Polska
VLESS + Reality Przewodnik: Bezpieczna konfiguracja proxy
Słowa kluczowe
Zanim przejdziesz do konfiguracji, oto kluczowe terminy, które najprawdopodobniej będą wymagać wyjaśnienia w tym przewodniku.
| Słowo kluczowe | Definicja |
|---|---|
| 🔐 VLESS | Lekki protokół proxy z ekosystemu V2Ray/Xray, który uwierzytelnia użytkowników za pomocą UUID i jest powszechnie łączony z nowoczesnymi transportami stealth, takimi jak Reality. |
| 🔀 Proxy vs VPN | Proxy zwykle przekierowuje ruch aplikacji przez serwer, podczas gdy tradycyjny VPN zazwyczaj tworzy pełny tunel sieci wirtualnej dla urządzenia lub systemu. |
| 🎭 Reality | Mechanizm transportu stealth dla Xray, który sprawia, że ruch wygląda znacznie bardziej jak normalny HTTPS, wykorzystując odciski palców TLS podobne do przeglądarki i specjalną walidację opartą na kluczach. |
| 🔍 DPI (Deep Packet Inspection) | Technika filtrowania sieci, która analizuje wzorce pakietów, uściski dłoni i odciski palców protokołu w celu identyfikacji i blokowania ruchu, takiego jak VPN i proxy. |
| 🖥️ VPS | Wirtualny serwer prywatny, który wynajmujesz i kontrolujesz zdalnie, działający jako maszyna hosta dla konfiguracji VLESS + Reality. |
| ⚙️ 3x-ui | Panel zarządzania oparty na sieci web dla Xray, który umożliwia tworzenie inboundów, użytkowników i ustawień Reality bez ręcznego edytowania JSON. |
| 🚀 Xray | Główny silnik proxy działający pod 3x-ui, który faktycznie obsługuje VLESS, Reality, routing i połączenia klientów. |
| 🆔 UUID | Unikalny identyfikator przypisany każdemu klientowi i używany przez VLESS jako główna wartość uwierzytelniania. |
| 🌐 SNI | Server Name Indication, pole TLS, które informuje serwer, która nazwa hosta jest żądana i musi być poprawnie dopasowana do konfiguracji celu Reality. |
| 🧬 Para kluczy x25519 | Para kluczy publicznych/prywatnych używana przez Reality, aby zatwierdzeni klienci mogli ukończyć połączenie, podczas gdy niechciane sondy są traktowane inaczej. |
| 🔑 Klucz publiczny vs klucz prywatny | Klucz publiczny jest udostępniany klientowi, aby mógł się połączyć, podczas gdy klucz prywatny pozostaje tylko na serwerze i nigdy nie powinien być ujawniony. |
| 🧭 Odcisk palca uTLS | Odcisk palca klienta TLS naśladujący przeglądarkę, taki jak chrome, używany do naśladowania zwykłego ruchu przeglądarki. |
| 📡 Inbound | Konfiguracja nasłuchiwacza po stronie serwera w Xray/3x-ui, która definiuje sposób łączenia się klientów, w tym protokół, port, transport i ustawienia bezpieczeństwa. |
| ⚡ BBR | Algorytm kontroli przeciążenia TCP od Google, który może poprawić przepustowość i responsywność na niektórych ścieżkach sieciowych VPS. |
| ✅ Walidacja ACME | Publiczny krok weryfikacji używany przez usługi certyfikatów, takie jak Let’s Encrypt, w celu potwierdzenia, że serwer lub domena jest dostępna i uprawniona do żądania certyfikatu. |
Konfiguracja VLESS VPN z Reality Stealth w 2026
Frustracja jest znana: konfigurujesz serwer VPN, wszystko działa idealnie, a następnie pewnego ranka budzisz się i odkrywasz, że jest zablokowany. Połączenie, które działało wczoraj, dzisiaj się nie łączy. Nic się nie zmieniło z Twojej strony, a jednak nagle nic nie działa. To nie jest scenariusz hipotetyczny—to rzeczywistość korzystania z tradycyjnych protokołów VPN w 2026, gdzie technologia głęboką inspekcją pakietów ewoluowała, aby identyfikować i blokować nawet prawidłowo zaszyfrowany ruch.
Rozwiązanie nie jest innym algorytmem szyfrowania ani szybszym protokołem—to fundamentalnie inne podejście do tego, jak Twój ruch wygląda w sieci. VLESS w połączeniu z protokołem stealth Reality jest jednym z najskuteczniejszych samodzielnie hostowanych podejść dostępnych w 2026 do sprawienia, że ruch proxy wygląda znacznie bardziej jak zwykły ruch HTTPS. Ten przewodnik przeprowadzi Cię przez wdrażanie własnego serwera VLESS + Reality przy użyciu panelu sterowania 3x-ui, od zrozumienia, dlaczego to podejście działa, do uzyskania działającego połączenia na Twoim urządzeniu.
Problem: Dlaczego standardowe sieci VPN są blokowane
Czasy, gdy prosty serwer OpenVPN lub WireGuard działał niezawodnie przez miesiące, a nawet lata, już minęły. Technologia Deep Packet Inspection (DPI) rozwinęła się dramatycznie, a nie chodzi już tylko o wykrywanie niezaszyfrowanego ruchu. Nowoczesne systemy DPI badają wiele charakterystyk ruchu sieciowego, aby zidentyfikować połączenia VPN z niezwykłą dokładnością.
Rozważ, co się dzieje, gdy łączysz się przy użyciu standardowego OpenVPN lub WireGuard. Ruch jest zaszyfrowany, ale wciąż ma rozpoznawalny kształt. OpenVPN często ujawnia handshake TLS i wzorzec ruchu, który nie wygląda jak zwykła sesja przeglądarki. WireGuard w ogóle nie używa TLS, ale jego handshake oparty na UDP i zachowanie pakietów są wystarczająco charakterystyczne, aby wyróżniać się w sieciach filtrowanych. To jak posiadanie paszportu z błędnym kodem kraju—dokument jest ważny, ale szczegóły nie odpowiadają żadnemu legalnie podróżującemu.
W 2026 roku blokowanie następuje szybciej niż kiedykolwiek. Tam, gdzie nowo wdrożona sieć VPN mogła działać przez miesiące, zanim została wykryta, teraz nowe serwery mogą być zidentyfikowane w ciągu dni, a nawet godzin od uruchomienia. Blokowanie jest również bardziej rozpowszechnione, następując na poziomie ISP, poziomu sieci korporacyjnej, a w niektórych jurysdykcjach na poziomie krajowej zapory ogniowej. Potrzebujesz rozwiązania, które nie tylko szyfruje ruch—czyni ruch wygląda na coś zupełnie innego.
Czym jest VLESS? Wyjaśnienie protokołu
VLESS to skrót od „VMess Less”—nazwa, która bezpośrednio odzwierciedla jego filozofię projektowania. Został stworzony jako lżejszy, prostszy następca protokołu VMess, który był oryginalnym domyślnym protokołem transportu w projekcie V2Ray. Podczas gdy VMess łączył szyfrowanie, uwierzytelnianie i transport w jeden ściśle powiązany system, VLESS usuwa niepotrzebne warstwy i pozostawia czysty, bezstanowy protokół transportu.
Oto krytyczne rozróżnienie: VLESS funkcjonuje jako proxy, a nie jako pełny tunel VPN. Protokół przekierowuje Twój ruch przez serwer, zamiast tworzyć kompletny wirtualny interfejs sieciowy. Dla większości użytkowników to rozróżnienie jest akademickie—funkcjonalny wynik jest dokładnie tym, czego oczekujesz od VPN: Twój ruch wydaje się pochodzić z adresu IP serwera. Ale ta architektura proxy jest dokładnie tym, dlaczego VLESS działa tak dobrze z Reality, ponieważ lżejsza narzut protokołu pozwala mechanizmowi stealth działać bez zakłóceń.
Projekt proxy oznacza również mniejszy narzut w porównaniu z tradycyjnymi protokołami VPN. Nie ma interfejsu tunelu na poziomie jądra do zarządzania, nie ma dodatkowych warstw szyfrowania poza tym, co jest konieczne, a protokół został zaprojektowany od podstaw do pracy z nowoczesnymi mechanizmami stealth opartymi na TLS. Ta prostota jest cechą, a nie ograniczeniem—oznacza to mniej rzeczy, które mogą się nie udać, i mniej odcisków palców, które mogą być wykryte.
Zrozumienie rzeczywistości: Technologia Stealth
Reality to technologia, która przekształca VLESS z kolejnego protokołu proxy w coś znacznie trudniejszego do odróżnienia od zwykłego zaszyfrowanego ruchu internetowego. Mechanizm jest elegancki w swojej prostocie: zamiast próbować ukryć to, co robisz, Reality sprawia, że twój ruch wygląda na coś zupełnie innego.
Reality osiąga to poprzez technikę działającą na poziomie TLS handshake. Gdy klient łączy się z twoim serwerem, wysyła TLS ClientHello, który naśladuje rzeczywistą przeglądarkę—używając biblioteki uTLS do replikacji fingerprinta Chrome’a, Firefoxa lub innej popularnej przeglądarki. Serwer następnie weryfikuje połączenie, używając materiału klucza Reality i parametrów klienta zbudowanych wokół pary kluczy x25519. Jeśli klient przedstawi oczekiwane wartości Reality, połączenie przechodzi jako proxy VLESS. Jeśli nie—co się dzieje, gdy system DPI lub aktywna sonda uderzy w twój serwer—ruch jest przekierowywany do legytymnej strony docelowej, takiej jak www.microsoft.com lub www.apple.com. Dla systemu sondującego twój serwer wygląda jak normalna strona internetowa, a nie oczywisty endpoint proxy.
Pomyśl o tym jak noszenie munduru. Strażnik granicznego sprawdzający pojazdy nie kontroluje każdego samochodu dokładnie—machają ręką na tych, które wyglądają na legalne na podstawie rejestracji, tablic rejestracyjnych i wyglądu kierowcy. Twój ruch nosi mundur dużej korporacji, więc inspektor sieci machnie ręką bez szczegółowej kontroli, która by ujawniła, że to jest w rzeczywistości coś innego. Fingerprint uTLS to przebranie, a wymiana kluczy x25519 to tajny uścisk dłoni, który zna tylko twój klient.
Punkt krytyczny: nie potrzebujesz własnej domeny, aby to działało. Poprzednie metody stealth wymagały posiadania domeny i uzyskania certyfikatów Let’s Encrypt, co tworzyło ślad papieru i dodatkową złożoność. Reality wymaga nic poza adresem IP VPS. Docelowe strony internetowe (Microsoft, Apple, Google) mają prawie 100% dostępność i obsługują najnowszy protokół TLS 1.3, co czyni je idealnymi kotwicami dla tej techniki.
Port 443 daje temu przebraniu najlepszą szansę na zmieszanie się. Standardowy ruch HTTPS zwykle używa portu 443, więc utrzymanie Reality na tym porcie sprawia, że połączenie wygląda znacznie bliżej zwykłego przeglądania internetowego. Inne porty mogą działać technicznie, ale osłabiają kamuflarz, ponieważ nie pasują już do domyślnego kształtu codziennego ruchu HTTPS.
Powszechne Błędne Przekonania
Zanim przejdziemy dalej, wyjaśnijmy trzy błędne przekonania, które wprowadzają w błąd osoby poznające VLESS + Reality po raz pierwszy.
„VLESS to VPN.” W ujęciu technicznym VLESS jest protokołem proxy, a nie VPN w tradycyjnym sensie. Nie ma interfejsu TUN/TAP, nie ma wirtualnego adaptera sieciowego i nie ma manipulacji tablicą routingu. Jednak z funkcjonalnego punktu widzenia użytkownika zapewnia dokładnie to, czego oczekiwałbyś od VPN—twój ruch internetowy wydaje się pochodzić z adresu IP serwera. Rozróżnienie ma znaczenie dla inżynierów sieciowych, ale rzadko ma znaczenie dla użytkowników końcowych.
„Reality wymaga domeny.” Było to prawdą w przypadku wcześniejszych technik ukrywania, które używały własnych domen i certyfikatów Let’s Encrypt. Reality został specjalnie zaprojektowany do pracy bez żadnej domeny, którą kontrolujesz. Wykorzystuje mimikę odcisku przeglądarki i uwierzytelnianie kluczem x25519, co oznacza, że nie musisz nic rejestrować, zarządzać ani odnawiać. Skonfiguruj to raz, a będzie działać nadal.
„To jest nie do zhakowania.” Nic nie jest nie do zhakowania. Reality jest wysoce odporne na wykrycie i blokowanie, ponieważ naprawdę wygląda jak normalny ruch HTTPS. Ale nie jest odporne na przyszłe ulepszenia technologii DPI, potencjalne fingerprinting protokołu lub ataki ukierunkowane. To, co zapewnia, to najlepsza dostępna ochrona w 2026 roku przed najczęstszymi formami filtrowania sieci. Traktuj to jako solidne rozwiązanie, a nie magiczną tarczę.
Co musisz przygotować przed rozpoczęciem
Będziesz potrzebować VPS od dowolnego dostawcy (np. AvaHost), a podobne usługi działają równie dobrze. W przypadku typowej wydajności dla jednego użytkownika wystarczy plan podstawowy z 1 rdzeniem CPU i 1 GB RAM. Serwer powinien działać na Ubuntu 22.04 LTS lub 24.04 LTS; te wersje mają wbudowaną obsługę jądra dla wymaganych funkcji sieciowych.
Dostęp root SSH jest niezbędny. Musisz mieć możliwość połączenia się z serwerem za pośrednictwem wiersza poleceń i wykonywania poleceń uprzywilejowanych. Większość dostawców VPS oferuje to domyślnie — po wdrożeniu otrzymasz adres IP, nazwę użytkownika (zwykle root) oraz hasło lub klucz SSH.
W przypadku aplikacji klienckich, w zależności od Twoich urządzeń będziesz potrzebować: v2rayNG dla Androida, v2rayN dla Windows, V2Box lub Streisand dla macOS oraz Shadowrocket lub FoXray dla iOS. Omówimy je szczegółowo w sekcji aplikacji klienckich w dalszej części tego przewodnika.
Jedną z istotnych zalet metody Reality: nie potrzebujesz domeny, którą kontrolujesz. Wiele ukrytych konfiguracji wymaga rejestracji i zarządzania domeną, ale Reality może pracować bezpośrednio z adresu IP VPS, jednocześnie przejmując wygląd legalnego miejsca docelowego TLS.
Krótka uwaga na temat kwestii prawnych: Techniki opisane w tym przewodniku są przeznaczone dla uzasadnionych potrzeb prywatności i dostępu. Przepisy dotyczące filtrowania internetu znacznie różnią się w zależności od jurysdykcji. Upewnij się, że Twoje użytkowanie tych narzędzi jest zgodne z obowiązującymi przepisami w Twoim regionie.
Przygotowanie serwera: BBR i podstawy
Po weryfikacji wymagań wstępnych przygotujmy serwer. Ta faza optymalizuje Twój VPS przed instalacją jakiegokolwiek oprogramowania, zapewniając maksymalną wydajność od samego początku.
💡 WSKAZÓWKA: Użyj BBR przed wdrożeniem — często poprawia przepustowość i opóźnienie na ograniczonych lub wolniejszych łączach.
Najpierw zaktualizuj pakiety systemowe. Zapewnia to najnowsze aktualizacje bezpieczeństwa i wymagane zależności:
apt update && apt upgrade -y
Ten krok może potrwać 1–5 minut w zależności od dostawcy VPS i szybkości sieci. Niektórzy dostawcy wstępnie aktualizują swoje obrazy podczas wdrażania, więc na niektórych systemach może to zakończyć się szybko.
Następnie włącz kontrolę przeciążenia Google BBR. BBR (Bottleneck Bandwidth and Round-trip propagation time) to algorytm kontroli przeciążenia firmy Google. Zamiast polegać głównie na stracie pakietów jako sygnale, próbuje bezpośrednio modelować dostępną przepustowość i czas podróży w obie strony, co może poprawić przepustowość i responsywność na niektórych łączach VPS.
# Verify BBR module is available
lsmod | grep tcp_bbr
Jeśli nic się nie pojawi, załaduj moduł ręcznie:
modprobe tcp_bbr
Teraz utwórz konfigurację sysctl, aby włączyć BBR trwale:
cat >> /etc/sysctl.d/99-bbr.conf << 'EOF'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF
Zastosuj konfigurację:
sysctl -p /etc/sysctl.d/99-bbr.conf
Sprawdź, czy BBR jest aktywny:
sysctl net.ipv4.tcp_congestion_control
sysctl net.ipv4.tcp_available_congestion_control
Powinieneś zobaczyć bbr jako aktywny algorytm.
Niektóre systemy korzystają na ponownym uruchomieniu po włączeniu BBR — zapewnia to prawidłowe załadowanie modułu i wejście w życie wszystkich optymalizacji sieciowych:
reboot
Teraz upewnij się, że port 443 jest dostępny. Jeśli planujesz użyć wbudowanego przepływu Let’s Encrypt instalatora 3x-ui dla panelu, zezwól również na 80/tcp — ten port jest używany do walidacji certyfikatu ACME, a nie do samego panelu. Jeśli dostawca VPS ma również warstwę zapory chmury lub grupę bezpieczeństwa, zezwól na te same porty tam również. Na Ubuntu najbezpieczniejszą ścieżką jest zwykle UFW.
# If this is a remote VPS and you're enabling UFW for the first time, allow SSH before enabling the firewall
ufw allow OpenSSH
# Allow HTTPS-style Reality traffic
ufw allow 443/tcp
# Allow ACME validation for the 3x-ui panel's built-in Let's Encrypt setup
ufw allow 80/tcp
# Review rules, then enable only if UFW is not already active
ufw status
ufw enable
⚠️ OSTRZEŻENIE: Port 443 jest zdecydowanie zalecany, ponieważ odpowiada normalnemu ruchowi HTTPS. Inne porty mogą działać technicznie, ale mieszają się mniej naturalnie i ułatwiają oznaczenie konfiguracji.
Twój serwer jest teraz zoptymalizowany i gotowy do instalacji 3x-ui.
Instalacja panelu 3x-ui
Przed uruchomieniem instalatora zwróć uwagę na jeden łatwy do pominięcia wymóg: jeśli chcesz, aby wbudowana konfiguracja Let’s Encrypt instalatora wystawiła certyfikat SSL dla panelu, 80/tcp musi być otwarty i dostępny z publicznego internetu. Ten port walidacji ACME jest oddzielony od portu panelu, który wybierzesz podczas konfiguracji.
Uruchom polecenie instalacji:
bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)
Bieżące wersje instalatora nie zaczynają się od starszego menu Instalacja / Aktualizacja / Odinstalowanie, które wiele samouczków wciąż pokazuje. Zamiast tego skrypt natychmiast rozpoczyna instalację, instaluje brakujące zależności, pobiera najnowszą wersję, a następnie przeprowadzi Cię przez monity konfiguracji panelu.
Typowy przepływ instalacji wygląda teraz następująco:
- Wybierz, czy ustawić niestandardowy port panelu, czy pozwolić instalatorowi wygenerować losowy.
- Pozwól instalatorowi wygenerować losową nazwę użytkownika, hasło i webBasePath.
- Wybierz sposób konfiguracji SSL panelu:
- 1 = Let’s Encrypt dla domeny
- 2 = Let’s Encrypt dla IP serwera
- 3 = użyj istniejącego certyfikatu
- Uzupełnij monity certyfikatu, jeśli używasz wbudowanego przepływu Let’s Encrypt.
⚠️ WAŻNE: Port panelu nie jest tym samym co port walidacji ACME. Możesz uruchomić panel na losowym porcie, takim jak 13525, i nadal potrzebować publicznego 80/tcp otwartego, aby Let’s Encrypt mógł zwalidować certyfikat.
Ważna zasada jest prosta: użyj dokładnych poświadczeń, ścieżki i adresu URL wydrukowanych przez Twój własny instalator, a nie założeń skopiowanych ze starszych samouczków.
Twój ostateczny wynik będzie wyglądać bardziej tak:
Username: GENERATED_USERNAME Password: GENERATED_PASSWORD Port: 13525 WebBasePath: RANDOM_PATH Access URL: https://YOUR_SERVER_IP:13525/RANDOM_PATH
Sprawdź, czy usługa jest uruchomiona:
systemctl status x-ui
Ta kontrola ma znaczenie. Zwróć szczególną uwagę na linię serwera webowego w danych wyjściowych stanu:
- Jeśli widzisz Web server running HTTPS …, SSL panelu działa prawidłowo.
- Jeśli widzisz Web server running HTTP …, panel zainstalował się pomyślnie, ale konfiguracja SSL nie została ukończona.
Uzyskaj dostęp do panelu, używając dokładnego adresu URL, nazwy użytkownika i hasła wygenerowanych przez Twoją własną instalację. Nie zakładaj, że ścieżka to /panel, i nie zakładaj, że poświadczenia to admin/admin, chyba że Twoja własna instalacja wyraźnie to mówi.
💡 WSKAZÓWKA 1: Aby ponownie wyświetlić bieżące ustawienia panelu i wydrukować adres URL dostępu, w CLI uruchom polecenie „x-ui” i wybierz numer 10 „View Current Settings” z danych wyjściowych menu.
💡 WSKAZÓWKA 2: Jeśli adres URL dostępu się nie ładuje, upewnij się, że port panelu 3x-ui jest otwarty na zaporze sieciowej Twojego VPS. Na przykład, jeśli Twój panel działa na porcie „13525”, zezwól na niego za pomocą: ” ufw allow 13525/tcp „. Zastąp 13525 rzeczywistym portem, który skonfigurowałeś dla panelu 3x-ui.
Jeśli instalator się zakończy, ale systemctl status x-ui pokazuje HTTP zamiast HTTPS
Najczęstszą przyczyną jest to, że 80/tcp nie był dostępny z publicznego internetu podczas walidacji Let’s Encrypt. W takim przypadku panel może się zainstalować i uruchomić, ale wystawienie certyfikatu nie powiedzie się.
Najpierw napraw zaporę sieciową:
ufw allow 80/tcp
ufw status
Jeśli Twój dostawca VPS ma warstwę zapory sieciowej w chmurze lub grupę bezpieczeństwa, zezwól tam również na 80/tcp. Następnie ponownie uruchom konfigurację certyfikatu panelu ze skryptu zarządzania 3x-ui:
x-ui
Dla certyfikatu panelu opartego na IP wybierz:
- 19 → 6 (Get SSL for IP Address)
Dla certyfikatu panelu opartego na domenie wybierz:
- 19 → 1 (Get SSL (Domain))
Po wystawieniu certyfikatu sprawdź ponownie:
systemctl status x-ui
Chcesz, aby dane wyjściowe stanu pokazywały Web server running HTTPS … przed kontynuowaniem.
💡 WSKAZÓWKA: Natychmiast zapisz wygenerowane poświadczenia i adres URL panelu. Zwróć również uwagę, że podsumowanie instalatora może być mylące, jeśli wystawienie certyfikatu nie powiedzie się — jeśli ostateczny blok wydrukuje adres URL HTTPS, ale systemctl status x-ui nadal pokazuje HTTP, zaufaj danym wyjściowym stanu usługi i napraw SSL przed kontynuowaniem.
Konfiguracja VLESS + Reality Inbound
To jest krytyczny krok konfiguracji, w którym Twój system podobny do VPN faktycznie powstaje. W panelu 3x-ui przejdź do Inbounds → Add Inbound.
Skonfiguruj pola w następujący sposób:
| Pole | Wartość | Uwagi |
|---|---|---|
| Protocol | VLESS | Wybierz z listy rozwijanej |
| Listen IP | 0.0.0.0 | Domyślnie / wszystkie interfejsy |
| Port | 443 | Rekomendowany dla najbardziej naturalnego maskowania HTTPS |
| Client → Authentication | Pozostaw puste / domyślnie | Nie używaj Get New keys dla tej podstawowej konfiguracji |
| Client → decryption | none | Wymagane dla VLESS |
| Client → encryption | none | Pozostaw na domyślnie |
| Client → Flow | xtls-rprx-vision | Ustaw to w sekcji Client. Jeśli to pole nie jest jeszcze widoczne, najpierw ustaw Transmission na TCP (RAW) i Security na reality. |
| Transmission | TCP (RAW) | Użyj bezpośredniego transportu TCP |
| Security | reality | Wybierz z opcji bezpieczeństwa |
| uTLS | chrome | Użyj wspólnego odcisku przeglądarki |
| Target | www.microsoft.com:443 | Stabilny cel TLS 1.3 dla fallback/sondowania |
| SNI | www.microsoft.com | Utrzymuj zgodność z Target |
| Short IDs | Wygeneruj lub użyj domyślnego panelu | Skopiuj jedną wygenerowaną wartość do klienta |
| SpiderX | / | Prosty domyślny |
| Public Key | Wygeneruj za pomocą Get New Cert | Skopiuj to do klienta |
| Private Key | Wygeneruj za pomocą Get New Cert | Przechowuj to tylko na serwerze |
📋 UWAGA: Pozostaw pozostałe widoczne pola — takie jak Total Flow, Traffic Reset, Duration, Fallbacks, Proxy Protocol, HTTP Obfuscation, Sockopt, External Proxy, Show, Xver, Max Time Diff, Min Client Ver, Max Client Ver, Sniffing i pola ML-DSA — na ich wartościach domyślnych dla tej podstawowej konfiguracji.
Na koniec kliknij Save, aby utworzyć inbound.
⚠️ OSTRZEŻENIE: Port 443 jest najlepszą wartością domyślną, ponieważ odpowiada zwykłemu ruchowi HTTPS. Jeśli go zmienisz, inbound może nadal działać, ale nie będzie się już tak naturalnie maskować.
⚠️ OSTRZEŻENIE: Cel Reality musi obsługiwać TLS 1.3 — Microsoft, Apple i Google to bezpieczne wybory. Użycie celu, który nie obsługuje TLS 1.3, spowoduje awarię Reality, ponieważ protokół jest zaprojektowany specjalnie dla uzgodnień TLS 1.3.
Dlaczego te wartości są ważne: port 443 daje Ci najbardziej wiarygodny profil HTTPS, stabilny cel TLS 1.3 daje sondowaniom uzasadnione miejsce do lądowania, a odcisk chrome utrzymuje stronę klienta wyrównaną z jednym z najczęstszych odcisków przeglądarki w internecie. Zacznij prosto, uzyskaj jedną działającą ścieżkę, a następnie rozszerz później, jeśli potrzebujesz wielu celów.
Zarządzanie użytkownikami w 3x-ui
Po skonfigurowaniu inbound, musisz utworzyć połączenia użytkowników, które będą używane przez Twoje urządzenia do uwierzytelniania. W 3x-ui przejdź do Inbounds → [Kliknij na menu VLESS inbound] → Add Client.
Każdy użytkownik otrzymuje unikalny UUID (generowany automatycznie), adres e-mail do identyfikacji oraz opcjonalne limity ruchu/wygaśnięcia. Kiedy tworzysz klienta, panel generuje wartości potrzebne do połączenia: adres serwera, UUID, flow, klucz publiczny, short ID i ustawienia związane z SNI.
Naciskając znak plus („+”) wybranego inbound, pojawi się lista użytkowników.
Eksportowanie klienta
Aby wyeksportować szczegóły połączenia pojedynczego klienta, najpierw rozwiń wiersz inbound, aby była widoczna tabela klientów. W wierszu klienta użyj dwóch akcji eksportu dla każdego klienta:
- Ikona QR → otwiera modal QR
- Ikona Info → otwiera modal szczegółów
Odpowiadają one pierwszym dwóm metodom udostępniania.
Kod QR: Kliknij ikonę QR klienta. Jeśli subskrypcje są włączone, modal QR może wyświetlać dwa kody QR:
- Subscription → kod QR dla adresu URL subskrypcji klienta
- Client QR (oznaczony adresem e-mail klienta lub identyfikatorem, takim jak example@mail.com) → kod QR dla bezpośredniego URI VLESS Reality
Kod QR subskrypcji jest przydatny dla klientów obsługujących automatyczne aktualizacje. Kod QR klienta to jednorazowy bezpośredni import dla tego konkretnego klienta.
Link udostępniania / URL: Kliknij ikonę Info klienta. W modalu szczegółów możesz zobaczyć dwa typy eksportu tekstu:
- Subscription URL → odświeżalny punkt końcowy subskrypcji
- URL → bezpośredni URI VLESS Reality dla tego klienta
Użyj przycisku kopiowania obok sekcji URL do importu na komputerze.
Minimalnie, użyteczny bezpośredni URI Reality powinien zawierać wypełnione wartości takie jak:
type=tcp encryption=none security=reality sni=www.microsoft.com fp=chrome pbk=YOUR_PUBLIC_KEY sid=YOUR_SHORT_ID spx=/ flow=xtls-rprx-vision
pbk= to klucz publiczny Reality i należy do bezpośredniego URI VLESS. Sam adres URL subskrypcji zwykle nie będzie zawierać pbk=, ponieważ jest to tylko punkt końcowy pobierania; zwrócona konfiguracja zawiera rzeczywiste parametry Reality.
Niektóre wersje 3x-ui miały błędy w linku udostępniania Reality, gdzie pbk= jest puste. Jeśli bezpośredni URI nie zawiera pbk= lub sid=, nie ufaj mu ślepo. W takim przypadku zamiast tego użyj konfiguracji ręcznej.
Konfiguracja ręczna: Nie ma oddzielnego przycisku eksportu „konfiguracja ręczna”. W praktyce konfiguracja ręczna oznacza wprowadzenie wartości bezpośrednio do aplikacji klienta lub samodzielne skomponowanie i zweryfikowanie ostatecznego URI VLESS Reality z wartości surowych. Zbierz wymagane wartości z:
- modalu Infoadres serwera, port, UUID, flow i bezpośredni URI
- ustawień Reality inbound: SNI, klucz publiczny, short ID, fingerprint (chrome) i SpiderX (/) jeśli jest potrzebny
Możesz utworzyć wielu użytkowników dla różnych urządzeń lub różnych osób. Każdy UUID jest niezależny, więc cofnięcie dostępu dla jednego użytkownika nie wpływa na innych.
Ręczna konfiguracja Xray (Skrót)
Niektórzy użytkownicy wolą nie korzystać z interfejsu graficznego i chcą edytować konfigurację Xray bezpośrednio. W standardowej instalacji 3x-ui na Linuksie aktywna konfiguracja runtime jest zapisywana w /usr/local/x-ui/bin/config.json, więc możesz ją sprawdzić lub wprowadzić tam tymczasowe zmiany ręczne.
Traktuj ten plik jako wygenerowany artefakt runtime, a nie jako źródło prawdy panelu. 3x-ui odbudowuje config.json z ustawień wspieranego bazą danych, więc ręczne edycje mogą zostać zastąpione po ponownym uruchomieniu Xray lub gdy zapiszesz zmiany w panelu.
Zanim go edytujesz, utwórz kopię zapasową:
cp /usr/local/x-ui/bin/config.json /usr/local/x-ui/bin/config.json.bak
Ręczna edycja może być przydatna do szybkiego testowania lub debugowania, ale niepoprawny JSON może uniemożliwić uruchomienie Xray. Jeśli 3x-ui spełnia Twoje potrzeby, trzymaj się panelu dla zmian trwałych i używaj edycji bezpośrednich config.json tylko w zaawansowanych przypadkach.
Aplikacje klienckie wg platformy
Aby połączyć się z serwerem, potrzebujesz oprogramowania klienckiego na swoich urządzeniach. Oto dostępne opcje:
| Platforma | Rekomendowane aplikacje | Uwagi |
|---|---|---|
| Windows | v2rayN | Klient GUI z integracją zasobnika systemowego |
| macOS | V2Box, Streisand | V2Box jest darmowy; Streisand dostępny w App Store |
| Android | v2rayNG, NekoBox | Oba dostępne na GitHub i F-Droid |
| iOS | Shadowrocket, FoXray, V2Box | Shadowrocket jest płatny; dostępność FoXray może się różnić |
Na Windows v2rayN to rekomendowany wybór — jest aktywnie utrzymywany, ma czysty interfejs i natywnie obsługuje konfigurację Reality. Na urządzeniach mobilnych zarówno v2rayNG jak i V2Box obsługują import kodów QR, co przyspiesza konfigurację.
📋 UWAGA: Dostępność aplikacji klienckich na platformach Apple zmienia się często. Jeśli wymieniona aplikacja jest niedostępna w Twoim regionie, sprawdź oficjalną stronę projektu, wpis w App Store lub ścieżkę TestFlight przed założeniem, że problem dotyczy samego protokołu.
Podłączanie Pierwszego Klienta
Przejdźmy przez proces podłączania klienta Windows przy użyciu v2rayN — procedura jest podobna na innych platformach, ale poniżej znajduje się kompletny przykład.
Krok 1: Pobierz v2rayN
Odwiedź https://github.com/2dust/v2rayN/releases i pobierz aktualną wersję desktop dla Windows. Od 2026 roku, najprostszą opcją jest zwykle v2rayN-windows-64-desktop.zip (lub aktualny odpowiednik pakietu desktop wyświetlony na stronie wydań).
Krok 2: Rozpakuj i Uruchom
Rozpakuj plik ZIP do folderu (np. C:v2rayN). Uruchom v2rayN.exe. Ostatnie wersje desktop są zazwyczaj samodzielne, więc zwykle nie musisz instalować oddzielnego środowiska uruchomieniowego .NET desktop. Aplikacja pojawia się w zasobniku systemowym.
Krok 3: Importuj Konfigurację
Do tego połączenia użyj bezpośredniego adresu URL VLESS z 3x-ui — tego, który zaczyna się od vless:// — nie adresu URL subskrypcji. Jeśli wyeksportowany link Reality brakuje wymaganych wartości, takich jak pbk= lub sid=, wróć do poprzedniej sekcji 3x-ui i zamiast tego użyj wartości ręcznych z ustawień inbound.
W v2rayN otwórz menu Configuration w lewym górnym obszarze okna. Najprostszą metodą jest skopiowanie bezpośredniego adresu URL VLESS z 3x-ui, a następnie wybranie Configuration → Import Share Links from clipboard. W większości wersji możesz również po prostu nacisnąć Ctrl+V. Upewnij się, że najpierw skopiowałeś bezpośredni adres URL VLESS, aby aplikacja mogła wkleić wartość.
Jeśli import ze schowka nie jest preferowaną opcją, możesz również użyć kodu QR lub importu ręcznego.
Krok 4: Połącz
Po zaimportowaniu klienta, aby aktywować tunel między klientem Windows a serwerem, naciśnij przycisk „Enable tunnel” na dole interfejsu v2rayN.
Krok 5: Weryfikuj
Otwórz przeglądarkę i odwiedź https://whatismyipaddress.com/ lub https://ip.sb. Wyświetlany adres IP powinien być adresem IP Twojego serwera, a nie Twoim lokalnym adresem IP. To potwierdza, że Twój ruch jest kierowany przez VPN.
Weryfikacja Konfiguracji
Weryfikacja połączenia potwierdza, że wszystko działa zgodnie z oczekiwaniami. Poza sprawdzeniem adresu IP w przeglądarce, warto uruchomić kilka dodatkowych testów.
Sprawdzenie Adresu IP: Odwiedź https://whatismyipaddress.com/ lub https://ip.sb podczas połączenia. Wyświetlony adres IP powinien odpowiadać adresowi IP serwera VPS, a nie adresowi IP domowego lub lokalnej sieci.
Test Wycieku DNS: Odwiedź https://dnsleak.com lub https://browserleaks.com/dns i uruchom test. Prawidłowo skonfigurowany klient nie powinien ujawniać normalnych lokalnych resolwerów DNS podczas aktywności proxy.
Typowe problemy i rozwiązania
| Problem | Przyczyna | Rozwiązanie |
|---|---|---|
| Brak połączenia | Port 443 zablokowany | Sprawdź firewall: ufw allow 443/tcp i konsolę dostawcy chmury |
| Panel się nie otwiera | Zły adres URL lub stare założenie /panel | Użyj dokładnego adresu URL HTTPS wydrukowanego przez instalator |
| Importowany link się nie łączy | Link Reality brakuje pbk lub sid | Sprawdź link lub przejdź na ręczną konfigurację klienta |
| Timeout połączenia | Zły SNI | Sprawdź, czy SNI się zgadza (www.microsoft.com) w ustawieniach klienta |
| Błąd TLS | Zły odcisk palca lub niedopasowane wartości Reality | Ustaw odcisk palca na chrome i ponownie sprawdź SNI, klucz publiczny i krótki identyfikator |
| Niska prędkość | BBR nie włączony | Ponownie włącz BBR zgodnie z sekcją przygotowania serwera |
| „Brak odpowiedzi serwera” | Firewall blokuje | Sprawdź zarówno firewall serwera, jak i grupy bezpieczeństwa dostawcy chmury |
Jeśli napotkasz problemy, sprawdź, czy konfiguracja klienta dokładnie odpowiada temu, co zostało wygener
Następne kroki i opcje zaawansowane
Masz już działający VPN VLESS + Reality. Od tego miejsca dostępnych jest kilka ulepszeń:
Dodaj backup inbound ostrożnie: Jeśli naprawdę potrzebujesz fallbacku, możesz dodać coś w rodzaju VMess + WebSocket jako secondary inbound. Pamiętaj tylko, że każdy dodatkowy inbound zwiększa złożoność i daje ci jedną dodatkową powierzchnię do zabezpieczenia i debugowania.
Skalowanie dla wielu użytkowników: Utwórz dodatkowych klientów w 3x-ui dla członków rodziny lub urządzeń. Każdy otrzymuje unikalny UUID i możesz śledzić użycie osobno.
Tuning wydajności: BBR jest już włączony, ale możesz eksplorować optymalizację TCP/UDP, tuning bufora sieciowego i tuning TCP po stronie serwera dla marginalnych ulepszeń.
Alternatywne cele SNI: Chociaż Microsoft/Apple/Google są niezawodne, niektórzy użytkownicy preferują www.oracle.com lub inne cele. Zasada pozostaje taka sama—każda strona z ważnymi certyfikatami TLS 1.3 działa.
Bezpieczeństwo panelu: Ogranicz port panelu do twojego własnego IP administratora, jeśli to możliwe, obróć poświadczenia, jeśli wybrałeś je ręcznie, i rozważ zainstalowanie Fail2Ban, aby chronić panel przed atakami brute-force.
Podsumowanie
VLESS + Reality to solidna opcja self-hosted na 2026 rok, jeśli potrzebujesz konfiguracji, która lepiej się maskuje niż tradycyjne protokoły VPN. Jego zaletą nie jest magiczna niewidoczność; chodzi o to, że ruch wygląda znacznie bardziej jak zwykły szyfrowany ruch internetowy niż połączenia w stylu OpenVPN lub WireGuard w sieciach z intensywnym filtrowaniem.
Jeśli zrozumiesz model mentalny—fingerprinting TLS podobny do przeglądarki, materiał klucza Reality, wiarygodny cel i standardowy port HTTPS—wdrażanie, debugowanie i utrzymanie konfiguracji będzie znacznie łatwiejsze. Od tego momentu naturalne następne kroki to wzmocnienie bezpieczeństwa panelu, dodanie większej liczby urządzeń klienckich i walidacja, które cele i aplikacje klienckie działają najlepiej w Twoim środowisku. W kwestii hostingu, dostawcy takie jak AvaHost mogą zapewnić Ci stabilną bazę do uruchomienia konfiguracji VLESS + Reality, gwarantując niezawodny czas pracy i proste zarządzanie.
Powiązane posty
