[2026-09-15] eagle: family/how-to/truenas-infrastructure.md family/how-to/vps-qentra.md personal/tech/xray-outbound-subscription-3xui.md personal/tech/xray-reverse-tunnel-kraken-truenas.md work/projects/cpm-web-extension-breakage-validation.md

personal/tech/xray-reverse-tunnel-kraken-truenas.md

@@ -1,7 +1,7 @@
 ---
 title: Xray Reverse Tunnel — Kraken ↔ TrueNAS
 created: '2026-09-01'
-updated: '2026-09-02'
+updated: '2026-09-15'
 type: tech
 namespace: personal
 tags:
@@ -17,6 +17,7 @@ related:
   - '[[family/how-to/truenas-infrastructure]]'
   - '[[family/how-to/kraken-access]]'
   - '[[family/how-to/rasputin-router]]'
+  - '[[personal/tech/xray-outbound-subscription-3xui]]'
 downgrade_to_26.4.25: >-
   portal+bridge BOTH pinned to 26.4.25; required but insufficient by itself.
 verified_fix_2026_09_02: >-
@@ -26,6 +27,16 @@ verified_fix_2026_09_02: >-
 
 # Xray Reverse Tunnel — Kraken ↔ TrueNAS
 
+> ## 🔀 НЕ ПУТАТЬ с egress-подпиской (2026-09-15)
+> У `xray-admin` **три независимых механизма выхода**, их легко перепутать:
+> | Механизм | Кто выходит | Док |
+> |---|---|---|
+> | `user1` → outbound `direct` | клиент выходит через **TrueNAS** `90.189.160.148` | ниже |
+> | `kraken-user` → `via-kraken` → **этот** reverse-туннель | клиент выходит через **Кра́кен** `92.62.70.41` | **этот док** |
+> | `vless-space` → `space-balancer` (`space-01…10`) | клиент выходит через **внешнюю подписку** `profilegrid.net` | [[personal/tech/xray-outbound-subscription-3xui]] |
+>
+> Reverse-туннель (portal на TrueNAS + bridge на Кра́кене) — отдельные контейнеры, `xray-admin` его лишь **использует** как outbound `via-kraken` (SOCKS `xray-reverse-portal:12345`). Подписочный клиент `vless-space` reverse-туннель **не задействует**.
+
 > **Статус: ✅ ВНЕДРЕНО И ПРОВЕРЕНО END-TO-END (2026-09-02).** TrueNAS SOCKS `:12345` → VLESS Reverse TCP+REALITY+Vision → Kraken → internet работает. HTTP и HTTPS тесты оба вернули выходной IP Kraken `92.62.70.41`. **Истинная причина:** Docker bridge/NAT на Kraken сбрасывал reverse mux; bridge должен работать с `network_mode: host`. Более ранние секции со статусом «не работает» и гипотезами #6612/#6242 сохранены ниже как история диагностики и суперсидированы секцией «Верифицированный фикс».
 > Архитектурное решение: проксировать исходящий трафик локальных клиентов сети TrueNAS через **TrueNAS → Kraken → интернет**.