L’inspection approfondie des paquets (DPI) permet à un réseau de regarder au-delà des adresses et des ports et de juger la forme de votre trafic. Les protocoles VPN classiques ont des poignées de main reconnaissables, si bien qu’un censeur peut les bloquer sans jamais déchiffrer un seul octet. Un point de terminaison privé sur votre propre VPS évite les listes de blocage partagées, et un protocole qui imite le HTTPS ordinaire évite la détection par empreinte. Ce guide met en place un tel protocole : VLESS avec REALITY sur Xray.
Comment le DPI repère un VPN
Les censeurs s’appuient sur trois signaux : des schémas de poignée de main fixes (OpenVPN et WireGuard en ont tous deux), les plages d’IP connues des fournisseurs de VPN commerciaux, et le sondage actif, où le censeur se connecte à votre serveur et vérifie sa réponse. Un protocole doit résister aux trois pour durer.
- Schémas de poignée de main : évités en enveloppant le trafic dans une véritable session TLS.
- Plages d’IP partagées : évitées en utilisant un serveur que vous seul utilisez.
- Sondage actif : évité en faisant en sorte que le serveur se comporte comme un vrai site web pour quiconque n’a pas la clé.
Pourquoi REALITY
REALITY emprunte la poignée de main TLS d’un vrai site web populaire. Une sonde qui ne connaît pas votre clé est simplement redirigée vers ce site et voit un certificat et une page normaux. Un client qui connaît la clé obtient le proxy. Il n’y a aucun certificat à vous à signaler, et aucun domaine à enregistrer.
Étape 1 : préparer le serveur
Utilisez un VPS Ubuntu neuf dans un emplacement offrant une bonne route vers vos utilisateurs, et appliquez d’abord le durcissement de base. Installez ensuite Xray avec le script officiel.
sudo apt update && sudo apt -y upgrade
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
xray x25519La dernière commande affiche une clé privée et une clé publique. Gardez la clé privée sur le serveur et donnez la clé publique aux clients. Générez un identifiant utilisateur avec xray uuid.
Étape 2 : écrire la configuration Xray
Choisissez un site de camouflage qui prend en charge TLS 1.3 et HTTP/2 et qui est joignable depuis votre serveur. Placez son nom d’hôte à la fois dans dest et dans serverNames.
{
"inbounds": [{
"port": 443,
"protocol": "vless",
"settings": {
"clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"dest": "example.org:443",
"serverNames": ["example.org"],
"privateKey": "YOUR-PRIVATE-KEY",
"shortIds": ["a1b2c3d4"]
}
}
}],
"outbounds": [{ "protocol": "freedom" }]
}Enregistrez-la sous /usr/local/etc/xray/config.json, puis exécutez sudo systemctl restart xray et vérifiez systemctl status xray.
Étape 3 : ouvrir le pare-feu et se connecter
sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enableSur le client, importez l’adresse du serveur, le port 443, l’UUID, la clé publique, le short ID et le même nom de serveur. Des clients tels que v2rayN, Nekoray, Streisand et Hiddify prennent en charge REALITY. Réglez le flow sur xtls-rprx-vision pour correspondre au serveur.
Le maintenir en état de marche
- Utilisez un VPS par petit groupe d’utilisateurs. Un point de terminaison très sollicité est plus facile à profiler.
- Si le site de camouflage devient injoignable depuis le serveur, les connexions échouent. Choisissez un site stable et changez-en si nécessaire.
- Gardez Xray à jour ; les correctifs de protocole sont fréquents.
- N’exécutez rien d’autre sur le port 443 de la même IP.
Aucun outil ne garantit l’accès face à tous les censeurs. Testez depuis le réseau que vous utiliserez réellement et gardez un second protocole en secours. Pour un VPN quotidien plus simple, voyez WireGuard sur votre VPS, et pour le choix entre les deux classiques, lisez WireGuard ou OpenVPN.