Mit Deep Packet Inspection (DPI) kann ein Netzwerk über Adressen und Ports hinausschauen und die Form Ihres Datenverkehrs beurteilen. Klassische VPN-Protokolle haben erkennbare Handshakes, sodass ein Zensor sie blockieren kann, ohne je ein Byte zu entschlüsseln. Ein privater Endpunkt auf Ihrem eigenen VPS umgeht die gemeinsamen Sperrlisten, und ein Protokoll, das gewöhnliches HTTPS nachahmt, umgeht das Fingerprinting. Diese Anleitung richtet ein solches Protokoll ein: VLESS mit REALITY auf Xray.
Wie DPI ein VPN erkennt
Zensoren stützen sich auf drei Signale: feste Handshake-Muster (OpenVPN und WireGuard haben beide welche), bekannte IP-Bereiche kommerzieller VPN-Anbieter und aktives Probing, bei dem der Zensor sich mit Ihrem Server verbindet und prüft, wie dieser antwortet. Ein Protokoll muss alle drei überstehen, um dauerhaft zu funktionieren.
- Handshake-Muster: werden vermieden, indem der Datenverkehr in eine echte TLS-Sitzung eingepackt wird.
- Gemeinsame IP-Bereiche: werden vermieden, indem Sie einen Server nutzen, den nur Sie verwenden.
- Aktives Probing: wird vermieden, indem der Server sich für jeden ohne Schlüssel wie eine echte Website verhält.
Warum REALITY
REALITY übernimmt den TLS-Handshake einer echten, beliebten Website. Eine Sonde, die Ihren Schlüssel nicht kennt, wird einfach an diese Website weitergeleitet und sieht ein normales Zertifikat und eine normale Seite. Ein Client, der den Schlüssel kennt, erhält den Proxy. Es gibt kein eigenes Zertifikat, das auffallen könnte, und keine Domain, die registriert werden muss.
Schritt 1: Den Server vorbereiten
Verwenden Sie einen frischen Ubuntu-VPS an einem Standort mit guter Route zu Ihren Nutzern und wenden Sie zuerst die grundlegende Härtung an. Installieren Sie dann Xray mit dem offiziellen Skript.
sudo apt update && sudo apt -y upgrade
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
xray x25519Der letzte Befehl gibt einen privaten und einen öffentlichen Schlüssel aus. Behalten Sie den privaten Schlüssel auf dem Server und geben Sie den öffentlichen Schlüssel an die Clients weiter. Erzeugen Sie eine Benutzer-ID mit xray uuid.
Schritt 2: Die Xray-Konfiguration schreiben
Wählen Sie eine Tarn-Website, die TLS 1.3 und HTTP/2 unterstützt und von Ihrem Server aus erreichbar ist. Tragen Sie ihren Hostnamen sowohl in dest als auch in serverNames ein.
{
"inbounds": [{
"port": 443,
"protocol": "vless",
"settings": {
"clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"dest": "example.org:443",
"serverNames": ["example.org"],
"privateKey": "YOUR-PRIVATE-KEY",
"shortIds": ["a1b2c3d4"]
}
}
}],
"outbounds": [{ "protocol": "freedom" }]
}Speichern Sie sie als /usr/local/etc/xray/config.json, führen Sie dann sudo systemctl restart xray aus und prüfen Sie systemctl status xray.
Schritt 3: Die Firewall öffnen und verbinden
sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enableImportieren Sie im Client die Serveradresse, Port 443, die UUID, den öffentlichen Schlüssel, die Short ID und denselben Servernamen. Clients wie v2rayN, Nekoray, Streisand und Hiddify unterstützen REALITY. Stellen Sie den Flow auf xtls-rprx-vision, passend zum Server.
Den Betrieb aufrechterhalten
- Nutzen Sie einen VPS pro kleiner Nutzergruppe. Ein stark ausgelasteter Endpunkt lässt sich leichter profilieren.
- Wenn die Tarn-Website vom Server aus nicht mehr erreichbar ist, schlagen Verbindungen fehl. Wählen Sie eine stabile Website und wechseln Sie sie bei Bedarf.
- Halten Sie Xray aktuell; Protokollkorrekturen erscheinen oft.
- Betreiben Sie auf Port 443 derselben IP nichts anderes.
Kein Werkzeug garantiert den Zugang unter jedem Zensor. Testen Sie in dem Netzwerk, das Sie tatsächlich nutzen werden, und halten Sie ein zweites Protokoll als Rückfall bereit. Für ein einfacheres VPN im Alltag siehe WireGuard auf Ihrem VPS, und für die Wahl zwischen den beiden Klassikern lesen Sie WireGuard oder OpenVPN.