Водич за реалност Xray VLESS: VPS, Windows, Mac, Android, iPhone

Ова упатство за поставување на Xray VLESS Reality серверот ве води низ распоредувањето на модерен прокси на вашиот VPS. VLESS со Reality транспорт-security слојот моментално е најбараната самостојна прокси поставка. VLESS со Reality транспорт-security слојот моментално е најбараната самостојна прокси поставка: за разлика од класичната VPN, не произведува препознатливо ракување или фиксен потпис на пакет. Reality го клонира ракувањето TLS 1.3 на вистинска, популарна веб-страница (целта), па за DPI систем кој ја следи жицата, врската со вашиот сервер изгледа идентично со некој што ја посетува таа веб-страница - нема лажен или самопотпишан сертификат за отпечаток од прст, бидејќи вашиот сервер накратко го препраќа вистинскиот сертификат на целната страница за време на ракувањето.

Стекот на протоколи е: VLESS (лесен, бездржавен прокси протокол кој ракува со автентикација) кој работи преку XTLS Vision (режим за контрола на проток кој ја забрзува врската со копирање на веќе енкриптирани TLS записи на ниво на суров сокет) обезбеден од Reality (камуфлажниот слој опишан погоре). Сите три доаѓаат од истиот проект, Xray-core, активно одржуваниот наследник на оригиналниот проект V2Ray/V2Fly.

Ова упатство поставува Xray сервер рачно, целосно од командната линија, без веб-панел и без Docker - најмалата можна површина на VPS. Не е потребно никакво купување на име на домен ниту TLS сертификат: Reality го позајмува сертификатот од целната страница за ракување и никогаш не презентира свој. Потоа, таму каде што пишува your_IP, ќе треба да ја внесете вашата доделена IP адреса.

Што ви е потребно: VPS со Ubuntu 22.04/24.04 или Debian 11/12, root пристап, IP адресата на вашиот VPS и слободен TCP порт 443 (без веб-сервер, панел или друг прокси што веќе слуша на него).

Сè уште немате сервер? Погледнете Како да нарачате сервер и да платите за него.

Прво споредувате ова со други опции за самостојно хостирање? Видете го Водичот за распоредување на серверот AmneziaWG за алтернатива базирана на WireGuard, или поставката Hysteria2 и TUIC за два други модерни протоколи отпорни на цензура.

Поврзување со серверот

Windows (PuTTY)

Отворете го PuTTY, внесете ја вашата VPS IP адреса во полето Host Name, поставете го портот на 22 и најавете се како root користејќи ја лозинката што ви ја испратил вашиот VPS провајдер.

IP адреса на серверот: вашата IP адреса
најавете се како: root
Лозинка: вашата лозинка

• Отворете го PuTTY, внесете ја вашата VPS IP адреса во полето Име на домаќин.

• Поставете го портот на 22.

• Внесете се најавете се како root.

• Користете ја лозинката што ви ја испратил вашиот VPS провајдер. Потоа треба да се појавите на командната линија на серверот.

За детален водич за поврзување преку PuTTY/SSH, видете Како да се поврзете со Linux сервер преку SSH.

Linux / macOS (терминал)

ssh root@your_IP

Сите команди подолу се извршуваат на серверот, во истата SSH сесија — која ги опфаќа деловите од 2 до 6, плус проверките од страна на серверот во Дел 10. Деловите 7–9 (инсталирање и конфигурирање на VPN клиентот) се случуваат на вашиот сопствен Windows/Android/iOS уред, бидејќи тоа е уредот на кој треба да работи прокси-серверот; секој од тие делови експлицитно наведува кои линии, доколку ги има, сè уште го допираат серверот.

Подготовка на серверот

Ажурирајте го системот

Пред да инсталирате било што, освежете ја листата со пакети и надградете ги инсталираните пакети:

apt update -y && apt upgrade -y

Ако сесијата е прекината по надградбата на apt, ова е очекувано (dbus/polkit се рестартираат) - само повторно поврзете се преку SSH. 

Ако ова го надгради јадрото, рестартирањето е добра идеја пред да продолжите. (За освежување на apt и како функционираат менаџерите за пакети на Linux, видете Менаџери за пакети на Linux .) Проверете со:

cat /var/run/reboot-required

Ако датотеката постои, прво рестартирајте со „рестартирање“, почекајте ~30 секунди, а потоа повторно поврзете се.

Инсталирајте ги алатките што ги користи ова упатство

apt install -y curl wget unzip openssl ufw qrencode

Виткањето и распакувањето се потребни од самиот инсталер на Xray; openssl го генерира краткиот ID во Дел 4; ufw е заштитниот ѕид конфигуриран подолу; qrencode ја претвора готовата врска до клиентот во скенирачки QR код во Дел 7.

Проверете го системскиот часовник

Ракувањето на Reality вклучува проверка на временскиот печат (полето maxTimeDiff, оневозможено по дифолт, но вреди да се знае за него), а часовникот што значително се поместил може да предизвика и обичната валидација на TLS сертификатот да се однесува неправилно на друго место на серверот. Потврдете дека часовникот е синхронизиран:

timedatectl status

Ако „Системски часовник синхронизиран“ покажува „не“, овозможете го со:

timedatectl set-ntp true

Конфигурирајте го заштитниот ѕид (UFW)

За повеќе информации за правилата на UFW, видете Конфигурирање на заштитен ѕид на Linux.

Отворете ги двата порта што ќе ви бидат потребни: 22/tcp за SSH (прескокнете го ова правило и ризикувате да го изгубите пристапот до серверот) и 443/tcp, портата на која Xray ќе слуша и истата порта што ја користи обичниот HTTPS сообраќај - токму затоа е вистинскиот избор за Reality.

ufw allow 22/tcp

ufw allow 443/tcp

ufw --force enable

ufw status

И двете правила треба да се прикажат како ДОЗВОЛЕНО во излезот за статусот на ufw.

Инсталирање на Xray-core за VLESS Reality Server

Проектот Xray-core (XTLS) објавува официјална скрипта за инсталација и надградба која го инсталира бинарниот фајл како systemd услуга. Прегледајте ја секоја скрипта од трета страна пред да ја вметнете во bash - оваа доаѓа директно од сопственото складиште на проектот.

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Проверете дали бинарната датотека е на место и проверете ја инсталираната верзија:

/usr/local/bin/xray version

Ако излезот на командата е нумериран и се чини дека виси, притиснете Q за излез. Бинарниот Xray е инсталиран за да /usr/local/bin/xray, а неговите конфигурациски датотеки се зачувани во /usr/local/etc/xray/.

Можете да ја користите истата скрипта за инсталација и за надградба на постоечка инсталација. За целосен список на опции (вклучувајќи отстранување, ажурирања само за геоподатоци и ротација на логови), извршете:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" --help

Генерирање на клучеви и акредитиви

Автентикацијата на реалноста се потпира на четири податоци. Генерирајте ги сите сега; ќе ги залепите во конфигурацијата на серверот во Дел 5.

Генерирај UUID за клиентот

/usr/local/bin/xray uuid

Ова е корисничкиот ID на VLESS — третирајте го како акредитив, бидејќи тоа е она што го автентицира клиентот на серверот. Извршете ја командата повторно за секој дополнителен уред или лице на кое сакате да му дозволите пристап.

Генерирај го парот клучеви Reality X25519

/usr/local/bin/xray x25519

Ова печати три реда: PrivateKey , Password и Hash32 . PrivateKey влегува само во конфигурацијата на серверот и никогаш не смее да се споделува. Password е соодветниот јавен клуч - и покрај името, ова е вредноста што ја внесува секој клиент; Xray го преименуваше полето од PublicKey во Password специјално за да ги обесхрабри луѓето да го објавуваат невнимателно. Hash32 се користи само за посебната функција за шифрирање VLESS и не е потребен за поставување на Reality.

Генерирај краток ID

openssl rand -hex 8

Ова создава хексадецимален стринг од 16 знаци што се користи за разликување на различни клиенти или групи клиенти. И серверот и клиентот мора да ја користат истата вредност.

Изберете и тестирајте ја целта за реалност

Целта е вистинската веб-страница чие TLS ракување го имитира вашиот сервер. Треба да поддржува TLS 1.3 и HTTP/2, не смее да стои зад CDN како Cloudflare (Xray го препраќа секој сообраќај што не успева да ја автентицира Reality директно до целта, така што целта предводена од CDN може да го претвори вашиот сервер во отворено реле за тој CDN) и идеално е да биде хостирана во приближно истиот мрежен регион како и вашиот VPS за веродостоен профил на латентност. Тестирајте го кандидатот директно од серверот:

/usr/local/bin/xray tls ping www.microsoft.com:443

Користете го самото име на хост, а не URL-адресата. Неколку домени кои најчесто се користат како Reality таргети бидејќи се стабилни, компатибилни со TLS 1.3 и не се предводени од CDN: www.microsoft.com, addons.mozilla.org, dl.google.com. Тестирајте неколку и изберете еден што реагира сигурно од локацијата на вашиот VPS; ќе го користите истото име на хост и како цел и како записот serverNames во Дел 5.

Пишување на конфигурацијата на серверот

Направете резервна копија од конфигурацијата што ја придружуваше инсталерот, а потоа отворете ја датотеката за уредување:

cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.orig
nano /usr/local/etc/xray/config.json

Отворете ја конфигурациската датотека за уредување:

nano /usr/local/etc/xray/config.json

Заменете ја целата датотека со шаблонот подолу, заменувајќи го вашиот сопствен UUID, PrivateKey, краток ID и име на целниот хост од Дел 4 (и портата што ја отворивте во Дел 2, ако ја сменивте од 443):

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "users": [
          {
            "id": "YOUR-UUID-HERE",
            "flow": "xtls-rprx-vision",
            "email": "client1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "method": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "YOUR-SERVER-PRIVATE-KEY",
          "shortIds": ["YOUR-SHORT-ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "blocked" }
  ]
}

Притиснете Ctrl+O (WriteOut) за да ја зачувате датотеката.

Притиснете Enter за да го потврдите името на датотеката.

Притиснете Ctrl+X за да излезете од nano.

Важните полиња: users[].id е UUID-от од Дел 4; users[].flow го вклучува XTLS Vision; method (порано наречен network) го избира RAW транспортот, обичниот TCP-базиран метод што го бара Reality; target и serverNames се локацијата што ја тестиравте во Дел 4; privateKey е клучот X25519 од страната на серверот, никогаш вредноста на Password; shortIds ги наведува сите short ID што клиентите можат да ги презентираат. За да додадете повеќе корисници подоцна, додадете дополнителни објекти во низата на корисниците, секој со свој UUID и етикета за е-пошта, а потоа рестартирајте ја услугата.

Од Xray 26.3.27, влезните податоци од Reality без експлицитно поле minClientVer наметнуваат стандардна вредност на сопствената основна верзија на серверот - постарите клиентски апликации (застарена v2rayN, v2rayNG или Streisand верзија што вклучува постаро Xray-јадро) се пренасочуваат тивко кон резервната страница на целта наместо да се поврзуваат, без грешка во клиентот и без ништо очигледно погрешно во дневникот на серверот. Ако клиентот што работел одеднаш истече по ажурирањето, прво обидете се да ја ажурирате самата клиентска апликација; ако тоа не е можно, додадете „minClientVer“: „25.9.11“ (или друга постара основна линија) во realitySettings, по цена на тоа што отпечатокот од TLS на тој постар клиент ќе биде малку помалку конзистентен со современиот прелистувач.

Валидирајте и рестартирајте

Тестирајте ја конфигурацијата пред да го рестартирате сервисот во живо — ова ги открива JSON печатните грешки и неподдржаните полиња пред да го исклучи проксито:

/usr/local/bin/xray run -test -c /usr/local/etc/xray/config.json

Стартување на услугата и овозможување на автоматско стартување

Рестартирајте го Xray со новата конфигурација и овозможете му автоматски да се стартува при рестартирање:

systemctl enable --now xray

systemctl restart xray

systemctl status xray --no-pager

Статусот треба да покажува дека е активен (работи). Потврдете дека нешто навистина слуша на портата 443:

ss -lntp | grep ':443'

Ако Xray не успее да се стартува, најбрзиот начин да се види причината е systemd journal (за информации за читање логови на Linux воопшто, видете Како да читате логови на Linux и каде да ги најдете ):

journalctl -u xray -n 50 --no-pager

Градење на врската за поврзување со клиентот

Xray клиентите увезуваат еден vless:// линк за споделување, наместо конфигурациска датотека. Изградете го од вредностите генерирани во Дел 4 (форматот за споделување на линк на клиентските апликации сè уште го користи постарото име type=tcp за транспорт, иако самото JSON поле сега се нарекува метод):

ВАШИОТ-UUID — од рендгенски uuid (на пр., a1b2c3d4-e5f6-7890-abcd-ef1234567890)

ЈАВНИОТ-КЛУЧ-ЈАВЕН-КЛУЧ — е лозинката од xray x25519 (НЕ е приватниот клуч!)

YOUR-SHORT-ID — од openssl rand -hex 8 (на пр., a1b2c3d4e5f67890)

your_IP — (IP адреса на вашиот сервер)

SNI — www.microsoft.com (или вашата целна група)

vless://YOUR-UUID-HERE@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

Пример линк: 

vless://a1b2c3d4-e5f6-7890-abcd-ef1234567890@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=xyz_public_key_here&sid=a1b2c3d4e5f67890&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

pbk е вредноста на лозинката од xray x25519 (јавниот клуч, никогаш приватниот клуч), sni се совпаѓа со името на целниот хост, а текстот по # е само етикета за приказ што можете слободно да ја преименувате во кој било клиент.

Претворете го во QR код за да можат мобилните клиенти директно да го скенираат:

qrencode -o ~/vless-client.png "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Или испечатете го директно на терминалот без да зачувате датотека:

qrencode -t ansiutf8 "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Копирајте го PNG-то на вашиот компјутер со scp, стартувајте го од терминалот на вашиот компјутер (или PowerShell на Windows), а не од серверот:

scp root@your_IP:~/vless-client.png .

Поврзување од Windows

Сè во овој дел се случува на вашиот Windows компјутер, а не преку SSH - клиентот мора да работи на уредот што всушност ќе го користи прокси-серверот.

Инсталирај v2rayN

v2rayN е бесплатен, активно одржуван GUI клиент кој вклучува Xray-core, со вградена поддршка за VLESS/Reality. Преземете ја најновата верзија од страницата на проектот :

Земете го 64-битниот .zip асет на Windows (самостојната верзија не бара посебно .NET runtime како кај најновите верзии на v2rayN), отпакувајте го од каде било и стартувајте го v2rayN.exe.

Увези го серверот

Копирајте ја врската vless:// вградена во Дел 7 во вашата табла со исечоци (или копирајте го QR PNG-то со scp и отворете го), потоа во v2rayN изберете Сервери понатаму Увези булку URL од таблата со исечоци (или скенирајте го QR-кодот преку вградениот скенер). Новиот профил на серверот се појавува во листата со етикетата што ја поставивте по #.

Кликнете со десното копче на профилот и изберете го како активен, а потоа овозможете го системскиот прокси (или TUN режим, за насочување на целата машина) од лентата со алатки на главниот прозорец.

Поврзување од Андроид

Сè овде се случува на вашиот Android уред, а не преку SSH.

Инсталирај v2rayNG

v2rayNG е пандан на v2rayN за Android, од истиот одржувач, и е најкористениот Xray клиент на Android. Инсталирајте го од Google Play или преземете ја APK-датотеката директно од страницата за изданија на проектот ако Play не е достапен во вашиот регион:

Увези го серверот

Отворете v2rayNG, допрете го копчето + во горниот десен агол и изберете Import config from Clipboard откако ќе ја копирате врската vless:// или Scan QR code и насочете ја камерата кон PNG генериран во Дел 7. Допрете го увезениот профил за да го изберете, а потоа допрете го тркалезното копче за поврзување на дното. Android ќе побара дозвола за VPN првиот пат - одобрете го за да го воспоставите тунелот.

Поврзување од iOS

Сè овде се случува на вашиот iPhone или iPad, а не преку SSH. Упатствата на Apple App Store значат дека Xray/VLESS клиентите на iOS се обично бесплатни, но понекогаш платени, самостојни апликации, а не системски интегрирана функција.

Инсталирајте клиент способен за реалност

Streisand е бесплатен клиент со отворен код кој поддржува VLESS со Reality, заедно со неколку други протоколи. Пребарајте го во App Store или отворете го овој линк.

Каталозите во App Store се разликуваат во зависност од продавницата/регионот и можат да се менуваат со текот на времето; ако Стрејсенд не е видлива во вашиот, алтернативите со поддршка за VLESS+Reality вклучуваат Happ, V2Box и V2rayTun - пребарајте во App Store што е достапно за вашата сметка.

Увези го серверот

Копирајте го линкот vless:// во вашата табла со исечоци, отворете го клиентот и користете ја опцијата Додај од табла со исечоци (или еквивалентна „увоз“) или скенирајте го QR-кодот од Дел 7 со вградениот скенер на клиентот. Вклучете го новиот профил; iOS ќе побара дозвола за VPN конфигурација првиот пат, која ќе треба да ја одобрите преку Face ID, Touch ID или вашата лозинка.

Потврдување на врската

Со активен тунел од Секција 8, 9 или 10, вратете се на вашиот уред (не на SSH сесијата) и отворете која било проверка „која е мојата IP адреса“ во прелистувачот - прикажаната адреса треба да се совпаѓа со вашата IP адреса на вашиот VPS.

За да потврдите од страната на серверот, проверете го systemd journal за активност на поврзување и потврдете воспоставена TCP сесија на портата 443:

journalctl -u xray -n 50 --no-pager
ss -tnp | grep ':443'

На стандардното ниво на логовирање „предупредување“, Xray не печати многу за поединечните врски; ако треба да видите повеќе детали додека решавате проблеми, привремено поставете „loglevel“: „info“ во config.json и рестартирајте ја услугата, а потоа вратете ја на предупредување откако работите ќе работат.

Суд:

Заклучок

Следењето на ова упатство го остава вашиот VPS да работи со свој Xray VLESS+Reality сервер, преправен како обичен HTTPS сообраќај кон вистинска веб-страница, без домен и без сертификат за одржување. Услугата работи како системска единица xray и преживува рестартирање без никаква акција од ваша страна.

Додавајте нови клиенти во секое време со додавање на друг објект во низата на корисниците во config.json со нов UUID од xray uuid и посебна етикета за е-пошта, потоа рестартирајте ја услугата (systemctl restart xray) и изградете му на тој корисник сопствена врска за споделување од Дел 7. Одделните UUID-а по лице или уред овозможуваат отповикување на еден без да се вознемири некој друг.

Неколку навики што вреди да се почитуваат откако серверот ќе почне да работи:

• Одржувајте го Xray исправен. Периодично стартувајте ја скриптата за инсталација од Дел 3 - таа надградува постоечка инсталација - и ажурирајте ги и клиентските апликации, со оглед на однесувањето на minClientVer забележано во Дел 5.
• Направете резервна копија на config.json некаде приватно надвор од серверот. Таа го содржи приватниот клуч Reality на серверот и UUID-от на секој клиент; нејзиното губење значи регенерирање на акредитивите за секој уред.
• Веднаш поништи ги изгубените уреди. Отстранете го соодветниот запис од низата корисници во config.json и рестартирајте ја услугата.

Ако врската не се воспостави, проверете по редослед:

• статусот на услугата (systemctl status xray --no-pager) и дневникот (journalctl -u xray -n 50 --no-pager)
• правилата на заштитен ѕид (ufw статус — портата 443/tcp мора да биде отворена)
• дека портата 443 не е веќе врзана за друга услуга (ss -lntp | grep ':443' треба да прикажува само рендген)
• дека UUID, јавниот клуч, краткиот ID, SNI и протокот во клиентот точно се совпаѓаат со config.json — еден несовпаѓачки знак тивко не успева при ракувањето.
• самата цел на Reality, со xray tls ping :443, во случај страницата да ја променила својата TLS конфигурација

Споредба на Xray со други опции? Видете го Водичот за распоредување на серверот AmneziaWG и Како да поставите Wireguard VPN на вашиот сервер за алтернативи базирани на WireGuard, или поставувањето на Hysteria2 и TUIC за два други протоколи отпорни на цензура изградени за мрежи со загуби или силно филтрирани мрежи. Ако ви треба само едноставен прокси, а не целосно поставување на тунелирање, конфигурацијата 3proxy на CentOS/ArchLinux е многу полесна алтернатива, а постарото поставување на VPN сервер на Linux: PPTP или OpenVPN? опфаќа протоколи кои се поедноставни за поставување, но многу полесни за DPI за откривање и блокирање. За општо зајакнување на серверот откако проксито ќе биде активно, видете Корисници на Linux: Управување и дозволи.