Двойной хоп: проброс VLESS и Trojan через VPS с HAProxy

Иностранные VPS всё чаще недоступны на уровне провайдера — пакеты просто не доходят до клиента. Решение — поставить доступный российский VPS как ретранслятор, который пробрасывает трафик на иностранный сервер. При этом доступный VPS не расшифровывает трафик: он видит только зашифрованный поток байт.

🔁 Как работает двойной хоп

Клиент подключается к российскому IP, а выходит в интернет через нидерландский. Промежуточный сервер с HAProxy в режиме TCP-прокси не имеет доступа к содержимому трафика — он только пересылает зашифрованные пакеты.

Клиент (телефон / ноутбук)
        ↓ подключается к RU IP
🇷🇺 RU VPS — HAProxy (TCP-прокси, трафик не читает)
        ↓ пробрасывает зашифрованный поток
🇳🇱 NL VPS — 3X-UI + VLESS / Trojan
        ↓
   Интернет

---

📋 Что понадобится

• NL VPS с уже настроенным 3X-UI, VLESS и/или Trojan — см. инструкцию по настройке VLESS через 3X-UI
• RU VPS — любой дешёвый тариф, достаточно 1 GB RAM и 1 vCore
• IP-адрес и порт твоего NL VPS — берутся из панели 3X-UI
• SSH-доступ к обоим серверам

---

🛠️ Шаг 1. Установка HAProxy на RU VPS

Подключись к RU VPS по SSH и выполни:

apt update && apt install -y haproxy

Проверь, что HAProxy установился:

haproxy -v

Должна появиться версия — значит всё в порядке.

⚙️ Шаг 2. Настройка конфига

Запиши конфиг одной командой. Перед выполнением замени IP_NL_VPS, ПОРТ_VLESS и ПОРТ_TROJAN на свои значения из 3X-UI:

cat > /etc/haproxy/haproxy.cfg << 'EOF'
global
    log /dev/log local0
    maxconn 4096

defaults
    log     global
    mode    tcp
    option  tcplog
    timeout connect 5s
    timeout client  1m
    timeout server  1m

# VLESS
frontend vless_in
    bind *:ПОРТ_VLESS
    default_backend vless_out

backend vless_out
    server nl_vps IP_NL_VPS:ПОРТ_VLESS

# Trojan
frontend trojan_in
    bind *:ПОРТ_TROJAN
    default_backend trojan_out

backend trojan_out
    server nl_vps IP_NL_VPS:ПОРТ_TROJAN
EOF

⚠️ Используешь только один протокол? Удали соответствующий блок frontend / backend из команды перед выполнением.

🚀 Шаг 3. Запуск и проверка

Запусти HAProxy и добавь в автозагрузку:

systemctl restart haproxy && systemctl enable haproxy

Проверь статус сервиса:

systemctl status haproxy

Убедись, что порты слушаются:

ss -tlnp | grep haproxy

Должно появиться примерно следующее — порты в состоянии LISTEN:

LISTEN 0  4096  0.0.0.0:443    0.0.0.0:*  users:(("haproxy",...))
LISTEN 0  4096  0.0.0.0:43038  0.0.0.0:*  users:(("haproxy",...))

📱 Шаг 4. Настройка клиента

Это самое главное — меняем всего один параметр в существующем профиле клиента.

1. Открой 3X-UI на NL VPS, найди нужный inbound, скопируй ссылку подключения
2. Импортируй ссылку в Hiddify, V2RayNG или Streisand
3. В настройках профиля замени IP-адрес с NL VPS на IP твоего RU VPS
4. Порт, UUID, ключи, SNI — не трогай, остаются без изменений
5. Подключись и проверь IP через любой сервис типа ifconfig.me

Ты увидишь IP нидерландского сервера — это правильно. RU VPS выступает невидимой прослойкой и нигде не светится.

---

⚡ Преимущества двойного хопа

• Подключение работает, даже если IP с 3X-UI недоступен из-за фильтра твоего провайдера
• RU VPS не видит содержимое трафика — только зашифрованный поток между клиентом и NL-сервером
• Лёгкая смена NL VPS — достаточно поменять IP в конфиге HAProxy, клиентские ключи остаются прежними
• Масштабируемость — один RU VPS может обслуживать несколько иностранных серверов на разных портах
• Минимум потребления — HAProxy легковесный, 1 GB RAM хватает с большим запасом

---

❓ Частые вопросы

Вырастет ли скорость или пинг?

Пинг увеличится на 10–20 мс (это время между RU и NL VPS). Скорость практически не теряется — HAProxy очень лёгкий и потребляет минимум ресурсов. Маршрут клиент → RU VPS короткий и стабильный, а RU → NL идёт по магистральным каналам между датацентрами, которые гораздо надёжнее, чем «домашний провайдер → заграница» напрямую.

Что делать, если недоступен RU VPS?

Просто меняешь IP ретранслятора. В клиенте правишь только адрес сервера — NL VPS и все ключи не трогаешь.

Видит ли хостинг RU VPS мой трафик?

Нет. Трафик зашифрован между твоим устройством и NL VPS с помощью VLESS Reality или Trojan. HAProxy видит только IP-адрес назначения и поток байт.

Можно ли на одном RU VPS держать несколько NL-серверов?

Да. Добавь новые блоки frontend / backend с разными портами для каждого сервера. Например, для двух NL-серверов с портами 443 и 8443:

frontend vless_nl1
    bind *:443
    default_backend nl1_out

backend nl1_out
    server nl1 IP_NL_1:443

frontend vless_nl2
    bind *:8443
    default_backend nl2_out

backend nl2_out
    server nl2 IP_NL_2:443

Нужен ли статический IP на RU VPS?

Желательно. При смене IP придётся обновлять адрес в клиентских приложениях у каждого пользователя — это неудобно. У LikeVPS все тарифы идут со статическим IP по умолчанию.

Можно ли использовать вместо HAProxy nginx или другое решение?

Технически да, но HAProxy лучше для TCP-проксирования: он специально под это заточен, потребляет меньше CPU и проще конфигурируется. Nginx тоже умеет (через stream модуль), но для нашей задачи HAProxy — оптимальный выбор.

---