[2026-09-01] eagle: family/plans/reverse-xray-3xui-kraken.md

family/plans/reverse-xray-3xui-kraken.md

@@ -72,6 +72,24 @@ networks:
 
 `xray-admin` должен быть в сети `caddy_default` — там же Caddy. Проверено: caddy_default содержит caddy, syncthing, webdav, gitea.
 
+## Reverse-схема (Xray portal/bridge) — 2026-09-01, спроектировано
+
+Целевое: локальные клиенты сети TrueNAS (192.168.2.x) выходят в интернет через Kraken.
+
+Роли Xray reverse (по эталону Xray-examples/ReverseProxy):
+- **Kraken = BRIDGE** (reverse bridges) — держит исходящий канал к TrueNAS, публикует "интернет-выход" (freedom).
+- **TrueNAS = PORTAL** (reverse portals) — принимает от локальных клиентов (external-inbound) и пересылает в Kraken по reverse-каналу (interconn).
+
+Конкретные порты/транспорт:
+| Компонент | Хост | Контейнер/роль | Транспорт | Вход/выход |
+|---|---|---|---|---|
+| portal | TrueNAS | `xray-reverse-portal` | VLESS-WS | interconn `:12346` → Caddy path `/rvs`; external `:12345` для клиентов сети |
+| bridge | Kraken | `xray-reverse-bridge` | VLESS-WS | interconn → `vpn.mallexxx.duckdns.org` path `/rvs`; свобода → интернет |
+
+Транспорт: VLESS + WebSocket (т.к. снаружи TrueNAS только 443 через Caddy; WS подходит для reverse поверх outbound). Отдельный путь Caddy `/rvs` (не `/vless` 3x-ui) → `xray-reverse-portal:12346`, чтобы не смешивать с inbound 3x-ui.
+
+Caddy правка: `vpn.mallexxx.duckdns.org` добавить маршрут `@rvs path /rvs` → `reverse_proxy @rvs xray-reverse-portal:12346`.
+
 ## Статус деплоя (2026-09-01)
 
 ✅ **3x-ui развёрнут на TrueNAS и работает:**