mirror of
https://github.com/MHSanaei/3x-ui.git
synced 2026-10-13 01:14:59 +03:00
MHSanaei
b04039c2bd
xray-core v26.10.10 serves MASQUE: CONNECT-IP over HTTP/3 or HTTP/2, always behind TLS, as an inbound and an outbound protocol riding a dedicated "masque" transport. The panel could not create either. Inbound: MASQUE is a multi-user protocol whose users log in with their email and password over Basic auth. The panel keeps the client's "password" like trojan and GenXrayInboundConfig hands it to the core as "pass", so the full-config path, the live AddInbound path and node pushes all emit what the core reads; one user with an empty pass makes the core refuse the whole inbound. Live user adds build a masque.Account from either key, client-only changes diff per user so a new client does not drop every connected tunnel, and client creation, copy, validation and edits key on the password. The address pool and MTU get form fields, TLS is mandatory, and the port check follows the core's listener choice: HTTP/2 on TCP when the ALPN offers h2, HTTP/3 on UDP when it offers h3 or not h2. Nodes may host MASQUE from v3.9.1, the first panel release that knows to rename the password. MASQUE has no share-link format, so links and Clash skip it; the JSON subscription builds the client's masque outbound with its email and password, and the subscription allowlist now lets a subId see MASQUE inbounds at all. The IP-limit job, client pages and traffic tracking list the protocol. Outbound: the form edits the server, remote DNS, and the transport's host, path, Basic credentials, headers and WARP block (enrolled key, endpoint public key, tunnel addresses), which xray-core refuses next to user/pass. The outbound test probes it through the core, since its default HTTP/3 dial is UDP.
55 lines
4.7 KiB
Plaintext
55 lines
4.7 KiB
Plaintext
---
|
||
title: MASQUE
|
||
description: Настройка инбаундов MASQUE (CONNECT-IP) в 3x-ui, подключение аутбаундов к серверам MASQUE и доступ к Cloudflare WARP через MASQUE.
|
||
icon: Waypoints
|
||
---
|
||
|
||
**MASQUE** передаёт IP-пакеты поверх HTTP/3 (или HTTP/2) методом CONNECT-IP, поэтому клиент
|
||
получает полноценный туннель третьего уровня, похожий на обычный HTTPS-трафик. xray-core
|
||
поддерживает его нативно; 3x-ui предлагает его как протокол инбаунда, протокол аутбаунда и
|
||
соответствующий транспорт `masque`, на котором работают оба.
|
||
|
||
## Инбаунд
|
||
|
||
| Поле | Описание |
|
||
| ---------------- | -------- |
|
||
| **Клиенты** | Каждый клиент входит со своими **email** и **паролем** (HTTP Basic auth). Трафик, квоты, лимиты IP и срок действия работают как в любом другом многопользовательском протоколе. |
|
||
| **Пул адресов** | Префиксы, из которых выдаются адреса туннелей, — не более одного IPv4 и одного IPv6 (по умолчанию `10.14.0.1/24`, `fd14::1/64`). Размер пула ограничивает число одновременно подключённых клиентов. |
|
||
| **MTU** | MTU туннеля, 1280–65535; оставьте пустым для значения ядра по умолчанию. |
|
||
| **Path** | Путь запроса, на который отвечает сервер (по умолчанию `/.well-known/masque/ip/*/*/`). |
|
||
| **Безопасность** | Всегда TLS. ALPN определяет слушатели: `h3` обслуживает HTTP/3 по UDP, `h2` — HTTP/2 по TCP, вместе — оба. |
|
||
|
||
<Callout type="info">
|
||
У MASQUE нет формата ссылок, поэтому для инбаундов MASQUE не создаются ссылка, QR-код и
|
||
запись Clash. Клиенты получают готовую к импорту конфигурацию из **JSON-подписки**:
|
||
аутбаунд `masque`, который аутентифицируется email и паролем клиента.
|
||
</Callout>
|
||
|
||
## Аутбаунд
|
||
|
||
Выберите протокол аутбаунда **masque** и задайте:
|
||
|
||
| Поле | Описание |
|
||
| -------------------------- | -------- |
|
||
| **Адрес / Порт** | Сервер MASQUE. |
|
||
| **Remote DNS** | Необязательные IP DNS-серверов, к которым идут запросы внутри туннеля. |
|
||
| **Host / Path** | Authority и путь запроса CONNECT-IP; путь должен совпадать с путём сервера. |
|
||
| **Имя пользователя / Пароль** | Учётные данные HTTP Basic — на сервере 3x-ui это email и пароль клиента. |
|
||
| **Headers** | Дополнительные заголовки запроса. |
|
||
| **TLS** | Обязательно. ALPN только с `h2` переключает на HTTP/2 по TCP; иначе используется HTTP/3. |
|
||
|
||
## WARP через MASQUE
|
||
|
||
Включите **WARP** в транспорте masque, чтобы подключаться к Cloudflare WARP через его
|
||
MASQUE-эндпоинт вместо WireGuard. Для этого нужна регистрация WARP, привязанная к MASQUE:
|
||
|
||
| Поле | Описание |
|
||
| -------------------------- | -------- |
|
||
| **Закрытый ключ** | Зарегистрированный закрытый ключ ECDSA P-256 (PEM или DER в base64). |
|
||
| **Открытый ключ эндпоинта** | Открытый ключ эндпоинта Cloudflare, возвращённый при регистрации. |
|
||
| **Адреса туннеля** | Адреса IPv4 и IPv6, которые Cloudflare назначил регистрации. |
|
||
|
||
В этом случае host и path по умолчанию указывают на эндпоинт Cloudflare, а WARP нельзя
|
||
сочетать с именем пользователя или паролем. Направьте аутбаунд на адрес эндпоинта из вашей
|
||
регистрации и укажите имя сервера TLS `consumer-masque.cloudflareclient.com`.
|