Xray VLESS reaalsusjuhend: VPS, Windows, Mac, Android, iPhone

See Xray VLESS Reality serveri seadistusjuhend juhendab teid moodsa puhverserveri juurutamisel oma VPS-il. VLESS koos Reality transporditurvalisuse kihiga on praegu enimnõutud isehostitud puhverserveri seadistus VLESS koos Reality transporditurvalisuse kihiga on praegu enimnõutud isehostitud puhverserveri seadistus: erinevalt klassikalisest VPN-ist ei tekita see eristavat käepigistust ega fikseeritud paketi allkirja. Reality kloonib päris populaarse veebisaidi (sihtmärgi) TLS 1.3 käepigistuse, seega näeb ühendus teie serveriga jälgivale DPI-süsteemile identne selle veebisaidi külastajaga – sõrmejälje tuvastamiseks pole vaja võltsitud ega iseallkirjastatud sertifikaati, sest teie server edastab käepigistuse ajal lühidalt sihtsaidi tegeliku sertifikaadi.

Protokollipakk on: VLESS (kerge, olekuteta puhverserveri protokoll, mis haldab autentimist), mis töötab XTLS Visioni (voo juhtimise režiim, mis kiirendab ühendust, kopeerides juba krüpteeritud TLS-kirjeid toores sokli tasemel) kaudu, mida kaitseb Reality (eespool kirjeldatud kamuflaažkiht). Kõik kolm pärinevad samast projektist Xray-core, mis on aktiivselt hooldatud järeltulija algsele V2Ray/V2Fly projektile.

See juhend seadistab Xray serveri käsitsi, täielikult käsurealt, ilma veebipaneeli ja Dockerita – see on VPS-i jaoks võimalikult väike jalajälg. Domeeninime ega TLS-sertifikaadi ostmist pole vaja: Reality laenab käepigistuseks sihtkoha saidi sertifikaadi ja ei esita kunagi oma sertifikaati. Järgmisena peate sisestama oma määratud IP-aadressi jaotisse „your_IP”.

Vajad: Ubuntu 22.04/24.04 või Debian 11/12 operatsioonisüsteemiga VPS-i, juurjuurdepääsu, oma VPS-i IP-aadressi ja vaba TCP-porti 443 (veebiserverit, paneeli ega muud proxyt ei tohi sellel juba pealt kuulata).

Sul pole veel serverit? Vaata Kuidas serverit tellida ja selle eest maksta.

Kas võrdlete seda esmalt teiste ise hostitud valikutega? WireGuardil põhineva alternatiivi kohta vaadake AmneziaWG serveri juurutamise juhendit või kahe muu moodsa ja tsensuurikindla protokolli kohta Hysteria2 ja TUIC seadistust .

Serveriga ühenduse loomine

Windows (PuTTY)

Ava PuTTY, sisesta oma VPS-i IP-aadress väljale Host Name, määra pordiks 22 ja logi sisse root-kasutajana, kasutades parooli, mille VPS-i pakkuja sulle e-postiga saatis.

Serveri IP-aadress: teie IP-aadress
logi sisse kui: root
Parool: teie parool

• Ava PuTTY ja sisesta oma VPS-i IP-aadress väljale Host Name.

• Määra port 22-le.

• Sisestage sisselogimine root-ina.

• Kasutage parooli, mille teie VPS-teenuse pakkuja teile e-posti teel saatis. Seejärel peaksite jõudma serveri shelli viibale.

PuTTY/SSH kaudu ühenduse loomise üksikasjaliku juhendi leiate artiklist Kuidas luua ühendus Linuxi serveriga SSH kaudu.

Linux / macOS (terminal)

ssh root@your_IP

Kõik allolevad käsud käivitatakse serveris, samas SSH-seansis – see hõlmab jaotisi 2 kuni 6 ja serveripoolseid kontrolle jaotises 10. Jaotised 7–9 (VPN-kliendi installimine ja seadistamine) toimuvad hoopis teie enda Windowsi/Androidi/iOS-i seadmes, kuna see on seade, millel puhverserver peab töötama; igas jaotises on selgesõnaliselt kirjas, millised read, kui üldse, serveriga ikka veel kokku puutuvad.

Serveri ettevalmistamine

Värskenda süsteem

Enne millegi installimist värskendage pakettide loendit ja uuendage installitud pakette:

apt update -y && apt upgrade -y

Kui seanss pärast apt-i uuendamist katkeb, on see ootuspärane (dbus/polkit taaskäivitatakse) – lihtsalt looge uuesti ühendus SSH kaudu. 

Kui see uuendab kerneli, on enne jätkamist hea mõte taaskäivitada. (Apt ja Linuxi paketihaldurite tööpõhimõtete värskendamiseks vaadake Linuxi paketihaldurid .) Kontrollige:

cat /var/run/reboot-required

Kui fail on olemas, taaskäivitage arvuti käsuga 'reboot', oodake ~30 sekundit ja seejärel ühendage uuesti.

Paigaldage selles juhendis kasutatavad tööriistad

apt install -y curl wget unzip openssl ufw qrencode

Xray installija ise vajab käske Curl ja unzip; openssl genereerib lühikese ID 4. osas; ufw on allpool konfigureeritud tulemüür; qrencode muudab valmis kliendilingi skannitavaks QR-koodiks 7. osas.

Kontrollige süsteemi kella

Reality käepigistus sisaldab ajatempli kontrolli (väli maxTimeDiff, mis on vaikimisi keelatud, kuid millest tasub teada) ja märgatavalt triivinud kell võib põhjustada ka tavalise TLS-sertifikaadi valideerimise talitlushäireid mujal serveris. Veenduge, et kell on sünkroonis:

timedatectl status

Kui „Süsteemi kella sünkroniseeritud” kuvab „ei”, lubage see järgmiselt:

timedatectl set-ntp true

Tulemüüri (UFW) seadistamine

UFW reeglite kohta leiate lisateavet jaotisest Tulemüüri seadistamine Linuxis.

Ava kaks vajalikku porti: 22/tcp SSH jaoks (kui see reegel vahele jätta, riskid serverile juurdepääsu kaotamisega) ja 443/tcp, mida Xray kuulab ja mida kasutab tavaline HTTPS-liiklus – just seetõttu on see Reality jaoks õige valik.

ufw allow 22/tcp

ufw allow 443/tcp

ufw --force enable

ufw status

Mõlemad reeglid peaksid ufw oleku väljundis kuvama kui ALLOW.

Xray-core'i installimine VLESS Reality Serverile

Xray-core projekt (XTLS) avaldab ametliku installi- ja uuendamisskripti, mis installib binaarfaili süsteemse teenusena. Enne bashi sisestamist vaadake üle kõik kolmanda osapoole skriptid – see pärineb otse projekti enda repositooriumist.

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Veenduge, et binaarfail on paigas ja kontrollige installitud versiooni:

/usr/local/bin/xray version

Kui käsu väljund on lehekülgistatud ja näib hanguvat, vajutage Q väljumiseks. Xray binaarfail on installitud /usr/local/bin/xrayja selle konfiguratsioonifailid on salvestatud kausta /usr/local/etc/xray/.

Sama installiskripti abil saate uuendada ka olemasolevat installi. Täieliku valikute loendi (sh eemaldamine, ainult geoandmete värskendused ja logide rotatsioon) kuvamiseks käivitage:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" --help

Võtmete ja volituste genereerimine

Reaalsuse autentimine tugineb neljale andmeüksusele. Genereerige need kõik nüüd; kleebite need serveri konfiguratsiooni 5. jaotises.

Kliendile UUID genereerimine

/usr/local/bin/xray uuid

See on VLESS-i kasutajatunnus – käsitle seda volitusena, kuna see autentib kliendi serveris. Käivita käsk uuesti iga täiendava seadme või isiku jaoks, kellele soovid juurdepääsu anda.

Genereerige Reality X25519 võtmepaar

/usr/local/bin/xray x25519

See prindib kolm rida: PrivateKey , Password ja Hash32 . PrivateKey läheb ainult serveri konfiguratsiooni ja seda ei tohi kunagi jagada. Password on vastav avalik võti – vaatamata nimele on see väärtus, mille iga klient sisestab; Xray nimetas välja PublicKey ümber Passwordiks spetsiaalselt selleks, et takistada inimestel seda hooletult avaldamast. Hash32 kasutatakse ainult eraldi VLESS-i krüptimisfunktsiooni jaoks ja seda pole Reality seadistamiseks vaja.

Lühikese ID genereerimine

openssl rand -hex 8

See loob 16-tähemärgilise kuueteistkümnendsüsteemis stringi, mida kasutatakse erinevate klientide või kliendirühmade eristamiseks. Nii server kui ka klient peavad kasutama sama väärtust.

Valige ja testige reaalsuse sihtmärki

Sihtmärk on tegelik veebisait, mille TLS-käepigistust teie server imiteerib. See peaks toetama TLS 1.3 ja HTTP/2, ei tohi asuda CDN-i, näiteks Cloudflare'i taga (Xray edastab kogu liikluse, mis Reality autentimisega ebaõnnestub, otse sihtmärgile, seega saab CDN-i ees olev sihtmärk muuta teie serveri selle CDN-i avatud releeks) ja ideaaljuhul asub see umbes samas võrgupiirkonnas kui teie VPS, et saavutada usutav latentsusprofiil. Testige kandidaati otse serverist:

/usr/local/bin/xray tls ping www.microsoft.com:443

Kasutage paljast hostinime, mitte URL-i. Mõned domeenid, mida tavaliselt Reality sihtmärkidena kasutatakse, kuna need on stabiilsed, TLS 1.3-võimelised ja mitte CDN-front-tüüpi: www.microsoft.com, addons.mozilla.org, dl.google.com. Testige mõnda ja valige see, mis vastab teie VPS-i asukohast usaldusväärselt; kasutate sama hostinime nii sihtmärgina kui ka 5. jaotise serverNames kirjena.

Serveri konfiguratsiooni kirjutamine

Varundage installijaga kaasas olnud konfiguratsioon ja avage fail redigeerimiseks:

cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.orig
nano /usr/local/etc/xray/config.json

Avage konfiguratsioonifail redigeerimiseks:

nano /usr/local/etc/xray/config.json

Asenda kogu fail alloleva malliga, asendades oma UUID, privaatvõtme, lühikese ID ja sihtmasina nime 4. jaotisest (ja 2. jaotises avatud pordi, kui muutsid selle 443-lt):

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "users": [
          {
            "id": "YOUR-UUID-HERE",
            "flow": "xtls-rprx-vision",
            "email": "client1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "method": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "YOUR-SERVER-PRIVATE-KEY",
          "shortIds": ["YOUR-SHORT-ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "blocked" }
  ]
}

Faili salvestamiseks vajutage Ctrl+O (WriteOut).

Faili nime kinnitamiseks vajutage sisestusklahvi (Enter).

Nano väljumiseks vajutage Ctrl+X.

Olulised väljad: users[].id on 4. jaotisest pärit UUID; users[].flow lülitab sisse XTLS Visioni; meetod (varem nimega network) valib RAW-transpordi, tavalise TCP-põhise meetodi, mida Reality vajab; target ja serverNames on sait, mida testisite 4. jaotises; privateKey on serveripoolne X25519 võti, mitte kunagi Password väärtus; shortIds loetleb kõik lühikesed ID-d, mida klientidel on lubatud esitada. Hiljem rohkemate kasutajate lisamiseks lisage kasutajate massiivi täiendavaid objekte, igaühel oma UUID ja e-posti aadressi silt, seejärel taaskäivitage teenus.

Alates Xray versioonist 26.3.27 jõustab Reality sissetulev teade ilma selgesõnalise minClientVer väljata serveri enda tuumaversiooni vaikesätete järgi – vanemad kliendirakendused (aegunud v2rayN, v2rayNG või Streisandi järk, mis sisaldab vanemat Xray tuuma) suunatakse vaikselt sihtkoha varulehele ühenduse loomise asemel, ilma kliendis veateateta ja serveri logis pole midagi ilmselgelt valesti. Kui klient, mis varem töötas, pärast värskendust ootamatult aegub, proovige kõigepealt kliendirakendust ennast värskendada; kui see pole võimalik, lisage realitySettings'i sisse "minClientVer": "25.9.11" (või mõni muu vanem baasversioon), mille hinnaga muutub vanema kliendi TLS-sõrmejälg tänapäevase brauseriga veidi vähem kooskõlas olevaks.

Valideeri ja taaskäivita

Testige konfiguratsiooni enne reaalajas teenuse taaskäivitamist – see tuvastab JSON-i kirjavead ja toetamata väljad enne, kui need puhverserveri maha võtavad:

/usr/local/bin/xray run -test -c /usr/local/etc/xray/config.json

Teenuse käivitamine ja automaatse käivitamise lubamine

Taaskäivitage Xray uue konfiguratsiooniga ja lubage sellel taaskäivitamisel automaatselt käivituda:

systemctl enable --now xray

systemctl restart xray

systemctl status xray --no-pager

Staatus peaks näitama aktiivset (töötab). Veenduge, et midagi kuulab tegelikult porti 443:

ss -lntp | grep ':443'

Kui Xray ei käivitu, on kiireim viis põhjuse väljaselgitamiseks systemd ajakiri (Linuxi logide lugemise üldise taustateabe saamiseks vaadake jaotist Kuidas lugeda Linuxi logisid ja kust neid leida ):

journalctl -u xray -n 50 --no-pager

Kliendiühenduse loomine

Xray kliendid impordivad ühe vless:// jagamislingi, mitte konfiguratsioonifaili. Looge see 4. osas genereeritud väärtuste põhjal (kliendirakenduste jagamislingi vorming kasutab transpordi jaoks endiselt vanemat nime type=tcp, kuigi JSON-välja ennast nimetatakse nüüd meetodiks):

TEIE UUID — röntgeni UUID-st (nt a1b2c3d4-e5f6-7890-abcd-ef1234567890)

TEIE-PASSWORD-PUBLIC-VÕTI — on parool saidilt xray x25519 (MITTE privaatvõti!)

TEIE-LÜHIKE-ID — käsust openssl rand -hex 8 (nt a1b2c3d4e5f67890)

teie_IP — (teie serveri IP-aadress)

SNI — www.microsoft.com (või teie sihtkoht)

vless://YOUR-UUID-HERE@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

Näidislink: 

vless://a1b2c3d4-e5f6-7890-abcd-ef1234567890@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=xyz_public_key_here&sid=a1b2c3d4e5f67890&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

pbk on xray x25519 parooli väärtus (avalik võti, mitte kunagi privaatvõti), sni vastab sihtmasina nimele ja tekst pärast # on lihtsalt kuvamismärgis, mida saate igas kliendis vabalt ümber nimetada.

Muutke see QR-koodiks, et mobiilikliendid saaksid seda otse skannida:

qrencode -o ~/vless-client.png "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Või printige see otse terminali ilma faili salvestamata:

qrencode -t ansiutf8 "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Kopeeri PNG oma arvutisse scp-ga, käivita see oma arvuti terminalist (või Windowsi puhul PowerShellist), mitte serverist:

scp root@your_IP:~/vless-client.png .

Ühendamine Windowsist

Kõik selles jaotises toimuv toimub teie Windowsi arvutis, mitte SSH kaudu – klient peab töötama seadmes, mis tegelikult puhverserverit kasutab.

v2rayN installimine

v2rayN on tasuta, aktiivselt hooldatav GUI klient, mis sisaldab Xray-core'i koos natiivse VLESS/Reality toega. Laadige uusim versioon alla projekti lehelt :

Haara Windowsi 64-bitise versiooni .zip-fail (iseseisev järk ei vaja eraldi .NET-i käituskeskkonda, nagu ka uuemad v2rayN-i versioonid), paki see suvalisse kohta lahti ja käivita fail v2rayN.exe.

Serveri importimine

Kopeeri 7. jaotises loodud link vless:// lõikelauale (või kopeeri QR-koodi PNG scp-ga üle ja ava see), seejärel vali v2rayN-is Serverid ja seejärel Impordi hulgi URL lõikelaualt (või skanni QR-koodi sisseehitatud skanneriga). Uus serveriprofiil kuvatakse loendis koos teie määratud sildiga pärast #-märki.

Paremklõpsake profiilil ja valige see aktiivseks, seejärel lubage peaakna tööriistaribal süsteemi puhverserver (või TUN-režiim kogu masina marsruutimiseks).

Ühendamine Androidist

Kõik siin toimub teie Android-seadmes, mitte SSH kaudu.

v2rayNG installimine

v2rayNG on Androidi vaste versioonile v2rayN, samalt hooldajalt ja see on Androidis kõige laialdasemalt kasutatav Xray klient. Installige see Google Playst või laadige APK otse projekti väljaannete lehelt alla , kui Play pole teie piirkonnas saadaval:

Serveri importimine

Ava v2rayNG, puuduta paremas ülanurgas olevat + nuppu ja vali pärast vless:// lingi kopeerimist „Impordi konfiguratsioon lõikelaualt” või skanni QR-koodi ja suuna kaamera 7. jaotises loodud PNG-le. Puuduta imporditud profiili selle valimiseks ja seejärel puuduta allosas olevat ümmargust ühenduse nuppu. Android küsib esimesel korral VPN-i luba – kinnita see tunneli loomiseks.

Ühendamine iOS-ist

Kõik siin toimub teie iPhone'is või iPadis, mitte SSH kaudu. Apple'i App Store'i juhiste kohaselt on Xray/VLESS-kliendid iOS-is tavaliselt tasuta, kuid mõnikord ka tasulised eraldiseisvad rakendused, mitte süsteemi integreeritud funktsioon.

Reality-toega kliendi installimine

Streisand on tasuta avatud lähtekoodiga klient, mis toetab VLESS-i koos Realityga ja mitmeid teisi protokolle. Otsi seda App Store'ist või ava see link.

App Store'i kataloogid on poe/piirkonna lõikes erinevad ja võivad aja jooksul muutuda; kui Streisandi teie kataloogis pole näha, on VLESS+Reality toega alternatiivide hulka Happ, V2Box ja V2rayTun – otsige App Store'ist oma kontole saadaolevat.

Serveri importimine

Kopeeri link vless:// lõikelauale, ava klient ja kasuta selle valikut „Lisa lõikelaualt” (või samaväärset „impordi”) või skanni kliendi sisseehitatud skanneriga 7. jaotises olevat QR-koodi. Lülita uus profiil sisse; iOS küsib esimesel korral VPN-i seadistamise luba, mille pead kinnitama Face ID, Touch ID või pääsukoodi abil.

Ühenduse kontrollimine

Kui 8., 9. või 10. jaotises kirjeldatud tunnel on aktiivne, mine tagasi oma seadmesse (mitte SSH-seansi) ja ava brauseris suvaline „mis on minu IP?” kontrollija – kuvatud aadress peaks ühtima sinu VPS-i IP-aadressiga.

Serveripoolseks kontrollimiseks kontrollige hoopis systemd ajakirja ühenduse aktiivsuse osas ja kinnitage loodud TCP-seansi olemasolu pordil 443:

journalctl -u xray -n 50 --no-pager
ss -tnp | grep ':443'

Vaikimisi "hoiatuse" logitasemel ei prindi Xray üksikute ühenduste kohta palju; kui teil on tõrkeotsingu ajal vaja rohkem üksikasju näha, määrake config.json-failis ajutiselt "loglevel": "info" ja taaskäivitage teenus, seejärel lülitage see tagasi hoiatustasemele, kui asjad toimivad.

Viide:

Järeldus

Selle juhendi järgimisel töötab teie VPS-il oma Xray VLESS+Reality server, mis on maskeeritud tavaliseks HTTPS-liikluseks päris veebisaidile, ilma domeeni ja sertifikaadita, mida hallata. Teenus töötab systemd üksusena xray ja jääb taaskäivitamisele alles ilma teiepoolsete toiminguteta.

Uusi kliente saab igal ajal lisada, lisades config.json faili kasutajate massiivi uue objekti koos xray uuid-st pärineva värske UUID-ga ja eraldi e-posti sildiga, seejärel teenuse taaskäivitades (systemctl restart xray) ja luues sellele kasutajale 7. jaotisest oma jagamislingi. Eraldi UUID-d inimese või seadme kohta võimaldavad selle tühistada ilma kedagi teist häirimata.

Mõned harjumused, mida tasub serveri töötamise ajal järgida:

• Hoidke Xray paigatud. Käivitage 3. jaotises kirjeldatud installiskripti perioodiliselt uuesti – see uuendab olemasolevat installi kohapeal – ja hoidke ka kliendirakendusi ajakohasena, arvestades 5. jaotises mainitud minClientVer käitumist.
• Varunda config.json fail serverist eraldi kohta. See sisaldab serveri Reality privaatvõtit ja iga kliendi UUID-d; selle kaotamine tähendab iga seadme jaoks mandaatide uuesti genereerimist.
• Tühistage kadunud seadmed viivitamatult. Eemaldage vastav kirje config.json faili kasutajate massiivist ja taaskäivitage teenus.

Kui ühendus ei toimi, kontrollige järgmist järjekorras:

• teenuse olek (systemctl status xray --no-pager) ja päevik (journalctl -u xray -n 50 --no-pager)
• tulemüüri reeglid (ufw olek — port 443/tcp peab olema avatud)
• et port 443 pole juba teise teenuse poolt seotud (ss -lntp | grep ':443' peaks näitama ainult xray-d)
• et kliendi UUID, avalik võti, lühike ID, SNI ja voog vastavad täpselt config.json-ile – üks mittevastav märk nurjub käepigistuses vaikselt
• Reaalsuse sihtmärk ise koos röntgenikiirguse TLS-pingiga :443, juhul kui sait muutis oma TLS-i konfiguratsiooni

Kas võrdlete Xray-d teiste valikutega? WireGuard-põhiste alternatiivide kohta vaadake AmneziaWG serveri juurutamise juhendit ja Wireguard VPN-i seadistamise juhendit või kahe muu tsensuurikindla protokolli kohta, mis on loodud kadudega või tugevalt filtreeritud võrkude jaoks, leiate teavet Hysteria2 ja TUIC seadistuse kohta . Kui vajate täieliku tunneldamise asemel ainult lihtsat puhverserverit, on CentOS/ArchLinuxis 3proxy konfiguratsioon palju kergem alternatiiv ja vanem VPN-serveri seadistus Linuxis: PPTP või OpenVPN? hõlmab protokolle, mida on lihtsam seadistada, kuid DPI jaoks palju lihtsam tuvastada ja blokeerida. Serveri üldise kaitse kohta pärast puhverserveri aktiivseks muutumist vaadake jaotist Linuxi kasutajad: haldus ja õigused.