部署并配置 Xray (VLESS + REALITY) 抗封锁代理#

文章摘要：传统的加密代理协议（如 Shadowsocks、旧版 VMess）随着防火墙 DPI（深度包检测）和主动探测技术的演进，阻断率日益升高。本文将详细介绍如何从零部署当前抗封锁能力最强、稳定性最高的 Xray (VLESS + REALITY) 架构，实现无域名绑定的高质量网络连接。

为什么选择 VLESS + REALITY？#

在选择科学上网架构时，稳定性和抗封锁能力是核心指标。相比传统方案，VLESS + REALITY 具备以下杀手级优势：

无需自备域名：直接借用公网大厂（如 Apple、Microsoft、Google）的合规 TLS 证书与 SNI，省去域名购买与续费成本。
免疫主动探测：当防火墙发送伪造的探测包时，REALITY 会将请求反向代理至真正的目标网站（如 Apple 官网），返回合法的响应，从而彻底骗过 DPI 检测。
前沿加密与流控：结合 xtls-rprx-vision 流控算法，去除明显的 TLS in TLS 特征，传输效率极高。

准备工作#

服务器：一台干净的 VPS（推荐操作系统：Ubuntu 20.04 / 22.04 / 24.04 或 Debian 11 / 12）。
客户端：支持 REALITY 协议的客户端（如 v2rayN, Clash Verge Rev, Sing-box, NekoBox 等）。
终端工具：SSH 连接工具（如 Termius, PuTTY 或本地 Terminal）。

第一步：环境准备与一键安装 Xray#

登录 VPS 终端（建议使用 root 用户），执行以下命令更新系统依赖并调用 Xray 官方一键脚本：

1
# 1. 更新系统软件包
2
apt update && apt upgrade -y
3

4
# 2. 安装基础依赖工具
5
apt install -y curl wget tar jq openssl
6

7
# 3. 执行 Xray 官方安装脚本
8
bash <(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)

安装成功后，Xray 会被注册为系统服务，主配置文件路径为 /usr/local/etc/xray/config.json。

第二步：生成核心密钥与参数#

VLESS + REALITY 的运行依赖 UUID、X25519 密钥对 以及 Short ID。在终端中依次运行以下命令生成参数并妥善记录：

1. 生成用户 UUID#

1
xray uuid

示例输出：a1b2c3d4-e5f6-7890-abcd-1234567890ab

2. 生成 REALITY 密钥对#

1
xray x25519

示例输出：

Private key: uX8...（服务端使用）

Public key: 9jK...（客户端使用）

3. 生成 Short ID#

1
openssl rand -hex 8

示例输出：1a2b3c4d5e6f7a8b

⚠️ 关键注意：

Private Key（私钥）：仅保存在服务端配置文件中，切勿泄露！

Public Key（公钥）：用于客户端连接配置。

第三步：修改服务端配置文件#

编辑配置文件：

1
vim /usr/local/etc/xray/config.json

清空原内容，替换为以下完整配置（将对应位置替换为你刚才生成的真实参数）：

1
{
2
  "log": {
3
    "loglevel": "warning"
4
  },
5
  "inbounds": [
6
    {
7
      "port": 443,
8
      "protocol": "vless",
9
      "settings": {
10
        "clients": [
11
          {
12
            "id": "你的UUID",
13
            "flow": "xtls-rprx-vision"
14
          }
15
        ],
16
        "decryption": "none"
17
      },
18
      "streamSettings": {
19
        "network": "tcp",
20
        "security": "reality",
21
        "realitySettings": {
22
          "show": false,
23
          "dest": "https://www.apple.com:443",
24
          "xver": 0,
25
          "serverNames": [
26
            "https://www.apple.com"
27
          ],
28
          "privateKey": "你的Private_Key",
29
          "shortIds": [
30
            "你的Short_ID"
31
          ]
32
        }
33
      }
34
    }
35
  ],
36
  "outbounds": [
37
    {
38
      "protocol": "freedom"
39
    }
40
  ]
41
}

第四步：校验配置并启动服务#

测试配置文件语法：
Terminal window
```
1
xray run -test -config /usr/local/etc/xray/config.json
```
若返回 Configuration OK，说明 JSON 格式完全正确。
启动 Xray 并设置开机自启：
Terminal window
```
1
systemctl restart xray
2
systemctl enable xray
```
检查服务运行状态：
Terminal window
```
1
systemctl status xray --no-pager
```
确认状态显示为绿色的 active (running)。

第五步：防火墙与安全组设置#

REALITY 默认使用标准 HTTPS 端口 443。确保系统防火墙和云厂商控制台的安全组已开放该端口：

1
# 若系统启用了 UFW 防火墙
2
ufw allow 443/tcp

第六步：客户端对接参数对照表#

服务配置完成后，在客户端新增 VLESS 节点，参数映射如下：

配置项	填写说明 / 推荐值	备注
服务器地址 (Address)	你的 VPS 公网 IP	例如：`156.233.x.x`
端口 (Port)	`443`	与服务端监听端口一致
协议 (Protocol)	`VLESS`	—
用户 ID (UUID)	生成的 `UUID`	—
传输协议 (Network)	`tcp`	—
流控 (Flow)	`xtls-rprx-vision`	核心优化项，建议必填
传输层安全 (TLS)	`REALITY`	—
伪装域名 (SNI)	`www.apple.com`	必须与服务端 `serverNames` 完全一致
客户端指纹 (Fingerprint)	`chrome`	模拟常用浏览器 TLS 指纹
公钥 (Public Key)	生成的 `Public Key`	⚠️ 千万不要填成 Private Key
简短 ID (Short ID)	生成的 `Short ID`	—

如果你使用的是 Clash Verge，可新建一个本地 Profile（.yaml 文件），直接复制以下经过格式修正的模版：

1
# 1. 节点定义 (Proxies)
2
proxies:
3
  - name: "REALITY-节点"
4
    type: vless
5
    server: 你的VPS公网IP            # 替换为你的服务器 IP
6
    port: 443                        # 服务端端口
7
    uuid: 你的UUID                    # 替换为你生成的 UUID
8
    udp: true
9
    tls: true
10
    flow: xtls-rprx-vision
11
    servername: https://www.apple.com       # 伪装域名 (SNI)
12
    network: tcp
13
    reality-opts:
14
      public-key: 你的PublicKey       # 替换为 Public Key (公钥)
15
      short-id: 你的ShortID          # 替换为 Short ID
16
    client-fingerprint: chrome       # 客户端 TLS 指纹
17

18
# 2. 策略组 (Proxy Groups)
19
proxy-groups:
20
  - name: 节点选择
21
    type: select
22
    proxies:
23
      - "REALITY-节点"
24
      - DIRECT
25

26
  - name: 漏网之鱼
27
    type: select
28
    proxies:
29
      - 节点选择
30
      - DIRECT
31

32
# 3. 基础分流规则 (Rules)
33
rules:
34
  - GEOIP,lan,DIRECT
35
  - GEOIP,cn,DIRECT
36
  - MATCH,漏网之鱼

💡 维护与常见问题（FAQ）#

连接提示 Timeout 或超时？
- 排查 VPS 云控制台（如阿里云、AWS、甲骨文等）安全组是否放行了 TCP 443 端口。
- 排查本地网络是否存在防火墙拦截。
伪装域名如何选择？
- 优先选择支持 TLS 1.3 / HTTP2 且服务器地理位置相近的大厂域名（如 www.apple.com、dl.google.com、gateway.icloud.com）。
服务重启或查看日志命令：
- 查看实时日志：journalctl -u xray -f
- 重启服务：systemctl restart xray