Repository navigation
Expand file tree
/
Copy pathconfig.example.env
More file actions
103 lines (91 loc) · 7.15 KB
/
Copy pathconfig.example.env
File metadata and controls
103 lines (91 loc) · 7.15 KB
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
# ============================================================================
# xui-bootstrap — конфигурация. Скопируй в config.env и заполни под себя.
# cp config.example.env config.env && nano config.env
# ============================================================================
# --- Маскировка -------------------------------------------------------------
# reality — Reality-донор (домен не нужен), рекомендуется.
# selfsteal — свой домен + Let's Encrypt + сайт-заглушка (нужна A-запись).
MASK_MODE=reality
# Домен-донор для Reality (обязателен для TLS 1.3 + H2). Примеры: vk.com, www.microsoft.com
REALITY_SNI=vk.com
# Порт донора (по умолчанию $REALITY_SNI:443)
# REALITY_DEST=vk.com:443
# Свой домен и email. DOMAIN нужен для selfsteal, а также включает выпуск
# обычного (90-дневного) сертификата Let's Encrypt при SSL_MODE=letsencrypt.
DOMAIN=
ACME_EMAIL=
# --- SSL сертификат панели/подписки/QUIC -----------------------------------
# letsencrypt — доверенный сертификат (клиенты FlClash/Happ принимают подписку):
# * с DOMAIN — обычный 90-дневный;
# * без домена — на IP (профиль shortlived ~6 дней). Нужен свободный порт 80.
# Авто-продление включается автоматически (крон acme.sh + таймер).
# self-signed — самоподписанный бессрочный (клиенты могут блокировать подписку).
SSL_MODE=letsencrypt
# --- Набор протоколов -------------------------------------------------------
# Какие инбаунды поднять. Доступно:
# xhttp-reality hysteria2 grpc-reality reality-vision
# trojan-reality ss2022 tuic ws-tls (VLESS WebSocket+TLS, 8444/tcp; нужен
# доверенный серт — Let's Encrypt на IP/домен или selfsteal)
# По умолчанию — связка без устаревших в Xray 26.x протоколов:
# xhttp-reality (TCP 443, VLESS + REALITY поверх XHTTP — замена gRPC по
# рекомендации Xray; клиенты: FlClash/Clash Verge, Happ, v2rayN)
# hysteria2 (UDP 443, QUIC — самый устойчивый к ТСПУ)
# Не в дефолте:
# grpc-reality (TCP 2087) — Xray помечает gRPC как устаревший, но пока
# поддерживает; добавь как запасной TCP-вариант, если нужно;
# reality-vision (TCP 8443) — ТСПУ в 2026 палит raw-Reality по поведению;
# trojan-reality, ss2022 — устаревшие в Xray, часто таймаутят;
# tuic — нестабилен на части VPS.
# Повторный запуск bootstrap.sh пропускает уже существующие инбаунды.
AUTO_INBOUNDS="xhttp-reality hysteria2"
# --- Маршрутизация ----------------------------------------------------------
# 1 — резать трафик на RU-ресурсы на стороне VPS (geoip:ru + .ru/.su/.рф).
BLOCK_RU=1
# 1 — регистрировать WARP (Cloudflare) и гнать через него сервисы, блокирующие
# IP хостингов (Gemini/Google AI). AliExpress всегда идёт прямым выходом VPS.
ENABLE_WARP=1
# 1 — вместе с Gemini через WARP идёт вся сессия Google (google.com, gstatic.com,
# googleapis.com, googleusercontent.com), YouTube остаётся напрямую. Иначе
# вход в аккаунт идёт с IP VPS, Gemini — с IP Cloudflare, и Google пишет
# «необычный трафик» (два IP через ≠). 0 — через WARP только Gemini (как
# раньше): Gmail/Поиск быстрее, но эта ошибка возможна. На готовом сервере
# после смены: bash update-tools.sh --routing
WARP_GOOGLE=1
# --- Производительность и защита -------------------------------------------
ENABLE_BBR=1 # TCP BBR + fq
ENABLE_DDOS=1 # nftables анти-DDoS (SYN/ICMP-флуд, мусор, мягкая гвардия SSH)
AUTO_UPDATES=1 # автоматические security-обновления Ubuntu (unattended-upgrades)
# --- Авто-обновление компонентов Xray (systemd-таймеры, раз в неделю) --------
# 1 — обновлять geodata (geoip/geosite): свежие списки РФ и обходных доменов.
# Безопасно — ядро и инбаунды не трогаются, только файлы маршрутизации.
AUTO_UPDATE_GEODATA=1
# 1 — обновлять ядро Xray до последнего релиза (с проверкой запуска и откатом).
# ВЫКЛ по умолчанию: автопроверка ловит только падение ядра, но НЕ ловит
# регрессию Reality (ядро стартует, а часть клиентов молча не коннектится —
# как было в 26.9.x). Включай осознанно и проверяй подключение после апдейта.
# Разовое обновление вручную в любой момент: `xui-update core`.
AUTO_UPDATE_CORE=0
# Тонкая настройка анти-DDoS (можно не трогать):
# DDOS_SYN_RATE=2000 # порог новых SYN в секунду (глобально)
# DDOS_SYN_BURST=3000
# DDOS_ICMP_RATE=50
# DDOS_ICMP_BURST=100
# DDOS_GUARD_RATE=30 # новых SSH-подключений/мин сверх лимита (мягкий drop, без бана)
# DDOS_GUARD_BURST=15
# --- Доступ и безопасность --------------------------------------------------
# 1 — отключить вход по паролю по SSH (нужен настроенный authorized_keys)
SSH_KEYS_ONLY=0
# 0 — панель только через SSH-туннель; 1 — открыть порт панели в интернет
PANEL_PUBLIC=0
# 1 — включить HTTPS панели самоподписанным бессрочным сертификатом (нужно для
# доступа через браузер; 0 — оставить HTTP, только за туннелем/reverse-proxy)
PANEL_SSL=1
# --- Версии компонентов (пусто = последние стабильные) ----------------------
XUI_VERSION=
XRAY_VERSION=
# --- Прочее -----------------------------------------------------------------
# Доп. порты для UFW (через пробел), например: "8080 9090"
EXTRA_TCP_PORTS=""
EXTRA_UDP_PORTS=""
# Публичный IP/домен сервера (если не указан — определяется автоматически)
SERVER_ADDR=