После изучения документации и советов коллег собрал конфигурацию, которая по идее должна проходить фильтрацию, маскируясь под легитимный российский сайт (max.ru).

Что было сделано в 3x-ui:

Создан новый Inbound на порту 8443
Протокол VLESS
Безопасность Reality с SNI = max.ru и fingerprint = randomized
Транспорт XHTTP в режиме stream-one с включённым Padding (100-1000)
Flow для клиента оставлен пустым (для XHTTP он не нужен)
В serverNames указан только max.ru, в settings.serverName тоже max.ru

Результат: при включенных белых списках подключение работает, скорость чуть ниже, чем у WS+TLS, но стабильно.

Важно: пока не было возможности проверить эту конфигурацию в реальных условиях включённых белых списков. Всё основано на теории и документации. Когда я сам лично полностью всё проверю и удостоверюсь что всё стабильно и нет никаких проблем постепенно начну подключать текущих клиентов, а если не будет работать попробую найти причину, а если не найду то... тут мои полномочия уже всё, я сделал всё что мог🤨