3x-uiでVPSにXray(VLESS + Reality)をセットアップする方法

Realityはディープパケットインスペクション(DPI)に対する現時点での答えであり、自分自身のアイデンティティを持つことを拒否することで機能します。登録したドメイン用に購入した証明書を提示する代わりに、サーバーは実在のウェブサイトのハンドシェイクを中継します。ここではVPSにXrayをセットアップする方法と、人々がよく間違えるポイントを解説します。

検閲下のネットワークにおいて、なぜRealityがゲームチェンジャーとなったのか

それ以前のスタックはすべて「名前」を必要としていました。登録したドメイン、発行した証明書、その裏にあるVLESSやTrojan。しかしこれは、検閲者があなたのIPをプローブし、訪問者が1人しかいない発行から1週間の証明書を持つ寂しいドメインを見つけるまでしか通用しません。その時点でブロックはもはや推測ではなく確認になります。Realityはこの「名前」を取り除きます。サーバーは認証できないハンドシェイクをすべて実在のサイトへ中継し、そのサイトが自身の証明書で応答するのです。

• ドメインも証明書も不要 — DNSにもCertificate Transparencyログにも、あなたのサーバーを指し示すものは何もありません。
• アクティブプロービングは仕組み上失敗します。鍵を持たないプローバーには本物のカモフラージュサイトが返されるだけです。
• トラフィックはポート443上の本物のTLS 1.3セッションの中に収まります。ネット上で最も目立たない部類です。
• クライアントはuTLSを通じてブラウザのTLSフィンガープリントを模倣するため、ハンドシェイクからプロキシの存在は分かりません。

この境界線は正確に理解しておく必要があります。過大評価することが、人が捕まる原因になります。観測者に見えるのは、あなたのIP、サーバーのIP、ポート443、そして模倣先サイトの名前 — つまり本当にそのサイトを訪れた場合と同じ見た目です。それでも残る可視性は「形」です。1つの海外IPに対して1日8時間も続く長時間セッションは、何が運んでいようと異様に映ります。Realityが打ち破るのはプロトコルフィンガープリンティングとアクティブプロービングであり、トラフィック解析ではありません。そしてこれは匿名性ではありません。

VPSにXrayをセットアップする前に必要なもの

ロケーションの選び方と、身元を明かさずに支払う方法

これがどれだけ通用するかを決める変数は2つあります。サーバーがどこにあるか、そしてそれを購入したことがあなたに紐づくかどうかです。速度を優先するなら、フィルタリングをしていない最寄りの国を選びましょう。耐久性を優先するなら、要請されてもサーバーを引き渡さない法域を選びましょう。地域の比較は/locationsで、法域によって何が変わるかは/offshore-hostingで確認できます。

ChainVPSは15拠点を運営しており、そのうち6拠点がプライバシー階層(オランダ、スイス、ルーマニア、アイスランド、モルドバ、ルクセンブルク)です。プランは1 vCPU、1GBのDDR5、20GBのNVMe Gen4構成で$3.49/moから。帯域幅は無制限、DDoS保護付きで、デプロイは60秒未満です。残高はBitcoin、Monero、Ethereum、Litecoin、USDT、TRON、Solanaの7種類のコインでチャージできます。プラン一覧は/vps、ポリシーは/no-kyc-vps、チャージ方法は/pay-withをご覧ください。

3x-uiパネルを使ってVPSにXrayをインストールする

Xray-coreを独自のconfig.jsonから直接運用することも可能で、それに慣れているならそうしてください。ただしほとんどの人にとっては3x-uiの方が良い選択です。鍵ペアの生成、クライアントリンクとQRコードの作成、ユーザー管理を行い、Xrayをsystemdユニットとしてインストールしてくれます。

1. 1

   堅牢化は最初に、最後にではなく

   apt update && apt full-upgrade -y を実行し、sudoユーザーを作成し、SSH鍵を導入したうえで、PasswordAuthentication no と PermitRootLogin no を設定します — これをポート443で何かがリッスンし始める前に行ってください。

2. 2

   パネルをインストールする

   rootとして bash <(curl -Ls https://raw.githubusercontent.com/MHSanaei/3x-ui/master/install.sh) を実行します。Xray-coreを取得し、systemdサービスを登録したうえで、認証情報・ポート・URLパスの入力を求められます。提示されるランダムな値をそのまま採用してください — スキャナーは素のrootにありがちな定番の54321番ポートを探しています。

3. 3

   SSH経由でパネルにアクセスする

   パネルを公開する代わりにフォワーディングしましょう。サーバーに対して ssh -L 2053:127.0.0.1:PANELPORT を実行し、ローカルで 127.0.0.1:2053 を開きます。パネルにインバウンド接続は一切不要になります。

4. 4

   インバウンドを作成する

   Inbounds画面でAdd Inboundを選び、プロトコルはVLESS、ポートは443、SecurityはRealityに設定します。トランスポートは生のTCPのままにしておきましょう — Visionフローと組み合わせると最速かつ最も目立ちません。

Realityの鍵ペアを生成し、カモフラージュ用ドメインを選ぶ

Realityは2つの選択に支えられています。x25519の鍵ペアと、模倣する対象サイトです。鍵ペアはパネル上でワンクリックで生成でき、素のXrayでは xray x25519 コマンドで生成します。秘密鍵はサーバーから外に出ることはなく、公開鍵はショートIDとともにすべてのクライアントリンクに組み込まれます。カモフラージュの対象 — パネル上のDestとSNI — こそが、ブロックされる原因になりがちな部分です。

• X25519対応のTLS 1.3、できればHTTP/2にも対応している必要があります。Realityは自分が話せないハンドシェイクを借用することはできません。
• 利用者がいる場所でブロックされていないことが必須です — 自国の検閲者がフィルタリングしているサイトを模倣しては意味がありません。
• サーバーの所在地から見て、違和感のない場所であるべきです。アムステルダムにあるサーバーが、アジアのデータセンターにしか名前解決されないサイトを模倣していれば、それ自体が異常として目立ちます。
• 何の変哲もないものを選び、月に一度は再確認しましょう。フォーラムに出回る「おすすめのdest」リストは、まさに広く出回っているという理由で検閲者にサンプリングされます。

クライアントリンクを作成し、デバイスを接続する

パネルはクライアントごとに vless:// のURIとQRコードを生成します。重要なパラメーターは公開鍵(pbk)、ショートID(sid)、SNI、uTLSフィンガープリント(fp。デフォルトはchromeが無難です)、そしてTCPインバウンドでは xtls-rprx-vision となるflowです。

パネルを弱点にしないためのロックダウン

正しく設定されたRealityインバウンドは攻略が困難な標的です。しかし予測可能なポート上で使い回しのパスワードに守られたパネルはそうではなく、しかもそこにはマシン上のすべての鍵が保管されています。侵害されたXrayサーバーの多くは、プロトコルではなくパネル経由で失陥しています。

• パネルはループバックに留め、SSHトンネル経由でアクセスしましょう。どうしても公開が必要な場合は、ランダムな高番ポート、長いランダムなURLパス、本物の証明書を用意してください。
• インストーラーが発行した認証情報は、他のどこでも使っていないパスフレーズに置き換えましょう。
• デフォルト拒否のファイアウォールを運用し、443/tcpとSSHポート以外は一切開けないようにしましょう。詳しいチェックリストは/guidesにあります。
• すべてのデバイスに共有の1つのUUIDではなく、それぞれ専用のクライアントエントリを割り当てましょう。そうすれば1台だけを個別に無効化できます。
• Xray-coreとパネルは定期的に更新し、正常に動作している状態でスナップショットを取っておきましょう。

カモフラージュを検証し、ブロックされない状態を維持する

偽装が通用しているとは決め込まないでください。次の3つのチェックで確認できます。

• opensslでカモフラージュ名を確認します。openssl s_client -connect YOUR.SERVER.IP:443 -servername your-chosen-domain.example を実行し、そのサイトの本物の証明書チェーンが返ってくるはずです。自己署名証明書やエラーが返る場合はRealityが正しく機能していません。
• ブラウザで生のIPアドレスにHTTPSでアクセスしてみましょう。見知らぬ訪問者には何の変哲もないページが表示されるべきで、パネルのログイン画面が出てはいけません。
• サーバー上で ss -tulpn を実行すると、443番でxrayが動いていることだけが表示され、それ以外に予期しないものは何もないはずです。

Realityは今のところ優位に立っていますが、それは「永遠に」ではなく「現時点で」という話にすぎません。実際にブロックされる場合、その原因はたいていプロトコル検出以外の要因です。IPレピュテーション、ASN単位での一括ブロック、あるいは1本の回線が1台のホストへ大量のデータを送っているという観測などです。

• 予備のプロトコルをインストールしたまま待機させておきましょう。UDPポート上のWireGuardエンドポイントはコストがかからず、即座に使えるフォールバックになります。
• 設定は非公開にしておきましょう。公開グループに共有されたエンドポイントは収集されてブロックされます — ほとんどはこうして寿命を終えます。
• IPがブロックされたら、それと戦うのではなく作り直しましょう。/cheapest-no-kyc-vpsを使えば予備のリージョンを安く確保できます。
• 可用性と可視性は別の問題です。/ddos-protectionはサーバーへの到達性を守り、Realityはそのサーバーを興味の対象にさせないようにします。

Xray、WireGuard、Shadowsocks、それともTorブリッジか

厳しいフィルタリング下ではRealityが妥当なデフォルトですが、他の選択肢にもそれぞれ優位な場面があります。多くの人は2つを併用しています。1GBのインスタンス1台でも、443番のRealityインバウンドとUDP上のWireGuardエンドポイントを無理なく両方運用できます。