Citrus · Новости

Вторая бета — быстрее на загрузке и скачивании, ниже пинг под нагрузкой

Sun, 18 Oct 2026 00:00:00 GMT

Вышел второй бета-релиз v1.0.0-beta.2. Полный список изменений — в журнале изменений.

Сравнение четырёх серверов (#126)

Citrus, Xray v26.10.17, sing-box v1.14.3 и mihomo v1.19.32 замерены как серверы на одном хосте, восемь протоколов, одинаковые клиенты для всех. Итоги:

Citrus впереди на загрузке: REALITY в 32 потока на 52% быстрее лучшего из остальных, в один поток загрузка REALITY и SS2022 быстрее на 40–49%.
У Citrus меньше всего памяти на простаивающий туннель на большинстве протоколов.
sing-box впереди на AnyTLS, на новых соединениях TUIC и на скачивании SS2022.
Xray впереди на загрузке Trojan и SS2022 в 32 потока.

Эти цифры сняты до изменений, описанных ниже. Методика, оговорки и все таблицы — в test/bench/compare/results/2026-10-18-four-cores/RESULTS.md в репозитории.

Что вошло после сравнения

Скачивание (#124). Чтение по 64 КиБ, TLS-записи уходят в сокет вместе (в форках getmikan/tls и getmikan/utls). В 32 потока, по данным стенда: REALITY 2802 → 4235 МБ/с, Trojan 2737 → 3936, SS2022 3895 → 4392.
Пинг под нагрузкой (#131). Эхо рядом с восемью закачками: 55–63 → 20 мс. Для сравнения: у Xray около 77 мс, у sing-box на SS2022 около 47.
Память простаивающего туннеля (#129). Trojan −36% (37,7 КиБ, меньше, чем у sing-box с 43,6), AnyTLS −18%, REALITY −12%.
QUIC (#125). Отставание от sing-box на новых потоках сократилось с 10–12% до 4–6%.

Ещё до сравнения в dev были пакетная запись при загрузке (#119) и меньше аллокаций на новое соединение (#118); они в цифры сравнения уже входят.

Исправления

TUIC: CONNECT с доменом длиной 255 байт больше не роняет сервер до авторизации (#125).
smux заменён форком getmikan/smux: после ошибки буфер вызывающего больше не отправляется (#123).
Лимиты: гонка при закрытии пользователя сверх квоты больше не трогает его новые соединения (#116).

CI

Задача -race для пакетов без гонок (#121).
Ночная проверка производительности против mihomo (#127).

Известное

Сервер TUIC принимает не больше 2048 потоков на одно QUIC-соединение. Клиент, который открывает больше и не ждёт разрешения на новые потоки (так делает клиент sing-box), получает ошибки на лишних.

Дальше

К следующей бете — переработка AnyTLS (#130). Остальное — на странице Дорожная карта.

Аудит закрыт, каскады, события, unix-сокеты и DNSCrypt

Thu, 15 Oct 2026 00:00:00 GMT

Всё ниже влито в ветку dev и пока не вышло в релиз. Попробовать можно, собрав ядро из исходников. Полный список — в журнале изменений.

Аудит закрыт

Статический аудит ядра разобран: найденное исправлено серией PR с #75 по #97, у каждого исправления есть тест, который падает на старом коде. Главное, что заметят пользователи:

контроллер на сетевом адресе требует secret, а без secret на loopback отклоняет запросы браузера с чужих сайтов;
HTTP-прокси авторизует каждый запрос, UDP через SOCKS5 привязан к пользователю и порту, смена пароля закрывает сессии;
самообновление сверяет пакет с checksums.txt релиза;
публичный URL провайдера не может перенаправить в частную сеть, пути проверяются с учётом симлинков;
состояние, которое клиент создаёт до авторизации, ограничено во всех протоколах;
GitHub Actions и образы закреплены по хешам.

Часть изменений требует правок в конфиге: они собраны на новой странице Переход с mihomo. Как сообщить об уязвимости и что сделано для защиты — на странице Безопасность.

Каскады (#73)

Новая группа type: chain собирает цепочку из прокси и групп: первый хоп — вход, последний — выход.

proxy-groups:
  - name: exits
    type: url-test
    proxies: [exit-de, exit-nl]
    url: https://cp.cloudflare.com/generate_204
  - name: cascade
    type: chain
    proxies: [entry, exits]   # entry → лучший выход
    url: https://cp.cloudflare.com/generate_204
    interval: 300

Если цепочка не работает, проверка находит первый сломанный хоп и показывает его в /proxies, в /metrics и в событии chain.health. Подробнее — на странице Цепочки.

Поток событий (#70)

GET /events отдаёт события ядра по WebSocket, SSE или NDJSON: авторизации, срабатывания лимитов, изменения пользователей, перезагрузки конфига, обновления провайдеров, состояние листенеров и цепочек. Панели больше не нужно опрашивать /traffic/users и /limits/users, чтобы узнать, что квота кончилась. См. События.

Unix-сокеты (#68)

TCP-листенеры (VLESS, Trojan, TrustTunnel, HTTP, SOCKS и другие) слушают unix-сокет: listen: unix:/run/citrus/vless.sock. Так ноду удобно ставить за nginx или Caddy, а настоящий адрес клиента передаётся через trusted-proxy-header и trusted-proxies: [loopback].

DNSCrypt (#63)

Серверы DNSCrypt v2 задаются штампами sdns:// в nameserver. Запросы идут через тот же диалер, что и у других DNS-клиентов, так что #proxy и правила работают, а под TUN нет утечек. Сторонних библиотек DNSCrypt не понадобилось.

Клиенты mihomo (#74)

Новые интеграционные тесты запускают официальные релизы mihomo v1.19.31 и v1.19.32 как клиентов против сервера Citrus — так работают приложения пользователей Mikan. Все 31 случая проходят: REALITY с пост-квантовыми настройками, XHTTP, WebSocket, gRPC, Trojan, Shadowsocks 2022, Hysteria2, TUIC v5, AnyTLS, TrustTunnel, Snell, Mieru, Sudoku, HTTP и SOCKS. Несовместимостей не нашлось. Таблица — на странице Совместимость.

Ещё

PUT /rules меняет правила без перезагрузки конфига (#64).
XHTTP по h2 тратит вдвое меньше CPU на гигабайт (#53), а простаивающее соединение — на 30 КБ меньше памяти (#52).
JSON-логи для Loki и ELK: log-format: json (#65).
В форки getmikan/tls и getmikan/utls перенесены исправления безопасности TLS из Go 1.26 (#58).

Что дальше — первый релиз и переход панели Mikan на Citrus — на странице Дорожная карта.

Пост-квантовый REALITY, быстрый XHTTP через CDN и чистка протоколов

Mon, 12 Oct 2026 00:00:00 GMT

Всё ниже уже влито в ветку dev, но ещё не вышло ни в релиз, ни в пререлиз. dev больше не собирается в Prerelease-dev: попробовать изменения сейчас можно, только собрав ядро из исходников ветки dev.

Пост-квантовый REALITY (#8, #10)

Начиная с Xray 26.9.8 сервер REALITY молча отбрасывает ClientHello без key share X25519MLKEM768 перед X25519. Поэтому прежний Citrus не мог подключиться к актуальным серверам Xray.

Клиент (reality-opts)

X25519MLKEM768 включён по умолчанию. support-x25519mlkem768: false возвращает классический hello для старых серверов. Отпечаткам без ML-KEM (ios, edge, randomized и другим) key share добавляется автоматически.
client-version: версия Xray, которую клиент сообщает серверу. По умолчанию 26.10.10, раньше было зашито 1.8.2. Это нужно для серверов с minClientVer.
mldsa65-verify: проверка подписи ML-DSA-65 во временном сертификате, аналог mldsa65Verify в Xray (параметр pqv в ссылках).
client-fingerprint: firefox и safari теперь отдают настоящие hello Firefox 148 и Safari 26.3 из нашего форка getmikan/utls. Принимаются и имена Xray: hellofirefox_148, hellosafari_26_3, hellochrome_131.

proxies:
  - name: vless-reality-vision
    type: vless
    server: server
    port: 443
    uuid: uuid
    network: tcp
    tls: true
    flow: xtls-rprx-vision
    servername: www.microsoft.com
    client-fingerprint: chrome
    reality-opts:
      public-key: xxx
      short-id: xxx
      # support-x25519mlkem768: true  # по умолчанию; false только для старых серверов
      # client-version: 26.10.10      # по умолчанию
      # mldsa65-verify: xxx           # публичный ключ ML-DSA-65 (pqv)

Сервер (reality-config у входящих)

mldsa65-seed: подпись временного сертификата ML-DSA-65, аналог mldsa65Seed в Xray. Цепочка сертификатов dest должна быть не короче примерно 3,5 КБ, иначе подпись не помещается и рукопожатие не проходит. У Xray то же ограничение.
require-x25519mlkem768: принимать только клиентов с X25519MLKEM768, остальные уходят на dest.
min-client-ver и max-client-ver: допустимый диапазон версий клиента.

listeners:
  - name: vless-in
    type: vless
    port: 443
    users:
      - username: 1
        uuid: uuid
        flow: xtls-rprx-vision
    reality-config:
      dest: test.com:443
      private-key: xxx   # citrus generate reality-keypair
      short-id:
        - 0123456789abcdef
      server-names:
        - test.com
      # max-time-difference: 60000     # миллисекунды
      # mldsa65-seed: xxx              # xray mldsa65
      # require-x25519mlkem768: true
      # min-client-ver: 26.9.8
      # max-client-ver: 26.10.10

Проверено вживую против Xray 26.10.10 (VLESS + Vision + REALITY) в обе стороны: клиент Citrus к серверу Xray и клиент Xray к серверу Citrus, с подписью ML-DSA-65 и без неё. Неверный ключ отклоняется.

Изменение поведения. max-time-difference теперь в миллисекундах, как maxTimeDiff в Xray. Раньше значение читалось в микросекундах, и число, скопированное из конфига Xray, допускало расхождение часов в 1000 раз меньше. Если вы подбирали значение под старые единицы, разделите его на 1000.

Все ключи описаны в справочнике конфига.

XHTTP через CDN (#9)

В режиме packet-up следующий POST больше не ждёт ответа на предыдущий, как и в Xray. Через CDN каждый POST раньше стоил полный круг клиент → CDN → сервер, и отдача упиралась в задержку. В живом тесте против Xray 26.10.10 запрос через packet-up занял 0,4 с вместо 5,4 с. Через HTTP/1.1 ответы по-прежнему ждутся.
x-padding-bytes: "0-0" теперь значит паддинг по умолчанию Xray (100–1000 байт), а не его отсутствие.
path с запросом, например /xh?ed=2048, отправляется как путь и query, как в Xray, а не как экранированный %3F внутри пути.

Удалены устаревшие протоколы (#7)

Удалены ShadowsocksR, Hysteria v1, TUIC v4, потоковые шифры Shadowsocks (rc4-md5, aes-ctr/cfb, chacha20 и другие) и v2ray-plugin. Shadowsocks принимает только none, AEAD и 2022-blake3-*. VMess пока остаётся.

В провайдерах прокси такой узел пропускается с предупреждением, остальная подписка загружается.
В основном конфиге это ошибка с понятным текстом, например «TUIC v4 is no longer supported, use uuid/password (v5)».

Журнал отклонённой авторизации (#5)

Пакет component/authevent сообщает о неудачных попытках входа на входящих TrustTunnel, REALITY, AnyTLS, VLESS, Trojan, TUIC v5, Hysteria2 и Sudoku: протокол, адреса и причину, без учётных данных. Это основа для журнала отклонённых запросов в панели. События идут через очередь и не замедляют рукопожатие.

Гонки данных в Vision и AnyTLS (#11)

Исправлены гонки данных в фильтре и чтении XTLS Vision и в потоке AnyTLS, которые находил go test -race. Горячий путь Vision после первых пакетов стоит одну атомарную загрузку.

Citrus запущен

Sun, 11 Oct 2026 00:00:00 GMT

Citrus — сетевое ядро Mikan, форк MetaCubeX/mihomo. Ядро теперь живёт в своём репозитории getmikan/Citrus, с сохранённой историей и авторством upstream, и выходит своими релизами.

Как устроена разработка

Две ветки: dev и main. Все pull request’ы идут в dev, main получает только слияния из dev.
Каждая ветка собирается в свой пререлиз: Prerelease-dev и Prerelease-main. Стабильные версии выходят релизами с тегом.
Изменения из mihomo приходят отдельными PR в dev.

Подробнее — в разделе «Как участвовать».

Что планируем

Это планы, а не готовые изменения:

Убрать устаревшие протоколы, начиная с VMess.
Совместимость с Xray, включая постквантовый REALITY: обмен ключами X25519MLKEM768 и подписи ML-DSA-65.
Исправления xhttp.

О каждом шаге напишем здесь, когда он будет в релизе.