Je eigen VLESS/Xray-server op een VPS (wanneer WireGuard geblokkeerd wordt)

WireGuard is meestal het juiste antwoord: het is snel, simpel, en genuine veilig. Dit is geen "WireGuard is slecht"-artikel — het is de eerlijke volgende stap voor de ene situatie waar WireGuard stopt met werken. In sommige netwerken herkent deep packet inspection (DPI) het WireGuard-protocol aan zijn signatuur en blokkeert het ronduit. Wanneer dat gebeurt, helpt geen enkele hoeveelheid config-tweaking, omdat het probleem niet je setup is — het is dat het verkeer eruitziet als een VPN. Dat is het probleem dat VLESS+Reality oplost.

De eerlijke splitsing: WireGuard of Xray?

Beslis dit eerst, want het simpelere gereedschap is meestal het juiste:

• Gebruik WireGuard als het werkt waar je bent. Het is makkelijker te draaien, makkelijker te beredeneren, en snel. Er is geen reden om naar iets complexers te grijpen tot je moet.
• Gebruik VLESS+Reality (Xray) wanneer WireGuard geblokkeerd is. Reality vermomt je verbinding als een gewone TLS-handshake naar een echte website — dus voor DPI ziet het eruit als iemand die een normale HTTPS-site bezoekt, met geen VPN-signatuur om te detecteren. Meer bewegende delen, maar het overleeft waar WireGuard dat niet doet.

Als je niet geblokkeerd wordt, stop hier en gebruik WireGuard. De rest hiervan is voor wanneer je dat wel bent.

Waarom dit een dedicated IP nodig heeft

Een Xray-server accepteert inkomende verbindingen — je client belt erin op poort 443. Dat vereist een publiek IP dat adresseerbaar en van jou is. Bij een NAT-plan is het uitgaande adres niet van jezelf en krijg je geen inkomend endpoint, dus het werkt hier niet. Je hebt een dedicated-IP-plan nodig — en aangezien dit een verkeers-workload is in plaats van een CPU-één, doet de kleinste het werk: Nano-IP op $8/mnd (2 vCPU / 1 GB) is ruim voldoende. Grotere plannen kopen je meer doorvoer-ruimte, geen betere tunnel.

Installeer Xray

Gebruik de officiële installer — jaag niet op willekeurige builds:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Genereer de twee dingen die een Reality-config nodig heeft — een key pair en een UUID:

xray x25519          # prints a Private key and a Public key
xray uuid            # prints a UUID for the client

Houd de private key voor de server-config en de public key voor de client-link. Bewaar beide.

De server-config, uitgelegd

Zet dit in /usr/local/etc/xray/config.json, je gegenereerde waarden invullend:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Wat de belangrijkste velden werkelijk doen:

• dest — de echte website die je verkeer zal imiteren. Het moet een site zijn die TLS 1.3 en HTTP/2 ondersteunt; een groot, altijd-online domein is de gebruikelijke keuze. Dit is de site die DPI denkt dat je bezoekt.
• serverNames — de SNI('s) die je handshake presenteert. Het moet overeenkomen met dest (zelfde domein), omdat dat de vermomming is.
• privateKey — de private helft van je xray x25519-paar. De publieke helft gaat naar de client.
• shortIds — een array; [""] (leeg) is geldig en prima voor een persoonlijke setup. Je kunt hex-ID's toevoegen om clients te onderscheiden.
• flow: xtls-rprx-vision — de flow-control-modus die Reality gebruikt; het moet aan beide kanten overeenkomen.

Schakel het dan in:

sudo systemctl enable --now xray
sudo systemctl status xray

De client-link

Richt een open-source client op de server — v2rayN, Hiddify, of een Xray-compatibele app. De connection string codeert alles:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

De stukken: pbk is de public key, sni komt overeen met je serverNames, sid is de short ID (leeg hier), fp=chrome faket een browser-TLS-fingerprint. Plak de link in de client en je bent verbonden.

Eerlijke grenzen

• Snelheid hangt af van de route naar jou. Reality maakt pakketten niet sneller — doorvoer wordt begrensd door het netwerkpad tussen jou en de server. Een dichterbije server is een snellere; er is hier geen magie.
• Het is voor één tot een paar gebruikers. Dit is je private endpoint, geen publieke VPN. Eén kleine VPS kan geen service voor vreemden zijn, en het in één veranderen nodigt misbruik uit.
• De AUP geldt nog steeds. Een persoonlijke omzeilingstunnel is prima; een open publieke proxy draaien of het gebruiken voor aanvallen is dat niet, en krijgt de service beëindigd.
• Je provider ziet dat verkeer bestaat. De vermomming is gericht op DPI op het pad naar jou, niet op de host — de provider ziet volume en timing, geen inhoud. Het is pseudonimiteit, dezelfde eerlijke kanttekening als bij elke anonieme VPS.

De conclusie

WireGuard eerst; Reality wanneer WireGuard geblokkeerd is. VLESS+Reality op Xray verbergt je tunnel binnen gewoon-uitziend TLS naar een echte site, wat precies is wat DPI verslaat — en het draait prima op het goedkoopste $8/mnd dedicated-IP-plan omdat het verkeer is, geen compute. Installeer via het officiële script, genereer je keys, match dest/serverNames, en richt een open-source client erop. Zet de box eerst op slot met de beveiligingschecklist, en houd verwachtingen eerlijk: het verslaat DPI, het maakt je niet onzichtbaar.

Klaar om het te draaien? Het goedkoopste dedicated-IP-plan — Nano-IP op $8/mnd is alles wat het kost; dit is een verkeers-workload, geen compute. Wil je eerst het volledige plaatje — welk plan, wat te draaien, wanneer een dedicated IP vereist is? Zie VPS voor VPN.

Bekijk het plan & bestel een VPS →