A inspeção profunda de pacotes (DPI) permite que uma rede olhe além de endereços e portas e avalie o formato do seu tráfego. Os protocolos de VPN clássicos têm handshakes reconhecíveis, então um censor pode bloqueá-los sem nunca decifrar um byte. Um endpoint privado no seu próprio VPS evita as listas de bloqueio compartilhadas, e um protocolo que imita HTTPS comum evita a identificação por fingerprint. Este guia configura um desses protocolos: VLESS com REALITY no Xray.
Como o DPI identifica uma VPN
Os censores se baseiam em três sinais: padrões fixos de handshake (OpenVPN e WireGuard têm), faixas de IP conhecidas de provedores comerciais de VPN e sondagem ativa, em que o censor se conecta ao seu servidor e verifica como ele responde. Um protocolo precisa sobreviver aos três para durar.
- Padrões de handshake: evitados envolvendo o tráfego em uma sessão TLS genuína.
- Faixas de IP compartilhadas: evitadas usando um servidor que só você usa.
- Sondagem ativa: evitada fazendo o servidor se comportar como um site de verdade para qualquer pessoa sem a chave.
Por que o REALITY
O REALITY toma emprestado o handshake TLS de um site real e popular. Uma sondagem que não conhece a sua chave é simplesmente encaminhada a esse site e vê um certificado e uma página normais. Um cliente que conhece a chave recebe o proxy. Não há certificado próprio para ser sinalizado nem domínio para registrar.
Passo 1: prepare o servidor
Use um VPS Ubuntu novo em um local com uma boa rota até os seus usuários e aplique primeiro o reforço básico de segurança. Depois instale o Xray com o script oficial.
sudo apt update && sudo apt -y upgrade
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
xray x25519O último comando imprime uma chave privada e uma pública. Mantenha a chave privada no servidor e entregue a chave pública aos clientes. Gere um ID de usuário com xray uuid.
Passo 2: escreva a configuração do Xray
Escolha um site de camuflagem que suporte TLS 1.3 e HTTP/2 e seja acessível a partir do seu servidor. Coloque o nome de host dele em dest e em serverNames.
{
"inbounds": [{
"port": 443,
"protocol": "vless",
"settings": {
"clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"dest": "example.org:443",
"serverNames": ["example.org"],
"privateKey": "YOUR-PRIVATE-KEY",
"shortIds": ["a1b2c3d4"]
}
}
}],
"outbounds": [{ "protocol": "freedom" }]
}Salve como /usr/local/etc/xray/config.json, depois execute sudo systemctl restart xray e verifique systemctl status xray.
Passo 3: abra o firewall e conecte
sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enableNo cliente, importe o endereço do servidor, a porta 443, o UUID, a chave pública, o short ID e o mesmo nome de servidor. Clientes como v2rayN, Nekoray, Streisand e Hiddify suportam o REALITY. Defina o flow como xtls-rprx-vision para combinar com o servidor.
Mantenha tudo funcionando
- Use um VPS para cada pequeno grupo de usuários. Um endpoint muito movimentado é mais fácil de perfilar.
- Se o site de camuflagem ficar inacessível a partir do servidor, as conexões falham. Escolha um site estável e troque-o se necessário.
- Mantenha o Xray atualizado; correções de protocolo saem com frequência.
- Não execute mais nada na porta 443 do mesmo IP.
Nenhuma ferramenta garante acesso sob qualquer censor. Teste a partir da rede que você realmente vai usar e mantenha um segundo protocolo como alternativa. Para uma VPN mais simples no dia a dia, veja WireGuard no seu VPS, e para a escolha entre os dois clássicos leia WireGuard ou OpenVPN.