👻 udp-443: блокировка QUIC

udp-443 👻 — общее поле прокси. Оно решает, что делать с UDP-трафиком на порт 443 — в основном это QUIC (HTTP/3), — когда правило отправляет его через этот прокси. С reject поток уходит в REJECT, и браузеры повторяют запрос по TCP (HTTP/2). Через прокси это обычно работает лучше, чем QUIC поверх TCP или по UDP с потерями.

proxies:
  - name: vless
    type: vless
    # ...
    udp-443: reject   # или quic: reject

Ключ	Значения	По умолчанию
udp-443	allow, reject	allow
quic	алиас udp-443

• Значения пишутся строчными буквами; Reject или любое другое значение — ошибка разбора прокси unsupport udp-443 value.
• quic — алиас. Оба ключа с одинаковым значением допустимы, с разными — ошибка conflicting udp-443 and quic values. udp_443 читается как udp-443.
• Параметр принимает любой тип прокси (vless, vmess, trojan, ss, hysteria2, wireguard, direct, freedom и остальные) — в proxies и в узлах провайдеров.
• Группы прокси его не принимают: задавайте его узлам или сразу всему провайдеру через override.

Для всего провайдера

proxy-providers:
  sub:
    type: http
    url: https://example.com/sub
    override:
      udp-443: reject

override записывает ключ в каждый узел провайдера перед его разбором.

Как работает

• Затрагиваются только UDP-потоки на порт назначения 443, к любому хосту. TCP/443 и UDP на другие порты идут через прокси как раньше.
• Отклонённый поток ведёт себя как REJECT для UDP: запись проглатывается, чтение сразу заканчивается, ICMP не отправляется. В логах и API у соединения в цепочке REJECT.
• Проверка стоит снаружи всего остального на прокси, раньше smux и mux.cool.
• Группа smart пропускает такой REJECT сразу, не закрепляя узел и не учитывая его в статистике.

Осторожно

• При udp: false параметр ничего не делает: такой прокси пропускается для UDP ещё при разборе правил, и UDP/443 уходит в следующее правило.
• Прокси, который служит dialer-proxy для прокси на QUIC (hysteria2, tuic, wireguard, masque…) с сервером на порту 443, отклонит пакеты этого прокси. Не ставьте reject такому посреднику.
• У mux.cool есть своя xudp-proxy-udp443, по умолчанию reject: с включённым mux.cool UDP/443 отклоняется (с ошибкой) даже при udp-443: allow, пока не указать allow или skip.

Обычный mihomo udp-443 игнорирует. В mihomo того же можно добиться правилом вроде AND,((NETWORK,UDP),(DST-PORT,443)),REJECT, но оно действует сразу на все прокси.

Для панелей Remnawave см. udp-443 через маппер хоста.