O Reality é a resposta atual à inspeção profunda de pacotes, e funciona justamente por recusar ter uma identidade própria. Em vez de apresentar um certificado que você comprou para um domínio que registrou, o seu servidor repassa o handshake de um site real. Veja como configurar o Xray em um VPS, e onde as pessoas costumam errar.
Por que o Reality mudou o jogo para redes censuradas
Toda solução anterior precisava de um nome: um domínio que você registrou, um certificado que você emitiu, com VLESS ou Trojan por trás. Isso funciona até um censor sondar o seu IP e encontrar um domínio solitário, com um único visitante e um certificado de uma semana de idade — nesse ponto, o bloqueio deixa de ser um palpite e vira uma confirmação. O Reality elimina o nome: o seu servidor repassa para um site real qualquer handshake que não consegue autenticar, e é esse site que responde com o próprio certificado.
- Nenhum domínio e nenhum certificado — nada no DNS ou em um log de transparência aponta para o seu servidor.
- A sondagem ativa falha por design: quem sonda sem a chave recebe o site de camuflagem genuíno.
- O tráfego fica na porta 443, dentro de uma sessão TLS 1.3 real — a categoria mais banal que existe online.
- O cliente imita a impressão digital TLS de um navegador via uTLS, de modo que o handshake não revela nenhum proxy.
Seja preciso quanto ao limite dessa proteção; é superestimando-o que as pessoas se dão mal. Um observador vê o seu IP, o IP do servidor, a porta 443 e o nome do site que você imita — exatamente como seria visitá-lo de verdade. O que continua visível é o formato: uma sessão longa e única para um IP estrangeiro, oito horas por dia, é algo incomum não importa o que a transporte. O Reality vence a impressão digital de protocolo e a sondagem ativa, não a análise de tráfego — e isso não é anonimato.
Regra prática: o Reality responde "que protocolo é este?". Ele não responde "por que essa pessoa fala com esse único IP o dia todo?". É camuflagem, não uma capa de invisibilidade.
O que você precisa antes de configurar o Xray em um VPS
Escolhendo uma localização, e pagando sem uma identidade
Duas variáveis decidem o quanto isso se sustenta: onde a máquina está e se a compra dela aponta de volta para você. Para velocidade, escolha o país mais próximo que não filtra. Para durabilidade, escolha uma jurisdição que não vai entregar o servidor mediante solicitação. Compare regiões em /locations, e veja em /offshore-hosting o que a jurisdição muda.
A KernelVPS opera em 15 localizações, seis delas de privacidade máxima: Netherlands, Switzerland, Romania, Iceland, Moldova e Luxembourg. Os planos começam em $3.49/mo por 1 vCPU, 1 GB de DDR5 e 20 GB de NVMe Gen4, com largura de banda ilimitada, proteção contra DDoS e implantação em menos de 60 segundos. Os saldos são financiados com sete moedas: Bitcoin, Monero, Ethereum, Litecoin, USDT, TRON ou Solana. A tabela de planos está em /vps, a política em /no-kyc-vps, o fluxo de recarga em /pay-with.
Se o túnel existe porque usar um deles onde você mora é algo sensível, o rastro do pagamento merece o mesmo cuidado que o protocolo: uma fatura de cartão com o nome de um provedor de hospedagem sobrevive ao servidor por anos. /pay-with-monero é o caminho privado.
Instalando o Xray no VPS com o painel 3x-ui
Você pode rodar o Xray-core direto do seu próprio config.json, e se você já tem familiaridade com isso, vá em frente. Para a maioria das pessoas, o 3x-ui é a escolha melhor: ele gera o par de chaves, monta os links dos clientes e os QR codes, gerencia usuários, e instala o Xray como uma unidade systemd.
- 1
Faça o hardening primeiro, não por último
apt update && apt full-upgrade -y, crie um usuário sudo, instale sua chave SSH, depois defina PasswordAuthentication no e PermitRootLogin no — antes que qualquer coisa fique escutando na porta 443.
- 2
Instale o painel
Como root: bash <(curl -Ls https://raw.githubusercontent.com/MHSanaei/3x-ui/master/install.sh). Ele baixa o Xray-core, registra um serviço systemd, e pede credenciais, uma porta e um caminho de URL. Aceite os valores aleatórios que ele oferece — scanners procuram pela clássica 54321 em uma instalação crua.
- 3
Acesse o painel via SSH
Encaminhe-o em vez de expô-lo: ssh -L 2053:127.0.0.1:PANELPORT para o servidor, e depois abra 127.0.0.1:2053 localmente. O painel nunca precisa de uma conexão de entrada.
- 4
Crie o inbound
Em Inbounds, Add Inbound: protocolo VLESS, porta 443, Security definido como Reality. Deixe o transporte em TCP puro — com o flow Vision, é o mais rápido e o menos característico.
Gerando o par de chaves do Reality e escolhendo um domínio de camuflagem
O Reality se apoia em duas escolhas: um par de chaves x25519 e o site que você imita. O painel gera o par com um clique; no Xray puro, o comando é xray x25519. A chave privada nunca sai do servidor, a chave pública entra em cada link de cliente junto com um short ID. O alvo de camuflagem — Dest e SNI no painel — é o que faz as pessoas serem bloqueadas.
- Ele precisa suportar TLS 1.3 com X25519, e idealmente HTTP/2. O Reality não consegue tomar emprestado um handshake que não sabe falar.
- Ele não pode estar bloqueado onde os seus usuários estão — imitar um site que o seu próprio censor filtra anula todo o propósito.
- Ele deve ser plausivelmente próximo do seu servidor. Uma máquina em Amsterdã imitando um nome que só resolve para datacenters asiáticos é uma anomalia.
- Prefira algo comum, e reverifique mensalmente. Listas de fóruns com "dest recomendados" acabam sendo amostradas por censores justamente porque circulam.
Regra de ouro para escolher um dest: um lugar onde o seu servidor poderia plausivelmente estar, alcançável de onde quer que os seus usuários estejam, e completamente sem graça. Sem graça é o objetivo.
Montando o link do cliente e conectando os seus dispositivos
O painel produz uma URI vless:// e um QR code por cliente. Os parâmetros que importam são a chave pública (pbk), o short ID (sid), o SNI, a impressão digital uTLS (fp, em que chrome é um padrão seguro) e o flow, que é xtls-rprx-vision em um inbound TCP.
Android
v2rayNG ou Hiddify. Escaneie o QR code direto do painel — sem nenhuma configuração manual.
iOS
Shadowrocket, Streisand ou Foxray. Os três leem o mesmo link vless://, parâmetros do Reality incluídos.
Windows e macOS
v2rayN, NekoRay ou Hiddify. Cole o link e o cliente preenche todos os campos sozinho.
Linux
NekoRay para uma interface gráfica, ou o Xray-core em modo cliente com os mesmos parâmetros no config.json.
Blindando o painel para que ele não seja o ponto fraco
Um inbound Reality bem configurado é um alvo difícil. Um painel em uma porta previsível, protegido por uma senha reutilizada, não é — e ele guarda todas as chaves da máquina. A maioria dos servidores Xray comprometidos é perdida pelo painel, não pelo protocolo.
- Mantenha o painel em loopback, acessado por um túnel SSH. Se ele precisar ser público: porta alta aleatória, caminho aleatório longo, certificado real.
- Substitua as credenciais do instalador por uma frase secreta que você nunca usou em nenhum outro lugar.
- Rode um firewall com negação por padrão: 443/tcp e a sua porta SSH, nada além disso. O checklist completo está em /guides.
- Dê a cada dispositivo a sua própria entrada de cliente, em vez de um UUID compartilhado, para que você possa revogar um sozinho.
- Atualize o Xray-core e o painel regularmente, e tire um snapshot assim que estiver funcionando.
Verificando a camuflagem, e continuando desbloqueado
Não presuma que o disfarce está funcionando. Três verificações vão dizer a você.
- Peça ao openssl o nome de camuflagem: openssl s_client -connect YOUR.SERVER.IP:443 -servername your-chosen-domain.example. Você deve receber a cadeia de certificado real daquele site; um certificado autoassinado ou um erro significa que o Reality não está funcionando.
- Visite o IP puro via HTTPS em um navegador. Um estranho deve cair em algo nada notável, nunca em uma tela de login do painel.
- No servidor, ss -tulpn deve mostrar o xray na porta 443 e nada inesperado.
O Reality está à frente hoje, o que é uma constatação sobre o presente, não sobre para sempre. Quando o bloqueio chega, ele geralmente vem de outro lugar que não a detecção de protocolo: reputação de IP, um bloqueio de ASN inteiro, ou a observação de que uma única linha move muitos dados para um único host.
- Mantenha um segundo protocolo instalado e ocioso — um endpoint WireGuard em uma porta UDP não custa nada e é o seu fallback instantâneo.
- Mantenha a configuração privada. Endpoints compartilhados em grupos públicos acabam sendo coletados e bloqueados; é assim que a maioria morre.
- Se o IP for bloqueado, reconstrua em vez de brigar com ele. /cheapest-no-kyc-vps mantém uma região reserva barata.
- Disponibilidade e visibilidade são problemas separados: /ddos-protection mantém a máquina alcançável, o Reality a mantém sem interesse.
Xray, WireGuard, Shadowsocks ou uma ponte Tor
O Reality é a escolha padrão certa sob filtragem agressiva, mas cada alternativa ainda vence em algum cenário. Muita gente roda dois: uma única instância de 1 GB carrega um inbound Reality na porta 443 e um endpoint WireGuard em UDP sem esforço.
Xray com VLESS e Reality
O mais forte contra inspeção profunda de pacotes e sondagem ativa, sem precisar de domínio. O custo é ter mais peças em movimento.
WireGuard
O mais rápido e simples, roda no kernel, clientes triviais em todo lugar. O handshake dele é fácil de identificar, então é a escolha errada onde VPNs são bloqueadas. Veja /host.
Shadowsocks
Um proxy criptografado leve que sobreviveu anos de filtragem moderada. Mais simples que o Xray, mais fraco contra um sondador determinado.
Ponte Tor
Não é um túnel pessoal, e sim um bem público: um ponto de entrada não listado na rede Tor. Roda ao lado do seu próprio em /tor-vps.
Eu realmente não preciso de um nome de domínio para o Reality?
Não — essa é a sua principal vantagem sobre o VLESS com TLS ou o Trojan. O Reality toma emprestado o certificado de um site que não é seu, de modo que nada no DNS ou em um log de transparência liga um nome ao seu servidor.
O Xray com Reality é melhor do que uma VPN comercial?
Para filtragem agressiva, geralmente sim: um IP privado que mais ninguém usa é muito mais difícil de colocar em uma lista de bloqueio do que uma faixa compartilhada de VPN. Para privacidade casual sem configuração nenhuma, um aplicativo comercial dá menos trabalho.
De quanto servidor um túnel Reality precisa?
Uma instância de 1 vCPU / 1 GB atende uma pessoa ou um pequeno grupo; o limite é a largura de banda, não os núcleos. Os planos de entrada em /offshore-vps começam em $3.49/mo com tráfego ilimitado.
Por que pagar em criptomoeda por um servidor de contorno de censura?
Porque o registro do pagamento sobrevive ao servidor e costuma ser o elo mais fraco. Um saldo pré-pago mantém a máquina desvinculada de você: /pay-with-monero é o mais privado, /pay-with-bitcoin o mais amplamente utilizado, /crypto-vps cobre o fluxo.
O que eu faço se o IP do meu servidor for bloqueado?
Reconstrua em um IP novo. O Reality não oferece nenhuma proteção contra um bloqueio total de IP ou de ASN, e nenhum protocolo oferece. Um saldo pré-pago sem KYC faz disso questão de minutos — /monero-vps e /best-offshore-vps listam as opções.
Rodar o Xray é legal?
Autogerenciar um proxy ou uma VPN é normal e legítimo na maioria dos países. Algumas jurisdições restringem especificamente ferramentas de contorno, e algumas restringem o usuário, não o operador. Este guia cobre o como, não é aconselhamento jurídico.
