Xray (VLESS): konfiguracja i połączenie w 2026

Xray: konfiguracja i połączenie — to, z czym większość ludzi ma pytania na etapie praktycznym. O samym protokole już słyszeli, konfiguracja gdzieś zdobyta, a co z tym zrobić dalej — niejasne. Ten artykuł zamyka ten brak: od importu klucza do działającego połączenia na Androidzie, iPhonie, Windowsie i Macu.

Czym jest Xray i dlaczego omija DPI lepiej niż klasyczne VPN

Xray, VLESS i Reality prostymi słowami

Xray — to rdzeń, fork projektu V2Ray, napisany w Go. Sam w sobie nie jest VPN w tradycyjnym sensie — to raczej silnik transportowy, który potrafi opakować ruch w różne protokoły. VLESS — jeden z takich protokołów, lekki i bez zbędnej kryptografii wewnątrz (szyfrowanie bierze na siebie warstwa TLS na zewnątrz).

Reality — to rozszerzenie na VLESS. Chodzi o to, że twój ruch jest maskowany jako zwykłe połączenie TLS z rzeczywistą stroną — na przykład z amazon.com lub microsoft.com. System DPI dostawcy widzi poprawny handshake TLS z znaną domeną i nie może odróżnić tego od rzeczywistego odwiedzenia strony. Dlatego Reality jest trudniejsze do zablokowania niż klasyczne VPN.

Czym Xray różni się od WireGuard, OpenVPN i Shadowsocks

WireGuard — świetny protokół, szybki i oszczędny pod względem baterii. Ale jego sygnatura w sieci jest rozpoznawalna: specyficzny wzór ruchu UDP łatwo wykrywa DPI. Roskomnadzor i duzi operatorzy już potrafią go spowalniać lub blokować na poszczególnych portach.

IKEv2 — ta sama historia. Szybko, wygodnie, wbudowane w iOS i Windows — ale sygnatura standardowa, żadnej obfuskacji. OpenVPN, choć potrafi działać na TCP/443 i udawać HTTPS, ma jego handshake od dawna wpisany w bazy filtrów DPI. Shadowsocks jest prostszy w wdrożeniu i dobrze działał do 2022 roku, ale nowoczesne DPI od SORM radzi sobie z nim znacznie lepiej niż wcześniej.

AmneziaWG — interesująca alternatywa: to WireGuard z obfuskacją nagłówków. Działa lepiej niż czysty WireGuard, ale Reality wciąż jest o krok do przodu w maskowaniu. Uczciwy minus Xray — trudność w konfiguracji i nieco wyższe obciążenie procesora w porównaniu do WireGuard.

Kiedy Xray jest naprawdę potrzebny, a kiedy wystarczy zwykłe VPN

Jeśli potrzebujesz po prostu zaszyfrować ruch w kawiarni lub uzyskać dostęp do sieci korporacyjnej — WireGuard lub IKEv2 poradzą sobie i nie będą wymagały żadnych kłopotów z konfiguracjami. Ale jeśli dostawca już zaczął spowalniać YouTube do 144p, a Instagram, Facebook, Twitter/X i Telegram okresowo się nie otwierają lub ładują z opóźnieniami — potrzebna jest właśnie maskowanie ruchu.

W tym przypadku VLESS z Reality — to, co teraz naprawdę działa. Nie jest to panaceum na zawsze, ale na 2026 rok najlepsza z dostępnych opcji przeciwko głębokiej inspekcji pakietów.

Co potrzebne przed konfiguracją: konfiguracja, subskrypcja i wybór klienta

Skąd pochodzi konfiguracja VLESS (link vless://, kod QR, subskrypcja)

Konfiguracja przychodzi w jednym z trzech formatów. Pierwszy — ciąg w postacivless://UUID@host:port?.... Drugi — kod QR, który zawiera ten sam ciąg, po prostu w wygodnej do skanowania formie. Trzeci — link-subskrypcja (subscription URL), zazwyczaj zaczyna się odhttps:// i zwraca listę konfiguracji w base64 — wygodne, gdy serwerów jest kilka i są aktualizowane.

Konfigurację można postawić samemu na VPS (Hetzner, Vultr, DigitalOcean — każdy poza RF się nada), wziąć z zamkniętego kanału Telegram lub uzyskać przez usługę VPN, która wydaje gotową subskrypcję VLESS. NvoVPN, na przykład, wydaje link do subskrypcji — wystarczy wkleić go w kliencie, a serwery są automatycznie pobierane bez ręcznego kopiowania UUID i kluczy.

Ale oto, co ważne: nie importuj konfiguracji z przypadkowych publicznych kanałów Telegram z setkami tysięcy subskrybentów. Część z nich to pułapki do zbierania ruchu. Darmowy ser jest tylko w pułapce na myszy.

Klienci Xray na każdą platformę

Jak sprawdzić, czy konfiguracja działa, przed importem

Spójrz na parametry w linii: powinny byćtype=tcp lubtype=grpc,security=reality, wypełnionypbk (klucz publiczny Reality) isni — domena maskowania. Jeśli któregoś z tych parametrów brakuje — konfiguracja jest prawdopodobnie przestarzała lub niekompletna.

Datę aktualności można pośrednio sprawdzić tak: jeśli konfiguracja została uzyskana ponad miesiąc temu z publicznego źródła — klucze prawdopodobnie już się zmieniły lub serwer padł. Świeża konfiguracja z subskrypcji aktualizuje się automatycznie podczas synchronizacji.

Konfiguracja i połączenie Xray krok po kroku

Dla tych, którzy szukają konkretów dotyczących Xray: konfiguracja i połączenie na każdej platformie nieco się różni, ale logika jest jedna — import, wybór profilu, włączenie, sprawdzenie.

Android: konfiguracja w v2rayNG

Zainstaluj v2rayNG z Google Play lub F-Droid (wersja 1.8.x i wyższa). Otwórz aplikację. Jeśli masz linięvless:// — naciśnij „+” w prawym górnym rogu → „Importuj z schowka” (wcześniej skopiuj linię). Jeśli jest kod QR — „+” → „Skanuj QR”. Jeśli link-subskrypcja — „Subscription” → „Add” → wklej URL → „Update”.

Po imporcie wybierz odpowiedni profil z listy (naciśnij na niego, zostanie wyróżniony). Naciśnij przycisk uruchamiania w kształcie trójkąta na dole ekranu. Android poprosi o zezwolenie na utworzenie profilu VPN — zezwól. Po połączeniu w pasku stanu pojawi się ikona klucza.

Tryb routingu domyślnie w v2rayNG — „Zgodnie z zasadami”. Jeśli niektóre strony się nie otwierają — przełącz na „Global” w ustawieniach → „Routing”. Sprawdź wynik na 2ip.ru: powinien pokazać IP twojego serwera, a nie domowe.

iPhone i iPad: konfiguracja w Streisand lub V2Box

Streisand i V2Box — oba są darmowe i dostępne w App Store. Pobierz jeden z nich. W Streisand: naciśnij „+” → „Importuj z schowka” lub „Skanuj QR”. Dla linku-subskrypcji: „+” → „Subskrybuj” → wklej URL. Wybierz profil z listy, naciśnij „Połącz”.

iOS przy pierwszym połączeniu pokaże systemowe zapytanie „Aplikacja chce dodać konfigurację VPN” — to normalne, naciśnij „Zezwól” i wprowadź Face ID lub kod dostępu. Bez tego kroku połączenie się nie uruchomi. Ikona VPN pojawi się w pasku stanu obok sygnału Wi-Fi.

Shadowrocket (2,99 USD) — jeśli budżet pozwala, warto wziąć: tam elastyczne routowanie i wsparcie dla dziesiątek protokołów. Ale do podstawowego zadania Streisand w zupełności wystarcza.

Windows: konfiguracja w Nekoray lub Hiddify

Nekoray pobiera się z GitHub (repozytorium MatsuriDayo/nekoray), aktualna wersja na lipiec 2026 — 3.x. Po zainstalowaniu uruchom, w menu wybierz „Dodaj profil z schowka” lub „Dodaj profil z URL subskrypcji”. Kliknij prawym przyciskiem na profil → „Start”. W zasobniku systemowym pojawi się ikona — status „Connected”.

Hiddify jest prostszy dla nowicjuszy: interfejs w języku rosyjskim, jest wbudowany test opóźnienia. Pobierz instalator z GitHub (hiddify/hiddify-next), zainstaluj, dodaj subskrypcję przez „Dodaj konfigurację” → wklej URL. Hiddify sam określi najlepszy serwer według pingu.

Ważny moment dla Windows: upewnij się, że tryb proxy jest ustawiony na „System Proxy” lub „TUN Mode” — w przeciwnym razie przeglądarka puści ruch przez proxy, a inne aplikacje nie. TUN Mode wymaga uprawnień administratora.

macOS: połączenie przez V2Box

V2Box jest w Mac App Store — to najprostsza droga. Po zainstalowaniu: naciśnij „+” → „Importuj z schowka” lub „Dodaj subskrypcję”. Wybierz profil, naciśnij „Połącz”. macOS poprosi o zezwolenie na dodanie konfiguracji VPN w ustawieniach systemowych — otworzy się okno „Ustawienia systemowe → VPN”, naciśnij „Zezwól”.

Jeśli chcesz bardziej elastycznego routingu — Hiddify dla macOS (GitHub, hiddify/hiddify-next) wspiera zasady według domen i IP. Nekoray również działa, ale wersje dla macOS aktualizują się nieco rzadziej.

Router na OpenWrt: podstawowa konfiguracja

To opcja dla tych, którzy chcą puścić cały domowy ruch przez Xray bez konfigurowania każdego urządzenia. Potrzebny router z OpenWrt (na przykład GL.iNet lub TP-Link z kompatybilnym oprogramowaniem) i pakietxray-core z repozytorium opkg.

Po zainstalowaniu xray-core skonfiguruj plik konfiguracyjny w/etc/xray/config.json — tam ręcznie wprowadza się parametry z twojego vless-string: UUID, adres, port, publiczny klucz Reality, SNI. Routing konfiguruje się przez ip-rule i nftables. To nie jest dla nowicjuszy — jeśli nie masz doświadczenia z OpenWrt, lepiej zacząć od klienta na oddzielnym urządzeniu.

Test prędkości i sprawdzenie omijania blokad

Jak uczciwie zmierzyć prędkość przed i po

Najpierw mierz bez VPN: otwórz speedtest.net lub fast.com, zapisz pobieranie, wysyłanie i ping. Następnie połącz się przez Xray i powtórz test na tym samym serwerze Speedtest. Zwróć uwagę na trzy wskaźniki: prędkość pobierania, prędkość wysyłania i opóźnienie.

Spadek prędkości o 20-40% przy maskowaniu — to normalne. Reality dodaje narzuty na TLS handshake i przetwarzanie pakietów. Dla porównania: na WireGuard spadek zazwyczaj wynosi 5-15%. To uczciwa cena za omijanie DPI — jeśli twój dostawca nie tnie prędkości, WireGuard jest obiektywnie szybszy. Ale jeśli YouTube już się zacina bez VPN — różnica w 20% narzutów mało cię obchodzi.

Sprawdzanie omijania spowolnienia YouTube

Wejdź na YouTube i otwórz wideo w 4K (2160p) lub przynajmniej 1080p. Bez VPN przy spowolnieniu przez dostawcę — wideo albo zawiesza się na buforowaniu, albo automatycznie przełącza się na 144-360p. Po połączeniu przez Xray: ręcznie wybierz jakość 1080p lub 4K i zmierz, czy wideo zacznie się ładować bez przerwy.

Dodatkowo otwórz stats for nerds (prawy przycisk na wideo → „Statystyki dla nerdów”): tam widać aktualną prędkość buforowania. Jeśli jest stabilnie wyższa niż 3-4 Mbit/s na 1080p — spowolnienie zostało usunięte.

Sprawdzanie dostępu do Instagram, Facebook, Twitter/X

Po połączeniu wejdź w przeglądarkę (nie w aplikacji — aplikacje czasami cache'ują DNS) na instagram.com, facebook.com, twitter.com. Jeśli się otwierają — routing działa. Sprawdź także Telegram Web na web.telegram.org.

Jeśli aplikacje mediów społecznościowych nie otwierają się nawet po połączeniu — być może używają własnego DNS nad HTTPS (DoH) omijając systemowy, a twój proxy go nie przechwytuje. W takim przypadku potrzebny jest tryb TUN lub konfiguracja fake-dns w kliencie.

Nie łączy się lub strony się nie otwierają: analiza błędów

Handshake failed / błędy TLS Reality

To najczęstszy problem przy konfiguracji Xray z Reality. Powód numer jeden — desynchronizacja czasu na urządzeniu. TLS wymaga, aby czas klienta i serwera różnił się nie więcej niż o kilka minut. Sprawdź czas systemowy: na Androidzie — „Ustawienia → Ogólne → Data i czas → Automatycznie”; na Windows — „Ustawienia → Czas i język → Synchronizuj teraz”.

Drugi powód — nieprawidłowy publiczny klucz Reality (pbk) lub nieprawidłowy SNI w konfiguracji. Jeśli wprowadzałeś parametry ręcznie, sprawdź każdy znak. UUID, pbk i short-id muszą zgadzać się z tym, co jest skonfigurowane na serwerze. Błąd w jednym znaku — i handshake się nie powiedzie.

Trzeci, specyficzny: SNI-domena maskowania (na przykład,www.microsoft.com) sama okazała się zablokowana w RF lub niedostępna z twojej sieci. Reality imituje odwiedzanie tej strony — jeśli jest niedostępna, handshake się nie udaje. Rozwiązanie: zmień SNI na inną niezablokowaną domenę w konfiguracji.

Połączenie jest, ale internetu nie ma

Klient pokazuje „Connected”, IP w statusie się zmieniło, ale przeglądarka pisze „Brak połączenia”. Pierwsze, co sprawdzamy — tryb routingu. W v2rayNG, Nekoray i Hiddify domyślnie może być włączony tryb „Zgodnie z zasadami”, który przepuszcza przez proxy tylko zablokowane strony, a dla pozostałych idzie bezpośrednio. Jeśli zasady są skonfigurowane niepoprawnie — nic się nie otwiera. Przełącz na „Global” i sprawdź ponownie.

Drugi powód — wyciek DNS lub blokada DNS. Jeśli klient wysyła zapytania DNS poza tunel, dostawca odpowiada zablokowanymi IP lub w ogóle nie odpowiada. W ustawieniach klienta sprawdź, czy serwer DNS (zwykle 8.8.8.8 lub 1.1.1.1) idzie przez tunel, a nie bezpośrednio. Na 2ip.ru w sekcji „Wyciek DNS” można sprawdzić, czyje serwery DNS są widoczne na zewnątrz.

Jeszcze jeden scenariusz — jednocześnie aktywne są dwa profile VPN. Na Androidzie i iOS system pozwala tylko na jedno aktywne połączenie VPN, ale czasami stary profil nie jest poprawnie dezaktywowany. Wejdź w systemowe ustawienia sieci i upewnij się, że aktywne jest tylko jedno VPN.

Działa na Wi-Fi, ale nie na internecie mobilnym (i odwrotnie)

To jeden z najbardziej nieoczywistych przypadków. Operatorzy mobilni (MTS, Beeline, MegaFon, Tele2) mają własne systemy DPI, niezależne od domowego dostawcy. Konfiguracja, która działa doskonale przez Rostelecom w domu, może być blokowana przez operatora mobilnego w inny sposób.

Spróbuj zmienić port: jeśli obecnie używany jest niestandardowy port, taki jak 8443 lub 2053, spróbuj 443 (standardowy HTTPS). Wielu operatorów blokuje niestandardowe porty na poziomie sieci mobilnej, ale nie dotyka 443. Sprawdź również, czy IPv6 jest włączony w internecie mobilnym — może omijać tunel i ujawniać rzeczywisty adres. Tymczasowo wyłącz IPv6 na urządzeniu do testów.

Sieci korporacyjne i szkolne — to osobna historia. Tam DPI tnie ruch według portów i czasami inspektuje nawet TLS według odcisku klienta (JA3/JA4). W takich przypadkach pomaga zmiana klienta lub przejście na port 80 z transportem WebSocket — ale to już inna konfiguracja serwera.

Dostawca zaczął blokować konfigurację

To się zdarza. DPI jest aktualizowane, a konkretna kombinacja hosta, portu, SNI i odcisku trafia pod blokadę. Nie ma się czym martwić — algorytm działań jest taki:

1. Zaktualizuj subskrypcję: w kliencie kliknij „Update subscription” — serwis może już wydać nowe konfiguracje.
2. Spróbuj inny serwer z listy (jeśli w subskrypcji jest kilka).
3. Zmień port: 443 → 2053 lub odwrotnie.
4. Jeśli samodzielnie uruchamiałeś serwer — wygeneruj nową konfigurację Reality z innym SNI i nową parą kluczy poleceniemxray x25519 na serwerze.
5. Jako tymczasowe rozwiązanie — spróbuj innego transportu: grpc zamiast tcp lub WebSocket.

Ten sam protokół, ale z różnymi parametrami, zachowuje się różnie pod DPI. Zwykle rotacja parametrów przywraca dostęp bez zmiany całej infrastruktury.