Reality ist die aktuelle Antwort auf Deep Packet Inspection, und zwar dadurch, dass es sich weigert, eine eigene Identität zu haben. Statt ein Zertifikat vorzuzeigen, das Sie für eine registrierte Domain gekauft haben, leitet Ihr Server den Handshake einer echten Website weiter. Hier erfahren Sie, wie man Xray auf einem VPS einrichtet — und wo die üblichen Fehler liegen.
Warum Reality für zensierte Netzwerke alles verändert hat
Jeder Stack davor brauchte einen Namen: eine registrierte Domain, ein ausgestelltes Zertifikat, dahinter VLESS oder Trojan. Das hält so lange, bis ein Zensor Ihre IP untersucht und eine einsame Domain mit einem einzigen Besucher und einem eine Woche alten Zertifikat findet — dann ist die Sperrung keine Vermutung mehr, sondern eine Bestätigung. Reality entfernt den Namen: Ihr Server leitet jeden Handshake, den er nicht authentifizieren kann, an eine echte Website weiter, die mit ihrem eigenen Zertifikat antwortet.
- Keine Domain und kein Zertifikat — nichts im DNS oder in einem Transparency-Log verweist auf Ihren Server.
- Aktives Probing scheitert von Natur aus: Wer ohne den Schlüssel testet, bekommt die echte Tarn-Website zu sehen.
- Der Traffic läuft auf Port 443 innerhalb einer echten TLS-1.3-Sitzung, der unauffälligsten Klasse überhaupt.
- Der Client ahmt per uTLS den TLS-Fingerabdruck eines Browsers nach, sodass der Handshake keinen Proxy verrät.
Seien Sie sich der Grenze genau bewusst; sie zu überschätzen ist der Grund, warum Leute auffliegen. Ein Beobachter sieht Ihre IP, die IP des Servers, Port 443 und den Namen der Website, die Sie imitieren — genau das, wonach ein echter Besuch aussieht. Was sichtbar bleibt, ist die Form: eine einzige lange Sitzung zu einer ausländischen IP, acht Stunden am Tag, ist ungewöhnlich, egal was sie transportiert. Reality schlägt Protokoll-Fingerprinting und aktives Probing, nicht die Verkehrsanalyse — und es ist keine Anonymität.
Faustregel: Reality beantwortet die Frage „Welches Protokoll ist das?“. Es beantwortet nicht die Frage „Warum spricht diese Person den ganzen Tag mit genau dieser einen IP?“. Es ist Tarnung, kein Umhang.
Was Sie brauchen, bevor Sie Xray auf einem VPS einrichten
Standortwahl — und bezahlen, ohne eine Identität zu hinterlassen
Zwei Variablen entscheiden, wie gut das trägt: wo die Maschine steht, und ob der Kauf auf Sie zurückverweist. Für Geschwindigkeit wählen Sie das nächstgelegene Land, das nicht filtert. Für Beständigkeit wählen Sie eine Jurisdiktion, die den Server nicht auf Anfrage herausgibt. Vergleichen Sie Regionen auf /locations, und sehen Sie sich /offshore-hosting an, um zu verstehen, was die Jurisdiktion ändert.
ChainVPS betreibt 15 Standorte, sechs davon Privacy-Tier: Netherlands, Switzerland, Romania, Iceland, Moldova und Luxembourg. Die Pläne beginnen bei $3.49/mo für 1 vCPU, 1 GB DDR5 und 20 GB NVMe Gen4, mit ungemessener Bandbreite, DDoS-Schutz und Bereitstellung in unter 60 Sekunden. Guthaben wird mit sieben Coins aufgeladen: Bitcoin, Monero, Ethereum, Litecoin, USDT, TRON oder Solana. Die Preisstaffel steht auf /vps, die Richtlinie auf /no-kyc-vps, der Aufladevorgang auf /pay-with.
Wenn Sie diesen Tunnel brauchen, weil es an Ihrem Wohnort heikel ist, überhaupt einen zu betreiben, verdient die Zahlungsspur dieselbe Sorgfalt wie das Protokoll: Ein Kontoauszug, der einen Hosting-Anbieter nennt, überdauert den Server um Jahre. /pay-with-monero ist der private Weg.
Xray auf dem VPS mit dem 3x-ui-Panel installieren
Sie können Xray-core direkt über sein eigenes config.json betreiben, und wenn Sie sich damit auskennen, tun Sie das. Für die meisten ist 3x-ui die bessere Wahl: Es erzeugt das Schlüsselpaar, baut die Client-Links und QR-Codes, verwaltet Nutzer und installiert Xray als systemd-Unit.
- 1
Zuerst härten, nicht zuletzt
apt update && apt full-upgrade -y, einen sudo-Nutzer anlegen, Ihren SSH-Key hinterlegen, dann PasswordAuthentication no und PermitRootLogin no setzen — bevor irgendetwas auf 443 lauscht.
- 2
Panel installieren
Als root: bash <(curl -Ls https://raw.githubusercontent.com/MHSanaei/3x-ui/master/install.sh). Das Skript lädt Xray-core, registriert einen systemd-Dienst und fragt nach Zugangsdaten, einem Port und einem URL-Pfad. Nehmen Sie die zufällig vorgeschlagenen Werte an — Scanner suchen auf einem nackten Root nach dem klassischen 54321.
- 3
Das Panel über SSH erreichen
Leiten Sie es weiter, statt es offenzulegen: ssh -L 2053:127.0.0.1:PANELPORT zum Server, dann lokal 127.0.0.1:2053 öffnen. Das Panel braucht nie eine eingehende Verbindung.
- 4
Das Inbound anlegen
Inbounds, Add Inbound: Protocol VLESS, Port 443, Security auf Reality gesetzt. Lassen Sie den Transport auf raw TCP — mit dem Vision-Flow ist das am schnellsten und am unauffälligsten.
Das Reality-Schlüsselpaar erzeugen und eine Tarn-Domain wählen
Reality beruht auf zwei Entscheidungen: einem x25519-Schlüsselpaar und der Website, die Sie imitieren. Das Panel erzeugt das Paar mit einem Klick; bei reinem Xray lautet der Befehl xray x25519. Der private Schlüssel verlässt nie den Server, der öffentliche Schlüssel landet zusammen mit einer Short-ID in jedem Client-Link. Das Tarnziel — Dest und SNI im Panel — ist das, was Leuten zum Verhängnis wird.
- Es muss TLS 1.3 mit X25519 unterstützen, idealerweise auch HTTP/2. Reality kann sich keinen Handshake leihen, den es nicht sprechen kann.
- Es darf dort, wo Ihre Nutzer sind, nicht gesperrt sein — eine Website zu imitieren, die Ihr eigener Zensor filtert, macht die ganze Übung zunichte.
- Es sollte plausibel in der Nähe Ihres Servers liegen. Eine Maschine in Amsterdam, die einen Namen imitiert, der nur zu asiatischen Rechenzentren auflöst, ist eine Anomalie.
- Bevorzugen Sie etwas Gewöhnliches, und prüfen Sie es monatlich neu. Forenlisten mit „empfohlenen dest“ werden von Zensoren gerade deshalb abgegriffen, weil sie kursieren.
Goldene Regel bei der Wahl eines dest: irgendwo, wo Ihr Server plausibel stehen könnte, erreichbar von überall dort, wo Ihre Nutzer sind, und völlig langweilig. Langweilig ist das Ziel.
Den Client-Link erstellen und Ihre Geräte verbinden
Das Panel erzeugt pro Client eine vless://-URI und einen QR-Code. Die relevanten Parameter sind der öffentliche Schlüssel (pbk), die Short-ID (sid), der SNI, der uTLS-Fingerabdruck (fp, wobei chrome eine sichere Standardwahl ist) und der Flow, der bei einem TCP-Inbound xtls-rprx-vision lautet.
Android
v2rayNG oder Hiddify. Scannen Sie den QR-Code direkt aus dem Panel — überhaupt keine manuelle Konfiguration nötig.
iOS
Shadowrocket, Streisand oder Foxray. Alle drei lesen denselben vless://-Link, Reality-Parameter inklusive.
Windows und macOS
v2rayN, NekoRay oder Hiddify. Link einfügen, der Client füllt jedes Feld selbst aus.
Linux
NekoRay für eine grafische Oberfläche, oder Xray-core im Client-Modus mit denselben Parametern in config.json.
Das Panel absichern, damit es nicht zur Schwachstelle wird
Ein korrekt konfiguriertes Reality-Inbound ist ein hartes Ziel. Ein Panel auf einem vorhersehbaren Port hinter einem wiederverwendeten Passwort ist es nicht — und es enthält jeden Schlüssel auf der Maschine. Die meisten kompromittierten Xray-Server gehen über das Panel verloren, nicht über das Protokoll.
- Halten Sie das Panel auf loopback, erreichbar über einen SSH-Tunnel. Muss es öffentlich sein: zufälliger hoher Port, langer zufälliger Pfad, echtes Zertifikat.
- Ersetzen Sie die vom Installer vergebenen Zugangsdaten durch eine Passphrase, die Sie nirgendwo sonst verwendet haben.
- Betreiben Sie eine Firewall mit Default-Deny: 443/tcp und Ihr SSH-Port, sonst nichts. Die vollständige Checkliste steht auf /guides.
- Geben Sie jedem Gerät einen eigenen Client-Eintrag statt einer gemeinsam genutzten UUID, damit Sie einen einzelnen widerrufen können.
- Aktualisieren Sie Xray-core und das Panel regelmäßig, und erstellen Sie einen Snapshot, sobald alles läuft.
Die Tarnung überprüfen und ungesperrt bleiben
Verlassen Sie sich nicht darauf, dass die Tarnung hält. Drei Prüfungen geben Ihnen Gewissheit.
- Fragen Sie openssl nach dem Tarnnamen: openssl s_client -connect YOUR.SERVER.IP:443 -servername your-chosen-domain.example. Sie sollten die echte Zertifikatskette dieser Website erhalten; ein selbstsigniertes Zertifikat oder ein Fehler bedeutet, dass Reality nicht funktioniert.
- Rufen Sie die nackte IP per HTTPS in einem Browser auf. Ein Fremder sollte auf etwas Unauffälligem landen, niemals auf einem Panel-Login.
- Auf dem Server sollte ss -tulpn xray auf 443 zeigen und nichts Unerwartetes.
Reality liegt heute vorn, aber das ist eine Aussage über das Jetzt, nicht für immer. Wenn eine Sperrung kommt, kommt sie meist nicht von der Protokollerkennung: IP-Reputation, eine ASN-weite Sperre, oder die Beobachtung, dass eine einzige Leitung sehr viele Daten zu einem einzigen Host bewegt.
- Halten Sie ein zweites Protokoll installiert und im Leerlauf bereit — ein WireGuard-Endpunkt auf einem UDP-Port kostet nichts und ist Ihr sofortiger Fallback.
- Halten Sie die Konfiguration privat. Endpunkte, die in öffentlichen Gruppen geteilt werden, werden gesammelt und gesperrt — so gehen die meisten unter.
- Ist die IP gesperrt, bauen Sie neu, statt zu diskutieren. /cheapest-no-kyc-vps hält eine Ersatzregion günstig.
- Verfügbarkeit und Sichtbarkeit sind getrennte Probleme: /ddos-protection hält die Maschine erreichbar, Reality hält sie uninteressant.
Xray, WireGuard, Shadowsocks oder eine Tor-Bridge
Reality ist unter aggressiver Filterung die richtige Standardwahl, aber jede Alternative gewinnt irgendwo. Viele betreiben zwei parallel: Eine einzige 1-GB-Instanz trägt problemlos ein Reality-Inbound auf 443 und einen WireGuard-Endpunkt auf UDP.
Xray mit VLESS und Reality
Am stärksten gegen Deep Packet Inspection und aktives Probing, ganz ohne Domain. Der Preis dafür sind mehr bewegliche Teile.
WireGuard
Am schnellsten und einfachsten, im Kernel, überall triviale Clients. Sein Handshake lässt sich leicht fingerprinten, deshalb ist es die falsche Wahl, wo VPNs gesperrt sind. Siehe /host.
Shadowsocks
Ein leichter verschlüsselter Proxy, der Jahre moderater Filterung überstanden hat. Einfacher als Xray, schwächer gegen einen entschlossenen Prüfer.
Tor-Bridge
Kein persönlicher Tunnel, sondern ein öffentliches Gut: ein nicht gelisteter Einstiegspunkt ins Tor-Netzwerk. Läuft parallel zu Ihrem eigenen auf /tor-vps.
Brauche ich für Reality wirklich keinen Domainnamen?
Nein — das ist der Hauptvorteil gegenüber VLESS mit TLS oder Trojan. Reality leiht sich das Zertifikat einer Website, die Ihnen nicht gehört, sodass nichts im DNS oder in einem Transparency-Log einen Namen mit Ihrem Server verknüpft.
Ist Xray mit Reality besser als ein kommerzielles VPN?
Bei aggressiver Filterung meist ja: eine private IP, die sonst niemand nutzt, lässt sich weit schwerer sperren als ein gemeinsam genutzter VPN-Bereich. Für gelegentliche Privatsphäre ohne Einrichtungsaufwand ist eine kommerzielle App weniger Arbeit.
Wie viel Server braucht ein Reality-Tunnel?
Eine Instanz mit 1 vCPU / 1 GB bewältigt eine Person oder eine kleine Gruppe; die Grenze ist die Bandbreite, nicht die Kerne. Einstiegspläne auf /offshore-vps beginnen bei $3.49/mo mit ungemessenem Traffic.
Warum in Kryptowährung für einen Umgehungs-Server bezahlen?
Weil die Zahlungsspur den Server überdauert und oft das schwächste Glied ist. Ein vorausbezahltes Guthaben hält die Maschine von Ihnen entkoppelt: /pay-with-monero ist am privatesten, /pay-with-bitcoin am weitesten verbreitet, /crypto-vps deckt den Ablauf ab.
Was tue ich, wenn die IP meines Servers gesperrt wird?
Bauen Sie auf einer neuen IP neu auf. Reality bietet keinen Schutz gegen eine pauschale IP- oder ASN-Sperre, kein Protokoll bietet das. Ein vorausbezahltes No-KYC-Guthaben macht das zur Sache von Minuten — /monero-vps und /best-offshore-vps listen die Optionen.
Ist der Betrieb von Xray legal?
Einen Proxy oder ein VPN selbst zu betreiben ist in den meisten Ländern normal und legitim. Einige Jurisdiktionen beschränken gezielt Umgehungswerkzeuge, manche richten sich eher gegen den Nutzer als gegen den Betreiber. Dieser Guide behandelt das Wie, keine Rechtsberatung.
