Vượt kiểm duyệt DPI: proxy VLESS + REALITY trên VPS

Kiểm tra gói tin sâu (DPI) cho phép một mạng nhìn xuyên qua địa chỉ và cổng để đánh giá hình dạng lưu lượng của bạn. Các giao thức VPN cổ điển có quá trình bắt tay dễ nhận ra, nên bên kiểm duyệt có thể chặn chúng mà không cần giải mã một byte nào. Một điểm cuối riêng trên VPS của bạn tránh được các danh sách chặn dùng chung, và một giao thức bắt chước HTTPS thông thường tránh được việc nhận dạng dấu vân tay. Hướng dẫn này thiết lập một giao thức như vậy: VLESS với REALITY trên Xray.

DPI nhận ra VPN bằng cách nào

Bên kiểm duyệt dựa vào ba tín hiệu: mẫu bắt tay cố định (cả OpenVPN và WireGuard đều có), dải IP đã biết của các nhà cung cấp VPN thương mại, và dò quét chủ động, khi bên kiểm duyệt kết nối đến máy chủ của bạn và kiểm tra cách nó phản hồi. Một giao thức phải vượt qua cả ba để tồn tại lâu dài.

• Mẫu bắt tay: tránh bằng cách bọc lưu lượng trong một phiên TLS thật.
• Dải IP dùng chung: tránh bằng cách dùng máy chủ chỉ mình bạn sử dụng.
• Dò quét chủ động: tránh bằng cách làm cho máy chủ hoạt động như một website thật với bất kỳ ai không có khóa.

Vì sao chọn REALITY

REALITY mượn quá trình bắt tay TLS của một website thật, phổ biến. Một yêu cầu dò quét không biết khóa của bạn sẽ đơn giản bị chuyển tiếp đến website đó và thấy một chứng chỉ và trang bình thường. Một máy khách biết khóa sẽ nhận được proxy. Không có chứng chỉ riêng của bạn để bị đánh dấu, và không có tên miền nào để đăng ký.

Bước 1: chuẩn bị máy chủ

Dùng một VPS Ubuntu mới ở vị trí có tuyến đường tốt đến người dùng của bạn, và áp dụng các bước tăng cường bảo mật cơ bản trước. Sau đó cài Xray bằng script chính thức.

sudo apt update && sudo apt -y upgrade
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
xray x25519

Lệnh cuối cùng in ra một khóa riêng tư và một khóa công khai. Giữ khóa riêng tư trên máy chủ và đưa khóa công khai cho các máy khách. Tạo ID người dùng bằng xray uuid.

Bước 2: viết cấu hình Xray

Chọn một website ngụy trang hỗ trợ TLS 1.3 và HTTP/2 và truy cập được từ máy chủ của bạn. Đặt tên máy chủ của nó vào cả dest và serverNames.

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "YOUR-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "example.org:443",
        "serverNames": ["example.org"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": ["a1b2c3d4"]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Lưu nó thành /usr/local/etc/xray/config.json, sau đó chạy sudo systemctl restart xray và kiểm tra systemctl status xray.

Bước 3: mở tường lửa và kết nối

sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enable

Trên máy khách, nhập địa chỉ máy chủ, cổng 443, UUID, khóa công khai, short ID và cùng tên máy chủ. Các ứng dụng như v2rayN, Nekoray, Streisand và Hiddify hỗ trợ REALITY. Đặt flow là xtls-rprx-vision để khớp với máy chủ.

Giữ cho nó hoạt động

• Dùng một VPS cho mỗi nhóm người dùng nhỏ. Một điểm cuối đông người dễ bị lập hồ sơ hơn.
• Nếu website ngụy trang không truy cập được từ máy chủ, các kết nối sẽ thất bại. Hãy chọn một website ổn định và đổi khi cần.
• Luôn cập nhật Xray; các bản vá giao thức được phát hành thường xuyên.
• Đừng chạy bất cứ thứ gì khác trên cổng 443 của cùng IP.

Không công cụ nào đảm bảo truy cập được dưới mọi hình thức kiểm duyệt. Hãy kiểm tra từ mạng bạn sẽ thực sự dùng, và giữ một giao thức thứ hai làm phương án dự phòng. Để có một VPN đơn giản hơn dùng hằng ngày, xem WireGuard trên VPS của bạn, và để chọn giữa hai giao thức cổ điển, hãy đọc WireGuard hay OpenVPN.