# Nginx + Xray（Reliability）多域名共用443端口完美解决方案

为了更好的伪装，且本身有两个网站要使用，所以就弄了这么一个东西，最终就是两个网站和Xray都使用443端口，流量监测的时候代理的流量被伪装成了正常的TSL，没有问题，这个是基础功能。如果主动探测，代理域名，不是客户端访问引导到正常更新使用的博客上。
在这篇文章前，使用的Xray在前，使用Xray的回落机制+分流实现。不过会该方案有严重的串站问题。最后定了下面的方案，Nginx在前通过串流，原封不动的将代理域名的信息转给Xray。

## 一、需求背景与最终架构
### 1.1 原始需求
一台服务器（Debian 12 + Nginx 1.22.1 + PHP 8.2）
三个域名都使用443端口：
网站A域名：Discuz论坛（HTTPS）
网站B域名：WordPress博客（HTTPS）
代理域名：XRay代理（REALITY协议）
探测代理域名时能看到真实的博客内容（回落机制）
绝对不串站

### 1.2 最终架构（Nginx在前 + stream分流）
用户访问
   ↓
443端口 → Nginx（stream模块，读SNI不解密）
          ├─ SNI = 网站A域名 → 127.0.0.1:4431
          ├─ SNI = 网站B域名 → 127.0.0.1:4432
          └─ SNI = 代理域名 → 127.0.0.1:8443
                ↓                    ↓              ↓
          Nginx http(4431)    Nginx http(4432)   Xray(8443)
        处理论坛（HTTPS） 处理博客（HTTPS） 处理代理
回落指向博客端口(4432)

## 二、配置步骤详解
### 2.1 准备工作：SSL证书（Let's Encrypt）
#安装Certbot
apt update
apt install certbot python3-certbot-nginx -y

#申请证书（包含三个域名）
certbot --nginx -d 网站A域名 -d 网站B域名 -d 代理域名

#注意：如果已有其中一个域名的证书，选择 Expand 扩展域名
#证书路径：/etc/letsencrypt/live/代理域名/

### 2.2 备份原有配置（可选）
cp /etc/nginx/conf.d/网站A.conf /etc/nginx/conf.d/网站A.conf.bak
cp /etc/nginx/conf.d/网站B.conf /etc/nginx/conf.d/网站B.conf.bak
cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.bak
cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak

### 2.3 修改Nginx主配置（添加stream模块）
编辑 /etc/nginx/nginx.conf，在文件最顶部（events块之前）添加：
```nginx
stream {
    #根据SNI域名转发到不同后端
    map $ssl_preread_server_name $backend {
        网站A域名     127.0.0.1:4431;
        网站B域名     127.0.0.1:4432;
        代理域名      127.0.0.1:8443;
        default                127.0.0.1:4432;  #默认看博客
    }

    server {
        listen 443 reuseport;
        listen [::]:443 reuseport;
        
        ssl_preread on;
        proxy_pass $backend;
        
        #超时设置
        proxy_connect_timeout 30s;
        proxy_timeout 30s;
    }
}
#下面是原有的 events { ... } 和 http { ... }
events {
    worker_connections 768;
    #...
}
```

### 2.4 配置论坛（网站A）
编辑 /etc/nginx/conf.d/网站A.conf：
```nginx
server {
    listen 127.0.0.1:4431 ssl;
    server_name 网站A域名;
    
    #SSL证书
    ssl_certificate /etc/letsencrypt/live/代理域名/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/代理域名/privkey.pem;
    
    #SSL配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    
    root /var/www/网站A;
    index index.php index.html;
    
    location / {
        try_files $uri $uri/ /index.php?$args;
    }
    
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
        fastcgi_param HTTPS on;
    }
    
    location ~ /\.ht {
        deny all;
    }
    
    location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
        expires 30d;
        add_header Cache-Control "public, no-transform";
    }
}
```

### 2.5 配置博客（网站B）
编辑 /etc/nginx/conf.d/网站B.conf：
```nginx
server {
    listen 127.0.0.1:4432 ssl;
    server_name 网站B域名;
    
    #SSL证书（和论坛用同一个）
    ssl_certificate /etc/letsencrypt/live/代理域名/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/代理域名/privkey.pem;
    
    #SSL配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;
    
    root /var/www/wordpress;
    index index.php index.html;
    
    location / {
        try_files $uri $uri/ /index.php?$args;
    }
    
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/var/run/php/php8.2-fpm.sock;
        fastcgi_param HTTPS on;
    }
    
    location ~ /\.ht {
        deny all;
    }
    
    client_max_body_size 128M;
    
    location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
        expires 30d;
        add_header Cache-Control "public, no-transform";
    }
}
```

### 2.6 配置XRay
编辑 /usr/local/etc/xray/config.json：
```json
{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "port": 8443,
      "listen": "127.0.0.1",
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "你的uuid-1",
            "flow": "xtls-rprx-vision"
          },
          {
            "id": "你的uuid-2",
            "flow": "xtls-rprx-vision"
          }
        ],
        "decryption": "none",
        "fallbacks": []
      },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "dest": "127.0.0.1:4432",  // 回落指向博客端口
          "serverNames": [
            "代理域名"
          ],
          "privateKey": "你的私钥",
          "shortIds": [
            "你的shortId-1",
            "你的shortId-2"
          ]
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": ["http", "tls"]
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct"
    },
    {
      "protocol": "blackhole",
      "tag": "block"
    }
  ]
}
```

### 2.7 重载服务
nginx -t && systemctl reload nginx
xray -test -config /usr/local/etc/xray/config.json
systemctl restart xray

## 三、踩坑记录与解决方案
### 坑1：证书申请时提示找不到代理域名的server_name
现象：
text
Could not automatically find a matching server block for 代理域名
原因：代理域名由XRay处理，Nginx中没有对应的server块
解决方案：
bash
#临时创建一个代理域名的Nginx配置
```
cat > /etc/nginx/conf.d/代理域名.temp.conf << EOF
server {
    listen 80;
    server_name 代理域名;
    root /var/www/html;
}
EOF
```
nginx -t && systemctl reload nginx
certbot install --cert-name 代理域名
rm /etc/nginx/conf.d/代理域名.temp.conf

### 坑2：XRay回落配置错误导致循环
现象：curl测试代理域名时报错 SSL_ERROR_SYSCALL
原因：XRay配置中dest写成了域名网站B域名:443，导致流量循环
解决方案：改为直接指向博客的本地端口
json
"dest": "127.0.0.1:4432"

### 坑3：浏览器测试时串站（先打开论坛，后面全变论坛）
现象：同一个浏览器中，先访问网站A，再开新标签页访问网站B，显示论坛内容
原因：HTTP/2的连接合并（coalescing）特性，三个域名共用同一IP和证书，浏览器复用连接
解决方案：在网站配置中禁用HTTP/2
nginx
#将 listen 127.0.0.1:4431 ssl http2; 改为
listen 127.0.0.1:4431 ssl;
验证：禁用后感觉不到速度差异，问题彻底解决

### 坑4：论坛友情链接跳转也串站
现象：从论坛点击友情链接到博客，显示论坛内容
原因：同坑3，同一标签页内跳转复用了连接
解决方案：同坑3，禁用HTTP/2后解决

### 坑5：reuseport参数导致分流异常（偶发）
现象：偶尔出现分流错误，重启Nginx后恢复
原因：某些内核版本中reuseport与ssl_preread共用可能异常
解决方案：去掉reuseport参数（本案例最终保留，但遇到问题时可去掉）

## 四、验证命令汇总
### 4.1 验证Nginx配置
nginx -t
nginx -T | grep -A 20 -B 5 "stream {"

### 4.2 验证stream分流
#测试论坛（每次新建连接）
curl -k --no-keepalive https://网站A域名 --resolve 网站A域名:443:127.0.0.1 | grep -o "<title>.*</title>"

#测试博客
curl -k --no-keepalive https://网站B域名 --resolve 网站B域名:443:127.0.0.1 | grep -o "<title>.*</title>"

#测试代理域名（应返回博客内容）
curl -k --no-keepalive https://代理域名 --resolve 代理域名:443:127.0.0.1 | grep -o "<title>.*</title>"

### 4.3 验证XRay
systemctl status xray
ss -tlnp | grep 8443
xray -test -config /usr/local/etc/xray/config.json

### 4.4 验证证书自动续期
bash
systemctl list-timers | grep certbot
certbot renew --dry-run

## 五、客户端配置（XRay）
##5.1 连接信息
参数	值
地址	代理域名
端口	443
协议	VLESS
UUID	你的uuid
Flow	xtls-rprx-vision
加密	none
安全	reality
serverName	代理域名

publicKey	你的公钥
shortId	你的shortId
dest	网站B域名:443（客户端不需要配置，这是服务端回落目标）

## 六、最终状态确认
组件	状态	验证方式
论坛 HTTPS	✅ 正常	浏览器访问 https://网站A域名
博客 HTTPS	✅ 正常	浏览器访问 https://网站B域名
代理域名回落	✅ 正常	浏览器访问 https://代理域名 看到博客
XRay代理	✅ 正常	客户端连接测试
证书续期	✅ 自动	systemctl list-timers | grep certbot
串站问题	✅ 解决	不同浏览器同时访问三个域名均正确