VMESS协议使用XHTTP传输

[TrajanBenn]

方案为VMESS+Caddy+XHTTP，Caddy用作反向代理
服务端Inbounds

{
    "listen": "127.0.0.1",
    "port": 1234,
    "protocol": "vmess",
    "settings": {
        "clients": [
            {
                "id": "{uuid}",
                "level": 0,
            }
        ]
    },
    "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
            "mode": "auto",
            "path": "/{path}"
        }
    }
}

客户端Outbounds

{
    "sendThrough": "0.0.0.0",
    "protocol": "vmess",
    "settings": {
        "vnext": [
            {
                "address": "{example.com}",
                "port": 443,
                "users": [
                    {
                        "id": "{uuid}",
                        "security": "aes-128-gcm"
                    }
                ]
            }
        ]
    },
    "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
            "mode": "auto",
            "path": "/{path}"
        },
        "security": "tls"
    }
}

报错为用户不存在，日志信息

2025/02/17 00:08:01.460262 [Info] [2246039059] app/proxyman/inbound: connection ends > proxy/vmess/inbound: invalid request from 127.0.0.1:35130 > common/drain: common/drain: unable to drain connection > read tcp 127.0.0.1:41002->127.0.0.1:35130: i/o timeout > proxy/vmess/encoding: invalid user > user do not exist

是否因为是XHTTP传输时动态生成UUID作验证导致

另外假设流量走CDN，如果使用无加密协议如VLESS，CDN作为中间人能否看到明文内容

[lxhao61]

1、没有这个限制，当然可使用 VMess 协议。
2、你现配置不能使用：
1)、CDN 是否支持过 XHTTP 传输？
2)、确定没上传的 Caddy 配置没问题？
3)、客户端的 mode 模式改为 packet-up 试试。
3、若使用无加密协议如 VLESS、CDN 作为中间人能看到明文内容，解决办法：
1)、如你一样换加密协议 VMess。
2)、XHTTP 应用使用上下行分离配置，使用无加密协议如 VLESS，最多让 CDN 中间人只看到上行或下行明文内容。

[TrajanBenn]

cdn也看不到明文 现在网页流量都是https了 有tls加密 最多只能看到过vless信息 看不到网页信息

CDN如果作恶或者被后门的话还是可以发起中间人攻击的https://security.stackexchange.com/questions/7843/what-are-the-risks-of-using-a-cdn-to-speed-up-my-website-how-do-i-avoid-them

[yyyytawa]

https没法发起中间人攻击,浏览器会报错证书不受信任不安全. 再说毕竟cdn又没有你访问的目标网站的证书,就算有也不敢这样干.干了你可以举报然后等着它ca被吊销就行了.而且还会丢失大量客户,CDN厂商又不傻,不会跟钱过不去

[TrajanBenn]

没法发起中间人攻击,浏览器会报错不安全

CF作为中间人用户一定会信任CF的证书，CF就是中间人，CF拿自己的私钥解密用户的流量就能看到明文内容了

[yyyytawa]

没法发起中间人攻击,浏览器会报错不安全

CF作为中间人用户一定会信任CF的证书，CF就是中间人，CF拿自己的私钥解密用户的流量就能看到明文内容了

解密出来明文也没用,cf只能知道你搭建的节点信息,你访问的网页内容cf一样看不到.内部的https流量最多就只能看个SNI了.
最多只能让cf知道你搭建节点了,就算是内容加密cdn想封也很容易,谁家http包里面传一堆乱码.

[TrajanBenn]

没法发起中间人攻击,浏览器会报错不安全

CF作为中间人用户一定会信任CF的证书，CF就是中间人，CF拿自己的私钥解密用户的流量就能看到明文内容了

解密出来明文也没用,cf只能知道你搭建的节点信息,你访问的网页内容cf一样看不到.内部的https流量最多就只能看个SNI了. 最多只能让cf知道你搭建节点了,就算是内容加密cdn想封也很容易,谁家http包里面传一堆乱码.

这一点是正确的，SNI是明文可见，其余的是密文