首先感谢大佬的配置，Xray(M+H+K+A)+Nginx配置1套CF出现Error 525: SSL handshake failed

[laurentwu]

1. 配置好之后VLESS+Vision+REALITY可以访问
2. VLESS+XHTTP+TLS使用cdn域名连接不上，但是不经过CF代理能连上
3. 直接访问cdn域名Cloudflare报错：Error 525: SSL handshake failed
4. 将配置发给Gemini后让我注释掉下面这段代码

server {
        listen 127.0.0.1:8443 ssl proxy_protocol default_server; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        http2 on; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        set_real_ip_from 127.0.0.1;
        real_ip_header proxy_protocol;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_reject_handshake on; #版本不小于 v1.19.4 才支持
    } #限定域名连接（包括禁止以 IP 方式访问网站）

5. 注释后重启nginx能成功连接
6. 所以这段配置是不是建议删除？

Gemini解释：
场景 1：Nginx 的 "Default Server" 陷阱
发生点：步骤 8 (Nginx 回复)。
过程：

• Cloudflare 发送 SNI cdn.********.com。
• 经过 Xray 转发到 Nginx。
• Nginx 看到请求，但在匹配 server_name 之前，可能先撞到了你配置的第一个 server 块
• ssl_reject_handshake on 告诉 Nginx：“直接拒绝这个握手，不要发证书，不要废话”。
• Nginx 直接切断连接。
• Cloudflare 收到连接重置（RST）或空响应，向用户报错 Error 525。

[lxhao61]

那段配置肯定不能删除！目的见备注及禁止被别人反代。
出现问题肯定是你自己配置有误！1、检查自已示例是否完全参考对应示例？2、检查 CDN 对应域名的 Cloudflare 配置是否正确（自定义 SSL/TLS 选择完全、SSL/TLS 边缘证书是否正常、网络中 gRPC 开启等）？

[laurentwu]

客户端到Cloudflare是正常的，Cloudflare到服务器不正常，SSL handshake failed

CF配置都是正常的，FULL模式，SSL/TLS 边缘证书也是正常的，gRPC开启

nginx日志：

2025/12/23 23:05:50 [info] 261934#261934: *132622 SSL_do_handshake() failed (SSL: error:0A0000BA:SSL routines::bad cipher) while SSL handshaking, client: 127.0.0.1, server: 127.0.0.1:8443

证书签名

Signature Algorithm: ecdsa-with-SHA384

nginx配置：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers on;

[lxhao61]

1、你 Nginx 版本及 SSL 库是？ CDN 域名使用是 Cloudflare 证书、还是正常申请证书等？
2、你的示例是否完全参考对应示例，否则上传你完整示例(敏感参数信息删除)来交流，不能瞎人摸象！

[laurentwu]

1. nginx版本

nginx version: nginx/1.28.0
built by gcc 14.2.0 (Debian 14.2.0-19)
built with OpenSSL 3.5.1 1 Jul 2025 (running with OpenSSL 3.5.4 30 Sep 2025)
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/run/nginx.pid --lock-path=/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-http_v3_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-g -O2 -Werror=implicit-function-declaration -ffile-prefix-map=/home/builder/debuild/nginx-1.28.0/debian/debuild-base/nginx-1.28.0=. -fstack-protector-strong -fstack-clash-protection -Wformat -Werror=format-security -fcf-protection -Wp,-D_FORTIFY_SOURCE=2 -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie'

2. nginx配置

user  nginx;
worker_processes auto;

error_log /var/log/nginx/error.log debug; #错误日志的文件地址

pid /run/nginx.pid;

events {
    worker_connections 1024;
}

http {
    include mime.types;
    default_type application/octet-stream;

    #创建自定义变量 $client_ip 实现使用 CDN 后也能获取到客户端真实 IP，其配置如下：（选配）
    map $http_x_forwarded_for $client_ip {
        "" $remote_addr;
        "~*(?P<firstAddr>([0-9a-f]{0,4}:){1,7}[0-9a-f]{1,4}|([0-9]{1,3}\.){3}[0-9]{1,3})$" $firstAddr;
    }

    #启用访问日志，其调整后的配置如下：（选配）
    log_format main '$client_ip - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log main; #访问日志的文件地址。（选配）

    sendfile on;

    keepalive_timeout 65;

    server {
        listen 80;
        listen [::]:80; #若无 IPv6，此项可删除。
        return 301 https://$host$request_uri; #HTTP 自动跳转 HTTPS，让网站看起来更真实。
    }

    server {
        listen 443 quic reuseport; #仅版本不小于 v1.25.0 且 SSL 库支持 QUIC 才配置，否则必须删除。
        listen [::]:443 quic reuseport; #仅版本不小于 v1.25.0 且 SSL 库支持 QUIC 才配置，否则必须删除。另外若无 IPv6，此项也可删除。
        listen 127.0.0.1:8443 ssl proxy_protocol; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        http2 on; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        set_real_ip_from 127.0.0.1;
        real_ip_header proxy_protocol;
        server_name a.域名.com cdn.域名.com; #修改为自己的域名

        ssl_certificate       /etc/nginx/ssl/域名.com/cert.pem;
        ssl_certificate_key   /etc/nginx/ssl/域名.com/key.pem;

        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305;
        ssl_prefer_server_ciphers on; #优先使用服务端的密码套件。（对如上 TLSv1.2 协议的密码套件有效）

        location /VLSpdG9k { #与 VLESS+XHTTP 应用中 path 对应
            grpc_pass grpc://127.0.0.1:2023; #转发给本机 VLESS+XHTTP 监听端口
            grpc_set_header Host $host;
            grpc_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }

        location / {
            add_header Alt-Svc 'h3=":443"; ma=86400'; #通告 HTTP/3 server 的可用性
            add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; #启用 HSTS
            root /web/rn; #修改为自己存放的 Web 文件路径
            try_files /index.html =404;
        }
    }
    
    server {
        listen 127.0.0.1:8443 ssl proxy_protocol default_server; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        http2 on; #仅版本不小于 v1.25.1 才配置，否则必须删除。
        set_real_ip_from 127.0.0.1;
        real_ip_header proxy_protocol;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_reject_handshake on; #版本不小于 v1.19.4 才支持
    } #限定域名连接（包括禁止以 IP 方式访问网站）
}

3. xray配置

{
  "log": {
    "loglevel": "warning",
    "error": "/var/log/xray/error.log",
    "access": "/var/log/xray/access.log"
  },
  "inbounds": [
    {
      "port": 443, //VLESS+Vision+REALITY 监听端口
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "", //修改为自己的 UUID
            "flow": "xtls-rprx-vision" //启用 XTLS Vision
          }
        ],
        "decryption": "none",
        "fallbacks": [
          {
            "dest": 2023 //回落给 VLESS+XHTTP 监听端口
          }
        ] //回落配置。（选配）
      },
      "streamSettings": {
        "network": "raw",
        "security": "reality",
        "realitySettings": {
          "target": 8443, //转发给自己网站的监听端口
          "xver": 1, //开启 PROXY protocol 发送，发送真实来源 IP 和端口给自己的网站。 1 或 2 表示 PROXY protocol 版本。
          "serverNames": [
            "a.域名.com" //修改为自己的网站域名
          ], //客户端可用的 serverName 列表，暂不支持 * 通配符。
          "privateKey": "", //修改为自己执行 ./xray x25519 后生成的一对密钥中私钥
          "shortIds": [
            "" //若有此项，客户端 shortId 可为空。若不为空，可 0 到 f（0123456789abcdef），长度为 2 的倍数，长度上限为 16 。
          ] //客户端可用的 shortId 列表，可用于区分不同的客户端。
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls",
          "quic"
        ]
      }
    },
    {
      "listen": "127.0.0.1", //只监听本机，避免本机外的机器探测到下面端口。
      "port": 2023, //VLESS+XHTTP 监听端口
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "" //修改为自己的 UUID
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "path": "/VLSpdG9k" //修改为自己的路径
        }
      },
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls",
          "quic"
        ]
      }
    }
  ],
  "routing": {
    "rules": [
      {
        "type": "field",
        "protocol": [
          "bittorrent"
        ],
        "outboundTag": "block"
      }
    ]
  },
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {
          "domainStrategy": "UseIPv4v6"
      }
    },
    {
      "tag": "block",
      "protocol": "blackhole",
      "settings": {}
    }
  ]
}

4. 证书是通过acme.sh向let's encrypt申请的泛域名证书，cloudflare的dns申请的。

Certificate:
Data:
Version: 3 (0x2)
Serial Number:
Signature Algorithm: ecdsa-with-SHA384
Issuer: C=US, O=Let's Encrypt, CN=E8
Validity
Not Before: Dec 22 23:57:13 2025 GMT
Not After : Mar 22 23:57:12 2026 GMT
Subject: CN=域名.com
Subject Public Key Info:
Public Key Algorithm: id-ecPublicKey
Public-Key: (256 bit)
pub:
ASN1 OID: prime256v1
NIST CURVE: P-256
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
X509v3 Basic Constraints: critical
CA:FALSE
X509v3 Subject Key Identifier:
X509v3 Authority Key Identifier:
Authority Information Access:
CA Issuers - URI:http://e8.i.lencr.org/
X509v3 Subject Alternative Name:
DNS:*.域名.com, DNS:域名.com
X509v3 Certificate Policies:
Policy: 2.23.140.1.2.1
X509v3 CRL Distribution Points:
Full Name:
URI:http://e8.c.lencr.org/103.crl
CT Precertificate SCTs:
Signed Certificate Timestamp:
Version : v1 (0x0)
Log ID :
Timestamp : Dec 23 00:55:43.321 2025 GMT
Extensions: none
Signature : ecdsa-with-SHA256
Signed Certificate Timestamp:
Version : v1 (0x0)
Log ID :
Timestamp : Dec 23 00:55:43.523 2025 GMT
Extensions:
Signature : ecdsa-with-SHA256
Signature Algorithm: ecdsa-with-SHA384
Signature Value:

[lxhao61]

晕，请先参考示例仔细检查且调成一致。不要随便乱加参数，另注意先后顺序等。
最后 Cloudflare 配置中 DNS 解析仅保留‘cdn.域名.com’与‘a.域名.com’ 试试。

[fatalitylive]

2026.1.31版不支持流控为空了，(M+K)组合的跌落要怎么办呢？