Xray Reality 配置教程：让代理流量完美伪装 HTTPS

引言：为什么需要 Reality#

在网络审查日益严格的今天，普通的代理协议很容易被检测和封锁。传统的 TLS 加密虽然能隐藏内容，但无法隐藏流量特征。

Reality 协议的优势：

完美伪装：流量特征与正常 HTTPS 网站完全一致
零信任架构：即使私钥泄露，攻击者也无法伪造服务器
性能优异：基于 X25519 密钥交换，加密开销极低
抗检测能力强：有效规避深度包检测（DPI）

1. Reality 原理简介#

1.1 核心概念#

概念	说明
X25519	椭圆曲线密钥交换算法，生成临时密钥对
Short ID	短标识符，用于快速区分不同的 Reality 服务
Server Name	伪装的目标网站域名（SNI）
Destination	目标网站地址，用于获取证书指纹
Show	是否显示证书指纹（调试用）

1.2 工作流程#

1
1. 客户端连接到服务器
2
2. 客户端发送 TLS ClientHello
3
3. 服务器使用 X25519 生成临时密钥对
4
4. 客户端验证服务器证书指纹
5
5. 双方协商共享密钥
6
6. 建立加密隧道开始通信

1.3 与传统 TLS 的区别#

对比项	传统 TLS	Reality
证书	需要 CA 签发证书	使用目标网站证书指纹
密钥交换	RSA/ECDH	X25519
伪装性	可被识别为代理	完全伪装成正常 HTTPS
安全性	依赖证书机构	零信任架构

2. 服务器端配置#

2.1 安装 Xray#

1
# 更新系统
2
sudo apt update && sudo apt upgrade -y
3

4
# 安装 Xray
5
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
6

7
# 验证安装
8
xray version

2.2 生成 Reality 密钥#

1
# 生成 X25519 密钥对
2
xray x25519
3

4
# 输出示例：
5
# Private key: YmFzZTY0LWtleS12YWxpZGF0aW9uLWtleQ==
6
# Public key: cHJpbnQta2V5LmNvbmZpZy54cmF5Lm5ldC8=
7

8
# 保存密钥（稍后配置需要）
9
PRIVATE_KEY="YmFzZTY0LWtleS12YWxpZGF0aW9uLWtleQ=="
10
PUBLIC_KEY="cHJpbnQta2V5LmNvbmZpZy54cmF5Lm5ldC8="

2.3 获取目标网站证书指纹#

1
# 获取目标网站的证书指纹
2
# 推荐使用知名网站，如 www.bing.com
3

4
# 方法一：使用 openssl
5
openssl s_client -connect www.bing.com:443 < /dev/null 2>/dev/null \
6
  | openssl x509 -fingerprint -noout | sed 's/.*=//'
7

8
# 方法二：使用 xray 自带工具
9
xray tls certChainHash --domain www.bing.com
10

11
# 输出示例：
12
# SHA256 Fingerprint=ABC123DEF456...

2.4 创建配置文件#

创建 /etc/xray/config.json：

1
{
2
  "log": {
3
    "loglevel": "warning"
4
  },
5
  "inbounds": [
6
    {
7
      "port": 443,
8
      "protocol": "vless",
9
      "settings": {
10
        "clients": [
11
          {
12
            "id": "your-uuid-here",
13
            "flow": "xtls-rprx-vision"
14
          }
15
        ],
16
        "decryption": "none"
17
      },
18
      "streamSettings": {
19
        "network": "tcp",
20
        "security": "reality",
21
        "realitySettings": {
22
          "show": false,
23
          "dest": "www.bing.com:443",
24
          "xver": 0,
25
          "serverNames": ["www.bing.com"],
26
          "privateKey": "your-private-key-here",
27
          "shortIds": [""]
28
        }
29
      }
30
    }
31
  ],
32
  "outbounds": [
33
    {
34
      "protocol": "freedom"
35
    }
36
  ]
37
}

2.5 配置说明#

1
{
2
  "realitySettings": {
3
    "show": false,              // 是否显示调试信息（生产环境设为false）
4
    "dest": "www.bing.com:443", // 目标网站地址和端口
5
    "xver": 0,                  // 伪造 HTTP 版本（0/1/2）
6
    "serverNames": ["www.bing.com"], // 允许的 SNI 列表
7
    "privateKey": "...",        // 服务器私钥（xray x25519 生成）
8
    "shortIds": [""]            // Short ID 列表（空字符串表示匹配所有）
9
  }
10
}

2.6 启动服务#

1
# 启动 Xray
2
sudo systemctl start xray
3

4
# 设置开机自启
5
sudo systemctl enable xray
6

7
# 检查状态
8
sudo systemctl status xray
9

10
# 查看日志
11
sudo journalctl -u xray -f

3. 客户端配置#

3.1 Clash Meta 配置#

1
proxies:
2
  - name: "Reality-Server"
3
    type: vless
4
    server: your-server-ip
5
    port: 443
6
    uuid: your-uuid-here
7
    flow: "xtls-rprx-vision"
8
    cipher: auto
9
    tls: true
10
    reality-opts:
11
      public-key: your-public-key-here
12
      short-id: ""
13
      server-name: "www.bing.com"
14
    skip-cert-verify: false
15

16
proxy-groups:
17
  - name: "自动选择"
18
    type: select
19
    proxies:
20
      - Reality-Server
21
      - 直接
22

23
rules:
24
  - MATCH,自动选择

3.2 Shadowrocket 配置#

1
协议：VLESS
2
地址：your-server-ip
3
端口：443
4
UUID：your-uuid-here
5
加密方式：none
6
传输方式：tcp
7
TLS：开启
8
SNI：www.bing.com
9
Reality：开启
10
PublicKey：your-public-key-here
11
ShortId：（空）
12
Flow：xtls-rprx-vision

3.3 手动配置链接#

1
vless://your-uuid-here@your-server-ip:443?security=reality&encryption=none&flow=xtls-rprx-vision&sni=www.bing.com&fp=chrome&pbk=your-public-key-here&sid=&type=tcp#Reality-Server

4. 高级配置#

4.1 多目标网站配置#

1
{
2
  "realitySettings": {
3
    "show": false,
4
    "dest": "www.bing.com:443",
5
    "xver": 0,
6
    "serverNames": [
7
      "www.bing.com",
8
      "www.google.com",
9
      "www.apple.com",
10
      "www.microsoft.com"
11
    ],
12
    "privateKey": "your-private-key-here",
13
    "shortIds": [""]
14
  }
15
}

4.2 自定义 Short ID#

1
# 生成随机 Short ID
2
openssl rand -hex 8
3

4
# 配置多个 Short ID
5
{
6
  "shortIds": [
7
    "abc123def4567890",
8
    "fedcba0987654321",
9
    ""
10
  ]
11
}

4.3 配合 WebSocket 使用#

1
{
2
  "streamSettings": {
3
    "network": "ws",
4
    "security": "reality",
5
    "realitySettings": {
6
      "show": false,
7
      "dest": "www.bing.com:443",
8
      "xver": 0,
9
      "serverNames": ["www.bing.com"],
10
      "privateKey": "your-private-key-here",
11
      "shortIds": [""]
12
    },
13
    "wsSettings": {
14
      "path": "/",
15
      "headers": {
16
        "Host": "www.bing.com"
17
      }
18
    }
19
  }
20
}

4.4 配合 gRPC 使用#

1
{
2
  "streamSettings": {
3
    "network": "grpc",
4
    "security": "reality",
5
    "realitySettings": {
6
      "show": false,
7
      "dest": "www.bing.com:443",
8
      "xver": 0,
9
      "serverNames": ["www.bing.com"],
10
      "privateKey": "your-private-key-here",
11
      "shortIds": [""]
12
    },
13
    "grpcSettings": {
14
      "serviceName": "www.bing.com"
15
    }
16
  }
17
}

5. 性能优化#

5.1 开启 BBR 加速#

1
# 检查是否支持 BBR
2
lsmod | grep bbr
3

4
# 开启 BBR
5
echo "net.core.default_qdisc=fq" | sudo tee -a /etc/sysctl.conf
6
echo "net.ipv4.tcp_congestion_control=bbr" | sudo tee -a /etc/sysctl.conf
7
sudo sysctl -p
8

9
# 验证
10
sysctl net.ipv4.tcp_congestion_control

5.2 优化内核参数#

1
cat > /etc/sysctl.d/xray.conf << EOF
2
net.ipv4.tcp_fastopen=3
3
net.ipv4.tcp_tw_reuse=1
4
net.ipv4.ip_local_port_range=1024 65535
5
net.core.rmem_max=16777216
6
net.core.wmem_max=16777216
7
net.ipv4.tcp_max_syn_backlog=16384
8
net.ipv4.tcp_max_tw_buckets=10000
9
EOF
10

11
sudo sysctl -p /etc/sysctl.d/xray.conf

5.3 优化 Xray 配置#

1
{
2
  "inbounds": [
3
    {
4
      "port": 443,
5
      "protocol": "vless",
6
      "settings": {
7
        "clients": [...],
8
        "decryption": "none"
9
      },
10
      "streamSettings": {
11
        "network": "tcp",
12
        "security": "reality",
13
        "realitySettings": {...},
14
        "tcpSettings": {
15
          "header": {
16
            "type": "none"
17
          }
18
        }
19
      }
20
    }
21
  ]
22
}

6. 安全加固#

6.1 防火墙配置#

1
# 安装 ufw
2
sudo apt install -y ufw
3

4
# 允许必要端口
5
sudo ufw allow 443/tcp
6
sudo ufw allow 22/tcp
7

8
# 启用防火墙
9
sudo ufw enable
10

11
# 查看状态
12
sudo ufw status

6.2 禁用密码登录#

1
# 编辑 SSH 配置
2
sudo nano /etc/ssh/sshd_config
3

4
# 修改：
5
# PasswordAuthentication no
6
# ChallengeResponseAuthentication no
7
# PubkeyAuthentication yes
8

9
# 重启 SSH
10
sudo systemctl restart sshd

6.3 定期更新密钥#

1
# 定期重新生成密钥对
2
xray x25519
3

4
# 更新服务器配置
5
# 更新所有客户端配置
6

7
# 建议每 3-6 个月更新一次

7. 常见问题排查#

7.1 无法连接#

问题	排查方法
端口不通	`nc -zv your-server-ip 443`
防火墙拦截	`sudo ufw status`
服务未启动	`sudo systemctl status xray`
密钥不匹配	检查 Public Key 是否正确

7.2 连接不稳定#

问题	解决方法
网络波动	尝试更换目标网站
证书过期	更新目标网站证书指纹
服务器负载高	升级 VPS 配置

7.3 被封锁#

问题	解决方法
IP 被封	更换 VPS IP
协议被检测	更换传输方式（ws/gRPC）
SNI 被封锁	更换目标网站

7.4 调试技巧#

1
# 开启调试模式
2
# 修改配置文件 "show": true
3

4
# 查看详细日志
5
sudo journalctl -u xray -f
6

7
# 使用 xray 自带工具测试
8
xray diag
9

10
# 检查证书指纹
11
xray tls certChainHash --domain www.bing.com

8. 最佳实践建议#

8.1 目标网站选择#

1
# 推荐目标网站：
2
# 1. 知名大网站（稳定，不易被封锁）
3
# 2. 使用 HTTPS 的网站
4
# 3. 证书有效期长的网站
5
# 4. 支持 TLS 1.3 的网站
6

7
# 推荐列表：
8
# - www.bing.com
9
# - www.google.com
10
# - www.apple.com
11
# - www.microsoft.com
12
# - www.github.com

8.2 定期维护#

1
# 定期检查：
2
# 1. 服务器状态（每周）
3
# 2. 证书指纹（每月）
4
# 3. 密钥更新（每季度）
5
# 4. 日志检查（每天）
6

7
# 自动化脚本示例：
8
#!/bin/bash
9
# 检查 Xray 服务状态
10
if ! systemctl is-active --quiet xray; then
11
    systemctl restart xray
12
    echo "Xray 服务已重启" | mail -s "Xray 服务异常" [email protected]
13
fi

8.3 多服务器备份#

1
# 建议部署至少 2 台服务器
2
# 主服务器 + 备用服务器
3
# 避免单点故障
4

5
# Clash 配置示例：
6
proxy-groups:
7
  - name: "自动选择"
8
    type: url-test
9
    url: "http://www.gstatic.com/generate_204"
10
    interval: 300
11
    proxies:
12
      - Reality-Server-1
13
      - Reality-Server-2
14
      - 直接

结语#

Xray Reality 是目前最先进的代理协议之一，通过完美伪装 HTTPS 流量，可以有效规避网络审查。虽然配置过程相对复杂，但一旦完成，就能获得极高的安全性和稳定性。

TIP
如果不想自己搭建，可以选择支持 Reality 协议的机场，省心省力。

想了解更多代理配置技巧？请订阅我们的 Telegram 频道或持续关注本站。