VLESS mit Reality: Wie Xray den TLS-Handshake einer echten Website entlehnt

VLESS ist ein zustandsloses Proxy-Protokoll aus dem Xray-Projekt, das einen Client anhand einer UUID identifiziert und selbst keine Verschlüsselung vornimmt; Reality ist eine modifizierte TLS-1.3-Schicht darum herum, die Handshake und Zertifikat einer echten Website eines Dritten präsentiert, sodass keine eigene Domain nötig ist. Ein Client mit dem richtigen x25519-Schlüssel und shortId erreicht den Proxy; alle anderen, einschließlich Sondierungsanfragen von Zensoren, werden an die echte Website weitergeleitet.

VLESS, die dünne Schicht, die die Verschlüsselung an TLS überträgt

Ein VLESS-Client sendet einen schlanken Header, der ihn anhand einer UUID identifiziert, und der Server leitet den Stream weiter. Das Verschlüsselungsfeld in der Konfiguration lautet wörtlich „none“: Die Vertraulichkeit liegt bei der TLS- oder Reality-Schicht um das Protokoll herum. VLESS stammt aus der V2Ray-Familie, bei der das ältere VMess eine eingebaute Verschlüsselung mitbrachte, und verzichtet darauf, um eine doppelte Verschlüsselung zu vermeiden. Es ist selbst kein VPN-Dienst: Apps nutzen es als Proxy oder im TUN-Modus, der den gesamten Datenverkehr des Geräts weiterleitet.

Wie Reality den Handshake einer echten Website ausleiht

Der Betreiber wählt eine Ziel-Website aus, eine populäre Ressource, mit der der Server nichts zu tun hat. Der Client sendet die Domain dieser Website im SNI-Feld, und der Server präsentiert ihr einen echten TLS-1.3-Handshake; die erlaubten Namen des Servers müssen zu Namen auf dem echten Zertifikat des Ziels passen. Kein Domain-Kauf, keine Zertifikatsausstellung.

Die Authentifizierung beruht auf einem Schlüsselpaar: Der Server besitzt einen privaten x25519-Schlüssel, der Client die passende öffentliche Hälfte (in aktuellen Xray-Builds „password“ genannt, früher „publicKey“; die Xray-Dokumentation warnt davor, sie zu veröffentlichen). Der Client sendet außerdem eine der vom Server erlaubten shortIds mit bis zu 16 hexadezimalen Zeichen, eine leere nur, wenn der Server sie aufführt. Wenn beides passt, erhält der Client ein temporäres Zertifikat, das mit einem temporären Authentifizierungsschlüssel signiert ist, und bekommt Zugang zum Proxy; eine Probe ohne diese landet auf der echten Website. Ein Client, dem das echte Zertifikat gezeigt wird, durchsucht das Ziel wie ein Crawler, statt sich zu verbinden.

Warum Zensoren es schwer haben, es zu blockieren

Eine Blockade der ausgeliehenen Domain schadet jedem normalen Besucher, und der Betreiber besitzt nichts, was man auf eine Sperrliste setzen könnte. Laut REALITY-Projekt entfernt das Schema den TLS-Fingerprint auf Serverseite, bewahrt Forward Secrecy und widersteht Angriffen auf die Zertifikatskette; der X25519MLKEM768-Austausch wird automatisch verwendet, wenn das Ziel ihn unterstützt.

XTLS Vision und die Transports, auf denen Reality läuft

Leitet man HTTPS durch einen TLS-getunnelten Proxy, landet eine verschlüsselte Sitzung in einer anderen – ein Muster, das die DPI aufspürt. Der xtls-rprx-vision-Flow polstert die verräterischen frühen Handshake-Records auf und leitet die inneren verschlüsselten Daten direkt weiter; laut Xray-Dokumentation kann Reality mit Vision um ein Vielfaches schneller sein. Beide Enden müssen denselben Flow einstellen, sonst verbindet sich nichts. Andere Protokolle innerhalb von Reality sind möglich, von ihrer Verwendung wird jedoch abgeraten, weil sie das auffällige TLS-in-TLS-Muster wiederherstellen. Als Transports sind nur RAW (einfaches TCP), XHTTP und gRPC möglich: WebSocket entfällt, womit eine Tarnung hinter einem CDN auf diesem Weg wegfällt.

Wo die Tarnung versagt

Reality verändert den Handshake, nicht die IP oder das Hosting-Netzwerk des Servers: Sobald die IP auf einer Sperrliste landet, hilft keine Konfiguration, und Netzwerke, die nur freigegebene IP-Bereiche durchlassen (wie aus Mobilfunknetzen einiger russischer Regionen berichtet), blockieren den Zugriff auf einen gemieteten VPS bereits, bevor das SNI gelesen wird. Auch SNI-Freigabelisten verhindern die Verbindung, sofern der verwendete Domainname nicht auf der Liste steht. Eine bekannte Domain auf einer bescheidenen Hosting-IP weit entfernt vom Netzwerk dieser Marke ist ein Missverhältnis, das auffällt – deshalb empfiehlt das Projekt ein Ziel im selben Netzwerk oder derselben ASN. Die uTLS-Imitation altert mit der Bibliothek, und eine Chrome-Begrüßung von einem Gerät, auf dem nie Chrome läuft, fällt auf. Nutzer im Iran berichten von Blockaden nach intensiver gemeinsamer Nutzung, und Berichte aus Russland beschreiben Blockaden, die auf TLS 1.3 an Port 443 abzielen; betrachten Sie diese als Berichte, nicht als Messungen. Richtet man Reality auf eine Website hinter einem großen CDN, macht man seinen Server zu einem offenen Relay für dieses CDN, da fehlgeschlagene Verbindungen dorthin weitergeleitet werden.

VLESS Reality unter den VPN-Diensten

Von 371 Diensten im VPNRadarLab-Hauptranking geben 24 VLESS-/Reality-Unterstützung an, 104 erklären, sie nicht anzubieten, und 249 veröffentlichen dazu nichts (nicht offengelegt, kein „Nein“). Das Ranking Dienste, die VLESS Reality nutzen führt Anbieter, Clients und Panels wie Xray-core, v2rayN und 3X-UI auf. Trojan, NaiveProxy, Shadowsocks und Hysteria2 lösen dasselbe Tarnungsproblem auf andere Weise, und weitere Wege, einen Tunnel zu verbergen, werden im Glossar verglichen; die offizielle Referenz zu den Reality-Einstellungen dokumentiert jedes Feld.

VLESS-Reality-FAQ

Benötige ich eine eigene Domain für Reality?

Nein, das Zertifikat stammt von der Ziel-Website, die Sie ausgewählt haben.

Sollte der öffentliche Reality-Schlüssel geheim bleiben?

Ja. Xray behandelt ihn wie ein Geheimnis, da der Schlüssel plus eine gültige shortId den Zugang gewährt.

Kann Reality hinter einem CDN laufen?

Nein. Ein CDN beendet die TLS-Sitzung selbst, und WebSocket-Transports werden nicht unterstützt.

Welche Website eignet sich als Reality-Ziel?

Eine ausländische Website mit TLS 1.3 und HTTP/2, ohne Redirects, idealerweise im selben Netzwerk wie Ihr Server.

VLESS Reality auf einen Blick

VLESS transportiert Datenverkehr und prüft die Identität, Reality tarnt ihn als Besuch einer echten Website, Vision maskiert verschachteltes TLS. Es übersteht SNI-Filter und Sondierungsanfragen und verliert gegen IP-Blockaden und Freigabelisten.