Reality est aujourd'hui la meilleure réponse à l'inspection approfondie des paquets (deep-packet inspection), et elle fonctionne en refusant d'avoir sa propre identité. Plutôt que de présenter un certificat acheté pour un domaine que vous avez enregistré, votre serveur relaie la poignée de main d'un site web réel. Voici comment configurer Xray sur un VPS, et les points sur lesquels on se trompe le plus souvent.
Pourquoi Reality change la donne pour les réseaux censurés
Toutes les solutions précédentes avaient besoin d'un nom : un domaine enregistré, un certificat émis, VLESS ou Trojan derrière. Cela tient jusqu'à ce qu'un censeur sonde votre IP et découvre un domaine esseulé, un seul visiteur et un certificat vieux d'une semaine — à ce moment-là, le blocage n'est plus une hypothèse mais une confirmation. Reality supprime le nom : votre serveur relaie toute poignée de main qu'il ne peut authentifier vers un site réel, qui répond avec son propre certificat.
- Aucun domaine, aucun certificat : rien dans le DNS ni dans un journal de transparence ne pointe vers votre serveur.
- Le sondage actif échoue par conception : un sondeur sans la clé obtient le véritable site de camouflage.
- Le trafic circule sur le port 443, à l'intérieur d'une vraie session TLS 1.3, la catégorie la plus banale qui soit en ligne.
- Le client imite l'empreinte TLS d'un navigateur via uTLS, si bien que la poignée de main ne révèle aucun proxy.
Il faut être précis sur les limites de cette protection ; les surestimer est exactement ce qui fait se faire prendre. Un observateur voit votre IP, l'IP du serveur, le port 443 et le nom du site que vous imitez — l'allure d'une visite réelle à ce site. Ce qui reste visible, c'est la forme : une longue session unique vers une seule IP étrangère, huit heures par jour, reste inhabituel quel que soit le protocole qui la porte. Reality déjoue l'identification de protocole et le sondage actif, pas l'analyse de trafic — et ce n'est pas de l'anonymat.
Règle empirique : Reality répond à la question « quel est ce protocole ? ». Elle ne répond pas à la question « pourquoi cette personne parle-t-elle à cette IP toute la journée ? ». C'est du camouflage, pas une cape d'invisibilité.
Ce qu'il vous faut avant de configurer Xray sur un VPS
Choisir un emplacement, et payer sans identité
Deux variables déterminent la solidité du dispositif : où se trouve la machine, et si son achat peut remonter jusqu'à vous. Pour la rapidité, choisissez le pays le plus proche qui ne filtre pas. Pour la durabilité, choisissez une juridiction qui ne livrera pas le serveur sur simple demande. Comparez les régions sur /locations, et consultez /offshore-hosting pour comprendre ce que change la juridiction.
ChainVPS exploite 15 emplacements, dont six classés privacy-tier : Pays-Bas, Suisse, Roumanie, Islande, Moldavie et Luxembourg. Les offres démarrent à $3.49/mo pour 1 vCPU, 1 Go de DDR5 et 20 Go de NVMe Gen4, avec bande passante illimitée, protection DDoS et déploiement en moins de 60 secondes. Les soldes se rechargent avec sept cryptomonnaies : Bitcoin, Monero, Ethereum, Litecoin, USDT, TRON ou Solana. La grille tarifaire est sur /vps, la politique sur /no-kyc-vps, le flux de recharge sur /pay-with.
Si ce tunnel existe parce qu'en utiliser un là où vous vivez est sensible, la trace du paiement mérite autant de soin que le protocole : un relevé de carte mentionnant un hébergeur survit au serveur pendant des années. /pay-with-monero est la voie la plus privée.
Installer Xray sur le VPS avec le panneau 3x-ui
Vous pouvez faire tourner Xray-core directement depuis son propre config.json, et si vous êtes à l'aise avec ça, faites-le. Pour la plupart des gens, 3x-ui est le meilleur choix : il génère la paire de clés, construit les liens client et les codes QR, gère les utilisateurs, et installe Xray comme unité systemd.
- 1
Durcir en premier, pas en dernier
apt update && apt full-upgrade -y, créez un utilisateur sudo, installez votre clé SSH, puis réglez PasswordAuthentication no et PermitRootLogin no — avant que quoi que ce soit n'écoute sur le port 443.
- 2
Installer le panneau
En root : bash <(curl -Ls https://raw.githubusercontent.com/MHSanaei/3x-ui/master/install.sh). Le script récupère Xray-core, enregistre un service systemd, et demande des identifiants, un port et un chemin d'URL. Acceptez ceux générés aléatoirement — les scanners recherchent le classique 54321 sur une machine vierge.
- 3
Accéder au panneau via SSH
Redirigez-le au lieu de l'exposer : ssh -L 2053:127.0.0.1:PANELPORT vers le serveur, puis ouvrez 127.0.0.1:2053 en local. Le panneau n'a jamais besoin d'une connexion entrante.
- 4
Créer l'inbound
Inbounds, Add Inbound : protocole VLESS, port 443, Security réglé sur Reality. Laissez le transport en TCP brut — avec le flow Vision, c'est le plus rapide et le moins reconnaissable.
Générer la paire de clés Reality et choisir un domaine de camouflage
Reality repose sur deux choix : une paire de clés x25519 et le site que vous imitez. Le panneau génère la paire en un clic ; sur Xray nu, la commande est xray x25519. La clé privée ne quitte jamais le serveur, la clé publique se retrouve dans chaque lien client accompagnée d'un short ID. La cible de camouflage — Dest et SNI dans le panneau — est ce qui fait bloquer les gens.
- Il doit prendre en charge TLS 1.3 avec X25519, et idéalement HTTP/2. Reality ne peut pas emprunter une poignée de main qu'il ne sait pas parler.
- Il ne doit pas être bloqué là où se trouvent vos utilisateurs — imiter un site que votre propre censeur filtre déjà ruine l'exercice.
- Il doit être plausiblement proche de votre serveur. Une machine à Amsterdam qui imite un nom ne résolvant que vers des datacenters asiatiques est une anomalie.
- Préférez quelque chose d'ordinaire, et revérifiez-le tous les mois. Les listes de « dest recommandés » qui circulent sur les forums sont justement échantillonnées par les censeurs parce qu'elles circulent.
Règle d'or pour choisir un dest : un endroit où votre serveur pourrait plausiblement se trouver, joignable depuis partout où sont vos utilisateurs, et totalement ennuyeux. L'ennui est l'objectif.
Construire le lien client et connecter vos appareils
Le panneau produit une URI vless:// et un code QR par client. Les paramètres qui comptent sont la clé publique (pbk), le short ID (sid), le SNI, l'empreinte uTLS (fp, où chrome est un choix par défaut sûr) et le flow, qui est xtls-rprx-vision sur un inbound TCP.
Android
v2rayNG ou Hiddify. Scannez le code QR directement depuis le panneau — aucune configuration manuelle.
iOS
Shadowrocket, Streisand ou Foxray. Les trois lisent le même lien vless://, paramètres Reality compris.
Windows et macOS
v2rayN, NekoRay ou Hiddify. Collez le lien et le client remplit lui-même chaque champ.
Linux
NekoRay pour une interface graphique, ou Xray-core en mode client avec les mêmes paramètres dans config.json.
Verrouiller le panneau pour qu'il ne soit pas le maillon faible
Un inbound Reality correctement configuré est une cible difficile. Un panneau sur un port prévisible, protégé par un mot de passe réutilisé, ne l'est pas — et il détient toutes les clés de la machine. La plupart des serveurs Xray compromis le sont via le panneau, pas via le protocole.
- Gardez le panneau sur loopback, accessible via un tunnel SSH. S'il doit être public : port élevé aléatoire, chemin long et aléatoire, certificat réel.
- Remplacez les identifiants générés par l'installeur par une phrase de passe que vous n'avez utilisée nulle part ailleurs.
- Faites tourner un pare-feu en refus par défaut : 443/tcp et votre port SSH, rien d'autre. La checklist complète est sur /guides.
- Donnez à chaque appareil sa propre entrée client plutôt qu'un UUID partagé, pour pouvoir en révoquer un seul.
- Mettez à jour Xray-core et le panneau régulièrement, et prenez un instantané (snapshot) une fois que tout fonctionne.
Vérifier le camouflage, et rester débloqué
Ne présumez pas que le déguisement tient. Trois vérifications vous le diront.
- Demandez à openssl le nom de camouflage : openssl s_client -connect YOUR.SERVER.IP:443 -servername your-chosen-domain.example. Vous devriez obtenir la vraie chaîne de certificats de ce site ; un certificat auto-signé ou une erreur signifie que Reality ne fonctionne pas.
- Visitez l'IP brute en HTTPS dans un navigateur. Un inconnu devrait atterrir sur quelque chose de banal, jamais sur un écran de connexion au panneau.
- Sur le serveur, ss -tulpn devrait montrer xray sur le port 443, et rien d'inattendu.
Reality a de l'avance aujourd'hui, ce qui est un constat sur le présent, pas une promesse pour toujours. Quand le blocage finit par arriver, il vient généralement d'ailleurs que la détection de protocole : réputation d'IP, blocage à l'échelle d'un ASN entier, ou simplement le constat qu'une seule ligne déplace beaucoup de données vers un seul hôte.
- Gardez un second protocole installé et inactif — un point de terminaison WireGuard sur un port UDP ne coûte rien et constitue votre solution de repli instantanée.
- Gardez la configuration privée. Les points de terminaison partagés dans des groupes publics finissent collectés puis bloqués ; c'est ainsi que la plupart meurent.
- Si l'IP est bloquée, reconstruisez plutôt que de vous battre contre elle. /cheapest-no-kyc-vps permet de garder une région de secours à bas coût.
- Disponibilité et visibilité sont deux problèmes distincts : /ddos-protection garde la machine joignable, Reality la garde inintéressante.
Xray, WireGuard, Shadowsocks ou un pont Tor
Reality est le bon choix par défaut face à un filtrage agressif, mais chaque alternative garde son terrain de prédilection. Beaucoup de gens en font tourner deux : une seule instance de 1 Go héberge sans peine un inbound Reality sur le port 443 et un point de terminaison WireGuard en UDP.
Xray avec VLESS et Reality
Le plus robuste face à l'inspection approfondie des paquets et au sondage actif, sans besoin de domaine. Le prix à payer : davantage de pièces mobiles.
WireGuard
Le plus rapide et le plus simple, intégré au noyau, avec des clients triviaux partout. Sa poignée de main est facile à identifier, donc c'est le mauvais choix là où les VPN sont bloqués. Voir /host.
Shadowsocks
Un proxy chiffré léger qui a survécu à des années de filtrage modéré. Plus simple que Xray, plus faible face à un sondeur déterminé.
Pont Tor
Pas un tunnel personnel mais un bien public : un point d'entrée non répertorié dans le réseau Tor. Tourne aux côtés du vôtre sur /tor-vps.
Reality fonctionne-t-elle vraiment sans aucun nom de domaine ?
Oui — c'est son principal avantage face à VLESS avec TLS ou à Trojan. Reality emprunte le certificat d'un site qui ne vous appartient pas, donc rien dans le DNS ni dans un journal de transparence ne relie un nom à votre serveur.
Xray avec Reality est-il meilleur qu'un VPN commercial ?
Face à un filtrage agressif, généralement oui : une IP privée que personne d'autre n'utilise est bien plus difficile à mettre sur liste noire qu'une plage VPN partagée. Pour une confidentialité occasionnelle sans configuration, une application commerciale demande moins d'efforts.
De quelle puissance de serveur un tunnel Reality a-t-il besoin ?
Une instance 1 vCPU / 1 Go suffit pour une personne ou un petit groupe ; la limite, c'est la bande passante, pas le nombre de cœurs. Les offres d'entrée sur /offshore-vps démarrent à $3.49/mo avec un trafic illimité.
Pourquoi payer en cryptomonnaie pour un serveur de contournement ?
Parce que la trace du paiement survit au serveur et en est souvent le maillon le plus faible. Un solde prépayé garde la machine dissociée de vous : /pay-with-monero est la voie la plus privée, /pay-with-bitcoin la plus largement répandue, /crypto-vps couvre l'ensemble du flux.
Que faire si l'IP de mon serveur est bloquée ?
Reconstruisez sur une IP neuve. Reality n'offre aucune protection contre un blocage massif d'IP ou d'ASN, et aucun protocole ne le fait. Un solde prépayé sans KYC ramène cette opération à quelques minutes — /monero-vps et /best-offshore-vps recensent les options.
Faire tourner Xray est-il légal ?
Auto-héberger un proxy ou un VPN est normal et légitime dans la plupart des pays. Quelques juridictions restreignent spécifiquement les outils de contournement, et certaines visent l'utilisateur plutôt que l'opérateur. Ce guide couvre le comment, pas le conseil juridique.
