Как установить и настроить VLESS Reality на VPS

MAATRIX

VLESS с протоколом Reality — это способ поднять свой канал, который снаружи неотличим от обычного визита на чужой популярный сайт. Никаких сертификатов, никакого собственного домена, никакого характерного «почерка», по которому фильтры вычисляют VPN. Ваш сервер прикидывается зеркалом чужого TLS-хендшейка, и для наблюдателя трафик выглядит как заход на google.com или microsoft.com. Разберём установку с нуля на чистом VPS.

Что такое Reality и почему он устойчив к блокировкам

Обычные протоколы обхода палятся на TLS-хендшейке: у них свой сертификат, своя цепочка, характерные параметры соединения. Активный пробинг находит такой сервер за минуты. Reality решает проблему радикально — он не поднимает свой TLS, а подделывает хендшейк реального стороннего сайта, который вы выбираете сами.

Когда фильтр или система пробинга стучится на ваш порт, сервер отвечает так, будто это настоящий www.microsoft.com: тот же сертификат, те же параметры. Отличить подделку без приватного ключа невозможно. Легитимные клиенты, знающие ключ, получают доступ к вашему каналу, а любой посторонний видит обычный чужой сайт. Отсюда и устойчивость: блокировать Reality — значит блокировать тот популярный домен, под который он маскируется, а на это фильтры не идут.

Важно понимать честно: Reality не панацея. Он отлично прячет факт соединения, но не даёт анонимности сам по себе и требует аккуратного выбора маскировочного домена. Зато на 2026 год это один из самых живучих способов держать стабильный канал.

Сравним с предшественниками. Классический VLESS+TLS требовал своего домена и валидного сертификата, а его хендшейк всё равно можно было вычислить по косвенным признакам. Reality убирает обе слабости: домен чужой и настоящий, сертификат тоже настоящий — просто не ваш. Поэтому и порог обнаружения у него принципиально выше. Единственное, за чем нужно следить, — чтобы маскировочный сайт был живым, популярным и поддерживал TLS 1.3; на этом держится вся схема.

Выбор сервера и локации

Reality нетребователен к железу: 1 ядро, 1 ГБ RAM и минимальный диск закрывают личное использование и небольшую группу. Вся нагрузка — это шифрование трафика, которое современный процессор тянет незаметно. Ресурсы понадобятся только при десятках активных клиентов на одном сервере.

Ключевой выбор — локация. Для доступа к зарубежным сервисам, AI и стримингу берите VPS в США: чистый IP и полный охват западных площадок. Нужен низкий пинг до Европы и деловая респектабельность — берите UK. Локацию стоит выбирать и по маскировочному домену: логичнее прятаться под сайт, географически близкий к вашему серверу, чтобы маршрут выглядел естественно.

Оплата зарубежного VPS из России — отдельная головная боль. MAATRIX принимает карты российских банков, СБП, криптовалюту и токен MAAT, поэтому иностранная карта не нужна, а сервер в нужной локации поднимается за пару минут.

Установка Xray-core

Reality работает поверх Xray-core — актуальной реализации ядра. Поставим его официальным скриптом на Ubuntu 24.04:

apt update && apt install -y curl
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Скрипт ставит бинарник, создаёт systemd-юнит xray и каталог конфигов в /usr/local/etc/xray/. Проверьте, что версия свежая:

xray version

Теперь сгенерируйте ключевую пару X25519 и короткий идентификатор — это основа Reality:

xray x25519
openssl rand -hex 8

Первая команда выдаст приватный и публичный ключи (Private key и Public key), вторая — shortId. Приватный ключ пойдёт в конфиг сервера, публичный — клиенту. Запишите оба и shortId — они понадобятся дальше.

Настройка конфига сервера

Отредактируйте /usr/local/etc/xray/config.json. Минимальный рабочий конфиг Reality:

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "UUID_КЛИЕНТА", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "ВАШ_PRIVATE_KEY",
        "shortIds": ["ВАШ_SHORTID"]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

UUID клиента сгенерируйте командой xray uuid. Поле dest и serverNames — это и есть маскировочный домен: сервер будет отвечать хендшейком именно этого сайта. Выбирайте крупный сайт с TLS 1.3, который не заблокируют (microsoft.com, apple.com, cloudflare-подобные). flow: xtls-rprx-vision включает оптимальный режим передачи с минимальными накладными расходами. Порт 443 выбран не случайно: это стандартный порт HTTPS, и любой другой порт сам по себе привлёк бы внимание фильтров — весь смысл в том, чтобы сливаться с обычным веб-трафиком.

Разберём остальные поля. decryption: none — обязательная константа для VLESS, шифрование берёт на себя транспортный слой. Блок outbounds с протоколом freedom означает, что сервер выпускает трафик напрямую в интернет от своего имени и IP — именно поэтому важен чистый адрес локации. Приватный ключ в privateKey — тот самый, что выдала команда xray x25519; публичный из этой же пары уйдёт клиенту. Запустите сервер:

systemctl restart xray
systemctl enable xray
systemctl status xray

Настройка клиента

На стороне клиента подойдут v2rayNG (Android), NekoBox, Hiddify или Streisand (iOS/macOS). Проще всего собрать ссылку-подписку формата vless://, которую клиент импортирует одним касанием:

vless://UUID@IP_СЕРВЕРА:443?type=tcp&security=reality&pbk=PUBLIC_KEY&fp=chrome&sni=www.microsoft.com&sid=SHORTID&flow=xtls-rprx-vision#MyReality

Подставьте UUID, IP сервера, публичный ключ (pbk), маскировочный домен (sni) и shortId (sid). Параметр fp=chrome задаёт отпечаток TLS под браузер Chrome — это делает соединение ещё неотличимее. Импортируйте ссылку в клиент, подключитесь и проверьте выход через сервис определения IP: должен показаться адрес вашего VPS.

Проверка и тонкая настройка

После запуска убедитесь, что маскировка работает. Откройте в браузере https://IP_СЕРВЕРА напрямую — вы должны увидеть контент маскировочного сайта или ошибку сертификата, но не признаки прокси. Это значит, что для стороннего наблюдателя порт 443 выглядит как обычный веб-сервер.

Несколько правил стабильной работы:

• Синхронизируйте время. Reality чувствителен к расхождению часов; включите timedatectl set-ntp true.
• Держите порт 443. Нестандартный порт сам по себе привлекает внимание фильтров.
• Не меняйте маскировочный домен на редкий. Чем популярнее сайт, тем безопаснее прятаться под него.
• Обновляйте Xray. Протокол развивается, свежие версии закрывают методы обнаружения.

Чтобы поднять устойчивый к блокировкам канал, нужен VPS с чистым IP за рубежом. У MAATRIX сервер в США или UK разворачивается за пару минут, с оплатой картой РФ, СБП или криптой — и Reality начинает работать сразу, без возни с платежами.

Частые вопросы