Czym VLESS+Reality różni się od WireGuard?

WireGuard to prawdziwy VPN i jest doskonały — ale jego protokół ma rozpoznawalną sygnaturę, więc głęboka inspekcja pakietów (DPI) może go wykryć i zablokować. VLESS+Reality obiera inne podejście: przebiera Twój ruch za zwykłe połączenie TLS z prawdziwą, istniejącą stroną, więc na łączu nie ma niczego, co wygląda jak VPN do zablokowania. Jeśli WireGuard działa tam, gdzie jesteś, użyj go — jest prostszy. Sięgnij po Reality, gdy WireGuard zostaje zablokowany.

Dlaczego potrzebuję dedykowanego IP dla serwera Xray?

Bo przyjmuje połączenia przychodzące. Twój klient łączy się z serwerem na porcie 443, a to wymaga publicznego IP, które jest Twoje — plan NAT współdzieli jedno wyjściowe IP i nie daje Ci adresowalnego punktu końcowego przychodzącego. Plan z dedykowanym IP tak. Dobra wiadomość: to obciążenie ruchowe, nie CPU, więc najtańszy plan z dedykowanym IP (Nano-IP za 8 $/mies.) wystarczy.

Ile osób może używać jednego serwera Xray?

Realistycznie jedna do garstki. Jest zbudowany jako Twój własny prywatny punkt końcowy, nie usługa publiczna. Możesz dodać wiele identyfikatorów klientów, ale przepustowość jest współdzielona, a jeden mały VPS nie jest przeznaczony do bycia publicznym VPN dla obcych — to też zaprasza nadużycia naruszające AUP.

Czy mój dostawca zobaczy, co robię?

Dostawca widzi, że ruch płynie do i z Twojego serwera — wolumen i czas — ale nie zawartość Twojego tunelowanego ruchu. Przebranie Reality celuje w ścieżkę sieciową do Ciebie (DPI), nie w host. Jak zawsze, to pseudonimowość, nie niewidzialność.

Twój własny serwer VLESS/Xray na VPS (gdy WireGuard zostaje zablokowany)

WireGuard to właściwa odpowiedź przez większość czasu: jest szybki, prosty i naprawdę bezpieczny. To nie artykuł „WireGuard jest zły” — to uczciwy następny krok dla jednej sytuacji, w której WireGuard przestaje działać. W niektórych sieciach głęboka inspekcja pakietów (DPI) rozpoznaje protokół WireGuard po jego sygnaturze i blokuje go wprost. Gdy tak się dzieje, żadne dostrajanie konfiguracji nie pomaga, bo problemem nie jest Twoja konfiguracja — to, że ruch wygląda jak VPN. To problem, który rozwiązuje VLESS+Reality.

Uczciwe rozwidlenie: WireGuard czy Xray?

Zdecyduj to najpierw, bo prostsze narzędzie jest zwykle właściwe:

Użyj WireGuard, jeśli działa tam, gdzie jesteś. Jest łatwiejszy w prowadzeniu, łatwiejszy do zrozumienia i szybki. Nie ma powodu, by sięgać po coś bardziej złożonego, aż będziesz musiał.
Użyj VLESS+Reality (Xray), gdy WireGuard jest zablokowany. Reality przebiera Twoje połączenie za zwykły handshake TLS z prawdziwą stroną — więc dla DPI wygląda jak ktoś przeglądający normalną stronę HTTPS, bez sygnatury VPN do wykrycia. Więcej ruchomych części, ale przetrwa tam, gdzie WireGuard nie.

Jeśli nie jesteś blokowany, zatrzymaj się tu i użyj WireGuard. Reszta jest na wypadek, gdy jesteś.

Dlaczego to potrzebuje dedykowanego IP

Serwer Xray przyjmuje połączenia przychodzące — Twój klient dzwoni do niego na porcie 443. To wymaga publicznego IP, które jest adresowalne i Twoje. Plan NAT współdzieli jedno wyjściowe IP między klientami i nie daje Ci punktu końcowego przychodzącego, więc tu nie zadziała. Potrzebujesz planu z dedykowanym IP — a ponieważ to obciążenie ruchowe, nie CPU, najmniejszy wykonuje zadanie: Nano-IP za 8 $/mies. (1 vCPU / 1 GB) w zupełności wystarczy. Większe plany kupują Ci więcej zapasu przepustowości, nie lepszy tunel.

Zainstaluj Xray

Użyj oficjalnego instalatora — nie poluj na losowe buildy:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Wygeneruj dwie rzeczy, których potrzebuje konfiguracja Reality — parę kluczy i UUID:

xray x25519          # drukuje klucz prywatny i klucz publiczny
xray uuid            # drukuje UUID dla klienta

Zachowaj klucz prywatny dla konfiguracji serwera i klucz publiczny dla linku klienta. Zapisz oba.

Konfiguracja serwera, wyjaśniona

Wrzuć to do /usr/local/etc/xray/config.json, wypełniając swoje wygenerowane wartości:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Co kluczowe pola faktycznie robią:

dest — prawdziwa strona, pod którą Twój ruch będzie się podszywał. Musi to być strona obsługująca TLS 1.3 i HTTP/2; duża, zawsze dostępna domena to zwykły wybór. To strona, którą DPI myśli, że odwiedzasz.
serverNames — SNI, które prezentuje Twój handshake. Musi pasować do dest (ta sama domena), bo to jest przebranie.
privateKey — prywatna połowa Twojej pary z xray x25519. Publiczna połowa idzie do klienta.
shortIds — tablica; [""] (pusta) jest poprawna i w porządku dla osobistej konfiguracji. Możesz dodać identyfikatory hex, by rozróżniać klientów.
flow: xtls-rprx-vision — tryb kontroli przepływu, którego używa Reality; musi pasować po obu stronach.

Potem włącz go:

sudo systemctl enable --now xray
sudo systemctl status xray

Link klienta

Skieruj klienta open-source na serwer — v2rayN, Hiddify lub dowolną aplikację zgodną z Xray. Ciąg połączenia koduje wszystko:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

Elementy: pbk to klucz publiczny, sni pasuje do Twoich serverNames, sid to short ID (pusty tutaj), fp=chrome fałszuje odcisk TLS przeglądarki. Wklej link do klienta i jesteś połączony.

Uczciwe granice

Szybkość zależy od trasy do Ciebie. Reality nie czyni pakietów szybszymi — przepustowość jest ograniczona ścieżką sieciową między Tobą a serwerem. Bliższy serwer jest szybszy; nie ma tu magii.
To dla jednego do kilku użytkowników. To Twój prywatny punkt końcowy, nie publiczny VPN. Jeden mały VPS nie może być usługą dla obcych, a zamiana go w taką zaprasza nadużycia.
AUP wciąż obowiązuje. Osobisty tunel do omijania jest w porządku; prowadzenie otwartego publicznego proxy lub używanie go do ataków nie jest i skutkuje zakończeniem usługi.
Twój dostawca widzi, że ruch istnieje. Przebranie celuje w DPI na ścieżce do Ciebie, nie w host — dostawca widzi wolumen i czas, nie zawartość. To pseudonimowość, to samo uczciwe zastrzeżenie co przy dowolnym anonimowym VPS.

Konkluzja

Najpierw WireGuard; Reality, gdy WireGuard jest zablokowany. VLESS+Reality na Xray ukrywa Twój tunel wewnątrz zwykle wyglądającego TLS do prawdziwej strony, co jest dokładnie tym, co pokonuje DPI — i działa dobrze na najtańszym planie z dedykowanym IP za 8 $/mies., bo to ruch, nie moc obliczeniowa. Zainstaluj przez oficjalny skrypt, wygeneruj klucze, dopasuj dest/serverNames i skieruj na to klienta open-source. Najpierw zablokuj maszynę listą kontrolną bezpieczeństwa i trzymaj oczekiwania uczciwe: bije DPI, nie czyni Cię niewidzialnym.

Gotowy to uruchomić? Najtańszy plan z dedykowanym IP — Nano-IP za 8 $/mies. to wszystko, czego trzeba; to obciążenie ruchowe, nie moc. Chcesz najpierw pełny obraz — który plan, co uruchomić, kiedy dedykowane IP jest wymagane? Zobacz VPS pod VPN.