Wie unterscheidet sich VLESS+Reality von WireGuard?

WireGuard ist ein echter VPN und er ist ausgezeichnet — aber sein Protokoll hat eine erkennbare Signatur, sodass Deep Packet Inspection (DPI) es erkennen und blockieren kann. VLESS+Reality verfolgt einen anderen Ansatz: es tarnt deinen Traffic als gewöhnliche TLS-Verbindung zu einer echten, existierenden Website, sodass auf der Leitung nichts ist, das wie ein VPN aussieht, um es zu blockieren. Wenn WireGuard dort funktioniert, wo du bist, nutze es — es ist einfacher. Greif zu Reality, wenn WireGuard blockiert wird.

Warum brauche ich eine dedizierte IP für einen Xray-Server?

Weil er eingehende Verbindungen annimmt. Dein Client verbindet sich mit dem Server auf Port 443, und das erfordert eine öffentliche IP, die deine ist — ein NAT-Plan teilt eine Egress-IP und gibt dir keinen adressierbaren eingehenden Endpunkt. Ein Plan mit dedizierter IP schon. Die gute Nachricht: es ist ein Traffic-Workload, keine CPU, also reicht der günstigste Plan mit dedizierter IP (8 $/Mon. Nano-IP).

Wie viele Personen können einen Xray-Server nutzen?

Realistisch eine bis eine Handvoll. Er ist als dein eigener privater Endpunkt gebaut, kein öffentlicher Dienst. Du kannst mehrere Client-IDs hinzufügen, aber der Durchsatz wird geteilt und ein kleiner VPS soll kein öffentlicher VPN für Fremde sein — das lädt auch zu Missbrauch ein, der gegen die AUP verstößt.

Sieht mein Anbieter, was ich tue?

Der Anbieter sieht, dass Traffic zu und von deinem Server fließt — das Volumen und Timing — aber nicht den Inhalt deines getunnelten Traffics. Realitys Tarnung ist auf den Netzwerkpfad zu dir (DPI) gerichtet, nicht auf den Host. Wie immer ist es Pseudonymität, keine Unsichtbarkeit.

Dein eigener VLESS/Xray-Server auf einem VPS (wenn WireGuard blockiert wird)

WireGuard ist die meiste Zeit die richtige Antwort: er ist schnell, einfach und wirklich sicher. Das ist kein „WireGuard ist schlecht“-Artikel — es ist der ehrliche nächste Schritt für die eine Situation, in der WireGuard aufhört zu funktionieren. In manchen Netzwerken erkennt Deep Packet Inspection (DPI) das WireGuard-Protokoll an seiner Signatur und blockiert es geradewegs. Wenn das passiert, hilft keine Menge an Config-Anpassung, weil das Problem nicht dein Setup ist — es ist, dass der Traffic wie ein VPN aussieht. Das ist das Problem, das VLESS+Reality löst.

Die ehrliche Weggabelung: WireGuard oder Xray?

Entscheide das zuerst, denn das einfachere Werkzeug ist meist das richtige:

Nutze WireGuard, wenn es dort funktioniert, wo du bist. Es ist einfacher zu betreiben, einfacher zu durchdenken und schnell. Es gibt keinen Grund, zu etwas Komplexerem zu greifen, bis du musst.
Nutze VLESS+Reality (Xray), wenn WireGuard blockiert wird. Reality tarnt deine Verbindung als gewöhnlichen TLS-Handshake zu einer echten Website — sodass es für DPI aussieht wie jemand, der eine normale HTTPS-Seite durchsucht, ohne VPN-Signatur zu erkennen. Mehr bewegliche Teile, aber es überlebt, wo WireGuard es nicht tut.

Wenn du nicht blockiert wirst, hör hier auf und nutze WireGuard. Der Rest ist für, wenn du es bist.

Warum das eine dedizierte IP braucht

Ein Xray-Server nimmt eingehende Verbindungen an — dein Client wählt sich auf Port 443 in ihn ein. Das erfordert eine öffentliche IP, die adressierbar und deine ist. Ein NAT-Plan teilt eine Egress-IP unter Kunden und gibt dir keinen eingehenden Endpunkt, also funktioniert er hier nicht. Du brauchst einen Plan mit dedizierter IP — und da dies ein Traffic-Workload statt eines CPU-Workloads ist, erledigt der kleinste den Job: Nano-IP für 8 $/Mon. (1 vCPU / 1 GB) ist reichlich. Größere Pläne kaufen dir mehr Durchsatz-Spielraum, keinen besseren Tunnel.

Xray installieren

Nutze den offiziellen Installer — jage nicht nach zufälligen Builds:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Generiere die zwei Dinge, die eine Reality-Config braucht — ein Schlüsselpaar und eine UUID:

xray x25519          # gibt einen Private Key und einen Public Key aus
xray uuid            # gibt eine UUID für den Client aus

Behalte den Private Key für die Server-Config und den Public Key für den Client-Link. Speichere beide.

Die Server-Config, erklärt

Leg das in /usr/local/etc/xray/config.json, indem du deine generierten Werte einfügst:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Was die Schlüsselfelder tatsächlich tun:

dest — die echte Website, die dein Traffic imitieren wird. Es muss eine Seite sein, die TLS 1.3 und HTTP/2 unterstützt; eine große, immer verfügbare Domain ist die übliche Wahl. Das ist die Seite, von der DPI denkt, dass du sie besuchst.
serverNames — der/die SNI(s), die dein Handshake präsentiert. Es muss zu dest passen (dieselbe Domain), denn das ist die Tarnung.
privateKey — die private Hälfte deines xray x25519-Paars. Die öffentliche Hälfte geht an den Client.
shortIds — ein Array; [""] (leer) ist gültig und für ein persönliches Setup in Ordnung. Du kannst Hex-IDs hinzufügen, um Clients zu unterscheiden.
flow: xtls-rprx-vision — der Flow-Control-Modus, den Reality nutzt; er muss an beiden Enden übereinstimmen.

Dann aktiviere es:

sudo systemctl enable --now xray
sudo systemctl status xray

Der Client-Link

Richte einen Open-Source-Client auf den Server — v2rayN, Hiddify oder jede Xray-kompatible App. Der Verbindungsstring kodiert alles:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

Die Teile: pbk ist der Public Key, sni passt zu deinen serverNames, sid ist die Short-ID (hier leer), fp=chrome fälscht einen Browser-TLS-Fingerabdruck. Füg den Link in den Client ein und du bist verbunden.

Ehrliche Grenzen

Geschwindigkeit hängt von der Route zu dir ab. Reality macht Pakete nicht schneller — der Durchsatz ist durch den Netzwerkpfad zwischen dir und dem Server begrenzt. Ein näherer Server ist ein schnellerer; es gibt hier keine Magie.
Es ist für eine bis wenige Nutzer. Das ist dein privater Endpunkt, kein öffentlicher VPN. Ein kleiner VPS kann kein Dienst für Fremde sein, und ihn in einen zu verwandeln lädt zu Missbrauch ein.
Die AUP gilt weiterhin. Ein persönlicher Umgehungs-Tunnel ist in Ordnung; einen offenen öffentlichen Proxy zu betreiben oder ihn für Angriffe zu nutzen ist es nicht und führt zur Beendigung des Dienstes.
Dein Anbieter sieht, dass Traffic existiert. Die Tarnung ist auf DPI auf dem Pfad zu dir gerichtet, nicht auf den Host — der Anbieter sieht Volumen und Timing, nicht Inhalte. Es ist Pseudonymität, derselbe ehrliche Vorbehalt wie bei jedem anonymen VPS.

Das Fazit

WireGuard zuerst; Reality, wenn WireGuard blockiert wird. VLESS+Reality auf Xray versteckt deinen Tunnel in gewöhnlich aussehendem TLS zu einer echten Seite, was genau ist, was DPI besiegt — und es läuft gut auf dem günstigsten 8-$/Mon.-Plan mit dedizierter IP, weil es Traffic ist, keine Rechenleistung. Installiere über das offizielle Skript, generiere deine Schlüssel, passe dest/serverNames an und richte einen Open-Source-Client darauf. Riegle die Maschine zuerst mit der Sicherheits-Checkliste ab und halte die Erwartungen ehrlich: es besiegt DPI, es macht dich nicht unsichtbar.

Bereit, ihn zu betreiben? Der günstigste Plan mit dedizierter IP — Nano-IP für 8 $/Mon. reicht; das ist ein Traffic-Workload, keine Rechenleistung. Willst du zuerst das ganze Bild — welcher Plan, was betreiben, wann eine dedizierte IP erforderlich ist? Siehe VPS für VPN.

Plan ansehen und VPS bestellen →