Собствен VLESS/Xray сървър на VPS (когато WireGuard бъде блокиран)

WireGuard е правилният отговор през повечето време: бърз, прост и генуинно сигурен. Това не е статия „WireGuard е лош“ — това е честната следваща стъпка за единствената ситуация, в която WireGuard спира да работи. В някои мрежи deep packet inspection (DPI) разпознава WireGuard протокола по подписа му и го блокира направо. Когато това стане, никакво настройване на конфигурация не помага, защото проблемът не е настройката ти — а че трафикът изглежда като VPN. Това е проблемът, който VLESS+Reality решава.

Честното разклонение: WireGuard или Xray?

Реши това първо, защото по-простият инструмент обикновено е правилният:

• Използвай WireGuard, ако работи там, където си. По-лесен е за пускане, по-лесен за разбиране, и бърз. Няма причина да посягаш към нещо по-сложно, докато не се наложи.
• Използвай VLESS+Reality (Xray), когато WireGuard е блокиран. Reality маскира връзката ти като обикновен TLS handshake към реален уебсайт — така че за DPI изглежда като някой, разглеждащ нормален HTTPS сайт, без VPN подпис за откриване. Повече движещи се части, но преживява там, където WireGuard не.

Ако не те блокират, спри тук и използвай WireGuard. Останалото е за когато те блокират.

Защо това се нуждае от dedicated IP

Xray сървър приема входящи връзки — клиентът ти се свързва с него на порт 443. Това изисква публичен IP, който е адресируем и твой. При NAT план изходящият адрес не е твой собствен и не ти дава входящ endpoint, така че няма да работи тук. Нуждаеш се от план с dedicated IP — и понеже това е натоварване на трафик, а не CPU, най-малкият върши работата: Nano-IP на $8/месец (2 vCPU / 1 GB) е предостатъчен. По-големите планове ти купуват повече запас за throughput, не по-добър тунел.

Инсталирай Xray

Използвай официалния инсталатор — не търси случайни build-ове:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Генерирай двете неща, от които Reality конфигурация се нуждае — двойка ключове и UUID:

xray x25519          # prints a Private key and a Public key
xray uuid            # prints a UUID for the client

Запази private key за конфигурацията на сървъра и public key за клиентския линк. Запази и двете.

Конфигурацията на сървъра, обяснена

Пусни това в /usr/local/etc/xray/config.json, попълвайки генерираните си стойности:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Какво реално правят ключовите полета:

• dest — реалният уебсайт, който трафикът ти ще имитира. Трябва да е сайт, който поддържа TLS 1.3 и HTTP/2; голям, винаги-активен домейн е обичайният избор. Това е сайтът, който DPI мисли, че посещаваш.
• serverNames — SNI(-тата), които handshake-ът ти представя. Трябва да съответства на dest (същия домейн), защото това е маскировката.
• privateKey — частната половина на двойката ти xray x25519. Публичната половина отива към клиента.
• shortIds — масив; [""] (празен) е валиден и наред за лична настройка. Можеш да добавиш hex ID-та, за да различаваш клиенти.
• flow: xtls-rprx-vision — режимът за контрол на потока, който Reality използва; трябва да съвпада от двете страни.

После го включи:

sudo systemctl enable --now xray
sudo systemctl status xray

Клиентският линк

Насочи open-source клиент към сървъра — v2rayN, Hiddify или всяко съвместимо с Xray приложение. Низът за връзка кодира всичко:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

Частите: pbk е public key, sni съответства на serverNames-а ти, sid е short ID (празен тук), fp=chrome фалшифицира браузър TLS fingerprint. Постави линка в клиента и си свързан.

Честни граници

• Скоростта зависи от маршрута до теб. Reality не прави пакетите по-бързи — throughput-ът е ограничен от мрежовия път между теб и сървъра. По-близък сървър е по-бърз; тук няма магия.
• За един до няколко потребителя е. Това е твоят частен endpoint, не публична VPN. Един малък VPS не може да е услуга за непознати, а превръщането му в такава кани злоупотреба.
• AUP все пак важи. Личен тунел за заобикаляне е наред; пускането на отворен публичен proxy или използването му за атаки не е и води до прекратяване на услугата.
• Доставчикът ти вижда, че трафик съществува. Маскировката е насочена към DPI на пътя до теб, не към хоста — доставчикът вижда обем и време, не съдържание. Това е псевдонимност, същото честно предупреждение като всеки анонимен VPS.

Заключението

WireGuard първо; Reality, когато WireGuard е блокиран. VLESS+Reality на Xray крие тунела ти вътре в изглеждащ обикновен TLS към реален сайт, което е точно това, което побеждава DPI — и работи добре на най-евтиния план с dedicated IP за $8/месец, защото е трафик, не изчисление. Инсталирай през официалния скрипт, генерирай ключовете си, съответствай dest/serverNames, и насочи open-source клиент към него. Заключи първо машината с checklist за сигурност, и дръж очакванията честни: побеждава DPI, не те прави невидим.

Готов да го пуснеш? Най-евтиният план с dedicated IP — Nano-IP на $8/месец е всичко, което трябва; това е натоварване на трафик, не изчисление. Искаш първо пълната картина — кой план, какво да пуснеш, кога dedicated IP е задължителен? Виж VPS за VPN.

Виж плана и поръчай VPS →