Din egen VLESS/Xray-server på en VPS (när WireGuard blockeras)

WireGuard är rätt svar för det mesta: det är snabbt, enkelt, och genuint säkert. Detta är ingen "WireGuard är dålig"-artikel — det är det ärliga nästa steget för den ena situationen där WireGuard slutar fungera. I vissa nätverk känner deep packet inspection (DPI) igen WireGuard-protokollet på dess signatur och blockerar det rakt av. När det händer hjälper ingen mängd config-tweaking, för problemet är inte din uppsättning — det är att trafiken ser ut som en VPN. Det är problemet VLESS+Reality löser.

Den ärliga förgreningen: WireGuard eller Xray?

Bestäm detta först, för det enklare verktyget är oftast det rätta:

• Använd WireGuard om det fungerar där du är. Det är lättare att köra, lättare att resonera om, och snabbt. Det finns ingen anledning att sträcka sig efter något mer komplext förrän du måste.
• Använd VLESS+Reality (Xray) när WireGuard är blockerad. Reality förklär din anslutning som en vanlig TLS-handshake till en riktig webbplats — så för DPI ser det ut som någon som surfar en normal HTTPS-sida, utan VPN-signatur att upptäcka. Fler rörliga delar, men det överlever där WireGuard inte gör det.

Om du inte blir blockerad, stanna här och använd WireGuard. Resten av detta är för när du blir det.

Varför detta behöver en dedikerad IP

En Xray-server accepterar inkommande anslutningar — din klient ringer in på port 443. Det kräver en publik IP som är adresserbar och din. På ett NAT-plan är den utgående adressen inte din egen och du får ingen inkommande endpoint, så det fungerar inte här. Du behöver ett dedikerad-IP-plan — och eftersom detta är en trafik-workload snarare än en CPU-en, gör den minsta jobbet: Nano-IP på $8/mån (2 vCPU / 1 GB) räcker gott. Större plan köper dig mer throughput-utrymme, inte en bättre tunnel.

Installera Xray

Använd den officiella installern — jaga inte slumpmässiga builds:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Generera de två sakerna en Reality-config behöver — ett key pair och en UUID:

xray x25519          # prints a Private key and a Public key
xray uuid            # prints a UUID for the client

Håll private key för server-configen och public key för klient-länken. Spara båda.

Server-configen, förklarad

Släpp detta i /usr/local/etc/xray/config.json, fyllande i dina genererade värden:

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Vad nyckelfälten faktiskt gör:

• dest — den riktiga webbplatsen din trafik kommer att imitera. Den måste vara en sida som stöder TLS 1.3 och HTTP/2; en stor, alltid-uppe domän är det vanliga valet. Detta är sidan DPI tror att du besöker.
• serverNames — SNI:et/SNI:erna din handshake presenterar. Den måste matcha dest (samma domän), för det är förklädnaden.
• privateKey — den privata hälften av ditt xray x25519-par. Den publika hälften går till klienten.
• shortIds — en array; [""] (tom) är giltig och fin för en personlig uppsättning. Du kan lägga till hex-ID:n för att skilja klienter.
• flow: xtls-rprx-vision — flow-control-läget Reality använder; det måste matcha på båda ändar.

Aktivera det sedan:

sudo systemctl enable --now xray
sudo systemctl status xray

Klient-länken

Rikta en open-source klient mot servern — v2rayN, Hiddify, eller vilken Xray-kompatibel app som helst. Connection string kodar allt:

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

Delarna: pbk är public key, sni matchar dina serverNames, sid är short ID (tom här), fp=chrome fejkar ett webbläsar-TLS-fingerprint. Klistra länken i klienten och du är ansluten.

Ärliga gränser

• Hastighet beror på rutten till dig. Reality gör inte paket snabbare — throughput begränsas av nätverksvägen mellan dig och servern. En närmare server är en snabbare; det finns ingen magi här.
• Det är för en till några användare. Detta är din privata endpoint, inte en publik VPN. En liten VPS kan inte vara en tjänst för främlingar, och att förvandla den till en bjuder in missbruk.
• AUP gäller fortfarande. En personlig kringgåendetunnel är fin; att köra en öppen publik proxy eller använda den för attacker är det inte, och får tjänsten avslutad.
• Din leverantör ser att trafik existerar. Förklädnaden är riktad mot DPI på vägen till dig, inte mot värden — leverantören ser volym och timing, inte innehåll. Det är pseudonymitet, samma ärliga förbehåll som vid vilken anonym VPS som helst.

Slutsatsen

WireGuard först; Reality när WireGuard är blockerad. VLESS+Reality på Xray gömmer din tunnel inuti normalt-utseende TLS till en riktig sida, vilket är precis vad som besegrar DPI — och det körs fint på det billigaste $8/mån dedikerad-IP-planet eftersom det är trafik, inte compute. Installera via det officiella skriptet, generera dina nycklar, matcha dest/serverNames, och rikta en open-source klient mot det. Lås ner boxen först med säkerhetschecklistan, och håll förväntningar ärliga: det besegrar DPI, det gör dig inte osynlig.

Redo att köra det? Det billigaste dedikerad-IP-planet — Nano-IP på $8/mån är allt som krävs; detta är en trafik-workload, inte compute. Vill du ha hela bilden först — vilket plan, vad att köra, när en dedikerad IP krävs? Se VPS för VPN.

Se planet & beställ en VPS →