שרת VLESS/Xray משלכם על VPS (כש-WireGuard נחסם)

WireGuard הוא התשובה הנכונה רוב הזמן: הוא מהיר, פשוט, ובאמת מאובטח. זה לא מאמר "WireGuard הוא רע" — זה הצעד הבא הכן למצב האחד שבו WireGuard מפסיק לעבוד. בחלק מהרשתות, בדיקת מנות עמוקה (DPI) מזהה את פרוטוקול WireGuard לפי החתימה שלו וחוסמת אותו לחלוטין. כשזה קורה, שום כמות כיוונון-הגדרות לא עוזרת, כי הבעיה אינה ההגדרה שלכם — היא שהתעבורה נראית כמו VPN. זו הבעיה ש-VLESS+Reality פותר.

ההתפצלות הכנה: WireGuard או Xray?

החליטו את זה קודם, כי הכלי הפשוט יותר בדרך כלל הנכון:

• השתמשו ב-WireGuard אם הוא עובד היכן שאתם. הוא קל יותר להריץ, קל יותר לחשוב עליו, ומהיר. אין סיבה להושיט יד למשהו מורכב יותר עד שאתם חייבים.
• השתמשו ב-VLESS+Reality (Xray) כש-WireGuard חסום. Reality מסווה את החיבור שלכם כ-handshake רגיל של TLS לאתר אמיתי — אז ל-DPI זה נראה כמו מישהו שגולש באתר HTTPS רגיל, ללא חתימת VPN לזהות. יותר חלקים נעים, אבל הוא שורד היכן ש-WireGuard לא.

אם אתם לא נחסמים, עצרו כאן והשתמשו ב-WireGuard. השאר הוא למתי שאתם כן.

למה זה צריך IP ייעודי

שרת Xray מקבל חיבורים נכנסים — הלקוח שלכם מחייג אליו על פורט 443. זה דורש IP ציבורי שהוא ניתן-למיעון ושלכם. תוכנית NAT חולקת IP יציאה אחד בין לקוחות ולא נותנת לכם נקודת קצה נכנסת, אז היא לא תעבוד כאן. אתם צריכים תוכנית עם IP ייעודי — ומכיוון שזה workload של תעבורה ולא CPU, הקטנה ביותר עושה את העבודה: Nano-IP ב-$8/חודש (1 vCPU / 1 GB) בשפע. תוכניות גדולות יותר קונות לכם יותר מרווח תפוקה, לא מנהרה טובה יותר.

התקינו Xray

השתמשו במתקין הרשמי — אל תחפשו builds אקראיים:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

ייצרו את שני הדברים שהגדרת Reality צריכה — זוג מפתחות ו-UUID:

xray x25519          # prints a Private key and a Public key
xray uuid            # prints a UUID for the client

שמרו את המפתח הפרטי להגדרת השרת ואת המפתח הציבורי לקישור הלקוח. שמרו את שניהם.

הגדרת השרת, מוסברת

הכניסו את זה ל-/usr/local/etc/xray/config.json, ממלאים את הערכים שייצרתם:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

מה שהשדות המרכזיים בעצם עושים:

• dest — האתר האמיתי שהתעבורה שלכם תתחזה אליו. הוא חייב להיות אתר שתומך ב-TLS 1.3 ו-HTTP/2; דומיין גדול, תמיד-למעלה הוא הבחירה הרגילה. זה האתר ש-DPI חושב שאתם מבקרים בו.
• serverNames — ה-SNI(s) שה-handshake שלכם מציג. הוא חייב להתאים ל-dest (אותו דומיין), כי זו ההסוואה.
• privateKey — החצי הפרטי של זוג ה-xray x25519 שלכם. החצי הציבורי הולך ללקוח.
• shortIds — מערך; [""] (ריק) תקף ובסדר להגדרה אישית. אתם יכולים להוסיף מזהי hex כדי להבחין בין לקוחות.
• flow: xtls-rprx-vision — מצב בקרת הזרימה ש-Reality משתמש בו; הוא חייב להתאים בשני הקצוות.

ואז הפעילו אותו:

sudo systemctl enable --now xray
sudo systemctl status xray

קישור הלקוח

כוונו לקוח בקוד פתוח לשרת — v2rayN, Hiddify, או כל אפליקציה תואמת-Xray. מחרוזת החיבור מקודדת הכל:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

החלקים: pbk הוא המפתח הציבורי, sni מתאים ל-serverNames שלכם, sid הוא ה-short ID (ריק כאן), fp=chrome מזייף טביעת אצבע TLS של דפדפן. הדביקו את הקישור ללקוח ואתם מחוברים.

מגבלות כנות

• מהירות תלויה בנתיב אליכם. Reality לא הופך מנות למהירות יותר — תפוקה מוגבלת בנתיב הרשת בינכם לשרת. שרת קרוב יותר הוא מהיר יותר; אין קסם כאן.
• זה לאחד עד כמה משתמשים. זו נקודת הקצה הפרטית שלכם, לא VPN ציבורי. VPS קטן אחד לא יכול להיות שירות לזרים, והפיכתו לאחד מזמינה ניצול לרעה.
• ה-AUP עדיין חל. מנהרת עקיפה אישית בסדר; הרצת proxy ציבורי פתוח או שימוש בו להתקפות לא, ומביא להפסקת השירות.
• הספק שלכם רואה שתעבורה קיימת. ההסוואה מכוונת ל-DPI בנתיב אליכם, לא למארח — הספק רואה נפח ותזמון, לא תוכן. זו פסבדונימיות, אותה הסתייגות כנה כמו כל VPS אנונימי.

השורה התחתונה

WireGuard קודם; Reality כש-WireGuard חסום. VLESS+Reality על Xray מחביא את המנהרה שלכם בתוך TLS שנראה רגיל לאתר אמיתי, שזה בדיוק מה שמביס DPI — והוא רץ בסדר על תוכנית ה-IP-הייעודי של $8/חודש הזולה ביותר כי זו תעבורה, לא compute. התקינו דרך הסקריפט הרשמי, ייצרו את המפתחות שלכם, התאימו dest/serverNames, וכוונו לקוח בקוד פתוח אליו. נעלו את הארגז קודם עם רשימת התיוג לאבטחה, ושמרו ציפיות כנות: זה מביס DPI, זה לא הופך אתכם לבלתי-נראים.

מוכנים להריץ את זה? תוכנית ה-IP-הייעודי הזולה ביותר — Nano-IP ב-$8/חודש היא כל מה שצריך; זה workload של תעבורה, לא compute. רוצים את התמונה המלאה קודם — איזו תוכנית, מה להריץ, מתי IP ייעודי נדרש? ראו VPS ל-VPN.

ראו את התוכנית והזמינו VPS →