Свой VPN отвалился: почему VLESS с Reality перестал пускать

Вечер, приложение крутит «Подключение», потом таймаут. Ты ничего не менял: сервер оплачен, конфиг не трогали с весны, вчера всё летало. Ниже порядок проверок, который экономит вечер: от самого дешёвого вопроса до неприятного вывода в конце.

Шаг 1. Развести две разные поломки

Симптом один, а причины противоположные. Либо сервер лёг: упал Xray, кончилась память, хостер выключил машину. Либо сервер бодр, а трафик до него не доезжает. Путать их дорого: люди неделями переписывают конфиг машине, до которой просто не добраться.

Первым делом зайди по SSH:

ssh root@ТВОЙ_IP

Пустило: машина работает, идём смотреть Xray. Не пустило, и ping молчит: вопрос к хостеру и к балансу. Не пустило, а ping идёт: кто-то режет TCP на подходе.

Теперь проверка снаружи. С любой другой машины (второй сервер, консоль хостера, ноутбук друга в другой стране) постучись в рабочий порт:

nc -vz ТВОЙ_IP 443

Шаг 2. Живой ли Xray и цел ли конфиг

Три команды на сервере закрывают половину случаев:

systemctl status xray
xray -test -c /usr/local/etc/xray/config.json
ss -lntp | grep xray

Первая покажет, работает процесс или падает в цикле рестартов. Вторая проверит конфиг отдельно от запуска: после автообновления бывает, что старый JSON новая версия уже не принимает, служба стартует и тут же умирает. Третья скажет, слушается ли твой порт. Xray работает, а порта в выводе нет? Значит слушает он не то, что прописано в клиенте.

Заодно посмотри, не задохнулась ли машина:

free -m
df -h
journalctl -u xray -n 200 --no-pager

Забитый под ноль диск или съеденная память дают ровно ту же картину, что и блокировка: на дешёвом тарифе Xray улетает под убийцу процессов, пока владелец третий час подбирает новый транспорт.

Шаг 3. Что видно в логах

Сначала подними уровень записи, иначе половина событий не попадёт в файл. В разделе log:

"log": {
  "loglevel": "warning",
  "access": "/var/log/xray/access.log",
  "error": "/var/log/xray/error.log"
}

Перезапусти службу, попробуй подключиться с телефона и смотри хвост:

tail -f /var/log/xray/error.log

• Полная тишина при живом процессе. Пакеты до сервера не доходят. Xray записывает каждую попытку рукопожатия, и если попыток ноль, обрыв случился раньше. Тебе к шагу 4.
• REALITY: processed invalid connection. До сервера кто-то дошёл, но проверку не прошёл. Либо в порт стучится посторонний сканер (фоновый шум, он будет всегда), либо разъехались публичный ключ, short_id или домен из serverNames, либо в приложении лежит старый профиль. Отдельная засада: несовместимые версии Xray-core на сервере и в клиенте дают ту же строку, хотя параметры сходятся до буквы.
• i/o timeout на исходящих. Клиент дошёл, а сервер сам не может выйти наружу: DNS, firewall или проблемы у хостера. Проверь с сервера curl -I https://example.com.

Шаг 4. Адрес в блоке или подсеть целиком

Признаки узнаваемые: снаружи из другой страны порт открыт, а из дома соединение не встаёт вообще. Иногда приложение бодро пишет «подключено», при этом ни один сайт не грузится: канал есть, трафика нет.

Проверяется дёшево: попроси у хостера сменить IP. Новый адрес ожил, а конфиг не трогали? Блокировали именно адрес.

Подводный камень 2026 года: под ограничения попадают и отдельные адреса, и подсети хостингов целиком. В начале августа так разом отвалились серверы у множества владельцев, причём смена страны у того же хостера чаще всего не спасала. Если новый IP из той же подсети умер следом, менять надо не адрес, а хостера и сеть.

Шаг 5. Маскировка: донор и часы

Reality прячет соединение за настоящий чужой сайт: клиент здоровается так, будто открывает его, и сертификат берётся оттуда же. Отсюда две поломки, о которых вспоминают последними.

Донор перестал годиться

Сайт, под который ты маскируешься, живёт своей жизнью: переехал на другой CDN, сменил набор шифров, перестал держать нужную версию TLS, а то и сам попал под блокировку. Проверь донора прямо с сервера:

openssl s_client -connect example.com:443 -tls1_3 -servername example.com

Донор должен отвечать по TLS 1.3, быть сетево близко к серверу и не иметь отношения ни к России, ни к спискам блокировок.

Уехали часы

Рукопожатие завязано на актуальное время. Машина, простоявшая месяц без синхронизации, начинает отказывать всем подряд без внятной причины:

timedatectl

Нужна строка System clock synchronized: yes. Стоит no: включай NTP и пробуй снова, лечится одной командой.

Шаг 6. Порт, отпечаток, транспорт

Порт меняется за минуту и выручает, когда фильтр смотрел именно на номер. При заблокированном адресе не даст ничего: соединение не встанет ни на 443, ни на 8443.

С транспортом сложнее, и честный ответ такой: вечной настройки нет, набор «того, что держится» меняется волнами. В мае 2026 массово посыпалась самая ходовая связка VLESS поверх TCP с Reality: рукопожатие обрывалось на подходе, до Xray. В начале июня добавился разбор отпечатка клиента, и под раздачу попали самые массовые, браузерные отпечатки. Отпечаток корректный, но популярный, по популярности его и вычисляют. Лучше держались другие транспорты поверх того же Reality: gRPC и XHTTP.

Перебирать разумно от дешёвого к дорогому:

1. другой порт (минута работы, иногда достаточно);
2. другой отпечаток клиента в настройках профиля;
3. включить vision и набивку вместо голой связки;
4. сменить транспорт: gRPC или XHTTP поверх Reality;
5. сменить протокол целиком, например на что-то поверх QUIC;
6. сменить адрес, подсеть и хостера, если ничего не ожило.

Шаг 7. Когда виноват не сервер, а сеть

Самая быстрая проверка на свете: раздай интернет с телефона и подключись тем же ключом. Заработало? Режет домашний провайдер. Не заработало нигде: причина ближе к серверу.

• Регион и оператор. Ограничения включают точечно, и у соседа по лестничной клетке с другим провайдером в тот же вечер всё летает.
• Роутер и DNS. Перезагрузка, «умные» фильтры, DNS. Клиент, который ходит за подпиской по домену, без DNS молча останется со старым профилем.
• MTU. Мелочь открывается, а тяжёлые страницы виснут на середине? Похоже на MTU, покрути его вниз.
• Само приложение. Обновилось и потеряло часть настроек, бывает. Заведи профиль заново из ссылки, а не правь старый руками.

Шпаргалка: симптом и куда смотреть

Неприятная правда про свой сервер

Настроил один раз и забыл: так больше не выходит. За один только 2026 год волн было несколько, и каждая означала вечер наедине с конфигом. Приходят они обычно в самый неподходящий момент: в поездке, в час ночи, когда рядом только телефон без нормальной клавиатуры.

Свой VPS это не покупка, а подписка, которую ты оплачиваешь временем. Кому-то такой расклад в радость, нормальное хобби. Но считать его бесплатным нечестно.

Запасной вход держать разумно

Если сервер остаётся своим, минимальная страховка такая:

• второй вход на том же сервере: другой порт, другой транспорт;
• второй сервер у другого хостера, в другой стране и в другой подсети;
• раздавать не отдельный ключ, а ссылку на подписку: поправил на сервере, устройства подтянули новый профиль сами.

Частые вопросы