3x-ui 面板怎么用？添加节点、开用户、管流量，一次配好

面板装好以后，要做四件事：建一个节点，给自己和家里人各开一个账号，设好流量上限和到期时间，最后做三项安全设置。下面每一步都是我们 2026 年 10 月 6 日在测试服务器上的真实操作，面板版本 3.9.0，Xray 26.9.30。截图里的服务器 IP、密钥、UUID、订阅 ID 和二维码都用色块盖住了。

这篇有视频版：YouTube 上看《3x-ui 面板怎么用》。

还没装面板，先看3x-ui 安装教程。节点用的是 VLESS + Vision + REALITY，原理见这篇协议科普。客户端怎么连，按平台分开写：安卓（v2rayNG）、iPhone（Clash Mi）。

先认识左边的菜单

登录后的首页是系统状态，左上角显示“Xray 运行中”，旁边有个“重启”按钮，改完路由要用它。

自己用，常用的菜单就四个：

入站：节点
客户端：用户账号
路由：屏蔽哪些流量
面板设置：面板自己的密码、端口

“分组”“节点”“主机”是管多台服务器、很多用户时用的，先不用管。

第一步：添加节点（入站）

在 3x-ui 里，节点叫“入站”，可以理解成服务器上开的一扇门：用什么协议，开在哪个端口。

点“入站”→“添加入站”，在“基础配置”页：

项目	填什么
备注	自己认得的名字，我们写 `bufanche-reality`
协议	`vless`（默认）
端口	`443`，普通网站用的端口
总流量、到期时间	先空着，后面按用户单独设

3x-ui 添加入站的基础配置：备注 bufanche-reality，协议 vless，端口 443

“传输”页默认是 RAW，也就是普通 TCP，不用动。“协议”页也保持默认。

3x-ui 添加入站的传输页：传输方式 RAW

安全页：选 Reality，用“查找目标”挑网站

切到“安全”页，选 Reality。“目标”一栏填要借用门面的网站。不知道填什么，点右边的“查找目标”，面板会探测一批大网站，列出是否支持 TLS 1.3 和 h2，以及延迟。

挑一个延迟低、“证书”一栏和域名完全一样的，点“使用”。

3x-ui 的 REALITY 目标扫描器：列出一批网站的 TLS 版本、ALPN、证书和延迟

不要选微软的域名（www.microsoft.com 等），我们不再用它做门面；我们最初选了 www.microsoft.com，后来改成了 www.apple.com，下面的截图是改好后的样子。

2026-10-08 补充：Xray v26.9.30 起，目标含 apple、icloud、microsoft 也会在日志里警告“更容易被墙”，www.apple.com 同样不再推荐。更好的做法是找和你服务器同一个机房网络的网站，步骤见Reality 的 SNI 填什么，选好后可以用REALITY 目标网站检测查一遍。

另外，Xray 26.7 及更早的版本读取 www.microsoft.com 的证书会超出 8192 字节的上限，握手直接失败（Xray-core #6356），这也是换掉它的原因之一。

3x-ui 入站的安全页：Reality，uTLS 为 chrome，目标 www.apple.com:443，SNI 只有 www.apple.com

容易踩的坑：SNI 只留一个

点完“使用”，面板会把证书里的所有域名都塞进 SNI 一栏。我们第一次没注意，用的是三星的证书，里面有一个 .cn 结尾的域名，服务器日志直接给了警告：

REALITY: Choosing "api.semiconductor.samsung.cn" as the target will increase the likelihood of your server's IP being blocked

所以 SNI 只留一个，和目标一样的那个，其他的点叉删掉。

往下拉，公钥、私钥和 Short IDs 面板已经自动填好了。私钥不要给任何人看。

Reality 设置下方：Short IDs、公钥、私钥已自动填好（已遮挡）

嗅探页：打开

切到“嗅探”，把“启用”打开。后面要在路由里屏蔽 BT 下载，Xray 官方文档写明，必须开启入站的嗅探（sniffing），才能认出连接用的是什么协议。

3x-ui 嗅探页：启用已打开，识别 HTTP、TLS、QUIC、FAKEDNS

点“创建”。列表里多了一行：443 端口，vless，TCP，Reality。这时客户端数还是 0，没人能连。

入站列表：bufanche-reality，443 端口，vless、TCP、Reality

第二步：开用户（客户端）

3x-ui 里用户叫“客户端”，一个客户端就是一个账号。同一个节点可以挂好几个用户，每人一条链接，流量分开算。

点“客户端”→“添加客户端”，在“基本”页：

项目	我们填的	说明
邮箱	`my-phone`	其实就是名字，不用填真邮箱
流量上限 (GB)	`100`	0 = 不限
IP 限制	`2`	同时最多几个 IP 在用，0 = 不限
过期时间	30 天后	留空 = 永不过期
流量重置	每月，每月 1 号	到日子清零重新算
备注	自己的手机
关联入站	`bufanche-reality`	选刚建的节点

IP 限制要靠 fail2ban 才能生效，我们这台服务器上，官方安装脚本已经把它装好并启动了。

添加客户端：邮箱 my-phone，流量上限 100 GB，IP 限制 2，过期时间 30 天后，流量重置每月

最容易漏的一步：Flow 选 xtls-rprx-vision

选好关联入站以后，切到“凭据”页，最下面会出现 Flow，默认是“无”。这里要选 xtls-rprx-vision。

我们测试时，Flow 没选的用户，带 Vision 的连接连不上，不带 Vision 的反而能连，等于没用上 Vision。

添加客户端的凭据页：Flow 选择 xtls-rprx-vision（UUID 等已遮挡）

点“创建”。按同样的方法，我们又给家里人开了一个 family，50 GB，每月重置。

客户端列表：my-phone 100 GB 30 天后到期，family 50 GB 不限时

第三步：看流量、重置、停用

我们用电脑以 my-phone 的身份连上节点，下载了一个 1 GB 的测试文件，又用 family 下了 300 MB。回到客户端列表：my-phone 用了 1.03 GB，剩余 98.97 GB，30 天后到期；family 用了 300.85 MB，当时在线。

客户端列表：my-phone 1.03 GB / 100 GB，剩余 98.97 GB；family 300.85 MB，在线

每行前面有五个按钮：二维码、详细信息、重置流量、编辑、删除。二维码和链接是给客户端导入用的，等于这个账号的钥匙，不要发到群里。

重置流量：点一下，确认，这个用户的流量从 0 开始算。
停用：把“已启用”的开关关掉，顶上“关闭”的数字变成 1。
自动停用：流量用完或到期，面板会自动停用。官方 Wiki 写的是每 10 秒检查一次。

重置流量的确认框：重置流量 — family，确定要重置流量吗

family 的流量清零并停用后，顶上“关闭”计数为 1

第四步：三项安全设置

1. 路由：屏蔽 BT，禁止回国流量

打开“路由”→“基本路由”。“屏蔽 BitTorrent 协议”默认已开，“阻止 IP”里默认就有 Private IPs（私有地址）。

再在“阻止 IP”里加上中国，“阻止域名”留空。REALITY 的官方说明把“禁回国流量”列为配置加分项。

为什么不在“阻止域名”里也选中国：3x-ui 用的域名规则库（Loyalsoldier 的 geosite）把一批在国内能访问的 Google 域名也算作“中国域名”，比如 www.gstatic.com、fonts.googleapis.com。我们一开始两项都选了，结果 iPhone 上 Google 网页打不开，服务器日志显示 www.gstatic.com 被拦下了。只拦中国 IP 不会误伤这些，Google 的这些域名解析出来都是海外 IP。

注意：要在下拉框里输入 cn，然后点列表里带国旗的那一项 China。我们第一次直接打字“China”回车，面板把它当成了一条自定义规则，保存后 Xray 报错起不来：

failed to build routing configuration > invalid field rule

路由页：屏蔽 BitTorrent 已开，阻止 IP 为 Private IPs 和 China，阻止域名留空

还要改一个地方：“Xray 配置”→“基础配置”→“常规配置”里的**“配置路由域策略”改成 IPIfNonMatch**。默认的 AsIs 不做域名解析，客户端发来的是域名时，“阻止 IP”这条规则根本匹配不上（Xray 路由文档）。改成 IPIfNonMatch 后，没命中其他规则的域名会先解析成 IP，再按“阻止 IP”判断。

Xray 配置的常规配置页：配置路由域策略为 IPIfNonMatch

两处都点“保存”，再回首页点“重启”，让 Xray 用上新规则。我们经节点测试：Google、YouTube 正常打开。注意，百度、淘宝这类大网站从海外服务器解析出来的是它们在香港、美国的节点，不属于中国 IP，经服务器访问也能打开，这不算“回国流量”。国内网站本来就该在客户端里设成直连，不走服务器，安卓的设置见v2rayNG 教程。

2. 改面板密码，打开双重验证

“面板设置”→“安全设定”：填原用户名、原密码和新的用户名、密码，点确定。旁边的“双重验证”打开后，登录要多输一次验证码。

面板设置的安全设定：管理员凭据，修改用户名和密码

面板设置的双重验证页：启用 2FA

3. 面板端口和路径别外泄

“面板设置”→“常规”里的“面板监听端口”和“URI 路径”，合起来就是面板的地址。官方 Wiki 的建议是：发现有人在试你的密码，就改端口和路径。改完点保存，再点“重启面板”。

顺手做个备份

首页“备份和恢复”→“备份”，会下载一个 .db 文件，节点和用户都在里面。换服务器时，用“恢复”上传这个文件就行。

备份和恢复：备份下载 .db 文件，恢复上传 .db 或 .dump 文件

常见问题

**节点建好了，客户端连不上？**先看用户的 Flow 是不是选了 xtls-rprx-vision，再看 SNI 是不是只留了一个、和目标一致。改完路由的话，看首页 Xray 是不是还显示运行中。

**“邮箱”一定要填真邮箱吗？**不用，它只是用户的名字，用来在列表和日志里区分人。名字里不要有空格。

**IP 限制填多少？**一个人一部手机加一台电脑，填 2。填 0 是不限。

**用户流量用完了会怎样？**面板自动停用这个用户；到了“每月重置日”会清零。想提前恢复，手动点“重置流量”。

**备份文件要多久做一次？**每次加了用户或改了节点以后做一次。

更新记录

2026-10-07 更新：Reality 目标从 www.microsoft.com 改成 www.apple.com，微软域名不再推荐；路由的"阻止域名：中国"改为留空，只保留"阻止 IP：中国”，并把路由域策略改为 IPIfNonMatch。原因见正文。

资料来源

核对日期均为 2026 年 10 月 6 日。

2026-10-08 更新：Xray v26.9.30 起 apple 域名也会触发被墙警告，目标网站改为推荐“偷邻居”，见Reality 的 SNI 填什么。