VLESS Reality — Warum es nicht gesperrt werden kann und wie man es 2026 verwendet
Im Jahr 2023 veröffentlichte ein russischer Entwickler auf Habr einen technischen Artikel, der erklärt, warum VLESS Reality mit denselben Methoden, die bereits Hunderte anderer VPN-Dienste erfolgreich außer Gefecht gesetzt haben, faktisch nicht zu sperren ist. Dieser Artikel wurde 199.000 Mal aufgerufen — eine bemerkenswerte Zahl für einen technisch vertiefenden Beitrag über VPN-Protokoll-Interna. Das Interesse hat einen praktischen Grund: Menschen, die unter aktiven Internetsperren leben, mussten verstehen, warum einige Werkzeuge weiter funktionieren, während alles andere abgeschaltet wird.
Dieser Leitfaden behandelt dasselbe Thema: Was VLESS Reality ist, warum es dort funktioniert, wo andere Protokolle versagen, und wie man es verwendet.
Das Problem: Deep Packet Inspection
Um zu verstehen, warum VLESS Reality so wichtig ist, muss man zunächst verstehen, wie moderne Internetsperren tatsächlich funktionieren.
Frühe Internetsperren waren einfach: Man sperrte bestimmte IP-Adressen und Domainnamen. Wenn Facebooks IP-Adresse gesperrt ist, kommt man nicht zu Facebook. Dieser Ansatz war leicht umzusetzen und leicht zu umgehen — man benutzte einfach ein VPN.
Die nächste Generation von Netzsperren — heute in Russland, Iran, China, der Türkei und anderswo im Einsatz — nutzt Deep Packet Inspection (DPI). DPI schaut nicht nur, wohin ein Paket gesendet wird; es analysiert in Echtzeit den tatsächlichen Inhalt und die Struktur des Netzwerkverkehrs.
Jedes VPN-Protokoll hat ein charakteristisches Verkehrsmuster — einen Fingerabdruck. Wenn eine VPN-Verbindung aufgebaut wird:
- OpenVPN führt einen charakteristischen TLS-Handshake durch, gefolgt von UDP- oder TCP-Verkehr mit erkennbaren Mustern
- WireGuard verwendet UDP mit einem einzigartigen 4-Nachrichten-Handshake — allein durch das Muster trivial identifizierbar
- IPsec/IKEv2 hat in RFCs dokumentierte Standard-Handshakes, die DPI-Systeme exakt abgleichen können
- Selbst verschleierte Protokolle wie obfs4 oder Shadowsocks wurden im Laufe der Zeit per Fingerabdruck identifiziert
Wenn ein DPI-System VPN-Datenverkehr erkennt, kann es die Verbindung vollständig sperren, sie auf unbrauchbare Geschwindigkeiten drosseln oder aktive Messungen auslösen, um den Verbindungstyp zu bestätigen.
Die TSPU-Hardware Russlands (bei jedem größeren Internetanbieter installiert) und Chinas Great Firewall nutzen beide diesen Ansatz. Deshalb sind bis 2026 mehr als 469 VPN-Dienste in Russland effektiv gesperrt worden. Die Anbieter wurden nicht gesperrt, weil Russland eine Liste ihrer IP-Adressen erhalten hat — sie wurden gesperrt, weil ihr Datenverkehr von DPI-Systemen als VPN-Datenverkehr identifiziert und die IPs daraufhin gesperrt wurden.
Warum Standard-VPNs diesen Kampf immer wieder verlieren
NordVPN, Surfshark, ExpressVPN und praktisch jedes gängige kommerzielle VPN haben in Verschleierungsfunktionen investiert — Modi, die verbergen sollen, dass man ein VPN verwendet. NordVPN nennt seine Version „Verschleierte Server", Surfshark nennt es „Tarntunnel-Modus".
Diese Funktionen funktionieren, indem sie den VPN-Datenverkehr in eine zusätzliche Schicht einpacken — typischerweise obfs4 oder einen TLS-Wrapper — damit er weniger wie normaler VPN-Verkehr aussieht. Sie verbessern den Widerstand gegen einfaches Mustererkennung.
Allerdings haben sie eine grundlegende Einschränkung: Die Verschleierungsschicht selbst hat einen Fingerabdruck. obfs4-Datenverkehr sieht aus wie zufällige Daten, was an sich schon ungewöhnlich ist — legitimer Internetverkehr hat eine Struktur, die obfs4-Datenverkehr fehlt. TLS-Wrapper erzeugen Overhead-Muster, die sich von echten TLS-Verbindungen aus Browsern unterscheiden.
Noch entscheidender ist, dass Regulierungsbehörden einen mächtigen Vorteil haben: Sie können aktive Messungen durchführen. Wenn eine Verbindung verdächtig aussieht, kann das Filtersystem die IP-Adresse aktiv untersuchen, um festzustellen, ob es sich um einen VPN-Server handelt. Es sendet gezielt konstruierte Pakete und analysiert die Antwort. Ein verschleierter VPN-Server antwortet entweder nicht wie ein echter Webserver (was ihn als VPN entlarvt) oder antwortet falsch (gleiches Ergebnis). Sobald er als VPN-Server identifiziert wurde, wird die IP gesperrt.
Das ist ein asymmetrischer Kampf. VPN-Anbieter können neue Verschleierungsschichten hinzufügen; Filtersysteme können neue Detektoren entwickeln. Langfristig gewinnen die Sperrbehörden, weil sie mehr Ressourcen haben und nur einen guten Detektor für jede Verschleierungstechnik entwickeln müssen.
VLESS Reality durchbricht diese Dynamik vollständig.
Was ist VLESS Reality?
VLESS Reality ist eine Transport-Konfiguration für das VLESS-Protokoll innerhalb des V2Ray/Xray-Frameworks. Es wurde speziell entwickelt, um gegen aktive Messungen durch Filtersysteme resistent zu sein.
Der Kerngedanke hinter Reality ist: Anstatt zu versuchen, echten Datenverkehr nachzuahmen, verwendet man tatsächliche echte Infrastruktur.
So funktioniert es technisch:
Das normale TLS-Problem
Wenn man sich über TLS-Verschlüsselung mit einem VPN verbindet, enthält der TLS-Handshake Informationen, die ihn als nicht standardkonform kennzeichnen. Auch wenn der Inhalt verschlüsselt ist, unterscheidet sich das Zertifikat von dem, was ein Browser beim Verbinden mit einer legitimen Seite sehen würde, die Handshake-Parameter können leicht abweichen, und aktive Messungen zeigen, dass sich der Server nicht wie ein echter Webserver verhält.
Wie Reality dieses Problem löst
VLESS Reality funktioniert anders:
1. Der Server verwendet eine echte Domain eines Dritten als „Tarnung" — typischerweise eine große Website wie www.microsoft.com, www.apple.com oder ein großes CDN. Dies wird als Server Name Indication (SNI) bezeichnet.
2. Während des TLS-Handshakes leitet der Server den Datenverkehr des Clients an die tatsächliche echte Domain weiter, wenn die Verbindung nicht von einem legitimen V2Ray-Client stammt. Jede Messung eines Filtersystems, das nicht die korrekten V2Ray-Client-Anmeldedaten hat, erhält eine echte Antwort von Microsofts (oder Apples oder der gewählten Domain) tatsächlichen Servern.
3. Für legitime Clients mit der korrekten UUID und den richtigen Schlüsseln wird die Verbindung erkannt und der eigentliche VPN-Datenverkehr verarbeitet. Der Client sieht ein echtes TLS-Zertifikat der Tarn-Domain. Es gibt keinen Unterschied im TLS-Handshake selbst zwischen einer legitimen Client-Verbindung und einer Browser-Verbindung zu dieser echten Website.
Das Ergebnis: Aus der Perspektive jedes externen Beobachters — einschließlich des ausgefeiltesten DPI-Systems und der aktiven Messinfrastruktur — sieht eine Verbindung zu einem VLESS Reality-Server identisch aus wie eine Verbindung zu Microsoft, Apple oder welcher legitimen Website auch immer als SNI verwendet wird. Das TLS-Zertifikat des Servers ist echt, die TLS-Parameter sind echt, und bei einer Prüfung gibt der Server echte Inhalte der legitimen Website zurück.
Es gibt keine zusätzliche TLS-Wrapper-Schicht, die einen Fingerabdruck hinterlässt. Es gibt kein ungewöhnliches Verkehrsmuster. Es gibt keine Möglichkeit, eine VLESS Reality-Verbindung von einer legitimen HTTPS-Verbindung zu unterscheiden — ohne die privaten V2Ray-Client-Schlüssel, die das Filtersystem nicht besitzt.
Der XTLS Vision Flow
Reality-Konfigurationen verwenden typischerweise den xtls-rprx-vision-Flow, der eine weitere Raffinesse hinzufügt: Er randomisiert die TLS-Aufzeichnungsgrößen, um die natürliche Variation nachzuahmen, die bei echtem Browser-Datenverkehr zu beobachten ist. Browser senden Daten nicht in perfekt gleichmäßigen Paketen — sie fragmentieren TLS-Aufzeichnungen auf eine Weise, die je nach Inhalt und Browser-Implementierung variiert. Der Vision Flow repliziert diese natürliche Variation und macht die Datenverkehrsanalyse auf Basis von Paketgrößenmustern wirkungslos.
Warum NordVPN gesperrt wird, VLESS Reality aber nicht
Der praktische Unterschied ist in eingeschränkten Ländern deutlich sichtbar:
NordVPNs Ansatz:
- Verwendet WireGuard (leicht durch DPI identifizierbar)
- „Verschleierte Server" nutzen proprietäre Verschleierungsumhüllung
- Server sind bekannte IP-Bereiche — können nach Identifizierung gesperrt werden
- Aktive Messungen zeigen sie als VPN-Server (sie stellen keine echten Webinhalte bereit)
- Ergebnis: In Russland innerhalb von Wochen nach der Bereitstellung gesperrt, oft innerhalb von Tagen
VLESS Realitys Ansatz:
- Der TLS-Handshake stammt wirklich von der Tarn-Domain (z. B. Microsoft)
- Das Serverzertifikat ist echt — es gehört der Tarn-Domain
- Aktive Messungen liefern echte Inhalte der Tarn-Domain zurück
- Es gibt keinen statistischen Unterschied zwischen diesem Datenverkehr und echtem Browser-Datenverkehr
- Ergebnis: Auf jeder Analyseebene nicht von normalem Webverkehr zu unterscheiden
Dies ist kein vorübergehender Vorteil, der mit der Aktualisierung von Filtersystemen verschwinden wird. Die grundlegende Eigenschaft von Reality — dass es tatsächliche echte Infrastruktur nutzt, um Verbindungen abzudecken — kann durch Datenverkehrsanalyse nicht überwunden werden, weil es nichts zu analysieren gibt. Die einzige Möglichkeit, es zu sperren, wäre, die als Tarnung verwendeten legitimen Domains zu sperren (Microsoft, Apple usw.), was für jede Regierung, die einen funktionierenden elektronischen Handel aufrechterhalten will, politisch und technisch unpraktikabel ist.
Wie MegaV VLESS Reality verwendet
MegaV VPN verwendet VLESS Reality als primäres Protokoll für Nutzer in eingeschränkten Regionen. Wenn Sie sich aus Russland, Iran oder China verbinden, verwendet MegaV automatisch eine Reality-Konfiguration, die auf hochverfügbare Tarn-Domains verweist.
Aus der Perspektive Ihres Internetanbieters verbinden Sie sich mit Microsoft oder einem großen CDN. Der VPN-Tunnel ist unsichtbar.
MegaV übernimmt die Komplexität der Reality-Konfiguration automatisch:
- Auswahl der Tarn-Domain — MegaV verwendet mehrere Tarn-Domains und wählt die für Ihre Region geeignete aus
- Server-Rotation — Falls eine Server-IP gesperrt wird (was bei Reality selten vorkommt, aber aufgrund von IP-Bereichssperren statt Datenverkehrsanalyse passieren kann), leitet MegaV automatisch auf einen neuen Server um
- Schlüsselverwaltung — UUID, öffentliche Schlüssel und Kurz-IDs werden von der App verwaltet — keine manuelle Konfiguration erforderlich
Das Ergebnis: Nutzer erhalten den Sperr-Widerstand von VLESS Reality, ohne die technischen Details verstehen zu müssen.
Manuelle Einrichtungsanleitung
Wenn Sie VLESS Reality selbst konfigurieren möchten — mit v2rayNG (Android), Sing-Box oder einem anderen V2Ray-Client — finden Sie hier die Konfigurationsstruktur:
Erforderliche Konfigurationsparameter
Protocol: VLESS
Address: [Server-IP oder Hostname]
Port: 443
UUID: [Ihre Benutzer-UUID]
Flow: xtls-rprx-vision
Encryption: none
Network: tcp
TLS: reality
Reality Settings:
SNI: [Tarn-Domain, z. B. www.microsoft.com]
Fingerprint: chrome
Public Key: [x25519 öffentlicher Schlüssel des Servers]
Short ID: [kurze Hex-ID]Schritt für Schritt in v2rayNG
1. v2rayNG öffnen → + tippen → VLESS auswählen
2. Adresse, Port, UUID eintragen
3. Flow auf xtls-rprx-vision setzen
4. Network auf tcp setzen
5. TLS auf reality setzen
6. TLS-Einstellungen antippen und konfigurieren:
- Servername (SNI): Ihre Tarn-Domain
- Fingerprint: chrome
- Public Key: der x25519-öffentliche Schlüssel des Servers
- Short ID: vom Server-Administrator bereitgestellt
7. Speichern und verbinden
Schritt für Schritt in Sing-Box (iOS / plattformübergreifend)
Sing-Box verwendet JSON-Konfigurationsdateien. Der relevante Outbound-Abschnitt:
{
"type": "vless",
"tag": "proxy",
"server": "YOUR_SERVER_IP",
"server_port": 443,
"uuid": "YOUR_UUID",
"flow": "xtls-rprx-vision",
"tls": {
"enabled": true,
"server_name": "www.microsoft.com",
"utls": {
"enabled": true,
"fingerprint": "chrome"
},
"reality": {
"enabled": true,
"public_key": "YOUR_PUBLIC_KEY",
"short_id": "YOUR_SHORT_ID"
}
}
}Ersetzen Sie YOUR_SERVER_IP, YOUR_UUID, YOUR_PUBLIC_KEY und YOUR_SHORT_ID durch die Werte Ihres Server-Anbieters.
Reality-Server einrichten (Self-Hosting)
Für fortgeschrittene Nutzer, die ihren eigenen Server betreiben möchten, behandelt die Xray-core-Dokumentation die Reality-Server-Konfiguration. Wichtigste Schritte:
1. Xray auf einem VPS außerhalb des gesperrten Landes installieren (Hetzner, DigitalOcean, Vultr usw.)
2. Ein x25519-Schlüsselpaar generieren: xray x25519
3. Eine Kurz-ID generieren: openssl rand -hex 4
4. Den Reality-Inbound in Ihrer config.json konfigurieren
5. Eine Tarn-Domain mit einem stark frequentierten CDN wählen, das nicht auf eine russische/iranische IP aufgelöst wird
Self-Hosting gibt Ihnen vollständige Kontrolle, erfordert aber laufende Server-Wartung. Ein verwalteter Dienst wie MegaV bietet dasselbe Protokoll ohne den operativen Aufwand.
VLESS Reality vs. andere Protokolle
| Protokoll | DPI-Widerstand | Widerstand gegen aktive Messungen | Geschwindigkeit | Einrichtungskomplexität |
|---|---|---|---|---|
| WireGuard | Keiner | Keiner (wird als VPN erkannt) | Ausgezeichnet | Niedrig |
| OpenVPN + Verschleierung | Niedrig | Niedrig | Gut | Mittel |
| Shadowsocks | Mittel | Mittel | Gut | Niedrig |
| VLESS + TLS | Hoch | Niedrig | Gut | Mittel |
| VLESS Reality | Maximum | Maximum | Gut | Mittel-Hoch |
VLESS Reality stellt das aktuelle Maximum dessen dar, was für sperr-resistentes Tunneling technisch erreichbar ist. Solange Regulierungsbehörden nicht bereit sind, die Domains großer Technologieunternehmen zu sperren — was erhebliche Kollateralschäden verursachen würde — bleibt VLESS Reality gegenüber jedem praktischen DPI-basierten Filtersystem zuverlässig.
Fazit
VLESS Reality ist nicht nur eine weitere Verschleierungstechnik. Es ist ein grundlegend anderer Ansatz: Anstatt zu verbergen, dass man etwas Ungewöhnliches tut, macht es Ihren Datenverkehr wirklich nicht unterscheidbar von dem Zugriff auf die meistbesuchten Websites der Welt. Jede aktive Messung liefert echte Inhalte von echten Servern zurück. Jedes TLS-Zertifikat ist gültig. Jedes Verkehrsmuster entspricht dem echten Browser-Verhalten.
Deshalb funktioniert es weiterhin in China, Russland und Iran, wo Hunderte anderer VPN-Dienste systematisch gesperrt worden sind.