Первый вход

После установки ваша первая задача — войти в панель и защитить её, прежде чем открывать доступ к чему-либо ещё.

Открытие панели

Панель доступна по адресу:

http://<your-server-ip>:<port>/<web-base-path>

Порт по умолчанию — 2053, а базовый путь по умолчанию — /, однако при установке через скрипт имя пользователя, пароль, порт и базовый веб-путь генерируются случайным образом, поэтому проверьте свои фактические значения.

Поиск учётных данных

При установке через скрипт по завершении выводится сводка учётных данных, которая также записывается в файл, доступный только пользователю root:

XUI_USERNAME=...
XUI_PASSWORD=...
XUI_PANEL_PORT=...
XUI_WEB_BASE_PATH=...
XUI_ACCESS_URL=...
XUI_API_TOKEN=...
XUI_DB_TYPE=sqlite

Если вы их пропустили, воспользуйтесь инструментами управления:

x-ui              # menu → 11 (View Current Settings)
x-ui settings     # or the one-shot form

В случае Docker прочитайте сгенерированные учётные данные из логов контейнера или выполните docker exec -it <container> x-ui setting -show.

Смена учётных данных, порта и пути

Нестандартный порт и длинный случайный базовый веб-путь значительно усложняют обнаружение панели. Измените их в разделе Panel Settings в интерфейсе или через меню x-ui:

• 7 — Reset Username & Password (с возможностью одновременно отключить 2FA)
• 8 — Reset Web Base Path (генерирует случайный путь)
• 10 — Change Port

Смена имени пользователя или пароля завершает все активные сессии и, если была включена двухфакторная аутентификация, отключает её.

Двухфакторная аутентификация (2FA)

3x-ui поддерживает двухфакторную аутентификацию по TOTP (совместима с Google Authenticator, Aegis и т. п.). Включите её в разделе Panel Settings — после включения страница входа будет запрашивать 6-значный код в дополнение к паролю, а её активация заставит всех войти заново. Отключить 2FA можно через пункт меню Reset Username & Password или командой x-ui setting -resetTwoFactor.

Встроенная защита входа

• Ограничение перебора: после 5 неудачных попыток входа с одного и того же IP/имени пользователя в течение 5 минут эта комбинация блокируется на 15 минут.
• Обобщённые ошибки: страница входа сообщает «wrong username or password» как при неверных учётных данных, так и при неверных кодах 2FA, поэтому ничего не раскрывает.
• Сессии действуют sessionMaxAge минут (по умолчанию 360 = 6 часов) и аннулируются при смене учётных данных.
• LDAP можно включить как резервный способ аутентификации в разделе Panel Settings.

Базовый чек-лист по защите