Evita la censura DPI: proxy VLESS + REALITY en un VPS

La inspección profunda de paquetes (DPI) permite a una red mirar más allá de las direcciones y los puertos y juzgar la forma de tu tráfico. Los protocolos VPN clásicos tienen handshakes reconocibles, por lo que un censor puede bloquearlos sin descifrar un solo byte. Un endpoint privado en tu propio VPS evita las listas de bloqueo compartidas, y un protocolo que imita el HTTPS ordinario evita la detección por huella. Esta guía configura uno de esos protocolos: VLESS con REALITY sobre Xray.

Cómo detecta el DPI una VPN

Los censores se apoyan en tres señales: patrones fijos de handshake (OpenVPN y WireGuard los tienen), rangos de IP conocidos de proveedores comerciales de VPN y el sondeo activo, en el que el censor se conecta a tu servidor y comprueba cómo responde. Un protocolo tiene que sobrevivir a las tres para durar.

• Patrones de handshake: se evitan envolviendo el tráfico en una sesión TLS genuina.
• Rangos de IP compartidos: se evitan usando un servidor que solo usas tú.
• Sondeo activo: se evita haciendo que el servidor se comporte como un sitio web real para cualquiera que no tenga la clave.

Por qué REALITY

REALITY toma prestado el handshake TLS de un sitio web real y popular. Una sonda que no conoce tu clave simplemente se reenvía a ese sitio y ve un certificado y una página normales. Un cliente que sí conoce la clave obtiene el proxy. No hay un certificado propio que señalar ni un dominio que registrar.

Paso 1: prepara el servidor

Usa un VPS Ubuntu nuevo en una ubicación con buena ruta hacia tus usuarios y aplica primero el refuerzo básico. Después instala Xray con el script oficial.

sudo apt update && sudo apt -y upgrade
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
xray x25519

El último comando imprime una clave privada y una pública. Guarda la clave privada en el servidor y entrega la clave pública a los clientes. Genera un ID de usuario con xray uuid.

Paso 2: escribe la configuración de Xray

Elige un sitio de camuflaje que admita TLS 1.3 y HTTP/2 y al que se pueda llegar desde tu servidor. Pon su nombre de host tanto en dest como en serverNames.

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "example.org:443",
        "serverNames": ["example.org"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": ["a1b2c3d4"]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Guárdalo como /usr/local/etc/xray/config.json, luego ejecuta sudo systemctl restart xray y comprueba systemctl status xray.

Paso 3: abre el cortafuegos y conéctate

sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enable

En el cliente, importa la dirección del servidor, el puerto 443, el UUID, la clave pública, el short ID y el mismo nombre de servidor. Clientes como v2rayN, Nekoray, Streisand y Hiddify admiten REALITY. Establece el flow en xtls-rprx-vision para que coincida con el servidor.

Mantenlo funcionando

• Usa un VPS por cada grupo pequeño de usuarios. Un endpoint muy concurrido es más fácil de perfilar.
• Si el sitio de camuflaje deja de ser accesible desde el servidor, las conexiones fallan. Elige un sitio estable y cámbialo si hace falta.
• Mantén Xray actualizado; las correcciones del protocolo llegan a menudo.
• No ejecutes nada más en el puerto 443 de la misma IP.

Ninguna herramienta garantiza el acceso bajo cualquier censor. Prueba desde la red que usarás de verdad y ten un segundo protocolo como alternativa. Para una VPN cotidiana más sencilla, consulta WireGuard en tu VPS, y para elegir entre los dos clásicos lee WireGuard u OpenVPN.