Deutsch
VLESS + Reality Anleitung: Sichere Proxy-Einrichtung
Schlüsselbegriffe
Bevor Sie mit der Einrichtung beginnen, finden Sie hier die wichtigsten Begriffe, die in dieser Anleitung wahrscheinlich erläutert werden müssen.
| Schlüsselbegriff | Definition |
|---|---|
| 🔐 VLESS | Ein leichtgewichtiges Proxy-Protokoll aus dem V2Ray/Xray-Ökosystem, das Benutzer mit einer UUID authentifiziert und häufig mit modernen Stealth-Transports wie Reality kombiniert wird. |
| 🔀 Proxy vs VPN | Ein Proxy leitet normalerweise Anwendungsdatenverkehr über einen Server weiter, während ein traditionelles VPN typischerweise einen vollständigen virtuellen Netzwerk-Tunnel für das Gerät oder System erstellt. |
| 🎭 Reality | Ein Stealth-Transport-Mechanismus für Xray, der Datenverkehr durch die Verwendung von Browser-ähnlichen TLS-Fingerabdrücken und spezieller schlüsselbasierter Validierung viel näher an normalem HTTPS aussehen lässt. |
| 🔍 DPI (Deep Packet Inspection) | Eine Netzwerk-Filtermethode, die Paketmuster, Handshakes und Protokoll-Fingerabdrücke analysiert, um Datenverkehr wie VPNs und Proxys zu identifizieren und zu blockieren. |
| 🖥️ VPS | Ein Virtual Private Server, den Sie mieten und ferngesteuert kontrollieren und der als Host-Maschine für Ihr VLESS + Reality-Setup fungiert. |
| ⚙️ 3x-ui | Ein webbasiertes Verwaltungs-Panel für Xray, mit dem Sie Inbounds, Benutzer und Reality-Einstellungen erstellen können, ohne JSON manuell zu bearbeiten. |
| 🚀 Xray | Die Kern-Proxy-Engine, die unter 3x-ui läuft und tatsächlich VLESS, Reality, Routing und Client-Verbindungen verwaltet. |
| 🆔 UUID | Ein eindeutiger Identifikator, der jedem Client zugewiesen wird und von VLESS als Hauptauthentifizierungswert verwendet wird. |
| 🌐 SNI | Server Name Indication, ein TLS-Feld, das dem Server mitteilt, welcher Hostname angefordert wird und mit der Reality-Zielkonfiguration korrekt übereinstimmen muss. |
| 🧬 x25519 Key Pair | Das öffentliche/private Schlüsselpaar, das von Reality verwendet wird, damit genehmigte Clients die Verbindung abschließen können, während unerwünschte Sonden anders behandelt werden. |
| 🔑 Öffentlicher Schlüssel vs privater Schlüssel | Der öffentliche Schlüssel wird mit dem Client geteilt, damit dieser sich verbinden kann, während der private Schlüssel nur auf dem Server verbleibt und niemals offengelegt werden darf. |
| 🧭 uTLS Fingerprint | Ein Browser-imitierender TLS-Client-Fingerprint, wie z. B. chrome, um die Verbindung wie normaler Browser-Datenverkehr aussehen zu lassen. |
| 📡 Inbound | Die serverseitige Listener-Konfiguration in Xray/3x-ui, die definiert, wie Clients sich verbinden, einschließlich Protokoll, Port, Transport und Sicherheitseinstellungen. |
| ⚡ BBR | Ein TCP-Stauungskontroll-Algorithmus von Google, der den Durchsatz und die Reaktionsfähigkeit auf einigen VPS-Netzwerkpfaden verbessern kann. |
| ✅ ACME-Validierung | Der öffentliche Verifizierungsschritt, der von Zertifikatsdiensten wie Let’s Encrypt verwendet wird, um zu bestätigen, dass Ihr Server oder Ihre Domain erreichbar ist und berechtigt ist, das Zertifikat anzufordern. |
VLESS VPN mit Reality Stealth im Jahr 2026 einrichten
Die Frustration ist vertraut: Sie richten einen VPN-Server ein, alles funktioniert perfekt, und dann wachen Sie eines Morgens auf und stellen fest, dass er blockiert ist. Die Verbindung, die gestern funktionierte, schlägt heute fehl. Keine Änderungen auf Ihrer Seite, doch plötzlich funktioniert nichts mehr. Dies ist kein hypothetisches Szenario – es ist die Realität der Verwendung traditioneller VPN-Protokolle im Jahr 2026, wo die Deep-Packet-Inspection-Technologie weiterentwickelt wurde, um selbst ordnungsgemäß verschlüsselten Datenverkehr zu identifizieren und zu blockieren.
Die Lösung ist nicht ein anderer Verschlüsselungsalgorithmus oder ein schnelleres Protokoll – es ist ein grundlegend anderer Ansatz, wie Ihr Datenverkehr im Netzwerk aussieht. VLESS in Kombination mit dem Reality-Stealth-Protokoll ist einer der effektivsten selbstgehosteten Ansätze, die 2026 verfügbar sind, um Proxy-Datenverkehr viel näher an gewöhnlichen HTTPS-Datenverkehr aussehen zu lassen. Diese Anleitung führt Sie durch die Bereitstellung Ihres eigenen VLESS + Reality-Servers mit dem 3x-ui-Kontrollpanel – vom Verständnis, warum dieser Ansatz funktioniert, bis hin zu einer funktionierenden Verbindung auf Ihrem Gerät.
Das Problem: Warum Standard-VPNs blockiert werden
Die Zeiten, in denen ein einfacher OpenVPN- oder WireGuard-Server zuverlässig über Monate – oder sogar Jahre – funktionierte, sind vorbei. Die Deep Packet Inspection (DPI)-Technologie hat sich dramatisch weiterentwickelt, und es geht nicht mehr nur darum, unverschlüsselte Datenverkehr zu erkennen. Moderne DPI-Systeme untersuchen mehrere Merkmale Ihres Netzwerkverkehrs, um VPN-Verbindungen mit beeindruckender Genauigkeit zu identifizieren.
Betrachten Sie, was passiert, wenn Sie sich mit Standard-OpenVPN oder WireGuard verbinden. Der Datenverkehr ist verschlüsselt, hat aber immer noch eine erkennbare Form. OpenVPN offenbart häufig einen TLS-Handshake und ein Verkehrsmuster, das nicht wie eine gewöhnliche Browser-Sitzung aussieht. WireGuard verwendet überhaupt kein TLS, aber sein UDP-basierter Handshake und das Paketverhalten sind immer noch charakteristisch genug, um auf gefilterten Netzwerken aufzufallen. Es ist wie ein Pass mit dem falschen Ländercode – das Dokument ist gültig, aber die Details entsprechen keinem legitimen Reisenden.
Im Jahr 2026 erfolgt diese Blockierung schneller denn je. Während ein neu bereitgestelltes VPN früher Monate funktionieren konnte, bevor es erkannt wurde, können neue Server jetzt innerhalb von Tagen oder sogar Stunden nach ihrer Inbetriebnahme identifiziert werden. Die Blockierung ist auch verbreiteter und erfolgt auf ISP-Ebene, auf Unternehmens-Netzwerkebene und in einigen Ländern auf der Ebene der nationalen Firewall. Sie benötigen eine Lösung, die nicht nur Ihren Datenverkehr verschlüsselt – sie macht Ihren Datenverkehr so aussehen, als wäre er etwas ganz anderes.
Was ist VLESS? Das Protokoll erklärt
VLESS steht für „VMess Less“—ein Name, der die Designphilosophie direkt widerspiegelt. Es wurde als leichterer, einfacherer Nachfolger des VMess-Protokolls entwickelt, das das ursprüngliche Standard-Transportprotokoll im V2Ray-Projekt war. Während VMess Verschlüsselung, Authentifizierung und Transport in ein eng gekoppeltes System bundelte, entfernt VLESS die unnötigen Schichten und hinterlässt ein sauberes, zustandsloses Transportprotokoll.
Hier ist die kritische Unterscheidung: VLESS funktioniert als Proxy, nicht als vollständiger VPN-Tunnel. Das Protokoll leitet Ihren Datenverkehr durch den Server um, anstatt eine vollständige virtuelle Netzwerkschnittstelle zu erstellen. Für die meisten Benutzer ist diese Unterscheidung akademisch—das funktionale Ergebnis ist genau das, was Sie von einem VPN erwarten: Ihr Datenverkehr scheint vom Server-IP-Adressen zu stammen. Aber diese Proxy-Architektur ist genau der Grund, warum VLESS so gut mit Reality funktioniert, da der leichtere Protokoll-Overhead dem Stealth-Mechanismus ermöglicht, ohne Störungen zu arbeiten.
Das Proxy-Design bedeutet auch weniger Overhead im Vergleich zu traditionellen VPN-Protokollen. Es gibt keine Kernel-Level-Tunnel-Schnittstelle zu verwalten, keine zusätzlichen Verschlüsselungsschichten über das Notwendige hinaus, und das Protokoll wurde von Grund auf entwickelt, um mit modernen TLS-basierten Stealth-Mechanismen zu funktionieren. Diese Einfachheit ist ein Feature, keine Einschränkung—sie bedeutet weniger Dinge, die schiefgehen können, und weniger Fingerabdrücke, die erkannt werden können.
Die Realität verstehen: Die Stealth-Technologie
Reality ist das, was VLESS von einem weiteren Proxy-Protokoll in etwas viel Schwerer zu Unterscheidendes von gewöhnlichem verschlüsseltem Web-Traffic verwandelt. Der Mechanismus ist in seiner Einfachheit elegant: Anstatt zu versuchen, zu verbergen, was Sie tun, macht Reality Ihren Traffic so aussehen, als wäre er etwas ganz anderes.
Reality erreicht dies durch eine Technik, die auf der TLS-Handshake-Ebene arbeitet. Wenn sich ein Client mit Ihrem Server verbindet, sendet er ein TLS ClientHello, das einen echten Browser nachahmt – unter Verwendung der uTLS-Bibliothek, um den Fingerabdruck von Chrome, Firefox oder einem anderen beliebten Browser zu replizieren. Der Server validiert dann die Verbindung mit Realitys Schlüsselmaterial und Client-Parametern, die um ein x25519-Schlüsselpaar herum aufgebaut sind. Wenn der Client die erwarteten Reality-Werte präsentiert, wird die Verbindung als VLESS-Proxy fortgesetzt. Wenn nicht – was passiert, wenn ein DPI-System oder eine aktive Sonde Ihren Server trifft – wird der Traffic an eine legitime Zielwebsite wie www.microsoft.com oder www.apple.com weitergeleitet. Für das Sondierungssystem sieht Ihr Server wie eine normale Website aus, anstatt wie ein offensichtlicher Proxy-Endpunkt.
Stellen Sie sich vor, Sie tragen eine Uniform. Ein Grenzbeamter, der Fahrzeuge inspiziert, überprüft nicht jedes Auto gründlich – er winkt diejenigen durch, die basierend auf ihrer Registrierung, ihren Kennzeichen und dem Aussehen des Fahrers legitim aussehen. Ihr Traffic trägt die Uniform eines großen Unternehmens, sodass der Netzwerk-Inspector ihn durchwinkt, ohne die detaillierte Inspektion, die offenbaren würde, dass es tatsächlich etwas anderes ist. Der uTLS-Fingerabdruck ist die Verkleidung, und der x25519-Schlüsselaustausch ist der geheime Handschlag, den nur Ihr Client kennt.
Ein kritischer Punkt: Sie benötigen keine eigene Domain, damit dies funktioniert. Frühere Stealth-Methoden erforderten, dass Sie eine Domain besaßen und Let’s Encrypt-Zertifikate erhielten, was eine Papierspur und zusätzliche Komplexität schuf. Reality benötigt nichts außer einer VPS-IP-Adresse. Die Zielwebsites (Microsoft, Apple, Google) haben eine Verfügbarkeit von nahezu 100 % und unterstützen das neueste TLS 1.3-Protokoll, was sie zu perfekten Ankern für diese Technik macht.
Port 443 gibt dieser Verkleidung die beste Chance, sich zu vermischen. Standard-HTTPS-Traffic verwendet normalerweise Port 443, daher hält Reality auf diesem Port die Verbindung viel näher an gewöhnlichem Web-Browsing. Andere Ports können technisch funktionieren, aber sie schwächen die Tarnung, weil sie nicht mehr der Standardform des alltäglichen HTTPS-Traffic entsprechen.
Häufige Missverständnisse
Bevor wir fortfahren, klären wir drei Missverständnisse, die Anfänger bei der Erkundung von VLESS + Reality häufig haben.
„VLESS ist ein VPN.“ Technisch gesehen ist VLESS ein Proxy-Protokoll, kein VPN im klassischen Sinne. Es gibt keine TUN/TAP-Schnittstelle, keinen virtuellen Netzwerkadapter und keine Manipulation der Routing-Tabelle. Aus funktionaler Perspektive des Benutzers bietet es jedoch genau das, was man von einem VPN erwartet – Ihr Internet-Datenverkehr scheint vom Server-IP-Adresse zu stammen. Die Unterscheidung ist für Netzwerk-Ingenieure relevant, aber selten für Endbenutzer.
„Reality benötigt eine Domain.“ Das war bei früheren Stealth-Techniken der Fall, die selbstverwaltete Domains und Let’s Encrypt-Zertifikate nutzten. Reality wurde speziell dafür entwickelt, ohne eine von Ihnen kontrollierte Domain zu funktionieren. Es nutzt Browser-Fingerprint-Mimikry und x25519-Schlüssel-Authentifizierung, was bedeutet, dass Sie nichts registrieren, verwalten oder erneuern müssen. Richten Sie es einmal ein und es funktioniert weiterhin.
„Das ist unhackbar.“ Nichts ist unhackbar. Reality ist hochgradig resistent gegen Erkennung und Blockierung, weil es echtem HTTPS-Datenverkehr ähnelt. Es ist jedoch nicht immun gegen zukünftige Verbesserungen der DPI-Technologie, mögliche Protokoll-Fingerprinting oder gezielte Angriffe. Was es bietet, ist der beste verfügbare Schutz im Jahr 2026 gegen die häufigsten Formen der Netzwerkfilterung. Behandeln Sie es als robuste Lösung, nicht als magischen Schutzschild.
Was Sie vor dem Start benötigen
Sie benötigen einen VPS von einem beliebigen Anbieter (z. B. AvaHost), und ähnliche Dienste funktionieren genauso gut. Für typische Single-User-Performance ist ein Basis-Plan mit 1 CPU-Kern und 1 GB RAM ausreichend. Der Server sollte Ubuntu 22.04 LTS oder 24.04 LTS ausführen; diese Versionen haben Kernel-Unterstützung für die erforderlichen Netzwerkfunktionen ab Werk.
Root-SSH-Zugang ist unverzichtbar. Sie benötigen die Möglichkeit, sich über die Befehlszeile mit Ihrem Server zu verbinden und privilegierte Befehle auszuführen. Die meisten VPS-Anbieter bieten dies standardmäßig an – Sie erhalten nach der Bereitstellung eine IP-Adresse, einen Benutzernamen (normalerweise root) und entweder ein Passwort oder einen SSH-Schlüssel.
Für Client-Anwendungen benötigen Sie je nach Ihren Geräten: v2rayNG für Android, v2rayN für Windows, V2Box oder Streisand für macOS und Shadowrocket oder FoXray für iOS. Wir werden diese im Detail im Abschnitt zu Client-Anwendungen später in diesem Leitfaden behandeln.
Ein großer Vorteil der Reality-Methode: Sie benötigen keine Domäne, die Sie kontrollieren. Viele Stealth-Setups erfordern, dass Sie eine registrieren und verwalten, aber Reality kann direkt von der VPS-IP aus funktionieren, während es das Aussehen eines legitimen TLS-Ziels übernimmt.
Eine kurze Anmerkung zu rechtlichen Überlegungen: Die in diesem Leitfaden beschriebenen Techniken sind für legitime Datenschutz- und Zugriffsbedürfnisse bestimmt. Die Gesetze zur Internetfilterung unterscheiden sich je nach Gerichtsbarkeit erheblich. Stellen Sie sicher, dass Ihre Nutzung dieser Tools den geltenden Gesetzen in Ihrer Region entspricht.
Servervorbereitung: BBR und Grundlagen
Mit verifizierten Voraussetzungen können wir den Server vorbereiten. Diese Phase optimiert Ihren VPS vor der Installation von Software und gewährleistet maximale Leistung von Anfang an.
💡 TIPP: Nutzen Sie BBR vor der Bereitstellung — es verbessert oft den Durchsatz und die Latenz bei eingeschränkten oder höher-latenten Verbindungen.
Aktualisieren Sie zunächst Ihre Systempakete. Dies stellt sicher, dass Sie die neuesten Sicherheitsupdates und erforderlichen Abhängigkeiten haben:
apt update && apt upgrade -y
Dieser Schritt kann je nach VPS-Anbieter und Netzwerkgeschwindigkeit 1–5 Minuten dauern. Einige Anbieter aktualisieren ihre Images bereits während der Bereitstellung vor, sodass dieser Schritt auf einigen Systemen schnell abgeschlossen sein kann.
Aktivieren Sie anschließend die Google-BBR-Staukontrolle. BBR (Bottleneck Bandwidth and Round-trip propagation time) ist Googles Stausteuerungsalgorithmus. Anstatt sich hauptsächlich auf Paketverlusten als Signal zu verlassen, versucht er, verfügbare Bandbreite und Round-Trip-Zeit direkter zu modellieren, was den Durchsatz und die Reaktionsfähigkeit bei einigen VPS-Verbindungen verbessern kann.
# Verify BBR module is available
lsmod | grep tcp_bbr
Wenn nichts angezeigt wird, laden Sie das Modul manuell:
modprobe tcp_bbr
Erstellen Sie nun die sysctl-Konfiguration, um BBR dauerhaft zu aktivieren:
cat >> /etc/sysctl.d/99-bbr.conf << 'EOF'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF
Wenden Sie die Konfiguration an:
sysctl -p /etc/sysctl.d/99-bbr.conf
Überprüfen Sie, ob BBR aktiv ist:
sysctl net.ipv4.tcp_congestion_control
sysctl net.ipv4.tcp_available_congestion_control
Sie sollten bbr als den aktiven Algorithmus sehen.
Einige Systeme profitieren von einem Neustart nach der Aktivierung von BBR — dies stellt sicher, dass das Modul ordnungsgemäß geladen wird und alle Netzwerkoptimierungen wirksam werden:
reboot
Stellen Sie nun sicher, dass Port 443 erreichbar ist. Falls Sie den integrierten Let’s-Encrypt-Flow des 3x-ui-Installers für das Panel nutzen möchten, erlauben Sie auch 80/tcp — dieser Port wird für die ACME-Zertifikatvalidierung verwendet, nicht für das Panel selbst. Falls Ihr VPS-Anbieter auch eine Cloud-Firewall oder Security-Group-Ebene hat, erlauben Sie dort die gleichen Ports. Unter Ubuntu ist der sicherste Weg normalerweise UFW.
# If this is a remote VPS and you're enabling UFW for the first time, allow SSH before enabling the firewall
ufw allow OpenSSH
# Allow HTTPS-style Reality traffic
ufw allow 443/tcp
# Allow ACME validation for the 3x-ui panel's built-in Let's Encrypt setup
ufw allow 80/tcp
# Review rules, then enable only if UFW is not already active
ufw status
ufw enable
⚠️ WARNUNG: Port 443 wird dringend empfohlen, da er normalem HTTPS-Verkehr entspricht. Andere Ports können technisch funktionieren, aber sie verschmelzen weniger natürlich und machen das Setup leichter erkennbar.
Ihr Server ist nun optimiert und bereit für die 3x-ui-Installation.
Installieren des 3x-ui Panels
Bevor Sie das Installationsprogramm ausführen, beachten Sie eine leicht zu übersehende Anforderung: Wenn Sie möchten, dass das integrierte Let’s Encrypt-Setup des Installationsprogramms ein SSL-Zertifikat für das Panel ausstellt, muss 80/tcp offen und vom öffentlichen Internet erreichbar sein. Dieser ACME-Validierungsport ist separat vom Panel-Port, den Sie während der Einrichtung wählen.
Führen Sie den Installationsbefehl aus:
bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)
Aktuelle Versionen des Installationsprogramms beginnen nicht mit dem älteren nummerierten Install / Update / Uninstall Menü, das viele Tutorials noch zeigen. Stattdessen startet das Skript die Installation sofort, installiert fehlende Abhängigkeiten, lädt die neueste Version herunter und führt Sie dann durch die Panel-Setup-Eingabeaufforderungen.
Ein typischer Installationsablauf sieht jetzt so aus:
- Wählen Sie, ob Sie einen benutzerdefinierten Panel-Port festlegen oder das Installationsprogramm einen zufälligen generieren lassen möchten.
- Lassen Sie das Installationsprogramm einen zufälligen Benutzernamen, ein Passwort und einen webBasePath generieren.
- Wählen Sie, wie Sie das Panel-SSL konfigurieren möchten:
- 1 = Let’s Encrypt für eine Domain
- 2 = Let’s Encrypt für die Server-IP
- 3 = vorhandenes Zertifikat verwenden
- Füllen Sie die Zertifikat-Eingabeaufforderungen aus, wenn Sie den integrierten Let’s Encrypt-Ablauf verwenden.
⚠️ WICHTIG: Der Panel-Port ist nicht dasselbe wie der ACME-Validierungsport. Sie könnten das Panel auf einem zufälligen Port wie 13525 ausführen und benötigen dennoch öffentliches 80/tcp, das offen ist, damit Let’s Encrypt das Zertifikat validieren kann.
Die wichtige Regel ist einfach: Verwenden Sie die genauen Anmeldedaten, den Pfad und die URL, die von Ihrem eigenen Installationsprogramm gedruckt werden, nicht Annahmen, die aus älteren Tutorials kopiert wurden.
Ihre endgültige Ausgabe sieht eher so aus:
Username: GENERATED_USERNAME Password: GENERATED_PASSWORD Port: 13525 WebBasePath: RANDOM_PATH Access URL: https://YOUR_SERVER_IP:13525/RANDOM_PATH
Überprüfen Sie, ob der Service läuft:
systemctl status x-ui
Diese Überprüfung ist wichtig. Achten Sie speziell auf die Webserver-Zeile in der Statusausgabe:
- Wenn Sie Web server running HTTPS … sehen, funktioniert das Panel-SSL korrekt.
- Wenn Sie Web server running HTTP … sehen, wurde das Panel erfolgreich installiert, aber das SSL-Setup wurde nicht abgeschlossen.
Greifen Sie auf das Panel mit der genauen URL, dem Benutzernamen und dem Passwort zu, die von Ihrem eigenen Install generiert wurden. Nehmen Sie nicht an, dass der Pfad /panel ist, und nehmen Sie nicht an, dass die Anmeldedaten admin/admin sind, es sei denn, Ihre eigene Installation sagt dies ausdrücklich.
💡 TIPP 1: Um die aktuellen Panel-Einstellungen erneut anzuzeigen und die Zugriffs-URL zu drucken, führen Sie in der CLI den Befehl „x-ui“ aus und wählen Sie Nummer 10 „View Current Settings“ aus der Menüausgabe.
💡 TIPP 2: Wenn die Zugriffs-URL nicht geladen wird, stellen Sie sicher, dass der 3x-ui Panel-Port in Ihrer VPS-Firewall offen ist. Wenn Ihr Panel beispielsweise auf Port „13525“ läuft, erlauben Sie es mit: “ ufw allow 13525/tcp „. Ersetzen Sie 13525 durch den tatsächlichen Port, den Sie für das 3x-ui Panel konfiguriert haben.
Wenn das Installationsprogramm fertig ist, aber systemctl status x-ui zeigt HTTP statt HTTPS
Die häufigste Ursache ist, dass 80/tcp während der Let’s Encrypt-Validierung nicht vom öffentlichen Internet erreichbar war. In diesem Fall kann das Panel immer noch installiert und gestartet werden, aber die Zertifikatausstellung schlägt fehl.
Beheben Sie zunächst die Firewall:
ufw allow 80/tcp
ufw status
Wenn Ihr VPS-Anbieter eine Cloud-Firewall oder Security-Group-Ebene hat, erlauben Sie dort auch 80/tcp. Führen Sie dann die Panel-Zertifikateinrichtung erneut aus dem 3x-ui-Verwaltungsskript aus:
x-ui
Für ein IP-basiertes Panel-Zertifikat wählen Sie:
- 19 → 6 (Get SSL for IP Address)
Für ein Domain-basiertes Panel-Zertifikat wählen Sie:
- 19 → 1 (Get SSL (Domain))
Nach der Zertifikatausstellung überprüfen Sie erneut:
systemctl status x-ui
Sie möchten, dass die Statusausgabe Web server running HTTPS … anzeigt, bevor Sie fortfahren.
💡 TIPP: Speichern Sie die generierten Anmeldedaten und die Panel-URL sofort. Beachten Sie auch, dass die Installationszusammenfassung irreführend sein kann, wenn die Zertifikatausstellung fehlschlägt – wenn der letzte Block eine HTTPS-URL druckt, aber systemctl status x-ui immer noch HTTP anzeigt, vertrauen Sie der Service-Statusausgabe und beheben Sie SSL, bevor Sie fortfahren.
Konfigurieren von VLESS + Reality Inbound
Dies ist der kritische Konfigurationsschritt, in dem Ihr VPN-ähnliches System tatsächlich erstellt wird. Navigieren Sie im 3x-ui-Panel zu Inbounds → Add Inbound.
Konfigurieren Sie die Felder wie folgt:
| Feld | Wert | Hinweise |
|---|---|---|
| Protokoll | VLESS | Aus Dropdown-Menü auswählen |
| Listen IP | 0.0.0.0 | Standard / alle Schnittstellen |
| Port | 443 | Empfohlen für die natürlichste HTTPS-Verschleierung |
| Client → Authentifizierung | Leer lassen / Standard | Verwenden Sie nicht Get New keys für dieses grundlegende Setup |
| Client → Entschlüsselung | none | Erforderlich für VLESS |
| Client → Verschlüsselung | none | Bei Standard belassen |
| Client → Flow | xtls-rprx-vision | Legen Sie dies im Client-Unterabschnitt fest. Wenn dieses Feld noch nicht angezeigt wird, stellen Sie zunächst Transmission auf TCP (RAW) und Security auf reality ein. |
| Transmission | TCP (RAW) | Direkten TCP-Transport verwenden |
| Security | reality | Aus den Sicherheitsoptionen auswählen |
| uTLS | chrome | Verwenden Sie einen häufigen Browser-Fingerabdruck |
| Target | www.microsoft.com:443 | Stabiles TLS 1.3-Ziel für Fallback/Probing |
| SNI | www.microsoft.com | Mit Target abgestimmt halten |
| Short IDs | Generieren oder Panel-Standard verwenden | Kopieren Sie einen generierten Wert zum Client |
| SpiderX | / | Einfacher Standard |
| Public Key | Mit Get New Cert generieren | Kopieren Sie dies zum Client |
| Private Key | Mit Get New Cert generieren | Behalten Sie dies nur auf dem Server |
📋 HINWEIS: Lassen Sie die anderen sichtbaren Felder — wie Total Flow, Traffic Reset, Duration, Fallbacks, Proxy Protocol, HTTP Obfuscation, Sockopt, External Proxy, Show, Xver, Max Time Diff, Min Client Ver, Max Client Ver, Sniffing und die ML-DSA-Felder — für dieses grundlegende Setup bei ihren Standardwerten.
Klicken Sie abschließend auf Save, um den Inbound zu erstellen.
⚠️ WARNUNG: Port 443 ist die beste Standardeinstellung, da er normalem HTTPS-Verkehr entspricht. Wenn Sie ihn ändern, funktioniert der Inbound möglicherweise immer noch, aber er verschmilzt nicht mehr so sauber.
⚠️ WARNUNG: Das Reality-Ziel muss TLS 1.3 unterstützen — Microsoft, Apple und Google sind sichere Optionen. Die Verwendung eines Ziels, das TLS 1.3 nicht unterstützt, führt dazu, dass Reality fehlschlägt, da das Protokoll speziell für TLS 1.3-Handshakes konzipiert ist.
Der Grund, warum diese Werte wichtig sind: Port 443 gibt Ihnen das glaubwürdigste HTTPS-Profil, ein stabiles TLS 1.3-Ziel gibt Probes einen legitimen Ort zum Landen, und der Chrome-Fingerabdruck hält die Client-Seite mit einem der häufigsten Browser-Fingerabdrücke im Internet abgestimmt. Beginnen Sie einfach, bringen Sie einen funktionierenden Pfad zum Laufen, und erweitern Sie ihn später, wenn Sie mehrere Ziele benötigen.
Benutzerverwaltung in 3x-ui
Nach der Konfiguration des Inbound müssen Sie Benutzerverbindungen erstellen, die Ihre Geräte zur Authentifizierung verwenden. Navigieren Sie in 3x-ui zu Inbounds → [Klicken Sie auf Ihr VLESS-Inbound-Menü] → Add Client.
Jeder Benutzer erhält eine eindeutige UUID (automatisch generiert), zusammen mit einer E-Mail zur Identifizierung und optionalen Limits für Datenverkehr und Ablauf. Wenn Sie einen Client erstellen, generiert das Panel die Werte, die Sie für die Verbindung benötigen: Serveradresse, UUID, Flow, öffentlicher Schlüssel, Short ID und SNI-bezogene Einstellungen.
Durch Drücken des Plus-Zeichens („+“) des ausgewählten Inbound wird die Benutzerliste angezeigt.
Exportieren eines Clients
Um die Verbindungsdetails eines einzelnen Clients zu exportieren, erweitern Sie zunächst die Inbound-Zeile, damit die Clients-Tabelle sichtbar ist. Verwenden Sie in der Client-Zeile die beiden Client-spezifischen Exportaktionen:
- QR-Symbol → öffnet das QR-Modal
- Info-Symbol → öffnet das Details-Modal
Diese entsprechen den ersten beiden Freigabemethoden.
QR-Code: Klicken Sie auf das QR-Symbol des Clients. Wenn Abonnements aktiviert sind, kann das QR-Modal zwei QR-Codes anzeigen:
- Abonnement → ein QR-Code für die Abonnement-URL des Clients
- Client-QR (gekennzeichnet mit der Client-E-Mail oder dem Identifier, z. B. example@mail.com) → ein QR-Code für den direkten VLESS-Reality-URI
Der Abonnement-QR ist nützlich für Clients, die automatische Updates unterstützen. Der Client-QR ist der einmalige direkte Import für diesen spezifischen Client.
Freigabelink / URL: Klicken Sie auf das Info-Symbol des Clients. Im Details-Modal können Sie zwei Textexporttypen sehen:
- Abonnement-URL → ein aktualisierbarer Abonnement-Endpunkt
- URL → der direkte VLESS-Reality-URI für diesen Client
Verwenden Sie die Schaltfläche „Kopieren“ neben dem URL-Bereich für den Desktop-Import.
Ein verwendbarer direkter Reality-URI sollte mindestens folgende Werte enthalten:
type=tcp encryption=none security=reality sni=www.microsoft.com fp=chrome pbk=YOUR_PUBLIC_KEY sid=YOUR_SHORT_ID spx=/ flow=xtls-rprx-vision
pbk= ist der Reality-Öffentliche Schlüssel und gehört in den direkten VLESS-URI. Die Abonnement-URL selbst enthält normalerweise nicht pbk=, da es sich nur um den Abruf-Endpunkt handelt; die zurückgegebene Konfiguration enthält die tatsächlichen Reality-Parameter.
Einige 3x-ui-Versionen hatten Reality-Freigabelink-Fehler, bei denen pbk= leer ist. Wenn der direkte URI pbk= oder sid= fehlt, vertrauen Sie ihm nicht blind. Verwenden Sie in diesem Fall stattdessen die manuelle Konfiguration.
Manuelle Konfiguration: Es gibt keine separate Schaltfläche „Manuelle Konfiguration“ zum Exportieren. In der Praxis bedeutet manuelle Konfiguration entweder, die Werte direkt in die Client-App einzugeben oder den endgültigen VLESS-Reality-URI selbst aus den Rohwerten zusammenzustellen und zu überprüfen. Sammeln Sie die erforderlichen Werte aus:
- dem Info-Modal: Serveradresse, Port, UUID, Flow und der direkten URI
- den Reality-Einstellungen des Inbound: SNI, öffentlicher Schlüssel, Short ID, Fingerprint (chrome) und SpiderX (/) falls erforderlich
Sie können mehrere Benutzer für verschiedene Geräte oder verschiedene Personen erstellen. Jede UUID ist unabhängig, daher wirkt sich das Widerrufen des Zugriffs für einen Benutzer nicht auf andere aus.
Manuelle Xray-Konfiguration (Kurzfassung)
Einige Benutzer bevorzugen es, keine grafische Benutzeroberfläche zu verwenden und die Xray-Konfiguration direkt zu bearbeiten. Bei einer Standard-Linux-3x-ui-Installation wird die aktive Laufzeitkonfiguration in /usr/local/x-ui/bin/config.json geschrieben, sodass Sie diese inspizieren oder dort temporäre manuelle Änderungen vornehmen können.
Behandeln Sie diese Datei als ein generiertes Laufzeit-Artefakt, nicht als die Quelle der Wahrheit des Panels. 3x-ui erstellt config.json aus seinen datenbankgestützten Einstellungen neu, sodass manuelle Bearbeitungen überschrieben werden können, wenn Xray neu startet oder wenn Sie Änderungen im Panel speichern.
Erstellen Sie vor der Bearbeitung eine Sicherung:
cp /usr/local/x-ui/bin/config.json /usr/local/x-ui/bin/config.json.bak
Manuelle Bearbeitung kann für schnelle Tests oder Debugging nützlich sein, aber fehlerhaftes JSON kann verhindern, dass Xray startet. Wenn 3x-ui Ihren Anforderungen entspricht, verwenden Sie das Panel für persistente Änderungen und bearbeiten Sie config.json direkt nur in fortgeschrittenen Fällen.
Client-Anwendungen nach Plattform
Um sich mit Ihrem Server zu verbinden, benötigen Sie Client-Software auf Ihren Geräten. Hier ist das verfügbare Angebot:
| Plattform | Empfohlene Apps | Hinweise |
|---|---|---|
| Windows | v2rayN | GUI-Client mit System-Tray-Integration |
| macOS | V2Box, Streisand | V2Box ist kostenlos; Streisand ist im App Store erhältlich |
| Android | v2rayNG, NekoBox | Beide sind auf GitHub und F-Droid verfügbar |
| iOS | Shadowrocket, FoXray, V2Box | Shadowrocket ist kostenpflichtig; FoXray-Verfügbarkeit kann variieren |
Für Windows ist v2rayN die empfohlene Wahl – es wird aktiv gepflegt, hat eine saubere Benutzeroberfläche und unterstützt Reality-Konfiguration nativ. Für Mobilgeräte unterstützen sowohl v2rayNG als auch V2Box den QR-Code-Import, was die Einrichtung schnell macht.
📋 HINWEIS: Die Verfügbarkeit von Client-Anwendungen für Apple-Plattformen ändert sich häufig. Falls eine aufgelistete App in Ihrer Region nicht verfügbar ist, überprüfen Sie die offizielle Website des Projekts, den App-Store-Eintrag oder den TestFlight-Pfad, bevor Sie davon ausgehen, dass das
Verbindung mit Ihrem ersten Client
Lassen Sie uns die Verbindung eines Windows-Clients mit v2rayN durchgehen – der Prozess ist auf anderen Plattformen ähnlich, aber dies gibt Ihnen ein vollständiges Beispiel.
Schritt 1: v2rayN herunterladen
Besuchen Sie https://github.com/2dust/v2rayN/releases und laden Sie den aktuellen Windows-Desktop-Build herunter. Ab 2026 ist die einfachste Option normalerweise v2rayN-windows-64-desktop.zip (oder das aktuelle entsprechende Desktop-Paket, das auf der Release-Seite angezeigt wird).
Schritt 2: Extrahieren und Ausführen
Extrahieren Sie die ZIP-Datei in einen Ordner (z. B. C:v2rayN). Führen Sie v2rayN.exe aus. Aktuelle Desktop-Builds sind normalerweise in sich geschlossen, daher benötigen Sie normalerweise keine separate .NET-Desktop-Runtime. Die Anwendung wird in Ihrem Systembereich angezeigt.
Schritt 3: Konfiguration importieren
Verwenden Sie für diese Verbindung die direkte VLESS-URL aus 3x-ui – die mit vless:// beginnt – nicht die Abonnement-URL. Wenn Ihre exportierte Reality-Link erforderliche Werte wie pbk= oder sid= fehlen, gehen Sie zurück zum vorherigen 3x-ui-Abschnitt und verwenden Sie stattdessen die manuellen Werte aus den Inbound-Einstellungen.
Öffnen Sie in v2rayN das Konfigurationsmenü im oberen linken Bereich des Fensters. Die einfachste Methode ist, die direkte VLESS-URL aus 3x-ui zu kopieren und dann Konfiguration → Freigabe-Links aus Zwischenablage importieren auszuwählen. Bei den meisten Builds können Sie auch einfach Strg+V drücken. Stellen Sie sicher, dass Sie zuerst die direkte VLESS-URL kopiert haben, damit die App den Wert einfügen kann.
Wenn der Import aus der Zwischenablage nicht die gewünschte Option ist, können auch der QR-Code oder der manuelle Import verwendet werden.
Schritt 4: Verbinden
Nach dem Importieren des Clients müssen Sie zum Aktivieren des Tunnels zwischen Windows-Client und Server auf „Tunnel aktivieren“ am unteren Rand der v2rayN-Benutzeroberfläche drücken.
Schritt 5: Überprüfung
Öffnen Sie Ihren Browser und besuchen Sie https://whatismyipaddress.com/ oder https://ip.sb. Die angezeigte IP-Adresse sollte die IP-Adresse Ihres Servers sein, nicht Ihre lokale IP-Adresse. Dies bestätigt, dass Ihr Datenverkehr durch das VPN geleitet wird.
Überprüfung Ihrer Einrichtung
Die Verbindungsüberprüfung bestätigt, dass alles wie erwartet funktioniert. Neben der Überprüfung Ihrer IP-Adresse im Browser gibt es noch einige zusätzliche Tests, die es wert sind, durchgeführt zu werden.
IP-Adressen-Überprüfung: Besuchen Sie https://whatismyipaddress.com/ oder https://ip.sb während Sie verbunden sind. Die angezeigte IP sollte Ihrer VPS-Server-IP entsprechen, nicht Ihrer privaten oder lokalen Netzwerk-IP.
DNS-Leak-Test: Besuchen Sie https://www.dnsleaktest.com/ oder https://browserleaks.com/dns und führen Sie den Test durch. Ein ordnungsgemäß konfigurierter Client sollte Ihre normalen lokalen DNS-Resolver nicht offenlegen, während der Proxy aktiv ist.
Häufige Probleme und Lösungen
Problem Ursache Lösung Keine Verbindung Port 443 blockiert Firewall prüfen: ufw allow 443/tcp und Cloud-Provider-Konsole Panel öffnet sich nicht Falsche URL oder alte /panel-Annahme Verwenden Sie die exakte HTTPS-URL, die vom Installer ausgegeben wurde Importierter Link verbindet sich nicht Reality-Link fehlt pbk oder sid Link überprüfen oder zur manuellen Client-Konfiguration wechseln Verbindungs-Timeout Falsches SNI Überprüfen Sie, dass SNI übereinstimmt (www.microsoft.com) in den Client-Einstellungen TLS-Fehler Falscher Fingerabdruck oder nicht übereinstimmende Reality-Werte Fingerabdruck auf chrome setzen und SNI, öffentlichen Schlüssel und Short ID erneut überprüfen Langsame Geschwindigkeit BBR nicht aktiviert BBR gemäß Servervorbereitungsabschnitt erneut aktivieren „Keine Serverantwort“ Firewall blockiert Überprüfen Sie sowohl die Server-Firewall als auch die Sicherheitsgruppen des Cloud-Providers Wenn Sie auf Probleme stoßen, überprüfen Sie, dass Ihre Client-Konfiguration genau mit dem übereinstimmt, was in 3x-
Nächste Schritte & erweiterte Optionen
Sie haben nun ein funktionierendes VLESS + Reality VPN. Von hier aus stehen mehrere Verbesserungen zur Verfügung:
Fügen Sie ein Backup-Inbound sorgfältig hinzu: Falls Sie wirklich ein Fallback benötigen, können Sie etwas wie VMess + WebSocket als sekundäres Inbound hinzufügen. Denken Sie daran, dass jedes zusätzliche Inbound die Komplexität erhöht und Ihnen eine weitere Oberfläche zum Sichern und Troubleshooten gibt.
Skalierung für mehrere Benutzer: Erstellen Sie zusätzliche Clients in 3x-ui für Familienmitglieder oder Geräte. Jeder erhält eine eindeutige UUID, und Sie können die Nutzung separat nachverfolgen.
Performance-Tuning: BBR ist bereits aktiviert, aber Sie können TCP/UDP-Optimierung, Netzwerk-Buffer-Tuning und serverseitiges TCP-Tuning für marginale Verbesserungen erkunden.
Alternative SNI-Ziele: Während Microsoft/Apple/Google zuverlässig sind, bevorzugen einige Benutzer www.oracle.com oder andere Ziele. Das Prinzip bleibt gleich – jede Website mit gültigen TLS 1.3-Zertifikaten funktioniert.
Panel-Sicherheit: Beschränken Sie den Panel-Port auf Ihre eigene Admin-IP, falls möglich, rotieren Sie Anmeldedaten, falls Sie diese manuell gewählt haben, und erwägen Sie die Installation von Fail2Ban zum Schutz des Panels vor Brute-Force-Versuchen.
Fazit
VLESS + Reality ist eine starke Self-Hosted-Option für 2026, wenn Sie ein Setup benötigen, das sich besser einfügt als traditionelle VPN-Protokolle. Der Vorteil liegt nicht in magischer Unsichtbarkeit; es ist vielmehr, dass der Traffic auf stark gefilterten Netzwerken viel näher an normalem verschlüsseltem Webverkehr aussieht als OpenVPN- oder WireGuard-ähnliche Verbindungen.Wenn Sie das mentale Modell verstehen – Browser-ähnliches TLS-Fingerprinting, Reality-Schlüsselmaterial, ein glaubwürdiges Ziel und ein Standard-HTTPS-Port – werden Sie die Bereitstellung, das Debugging und die Wartung des Setups viel einfacher finden. Von hier aus sind die natürlichen nächsten Schritte die Verschärfung der Panel-Sicherheit, das Hinzufügen weiterer Client-Geräte und die Validierung, welche Ziele und Client-Apps in Ihrer eigenen Umgebung am besten funktionieren. Für das Hosting können Provider wie AvaHost Ihnen eine stabile Grundlage bieten, um Ihr VLESS + Reality-Setup auszuführen und zuverlässige Verfügbarkeit sowie unkomplizierte Verwaltung zu gewährleisten.
Verwandte Beiträge
