3x-ui v3.11.0 更新内容 内核 AmneziaWG 与按客户端绑 Host 规则
本文依据 3x-ui 官方 GitHub v3.11.0 release 页整理，未实测。v3.11.0 是 10 月 25 日出现在官方 tags 页的稳定版，上一稳定版为 v3.10.2。
3x-ui v3.11.0 是一次幅度不小的稳定版更新，核心先升到 Xray-core v26.10.21（官方说明里特意提到，之前被撤版的 v26.10.10 内核 pin 已被替换掉），再围绕 AmneziaWG、Host 规则、Telegram 机器人和安全加固做了几组改动。下面按对日常使用的影响大小挑重点说。
先说升级：内核换到 v26.10.21，更新前先备份
面板更新还是走老命令：
1 | x-ui update |
更新完可以用下面两条确认面板和内核状态：
1 | x-ui status |
v3.11.0 的发布说明里没有单独列出必须手动改配置的升级项，但跨大版本更新前先备份数据库仍是稳妥做法，更新后先看 x-ui status 和日志有没有异常，再放给客户端用。
新数据库不再用固定初始账号
安全加固里最值得注意的一条：新数据库的首个面板用户不再是固定账号，而是随机生成的用户名和密码，打印在服务器日志里。
注意说明里的限定词是“新数据库”——这条针对的是全新安装的场景。已经跑起来的老面板不受这条影响，不会因为升级就被改掉现有账号。新装 v3.11.0 的人，装完第一件事是去服务器日志里把随机账号抄下来，别装完就关掉终端。
配套的两处加固也和“别让输入钻空子”有关：WireGuard / AmneziaWG 的 .conf 文件改为逐行生成，值里带控制字符时直接不渲染；导入的 vpn:// 配置如果带 wg-quick hook 指令会被拒绝；客户端的 allowedIPs 每次保存都会校验。反代场景下还有一处：受信任代理后的客户端地址取 X-Forwarded-For 的代理端，客户端自己传的 X-Real-IP 不再被采信。
AmneziaWG 可以走内核数据面了，但默认不开
v3.11.0 给 AmneziaWG 入站加了一个可选的 Linux 内核数据面，按入站单独开启。官方说明里的几个关键限定要先看清：
- 只跑 NAT 模式，带主机预检，捆绑的安装器锁定在已验证的模块提交上；
- 流量统计在重启后仍保留；
- 不经过 awg-quick；
- 主节点不会把内核模式推给版本更老的节点。
也就是说这是一个“可选项”，不是升级后自动生效的默认行为。想用的人先确认自己的节点版本都跟得上，再在单个入站上开，别指望主节点一推全网就切过去。
即使不用内核模式，内嵌 AmneziaWG 数据面的上传也有提升：官方给出的数据是真实网络往返 50 毫秒时从约 308 Mbit/s 提升到约 500 Mbit/s。客户端侧还有一个小功能：AmneziaWG 客户端的 persistent-keepalive 可以写成 15-25 这样的随机范围。
Host 规则可以按客户端绑，还能配 SNI 池和 CIDR 展开
Host 相关的改动是这次对订阅分发影响最大的一组：
- 按客户端绑定 Host 规则：某个客户端可以只绑定指定的 Host 规则，它拿到的 raw、JSON、Clash 订阅就只渲染这些 Host，不再是所有客户端共用同一套；
- 一个 Host 可以配 SNI 池：每次生成配置随机挑一个，或者每次拉取订阅时为整个 Host 组固定挑一个；
- Host 地址可以写 CIDR 段：每次拉取订阅时展开成最多 100 个互不相同的随机 IP，面板预览和 tunnel 导出里同样生效；
- Host 可以拖拽排序，还有一个可选开关，让所有订阅格式都按 Hosts 页的顺序来。
这组功能适合“不同客户端想走不同入口域名”的场景，以前要靠多入站或手动改订阅去凑，现在可以在 Host 层直接分开。反过来也提醒一点：SNI 池和 CIDR 展开都会让每次拉取的订阅内容发生变化，调试“为什么这次的订阅和上次不一样”时，先看是不是开了随机项。
分享链接带上 cipher suites，Telegram 机器人重建了
分享链接现在可以带 TLS cipher suites 参数（cs），链接导入端也会读回这个参数。配套的修复值得留意：如果链接里的 cipher suites 配了、但指纹字段是空的，v3.11.0 会把指纹钉成 fp=unsafe，让 cipher suites 真正生效，而不是静默失效。
Telegram 机器人这次是重建：每个聊天只保留一个实时界面、原地编辑；菜单按 Server、Clients、Traffic、Maintenance 分组；长列表走内联搜索；二维码一次给一张合集；重复通知合并成一条。管理员通知还可以发到论坛话题，格式是 chatId:topicId。
几个问题型修复，对照看看你有没有中招
- VLESS / Trojan TLS 入站后面挂 fallback，fallback 目标开了 PROXY protocol 会断：v3.11.0 修了主节点发给子节点时 header 不匹配的问题；
- 私有 DoH 服务器连不上：DNS 放行规则之前放的不是 Xray 实际拨号的端口，这次改过来了；
- TUIC 流量不走用户路由规则，加删 TUIC 客户端会重启 Xray：两处都修了；
- 流量周期重置或全部重置后，额度关掉的客户端和入站一直保持离线：重置后会重新恢复，而不是停在零用量但离线的状态；
- 关掉 fail2ban 后客户端 IP 不记录、不展示：这次改成只有 enforcement 才需要 fail2ban，记录和展示恢复正常；
- 节点上的客户端被卡在禁用状态、随主节点心跳来回翻转：主节点自身限额还允许时不再出现这种翻转；
- 订阅可能被缓存成旧数据：每个订阅响应都带
Cache-Control: no-store； - XHTTP 的 XMUX 数量（比如默认
maxConnections: 3）没进 Clash / Mihomo 订阅：这次补上了。
大安装场景的性能也有几处：订阅拉取复用缓存的入站设置，官方给出的 SQLite 十万客户端场景从 72.5 毫秒降到 2.1 毫秒；面板与本地 Xray 之间改用一个池化的 gRPC 连接，批量操作不再每次握手。
这次更新适合谁先升
- 新装面板的人：注意随机初始账号在日志里，装完先抄下来；
- 在用 AmneziaWG 的人：可以评估内核数据面，但先确认节点版本一致；
- 多客户端共用订阅、想按客户端分 Host 的人：按客户端绑定和 SNI 池是这次最直接的收益；
- 遇到上面“问题型修复”里任一条的人：升级就是修复本身，升完对照验证一次。
依据来源： 3x-ui v3.11.0 GitHub release 页（含 v3.10.2…v3.11.0 完整 changelog）、3x-ui GitHub tags 页（v3.11.0 标签日期为 2026 年 10 月 25 日）。