Сразу напишу, как это можно сделать:
Допустим, у тебя на впс стоит реалити на какой-то домен за CDN и ты по какой-то причине не хочешь его менять на свой. Надо как минимум перетащить реалити с внешнего адреса на локалхост или юникс сокет в конфиге ядра, затем поставить нжинкс слушать 443 порт внешнего адреса, и в конфиге nginx.conf прописать
stream {
map $ssl_preread_server_name $name {
stolen_domain.example backend_reality; # stolen sni
}
upstream backend_reality {
server unix:/dev/shm/vlessr.sock;
}
server {
listen IP_VPS:443;
proxy_pass $name;
ssl_preread on;
}
}
Тогда на твой реалити попадет только твой украденный sni, а всякие сканеры пойдут в 444.