请教一些关于Reality回落的问题

[WROIATE]

目前如果我不配置fallback，访问自己的域名，会回落Reality到dest，这时我的域名与dest真实证书就会不匹配，显示证书错误，那是不是需要同时配置https的回落和tls的回落？

[chika0801]

发下具体配置才能分析

[WROIATE]

@chika0801

{
    "log": {
        "loglevel": "warning"
    },
    "routing": {
        "domainStrategy": "IPIfNonMatch",
        "rules": [
            {
                "type": "field",
                "ip": [
                    "geoip:cn"
                ],
                "outboundTag": "block"
            }
        ]
    },
    "inbounds": [
        {
            "listen": "0.0.0.0",
            "port": 443,
            "protocol": "vless",
            "settings": {
                "clients": [
                    {
                        "id": "example",
                        "flow": ""
                    }
                ],
                "decryption": "none"
            },
            "streamSettings": {
                "network": "h2",
                "security": "reality",
                "realitySettings": {
                    "show": false,
                    "dest": "example.com:443",
                    "xver": 0,
                    "serverNames": [
                        "example.com"
                    ],
                    "privateKey": "example",
                    "shortIds": [
                        "",
                        "example"
                    ]
                }
            },
            "sniffing": {
                "enabled": true,
                "destOverride": [
                    "http",
                    "tls"
                ]
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "freedom",
            "tag": "direct"
        },
        {
            "protocol": "blackhole",
            "tag": "block"
        }
    ],
    "stats": {},
    "policy": {
        "levels": {
            "0": {
                "handshake": 2,
                "connIdle": 120
            }
        }
    }
}

[WROIATE]

这个是报错页面

[qist]

你可以配置本地ng 转发example.com 然后你的域名配置ssl这样就显示正常了。

[chika0801]

懂你问的意思了。你上面发的报错是正常的。要测试的方法是，你改WIN的HOSTS文件，把VPS的IP对应到你dest网站的网址。

然后关开浏览器（确保HOSTS已生效），在浏览器输入DEST的网址，显示DEST网站的内容。这样来验证。

[ixxmu]

这一定是不正常的，访问你域名追过去一看证书是错误的，应该是需要配置默认回落的，至今都没有配置说明出来，不知道这里的回落是不是这样用的

[chika0801]

这一定是不正常的，访问你域名追过去一看证书是错误的，应该是需要配置默认回落的，至今都没有配置说明出来，不知道这里的回落是不是这样用的

你去看xray的TG频道发布时，开发者就说了怎么验证，在回复里面的。。。

[WROIATE]

@ixxmu
这个问题从原理上来说是符合预期的，因为访问机器时是通过直连IP+指定SNI标识进行的TLS链接，全程不包含自己的域名信息，理论上你只需要在nginx前置代理上针对IP直连的请求返回444就可以避免被追查（毕竟中间人得不到你真实域名的情况下也只能通过IP来链接）

@chika0801
我其实是想了解下，Reality是只针纯TLS进行伪装吗？已经不再考虑应用层HTTPS了吗？是默认中间人探测重放也只会根据TLS来吗？如果用户不像我上述一样，针对IP直连的请求进行拒绝，那暴露的可能性是不是会很高呢（毕竟IP直连后是会返回dest证书的，其中包含了dest的域名信息，探测人通过WHOIS数据库查询域名信息或者通过遍历dns查询到IP与域名不对等，是不是会直接暴露）

[chika0801]

等REALITY更新文档。可先看看

原理拾零
#1734 (comment)
#1701 (comment)
#1697 (comment)
#1697 (comment)
#1681 (comment)
#1588 (comment)

[heibailiangxiangwang20]

等REALITY更新文档。或者看看

现实工作原理零碎 #1734（评论） #1701（评论） #1697（评论） #1697（评论） #1588（评论）

我想请教一下，如果排除省钱买域名，自己配置这些因素的话，到底是偷别人的好，还是偷自己的安全？
其实我们接触v2ray-xray已经好几年了，在加上您那里有很全面的配置文件，所以配置对我们来说不是大问题，在加上一个域名就几块钱的事。所以我只想知道这两种偷法到底哪个安全，能抗防火墙。
我只想更安全，不被封ip端口这些，但从不怕繁琐的配置

[chika0801]

我觉得偷别人还是偷自己区别是这样的。你偷别人，万一别人网站VPS挂了，你就不通，别人的因素你无法100%排除，就这而以。

你换个角度想偷自己，自己VPS挂了，你肯定也连不通，排查就方便点吧。

[heibailiangxiangwang20]

我觉得偷别人还是偷自己区别是这样的。你偷别人，万一别人网站VPS挂了，你就不通，别人的因素你无法100%排除，就这而以。

你换个角度想偷自己，自己VPS挂了，你肯定也连不通，排查就方便点吧。

感谢大神回复，那就是基本也没啥区别了

[ixxmu]

是 符合预期的，这种用法也是没有问题，但是从浏览器访问你的域名A，但是实际上显示却是域名B的证书，对浏览器或者用户来说就是不正常的；

1.8.0的 vision 解决了TLS in TLS的问题，新的 reality 解决的 SNI 名单阻断问题，具体可看之前讨论的TLS的**生死5包**；

不了解背后的代码实现，但是 shadowTLS 目前是可以国内外域名通吃，几乎不挑域名（v3需要挑域名），不知道为何reality对域名的要求这么严格，求大神解答或者等正式的release吧

[chika0801]

但是从浏览器访问你的域名A，但是实际上显示却是域名B的证书，对浏览器或者用户来说就是不正常的；

你客户端地址填vps的 ip

[RPRX]

这个 issue 我没看，只想回复这一句：

不了解背后的代码实现，但是 shadowTLS 目前是可以国内外域名通吃，几乎不挑域名（v3需要挑域名），不知道为何reality对域名的要求这么严格，求大神解答或者等正式的release吧

XTLS/REALITY#2 (comment)

简单来说，不是能不能的问题，而是应不应该的问题，这些协议握手时要连接目标服务端，你的国外机器填个国内域名合适吗

这个原因是非常显而易见的啊，写模板时我以为一笔带过提醒一下，大家就明白了，真的是我高估了

[Ymjie]

借楼问一下，如果多台服务器配置REALITY 使用同一对privateKey、publicKey 会有什么安全问题吗？

[chika0801]

借楼问一下，如果多台服务器配置REALITY 使用同一对privateKey、publicKey 会有什么安全问题吗？

我几台vps就这样用的shortid也一样，自己1个人用，主要是方便点

[GreatMichaelLee]

借楼问一下，如果多台服务器配置REALITY 使用同一对privateKey、publicKey 会有什么安全问题吗？

用passwall给reality节点配负载均衡，必须用同样的key啊，没啥问题。

[AminA193]

Hi. thanks a lot for your valuable efforts. is it possible to use reality with Cloudflare proxy in future updates? I think it is a very useful capability specially when our VPS IP is filtered.

[Misaka-blog]

@AminA193 no thx 😅