Proč zvolit CYV

3x-ui, Amnezia, Remnawave i CreateYourVPN pomáhají spustit VPN na vlastním serveru. Tím ale podobnost skoro končí: produkty vznikly pro různé cíle a pro různé množství práce, které je vlastník ochoten věnovat vlastními silami.

3x-ui a Remnawave jsou self-hosted panely. Instalujete si je na vlastní infrastrukturu, získáte široké možnosti nastavení a sami se staráte o domény, aktualizace, zabezpečení, monitoring i opravy. Amnezia Self-hosted je aplikace určená především pro jednoduchou osobní VPN: umí bez terminálu postavit VPN na jednom VPS a předat přístup dalším lidem. CreateYourVPN, zkráceně CYV, je spravovaná platforma: servery zůstávají vaše, ale každodenní provoz přebírá služba.

Hlavní otázka proto nezní „který panel má víc přepínačů“, ale kolik ruční práce zbude po prvním spuštění. Pokud chcete poznávat Xray, Docker a Linux, self-hosted panel vám dá spoustu prostoru. Pokud potřebujete fungující VPN pro sebe, pro blízké nebo pro zákazníky, aniž byste si k tomu pořídili druhé povolání systémového administrátora, CYV toho zvládne rovnou z krabice podstatně víc.

Níže srovnáváme právě vestavěné možnosti. Doplňkový skript, externí bot nebo vlastní vývoj teoreticky přidají skoro cokoli ke kterémukoli panelu, jenže tím vzniká samostatný systém, který je potřeba vybrat, propojit, aktualizovat a udržovat.

Krátce: v čem je hlavní rozdíl CYV

CYV začíná pracovat dřív než běžný VPN panel. Neinstaluje jen komponentu VPN, ale připraví samotný VPS: vytvoří zvláštního uživatele, převede SSH na klíče, zavře zbytečné porty, zapne firewall, fail2ban a bezpečnostní aktualizace. Po instalaci platforma server dál hlídá, místo aby ho vlastníkovi předala i s návodem.

Pokud služba nebo inbound přestane fungovat, CYV nekončí u červené kontrolky. Automatické procesy se pokusí uzel obnovit, historie incidentů ukáže, co se stalo, a nedostupný vstupní bod se přestane vydávat uživatelům, dokud má trasa zdravou alternativu.

Pro sítě s blokováním existuje samostatná vrstva: skener maskovacích webů, kontroly Reality prováděné přímo z uzlu, vzájemné kontroly serverů, kvórum pro rozpoznání blokace a experimentální nouzový protokol OLCRTC pro režim bílých listin.

A konečně: CYV není jen infrastruktura. V jednom systému už je uživatelský účet, tarify, platby, white-label storefront, e-maily, Partner API a integrace MCP s AI asistenty. To, co se kolem self-hosted panelu obvykle skládá z oddělených projektů, tady funguje jako jeden produkt.

1. Spuštění a každodenní provoz

Bezpečnost začíná dřív než instalace VPN

Na čerstvém VPS bývá SSH na standardním portu, přihlášení heslem je povolené a síťová pravidla závisejí na obrazu hostera. Instalátor panelu doplní samotný panel, to ale neznamená, že se celý operační systém stal bezpečným.

Při připojení serveru provede CYV samostatnou fázi přípravy:

• vytvoří servisního administrátora a zapne přihlášení SSH klíčem;
• vypne přihlášení heslem a přímé přihlášení jako root;
• přesune SSH na nestandardní port;
• zapne UFW podle pravidla „zakázáno vše kromě nezbytného“;
• omezí servisní porty na adresy řídicího okruhu;
• zapne fail2ban a automatickou instalaci bezpečnostních aktualizací;
• nastaví rotaci a krátké uchovávání systémových protokolů.

Heslo root, které vlastník zadává při přidávání serveru, slouží jen k prvnímu spojení a neukládá se. Po přípravě pracuje CYV přes samostatný klíč. Celý postup podrobně rozebírá lekce o serverech a průvodce prvním spuštěním.

Panel není další server, o který se musíte starat

3x-ui a Remnawave je potřeba nainstalovat, vystavit do internetu přes bezpečnou adresu, nastavit jim TLS, aktualizovat je a zálohovat. U Remnawave se navíc zvlášť nasazuje panel, uzly, doména a reverzní proxy. Pro self-hosted produkt je to normální model, ale spolu s kontrolou dostane vlastník ještě jednu produkční službu.

CYV je už hostovaná a aktualizuje se jako jedna platforma. Vlastník připojuje své VPS, zatímco verze serverových komponent a servisních agentů se rozvážejí centrálně. Není potřeba chodit na každý server a opakovat aktualizaci ručně.

Monitoring má odpovídat na otázku „co dál“

Zatížení procesoru a zelený stav procesu jsou užitečné, samy o sobě ale nevysvětlí, proč se konkrétní uživatel nemůže připojit. V CYV diagnostika propojuje stav serveru, inboundu, trasy a předplatného a popíše problém běžným jazykem.

Pokud výpadek už skončil, zůstává historie za posledních sedm dní: kdy problém začal, jak dlouho trval, jestli se opakoval už dřív, jestli se spustila oprava, jestli se restartoval panel a jestli odešlo upozornění. Díky tomu odlišíte náhodný síťový výkyv od systematického problému u hostera.

Podrobněji: monitoring a mesh síť, serverové metriky a trasy.

Podpora je součástí produktu

Požadavek na podporu CYV můžete odeslat přímo z panelu a kdykoli. Pro začátečníka je to obzvlášť důležité: nemusí nejdřív přijít na to, která komponenta se rozbila a do čího GitHub Issues má jít. Open-source projekty mají dokumentaci, komunity a chaty, jenže pomoc komunity se nerovná vestavěnému kanálu podpory u služby.

2. Obcházení blokování, směrování a síť

Maskovací web v CYV nemusíte hádat

VLESS + Reality dělá z VPN spojení něco, co vypadá jako běžná návštěva skutečného webu přes HTTPS. Kvalita maskování závisí na zvoleném webu: musí podporovat TLS 1.3 a HTTP/2, být dostupný ze země serveru a odpovídat dostatečně rychle.

V CYV server automaticky prohledá své síťové okolí a hledá sousední weby, které tyto požadavky splňují. Blízký web obvykle dává minimální zpoždění a síťový obraz přirozený pro datové centrum. Nalezené možnosti se objeví v panelu jako hotové návrhy a vybraná adresa se ověřuje přímo z uzlu — ne z prohlížeče vlastníka v jiné zemi.

Sken se spouští při instalaci a kdykoli ho lze zopakovat ručně. Jak funguje a proč ověřuje právě TLS 1.3 + HTTP/2, vysvětluje samostatná lekce o skeneru maskování.

Servery se na sebe dívají zvenčí

Samokontrola vidí, že Xray běží a port naslouchá. Nevidí ale situaci, kdy je IP adresa zablokovaná u poskytovatele uživatele: server se považuje za zdravý, jenže zvenčí se k němu nikdo nedovolá.

Servery CYV proto tvoří mesh síť. Každý uzel kontroluje ostatní servery a jejich inboundy a rozhodnutí nepadne po jediném náhodném timeoutu, ale po stabilní sérii selhání a hlasech několika nezávislých kontrolorů. Server v zemi vašich klientů můžete označit za důvěryhodného kontrolora — jeho pohled bude bližší skutečné uživatelské síti.

Když se blokace potvrdí, vlastník dostane e-mail a problémový inbound se přestane vydávat, dokud v téže trase zůstává zdravý vstupní bod. Uživatel při dalším obnovení předplatného přejde na funkční server, aniž by dostal nový odkaz. Systém neslibuje, že vidí každou síť na světě: kontrola ukazuje pohled právě vašich serverů, a proto je kontrolor v potřebné zemi tak užitečný.

Trasa je stabilní položka, ne jeden konkrétní server

V aplikaci uživatele vypadá jedna trasa jako jedna lokalita. Uvnitř může být několik inboundů na různých serverech.

CYV rozděluje uživatele mezi servery. Panel zjistí, který server je právě teď nejméně vytížený, a pošle tam dalšího uživatele — zátěž se počítá jako volné pásmo na jednoho připojeného, takže slabý a zahlcený stroj nové lidi nedostane. Je tu i prosté rozdělování dokola s koeficienty, pro případ, že se servery liší výkonem a chcete poměr nastavit ručně.

Když jeden server vypadne, trasa zůstává. Pokud nezbude vůbec žádný živý inbound, prázdná položka dočasně zmizí z předplatného a po obnovení se vrátí. Díky tomu se výměna nebo oprava jednoho VPS nemění v rozesílání nových konfigurací celému publiku.

Pro složitější topologii je tu multi-hop: uživatel vstupuje přes server v jedné zemi a do internetu vychází přes jiný. Řetězec se skládá v panelu, bez ruční úpravy konfigurace Xray.

Split tunneling dojede až do aplikací a routerů

V CYV můžete určit, které domény, kategorie webů a země jdou přes VPN a které přímo. Hodnoty geosite a geoip se před uložením ověřují podle katalogu: překlep se nedostane do konfigurace a nerozbije spuštění aplikace u uživatelů.

Hotová pravidla lze naimportovat z Clash, sing-box, Xray nebo z obyčejného seznamu. Zdroj se obnovuje jednou měsíčně a potenciálně nebezpečné rozšíření pravidel, které by poslalo příliš mnoho provozu mimo VPN, vyžaduje opakované potvrzení vlastníka.

Stejná pravidla dostávají kompatibilní aplikace a domácí routery s OpenWrt a Nikki. Zvlášť lze na serveru zapnout blokování torrentů a reklamy — uživatel ji neobejde úpravou svojí místní konfigurace. Dobrým začátkem jsou lekce o inboundech a připojení OpenWrt.

OLCRTC — záložní cesta pro bílé listiny

Když síť propouští jen krátký seznam služeb, obvyklé VPN protokoly nemusí spojení navázat vůbec. Pro takový případ má CYV experimentální nouzový protokol OLCRTC.

Uživatel vytvoří čerstvý videohovor v podporované službě, předá odkaz přes svůj účet nebo e-mailem a dostane dočasné připojení. Pro omezující síť vypadá provoz jako účast na povolené videokonferenci. OLCRTC je pomalejší než běžná VPN a závisí na dostupnosti videoslužby, takže slouží jako záchranný kruh, ne jako hlavní transport. Přípravu je lepší projít předem podle instrukcí nouzového přístupu.

3. Uživatelé, storefront a peníze

Nejen odkaz, ale celý uživatelský účet

Odkaz na předplatné a QR kód má několik produktů a tabulka to poctivě uvádí. Rozdíl CYV je v tom, že kolem toho odkazu je už postavený celý uživatelský scénář.

Klient se přihlásí jednorázovým kódem z e-mailu a uvidí:

• své předplatné a QR kód;
• tlačítka pro instalaci aplikací a návody;
• dobu platnosti, provoz a stav přístupu;
• tarify a tlačítko k zaplacení;
• kontakty na podporu vaší služby;
• odkaz a návod pro OpenWrt s Nikki;
• nouzový přístup, pokud je zapnutý.

Storefront si lze nainstalovat na domovskou obrazovku telefonu jako PWA s vlastním názvem a ikonou. Když se změní server, trasa nebo pravidlo, uživatel nedostává nový soubor: aplikace si aktualizace stáhne přes stejné předplatné. Podrobněji to ukazují lekce o uživatelích a o přizpůsobení storefrontu.

Limit zařízení se dá vysvětlit i obsloužit

Limit „jedno připojení“ se často mění v záhadné odmítnutí bez informace o tom, které zařízení místo zabralo. V CYV má uživatel sloty zařízení a vlastník vidí seznam obsazených slotů, čas posledního požadavku a počítadlo odmítnutí za den. Neaktivní slot se uvolní po 14 dnech; v případě potřeby vlastník sloty resetuje ručně.

Pokud odkaz unikne, uživatel si ho může sám znovu vydat ze svého účtu, s omezením četnosti. Starý tajný klíč a klíče přestanou fungovat a událost zůstane v bezpečnostním záznamu. Vlastník nemusí klienta hledat a provádět operaci za něj.

Remnawave také podporuje omezení podle HWID, a proto má v řádku o kontrole zařízení ✅. Je to příklad podobné funkce, kterou produkty řeší různě.

Ze storefrontu se stane služba pod vaší značkou

Na základní úrovni dává CYV už uživatelský účet. Tarif Max přidává veřejnou landing page, vlastní domény a kompletní prodejní scénář. Logo se automaticky použije jako favicon, ikona PWA i obrázek pro sociální sítě; barvy, název a kontakty na podporu zadává vlastník.

Storefront má tři samostatné adresy: landing page, uživatelský účet a předplatná. Můžete je umístit na různé domény, takže blokace veřejné hlavní stránky s sebou nemusí vzít přihlášení uživatelů ani aktualizaci konfigurací. Klient vidí značku vlastníka, ne CreateYourVPN — a to včetně rozhraní svého účtu i e-mailů.

Platba se hned mění v přístup

Tarif je v CYV doba platnosti, provoz, limit zařízení, cena a pravidla registrace. Můžete ho přidělit ručně nebo prodat přes připojeného platebního poskytovatele. Po potvrzeném webhooku systém sám najde uživatele, aktivuje nebo prodlouží přístup a chrání se před opakovaným přidělením podle jedné platby.

Peníze jdou přímo na účet vlastníka u poskytovatele; CYV nevystupuje jako prodejce a nestrhává si provizi z tržeb. Záznam plateb ukazuje zpracované události, chyby a platby „bez přiřazení“. Ty poslední lze ručně spárovat s uživatelem a tarifem, načež se další platba rozpozná automaticky.

Celou cestu popisují tři lekce: tarify, monetizace a platby za platformu.

4. Automatizace, integrace a bezpečí dat

MCP umožňuje řídit infrastrukturu rozhovorem

3x-ui, Remnawave i CYV mají API, takže všechny tři produkty lze propojit s vlastní automatizací. V CYV nad Partner API už běží vzdálený MCP server: kompatibilní AI asistent nedostane syrové HTTP API, ale srozumitelné nástroje pro servery, inboundy, trasy, uživatele, diagnostiku a nápovědu.

Připojení probíhá přes OAuth. Vlastník volí úroveň: jen prohlížení, prohlížení a nastavení, nebo plný přístup. Práva se kontrolují při každém volání, nebezpečná mazání jsou navíc chráněná kódem z e-mailu a připojení lze z panelu odvolat. Záznam akcí ukazuje, který nástroj byl volán a jak operace dopadla; tajné hodnoty ani celé e-maily se do něj nedostanou.

Připojit můžete ChatGPT, Claude, DeepSeek i další MCP klienty. Architektura a hranice přístupu jsou rozebrané v lekci o MCP a praktický příklad najdete v průvodci DeepSeek. Pro běžné integrace je tu přehled Partner API.

Záloha odchází do úložiště vlastníka už zašifrovaná

Záloha uchová uživatele, jejich doby platnosti, limity, tokeny předplatných a klíče připojení. CYV soubor zašifruje ještě před odesláním a uloží ho do Google Drive nebo do S3 kompatibilního úložiště vlastníka: AWS S3, Cloudflare R2, Backblaze B2, Wasabi a dalších.

Kopii lze obnovit do clusteru CYV nebo do čistého kompatibilního panelu. To je zásadní bod: záloha zůstává užitečná i mimo platformu a už nastavené aplikace uživatelů mohou po obnovení dál fungovat. Četnost a dobu uchování určuje vlastník; podrobnosti najdete v lekci o zálohách a v návodech k zálohování.

Na tarifu Pro je navíc dostupná výměna mastera clusteru. Řídicí role přejde na jiný uzel bez výměny odkazů na předplatné u uživatelů. Místo nouzové ruční migrace tak vznikne řízená operace s předběžnými kontrolami a možností návratu; podrobněji v lekci o clusterech.

5. Ověřitelná bezpečnost a soukromí

Ne „věřte nám“, ale tvrzení, která lze vyvrátit

CYV má veřejnou zprávu o bezpečnosti. Neskládá se z obecných slibů, ale z očíslovaných tvrzení: co se stane s prvním heslem k VPS, jaká data se dostanou do protokolů, jak jsou oddělené účty a co je na serveru nainstalované.

Vedle nich jsou zveřejněná známá omezení. Výzkumník může nejen najít klasickou zranitelnost, ale také dokázat, že některé tvrzení ze zprávy je nesprávné. Na to platí vlastní program bug bounty. Potvrzené nálezy a opravy se dostávají do veřejného záznamu a jejich autoři do Hall of Fame.

Takový formát je pro spravovanou platformu důležitý: část práce probíhá automaticky, takže důvěra se musí opírat o ověřitelné technické sliby a o historii reakcí na chyby.

Minimum protokolů

Na VPN serverech se access log Xray vynuceně vypíná při každém nasazení konfigurace: adresy, které uživatelé navštěvují, se nikam nezapisují. Systémové protokoly VPS se uchovávají hodinu, historie zátěže 24 hodin a anonymizované infrastrukturní incidenty i výsledky diagnostiky až sedm dní.

Obecný přehled těchto principů najdete v bezpečnostním centru CYV.

Kolik to ve skutečnosti stojí

3x-ui, Amnezia Self-hosted a Remnawave lze používat zdarma: to je jedna z jejich důležitých předností. Nulová cena licence ale z provozu nedělá provoz zadarmo. Do účtu stejně patří VPS pro panel, domény, zálohy, monitoring a — hlavně — čas člověka, který systém aktualizuje a reaguje na výpadky.

CYV nemá paušál za počet serverů. První uživatel je zdarma, dál si můžete vybrat 0,10 € měsíčně za uživatele v databázi, nebo 0,20 € jen za uživatele, který se připojil za posledních 24 hodin. Pro stojí 0,99 € měsíčně a přidává zálohy, OLCRTC a výměnu mastera. Max stojí 4,99 € měsíčně, obsahuje Pro a otevírá landing page, vlastní domény, tarify a prodej.

Srovnávat proto nemá smysl „0 € proti 0,10 €“, ale dva způsoby placení: vlastním časem za ruční provoz, nebo malou předvídatelnou částkou za automatizaci. Aktuální schéma účtování, zkušební období a chování zůstatku podrobně popisuje lekce o platbách.

Co zůstane vaše

CYV neprodává hotovou sdílenou VPN a nebere si infrastrukturu pro sebe. VPS si pronajímáte u hosterů, které si vyberete, domény patří vám, platby klientů jdou přímo vašemu poskytovateli a zálohy leží ve vašem Google Drive nebo S3.

Uživatelskou databázi lze pravidelně ukládat do vlastního úložiště a kopii obnovit mimo CYV. Není to jen nouzová funkce, ale i odpověď na otázku závislosti na platformě: automatizaci poskytuje služba, zatímco hlavní aktiva zůstávají vlastníkovi.

Komu se která varianta hodí

3x-ui se hodí těm, kdo chtějí bezplatný univerzální panel s velkým výběrem protokolů a kdo chtějí sami řídit každé nastavení. Má předplatná, REST API, multi-node, zálohování a boty pro administrátory.

Amnezia Self-hosted je silná volba pro osobní VPN na jednom VPS. Instalace proběhne bez terminálu, k dispozici je několik protokolů a přístup můžete blízkým předat klíčem, souborem nebo QR kódem.

Remnawave cílí na zkušeného administrátora, který potřebuje moderní self-hosted panel, několik uzlů, pružné profily Xray, API, metriky a brandovatelnou stránku předplatného.

CYV má smysl volit tehdy, když nejde o maximální množství ručních nastavení, ale o hotový výsledek: bezpečně připojit servery, automaticky je udržovat v provozu, hlídat blokace, dát lidem pohodlný uživatelský účet a případně z toho všeho udělat službu pod vlastní značkou.

Časté otázky

Hodí se CYV i pro jedinou osobní VPN?

Ano. Můžete zůstat ve zjednodušeném režimu jednoho serveru a byznysové funkce vůbec nezapínat. První uživatel je zdarma, takže u osobního scénáře platíte jen pronájem svého VPS. Pokud se později objeví blízcí nebo zákazníci, nebudete muset systém stavět znovu od nuly.

Musím umět spravovat Linux?

Ne. K prvnímu spuštění stačí pronajmout si kompatibilní VPS a zadat údaje připojení v průvodci nastavením. CYV sama připraví operační systém a nainstaluje potřebné komponenty. Terminál zůstává vlastníkovi k dispozici, ale není obvyklým způsobem správy.

Nahrazuje CYV hostingového poskytovatele?

Ne. VPS si pronajímáte přímo u libovolného vhodného poskytovatele a CYV ho připojí a provozuje jako VPN server. Fakturu za VPS platíte hosterovi zvlášť.

Co se stane, když server zablokují?

Vaše ostatní servery si všimnou trvalé nedostupnosti a důvěryhodný kontrolor pomůže určit směr blokace. CYV vlastníka upozorní a potvrzeně zablokovaný inbound přestane vydávat, pokud má trasa zdravou alternativu. Pro bílé listiny je připravený samostatný nouzový scénář OLCRTC.

Musím vyvíjet vlastní VPN aplikaci?

Ne. Uživatelé se připojují standardními aplikacemi: Happ, Streisand, v2rayN, v2rayNG, Hiddify a dalšími. Uživatelský účet ukáže vhodnou aplikaci a vydá odkaz nebo QR kód. Začít můžete průvodcem Happ.

Zaznamenává CYV weby, které uživatelé navštěvují?

Ne. Access log Xray je na připojených serverech vynuceně vypnutý. Platforma uchovává jen omezenou technickou telemetrii nutnou pro zdraví serverů, diagnostiku a bezpečnost; doby uchování jsou zveřejněné ve zprávě.

Můžu k CYV připojit vlastního bota nebo CRM?

Ano. Pro běžné integrace je tu Partner API a veřejná kolekce Postman. Pro AI asistenty je k dispozici MCP s OAuth a volitelnými právy. Obě varianty umožňují práci automatizovat, aniž byste komukoli předávali heslo k panelu.

Co bude s uživateli, když se rozhodnu odejít?

Servery a domény zůstávají vaše. Na tarifu Pro můžete pravidelně vyvážet zašifrovanou databázi uživatelů do vlastního úložiště a kopii pak obnovit v čistém kompatibilním panelu.

Jak jsme srovnávali

Nesrovnávali jsme všechny funkce Xray ani počet polí ve formulářích. Kritériem článku je to, co vlastník dostane jako hotový pracovní proces: instalaci, bezpečnost VPS, odhalení a opravu výpadků, reakci na blokace, doručení přístupu uživateli, prodej a automatizaci.

U konkurentů jsme vycházeli z oficiálních materiálů dostupných k datu aktualizace článku:

• dokumentace 3x-ui a její části o instalaci a předplatných;
• dokumentace Amnezia o nastavení Self-hosted VPN a předání přístupu;
• dokumentace Remnawave o prvotním nastavení, proměnných prostředí a oficiální šablona stránky předplatného.

Produkty se vyvíjejí, takže tabulka zachycuje stav k uvedenému datu. Pokud se v oficiální dodávce konkurenta objeví srovnatelná vestavěná funkce, srovnání je namístě aktualizovat.