Xray VLESS Werklikheidsgids: VPS, Windows, Mac, Android, iPhone

Hierdie Xray VLESS Reality-bedieneropstellingsgids lei jou deur die implementering van 'n moderne instaanbediener op jou VPS. VLESS met die Reality-vervoersekuriteitslaag is tans die mees gevraagde selfgehoste instaanbedieneropstelling. VLESS met die Reality-vervoersekuriteitslaag is tans die mees gevraagde selfgehoste instaanbedieneropstelling: anders as 'n klassieke VPN, produseer dit nie 'n kenmerkende handdruk of 'n vaste pakkiehandtekening nie. Reality kloon die TLS 1.3-handdruk van 'n regte, gewilde webwerf (die teiken), so vir 'n DPI-stelsel wat die draad dophou, lyk 'n verbinding met jou bediener identies aan iemand wat daardie webwerf besoek - daar is geen vals of selfgetekende sertifikaat na vingerafdruk nie, want jou bediener stuur die werklike sertifikaat van die teikenwebwerf kortliks tydens die handdruk aan.

Die protokolstapel is: VLESS (’n liggewig, staatlose proxy-protokol wat verifikasie hanteer) wat oor XTLS Vision loop (’n vloeibeheermodus wat die verbinding versnel deur reeds-geënkripteerde TLS-rekords op die rou sokvlak te kopieer) wat deur Reality (die kamoefleringslaag hierbo beskryf) beveilig word. Al drie kom van dieselfde projek, Xray-core, die aktief onderhoude opvolger van die oorspronklike V2Ray/V2Fly-projek.

Hierdie gids stel 'n Xray-bediener met die hand op, volledig vanaf die opdragreël, sonder 'n webpaneel en geen Docker nie – die kleinste moontlike voetspoor op die VPS. Geen domeinnaam en geen TLS-sertifikaataankoop is nodig nie: Reality leen die teikenwebwerf se sertifikaat vir die handdruk en bied nooit een van sy eie aan nie. Volgende, waar dit sê your_IP, moet jy jou toegewyse IP-adres invoer.

Wat jy nodig het: 'n VPS wat Ubuntu 22.04/24.04 of Debian 11/12 gebruik, worteltoegang, jou VPS se IP-adres, en TCP-poort 443 vry (geen webbediener, paneel of ander instaanbediener luister reeds daarop nie).

Het jy nog nie 'n bediener nie? Sien Hoe om 'n bediener te bestel en daarvoor te betaal.

Vergelyk dit eers met ander self-gehoste opsies? Sien AmneziaWG Server Deployment Guide vir 'n WireGuard-gebaseerde alternatief, of Hysteria2 en TUIC-opstelling vir twee ander moderne, sensuurbestande protokolle.

Koppel aan die bediener

Windows (PuTTY)

Maak PuTTY oop, voer jou VPS IP-adres in die Gasheernaam-veld in, stel die poort op 22 en meld aan as root met die wagwoord wat jou VPS-verskaffer vir jou per e-pos gestuur het.

Bediener IP-adres: jou IP-adres
teken aan as: wortel
Wagwoord: jou wagwoord

• Maak PuTTY oop, voer jou VPS IP-adres in die Gasheernaam-veld in.

• Stel die poort op 22.

• Voer aanmelding as root in.

• Gebruik die wagwoord wat jou VPS-verskaffer vir jou per e-pos gestuur het. Jy behoort dan op die bediener se dopprompt te beland.

Vir 'n gedetailleerde stap-vir-stap-deurloop van verbinding via PuTTY/SSH, sien Hoe om aan 'n Linux-bediener te koppel via SSH.

Linux / macOS (terminaal)

ssh root@your_IP

Alle bevele hieronder word op die bediener uitgevoer, in dieselfde SSH-sessie – dit dek Afdelings 2 tot 6, plus die bedienerkant-kontroles in Afdeling 10. Afdelings 7–9 (installering en konfigurasie van die VPN-kliënt) vind eerder op jou eie Windows/Android/iOS-toestel plaas, aangesien dit die toestel is waarop die instaanbediener moet loop; elkeen van daardie afdelings sê eksplisiet watter lyne, indien enige, steeds die bediener raak.

Berei die bediener voor

Dateer die stelsel op

Voordat u enigiets installeer, verfris die pakketlys en gradeer geïnstalleerde pakkette op:

apt update -y && apt upgrade -y

Indien die sessie onderbreek word na apt-opgradering, word dit verwag (dbus/polkit herbegin) - koppel net weer aan via SSH. 

Indien dit die kern opgradeer, is 'n herlaai 'n goeie idee voordat u voortgaan. (Vir 'n opknapping oor apt en hoe Linux-pakketbestuurders werk, sien Linux-pakketbestuurders .) Gaan na:

cat /var/run/reboot-required

Indien die lêer bestaan, herbegin eers met 'herbegin', wag ~30 sekondes, en koppel dan weer aan.

Installeer die gereedskap wat hierdie gids gebruik

apt install -y curl wget unzip openssl ufw qrencode

Krul en uitpak word deur die Xray-installeerder self benodig; openssl genereer die kort ID in Afdeling 4; ufw is die firewall wat hieronder gekonfigureer is; qrencode verander die voltooide kliëntskakel in 'n skandeerbare QR-kode in Afdeling 7.

Kontroleer die stelselklok

Reality se handdruk sluit 'n tydstempelkontrole in (die maxTimeDiff-veld, standaard gedeaktiveer, maar die moeite werd om daarvan te weet), en 'n klok wat merkbaar gedryf het, kan ook veroorsaak dat gewone TLS-sertifikaatvalidering elders op die bediener verkeerd optree. Bevestig dat die klok gesinkroniseer is:

timedatectl status

Indien "Stelselklok gesinchroniseer" "nee" wys, aktiveer dit met:

timedatectl set-ntp true

Konfigureer die firewall (UFW)

Vir meer inligting oor UFW-reëls, sien Konfigurasie van Firewall op Linux.

Maak die twee poorte oop wat jy benodig: 22/tcp vir SSH (slaan hierdie reël oor en jy loop die risiko om toegang tot die bediener te verloor) en 443/tcp, die poort waarop Xray sal luister en dieselfde poort wat gewone HTTPS-verkeer gebruik — en dit is presies hoekom dit die regte keuse vir Reality is.

ufw allow 22/tcp

ufw allow 443/tcp

ufw --force enable

ufw status

Beide reëls moet as TOEGELAAT in die ufw-statusuitvoer wys.

Installeer Xray-core vir VLESS Reality Server

Die Xray-core-projek (XTLS) publiseer 'n amptelike installeer-en-opgradeer-skrip wat die binêre lêer as 'n systemd-diens installeer. Hersien enige derdeparty-skrip voordat jy dit in bash invoer - hierdie een kom direk vanaf die projek se eie bewaarplek.

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Verifieer dat die binêre weergawe in plek is en kontroleer die geïnstalleerde weergawe:

/usr/local/bin/xray version

As die opdraguitvoer gepagineer is en blykbaar vashaak, druk Q om te sluit. Die X-straal-binêre lêer is geïnstalleer om /usr/local/bin/xray, en die konfigurasielêers daarvan word gestoor in /usr/local/etc/xray/.

Jy kan ook dieselfde installeerderskrip gebruik om 'n bestaande installasie op te gradeer. Vir 'n volledige lys opsies (insluitend verwydering, slegs-geodata-opdaterings en logrotasie), voer uit:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" --help

Genereer die sleutels en geloofsbriewe

Werklikheidsverifikasie berus op vier stukke data. Genereer almal nou; jy sal hulle in die bedienerkonfigurasie in Afdeling 5 plak.

Genereer 'n UUID vir die kliënt

/usr/local/bin/xray uuid

Dit is die VLESS-gebruikers-ID — behandel dit as 'n geloofsbrief, aangesien dit is wat 'n kliënt by die bediener verifieer. Voer die opdrag weer uit vir elke bykomende toestel of persoon aan wie jy toegang wil verleen.

Genereer die Reality X25519 sleutelpaar

/usr/local/bin/xray x25519

Dit druk drie reëls: PrivateKey , Password , en Hash32 . PrivateKey gaan slegs in die bedienerkonfigurasie in en mag nooit gedeel word nie. Password is die ooreenstemmende publieke sleutel — ten spyte van die naam, is dit die waarde wat elke kliënt invoer; Xray het die veld van PublicKey na Password hernoem spesifiek om mense te ontmoedig om dit onverskillig te publiseer. Hash32 word slegs gebruik vir die aparte VLESS-enkripsiefunksie en is nie nodig vir 'n Reality-opstelling nie.

Genereer 'n kort ID

openssl rand -hex 8

Dit lewer 'n heksadesimale string van 16 karakters wat gebruik word om verskillende kliënte of kliëntgroepe van mekaar te onderskei. Beide die bediener en die kliënt moet dieselfde waarde gebruik.

Kies en toets 'n realiteitsteiken

Die teiken is die werklike webwerf wie se TLS-handdruk jou bediener naboots. Dit moet TLS 1.3 en HTTP/2 ondersteun, moenie agter 'n CDN soos Cloudflare sit nie (Xray stuur enige verkeer wat Reality-verifikasie misluk direk na die teiken, so 'n CDN-gefronteerde teiken kan jou bediener in 'n oop aflos vir daardie CDN omskep), en ideaal gesproke in ongeveer dieselfde netwerkstreek as jou VPS gehuisves word vir 'n aanneemlike latensieprofiel. Toets 'n kandidaat direk vanaf die bediener:

/usr/local/bin/xray tls ping www.microsoft.com:443

Gebruik die blote gasheernaam, nie 'n URL nie. 'n Handjievol domeine wat algemeen as Reality-teikens gebruik word omdat hulle stabiel, TLS 1.3-bekwaam en nie CDN-gebaseer is nie: www.microsoft.com, addons.mozilla.org, dl.google.com. Toets 'n paar en kies een wat betroubaar vanaf jou VPS se ligging reageer; jy sal dieselfde gasheernaam as beide die teiken en die serverNames-inskrywing in Afdeling 5 gebruik.

Die skryf van die bedienerkonfigurasie

Maak 'n rugsteun van die konfigurasie wat die installeerder saam met hom gestuur het, en maak dan die lêer oop vir redigering:

cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.orig
nano /usr/local/etc/xray/config.json

Maak die konfigurasielêer oop vir redigering:

nano /usr/local/etc/xray/config.json

Vervang die hele lêer met die sjabloon hieronder, en vervang jou eie UUID, PrivateKey, kort ID en teiken-gasheernaam uit Afdeling 4 (en die poort wat jy in Afdeling 2 oopgemaak het, as jy dit van 443 verander het):

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "users": [
          {
            "id": "YOUR-UUID-HERE",
            "flow": "xtls-rprx-vision",
            "email": "client1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "method": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "YOUR-SERVER-PRIVATE-KEY",
          "shortIds": ["YOUR-SHORT-ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "blocked" }
  ]
}

Druk Ctrl+O (WriteOut) om die lêer te stoor.

Druk Enter om die lêernaam te bevestig.

Druk Ctrl+X om nano te verlaat.

Die belangrike velde: gebruikers[].id is die UUID van Afdeling 4; gebruikers[].flow skakel XTLS Vision aan; metode (voorheen genoem netwerk) kies die RAW-vervoer, die gewone TCP-gebaseerde metode wat Reality vereis; teiken en bedienername is die webwerf wat jy in Afdeling 4 getoets het; privateKey is die bedienerkant X25519-sleutel, nooit die Wagwoordwaarde nie; shortIds lys elke kort ID wat kliënte mag aanbied. Om later meer gebruikers by te voeg, voeg bykomende objekte by die gebruikers-skikking, elk met sy eie UUID en e-posetiket, en herbegin dan die diens.

Sedert Xray 26.3.27, dwing 'n Reality-inkomende weergawe sonder 'n eksplisiete minClientVer-veld 'n verstekwaarde van die bediener se eie kernweergawe af — ouer kliëntprogramme (’n verouderde v2rayN-, v2rayNG- of Streisand-bou wat 'n ouer Xray-kern bundel) word stilweg na die teiken se terugvalbladsy herlei in plaas daarvan om te koppel, sonder enige fout in die kliënt en niks duidelik verkeerd in die bedienerlogboek nie. As 'n kliënt wat voorheen gewerk het skielik na 'n opdatering 'n tyd-oorskryding kry, probeer eers om die kliëntprogram self op te dateer; indien dit nie moontlik is nie, voeg "minClientVer": "25.9.11" (of 'n ander ouer basislyn) binne realitySettings by, ten koste van die maak van daardie ouer kliënt se TLS-vingerafdruk 'n bietjie minder konsekwent met 'n moderne blaaier.

Valideer en herbegin

Toets die konfigurasie voordat die lewendige diens herbegin word — dit vang JSON-tikfoute en ongesteunde velde op voordat hulle die instaanbediener afskakel:

/usr/local/bin/xray run -test -c /usr/local/etc/xray/config.json

Begin die diens en aktiveer outomatiese begin

Herbegin Xray met die nuwe konfigurasie en aktiveer dit om outomaties te begin met herlaai:

systemctl enable --now xray

systemctl restart xray

systemctl status xray --no-pager

Status behoort aktief (aan die gang) te wys. Bevestig dat iets wel op poort 443 luister:

ss -lntp | grep ':443'

As Xray nie begin nie, is die vinnigste manier om te sien hoekom die systemd-joernaal (vir agtergrond oor die lees van Linux-logboeke in die algemeen, sien Hoe om Linux-logboeke te lees en waar om dit te vind ):

journalctl -u xray -n 50 --no-pager

Die bou van die kliëntverbindingskakel

Xray-kliënte voer 'n enkele vless://-deelskakel in eerder as 'n konfigurasielêer. Bou dit vanaf die waardes wat in Afdeling 4 gegenereer is (die kliëntprogramme se deelskakelformaat gebruik steeds die ouer naam type=tcp vir die vervoer, al word die JSON-veld self nou method genoem):

JOU-UUID — van x-straal uuid (bv. a1b2c3d4-e5f6-7890-abcd-ef1234567890)

JOU-WAGWOORD-PUBLIEKE-SLEUTEL — is die wagwoord van xray x25519 (NIE die privaatsleutel nie!)

JOU-KORT-ID — van openssl rand -hex 8 (bv. a1b2c3d4e5f67890)

jou_IP — (IP van jou bediener)

SNI — www.microsoft.com (of jou teiken)

vless://YOUR-UUID-HERE@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

Voorbeeld skakel: 

vless://a1b2c3d4-e5f6-7890-abcd-ef1234567890@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=xyz_public_key_here&sid=a1b2c3d4e5f67890&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

pbk is die Wagwoordwaarde van xray x25519 (die publieke sleutel, nooit die private sleutel nie), sni stem ooreen met die teiken-gasheernaam, en die teks na # is net 'n vertoonetiket wat jy vrylik in enige kliënt kan hernoem.

Verander dit in 'n QR-kode sodat mobiele kliënte dit direk kan skandeer:

qrencode -o ~/vless-client.png "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Of druk dit direk na die terminaal sonder om 'n lêer te stoor:

qrencode -t ansiutf8 "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Kopieer die PNG na jou eie rekenaar met scp, voer dit vanaf jou rekenaar se terminaal (of PowerShell op Windows), nie die bediener nie:

scp root@your_IP:~/vless-client.png .

Koppel vanaf Windows

Alles in hierdie afdeling gebeur op jou Windows-rekenaar, nie oor SSH nie – die kliënt moet op die toestel loop wat die instaanbediener eintlik sal gebruik.

Installeer v2rayN

v2rayN is 'n gratis, aktief onderhoude GUI-kliënt wat Xray-core saamvoeg, met inheemse VLESS/Reality-ondersteuning. Laai die nuutste vrystelling van die projek se bladsy af :

Gryp die Windows 64-bis .zip-bate (’n selfstandige bouwerk benodig geen aparte .NET-looptyd soos in onlangse v2rayN-weergawes nie), pak dit enige plek uit en voer v2rayN.exe uit.

Voer die bediener in

Kopieer die vless://-skakel wat in Afdeling 7 gebou is na jou knipbord (of kopieer die QR PNG oor met scp en maak dit oop), kies dan in v2rayN Servers verder Voer grootmaat URL vanaf knipbord in (of skandeer die QR-kode via die ingeboude skandeerder). Die nuwe bedienerprofiel verskyn in die lys met die etiket wat jy na die # gestel het.

Regskliek op die profiel en kies dit as aktief, aktiveer dan die stelselproxy (of TUN-modus, vir die roeteer van die hele masjien) vanaf die hoofvenster se nutsbalk.

Verbind vanaf Android

Alles hier gebeur op jou Android-toestel, nie oor SSH nie.

Installeer v2rayNG

v2rayNG is die Android-eweknie van v2rayN, van dieselfde onderhouer, en is die mees gebruikte Xray-kliënt op Android. Installeer dit vanaf Google Play, of laai die APK direk af vanaf die projek se vrystellingsbladsy as Play nie in jou streek beskikbaar is nie:

Voer die bediener in

Maak v2rayNG oop, tik die + knoppie regs bo en kies Voer konfigurasie vanaf knipbord in nadat jy die vless://-skakel gekopieer het, of Skandeer die QR-kode en rig die kamera na die PNG wat in Afdeling 7 gegenereer is. Tik die ingevoerde profiel om dit te kies, en tik dan die ronde koppelknoppie onderaan. Android sal die eerste keer vir VPN-toestemming vra — keur dit goed om die tonnel te vestig.

Verbind vanaf iOS

Alles hier gebeur op jou iPhone of iPad, nie oor SSH nie. Apple se App Store-riglyne beteken dat Xray/VLESS-kliënte op iOS tipies gratis, maar soms betaalde, losstaande programme is eerder as 'n stelselgeïntegreerde kenmerk.

Installeer 'n Reality-bekwame kliënt

Streisand is 'n gratis, oopbron-kliënt wat VLESS met Reality ondersteun, tesame met verskeie ander protokolle. Soek daarvoor in die App Store, of maak hierdie skakel oop.

App Store-katalogusse wissel volgens winkelvenster/streek en kan mettertyd verander; as Streisand nie in joune sigbaar is nie, sluit alternatiewe met VLESS+Reality-ondersteuning Happ, V2Box en V2rayTun in — soek die App Store vir wat ook al vir jou rekening beskikbaar is.

Voer die bediener in

Kopieer die vless://-skakel na jou knipbord, maak die kliënt oop en gebruik die "Voeg vanaf knipbord"-opsie (of ekwivalente "invoer")-opsie, of skandeer die QR-kode van Afdeling 7 met die kliënt se ingeboude skandeerder. Skakel die nuwe profiel aan; iOS sal die eerste keer vir VPN-konfigurasie-toestemming vra, wat jy via Face ID, Touch ID of jou wagwoord moet goedkeur.

Verifieer die verbinding

Met die tonnel aktief vanaf Afdeling 8, 9 of 10, gaan terug na jou eie toestel (nie die SSH-sessie nie) en maak enige "wat is my IP"-kontroleerder in 'n blaaier oop - die adres wat getoon word, moet ooreenstem met jou VPS se IP-adres.

Om eerder van die bedienerkant af te verifieer, kyk na die systemd-joernaal vir verbindingsaktiwiteit en bevestig 'n gevestigde TCP-sessie op poort 443:

journalctl -u xray -n 50 --no-pager
ss -tnp | grep ':443'

Op die verstek "waarskuwing"-logvlak druk Xray nie veel oor individuele verbindings nie; as jy meer besonderhede moet sien tydens probleme, stel tydelik "loglevel": "info" in config.json en herbegin die diens, en skakel dit dan terug na waarskuwing sodra dinge werk.

Verwysing:

Gevolgtrekking

Deur hierdie gids te volg, laat jou VPS sy eie Xray VLESS+Reality-bediener loop, vermom as gewone HTTPS-verkeer na 'n regte webwerf, met geen domein en geen sertifikaat om te onderhou nie. Die diens loop as die systemd-eenheid xray en oorleef 'n herlaai sonder enige aksie van jou kant.

Voeg nuwe kliënte te eniger tyd by deur 'n ander objek by die gebruikers-skikking in config.json te voeg met 'n vars UUID van xray uuid en 'n duidelike e-posetiket, en dan die diens te herbegin (systemctl restart xray) en daardie gebruiker hul eie deelskakel uit Afdeling 7 te bou. Afsonderlike UUID's per persoon of toestel maak dit moontlik om een ​​te herroep sonder om enigiemand anders te steur.

'n Paar gewoontes wat die moeite werd is om te handhaaf sodra die bediener aan die gang is:

• Hou Xray opgedateer. Herlaai die installasieskrip van Afdeling 3 gereeld — dit gradeer 'n bestaande installasie op — en hou kliëntprogramme ook opgedateer, gegewe die minClientVer-gedrag wat in Afdeling 5 genoem word.
• Rugsteun config.json êrens privaat van die bediener af. Dit bevat die bediener se Reality-privaatsleutel en elke kliënt se UUID; as jy dit verloor, word geloofsbriewe vir elke toestel hergenereer.
• Herroep verlore toestelle onmiddellik. Verwyder die ooreenstemmende inskrywing uit die gebruikers-skikking in config.json en herbegin die diens.

Indien die verbinding nie tot stand kom nie, kyk in volgorde:

• die diensstatus (systemctl status xray --no-pager) en die joernaal (journalctl -u xray -n 50 --no-pager)
• die firewallreëls (ufw-status — poort 443/tcp moet oop wees)
• dat poort 443 nie reeds deur 'n ander diens gebind is nie (ss -lntp | grep ':443' behoort slegs x-straal te wys)
• dat die UUID, publieke sleutel, kort ID, SNI en vloei in die kliënt presies ooreenstem met config.json — 'n enkele wanpassende karakter misluk die handdruk stilweg.
• die Realiteitsteiken self, met x-straal tls ping :443, ingeval die webwerf sy TLS-konfigurasie verander het

Vergelyk Xray met ander opsies? Sien AmneziaWG Server Deployment Guide en How to set up Wireguard VPN on your server for WireGuard-based alternatiewe, of Hysteria2 en TUIC setup vir twee ander sensuurbestande protokolle wat gebou is vir verlies- of swaar gefiltreerde netwerke. As jy slegs 'n eenvoudige proxy benodig eerder as 'n volledige tonnelopstelling, is 3proxy-konfigurasie op CentOS/ArchLinux 'n baie ligter alternatief, en die ouer VPN-bedieneropstelling op Linux: PPTP of OpenVPN? dek protokolle wat eenvoudiger is om op te stel, maar baie makliker vir DPI om op te spoor en te blokkeer. Vir algemene bedienerverharding sodra die proxy aktief is, sien Linux Users: Management and Permissions.