / Path** | CONNECT-IP 请求的 authority 和路径；路径必须与服务端一致。 |
|
||||
| **用户名 / 密码** | HTTP Basic 凭据——在 3x-ui 服务端上即客户端的邮箱和密码。 |
|
||||
| **Headers** | 额外的请求头。 |
|
||||
| **TLS** | 必需。ALPN 仅为 `h2` 时改用 TCP 上的 HTTP/2；否则使用 HTTP/3。 |
|
||||
|
||||
## 通过 MASQUE 使用 WARP
|
||||
|
||||
在 masque 传输中开启 **WARP**，即可通过 Cloudflare 的 MASQUE 端点而非 WireGuard 连接 WARP。这需要一个已为
|
||||
MASQUE 注册的 WARP 账户：
|
||||
|
||||
| 字段 | 说明 |
|
||||
| ---------------- | ---- |
|
||||
| **私钥** | 已注册的 ECDSA P-256 私钥（PEM 或 base64 编码的 DER）。 |
|
||||
| **端点公钥** | 注册时返回的 Cloudflare 端点公钥。 |
|
||||
| **隧道地址** | Cloudflare 为该注册分配的 IPv4 和 IPv6 地址。 |
|
||||
|
||||
此时 host 和 path 默认指向 Cloudflare 端点，且 WARP 不能与用户名或密码同时使用。请将出站指向注册所得的端点地址，
|
||||
并将 TLS 服务器名称设为 `consumer-masque.cloudflareclient.com`。
|
||||
@@ -6,6 +6,7 @@
|
||||
"ssl-certificates",
|
||||
"inbounds",
|
||||
"reality",
|
||||
"masque",
|
||||
"transports",
|
||||
"clients",
|
||||
"subscription",
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
---
|
||||
title: 传输方式与安全层
|
||||
description: 3x-ui 提供的每一种传输方式——TCP、mKCP、WebSocket、gRPC、HTTPUpgrade、XHTTP、Hysteria、XDRIVE——及其设置项，外加 FinalMask 混淆、sockopt、TLS/REALITY、XTLS-Vision 以及 VLESS 加密。
|
||||
description: 3x-ui 提供的每一种传输方式——TCP、mKCP、WebSocket、gRPC、HTTPUpgrade、XHTTP、Hysteria、XDRIVE、MASQUE——及其设置项，外加 FinalMask 混淆、sockopt、TLS/REALITY、XTLS-Vision 以及 VLESS 加密。
|
||||
icon: Network
|
||||
---
|
||||
|
||||
@@ -23,6 +23,7 @@ icon: Network
|
||||
| **XHTTP** | `xhttpSettings` | 现代的流多路复用 HTTP 传输；对 CDN 友好且支持 REALITY。 |
|
||||
| **Hysteria** | `hysteriaSettings` | 基于 QUIC 的传输——仅用于 **Hysteria2** 协议。 |
|
||||
| **XDRIVE** | `xdriveSettings` | 通过共享云存储（Google Drive、本地文件夹或任意 HTTP 存储 API）中的文件传输数据流。 |
|
||||
| **MASQUE** | `masqueSettings` | 基于 HTTP/3 或 HTTP/2 的 CONNECT-IP——仅用于 **MASQUE** 协议。参见 [MASQUE](/docs/config/masque)。 |
|
||||
|
||||
<Callout type="info">
|
||||
**WireGuard** 和 **Tunnel**（dokodemo-door）入站不提供传输方式选择器——它们的传输流
|
||||
|
||||
Reference in New Issue
Block a user