Что внутри и почему данные не утекают

Техническое описание схемы: транспорт, что видит узел, чего он увидеть не может, и что проверялось.

Транспорт

Два узла: Даллас и Алматы. На каждом Xray 26.2.6.

Слой	Что используется
Основной вход	`VLESS → WebSocket → TLS 1.3`, сертификат Let's Encrypt на поддомене узла. Снаружи неотличим от обычного HTTPS-сайта
Резервный вход	`VLESS → TCP → REALITY` на 8443, маскировка под сторонний домен с валидным сертификатом
Аутентификация	UUID v4 на пользователя, свой у каждого
Исходящий	`freedom` с `domainStrategy: UseIPv4`

Почему пароли и карты не видны узлу

Главный вопрос — отвечаю по слоям.

Внутри туннеля идёт ваш собственный TLS до конечного сайта. Узел терминирует только внешний слой (свой TLS) и передаёт дальше байты, которые для него непрозрачны: ключи сессии согласованы между вашим браузером и банком, на сервере их нет и быть не может.

[браузер] --TLS до банка--------------------------> [банк]
          \__ VLESS/WS/TLS до узла __/
                   узел видит: SNI, объём, тайминги
                   узел НЕ видит: тело, заголовки, пароли, номера карт

Чтобы узел увидел содержимое, потребовалось бы подменить сертификат банка, а это заметит браузер: pinning, CT-логи, предупреждение о недоверенном сертификате. Никакого MITM-прокси в схеме нет, CA в систему не ставится.

Что узел действительно видит: имя хоста из SNI (то есть «было соединение с sberbank.ru»), объём и время. Это метаданные, а не содержимое. И даже их он не записывает — см. ниже.

Банковский трафик вообще не доходит до узла

Разделение делается на клиенте, до туннеля.

В профиле прописаны правила: зона .ru, .рф, .su, плюс явный список доменов банков, госуслуг и маркетплейсов, плюс GEOIP,RU — всё это идёт DIRECT, минуя туннель. Для этих соединений сервер не видит даже SNI: трафик физически не доходит до него.

Отдельно разведён DNS: русские имена резолвятся российским резолвером напрямую (nameserver-policy), иначе был бы домашний IP при иностранном резолвере — заметное несоответствие.

Логирование

Ответ на «а что, если сервер изымут».

Xray	`loglevel: none`, `access: none`, `error: none` — журнал соединений не ведётся
systemd-journald	`Storage=volatile` — журнал только в tmpfs, на диск не пишется, при перезагрузке исчезает
nginx (раздача подписок)	`access_log off` — токены не попадают в логи

Диагностические логи включались днём при отладке и были затёрты через shred.

Изоляция и защита узла

Routing	Блокируются `127.0.0.0/8`, RFC1918, `100.64.0.0/10`, `169.254.0.0/16`, ULA, link-local и собственные адреса узла. Закрывает SSRF из туннеля к локальным службам
Протоколы	`bittorrent` → blackhole, исходящий `25` → blackhole; на файрволе также `465`, `587`
SSH	Только ed25519-ключ. `PasswordAuthentication no`, `PermitRootLogin prohibit-password`, fail2ban
Файрвол	ufw, `default deny incoming`; снаружи открыты только 22, 443, 8443
Обновления	unattended-upgrades включены, все текущие security-обновления установлены
Клиенты	Не объединены в L2/L3-сегмент, видеть друг друга не могут

Раздача ключей

Токен	20 hex-знаков, `secrets.token_hex(10)` — 80 бит, перебор нереален
Отдача	nginx отдаёт только по regex `^/sub/[0-9a-f]+/[0-9a-f]{20}\.(txt\|json\|yaml)$`, `autoindex off`, всё остальное 404
Страница	Ключ передаётся во fragment — не уходит в `Referer` и не попадает в логи сервера. Валидация origin: принимается только свой адрес подписки, чужой отклоняется
Заголовки	`CSP default-src 'self'`, `frame-ancestors 'none'`, `Referrer-Policy: no-referrer`, `X-Content-Type-Options: nosniff`. Внешних ресурсов на странице нет
Отзыв	UUID удаляется с обоих узлов, файл подписки стирается. Сначала узлы, потом реестр — чтобы сбой не оставил рабочий ключ

Что проверялось на пролом

Перебор и подбор чужого токена, листинг каталога подписок, path traversal (в том числе URL-encoded) — закрыто
Обращение из туннеля к 127.0.0.1:8082 (там лежат подписки), к RFC1918 и к собственному адресу узла — блокируется, проверено с соседнего узла
Подмена sub= на чужой или сторонний адрес подписки — отклоняется валидатором
XSS через fragment: в DOM нет innerHTML/document.write, значение идёт только в textContent и в href схемы приложения — вектора нет
Инъекция команд в утилите выдачи ключей через имя пользователя — была найдена и закрыта: данные передаются отдельным потоком, имя валидируется

Ограничения, о которых честно

Сейчас один IPv4 на узел. Дополнительные адреса заказаны. После выдачи группы разъезжаются по разным адресам, с разной плотностью:
• домашняя — не более 5 человек на адрес;
• друзья — до 7 человек, по 3 устройства на каждого;
• рабочая — плотнее, этот адрес не жалко.
Смысл в том, чтобы поведение одного не задевало остальных: заблокируют адрес — пострадает одна группа, а не все. Пока адрес общий для всех.
Нет лимита устройств на ключ. Xray не считает устройства; это умеет панель управления, её поставим отдельно. Пока утёкшая ссылка отзывается вручную.
Метаданные. Узел технически способен видеть SNI в момент прохождения трафика. Запись отключена, но это вопрос доверия к администратору, а не криптографии.
Хостер имеет доступ к диску виртуалки. Полнодисковое шифрование на VPS без консоли не разворачивалось. Поэтому на узлах нет ни логов, ни переписки — читать там нечего.