Il tuo server VLESS/Xray su un VPS (quando WireGuard viene bloccato)

WireGuard è la risposta giusta la maggior parte delle volte: è veloce, semplice e davvero sicuro. Questo non è un articolo "WireGuard è cattivo" — è l'onesto passo successivo per l'unica situazione in cui WireGuard smette di funzionare. In alcune reti, la deep packet inspection (DPI) riconosce il protocollo WireGuard dalla sua firma e lo blocca del tutto. Quando succede, nessuna quantità di ritocchi alla config aiuta, perché il problema non è il tuo setup — è che il traffico sembra una VPN. È il problema che VLESS+Reality risolve.

Il bivio onesto: WireGuard o Xray?

Decidi questo prima, perché lo strumento più semplice è di solito quello giusto:

• Usa WireGuard se funziona dove sei. È più facile da gestire, più facile da capire, e veloce. Non c'è motivo di ricorrere a qualcosa di più complesso finché non devi.
• Usa VLESS+Reality (Xray) quando WireGuard è bloccato. Reality traveste la tua connessione da normale handshake TLS verso un sito web reale — quindi alla DPI sembra qualcuno che naviga un normale sito HTTPS, senza firma VPN da rilevare. Più parti in movimento, ma sopravvive dove WireGuard non lo fa.

Se non vieni bloccato, fermati qui e usa WireGuard. Il resto è per quando lo sei.

Perché serve un IP dedicato

Un server Xray accetta connessioni in entrata — il tuo client si collega su porta 443. Questo richiede un IP pubblico che sia indirizzabile e tuo. Su un piano NAT l'indirizzo in uscita non è tuo e non hai un endpoint in entrata, quindi qui non funziona. Ti serve un piano con IP dedicato — e dato che questo è un carico di traffico piuttosto che di CPU, il più piccolo fa il lavoro: Nano-IP a $8/mese (2 vCPU / 1 GB) è più che sufficiente. I piani più grandi ti comprano più margine di throughput, non un tunnel migliore.

Installa Xray

Usa l'installer ufficiale — non cercare build a caso:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Genera le due cose di cui una config Reality ha bisogno — una coppia di chiavi e un UUID:

xray x25519          # stampa una Private key e una Public key
xray uuid            # stampa un UUID per il client

Tieni la private key per la config del server e la public key per il link del client. Salva entrambe.

La config del server, spiegata

Metti questo in /usr/local/etc/xray/config.json, riempiendo con i tuoi valori generati:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Cosa fanno davvero i campi chiave:

• dest — il sito web reale che il tuo traffico impersonerà. Deve essere un sito che supporta TLS 1.3 e HTTP/2; un dominio grande e sempre attivo è la scelta abituale. Questo è il sito che la DPI pensa tu stia visitando.
• serverNames — l'SNI (o gli SNI) che il tuo handshake presenta. Deve corrispondere a dest (stesso dominio), perché è il travestimento.
• privateKey — la metà privata della tua coppia xray x25519. La metà pubblica va al client.
• shortIds — un array; [""] (vuoto) è valido e va bene per un setup personale. Puoi aggiungere ID esadecimali per distinguere i client.
• flow: xtls-rprx-vision — la modalità di controllo del flusso che Reality usa; deve corrispondere su entrambi i lati.

Poi abilitalo:

sudo systemctl enable --now xray
sudo systemctl status xray

Il link del client

Punta un client open-source al server — v2rayN, Hiddify, o qualsiasi app compatibile con Xray. La stringa di connessione codifica tutto:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

I pezzi: pbk è la public key, sni corrisponde ai tuoi serverNames, sid è lo short ID (vuoto qui), fp=chrome finge un fingerprint TLS del browser. Incolla il link nel client e sei connesso.

Limiti onesti

• La velocità dipende dalla rotta verso di te. Reality non rende i pacchetti più veloci — il throughput è limitato dal percorso di rete tra te e il server. Un server più vicino è più veloce; qui non c'è magia.
• È per uno fino a pochi utenti. Questo è il tuo endpoint privato, non una VPN pubblica. Un piccolo VPS non può essere un servizio per sconosciuti, e trasformarlo in uno invita abusi.
• La AUP si applica comunque. Un tunnel di aggiramento personale va bene; gestire un proxy pubblico aperto o usarlo per attacchi no, e porta alla terminazione del servizio.
• Il tuo provider vede che il traffico esiste. Il travestimento è mirato alla DPI sul percorso verso di te, non all'host — il provider vede volume e tempistica, non contenuti. È pseudonimia, la stessa avvertenza onesta di qualsiasi VPS anonimo.

In conclusione

Prima WireGuard; Reality quando WireGuard è bloccato. VLESS+Reality su Xray nasconde il tuo tunnel dentro un TLS dall'aspetto normale verso un sito reale, che è esattamente ciò che sconfigge la DPI — e gira bene sul piano con IP dedicato più economico da $8/mese perché è traffico, non calcolo. Installa tramite lo script ufficiale, genera le tue chiavi, fai corrispondere dest/serverNames, e punta un client open-source su di esso. Blinda prima la macchina con la checklist di sicurezza, e mantieni oneste le aspettative: batte la DPI, non ti rende invisibile.

Pronto a farlo girare? Il piano con IP dedicato più economico — Nano-IP a $8/mese è tutto ciò che serve; questo è un carico di traffico, non calcolo. Vuoi prima il quadro completo — quale piano, cosa eseguire, quando è richiesto un IP dedicato? Vedi VPS per VPN.

Vedi il piano e ordina un VPS →