Водич за Xray VLESS Reality: VPS, Windows, Mac, Android, iPhone

Овај водич за подешавање Xray VLESS Reality сервера води вас кроз имплементацију модерног проксија на вашем VPS-у. VLESS са Reality слојем за безбедност транспорта је тренутно најтраженија самостална прокси конфигурација. VLESS са Reality слојем за безбедност транспорта је тренутно најтраженија самостална прокси конфигурација: за разлику од класичног VPN-а, не производи препознатљив рукодни ток или фиксни потпис пакета. Reality клонира TLS 1.3 рукодни ток стварног, популарног веб-сајта (циља), тако да за DPI систем који прати везу, веза са вашим сервером изгледа идентично као да неко посећује тај веб-сајт — не постоји лажни или самопотписани сертификат за отисак прста, јер ваш сервер накратко прослеђује стварни сертификат циљног сајта током руковања.

Протоколски стек је: VLESS (лаган, безстатељски прокси протокол који обрађује аутентификацију) који ради преко XTLS Vision-а (режим контроле протока који убрзава везу копирањем већ шифрованих TLS записа на нивоу сировог сокета) обезбеђен помоћу Reality-ја (камуфлажни слој описан горе). Сва три потичу из истог пројекта, Xray-core, активно одржаваног наследника оригиналног V2Ray/V2Fly пројекта.

Овај водич ручно подешава Xray сервер, у потпуности из командне линије, без веб панела и без Docker-а — најмањи могући простор који заузима на VPS-у. Није потребно име домена нити куповина TLS сертификата: Reality позајмљује сертификат циљног сајта за руковање и никада не приказује свој. Затим, где пише your_IP, мораћете да унесете додељену IP адресу.

Шта вам је потребно: VPS са Ubuntu 22.04/24.04 или Debian 11/12 оперативним системом, root приступ, IP адреса вашег VPS-а и TCP порт 443 слободан (без веб сервера, панела или другог проксија који већ слуша на њему).

Још увек немате сервер? Погледајте Како наручити сервер и платити га.

Прво упоређујете ово са другим опцијама за самостално хостовање? Погледајте Водич за имплементацију AmneziaWG сервера за алтернативу засновану на WireGuard-у или подешавање Hysteria2 и TUIC за два друга модерна протокола отпорна на цензуру.

Повезивање са сервером

Виндоус (PuTTY)

Отворите PuTTY, унесите своју VPS IP адресу у поље Host Name, подесите порт на 22 и пријавите се као root користећи лозинку коју вам је ваш VPS провајдер послао имејлом.

ИП адреса сервера: ваша ИП адреса
пријавите се као: root
Лозинка: ваша лозинка

• Отворите PuTTY, унесите ИП адресу вашег VPS-а у поље Име хоста.

• Подесите порт на 22.

• Унесите пријаву као root.

• Користите лозинку коју вам је ваш VPS провајдер послао имејлом. Након тога би требало да се појави shell промпт сервера.

За детаљан водич повезивања путем PuTTY/SSH, погледајте Како се повезати са Linux сервером путем SSH-а.

Линукс / macOS (терминал)

ssh root@your_IP

Све команде у наставку се извршавају на серверу, у истој SSH сесији — која покрива одељке од 2 до 6, плус провере на страни сервера у одељку 10. Одељци 7–9 (инсталирање и конфигурисање VPN клијента) се уместо тога извршавају на вашем Windows/Android/iOS уређају, пошто је то уређај на којем прокси треба да се покреће; сваки од тих одељака експлицитно наводи које линије, ако их има, и даље додирују сервер.

Припрема сервера

Ажурирајте систем

Пре него што инсталирате било шта, освежите листу пакета и надоградите инсталиране пакете:

apt update -y && apt upgrade -y

Ако се сесија прекине након надоградње apt-а, то је очекивано (рестартовање dbus/polkit-а) - само се поново повежите преко SSH-а. 

Ако се овим надограђује језгро, добра је идеја поново покренути систем пре него што се настави. (За подсетник о apt-у и како раде Linux менаџери пакета, погледајте Linux менаџери пакета .) Проверите са:

cat /var/run/reboot-required

Ако датотека постоји, прво поново покрените систем помоћу команде „reboot“, сачекајте око 30 секунди, а затим се поново повежите.

Инсталирајте алате које овај водич користи

apt install -y curl wget unzip openssl ufw qrencode

Апликације Curl и unzip су потребне самом Xray инсталатеру; openssl генерише кратки ID у одељку 4; ufw је заштитни зид конфигурисан испод; qrencode претвара завршену клијентску везу у скенирани QR код у одељку 7.

Проверите системски сат

Руковање у реалном времену укључује проверу временске ознаке (поље maxTimeDiff, подразумевано онемогућено, али вреди знати о њему), а сат који је приметно померио може довести до тога да се обична TLS валидација сертификата не понаша правилно на другим местима на серверу. Потврдите да је сат синхронизован:

timedatectl status

Ако „Синхронизован системски сат“ приказује „не“, омогућите га помоћу:

timedatectl set-ntp true

Конфигуришите заштитни зид (UFW)

За више информација о UFW правилима, погледајте Конфигурисање заштитног зида на Линуксу.

Отворите два порта која су вам потребна: 22/tcp за SSH (прескочите ово правило и ризикујете да изгубите приступ серверу) и 443/tcp, порт на којем ће Xray слушати и исти је порт који користи обичан HTTPS саобраћај — управо зато је то прави избор за Reality.

ufw allow 22/tcp

ufw allow 443/tcp

ufw --force enable

ufw status

Оба правила би требало да се прикажу као ДОЗВОЉЕНО у излазу статуса ufw.

Инсталирање Xray-core-а за VLESS Reality Server

Пројекат Xray-core (XTLS) објављује званичну скрипту за инсталацију и надоградњу која инсталира бинарну датотеку као системску услугу. Прегледајте сваку скрипту треће стране пре него што је пошаљете у bash — ова долази директно из сопственог репозиторијума пројекта.

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Проверите да ли је бинарна датотека на месту и проверите инсталирану верзију:

/usr/local/bin/xray version

Ако је излаз команде пагиниран и изгледа као да се заглављује, притисните Q да бисте изашли. Бинарни Xray је инсталиран да /usr/local/bin/xray, а његове конфигурационе датотеке се чувају у /usr/local/etc/xray/.

Такође можете користити исти инсталациони скрипт за надоградњу постојеће инсталације. За комплетну листу опција (укључујући уклањање, ажурирања само геоподатака и ротацију дневника), покрените:

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" --help

Генерисање кључева и акредитива

Аутентификација стварности почива на четири податка. Генеришите их све сада; налепићете их у конфигурацију сервера у одељку 5.

Генеришите UUID за клијента

/usr/local/bin/xray uuid

Ово је VLESS кориснички ИД — третирајте га као акредитив, јер он аутентификује клијента на серверу. Поново покрените команду за сваки додатни уређај или особу којој желите да одобрите приступ.

Генеришите пар кључева Reality X25519

/usr/local/bin/xray x25519

Ово исписује три реда: PrivateKey , Password и Hash32 . PrivateKey иде само у конфигурацију сервера и никада се не сме делити. Password је одговарајући јавни кључ — упркос имену, ово је вредност коју сваки клијент уноси; Xray је преименовао поље из PublicKey у Password посебно да би обесхрабрио људе да га објављују непажљиво. Hash32 се користи само за посебну VLESS функцију шифровања и није потребан за Reality подешавање.

Генериши кратки ИД

openssl rand -hex 8

Ово производи хексадецимални стринг од 16 знакова који се користи за разликовање различитих клијената или група клијената. И сервер и клијент морају да користе исту вредност.

Изаберите и тестирајте мету стварности

Циљ је стварни веб-сајт чије TLS руковање ваш сервер имитира. Требало би да подржава TLS 1.3 и HTTP/2, не сме се налазити иза CDN-а као што је Cloudflare (Xray прослеђује сваки саобраћај који не прође Reality аутентификацију директно ка циљу, тако да циљ на CDN-у може претворити ваш сервер у отворени релеј за тај CDN), и идеално је да се налази у приближно истом мрежном региону као и ваш VPS ради вероватног профила латенције. Тестирајте кандидата директно са сервера:

/usr/local/bin/xray tls ping www.microsoft.com:443

Користите само име хоста, а не URL. Неколико домена који се обично користе као Reality циљеви јер су стабилни, подржавају TLS 1.3 и нису усмерени на CDN: www.microsoft.com, addons.mozilla.org, dl.google.com. Тестирајте неколико и изаберите онај који поуздано одговара са локације вашег VPS-а; користићете исто име хоста и као циљ и као унос serverNames у одељку 5.

Писање конфигурације сервера

Направите резервну копију конфигурације коју је добио инсталер, а затим отворите датотеку за уређивање:

cp /usr/local/etc/xray/config.json /usr/local/etc/xray/config.json.orig
nano /usr/local/etc/xray/config.json

Отворите конфигурациону датотеку за уређивање:

nano /usr/local/etc/xray/config.json

Замените целу датотеку шаблоном испод, уносећи свој UUID, PrivateKey, кратки ID и име циљног хоста из Одељка 4 (и порт који сте отворили у Одељку 2, ако сте га променили са 443):

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "vless",
      "settings": {
        "users": [
          {
            "id": "YOUR-UUID-HERE",
            "flow": "xtls-rprx-vision",
            "email": "client1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "method": "raw",
        "security": "reality",
        "realitySettings": {
          "show": false,
          "target": "www.microsoft.com:443",
          "serverNames": ["www.microsoft.com"],
          "privateKey": "YOUR-SERVER-PRIVATE-KEY",
          "shortIds": ["YOUR-SHORT-ID"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "blocked" }
  ]
}

Притисните Ctrl+O (WriteOut) да бисте сачували датотеку.

Притисните Ентер да бисте потврдили име датотеке.

Притисните Ctrl+X да бисте изашли из нано режима.

Важна поља: users[].id је UUID из Одељка 4; users[].flow укључује XTLS Vision; метода (раније названа network) бира RAW транспорт, обичан TCP-базирани метод који захтева Reality; target и serverNames су локација коју сте тестирали у Одељку 4; privateKey је ​​X25519 кључ на страни сервера, никада вредност Password; shortIds наводи сваки кратки ID који клијенти могу да прикажу. Да бисте касније додали још корисника, додајте додатне објекте у низ users, сваки са својим UUID-ом и ознаком е-поште, а затим поново покрените сервис.

Од Xray 26.3.27, долазни Reality додатак без експлицитног поља minClientVer намеће подразумевану верзију језгра самог сервера — старије клијентске апликације (застарела v2rayN, v2rayNG или Streisand верзија која укључује старије Xray језгро) се тихо преусмеравају на резервну страницу циља уместо повезивања, без грешке у клијенту и без очигледно погрешног записа у логу сервера. Ако клијент који је раније радио изненада престане да ради након ажурирања, прво покушајте да ажурирате саму клијентску апликацију; ако то није могуће, додајте „minClientVer“: „25.9.11“ (или неку другу старију основну вредност) унутар realitySettings, по цену да TLS отисак тог старијег клијента буде мало мање конзистентн са модерним прегледачем.

Валидирај и поново покрени

Тестирајте конфигурацију пре поновног покретања уживог сервиса — ово открива JSON грешке у куцању и неподржана поља пре него што угасе прокси:

/usr/local/bin/xray run -test -c /usr/local/etc/xray/config.json

Покретање сервиса и омогућавање аутоматског покретања

Поново покрените Xray са новом конфигурацијом и омогућите му да се аутоматски покрене при поновном покретању:

systemctl enable --now xray

systemctl restart xray

systemctl status xray --no-pager

Статус би требало да буде активан (покренут). Потврдите да нешто заиста слуша на порту 443:

ss -lntp | grep ':443'

Ако се Xray не покрене, најбржи начин да се види зашто је systemd journal (за информације о читању Linux логова уопште, погледајте Како читати Linux логове и где их пронаћи ):

journalctl -u xray -n 50 --no-pager

Изградња везе за повезивање клијента

Xray клијенти увозе један vless:// линк за дељење уместо конфигурационе датотеке. Направите га од вредности генерисаних у одељку 4 (формат линка за дељење клијентских апликација и даље користи старије име type=tcp за транспорт, иако се само JSON поље сада зове method):

ВАШ-UUID — из xray uuid-а (нпр. a1b2c3d4-e5f6-7890-abcd-ef1234567890)

ВАША-ЛОЗИНКА-ЈАВНИ-КЉУЧ — је лозинка из xray x25519 (НЕ ПриватниКључ!)

ВАШ-КРАТКИ-ИД — из openssl rand -hex 8 (нпр. a1b2c3d4e5f67890)

your_IP — (IP адреса вашег сервера)

СНИ — www.microsoft.com (или ваша циљна локација)

vless://YOUR-UUID-HERE@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

Пример линка: 

vless://a1b2c3d4-e5f6-7890-abcd-ef1234567890@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=xyz_public_key_here&sid=a1b2c3d4e5f67890&type=tcp&flow=xtls-rprx-vision#My-Xray-Server

pbk је вредност лозинке из xray x25519 (јавни кључ, никада приватни кључ), sni се подудара са именом циљног хоста, а текст после # је само ознака за приказ коју можете слободно преименовати у било ком клијенту.

Претворите га у QR код како би га мобилни клијенти могли директно скенирати:

qrencode -o ~/vless-client.png "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Или га одштампајте директно на терминал без чувања датотеке:

qrencode -t ansiutf8 "vless://YOUR-UUID@your_IP:443?encryption=none&security=reality&sni=www.microsoft.com&fp=chrome&pbk=YOUR-PASSWORD-PUBLIC-KEY&sid=YOUR-SHORT-ID&type=tcp&flow=xtls-rprx-vision#My-Xray-Server"

Копирајте PNG датотеку на свој рачунар помоћу scp-а, покрените је из терминала рачунара (или PowerShell-а на Windows-у), а не са сервера:

scp root@your_IP:~/vless-client.png .

Повезивање из Windows-а

Све у овом одељку се дешава на вашем Windows рачунару, не преко SSH-а — клијент мора да ради на уређају који ће заправо користити прокси.

Инсталирајте v2rayN

v2rayN је бесплатан, активно одржаван GUI клијент који укључује Xray-core, са изворном VLESS/Reality подршком. Преузмите најновију верзију са странице пројекта :

Преузмите .zip датотеку за 64-битни Windows (самостална верзија не захтева засебан .NET runtime као у новијим верзијама v2rayN), распакујте је било где и покрените v2rayN.exe.

Увези сервер

Копирајте vless:// везу направљену у Одељку 7 у међуспремник (или копирајте QR PNG преко помоћу scp и отворите га), затим у v2rayN изаберите Сервери, затим Увези групни URL из међуспремника (или скенирајте QR код помоћу уграђеног скенера). Нови профил сервера се појављује на листи са ознаком коју сте поставили после #.

Кликните десним тастером миша на профил и изаберите га као активног, а затим омогућите системски прокси (или TUN режим, за рутирање целе машине) из траке са алаткама главног прозора.

Повезивање са Андроида

Све овде се дешава на вашем Андроид уређају, не преко SSH-а.

Инсталирајте v2rayNG

v2rayNG је Андроид пандан v2rayN-а, од истог одржаваоца, и најшире је коришћени Xray клијент на Андроиду. Инсталирајте га са Google Play-а или преузмите APK директно са странице издања пројекта ако Play није доступан у вашем региону:

Увези сервер

Отворите v2rayNG, додирните дугме + у горњем десном углу и изаберите „Увези конфигурацију из међуспремника“ након што копирате vless:// линк или скенирајте QR код и усмерите камеру ка PNG генерисаном у одељку 7. Додирните увезени профил да бисте га изабрали, а затим додирните округло дугме за повезивање на дну. Андроид ће први пут затражити дозволу за VPN — одобрите је да бисте успоставили тунел.

Повезивање са iOS-а

Све се овде дешава на вашем iPhone-у или iPad-у, не преко SSH-а. Смернице Apple-ове продавнице апликација значе да су Xray/VLESS клијенти на iOS-у обично бесплатни, али повремено плаћени, самосталне апликације, а не системски интегрисана функција.

Инсталирајте клијента који подржава Reality

Streisand је бесплатан клијент отвореног кода који подржава VLESS са Reality-јем, заједно са неколико других протокола. Потражите га у App Store-у или отворите овај линк.

Каталози App Store-а се разликују у зависности од продавнице/региона и могу се мењати током времена; ако Streisand није видљив у вашем, алтернативе са VLESS+Reality подршком укључују Happ, V2Box и V2rayTun — потражите App Store за оно што је доступно за ваш налог.

Увези сервер

Копирајте vless:// везу у међуспремник, отворите клијент и користите његову опцију Додај из међуспремника (или еквивалентну опцију „увоз“) или скенирајте QR код из одељка 7 помоћу уграђеног скенера клијента. Укључите нови профил; iOS ће први пут затражити дозволу за конфигурацију VPN-а, коју ћете морати да одобрите путем Face ID-а, Touch ID-а или ваше лозинке.

Провера везе

Са активним тунелом из одељка 8, 9 или 10, вратите се на свој уређај (не SSH сесију) и отворите било коју проверу „која је моја IP адреса“ у прегледачу — приказана адреса треба да се подудара са вашом IP адресом вашег VPS-а.

Да бисте проверили са стране сервера, проверите дневник системског сервера за активност везе и потврдите успостављену TCP сесију на порту 443:

journalctl -u xray -n 50 --no-pager
ss -tnp | grep ':443'

На подразумеваном нивоу евиденције „упозорење“, Xray не приказује много информација о појединачним везама; ако вам је потребно више детаља током решавања проблема, привремено подесите „loglevel“: „info“ у config.json и поново покрените сервис, а затим га вратите на упозорење када ствари прораде.

Референца:

Закључак

Праћење овог водича оставља ваш VPS да покреће сопствени Xray VLESS+Reality сервер, маскиран као обичан HTTPS саобраћај ка правој веб страници, без домена и сертификата за одржавање. Сервис ради као системска јединица xray и преживљава поновно покретање без икакве ваше акције.

Додајте нове клијенте у било ком тренутку додавањем другог објекта у низ корисника у датотеци config.json са новим UUID-ом из xray uuid-а и посебном ознаком е-поште, а затим поновним покретањем сервиса (systemctl restart xray) и креирањем сопствене везе за дељење за тог корисника из Одељка 7. Одвојени UUID-ови по особи или уређају омогућавају опозивање једног без узнемиравања било кога другог.

Неколико навика које вреди задржати када сервер покрене:

• Држите Xray закрпљен. Периодично поново покрећите инсталациони скрипт из одељка 3 — он надограђује постојећу инсталацију — и ажурирајте и клијентске апликације, с обзиром на понашање minClientVer наведено у одељку 5.
• Направите резервну копију датотеке config.json негде приватно ван сервера. Она садржи приватни кључ Reality сервера и UUID сваког клијента; губитак датотеке значи поновно генерисање акредитива за сваки уређај.
• Одмах опозовите изгубљене уређаје. Уклоните одговарајући унос из низа корисника у датотеци config.json и поново покрените услугу.

Ако се веза не успостави, проверите редом:

• статус сервиса (systemctl status xray --no-pager) и дневник (journalctl -u xray -n 50 --no-pager)
• правила заштитног зида (статус ufw — порт 443/tcp мора бити отворен)
• да порт 443 није већ повезан са другом услугом (ss -lntp | grep ':443' треба да прикаже само xray)
• да се UUID, јавни кључ, кратки ID, SNI и ток у клијенту тачно подударају са config.json — један неусклађени знак тихо не успева да се изврши руковање
• сама мета стварности, са xray tls ping-ом :443, у случају да је сајт променио своју TLS конфигурацију

Упоређујете Xray са другим опцијама? Погледајте Водич за имплементацију сервера AmneziaWG и Како подесити Wireguard VPN на вашем серверу за алтернативе засноване на WireGuard-у, или подешавање Hysteria2 и TUIC за два друга протокола отпорна на цензуру, направљена за мреже са губицима или јако филтриране мреже. Ако вам је потребан само једноставан прокси, а не потпуно подешавање тунелирања, конфигурација 3proxy на CentOS/ArchLinux-у је много лакша алтернатива, а старије подешавање VPN сервера на Linux-у: PPTP или OpenVPN? покрива протоколе који су једноставнији за подешавање, али далеко лакши за DPI да их детектује и блокира. За опште јачање сервера када је прокси активан, погледајте Linux корисници: Управљање и дозволе.