Propriul server VLESS/Xray pe un VPS (când WireGuard e blocat)

WireGuard e răspunsul corect de cele mai multe ori: e rapid, simplu și cu adevărat sigur. Ăsta nu e un articol „WireGuard e prost” — e pasul următor cinstit pentru singura situație în care WireGuard nu mai merge. În unele rețele, inspecția profundă a pachetelor (DPI) recunoaște protocolul WireGuard după semnătură și îl blochează direct. Când se întâmplă asta, nicio ajustare a configurației nu ajută, pentru că problema nu e configurarea ta — e că traficul arată ca un VPN. Asta e problema pe care o rezolvă VLESS+Reality.

Bifurcația cinstită: WireGuard sau Xray?

Decide asta întâi, pentru că unealta mai simplă e de obicei cea potrivită:

• Folosește WireGuard dacă merge acolo unde ești. E mai ușor de rulat, mai ușor de înțeles și rapid. Nu are rost să apelezi la ceva mai complex până nu e nevoie.
• Folosește VLESS+Reality (Xray) când WireGuard e blocat. Reality îți deghizează conexiunea într-un handshake TLS obișnuit către un site real — așa că, pentru DPI, arată ca cineva care navighează pe un site HTTPS normal, fără nicio semnătură VPN de detectat. Mai multe piese în mișcare, dar supraviețuiește acolo unde WireGuard nu.

Dacă nu ești blocat, oprește-te aici și folosește WireGuard. Restul e pentru când ești.

De ce are nevoie de un IP dedicat

Un server Xray acceptă conexiuni de intrare — clientul tău se conectează la el pe portul 443. Pentru asta e nevoie de un IP public adresabil, care e al tău. Un plan NAT nu are o adresă publică proprie și nu-ți dă niciun punct de intrare, deci nu va merge aici. Îți trebuie un plan cu IP dedicat — și, pentru că e o sarcină de trafic, nu de CPU, cel mai mic își face treaba: Nano-IP la $8/lună (2 vCPU / 1 GB) ajunge din plin. Planurile mai mari îți cumpără mai multă rezervă de debit, nu un tunel mai bun.

Instalează Xray

Folosește instalatorul oficial — nu căuta builduri la întâmplare:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Generează cele două lucruri de care are nevoie o configurație Reality — o pereche de chei și un UUID:

xray x25519          # prints a Private key and a Public key
xray uuid            # prints a UUID for the client

Păstrează cheia privată pentru configurația serverului și cheia publică pentru linkul clientului. Salvează-le pe amândouă.

Configurația serverului, explicată

Pune asta în /usr/local/etc/xray/config.json, completând valorile generate:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Ce fac de fapt câmpurile-cheie:

• dest — site-ul real pe care îl va imita traficul tău. Trebuie să fie un site care suportă TLS 1.3 și HTTP/2; un domeniu mare, mereu online, e alegerea obișnuită. E site-ul pe care DPI crede că îl vizitezi.
• serverNames — SNI-ul (sau SNI-urile) pe care îl prezintă handshake-ul. Trebuie să se potrivească cu dest (același domeniu), pentru că asta e deghizarea.
• privateKey — jumătatea privată a perechii xray x25519. Jumătatea publică merge la client.
• shortIds — un tablou; [""] (gol) e valid și în regulă pentru o configurare personală. Poți adăuga ID-uri hex ca să deosebești clienții.
• flow: xtls-rprx-vision — modul de control al fluxului pe care îl folosește Reality; trebuie să se potrivească la ambele capete.

Apoi pornește-l:

sudo systemctl enable --now xray
sudo systemctl status xray

Linkul pentru client

Îndreaptă un client open-source spre server — v2rayN, Hiddify sau orice aplicație compatibilă Xray. Șirul de conectare codifică totul:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

Piesele: pbk e cheia publică, sni se potrivește cu serverNames, sid e short ID-ul (gol aici), fp=chrome imită amprenta TLS a unui browser. Lipește linkul în client și ești conectat.

Limite cinstite

• Viteza depinde de drumul până la tine. Reality nu face pachetele mai rapide — debitul e limitat de drumul de rețea dintre tine și server. Un server mai apropiat e unul mai rapid; nu e nicio magie aici.
• E pentru unul sau câțiva utilizatori. E propriul tău punct de acces privat, nu un VPN public. Un VPS mic nu poate fi un serviciu pentru necunoscuți, iar transformarea lui în unul invită abuzuri.
• Politica de utilizare acceptabilă se aplică în continuare. Un tunel personal pentru ocolirea cenzurii e în regulă; rularea unui proxy public deschis sau folosirea lui pentru atacuri nu e și duce la oprirea serviciului.
• Furnizorul vede că există trafic. Deghizarea vizează DPI de pe drumul până la tine, nu hostul — furnizorul vede volumul și momentele, nu conținutul. E pseudonimat, aceeași rezervă cinstită ca la orice VPS anonim.

Concluzia

Întâi WireGuard; Reality când WireGuard e blocat. VLESS+Reality pe Xray îți ascunde tunelul în TLS cu aspect obișnuit către un site real, exact ce învinge DPI — și rulează bine pe cel mai ieftin plan cu IP dedicat, de $8/lună, pentru că e trafic, nu calcul. Instalezi prin scriptul oficial, îți generezi cheile, potrivești dest/serverNames și îndrepți un client open-source spre el. Închide întâi mașina cu lista de securitate și păstrează așteptările cinstite: învinge DPI, nu te face invizibil.

Gata să-l rulezi? Cel mai ieftin plan cu IP dedicat — Nano-IP, la $8/lună — e tot ce-ți trebuie; e o sarcină de trafic, nu de calcul. Vrei întâi imaginea completă — ce plan, ce rulezi, când e nevoie de un IP dedicat? Vezi VPS pentru ocolirea cenzurii.

Vezi planul și comandă un VPS →