# Режим домена

> Добавьте возврат CDN через Cloudflare для устойчивости к блокировке IP.

## Что добавляет режим домена

```
meridian deploy 198.51.100.10 --domain vpn.example.com
```

Без домена выход уже предлагает Reality, а также XHTTP и Hysteria2 на IP-адресе сервера. Собственный домен меняет две вещи:

- **XHTTP** переезжает на ваш домен, и там же добавляется **WSS** — с сертификатом Let's Encrypt, который Meridian выпускает и обновляет (acme.sh)
- Когда домен проксируется через Cloudflare, оба пути проходят через CDN Cloudflare — поэтому они продолжают работать даже если IP вашего сервера будет заблокирован

Панель и страницы подключения остаются на IP сертификате сервера; домен носит только пути прокси.

Hysteria2 на UDP/443 тоже переходит на сертификат домена (см. [Hysteria2 и Cloudflare](#hysteria2-и-cloudflare)); `--no-hysteria2` отключает его.

## Настройка Cloudflare

**Следуйте этому порядку** чтобы избежать проблем с сертификатом:

1. Добавьте ваш домен в Cloudflare и создайте **A запись**, указывающую на IP вашего сервера
2. Сохраните значок облака **серым** ("DNS only")
3. Запустите `meridian deploy 198.51.100.10 --domain vpn.example.com` — Meridian получает сертификат
4. Переключите запись на **оранжевое облако** (Proxied)
5. Установите SSL/TLS на **Full (Strict)** и включите **WebSockets** (Network settings)

Deploy выводит эти шаги снова когда завершится.

> **Важно:** сертификат выпускается с HTTP вызовом на портс 80. Cloudflare's "Always Use HTTPS" ломает этот вызов — отключите его или исключите `/.well-known/acme-challenge/*`.

## Ссылки подключения

Подписка и страница подключения каждого клиента перечисляют каждый путь:

| Путь | Маршрут | Когда это помогает |
|------|-------|---------------|
| Reality | Прямо на IP сервера | Первичный — самый быстрый |
| XHTTP | Ваш домен (через Cloudflare при проксировании) | Reality заблокирован или дросселируется |
| WSS | Ваш домен (через Cloudflare при проксировании) | IP сервера заблокирован |
| Hysteria2 | IP вашего сервера по UDP/443, с сертификатом домена | Ненадёжные сети или сети с высокой задержкой, либо когда заблокированы все пути по TCP |

Приложения, которые импортируют подписку Xray JSON, Mihomo или sing-box, переключаются между путями автоматически когда один прекращает работать. Другие приложения показывают каждый путь как отдельную запись.

## Hysteria2 и Cloudflare

Hysteria2 подключается к IP вашего сервера по UDP, а домен использует только для TLS-сертификата, поэтому продолжает работать, когда запись проксируется через Cloudflare (Cloudflare такой трафик не пропускает). Обфускация salamander делает его пакеты похожими на случайные данные, а не на QUIC. Там, где UDP заблокирован, приложения возвращаются к путям по TCP, перечисленным выше.

## Добавление домена позже

Запустите ещё раз вашу команду развёртывания с добавленным `--domain`. Существующие Reality ссылки продолжают работать. Чтобы позже удалить домен, переразворачивайте без `--domain`: пути XHTTP и WSS удаляются и подписки обновляются.