Xray VLESS Reality Guide: VPS, Windows, Mac, Android, iPhone

Diese Anleitung zur Einrichtung eines Xray VLESS Reality-Servers führt Sie durch die Bereitstellung eines modernen Proxys auf Ihrem VPS. VLESS mit der Reality-Transportsicherheitsschicht ist derzeit die am häufigsten nachgefragte Lösung für selbstgehostete Proxys : Im Gegensatz zu einem klassischen VPN erzeugt es keinen individuellen Handshake oder eine feste Paketsignatur. Reality klont den TLS-1.3-Handshake einer realen, beliebten Website (dem Ziel). Für ein DPI-System, das den Datenverkehr überwacht, sieht eine Verbindung zu Ihrem Server daher genauso aus wie die eines Website-Besuchers – es gibt kein gefälschtes oder selbstsigniertes Zertifikat, das identifiziert werden könnte, da Ihr Server während des Handshakes kurzzeitig das tatsächliche Zertifikat der Zielwebsite weiterleitet.

Der Protokollstapel besteht aus: VLESS (einem leichtgewichtigen, zustandslosen Proxy-Protokoll zur Authentifizierung), das über XTLS Vision läuft (einem Flusskontrollmodus, der die Verbindung durch Kopieren bereits verschlüsselter TLS-Datensätze auf Socket-Ebene beschleunigt) und durch Reality (der oben beschriebenen Tarnschicht) gesichert ist. Alle drei stammen aus demselben Projekt, Xray-core, dem aktiv weiterentwickelten Nachfolger des ursprünglichen V2Ray/V2Fly-Projekts.

Diese Anleitung richtet einen Xray-Server manuell ein, ausschließlich über die Kommandozeile, ohne Webpanel und Docker – für eine möglichst geringe Belastung des VPS. Weder eine Domain noch ein TLS-Zertifikat sind erforderlich: Reality verwendet für den Handshake das Zertifikat der Zielwebsite und legt niemals ein eigenes vor. Geben Sie anschließend im Feld „Ihre_IP“ Ihre zugewiesene IP-Adresse ein.

Was Sie benötigen: einen VPS mit Ubuntu 22.04/24.04 oder Debian 11/12, Root-Zugriff, die IP-Adresse Ihres VPS und freien TCP-Port 443 (kein Webserver, Panel oder anderer Proxy darf bereits darauf lauschen).

Sie haben noch keinen Server? Lesen Sie , wie Sie einen Server bestellen und bezahlen können.

Sie möchten dies zunächst mit anderen selbstgehosteten Optionen vergleichen? Im AmneziaWG Server Deployment Guide finden Sie eine WireGuard-basierte Alternative, oder im Hysteria2- und TUIC-Setup zwei weitere moderne, zensurresistente Protokolle.

Verbindung zum Server herstellen

Windows (PuTTY)

Öffnen Sie PuTTY, geben Sie Ihre VPS-IP-Adresse in das Feld „Host Name“ ein, stellen Sie den Port auf 22 ein und melden Sie sich als Root mit dem Passwort an, das Ihnen Ihr VPS-Anbieter per E-Mail zugesendet hat.

Server-IP-Adresse: Ihre IP-Adresse
Anmelden als: root
Passwort: Ihr Passwort

• Öffnen Sie PuTTY und geben Sie die IP-Adresse Ihres VPS in das Feld „Host Name“ ein.

• Stellen Sie den Port auf 22 ein.

• Melden Sie sich als Root an.

• Verwenden Sie das Passwort, das Ihnen Ihr VPS-Anbieter per E-Mail zugesendet hat. Anschließend sollten Sie die Shell-Eingabeaufforderung des Servers erreichen.

Eine detaillierte Anleitung zum Verbinden über PuTTY/SSH finden Sie unter „Verbindung zu einem Linux-Server über SSH herstellen“.

Linux / macOS (Terminal)

ssh root@your_IP

Alle nachfolgenden Befehle werden auf dem Server in derselben SSH-Sitzung ausgeführt – dies umfasst die Abschnitte 2 bis 6 sowie die serverseitigen Prüfungen in Abschnitt 10. Die Abschnitte 7–9 (Installation und Konfiguration des VPN-Clients) werden hingegen auf Ihrem eigenen Windows-/Android-/iOS-Gerät ausgeführt, da der Proxy auf diesem Gerät laufen muss; in jedem dieser Abschnitte wird explizit angegeben, welche Zeilen gegebenenfalls noch den Server betreffen.

Vorbereiten des Servers

Aktualisieren Sie das System

Vor der Installation jeglicher Pakete sollten Sie die Paketliste aktualisieren und die installierten Pakete auf den neuesten Stand bringen:

apt update -y && apt upgrade -y

Wenn die Sitzung nach einem apt-Upgrade unterbrochen wird, ist dies zu erwarten (dbus/polkit wurde neu gestartet) – stellen Sie einfach die Verbindung über SSH wieder her. 

Falls dadurch der Kernel aktualisiert wird, empfiehlt sich ein Neustart vor dem Fortfahren. (Weitere Informationen zu apt und der Funktionsweise von Linux-Paketmanagern finden Sie unter Linux-Paketmanager .) Prüfen Sie Folgendes:

cat /var/run/reboot-required

Falls die Datei existiert, starten Sie das System zunächst mit dem Befehl 'reboot' neu, warten Sie etwa 30 Sekunden und stellen Sie dann die Verbindung wieder her.

Installieren Sie die in dieser Anleitung verwendeten Tools.

apt install -y curl wget unzip openssl ufw qrencode

Curl und unzip werden vom Xray-Installationsprogramm selbst benötigt; openssl generiert die Kurz-ID in Abschnitt 4; ufw ist die unten konfigurierte Firewall; qrencode wandelt den fertigen Client-Link in Abschnitt 7 in einen scannbaren QR-Code um.

Überprüfen Sie die Systemuhr.

Der Handshake von Reality beinhaltet eine Zeitstempelprüfung (das Feld „maxTimeDiff“, standardmäßig deaktiviert, aber dennoch wichtig zu wissen). Eine merklich abweichende Uhrzeit kann auch dazu führen, dass die Validierung von TLS-Zertifikaten an anderer Stelle auf dem Server fehlerhaft funktioniert. Stellen Sie sicher, dass die Uhrzeit synchronisiert ist.

timedatectl status

Wenn bei „Systemuhr synchronisiert“ „Nein“ angezeigt wird, aktivieren Sie die Funktion mit folgendem Befehl:

timedatectl set-ntp true

Konfigurieren Sie die Firewall (UFW)

Weitere Informationen zu UFW-Regeln finden Sie unter Konfigurieren der Firewall unter Linux.

Öffnen Sie die beiden benötigten Ports: 22/tcp für SSH (wenn Sie diese Regel ignorieren, riskieren Sie, den Zugriff auf den Server zu verlieren) und 443/tcp, der Port, auf dem Xray lauscht und der auch für den normalen HTTPS-Verkehr verwendet wird – genau deshalb ist er die richtige Wahl für Reality.

ufw allow 22/tcp

ufw allow 443/tcp

ufw --force enable

ufw status

Beide Regeln sollten in der ufw-Statusausgabe als ALLOW angezeigt werden.

Installation von Xray-core für VLESS Reality Server

Das Xray-Core-Projekt (XTLS) stellt ein offizielles Installations- und Aktualisierungsskript bereit, das die Binärdatei als systemd-Dienst installiert. Überprüfen Sie jedes Drittanbieterskript, bevor Sie es in die Bash einbinden – dieses hier stammt direkt aus dem Projekt-Repository.

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Überprüfen Sie, ob die Binärdatei vorhanden ist und welche Version installiert wurde:

/usr/local/bin/xray version

Falls die Befehlsausgabe paginiert ist und das System scheinbar nicht reagiert, drücken Sie Q Zum Beenden. Die Xray-Binärdatei ist installiert in /usr/local/bin/xrayund seine Konfigurationsdateien werden gespeichert in /usr/local/etc/xray/.

Sie können dasselbe Installationsskript auch verwenden, um eine bestehende Installation zu aktualisieren. Eine vollständige Liste der Optionen (einschließlich Deinstallation, Aktualisierung nur der Geodaten und Protokollrotation) erhalten Sie durch Ausführen von:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" --help

Generierung der Schlüssel und Anmeldeinformationen

Die Realitätsauthentifizierung basiert auf vier Datenelementen. Generieren Sie diese jetzt; Sie fügen sie anschließend in Abschnitt 5 in die Serverkonfiguration ein.

Generieren Sie eine UUID für den Client

/usr/local/bin/xray uuid

Dies ist die VLESS-Benutzer-ID – behandeln Sie sie wie eine Anmeldeinformation, da sie einen Client am Server authentifiziert. Führen Sie den Befehl für jedes weitere Gerät oder jede weitere Person, der/dem Sie Zugriff gewähren möchten, erneut aus.

Generieren Sie das Reality X25519-Schlüsselpaar

/usr/local/bin/xray x25519

Es werden drei Zeilen ausgegeben: PrivateKey , Password und Hash32 . PrivateKey gehört ausschließlich in die Serverkonfiguration und darf niemals weitergegeben werden. Password ist der zugehörige öffentliche Schlüssel – trotz des Namens ist dies der Wert, den jeder Client eingibt. Xray hat das Feld von PublicKey in Password umbenannt, um eine unbedachte Veröffentlichung zu verhindern. Hash32 wird nur für die separate VLESS-Verschlüsselungsfunktion verwendet und ist für eine Reality-Konfiguration nicht erforderlich.

Generieren Sie eine kurze ID

openssl rand -hex 8

Dies erzeugt eine 16-stellige Hexadezimalzeichenfolge, die zur Unterscheidung verschiedener Clients oder Clientgruppen dient. Server und Client müssen denselben Wert verwenden.

Wählen Sie ein Realitätsziel aus und testen Sie es.

Das Ziel ist die echte Website, deren TLS-Handshake Ihr Server imitiert. Sie sollte TLS 1.3 und HTTP/2 unterstützen, darf nicht hinter einem CDN wie Cloudflare liegen (Xray leitet jeglichen Datenverkehr, der die Reality-Authentifizierung nicht besteht, direkt an das Ziel weiter, sodass ein CDN-basiertes Ziel Ihren Server in ein offenes Relay für dieses CDN verwandeln kann) und sollte idealerweise in etwa derselben Netzwerkregion wie Ihr VPS gehostet werden, um ein plausibles Latenzprofil zu gewährleisten. Testen Sie einen Kandidaten direkt vom Server aus:

/usr/local/bin/xray tls ping www.microsoft.com:443

Verwenden Sie den reinen Hostnamen, nicht eine URL. Einige Domains, die häufig als Reality-Ziele verwendet werden, da sie stabil sind, TLS 1.3-fähig und nicht über ein CDN erreichbar sind: www.microsoft.com, addons.mozilla.org, dl.google.com. Testen Sie einige davon und wählen Sie eine aus, die von Ihrem VPS-Standort aus zuverlässig antwortet. Sie verwenden denselben Hostnamen sowohl für das Ziel als auch für den Eintrag „serverNames“ in Abschnitt 5.

Schreiben der Serverkonfiguration

Sichern Sie die mit dem Installationsprogramm ausgelieferte Konfiguration und öffnen Sie anschließend die Datei zur Bearbeitung:

cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.orig
nano /usr/local/etc/xray/config.json

Öffnen Sie die Konfigurationsdatei zum Bearbeiten:

nano /usr/local/etc/xray/config.json

Ersetzen Sie die gesamte Datei durch die unten stehende Vorlage und ersetzen Sie dabei Ihre eigene UUID, Ihren privaten Schlüssel, Ihre Kurz-ID und Ihren Zielhostnamen aus Abschnitt 4 (sowie den Port, den Sie in Abschnitt 2 geöffnet haben, falls Sie ihn von 443 geändert haben):

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "users": [
          {
            "id": "YOUR-UUID-HERE",
            "flow": "xtls-rprx-vision",
            "email": "client1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "method": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "YOUR-SERVER-PRIVATE-KEY",
          "shortIds": ["YOUR-SHORT-ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "blocked" }
  ]
}

Drücken Sie Strg+O (WriteOut), um die Datei zu speichern.

Drücken Sie die Eingabetaste, um den Dateinamen zu bestätigen.

Drücken Sie Strg+X, um nano zu beenden.

Die wichtigsten Felder: `users[].id` ist die UUID aus Abschnitt 4; `users[].flow` aktiviert XTLS Vision; `method` (früher `network`) wählt das RAW-Transportprotokoll aus, das in der Praxis benötigt wird; `target` und `serverNames` sind die in Abschnitt 4 getesteten Websites; `privateKey` ist der serverseitige X25519-Schlüssel, niemals der Wert von `Password`; `shortIds` listet alle Kurz-IDs auf, die Clients verwenden dürfen. Um später weitere Benutzer hinzuzufügen, fügen Sie dem Array `users` zusätzliche Objekte mit jeweils eigener UUID und E-Mail-Adresse hinzu und starten Sie den Dienst neu.

Seit Xray 26.3.27 erzwingt eine eingehende Reality-Verbindung ohne explizites Feld „minClientVer“ die Verwendung der serverseitigen Core-Version. Ältere Client-Anwendungen (veraltete v2rayN-, v2rayNG- oder Streisand-Builds mit älterem Xray-Core) werden stillschweigend auf die Fallback-Seite des Ziels umgeleitet, anstatt eine Verbindung herzustellen. Dabei treten weder Fehler im Client noch offensichtliche Probleme im Serverprotokoll auf. Falls ein zuvor funktionierender Client nach einem Update plötzlich eine Zeitüberschreitung meldet, aktualisieren Sie zunächst die Client-Anwendung selbst. Ist dies nicht möglich, fügen Sie in den realitySettings „minClientVer“: „25.9.11“ (oder eine andere ältere Basisversion) hinzu. Beachten Sie jedoch, dass der TLS-Fingerabdruck des älteren Clients dadurch etwas weniger konsistent mit modernen Browsern wird.

Überprüfen und neu starten

Testen Sie die Konfiguration, bevor Sie den Live-Dienst neu starten – so werden JSON-Tippfehler und nicht unterstützte Felder erkannt, bevor sie den Proxy lahmlegen:

/usr/local/bin/xray run -test -c /usr/local/etc/xray/config.json

Starten des Dienstes und Aktivieren des automatischen Starts

Starten Sie Xray mit der neuen Konfiguration neu und aktivieren Sie den automatischen Start beim Neustart:

systemctl enable --now xray

systemctl restart xray

systemctl status xray --no-pager

Der Status sollte „aktiv“ (läuft) anzeigen. Stellen Sie sicher, dass tatsächlich etwas auf Port 443 lauscht:

ss -lntp | grep ':443'

Falls Xray nicht startet, lässt sich die Ursache am schnellsten im systemd-Journal ermitteln (Hintergrundinformationen zum Lesen von Linux-Protokollen im Allgemeinen finden Sie unter Wie man Linux-Protokolle liest und wo man sie findet ):

journalctl -u xray -n 50 --no-pager

Aufbau der Client-Verbindung

Xray-Clients importieren einen einzelnen vless://-Freigabelink anstelle einer Konfigurationsdatei. Erstellen Sie ihn aus den in Abschnitt 4 generierten Werten (das Freigabelink-Format der Client-Apps verwendet weiterhin den älteren Namen type=tcp für den Transport, obwohl das JSON-Feld selbst jetzt method heißt):

IHRE-UUID — aus der Xray-UUID (z. B. a1b2c3d4-e5f6-7890-abcd-ef1234567890)

IHR-PASSWORT-ÖFFENTLICHER-SCHLÜSSEL — ist das Passwort von xray x25519 (NICHT der private Schlüssel!)

IHRE-KURZE-ID — von openssl rand -hex 8 (z. B. a1b2c3d4e5f67890)

Ihre_IP — (IP-Adresse Ihres Servers)

SNI — www.microsoft.com (oder Ihr Ziel)

vless://YOUR-UUID-HERE@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

Beispiellink: 

vless://a1b2c3d4-e5f6-7890-abcd-ef1234567890@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=xyz_public_key_here&sid=a1b2c3d4e5f67890&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

pbk ist der Wert des Passworts aus xray x25519 (der öffentliche Schlüssel, niemals der private Schlüssel), sni entspricht dem Zielhostnamen, und der Text nach # ist nur eine Anzeigebezeichnung, die Sie in jedem Client frei umbenennen können.

Wandeln Sie es in einen QR-Code um, damit mobile Clients ihn direkt scannen können:

qrencode -o ~/vless-client.png "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Oder geben Sie es direkt im Terminal aus, ohne eine Datei zu speichern:

qrencode -t ansiutf8 "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Kopieren Sie die PNG-Datei mit scp auf Ihren eigenen Computer. Führen Sie den Befehl dazu im Terminal Ihres Computers (oder in PowerShell unter Windows) aus, nicht auf dem Server:

scp root@your_IP:~/vless-client.png .

Verbindung über Windows herstellen

Alles in diesem Abschnitt findet auf Ihrem Windows-PC statt, nicht über SSH – der Client muss auf dem Gerät ausgeführt werden, das den Proxy tatsächlich nutzen soll.

Installieren Sie v2rayN

v2rayN ist ein kostenloser, aktiv weiterentwickelter GUI-Client mit integriertem Xray-Core und nativer VLESS/Reality-Unterstützung. Laden Sie die neueste Version von der Projektseite herunter :

Laden Sie die Windows 64-Bit .zip-Datei herunter (eine eigenständige Version benötigt ab den neuesten v2rayN-Versionen keine separate .NET-Laufzeitumgebung mehr), extrahieren Sie sie an einem beliebigen Ort und führen Sie v2rayN.exe aus.

Importieren Sie den Server

Kopieren Sie den in Abschnitt 7 erstellten vless://-Link in Ihre Zwischenablage (oder kopieren Sie die QR-PNG-Datei mit scp und öffnen Sie sie). Wählen Sie anschließend in v2rayN „Server“ und dann „URL aus Zwischenablage importieren“ (oder scannen Sie den QR-Code mit dem integrierten Scanner). Das neue Serverprofil erscheint in der Liste mit der von Ihnen nach dem # festgelegten Bezeichnung.

Klicken Sie mit der rechten Maustaste auf das Profil und wählen Sie es als aktiv aus. Aktivieren Sie anschließend den Systemproxy (oder den TUN-Modus für das Routing des gesamten Rechners) über die Symbolleiste des Hauptfensters.

Verbindung von Android

Hier findet alles auf Ihrem Android-Gerät statt, nicht über SSH.

Installieren Sie v2rayNG

v2rayNG ist das Android-Pendant zu v2rayN, stammt vom selben Entwickler und ist der am weitesten verbreitete Xray-Client für Android. Installieren Sie ihn über Google Play oder laden Sie die APK-Datei direkt von der Release-Seite des Projekts herunter , falls Play in Ihrer Region nicht verfügbar ist.

Importieren Sie den Server

Öffnen Sie v2rayNG, tippen Sie oben rechts auf die Schaltfläche „+“ und wählen Sie „Konfiguration aus Zwischenablage importieren“, nachdem Sie den Link „vless://“ kopiert haben, oder „QR-Code scannen“ und richten Sie die Kamera auf die in Abschnitt 7 generierte PNG-Datei. Tippen Sie auf das importierte Profil, um es auszuwählen, und anschließend unten auf die runde Schaltfläche „Verbinden“. Android fragt beim ersten Mal nach der VPN-Berechtigung – erteilen Sie diese, um den Tunnel herzustellen.

Verbindung von iOS

Hier findet alles auf Ihrem iPhone oder iPad statt, nicht über SSH. Apples App-Store-Richtlinien bedeuten, dass Xray/VLESS-Clients für iOS in der Regel kostenlos, gelegentlich aber auch kostenpflichtig sind und als eigenständige Apps angeboten werden, anstatt in das System integriert zu sein.

Installieren Sie einen Reality-fähigen Client

Streisand ist ein kostenloser Open-Source-Client, der VLESS mit Reality sowie einige weitere Protokolle unterstützt. Sie finden ihn im App Store oder unter diesem Link.

Die Kataloge der App Stores variieren je nach Store/Region und können sich im Laufe der Zeit ändern; falls Streisand in Ihrem Store nicht angezeigt wird, gibt es Alternativen mit VLESS+Reality-Unterstützung wie Happ, V2Box und V2rayTun – suchen Sie im App Store nach der für Ihr Konto verfügbaren App.

Importieren Sie den Server

Kopieren Sie den Link vless:// in Ihre Zwischenablage, öffnen Sie den Client und verwenden Sie die Option „Aus Zwischenablage hinzufügen“ (oder die entsprechende Importfunktion) oder scannen Sie den QR-Code aus Abschnitt 7 mit dem integrierten Scanner des Clients. Aktivieren Sie das neue Profil. iOS fragt beim ersten Mal nach der VPN-Konfigurationsberechtigung, die Sie per Face ID, Touch ID oder Ihrem Passcode bestätigen müssen.

Überprüfung der Verbindung

Wenn der Tunnel aus Abschnitt 8, 9 oder 10 aktiv ist, kehren Sie zu Ihrem eigenen Gerät (nicht zur SSH-Sitzung) zurück und öffnen Sie einen beliebigen "What's My IP"-Checker in einem Browser – die angezeigte Adresse sollte mit der IP-Adresse Ihres VPS übereinstimmen.

Um dies stattdessen serverseitig zu überprüfen, prüfen Sie das systemd-Journal auf Verbindungsaktivität und bestätigen Sie eine bestehende TCP-Sitzung auf Port 443:

journalctl -u xray -n 50 --no-pager
ss -tnp | grep ':443'

Bei der standardmäßigen Protokollierungsstufe „Warnung“ gibt Xray nicht viele Informationen über einzelne Verbindungen aus; wenn Sie während der Fehlersuche mehr Details benötigen, setzen Sie vorübergehend „loglevel“: „info“ in config.json und starten Sie den Dienst neu. Stellen Sie die Stufe anschließend wieder auf „Warnung“ um, sobald alles funktioniert.

Referenz:

Fazit

Wenn Sie dieser Anleitung folgen, läuft auf Ihrem VPS ein eigener Xray VLESS+Reality-Server, der als normaler HTTPS-Traffic zu einer echten Website getarnt ist – ohne Domain und ohne Zertifikatsverwaltung. Der Dienst läuft als systemd-Unit „xray“ und übersteht einen Neustart ohne Ihr Zutun.

Neue Clients können jederzeit hinzugefügt werden, indem dem Benutzer-Array in der Datei config.json ein weiteres Objekt mit einer neuen UUID von xray uuid und einer eindeutigen E-Mail-Adresse hinzugefügt wird. Anschließend wird der Dienst neu gestartet (systemctl restart xray) und für diesen Benutzer ein eigener Freigabelink gemäß Abschnitt 7 erstellt. Separate UUIDs pro Person oder Gerät ermöglichen es, eine UUID zu widerrufen, ohne andere Benutzer zu beeinträchtigen.

Ein paar Gewohnheiten, die es wert sind, beibehalten zu werden, sobald der Server läuft:

• Halten Sie Xray auf dem neuesten Stand. Führen Sie das Installationsskript aus Abschnitt 3 regelmäßig erneut aus – es aktualisiert eine bestehende Installation direkt – und halten Sie auch die Client-Apps auf dem neuesten Stand, da das Verhalten von minClientVer in Abschnitt 5 beschrieben wird.
• Sichern Sie die Datei config.json an einem privaten Ort außerhalb des Servers. Sie enthält den privaten Reality-Schlüssel des Servers und die UUID jedes Clients; ein Verlust dieser Datei bedeutet, dass die Zugangsdaten für jedes Gerät neu generiert werden müssen.
• Entziehen Sie verlorene Geräte umgehend der Kontrolle. Entfernen Sie den entsprechenden Eintrag aus dem Benutzer-Array in der Datei config.json und starten Sie den Dienst neu.

Falls die Verbindung nicht zustande kommt, überprüfen Sie Folgendes:

• den Dienststatus (systemctl status xray --no-pager) und das Journal (journalctl -u xray -n 50 --no-pager)
• die Firewall-Regeln (ufw-Status – Port 443/TCP muss geöffnet sein)
• dass Port 443 nicht bereits von einem anderen Dienst belegt ist (ss -lntp | grep ':443' sollte nur xray anzeigen)
• dass UUID, öffentlicher Schlüssel, Kurz-ID, SNI und Flow im Client exakt mit config.json übereinstimmen – ein einziges abweichendes Zeichen führt stillschweigend zum Fehlschlagen des Handshakes.
• das Reality-Ziel selbst, mit Röntgen-TLS-Ping :443, falls die Website ihre TLS-Konfiguration geändert hat

Vergleichen Sie Xray mit anderen Optionen? Im AmneziaWG Server Deployment Guide und in der Anleitung zur Einrichtung von WireGuard-VPN auf Ihrem Server finden Sie WireGuard-basierte Alternativen. Alternativ bieten sich Hysteria2 und TUIC als zwei weitere zensurresistente Protokolle an, die speziell für verlustbehaftete oder stark gefilterte Netzwerke entwickelt wurden. Benötigen Sie lediglich einen einfachen Proxy anstelle einer vollständigen Tunnelkonfiguration, ist die 3proxy-Konfiguration unter CentOS/ArchLinux eine deutlich schlankere Alternative. Die ältere VPN-Server-Einrichtung unter Linux (PPTP oder OpenVPN?) behandelt Protokolle, die zwar einfacher einzurichten, aber für DPI deutlich leichter zu erkennen und zu blockieren sind. Informationen zur allgemeinen Serverhärtung nach der Inbetriebnahme des Proxys finden Sie unter Linux-Benutzer: Verwaltung und Berechtigungen.