VLESS+Reality 跟 WireGuard 有什麼不同？

WireGuard 是一個真正的 VPN，也很出色——但它的協議有可識別的特徵，所以深度包偵測（DPI）能偵測並封掉它。VLESS+Reality 採取不同的做法：它把您的流量偽裝成到一個真實、存在的網站的普通 TLS 連線，所以在鏈路上沒有任何看起來像 VPN 的東西可封。如果您所在的地方 WireGuard 能用，就用它——它更簡單。WireGuard 被封時再上 Reality。

為什麼 Xray 伺服器需要獨立IP？

因為它接受對內連線。您的用戶端在 443 埠連線伺服器，這需要一個屬於您自己的公用 IP——NAT 方案共享一個出口 IP，給不了您一個可定址的對內端點。獨立IP方案能。好訊息是：這是個流量負載，不是 CPU，所以最便宜的獨立IP方案（$8/月的 Nano-IP）就夠。

一台 Xray 伺服器能給多少人用？

實際上一到幾個。它是作為您自己的私有端點建的，不是公共服務。您能加多個用戶端 ID，但吞吐是共享的，一台小 VPS 不該給陌生人當公共 VPN——那還招來違反 AUP 的濫用。

我的服務供應商會看到我在做什麼嗎？

服務供應商看得到流量在您的伺服器進出——流量和時序——但看不到您通道內流量的內容。Reality 的偽裝針對的是到您這條網路路徑（DPI），不是主機。一如既往，這是化名，不是隱身。

在 VPS 上搭您自己的 VLESS/Xray 伺服器（當 WireGuard 被封時）

WireGuard 大多數時候是對的答案：它快、簡單、也真正安全。這不是一篇「WireGuard 不好」的文章——它是針對 WireGuard 停止工作的那一種情況的誠實下一步。在某些網路裡，深度包偵測（DPI）透過特徵識別出 WireGuard 協議、並直接封掉它。那時，再怎麼調設定都沒用，因為問題不在您的設定——而在於那流量看起來像一個 VPN。那正是 VLESS+Reality 解決的問題。

誠實的岔路：WireGuard 還是 Xray？

先定這個，因為更簡單的工具通常是對的那個：

用 WireGuard，如果它在您所在的地方能用。它更好跑、更好理解、也快。在您不得不之前，沒理由去上更復雜的東西。
用 VLESS+Reality（Xray），當 WireGuard 被封時。Reality 把您的連線偽裝成到一個真實網站的普通 TLS 握手——所以對 DPI 來說，它看起來就是有人在瀏覽一個正常的 HTTPS 網站，沒有可偵測的 VPN 特徵。零件更多，但它在 WireGuard 活不下去的地方活得下來。

如果您沒被封，就停在這裡、用 WireGuard。剩下的內容是給您被封時用的。

為什麼這需要獨立IP

一台 Xray 伺服器接受對內連線——您的用戶端在 443 埠撥進它。那需要一個可定址、屬於您自己的公用 IP。NAT 方案在客戶之間共享一個出口 IP、給不了您對內端點，所以在這兒行不通。您需要一個獨立IP方案——而既然這是流量負載而非 CPU 負載，最小的那個就能幹這活：$8/月的 Nano-IP（2 vCPU / 1 GB）就綽綽有餘。更大的方案給您買來更多吞吐餘量，而不是一條更好的通道。

安裝 Xray

用官方安裝器——別去找來路不明的建置：

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

產生一份 Reality 設定需要的兩樣東西——一對金鑰和一個 UUID：

xray x25519          # 列印一個私鑰和一個公鑰
xray uuid            # 列印一個給用戶端的 UUID

私鑰留給伺服器設定，公鑰留給用戶端連結。兩個都儲存好。

伺服器設定，逐項講解

把這段放進 /usr/local/etc/xray/config.json，填上您產生的值：

{
  "inbounds": [{
    "listen": "0.0.0.0",
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": [""]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

關鍵欄位實際做什麼：

dest —— 您的流量將要冒充的那個真實網站。它必須是一個支援 TLS 1.3 和 HTTP/2 的站點；一個大的、永遠線上的網域是常見選擇。這就是 DPI 以為您在存取的站點。
serverNames —— 您握手呈現的 SNI。它必須跟 dest 符合（同一網域），因為那就是偽裝。
privateKey —— 您 xray x25519 那對裡的私鑰一半。公鑰一半給用戶端。
shortIds —— 一個數組；[""]（空）有效，對個人設定也沒問題。您可以加十六進位制 ID 來區分用戶端。
flow: xtls-rprx-vision —— Reality 用的流控模式；兩端必須符合。

然後啟用它：

sudo systemctl enable --now xray
sudo systemctl status xray

用戶端連結

用一個開源用戶端指向伺服器——v2rayN、Hiddify，或任何相容 Xray 的 app。連線串把一切都編碼進去：

vless://YOUR-UUID@YOUR-SERVER-IP:443?type=tcp&security=reality&sni=www.microsoft.com&pbk=YOUR-PUBLIC-KEY&sid=&fp=chrome&flow=xtls-rprx-vision#my-server

各部分：pbk 是公鑰，sni 跟您的 serverNames 符合，sid 是 short ID（這裡為空），fp=chrome 偽造一個瀏覽器的 TLS 指紋。把連結粘進用戶端，您就連上了。

誠實的界限

速度取決於到您的路由。 Reality 不會讓資料包更快——吞吐受您和伺服器之間那條網路路徑限制。更近的伺服器就是更快的；這裡沒有魔法。
它是給一到幾個使用者的。 這是您的私有端點，不是公共 VPN。一台小 VPS 當不了給陌生人的服務，把它變成那樣會招來濫用。
AUP 依然適用。 一條個人翻牆通道沒問題；跑一個開放的公共代理、或拿它去發動攻擊就不行，會導致服務被終止。
您的服務供應商看得到流量存在。 偽裝針對的是到您路徑上的 DPI，不是主機——服務供應商看得到流量和時序，看不到內容。這是化名，跟任何匿名 VPS 一樣誠實的注意點。

一句話

先 WireGuard；WireGuard 被封時再 Reality。Xray 上的 VLESS+Reality 把您的通道藏進看起來像存取真實網站的普通 TLS 裡，那正是打敗 DPI 的關鍵——而且它在最便宜的 $8/月獨立IP 方案上就跑得很好，因為它是流量、不是算力。用官方指令碼安裝、產生您的金鑰、對上 dest/serverNames，再用一個開源用戶端指向它。先用安全清單鎖當機器，並把期望放誠實：它打敗 DPI，但不會讓您隱身。

準備好跑了？ 最便宜的獨立IP方案——$8/月的 Nano-IP 就夠；這是流量負載，不是算力。想先看完整圖景——哪個方案、跑什麼、獨立IP 何時必需？見面向 VPN 的 VPS。

檢視方案並訂購 VPS →