Die Begriffe VLESS, Reality, XTLS und XHTTP tauchen in fast jeder Anleitung zur Einrichtung eines VPN auf, doch selten wird erklärt, was dahintersteckt und warum dasselbe Schema bei den einen jahrelang funktioniert und bei den anderen schon nach einer Woche nicht mehr. In diesem Artikel gehen wir der Reihe nach durch, wie der Provider Ihre Verbindung sieht, welche Merkmale ein VPN verraten und wie moderne Protokolle diese Merkmale beseitigen. Danach wird klar sein, worin sich unsere Anleitungen unterscheiden und welche davon Sie wählen sollten.
Wie ein Provider ein VPN erkennt und blockiert
Um den Aufbau moderner Protokolle zu verstehen, muss man bei dem beginnen, wogegen sie entwickelt wurden. Der Provider kann den Inhalt einer verschlüsselten Verbindung nicht lesen, sieht aber recht viel drumherum. Er kennt die IP-Adresse, mit der sich Ihr Gerät verbindet, den Port, das Transportprotokoll, Menge und Rhythmus der übertragenen Daten sowie die ersten Bytes jeder Verbindung, die oft im Klartext übertragen werden. Auf genau diesen Angaben beruhen Systeme zur Verkehrsfilterung, etwa die in Russland eingesetzten TSPU-Filtersysteme.
Die gröbste Methode der Sperrung ist das Verbot bestimmter IP-Adressen oder ganzer Subnetze. Sie ist einfach, trifft aber alle, die in der Nachbarschaft untergebracht sind, deshalb wird sie gezielt eingesetzt, zum Beispiel gegen die Adressen bekannter VPN-Dienste oder gegen die Subnetze beliebter Hoster. Eine feinere Methode ist die Analyse des Verbindungsbeginns. Fast jedes Protokoll eröffnet eine Sitzung mit einer charakteristischen Nachricht, und an ihr lässt sich das System so sicher erkennen wie ein Mensch an seiner Handschrift. Schließlich gibt es indirekte Merkmale, etwa eine ungewöhnliche Datenmenge zu einer einzigen Adresse, ein für eine gewöhnliche Website untypischer Rhythmus des Datenaustauschs oder eine Abweichung zwischen dem Namen der Website und der Adresse des Servers. Einzeln beweisen sie wenig, in Kombination erlauben sie dem System aber, mit hoher Sicherheit eine Entscheidung zu treffen.
Daraus ergibt sich das Grundprinzip, auf dem alles Weitere aufbaut. Damit eine Verbindung nicht blockiert wird, reicht es nicht, sie zu verschlüsseln. Sie muss sich von Verbindungen nicht unterscheiden lassen, die man nicht blockieren kann, weil das gewöhnliche Internet von ihnen abhängt.
Warum klassische VPNs auffällig geworden sind
OpenVPN und WireGuard wurden entwickelt, um Daten in nicht vertrauenswürdigen Netzen zu schützen, nicht um die Tatsache der Verbindung selbst zu verbergen. Ihre Verschlüsselung ist zuverlässig, aber der Handshake, also der Austausch von Steuernachrichten beim Aufbau der Verbindung, hat eine feste und gut beschriebene Struktur. Ein Filtersystem muss nur einmal lernen, diesen Anfang zu erkennen, um solche Verbindungen auf jedem Server und an jedem Port zu finden. Genau deshalb haben viele Provider gelernt, gewöhnliches WireGuard zu blockieren.
Die erste Antwort waren Protokolle, die das äußere Erscheinungsbild bekannter Lösungen verändern. AmneziaWG zum Beispiel behält die zuverlässige Grundlage von WireGuard bei, fügt dem Handshake aber zufälligen Datenmüll hinzu und verändert die Steuer-Header, sodass die bekannte Handschrift verschwindet. Dieser Ansatz wird im Artikel über Amnezia VPN beschrieben. Eine andere Antwort war Shadowsocks, auf dem Outline läuft. Es verschlüsselt die Verbindung ab dem ersten Byte, und ihr Inhalt sieht wie ein zufälliger Datenstrom aus. Mit der Zeit stellte sich jedoch heraus, dass auch das völlige Fehlen von Struktur ein Merkmal ist, denn gewöhnlicher Internetverkehr beginnt fast immer mit einem erkennbaren Header. So entstand die Idee, die VLESS und Reality zugrunde liegt. Statt die Struktur zu verbergen, sollte man sie von der verbreitetsten und unantastbarsten Art von Verkehr übernehmen, dem gewöhnlichen Aufruf einer Website über HTTPS.
Xray und das Protokoll VLESS
Die meisten modernen Schemata zur Umgehung von Sperren laufen auf dem Kern Xray. Das ist ein Programm, das sowohl auf dem Server als auch in der App auf dem Gerät läuft und zwischen beiden den Verkehr auf die gewählte Weise überträgt. Die Panels Marzban, 3X-UI und Remnawave übertragen selbst nichts, sie verwalten lediglich bequem die Einstellungen von Xray und verteilen Links an die Nutzer.
VLESS ist das Protokoll, über das sich Client und Server von Xray miteinander verständigen. Es ist denkbar einfach. Der Client teilt die Kennung des Nutzers (UUID) und die Adresse mit, an die die Daten weitergegeben werden sollen, und der Server prüft die Kennung und beginnt mit der Weiterleitung. Eine eigene Tarnung hat VLESS nicht, und das ist eine bewusste Entscheidung. Schutz und äußeres Erscheinungsbild der Verbindung liefert eine äußere Schicht, meist TLS, und VLESS selbst fügt ihr weder zusätzliche Bytes noch erkennbare Merkmale hinzu. In den neuesten Versionen von Xray hat VLESS auch eine eigene Verschlüsselung erhalten, doch zusammen mit TLS oder Reality bleibt sie ausgeschaltet, im Panel ist das der Wert none.
Wenn also von „VLESS Reality“ oder „VLESS + TLS + XHTTP“ die Rede ist, sind drei unabhängige Ebenen gemeint. VLESS ist dafür zuständig, wer Sie sind und wohin die Daten gehen. Der Transport bestimmt, wie genau die Bytes bei der Übertragung verpackt werden. Die Sicherheitsschicht bestimmt, wie die Verbindung für einen Außenstehenden aussieht.
Transport und Schutz der Verbindung
Der einfachste Transport heißt RAW, in älteren Versionen hieß er TCP. Die Daten laufen über eine einzige langlebige TCP-Verbindung, wie beim gewöhnlichen Laden einer Seite. Das ist die schnellste Variante, und genau sie wird zusammen mit Reality verwendet. Der Transport XHTTP ist komplexer aufgebaut. Er zerlegt den Verkehr in viele gewöhnliche HTTP-Anfragen, und von außen ähnelt das einer Website, die Daten über eine API lädt. Außerdem können solche Anfragen grundsätzlich über ein CDN laufen, zum Beispiel Cloudflare. Dann sieht der Provider eine Verbindung zur Adresse des CDN, über das Millionen von Websites arbeiten, und die Adresse Ihres Servers bleibt verborgen. In unserem Artikel über VLESS + TLS + XHTTP arbeitet XHTTP ohne CDN, direkt mit Ihrer Domain und einem echten Zertifikat.
Die Sicherheitsschicht gibt es in zwei Hauptarten. Die erste ist gewöhnliches TLS mit Ihrer eigenen Domain und einem echten Zertifikat von Let's Encrypt. Die Verbindung sieht wie ein Besuch Ihrer Website aus, und das ist eine ehrliche Tarnung, doch dafür brauchen Sie eine Domain, und der Server muss wie eine echte Website antworten. Die zweite Variante ist Reality, dem der nächste Abschnitt gewidmet ist.
Wie Reality funktioniert
Reality löst die Aufgabe der Tarnung ohne eigene Domain und ohne eigenes Zertifikat. Jede TLS-Verbindung beginnt mit der Begrüßung des Clients (ClientHello), in der im Klartext der Name der Website steht, nämlich im Feld SNI. Ein Reality-Client trägt dort den Namen einer fremden, tatsächlich existierenden Website ein, die als Ziel bezeichnet wird. Der Provider sieht den gewöhnlichen Beginn einer Verbindung zu dieser Website.
Die Schwierigkeit besteht darin, dass jedes Filtersystem den Server selbst prüfen kann, indem es sich mit ihm verbindet und nachsieht, welches Zertifikat er vorlegt. Würde der Reality-Server mit seinem eigenen Zertifikat antworten, wäre die Täuschung sofort aufgedeckt. Deshalb geht der Server anders vor. In der Begrüßung eines echten Clients ist eine Markierung versteckt, die mithilfe des öffentlichen Schlüssels des Servers und einer kurzen Kennung (Short ID) berechnet wird. Der Server, der den passenden privaten Schlüssel besitzt, erkennt diese Markierung und setzt die Verbindung als VPN fort. Jede andere Verbindung, sei es eine Prüfung durch den Provider oder ein zufälliger Scanner, leitet der Server transparent an die echte Ziel-Website weiter. Wer prüft, erhält das echte Zertifikat dieser Website und sieht ihre echten Seiten, denn tatsächlich spricht er mit dieser Website, nur eben über Ihren Server.
Dieses Schema hat eine Schwachstelle, und sie liegt nicht in der Kryptografie. Der Provider sieht gleichzeitig den Namen der Website und die IP-Adresse, an die die Verbindung ging. Steht im SNI eine große Website wie microsoft.com, während die Adresse zu einem kleinen Hoster gehört, wirkt die Kombination unnatürlich. Deshalb wählt man als Ziel kleine Websites, die selbst bei Hosting-Anbietern untergebracht sind, und die zuverlässigste Variante ist die Tarnung als eigene Website auf demselben Server. Dieses Schema heißt Self-steal, und darin sind Name, Adresse und Zertifikat vollständig aufeinander abgestimmt.
Der Flow XTLS Vision und der Fingerabdruck des Browsers
Selbst eine perfekt getarnte Verbindung kann die Art der übertragenen Daten verraten. Fast der gesamte Verkehr im Internet ist bereits mit TLS verschlüsselt, deshalb laufen im VPN-Tunnel meist HTTPS-Verbindungen. So entsteht „TLS in TLS“, und die Größen der ersten Pakete einer solchen Verbindung bilden eine erkennbare Abfolge, denn der Handshake des inneren TLS hat typische Größen. Der Flow XTLS Vision (xtls-rprx-vision) gleicht diese Pakete durch Auffüllen an und hört nach Abschluss des inneren Handshakes auf, bereits verschlüsselte Daten ein zweites Mal zu verschlüsseln. Das Erste verbirgt das charakteristische Muster, das Zweite senkt die Prozessorlast und beschleunigt die Übertragung. Für Reality über RAW sollte der Flow Vision immer eingeschaltet sein.
Das letzte Element ist der TLS-Fingerabdruck. Jeder Browser beginnt eine Verbindung auf seine eigene Weise, mit einem charakteristischen Satz von Chiffren und Erweiterungen, und an diesem Satz lässt sich erkennen, welches Programm die Verbindung aufgebaut hat. Apps auf Basis von Xray können gängige Browser nachahmen, und das gewünschte Vorbild wird mit dem Parameter fingerprint bzw. uTLS festgelegt. Auch die Wahl des Vorbilds beeinflusst, wie auffällig die Verbindung ist. Warum wir für Server in Russland firefox und nicht chrome empfehlen, erklärt der Artikel über Marzban.
Welches Schema Sie wählen sollten
Alle beschriebenen Mechanismen lassen sich unterschiedlich zusammensetzen, und unsere Anleitungen unterscheiden sich gerade darin, wie viel Arbeit Sie selbst übernehmen möchten und welche Widerstandsfähigkeit Sie erreichen wollen.
| Aufgabe | Was passt |
|---|---|
| Ein VPN für Sie und Ihre Familie in 5 Minuten, ohne Einstellungen | Marzban mit unserem Skript, VLESS Reality mit automatischer Auswahl der Website |
| Ein komfortables Panel mit Nutzern, Limits und Abonnements | 3X-UI |
| Mehrere Server unter einem Panel | Remnawave |
| Maximale Tarnung, eine eigene Domain ist vorhanden | Self-steal für Reality |
| Eigene Domain und eine Verbindung, die wie der Betrieb einer gewöhnlichen Website aussieht | VLESS + TLS + XHTTP |
| Alles in einer App, ohne Kommandozeile | Amnezia VPN |
| Ein einfaches VPN über einen einzigen Schlüssel-Link | Outline, wird aber häufiger blockiert |
Falls die Verbindung dennoch nicht mehr funktioniert, hilft der Artikel „VPN auf dem eigenen Server verbindet sich nicht“ dabei, die Ursache zu finden. Darin wird Schritt für Schritt erklärt, wie Sie eine Sperrung des Servers von einem Fehler in den Einstellungen unterscheiden.
Unsere Ressourcen
Telegram-Kanal: https://t.me/f3cloud_news
Hosting-Website: https://f3cloud.com