Română
VLESS + Reality Ghid: Configurare Proxy Securizată
Cuvinte cheie
Înainte de a intra în detaliile configurării, iată termenii principali care vor necesita clarificări în acest ghid.
| Cuvânt cheie | Definiție |
|---|---|
| 🔐 VLESS | Un protocol proxy ușor din ecosistemul V2Ray/Xray care autentifică utilizatorii cu un UUID și este frecvent asociat cu transporturi moderne de stealth, cum ar fi Reality. |
| 🔀 Proxy vs VPN | Un proxy de obicei redirecționează traficul aplicației prin intermediul unui server, în timp ce un VPN tradițional creează de obicei un tunel de rețea virtuală complet pentru dispozitiv sau sistem. |
| 🎭 Reality | Un mecanism de transport stealth pentru Xray care face traficul să semene mult mai mult cu HTTPS normal, utilizând amprente TLS asemănătoare browserului și validare specială bazată pe chei. |
| 🔍 DPI (Deep Packet Inspection) | O tehnică de filtrare a rețelei care analizează modele de pachete, handshake-uri și amprente de protocol pentru a identifica și bloca traficul, cum ar fi VPN-uri și proxy-uri. |
| 🖥️ VPS | Un Server Privat Virtual pe care îl închiriezi și controlezi de la distanță, care acționează ca mașina gazdă pentru configurația VLESS + Reality. |
| ⚙️ 3x-ui | Un panou de gestionare bazat pe web pentru Xray care te permite să creezi inbound-uri, utilizatori și setări Reality fără a edita manual JSON. |
| 🚀 Xray | Motorul proxy de bază care rulează sub 3x-ui și gestionează efectiv VLESS, Reality, rutare și conexiuni de client. |
| 🆔 UUID | Un identificator unic atribuit fiecărui client și utilizat de VLESS ca valoare principală de autentificare. |
| 🌐 SNI | Server Name Indication, un câmp TLS care spune serverului care hostname este solicitat și trebuie să se potrivească corect cu configurația țintei Reality. |
| 🧬 Pereche de chei x25519 | Perechea de chei publice/private utilizată de Reality, astfel încât clienții aprobați pot completa conexiunea, în timp ce sondele nedorite sunt tratate diferit. |
| 🔑 Cheie publică vs cheie privată | Cheia publică este partajată cu clientul pentru a se conecta, în timp ce cheia privată rămâne doar pe server și nu trebuie niciodată expusă. |
| 🧭 Amprentă uTLS | O amprentă de client TLS care imită browserul, cum ar fi chrome, utilizată pentru a face conexiunea să semene cu traficul obișnuit al browserului. |
| 📡 Inbound | Configurația ascultătorului pe partea serverului în Xray/3x-ui care definește modul în care se conectează clienții, inclusiv protocol, port, transport și setări de securitate. |
| ⚡ BBR | Un algoritm de control al congestiei TCP de la Google care poate îmbunătăți throughput-ul și capacitatea de răspuns pe unele căi de rețea VPS. |
| ✅ Validare ACME | Pasul de verificare publică utilizat de serviciile de certificat, cum ar fi Let’s Encrypt, pentru a confirma că serverul sau domeniul dvs. este accesibil și autorizat să solicite certificatul. |
Configurarea VLESS VPN cu Reality Stealth în 2026
Frustrarea este familiară: configurezi un server VPN, totul funcționează perfect, și apoi într-o dimineață te trezești și descoperi că este blocat. Conexiunea care funcționa ieri eșuează astazi. Nicio schimbare din partea ta, totuși brusc nimic nu mai funcționează. Nu este un scenariu ipotetic—aceasta este realitatea utilizării protocoalelor VPN tradiționale în 2026, unde tehnologia de inspecție profundă a pachetelor a evoluat pentru a identifica și bloca chiar și traficul corect criptat.
Soluția nu este un algoritm de criptare diferit sau un protocol mai rapid—este o abordare fundamental diferită a modului în care traficul tău apare pe rețea. VLESS combinat cu protocolul de stealth Reality este una dintre cele mai eficace abordări auto-găzduite disponibile în 2026 pentru a face traficul proxy să arate mult mai apropiat de traficul HTTPS obișnuit. Acest ghid te ghidează prin implementarea propriului server VLESS + Reality folosind panoul de control 3x-ui, de la înțelegerea motivului pentru care această abordare funcționează până la obținerea unei conexiuni funcționale pe dispozitivul tău.
Problema: De ce VPN-urile Standard sunt Blocate
Timpurile în care un simplu server OpenVPN sau WireGuard funcționa în mod fiabil timp de luni—sau chiar ani—au trecut. Tehnologia Deep Packet Inspection (DPI) a avansat dramatic, și nu mai este vorba doar despre detectarea traficului neencriptat. Sistemele DPI moderne examinează mai multe caracteristici ale traficului dvs. de rețea pentru a identifica conexiunile VPN cu o acuratețe remarcabilă.
Luați în considerare ce se întâmplă atunci când vă conectați folosind OpenVPN sau WireGuard standard. Traficul este encriptat, dar are încă o formă recunoscută. OpenVPN expune adesea o apăsare de mână TLS și un model de trafic care nu arată ca o sesiune obișnuită de browser. WireGuard nu folosește TLS deloc, dar apăsarea de mână bazată pe UDP și comportamentul pachetelor sunt încă distinctive suficient pentru a se remarca pe rețelele filtrate. Este ca și cum ai avea un pașaport cu codul țării greșit—documentul este valid, dar detaliile nu corespund niciunui călător legitim.
În 2026, acest blocare se întâmplă mai repede ca oricând. Acolo unde odată un VPN nou implementat ar putea funcționa timp de luni înainte de a fi detectat, acum servere noi pot fi identificate în decurs de zile sau chiar ore de la punerea în funcțiune. Blocarea este de asemenea mai răspândită, întâmplând-se la nivel ISP, la nivel de rețea corporativă, și în unele jurisdicții, la nivel de firewall național. Aveți nevoie de o soluție care nu doar criptează traficul dvs.—aceasta face ca traficul dvs. să arate ca ceva cu totul diferit.
Ce este VLESS? Protocolul Explicat
VLESS înseamnă „VMess Less”—un nume care reflectă direct filosofia de design. A fost creat ca succesor mai ușor și mai simplu al protocolului VMess, care era protocolul de transport implicit original în proiectul V2Ray. În timp ce VMess integra criptarea, autentificarea și transportul într-un sistem strâns cuplat, VLESS elimină straturile inutile și lasă un protocol de transport curat și fără stare.
Spre deosebire de predecesorul său VMess, VLESS nu are dependență de timp. VMess necesita ceasuri sincronizate între client și server și folosea un mecanism AlterID care a devenit o amprentă recunoscută. VLESS elimină ambele cerințe, făcând-ul mai ușor și mai direct de configurat. Mecanismul de autentificare folosește UUID (Universally Unique Identifier)—același format pe care îl întâlnești în sistemele standard de autentificare, ceea ce îl face familiar în utilizare.
Iată distincția critică: VLESS funcționează ca proxy, nu ca tunel VPN complet. Protocolul redirecționează traficul tău prin server în loc să creeze o interfață de rețea virtuală completă. Pentru majoritatea utilizatorilor, această distincție este teoretică—rezultatul funcțional este exact ceea ce te aștepți de la un VPN: traficul tău pare să provină de la adresa IP a serverului. Dar această arhitectură proxy este exact motivul pentru care VLESS funcționează atât de bine cu Reality, deoarece supraîncărcarea mai ușoară a protocolului permite mecanismului de stealth să funcționeze fără interferență.
Designul proxy înseamnă, de asemenea, mai puțin overhead comparativ cu protocoalele VPN tradiționale. Nu există interfață de tunel la nivel kernel de gestionat, nu există straturi de criptare suplimentare dincolo de ceea ce este necesar, și protocolul a fost proiectat de la zero pentru a funcționa cu mecanismele moderne de stealth bazate pe TLS. Această simplitate este o caracteristică, nu o limitare—înseamnă mai puține lucruri care pot merge greșit și mai puține amprente care pot fi detectate.
Înțelegerea Realității: Tehnologia Stealth
Realitatea este ceea ce transformă VLESS dintr-un alt protocol proxy în ceva mult mai greu de distins de traficul web criptat obișnuit. Mecanismul este elegant în simplitatea sa: în loc să încerci să ascunzi ce faci, Realitatea face ca traficul tău să arate ca altceva cu totul.
Realitatea realizează acest lucru printr-o tehnică care operează la nivelul handshake-ului TLS. Când un client se conectează la serverul tău, trimite un TLS ClientHello care imită un browser real—folosind biblioteca uTLS pentru a replica amprenta digitală a Chrome, Firefox sau alt browser popular. Serverul validează apoi conexiunea folosind materialul cheii Reality și parametrii clientului construiți în jurul unei perechi de chei x25519. Dacă clientul prezintă valorile Reality așteptate, conexiunea se desfășoară ca un proxy VLESS. Dacă nu—ceea ce se întâmplă când un sistem DPI sau o sondă activă lovește serverul tău—traficul este redirecționat către un site web legitim, cum ar fi www.microsoft.com sau www.apple.com. Pentru sistemul de sondare, serverul tău arată ca un site normal, mai degrabă decât ca un punct final proxy evident.
Gândește-te la asta ca la purtarea unui uniformă. Un gardian de frontieră care inspectează vehicule nu verifică fiecare mașină în detaliu—lasă să treacă pe cele care arată legitime pe baza înregistrării, plăcuțelor și aspectului șoferului. Traficul tău poartă uniforma unei mari corporații, deci inspectorul rețelei îl lasă să treacă fără inspecția detaliată care ar dezvălui că este de fapt altceva. Amprenta digitală uTLS este deghizarea, iar schimbul de chei x25519 este strângerea de mână secretă pe care doar clientul tău o cunoaște.
Un punct critic: nu ai nevoie de propriul tău domeniu pentru ca asta să funcționeze. Metodele anterioare de stealth necesitau să deții un domeniu și să obții certificate Let’s Encrypt, ceea ce crea o urmă de hârtie și complexitate suplimentară. Realitatea nu necesită nimic decât o adresă IP VPS. Site-urile țintă (Microsoft, Apple, Google) au o disponibilitate aproape de 100% și suportă cel mai recent protocol TLS 1.3, făcând-le ancore perfecte pentru această tehnică.
Portul 443 oferă acestei deghizări cea mai bună șansă de a se integra. Traficul HTTPS standard folosește de obicei portul 443, deci menținerea Realității pe acel port face ca conexiunea să arate mult mai aproape de navigarea web obișnuită. Alte porturi pot funcționa din punct de vedere tehnic, dar slăbesc camuflajul deoarece nu mai corespund formei implicite a traficului HTTPS zilnic.
Concepții Greșite Frecvente
Înainte de a continua, să clarificăm trei concepții greșite care creează confuzie oamenilor care explorează VLESS + Reality pentru prima dată.
„VLESS este o VPN.” Din punct de vedere tehnic, VLESS este un protocol proxy, nu o VPN în sensul tradițional. Nu există interfață TUN/TAP, niciun adaptor de rețea virtual și nicio manipulare a tabelei de rutare. Cu toate acestea, din perspectiva funcțională a utilizatorului, oferă exact ceea ce te-ai aștepta de la o VPN—traficul tău de internet pare să provină de la adresa IP a serverului. Distincția contează pentru inginerii de rețea, dar rar contează pentru utilizatorii finali.
„Reality necesită un domeniu.” Aceasta era adevărată pentru tehnicile anterioare de ascundere care foloseau domenii deținute și certificate Let’s Encrypt. Reality a fost proiectat în mod specific pentru a funcționa fără niciun domeniu pe care îl controlezi. Folosește mimicarea amprentei browserului și autentificarea cheii x25519, ceea ce înseamnă că nu trebuie să înregistrezi, să gestionezi sau să reînnoiești nimic. Configurează-l o dată și continuă să funcționeze.
„Aceasta este imposibil de spart.” Nimic nu este imposibil de spart. Reality este extrem de rezistent la detecție și blocare, deoarece arată cu adevărat ca trafic HTTPS normal. Dar nu este imun la îmbunătățiri viitoare în tehnologia DPI, la potențiala amprentare a protocolului sau la atacuri direcționate. Ceea ce oferă este cea mai bună protecție disponibilă în 2026 împotriva celor mai comune forme de filtrare a rețelei. Tratează-o ca o soluție robustă, nu ca un scut magic.
Ce trebuie să ai pregătit înainte de a începe
Vei avea nevoie de un VPS de la orice furnizor (de exemplu AvaHost), și servicii similare funcționează la fel de bine. Pentru performanța tipică cu un singur utilizator, un plan de bază cu 1 nucleu CPU și 1GB RAM este suficient. Serverul trebuie să ruleze Ubuntu 22.04 LTS sau 24.04 LTS; aceste versiuni au suport kernel pentru caracteristicile de rețea necesare din start.
Accesul SSH root este esențial. Ai nevoie de capacitatea de a te conecta la serverul tău prin linia de comandă și de a executa comenzi privilegiate. Majoritatea furnizorilor de VPS oferă acest lucru implicit—vei primi o adresă IP, un nume de utilizator (de obicei root) și fie o parolă, fie o cheie SSH după implementare.
Pentru aplicațiile client, în funcție de dispozitivele tale vei avea nevoie de: v2rayNG pentru Android, v2rayN pentru Windows, V2Box sau Streisand pentru macOS, și Shadowrocket sau FoXray pentru iOS. Vom acoperi acestea în detaliu în secțiunea aplicațiilor client mai târziu în acest ghid.
Un avantaj semnificativ al metodei Reality: nu ai nevoie de un domeniu pe care să-l controlezi. Multe configurații stealth necesită să înregistrezi și să gestionezi unul, dar Reality poate funcționa direct din IP-ul VPS-ului în timp ce împrumută aspectul unei destinații TLS legitime.
O notă scurtă despre considerații legale: Tehnicile descrise în acest ghid sunt destinate nevoilor legitime de confidențialitate și acces. Legile de filtrare a internetului variază semnificativ în funcție de jurisdicție. Asigură-te că utilizarea acestor instrumente respectă legile aplicabile în regiunea ta.
Pregătirea Serverului: BBR și Noțiuni de Bază
Cu cerințele preliminare verificate, să pregătim serverul. Această fază optimizează VPS-ul tău înainte de instalarea oricărui software, asigurând performanță maximă de la început.
💡 SFAT: Utilizează BBR înainte de implementare — adesea îmbunătățește throughput-ul și latența pe linkuri constrânse sau cu latență mai mare.
În primul rând, actualizează pachetele sistemului. Aceasta asigură că ai cele mai recente actualizări de securitate și dependențele necesare:
apt update && apt upgrade -y
Acest pas poate dura 1-5 minute în funcție de furnizorul VPS și viteza rețelei. Unii furnizori preactualizează imaginile lor în timpul implementării, deci acest pas s-ar putea finaliza rapid pe unele sisteme.
Apoi, activează controlul congestiei Google BBR. BBR (Bottleneck Bandwidth and Round-trip propagation time) este algoritmul de control al congestiei al Google. În loc să se bazeze în principal pe pierderea de pachete ca semnal, încearcă să modeleze mai direct lățimea de bandă disponibilă și timpul de propagare dus-întors, ceea ce poate îmbunătăți throughput-ul și capacitatea de răspuns pe unele linkuri VPS.
# Verify BBR module is available
lsmod | grep tcp_bbrDacă nu apare nimic, încarcă modulul manual:
modprobe tcp_bbr
Acum creează configurația sysctl pentru a activa BBR persistent:
cat >> /etc/sysctl.d/99-bbr.conf << 'EOF'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF
Aplică configurația:
sysctl -p /etc/sysctl.d/99-bbr.conf
Verifică dacă BBR este activ:
sysctl net.ipv4.tcp_congestion_control
sysctl net.ipv4.tcp_available_congestion_controlAr trebui să vezi bbr ca algoritm activ.
Unele sisteme beneficiază de o repornire după activarea BBR — aceasta asigură că modulul se încarcă corect și toate optimizările de rețea intră în vigoare:
reboot
Acum asigură-te că portul 443 este accesibil. Dacă plănuiești să utilizezi fluxul Let’s Encrypt încorporat al instalatorului 3x-ui pentru panou, permite și 80/tcp — acel port este utilizat pentru validarea certificatului ACME, nu pentru panoul în sine. Dacă furnizorul VPS are și un firewall cloud sau strat de grup de securitate, permite aceleași porturi și acolo. Pe Ubuntu, calea cea mai sigură este de obicei UFW.
# If this is a remote VPS and you're enabling UFW for the first time, allow SSH before enabling the firewall
ufw allow OpenSSH
# Allow HTTPS-style Reality traffic
ufw allow 443/tcp
# Allow ACME validation for the 3x-ui panel's built-in Let's Encrypt setup
ufw allow 80/tcp
# Review rules, then enable only if UFW is not already active
ufw status
ufw enable⚠️ AVERTISMENT: Portul 443 este puternic recomandat deoarece se potrivește cu traficul HTTPS normal. Alte porturi pot funcționa din punct de vedere tehnic, dar se amestecă mai puțin natural și fac configurarea mai ușor de marcat.
Serverul tău este acum optimizat și gata pentru instalarea 3x-ui.
Instalarea panoului 3x-ui
Înainte de a rula instalatorul, notează o cerință ușor de ratat: dacă dorești ca configurarea Let’s Encrypt încorporată a instalatorului să emită un certificat SSL pentru panou, 80/tcp trebuie să fie deschis și accesibil din internetul public. Acest port de validare ACME este separat de portul panoului pe care îl alegi în timpul configurării.
Rulează comanda de instalare:
bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)Versiunile actuale ale instalatorului nu încep cu meniul mai vechi numerotat Install / Update / Uninstall pe care îl arată încă multe tutoriale. În schimb, scriptul începe instalarea imediat, instalează orice dependențe lipsă, descarcă cea mai recentă versiune și apoi te ghidează prin prompturile de configurare a panoului.
Un flux de instalare tipic arată acum așa:
- Alege dacă să setezi un port personalizat pentru panou sau să lași instalatorul să genereze unul aleator.
- Lasă instalatorul să genereze un nume de utilizator, parolă și webBasePath aleatorii.
- Alege cum să configurezi SSL-ul panoului:
- 1 = Let’s Encrypt pentru un domeniu
- 2 = Let’s Encrypt pentru IP-ul serverului
- 3 = folosește un certificat existent
- Completează prompturile certificatului dacă folosești fluxul Let’s Encrypt încorporat.
⚠️ IMPORTANT: Portul panoului nu este același lucru cu portul de validare ACME. S-ar putea să rulezi panoul pe un port aleator cum ar fi 13525 și să ai în continuare nevoie ca 80/tcp public să fie deschis pentru ca Let’s Encrypt să valideze certificatul.
Regula importantă este simplă: folosește credențialele exacte, calea și URL-ul tipărite de propriul tău instalator, nu presupuneri copiate din tutoriale mai vechi.
Rezultatul final va arăta mai mult așa:
Username: GENERATED_USERNAME Password: GENERATED_PASSWORD Port: 13525 WebBasePath: RANDOM_PATH Access URL: https://YOUR_SERVER_IP:13525/RANDOM_PATH
Verifică că serviciul rulează:
systemctl status x-ui
Această verificare este importantă. Uită-te în special la linia serverului web din rezultatul stării:
- Dacă vezi Web server running HTTPS …, SSL-ul panoului funcționează corect.
- Dacă vezi Web server running HTTP …, panoul s-a instalat cu succes, dar configurarea SSL nu s-a finalizat.
Accesează panoul folosind URL-ul exact, numele de utilizator și parola generate de propriul tău instalator. Nu presupune că calea este /panel și nu presupune că credențialele sunt admin/admin decât dacă propria ta instalare spune explicit așa.
💡 SFAT 1: Pentru a vedea din nou setările actuale ale panoului și a tipări URL-ul de acces, în CLI rulează comanda „x-ui” și alege numărul 10 „View Current Settings” din rezultatul meniului.
💡 SFAT 2: Dacă URL-ul de acces nu se încarcă, asigură-te că portul panoului 3x-ui este deschis pe firewall-ul VPS-ului tău. De exemplu, dacă panoul tău rulează pe portul „13525”, permite-l cu: ” ufw allow 13525/tcp „. Înlocuiește 13525 cu portul actual pe care l-ai configurat pentru panoul 3x-ui.
Dacă instalatorul se termină, dar systemctl status x-ui arată HTTP în loc de HTTPS
Cea mai frecventă cauză este că 80/tcp nu a fost accesibil din internetul public în timpul validării Let’s Encrypt. În acest caz, panoul se poate instala și porni în continuare, dar emiterea certificatului eșuează.
Repară mai întâi firewall-ul:
ufw allow 80/tcp
ufw statusDacă furnizorul tău de VPS are un firewall cloud sau un strat de grup de securitate, permite 80/tcp și acolo. Apoi rulează din nou configurarea certificatului panoului din scriptul de gestionare 3x-ui:
x-ui
Pentru un certificat de panou bazat pe IP, alege:
- 19 → 6 (Get SSL for IP Address)
Pentru un certificat de panou bazat pe domeniu, alege:
- 19 → 1 (Get SSL (Domain))
După ce certificatul este emis, verifică din nou:
systemctl status x-ui
Vrei ca rezultatul stării să arate Web server running HTTPS … înainte de a continua.
💡 SFAT: Salvează credențialele generate și URL-ul panoului imediat. De asemenea, rețineți că rezumatul instalatorului poate fi înșelător dacă emiterea certificatului eșuează — dacă blocul final tipărește un URL HTTPS, dar systemctl status x-ui arată în continuare HTTP, încrede-te în rezultatul stării serviciului și repară SSL înainte de a continua.
Configurarea VLESS + Reality Inbound
Acesta este pasul de configurare critic în care sistemul dvs. asemănător VPN se creează efectiv. În panoul 3x-ui, navigați la Inbounds → Add Inbound.
Configurați câmpurile după cum urmează:
| Câmp | Valoare | Note |
|---|---|---|
| Protocol | VLESS | Selectați din dropdown |
| Listen IP | 0.0.0.0 | Implicit / toate interfețele |
| Port | 443 | Recomandat pentru cea mai naturală camuflare HTTPS |
| Client → Authentication | Lăsați gol / implicit | Nu folosiți Get New keys pentru această configurare de bază |
| Client → decryption | none | Obligatoriu pentru VLESS |
| Client → encryption | none | Lăsați la implicit |
| Client → Flow | xtls-rprx-vision | Setați aceasta în subsecțiunea Client. Dacă nu vedeți încă acest câmp, setați mai întâi Transmission la TCP (RAW) și Security la reality. |
| Transmission | TCP (RAW) | Utilizați transportul TCP direct |
| Security | reality | Selectați din opțiunile de securitate |
| uTLS | chrome | Utilizați o amprentă de browser comună |
| Target | www.microsoft.com:443 | Țintă TLS 1.3 stabilă pentru fallback/probing |
| SNI | www.microsoft.com | Mențineți-o în linie cu Target |
| Short IDs | Generați sau utilizați implicit din panou | Copiați o valoare generată pe client |
| SpiderX | / | Implicit simplu |
| Public Key | Generați cu Get New Cert | Copiați aceasta pe client |
| Private Key | Generați cu Get New Cert | Păstrați aceasta doar pe server |
📋 NOTĂ: Lăsați celelalte câmpuri vizibile — cum ar fi Total Flow, Traffic Reset, Duration, Fallbacks, Proxy Protocol, HTTP Obfuscation, Sockopt, External Proxy, Show, Xver, Max Time Diff, Min Client Ver, Max Client Ver, Sniffing și câmpurile ML-DSA — la valorile lor implicite pentru această configurare de bază.
În final, faceți clic pe Save pentru a crea inbound-ul.
⚠️ AVERTISMENT: Portul 443 este cea mai bună valoare implicită deoarece se potrivește cu traficul HTTPS obișnuit. Dacă îl schimbați, inbound-ul poate funcționa în continuare, dar nu se mai camuflează la fel de bine.
⚠️ AVERTISMENT: Ținta Reality trebuie să suporte TLS 1.3 — Microsoft, Apple și Google sunt alegeri sigure. Utilizarea unei ținte care nu suportă TLS 1.3 va cauza eșecul Reality, deoarece protocolul este conceput special pentru handshake-uri TLS 1.3.
Motivul pentru care aceste valori sunt importante: portul 443 vă oferă cel mai credibil profil HTTPS, o țintă TLS 1.3 stabilă oferă sondelor un loc legitim unde să aterizeze, iar amprenta chrome ține partea client în linie cu una dintre cele mai comune amprente de browser de pe internet. Începeți simplu, obțineți o cale funcțională, apoi extindeți mai târziu dacă aveți nevoie de mai multe ținte.
Gestionarea utilizatorilor în 3x-ui
După configurarea inbound-ului, trebuie să creezi conexiuni de utilizator pe care dispozitivele tale le vor folosi pentru autentificare. În 3x-ui, navighează la Inbounds → [Dă clic pe meniul VLESS inbound] → Add Client.
Fiecare utilizator primește un UUID unic (generat automat), împreună cu o adresă de e-mail pentru identificare și limite opționale de trafic/expirare. Când creezi un client, panoul generează valorile de care ai nevoie pentru conexiune: adresa serverului, UUID, flow, cheia publică, short ID și setări legate de SNI.
Apăsând semnul plus („+”) al inbound-ului selectat, va apărea lista utilizatorilor.
Exportarea unui client
Pentru a exporta detaliile de conexiune ale unui singur client, mai întâi extinde rândul inbound-ului pentru ca tabelul clienților să fie vizibil. În rândul clientului, utilizează cele două acțiuni de export per client:
- Pictograma QR → deschide modalul QR
- Pictograma Info → deschide modalul detalii
Acestea corespund primelor două metode de partajare.
Cod QR: Dă clic pe pictograma QR a clientului. Dacă abonamentele sunt activate, modalul QR poate afișa două coduri QR:
- Abonament → un cod QR pentru URL-ul de abonament al clientului
- QR client (etichetat cu e-mailul sau identificatorul clientului, cum ar fi example@mail.com) → un cod QR pentru URI-ul direct VLESS Reality
Codul QR de abonament este util pentru clienții care suportă actualizări automate. Codul QR al clientului este importul direct unic pentru acel client specific.
Link de partajare / URL: Dă clic pe pictograma Info a clientului. În modalul detalii, poți vedea două tipuri de export text:
- URL de abonament → un punct final de abonament reîmprospătabil
- URL → URI-ul direct VLESS Reality pentru acel client
Utilizează butonul de copiere de lângă secțiunea URL pentru import pe desktop.
La minimum, un URI direct Reality utilizabil ar trebui să includă valori completate, cum ar fi:
pbk= este cheia publică Reality și aparține URI-ului direct VLESS. URL-ul de abonament în sine nu va conține de obicei pbk= deoarece este doar punctul final de preluare; configurația returnată conține parametrii Reality reali.
Unele versiuni de 3x-ui au avut erori în link-urile de partajare Reality în care pbk= este gol. Dacă URI-ul direct lipsește pbk= sau sid=, nu-l încredința orbește. În acest caz, utilizează configurația manuală.
Configurare manuală: Nu există un buton separat de export „configurare manuală”. În practică, configurarea manuală înseamnă fie introducerea valorilor direct în aplicația client, fie compunerea și verificarea URI-ului final VLESS Reality din valorile brute. Colectează valorile necesare din:
- modalul Infoadresa serverului, port, UUID, flow și URI-ul direct
- setările Reality ale inbound-ului: SNI, cheia publică, short ID, fingerprint (chrome) și SpiderX (/) dacă este necesar
Poți crea mai mulți utilizatori pentru dispozitive diferite sau persoane diferite. Fiecare UUID este independent, deci revocare accesului pentru un utilizator nu afectează pe alții.
Configurare manuală Xray (Rezumat)
Unii utilizatori preferă să nu folosească o interfață grafică și doresc să editeze configurația Xray direct. Pe o instalare standard Linux 3x-ui, configurația runtime activă este scrisă în /usr/local/x-ui/bin/config.json, deci o puteți inspecta sau face modificări manuale temporare acolo.
Tratați acel fișier ca un artefact runtime generat, nu ca sursa de adevăr a panoului. 3x-ui reconstruiește config.json din setările susținute de bază de date, deci editările manuale pot fi suprascrise când Xray se repornește sau când salvați modificări în panou.
Înainte de a-l edita, creați o copie de siguranță:
cp /usr/local/x-ui/bin/config.json /usr/local/x-ui/bin/config.json.bak
Editarea manuală poate fi utilă pentru testare rapidă sau depanare, dar JSON incorect poate împiedica pornirea Xray. Dacă 3x-ui vă satisface nevoile, rămâneți cu panoul pentru modificări persistente și folosiți editările directe config.json doar pentru cazuri avansate.
Aplicații Client pe Platformă
Pentru a vă conecta la server, veți avea nevoie de software client pe dispozitivele dumneavoastră. Iată ce este disponibil:
| Platformă | Aplicații Recomandate | Note |
|---|---|---|
| Windows | v2rayN | Client GUI cu integrare în system tray |
| macOS | V2Box, Streisand | V2Box este gratuit; Streisand este disponibil pe App Store |
| Android | v2rayNG, NekoBox | Ambele disponibile pe GitHub și F-Droid |
| iOS | Shadowrocket, FoXray, V2Box | Shadowrocket este plătit; disponibilitatea FoXray poate varia |
Pentru Windows, v2rayN este alegerea recomandată—este activ întreținut, are o interfață curată și gestionează configurația Reality în mod nativ. Pentru dispozitivele mobile, v2rayNG și V2Box ambele suportă importul codurilor QR, ceea ce face configurarea rapidă.
📋 NOTĂ: Disponibilitatea aplicațiilor client pe platformele Apple se schimbă frecvent. Dacă o aplicație listată nu este disponibilă în regiunea dumneavoastră, verificați site-ul oficial al proiectului, listarea pe App Store sau calea TestFlight înainte de a presupune că problema este cu protocolul în sine.
Conectarea Primului Client
Să parcurgem conectarea unui client Windows folosind v2rayN—procesul este similar pe alte platforme, dar aceasta vă oferă un exemplu complet.
Pasul 1: Descărcați v2rayN
Vizitați https://github.com/2dust/v2rayN/releases și descărcați versiunea curentă pentru desktop Windows. Până în 2026, opțiunea cea mai simplă este de obicei v2rayN-windows-64-desktop.zip (sau pachetul desktop echivalent curent afișat pe pagina de lansări).
Pasul 2: Extragere și Execuție
Extrageți ZIP-ul într-un folder (de ex., C:v2rayN). Executați v2rayN.exe. Versiunile recente pentru desktop sunt de obicei autonome, deci de obicei nu trebuie să instalați un runtime .NET desktop separat. Aplicația apare în zona de notificare a sistemului.
Pasul 3: Importarea Configurației
Pentru această conexiune, utilizați URL-ul VLESS direct din 3x-ui — cel care începe cu vless:// — nu URL-ul de abonament. Dacă linkul Reality exportat lipsește valori necesare cum ar fi pbk= sau sid=, reveniți la secțiunea anterioară 3x-ui și utilizați valorile manuale din setările inbound.
În v2rayN, deschideți meniul Configuration din zona din stânga sus a ferestrei. Metoda cea mai ușoară este să copiați URL-ul VLESS direct din 3x-ui și apoi să selectați Configuration → Import Share Links from clipboard. Pe majoritatea versiunilor, puteți apăsa și pur și simplu Ctrl+V. Asigurați-vă că ați copiat mai întâi URL-ul VLESS direct, pentru ca aplicația să poată introduce valoarea.
Dacă importul din clipboard nu este opțiunea dorită, atunci codul QR sau importul manual pot fi, de asemenea, utilizate.
Pasul 4: Conectare
După ce clientul a fost importat, pentru a activa tunelul între clientul Windows și server, apăsați „Enable tunnel” din partea de jos a interfeței v2rayN.
Pasul 5: Verificare
Deschideți browserul și vizitați https://whatismyipaddress.com/ sau https://ip.sb. Adresa IP afișată ar trebui să fie IP-ul serverului dvs., nu IP-ul local. Aceasta confirmă că traficul dvs. este rutează prin VPN.
Verificarea Configurației
Verificarea conexiunii confirmă că totul funcționează conform așteptărilor. Dincolo de verificarea adresei IP în browser, există câteva teste suplimentare care merită executate.
Verificarea Adresei IP: Vizitați https://whatismyipaddress.com/ sau https://ip.sb în timp ce sunteți conectat. Adresa IP afișată ar trebui să corespundă adresei IP a serverului VPS, nu adresei IP din casa sau rețeaua locală.
Test de Scurgere DNS: Vizitați https://dnsleak.com sau https://browserleaks.com/dns și rulați testul. Un client configurat corect nu ar trebui să expună rezolvatorii DNS locali normali în timp ce proxy-ul este activ.
Probleme Frecvente și Soluții
| Problemă | Cauză | Soluție |
|---|---|---|
| Fără conexiune | Portul 443 blocat | Verificați firewall-ul: ufw allow 443/tcp și consola furnizorului cloud |
| Panoul nu se deschide | URL incorect sau presupunere veche /panel | Utilizați URL-ul HTTPS exact afișat de installer |
| Linkul importat nu se conectează | Link Reality lipsit pbk sau sid | Inspectați linkul sau treceți la configurarea manuală a clientului |
| Timeout de conexiune | SNI incorect | Verificați că SNI se potrivește (www.microsoft.com) în setările clientului |
| Eroare TLS | Amprentă incorectă sau valori Reality nepotrivite | Setați amprenta la chrome și reverificați SNI, cheia publică și ID-ul scurt |
| Viteză lentă | BBR nu este activat | Reactivați BBR conform secțiunii de pregătire a serverului |
| „Niciun răspuns de la server” | Firewall-ul blochează | Verificați atât firewall-ul serverului cât și grupurile de securitate ale furnizorului cloud |
Dacă întâmpinați probleme, verificați că configurația clientului se potrivește exact cu ceea ce a fost generat în 3x-ui—UUID-ul, SNI, cheia publică, ID-ul scurt și fluxul trebuie să se potrivească
Pași Următori & Opțiuni Avansate
Acum aveți un VPN VLESS + Reality funcțional. De aici, sunt disponibile mai multe îmbunătățiri:
Adăugați o intrare de rezervă cu atenție: Dacă aveți cu adevărat nevoie de o soluție de rezervă, puteți adăuga ceva de genul VMess + WebSocket ca intrare secundară. Doar amintiți-vă că fiecare intrare suplimentară crește complexitatea și vă oferă o suprafață în plus de securizat și de depanare.
Scalare pentru mai mulți utilizatori: Creați clienți suplimentari în 3x-ui pentru membrii familiei sau dispozitive. Fiecare primește un UUID unic și puteți urmări utilizarea separat.
Optimizare performanță: BBR este deja activat, dar puteți explora optimizarea TCP/UDP, reglarea buffer-ului de rețea și reglarea TCP pe partea serverului pentru îmbunătățiri marginale.
Ținte SNI alternative: Deși Microsoft/Apple/Google sunt fiabile, unii utilizatori preferă www.oracle.com sau alte ținte. Principiul rămâne același—orice site cu certificate TLS 1.3 valide funcționează.
Securitate panou: Restricționați portul panoului la propria adresă IP de administrator dacă este posibil, rotunziți acreditările dacă le-ați ales manual și luați în considerare instalarea Fail2Ban pentru a proteja panoul de încercările de forță brută.
Concluzie
VLESS + Reality este o opțiune puternică de auto-găzduire pentru 2026 dacă ai nevoie de o configurație care se camuflează mai bine decât protocoalele VPN tradiționale. Avantajul său nu este invizibilitatea magică; este că traficul arată mult mai asemănător cu traficul web criptat obișnuit decât conexiunile de tip OpenVPN sau WireGuard pe rețelele cu filtrare severă.
Dacă înțelegi modelul mental—fingerprinting TLS asemănător browserului, material cheie Reality, o țintă credibilă și un port HTTPS standard—vei avea o experiență mult mai ușoară la implementare, depanare și menținere a configurației. De aici, pașii naturali următori sunt consolidarea securității panoului, adăugarea mai multor dispozitive client și validarea care ținte și aplicații client funcționează cel mai bine pentru mediul tău. Pentru găzduire, furnizori precum AvaHost îți pot oferi o bază stabilă pentru a-ți rula configurația VLESS + Reality, asigurând timp de funcționare fiabil și gestionare simplă.
Postări conexe
