Cara Menyiapkan Xray (VLESS + Reality) di VPS dengan 3x-ui

Reality adalah jawaban terkini untuk deep-packet inspection, dan cara kerjanya adalah dengan menolak memiliki identitas sendiri. Alih-alih menampilkan sertifikat yang Anda beli untuk domain yang Anda daftarkan, server Anda meneruskan handshake dari sebuah situs sungguhan. Berikut cara menyiapkan Xray di VPS, dan bagian-bagian yang sering salah dilakukan orang.

Mengapa Reality mengubah segalanya bagi jaringan yang tersensor

Setiap stack sebelumnya butuh sebuah nama: domain yang Anda daftarkan, sertifikat yang Anda terbitkan, dengan VLESS atau Trojan di baliknya. Itu bertahan sampai lembaga sensor melakukan probing terhadap IP Anda dan menemukan domain sepi dengan satu pengunjung dan sertifikat berumur seminggu — dan pada titik itu, pemblokiran bukan lagi sekadar tebakan, melainkan konfirmasi. Reality menghilangkan nama itu: server Anda meneruskan setiap handshake yang tidak bisa diautentikasinya ke situs sungguhan, yang menjawab dengan sertifikatnya sendiri.

• Tanpa domain dan tanpa sertifikat — tidak ada apa pun di DNS atau transparency log yang menunjuk ke server Anda.
• Probing aktif gagal by design: pihak yang melakukan probing tanpa key hanya akan mendapatkan situs kamuflase yang asli.
• Traffic-nya berada di port 443 di dalam sesi TLS 1.3 sungguhan, kelas lalu lintas paling membosankan yang ada online.
• Klien meniru TLS fingerprint sebuah browser lewat uTLS, sehingga handshake-nya tidak membocorkan adanya proxy.

Bersikaplah presisi soal batasnya; melebih-lebihkannya adalah cara orang tertangkap. Seorang pengamat melihat IP Anda, IP server, port 443, dan nama situs yang Anda tiru — persis seperti tampilan kunjungan sungguhan ke situs itu. Yang tetap terlihat adalah bentuknya: satu sesi panjang ke satu IP asing selama delapan jam sehari itu tidak wajar, apa pun protokol yang membawanya. Reality mengalahkan protocol fingerprinting dan probing aktif, bukan analisis lalu lintas, dan ini bukan anonimitas.

Apa yang Anda butuhkan sebelum menyiapkan Xray di VPS

Memilih lokasi, dan membayar tanpa identitas

Dua variabel yang menentukan seberapa kuat semua ini bertahan: di mana server itu berada, dan apakah pembeliannya bisa dilacak kembali ke Anda. Untuk kecepatan, pilih negara terdekat yang tidak memfilter. Untuk ketahanan, pilih yurisdiksi yang tidak akan menyerahkan server begitu diminta. Bandingkan region di /locations, dan lihat /offshore-hosting untuk memahami apa yang berubah karena yurisdiksi.

ChainVPS mengoperasikan 15 lokasi, enam di antaranya privacy-tier: the Netherlands, Switzerland, Romania, Iceland, Moldova dan Luxembourg. Paket mulai dari $3.49/mo untuk 1 vCPU, 1 GB DDR5 dan 20 GB NVMe Gen4, dengan bandwidth unmetered, proteksi DDoS, dan deployment di bawah 60 detik. Saldo diisi dengan 7 koin: Bitcoin, Monero, Ethereum, Litecoin, USDT, TRON, atau Solana. Daftar paketnya ada di /vps, kebijakannya di /no-kyc-vps, alur top up di /pay-with.

Menginstal Xray di VPS dengan panel 3x-ui

Anda bisa menjalankan Xray-core langsung dari config.json miliknya sendiri, dan jika Anda sudah nyaman di situ, silakan lakukan. Untuk kebanyakan orang, 3x-ui adalah pilihan yang lebih tepat: ia membuat pasangan key, menyusun link klien dan kode QR, mengelola user, dan menginstal Xray sebagai unit systemd.

1. 1

   Hardening dulu, bukan belakangan

   apt update && apt full-upgrade -y, buat user sudo, pasang SSH key Anda, lalu atur PasswordAuthentication no dan PermitRootLogin no — sebelum ada apa pun yang listening di 443.

2. 2

   Instal panelnya

   Sebagai root: bash <(curl -Ls https://raw.githubusercontent.com/MHSanaei/3x-ui/master/install.sh). Perintah ini mengambil Xray-core, mendaftarkan systemd service, dan meminta kredensial, port, serta URL path. Terima saja nilai acak yang ditawarkannya — scanner mencari port klasik 54321 di server root polosan.

3. 3

   Akses panel lewat SSH

   Forward saja, jangan diekspos: ssh -L 2053:127.0.0.1:PANELPORT ke server, lalu buka 127.0.0.1:2053 secara lokal. Panel ini tidak pernah butuh koneksi inbound.

4. 4

   Buat inbound-nya

   Inbounds, Add Inbound: protocol VLESS, port 443, Security diatur ke Reality. Biarkan transport-nya di raw TCP — dengan Vision flow, ini yang tercepat dan paling tidak menonjol.

Membuat pasangan key Reality dan memilih domain kamuflase

Reality bergantung pada dua pilihan: pasangan key x25519 dan situs yang Anda tiru. Panelnya membuat pasangan itu hanya dengan satu klik; pada Xray polos, perintahnya adalah xray x25519. Private key tidak pernah meninggalkan server, public key masuk ke setiap link klien bersama sebuah short ID. Target kamuflase — Dest dan SNI di panel — adalah bagian yang paling sering membuat orang terblokir.

• Harus mendukung TLS 1.3 dengan X25519, dan idealnya HTTP/2. Reality tidak bisa meminjam handshake yang tidak bisa ia bicarakan sendiri.
• Tidak boleh diblokir di tempat pengguna Anda berada — meniru situs yang justru difilter oleh lembaga sensor Anda sendiri hanya akan menggagalkan seluruh usaha ini.
• Sebaiknya masuk akal untuk berada dekat dengan server Anda. Server di Amsterdam yang meniru nama yang hanya resolve ke datacenter di Asia adalah sebuah anomali.
• Utamakan sesuatu yang biasa-biasa saja, dan periksa ulang setiap bulan. Daftar "dest yang direkomendasikan" di forum-forum justru disampling oleh lembaga sensor, karena daftar itu beredar luas.

Membuat link klien dan menghubungkan perangkat Anda

Panel menghasilkan URI vless:// dan kode QR untuk setiap klien. Parameter yang penting adalah public key (pbk), short ID (sid), SNI, uTLS fingerprint (fp, di mana chrome adalah default yang aman) dan flow, yaitu xtls-rprx-vision pada inbound TCP.

Mengunci panel supaya tidak menjadi titik lemah

Inbound Reality yang dikonfigurasi dengan benar adalah target yang sulit ditembus. Panel di port yang mudah ditebak dan dilindungi password yang dipakai ulang, tidak — dan panel itu menyimpan setiap key di mesin tersebut. Kebanyakan server Xray yang berhasil dibobol, jebol lewat panelnya, bukan lewat protokolnya.

• Jaga panel tetap di loopback, diakses lewat SSH tunnel. Jika harus publik: high port acak, path acak yang panjang, dan sertifikat asli.
• Ganti kredensial bawaan installer dengan passphrase yang belum pernah Anda pakai di tempat lain.
• Jalankan firewall default-deny: 443/tcp dan port SSH Anda, tidak ada yang lain. Checklist lengkapnya ada di /guides.
• Berikan setiap perangkat entry klien-nya masing-masing, alih-alih satu UUID yang dipakai bersama, supaya Anda bisa mencabut satu saja tanpa mengganggu yang lain.
• Update Xray-core dan panelnya secara berkala, dan buat snapshot begitu semuanya berjalan baik.

Memverifikasi kamuflase, dan tetap tidak terblokir

Jangan asumsikan penyamarannya pasti berhasil. Tiga pemeriksaan berikut akan memastikannya.

• Minta openssl memeriksa nama kamuflasenya: openssl s_client -connect YOUR.SERVER.IP:443 -servername your-chosen-domain.example. Anda seharusnya mendapatkan certificate chain asli milik situs itu; sertifikat self-signed atau error berarti Reality tidak berfungsi.
• Kunjungi raw IP-nya lewat HTTPS di browser. Orang asing yang mengunjunginya seharusnya mendarat di sesuatu yang biasa-biasa saja, bukan halaman login panel.
• Di server, ss -tulpn seharusnya menunjukkan xray di 443 dan tidak ada apa pun yang tidak terduga.

Reality unggul hari ini, dan itu pernyataan soal masa kini, bukan selamanya. Ketika pemblokiran datang, biasanya bukan dari deteksi protokol, melainkan dari sumber lain: reputasi IP, pemblokiran satu ASN secara penuh, atau pengamatan bahwa satu jalur memindahkan banyak sekali data ke satu host.

• Siapkan protokol kedua yang terinstal dan menganggur — endpoint WireGuard di sebuah port UDP tidak ada biayanya dan menjadi fallback instan Anda.
• Jaga konfigurasinya tetap privat. Endpoint yang dibagikan ke grup publik akan dikumpulkan lalu diblokir; begitulah kebanyakan endpoint berakhir.
• Jika IP-nya diblokir, bangun ulang saja, jangan mencoba melawannya. /cheapest-no-kyc-vps menjaga region cadangan tetap murah.
• Ketersediaan dan visibilitas adalah dua masalah yang terpisah: /ddos-protection menjaga server tetap bisa dijangkau, Reality menjaganya tetap tidak menarik perhatian.

Xray, WireGuard, Shadowsocks, atau Tor bridge

Reality adalah pilihan default yang tepat di bawah pemfilteran yang agresif, tapi setiap alternatif tetap unggul di kondisi tertentu. Banyak orang menjalankan dua sekaligus: satu instance 1 GB bisa menampung inbound Reality di 443 dan endpoint WireGuard di UDP tanpa terbebani.