این دستور رو روی سرور ایرانت بزن (نه توی پنل). پورت 2222 فقط یه نمونه‌ست، هر پورتی بین ۱۰۲۴ تا ۶۵۵۳۵ می‌تونی بذاری.

cat > /etc/ssh/sshd_config.d/99-tunnel-port.conf <<'EOF'
Port 22
Port 2222
EOF

ufw allow 2222/tcp 2>/dev/null || true

systemctl disable --now ssh.socket 2>/dev/null || true
systemctl enable --now ssh.service 2>/dev/null || systemctl enable --now sshd.service 2>/dev/null
systemctl restart ssh.service 2>/dev/null || systemctl restart sshd.service

sshd -T | grep -i '^port'
ss -tlnp | grep -E ':22 |:2222 '

دو خط آخر خروجی می‌دن؛ اگه درست انجام شده باشه باید هم ۲۲ و هم ۲۲۲۲ رو ببینی (چهار خط: دو تا برای IPv4 و دو تا برای IPv6). اگه ۲۲۲۲ رو ندیدی یعنی کار نکرده.

بعدش موقع افزودن سرور تو پنل، تو فیلد «SSH پورت» بنویس 2222.

بار اول که سرور رو اضافه می‌کنی، رمز روت رو می‌زنی. پنل با اون رمز یک بار وارد می‌شه و کلید اختصاصی حساب تو رو روی سرور نصب می‌کنه. رمز هیچ‌جا ذخیره نمی‌شه — نه تو دیتابیس، نه تو لاگ.

از اون به بعد پنل با کلید وارد می‌شه. یعنی برای سرورهای بعدی روی همون ماشین، یا وقتی همون سرور رو تو موتور دیگه‌ای اضافه می‌کنی، فیلد رمز رو خالی بذار — فقط آی‌پی و پورت کافیه.

این کلید عمومی مخصوص حساب توئه و هیچ مشتری دیگه‌ای همین کلید رو نداره. اگه خودت قبلش روی سرورت بذاریش، موقع افزودن سرور فیلد رمز رو خالی بذار و تمام.

هر تانل به یک سرور ایران و یک سرور خارج نیاز داره. همین ترتیب رو برای هر هفت موتور دنبال کن — فقط فیلدهای قدم ۴ کمی فرق می‌کنن که پایین‌تر گفته شده.

1. سرور خارجت آماده باشه. سرویسی که می‌خوای تانل کنی (مثلاً x-ui) باید از قبل روی سرور خارج نصب و روشن باشه و روی یه پورت مشخص گوش بده. اگه هنوز نصبش نکردی، از «میان‌برها» تو داشبورد بزن نصب x-ui.
2. یکی از هفت موتور رو باز کن (از صفحه‌ی اصلی پنل یا نوار کناری).
3. بزن افزودن سرور و سرور خارج رو اول اضافه کن: اسم دلخواه (Label)، آی‌پی، پورت SSH و رمز روت (یا خالی اگه کلیدت از قبل نصبه — بخش ۳). منتظر بمون تا وضعیتش بشه آماده.
4. همین کار رو برای سرور ایران هم تکرار کن — یادت نره پورت SSHش باید از ۲۲ عوض شده باشه (بخش ۱). اگه همین سرور رو قبلاً تو موتور دیگه‌ای اضافه کرده بودی، فیلد رمز رو خالی بذار.
5. برو تب تانل‌ها و بزن افزودن تانل.
6. سرور ایران و سرور خارجی که ساختی رو انتخاب کن، و پورتی که سرویست روی سرور خارج به آن گوش می‌ده رو وارد کن (قدم ۱). اگه موتور اجازه‌ی چند پورت هم‌زمان رو می‌ده، همه رو با هم اضافه کن.
7. ذخیره کن. تانل می‌ره تو وضعیت «در حال ساخت» و چند ثانیه بعد باید سالم بشه. اگه نشد، دکمه‌های «لاگ ایران» و «لاگ خارج» روی کارت تانل دلیل واقعی رو نشون می‌دن.

• یک پورت، یک تانل — یک پورت روی یک سرور ایران نمی‌تونه هم‌زمان تو دو تانل باشه. دومی بالا نمیاد.
• سرورها بین موتورها مشترک نیستن — هر موتور لیست سرور خودش رو داره. اگه می‌خوای همون ماشین رو تو موتور دیگه‌ای هم داشته باشی، اونجا هم اضافه‌ش کن (این بار بدون رمز، چون کلیدت از قدم ۲ قبلاً رویش نصبه).

هیچ‌کدوم همیشه بهترین نیست — بستگی به این داره که رو مسیر تو چی فیلتر شده. با ساده‌ترین شروع کن، جواب نداد بعدی رو امتحان کن.

• Rathole — سبک و پایدار، بدون نیاز به دامنه. برای شروع بهترین گزینه‌ست.
• GOST و Hysteria2 — برای حالت‌های رمزنگاری‌شده به دامنه‌ی واقعی نیاز دارن که به سرور خارجت اشاره کنه.
• Spoof — با آی‌پی جعلی کار می‌کنه. فقط وقتی جواب می‌ده که هاستینگت جلوی خروج بسته‌ی جعلی رو نگیره.

اگه دو یا سه تا سرور ایران داشته باشی و بخش کلادفلر رو فعال کنی، پنل هر دقیقه سرور ایرانِ فعالت رو پینگ می‌کنه. اگه از دسترس خارج بشه، خودش و بدون اینکه تو کاری بکنی:

یعنی کاربرای تو که به دامنه وصلن اصلاً نمی‌فهمن چی شد — همون دامنه بعد از چند دقیقه به سرور سالم اشاره می‌کنه. برای همین کاربرات رو به دامنه وصل کن، نه به آی‌پی.

• حداقل دو سرور ایران لازمه و هر دو باید وضعیتشون «آماده» باشه. اگه یدکی آماده نباشه پنل فقط بهت خطا نشون می‌ده و چیزی رو جابه‌جا نمی‌کنه.
• فقط داخل استخر خودش کار می‌کنه — سرورهایی که خودت تو اون قانون انتخاب کردی. به هیچ سرور یا تانل دیگه‌ای دست نمی‌زنه.
• پروکسی کلادفلر (ابر نارنجی) رو خاموش کن. رکورد باید DNS-only باشه وگرنه ترافیک تانلت از کلادفلر رد می‌شه و کار نمی‌کنه.
• TTL رو کم بذار (Auto یا ۶۰ ثانیه) تا تعویض آی‌پی سریع پخش بشه.

برای بخش بالا یه توکن لازمه. توکن بساز، نه Global API Key — گلوبال‌کی به کل حسابت دسترسی داره، ولی توکن فقط به همون دامنه‌ای که انتخاب می‌کنی.

1. وارد dash.cloudflare.com شو.
2. از منوی گوشه‌ی بالا سمت راست (عکس پروفایلت) بزن My Profile.
3. از منوی کناری بزن API Tokens.
4. بزن Create Token.
5. بالای صفحه یه گزینه هست به اسم Create Custom Token — روی Get started کنارش بزن. (قالب‌های آماده رو انتخاب نکن.)
6. تو بخش Permissions دقیقاً این دو ردیف رو بساز:
   ZoneDNSEdit

   ZoneZoneRead
   ردیف دوم رو با دکمه‌ی + Add more اضافه کن.
7. تو بخش Zone Resources بذار Include → Specific zone → دامنه‌ی خودت.
8. پایین صفحه Continue to summary و بعد Create Token.
9. حالا توکن نشونت داده می‌شه. همون لحظه کپیش کن — کلادفلر دیگه هیچ‌وقت دوباره نشونت نمی‌ده.
10. بیا تو پنل، بخش کلادفلر، توکن رو پیست کن و ذخیره کن. پنل خودش چک می‌کنه معتبره یا نه.

بعد از ذخیره‌ی توکن، یه قانون بساز: دامنه، اسم رکورد (مثلاً tunnel.example.com) و استخر سرورهای ایران به ترتیب اولویت. اولین سرورِ استخر می‌شه فعال، بقیه یدک.

روی خیلی از سرورها فایروال فعاله. نتیجه‌ش اینه که سرویس بالا میاد، پورت هم گوش می‌ده، ولی از بیرون هیچی باز نمی‌شه. پنل x-ui که براتون نصب می‌کنیم، پورتش رو خودکار باز می‌کنیم — ولی اگه هاستینگت فایروال جدا داشته باشه یا قانون دستی گذاشته باشی، باید خودت بازش کنی.

# PORT رو با پورت خودت عوض کن

# ubuntu / debian
ufw allow PORT/tcp
ufw reload

# centos / rocky
firewall-cmd --permanent --add-port=PORT/tcp
firewall-cmd --reload

# بدون ufw و firewalld
iptables -I INPUT -p tcp --dport PORT -j ACCEPT

بعدش چک کن سرویس واقعاً روی اون پورت گوش می‌ده:

ss -tlnp | grep PORT
systemctl status x-ui --no-pager | head -5

یه نکته‌ی مهم: بعضی هاستینگ‌ها (هتزنر، آروان و…) یه فایروال جدا توی پنل خودشون دارن که ربطی به سرور نداره. اگه دستورهای بالا رو زدی و بازم نشد، حتماً اونجا رو هم چک کن.

• اشتراکت که تموم بشه تانل‌هات قطع می‌شن. سرویس‌ها روی هر دو سرورت متوقف می‌شن و ترافیک دیگه رد نمی‌شه. ولی هیچی پاک نمی‌شه — سرورها، تانل‌ها و کانفیگ‌ها همه سرجاشون می‌مونن و می‌تونی ببینیشون؛ فقط تا تمدید نکنی نه کار می‌کنن نه می‌تونی چیزی بسازی یا تغییر بدی. تا تمدید کنی، همون لحظه خودکار برمی‌گردن بالا و نیازی به ساختن دوباره نیست.
• سقفی نداری — هر تعداد سرور و تانل که خواستی.
• حذف تانل سرویس‌ها و کانفیگ‌هاش رو از هر دو سرور کامل پاک می‌کنه. اگه سروری اون لحظه در دسترس نباشه بهت هشدار داده می‌شه.
• قبل از حذف سرور، اول تانل‌هاش رو حذف کن.
• رمز پنلت رو از بخش پروفایل عوض کن. با تغییر رمز، همه‌ی دستگاه‌های دیگه از حسابت خارج می‌شن.