”偷“自己成功，但会看到REALITY: processed invalid connection

[toyo2333]

我自己的服务上配置了xray回落到本机的caddy服务器端口，caddy反代了一个域名link.myself.com，这个域名指向本机的一个小应用服务。

现在的情况是，xray代理是ok的， 速度体验都很好。
直连用域名link.myself.com也可以打开对应的小应用服务（caddy的日志里显示是xray转发过来的，符合那个回落转发的设定）

问题是，客户端代理没有连接的时候，服务端xray闲置时的日志里一直可以看到断断续续的一些invalid connection

2023/08/18 15:09:49 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:09:50 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:24 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:25 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:26 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:28 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:29 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:30 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:32 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:12:33 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:15:21 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:21:18 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:24:02 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:24:40 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:27:22 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:28:54 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:29:17 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:29:17 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:29:17 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:29:18 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:31:08 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:33:22 [Info] transport/internet/tcp: REALITY: processed invalid connection

请问
1、这个是什么原因呢？如何知道这些invalid connection具体是什么来自哪里请求什么？是被爆了？还是爬虫还是什么？
2、我直连link.myself.com的时候，xray是不是也当成invalid connection？

[chise0713]

1. 把日志等级开高点，看看访问记录。
2. 是，只有对不上的才会回落。

[toyo2333]

1. 把日志等级开高点，看看访问记录。
2. 是，只有对不上的才会回落。

日志等级已经开到debug了。正常的代理请求，信息很详细。但这个processed invalid connection就没有额外的信息。

[chise0713]

1. 把日志等级开高点，看看访问记录。
2. 是，只有对不上的才会回落。

日志等级已经开到debug了。正常的代理请求，信息很详细。但这个processed invalid connection就没有额外的信息。

config里的

"realitySettings": {
                    "show": false, // 选填，若为 true，输出调试信息

记得开true

[toyo2333]

1. 把日志等级开高点，看看访问记录。
2. 是，只有对不上的才会回落。

日志等级已经开到debug了。正常的代理请求，信息很详细。但这个processed invalid connection就没有额外的信息。

config里的

"realitySettings": {
                    "show": false, // 选填，若为 true，输出调试信息

记得开true

刚加了，重启了xray，看日志还是只有这些的信息
2023/08/18 15:52:23 [Info] transport/internet/tcp: REALITY: processed invalid connection
2023/08/18 15:52:25 [Info] transport/internet/tcp: REALITY: processed invalid connection

[chise0713]

其实用着正常可以不用管它，违规请求在没设置回落的情况下会返回偷的证书，有设置回落的话是带着证书回落？
实际上我也不太清楚reality设置回落到网站是怎么样的，r佬说回落是用来多协议同端口而不是落网站用的。

[toyo2333]

其实用着正常可以不用管它，违规请求在没设置回落的情况下会返回偷的证书，有设置回落的话是带着证书回落？ 实际上我也不太清楚reality设置回落到网站是怎么样的，r佬说回落是用来多协议同端口而不是落网站用的。

我测试的情况是 用https://vps-ip/asdfasd 这样ip+乱填的url访问，日志就会报REALITY: processed invalid connection
用服务端xray配置里的域名：
"serverNames": [
"link.myself.com"
],
https://link.myself.com 来访问，就没看到processed invalid connection，网站还能打开正常使用我vps部署的应用。

所以我怀疑上面那一大堆processed invalid connection是不是爬虫什么的，我只是想确认。但现在xray的日志看不出来。

[chise0713]

不是很明白，不过日志提示这个了它也应该是被挡在外面了吧

[toyo2333]

不是很明白，不过日志提示这个了它也应该是被挡在外面了吧

之前设置没更新，现在可以看到详细信息了。

访问回落域名不会触发processed invalid connection，而是有一条明确的验证信息，但不进行连接。估计是直接转发了。

确实是存在一些爬虫会触发processed invalid connection，我之前没关闭80端口，自动转发443，一些走ip+80端口的爬虫，触发了processed invalid connection。

大概是这些情况。后面我继续观察下。应该问题不大。

[toyo2333]

来了来了

REALITY remoteAddr: 34.140.130.61:46540
REALITY remoteAddr: 34.140.130.61:46540 handled: false
2023/08/18 20:26:52 [Info] transport/internet/tcp: REALITY: processed invalid connection
REALITY remoteAddr: 45.79.148.84:61000
REALITY remoteAddr: 45.79.148.84:61000  handled: false
2023/08/18 20:36:13 [Info] transport/internet/tcp: REALITY: processed invalid connection
REALITY remoteAddr: 139.162.84.205:61000
REALITY remoteAddr: 139.162.84.205:61000        handled: false
2023/08/18 20:48:14 [Info] transport/internet/tcp: REALITY: processed invalid connection
REALITY remoteAddr: 113.161.40.15:58384
REALITY remoteAddr: 113.161.40.15:58456
REALITY remoteAddr: 113.161.40.15:58456 handled: false
2023/08/18 21:11:37 [Info] transport/internet/tcp: REALITY: processed invalid connection
REALITY remoteAddr: 113.161.40.15:58384 handled: false
2023/08/18 21:11:39 [Info] transport/internet/tcp: REALITY: processed invalid connection

ip是谷歌云的欧洲数据中心和美国linode数据中心，东京、越南等，不知道是什么爬虫，也不知道访问的是什么路径，只有ip没有更多的信息

[toyo2333]

看到了这么一条日志

REALITY remoteAddr: 157.245.109.22:46616
REALITY remoteAddr: 157.245.109.22:46616        handled: false
2023/08/18 21:24:04 [Info] transport/internet/tcp: REALITY: processed invalid connection
REALITY remoteAddr: 157.245.109.22:46624
REALITY remoteAddr: 157.245.109.22:46624        hs.c.AuthKey[:XX]: [XXXXXXXXXXXXXXXXXXXXXXXXXXX]      AEAD: *chacha20poly1305.chacha20poly1305
REALITY remoteAddr: 157.245.109.22:46624        hs.c.conn == conn: false
REALITY remoteAddr: 157.245.109.22:46638
REALITY remoteAddr: 157.245.109.22:46650
REALITY remoteAddr: 157.245.109.22:46658
REALITY remoteAddr: 157.245.109.22:46658        hs.c.AuthKey[:XX]: [XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX]   AEAD: *chacha20poly1305.chacha20poly1305
REALITY remoteAddr: 157.245.109.22:46658        hs.c.conn == conn: false
REALITY remoteAddr: 157.245.109.22:46568        handled: false

和之前不太一样，之前出现 hs.c.AuthKey、hs.c.conn == conn: false这些 都是我访问自己的域名回落成功的时候会是这个。

但上面这个一个印度的ip，先是 processed invalid connection，而后又有后面这一行。

请大佬帮忙解答一下，我这是服务器被攻击了？还是说xray的配置被破解了？

[toyo2333]

日志里也出现了一些自己ip的 REALITY: processed invalid connection

[chika0801]

请大佬帮忙解答一下，我这是服务器被攻击了？还是说xray的配置被破解了？

建议你客户端使用没感觉到（发现）有异常，不要看日志，这是个好习惯。

你VPS不是什么机密，没人无聊天天来D你的VPS。你把SSH登陆方式改为私钥，关闭密码登陆，就很安全了。

[xixky]

看nginx日记，会有很多破解服务器的爬虫。