Der aktuelle Stand der Technik bei selbstgehosteter Zensurumgehung und der Grund, warum „einfach einen VPN kaufen“ für Menschen hinter strengen Firewalls keine eindeutige Lösung mehr ist. Xray-core ist ein Hard-Fork mit starken Erweiterungen von v2ray-core (Projekt X gestartet am 23.11.2020, v1.0.0 basierend auf dem v2fly-Commit 9a03cc5), dessen echte Innovationen VLESS, XTLS Vision Flow Control und vor allem REALITY sind: Anstatt eine Domain zu mieten und ein TLS-Zertifikat zu kaufen wie Trojan, nutzt der Server den TLS-Handshake einer echten großen Website und stellt nur Clients, die den Besitz des gemeinsamen Geheimnisses nachweisen können, ein flüchtiges Zertifikat zur Verfügung – während alles andere, einschließlich aktiver Prüfversuche durch einen Zensor, transparent an die echte Seite weitergeleitet wird. Dieses aus den Projekt-Dokumenten stammende Design ist der Grund, warum Nutzer aus dem Iran, Russland und China berichten, dass dies das letzte verbliebene funktionierende Werkzeug sei: Stimmen aus r/VPN sagen, VLESS+Reality könne „höchstwahrscheinlich nicht blockiert werden, es sei denn, man wäre bereit, Port 443 zu sperren und damit das gesamte Internet zu töten“, und Kommentatoren auf HN bemerken, Russland habe „praktisch zugegeben, dass es xray+reality-artige VPNs nicht blockieren kann“ und sei nun dazu übergegangen, über pauschale Verbote des Auslandsverkehrs zu sprechen. Die ehrlichen Kosten sind ebenso klar: Es ist ein Projekt, kein Produkt – du musst einen VPS bereitstellen und bist selbst der Systemadministrator im Dienst (die Signaturwelle der Roskomnadzor im Februar 2026 hat persönliche „Samowar“-VPS genauso lahmgelegt wie öffentliche, und das Verschieben von Port 443 oder das Ändern des SNI half nicht zuverlässig weiter), die Forschung zur Erkennung holt auf (USENIX Security 24 zeigt, dass eingekapselte TLS-Handshakes selbst mit Padding fingerabdrückbar sind), es gibt keine Audits, kein Unternehmen, und RPRX führt die Entwicklung nach seinen eigenen Bedingungen – einschließlich NFT-Fundraising. Für technikaffine Nutzer in zensierten Regionen ist dies die beste „selber bauen“-Option, die wir gefunden haben; für alle anderen ist es das, was die besseren kommerziellen Anbieter im Hintergrund verkaufen.
Open Source5 rote FlaggenFakten verified - Xray-core and REALITY GitHub repos, GitHub releases API, xtls.github.io docs (home, Grand Chronicle news page, VLESS protocol spec), the Iran REALITY-blocking discussion #3269, net4people bbs TLS-in-TLS issue #281, the GFW Report USENIX Security 23 paper page, the USENIX Security 24 TLS-in-TLS paper page, ObjShadow's REALITY source-code analysis, Risky Biz News (Oct 2022), two Habr analyses (Feb 2026), HN Algolia and arctic-shift Reddit archives all fetched live 2026-11-03; arctic-shift body-search intermittently rate-limited (HTTP 429 and app-level 'Timeout' payloads) so only the reality and vless subreddit pools returned full data - the xray and selfhosted pools did not complete; xray.com docs domain unreachable (transport error) - noted, not counted
No security audit, no legal entity, no privacy policy - by design there is nobody to hold accountable, which is protection against subpoenas but also against bugs
Active censorship response is documented in three countries within 30 months: China's mass blocking of TLS-based circumvention including Xray/VLESS (Oct 2022, GFW Report via Risky Biz News), Iran's traffic-analysis blocking of Reality (Dec 2023 discussion #3269, with GFW Report researchers engaging), and Russia's Feb 2026 TSPU signature wave against Xray/VLESS (Habr)
Donation model leans on NFTs ('Project X NFT', 'VLESS NFT', 'REALITY NFT' on OpenSea) - unusual, unregulated fundraising for critical infrastructure
+2 weitere rote Flaggen - vor der Anmeldung aufklappen
The project publicly acknowledged a panel-security problem ('Why are there people managing panels using http://ip on the public web?', Grand Chronicle 2024-10-04) - misconfigured panels are a real user risk, not vendor FUD
RPRX deleted large feature sets in the 2024-09-30 release with little notice ('the deleted features were truly not being used by anyone') - rolling releases can break setups
Review
Entwurf von Qwen3, faktengeprüft von der vpnvergleich-Redaktion · Review-Version 2 · Text aktualisiert 2026-11-03 · Fakten Stand 2026-11-03 · wie wir verifizieren
Ehrlichkeits-Hinweis: wir haben keine eigenen Tests zu Xray / VLESS REALITY (modern obfuscation proxy core) gelaufen (Leak-Tests, Tempo, Kill Switch). Alles auf dieser Seite ist quellbasierte Meta-Recherche mit datierten Links. Sobald wir testen, erscheinen die Ergebnisse hier und im Änderungsprotokoll.
Xray / VLESS REALITY is not a VPN provider but a self-hosted proxy toolkit built around the Xray-core software. It enables technically skilled users to run censorship-resistant tunnels using protocols like VLESS and obfuscation tech like REALITY. There is no company, no subscription, and no customer support - just open-source code. You must rent your own VPS and configure everything yourself, meaning your privacy and uptime depend entirely on your choices and skills.
Logging & privacy
There is no central operator to log your traffic - because there is no operator at all. Xray-core runs on your own server, so any logging depends solely on your configuration; by default, it logs only warnings. The REALITY protocol enhances privacy by camouflaging traffic as legitimate HTTPS to major sites, forwarding probes to real destinations so censors see nothing suspicious. However, there is no audit, no warrant canary, and no legal entity to challenge surveillance. Your trust rests in the code and your VPS provider, not in any enforceable promise.
The software itself is free under the Mozilla Public License 2.0. You pay only for a VPS, typically $5/month (or as low as $2-3 according to r/VPN reports). There is no subscription, no renewal fee, and no billing cycle - just your server costs. Since there’s no product to buy, there’s no renewal trap. You control all expenses, but also all responsibility: no refunds, no support, and no automated billing protections.
Xray-core supports VLESS, VMess, Shadowsocks-2022, Trojan, WireGuard, and more, with advanced obfuscation like REALITY and XTLS Vision flow control to defeat TLS-in-TLS detection. It offers multihop routing, split tunneling, and runs on Windows, Mac, Linux, Android, iOS, and routers. There are no performance tests in this review, but community reports and USENIX research confirm its design resists deep packet inspection. However, enterprise SSL inspection (e.g., FortiGate) can break it, and there is no kill switch built into the core.
Ownership & track record
Xray-core is developed by a pseudonymous team led by RPRX under the XTLS GitHub organization, with no legal entity, jurisdiction, or formal governance. It is a distributed open-source project with contributors from Chinese, Russian, and Persian communities. While this shields it from legal coercion, it also means no accountability for bugs or outages. The project has faced active blocking in China, Iran, and Russia, and relies on unregulated funding like NFTs. Misconfigured web panels and abrupt feature removals (e.g., 2024-09-30) are documented risks.
Censorship resistance
REALITY is specifically designed for high-censorship environments like China, Iran, and Russia. By borrowing real TLS handshakes from major websites, it avoids domain and certificate ownership, making passive detection extremely difficult. Users report it surviving where commercial VPNs fail. However, active blocking exists: Iran uses traffic analysis, Russia deploys TSPU signatures, and China has broad TLS-based filtering. While not invincible - especially against enterprise SSL inspection - it remains one of the most resilient tools available for technically capable users.
Verdict
For hands-on users in censored regions, Xray/VLESS REALITY is the gold standard of self-hosted circumvention - what many commercial “anti-censorship” VPNs are quietly built on. It offers unmatched resistance to DPI but demands real technical effort and ongoing maintenance. For everyone else, it’s a reminder that real privacy often means doing the work yourself. And no, this project doesn’t pay review sites - because it’s not a product at all.
++ Was hält stand
Das Handshake-Stehl-Design von REALITY benötigt keine Domain und kein Zertifikat und präsentiert dem Zensor einen vollständigen echten TLS-Handshake – aktive Abfragen liefern die Tarnwebsite selbst zurück (XTLS/REALITY README + Quellanalyse)
Kostenlos, Open Source (MPL-2.0), eine Go-Binärdatei, monatliche Releases, reproduzierbare Builds
Die letzte funktionierende Option in den härtesten Umgebungen laut Community-Äußerungen (Diskussionen aus Russland, Iran, Usbekistan, China 2025–2026) und der Dokumentation der russischen Sperrwelle im Oktober 2025
XTLS Vision + REALITY kontern gezielt das TLS-in-TLS-Fingerprinting, das frühere TLS-basierte Proxys enttarnte; die Bedrohung aus dem USENIX-Paper wird anerkannt und die Projekt-Roadmap nennt 'pre-built mode' und 0-RTT als nächste Ziele
Enormes Client- und Panel-Ökosystem – die README listet Dutzende gepflegte GUIs für alle Plattformen auf, sodass 'Selbsthosting' nicht mehr bedeutet, auf Apps verzichten zu müssen
Keine Accounts, kein KYC, kein Preis, kein Unternehmen – der juristische Spielraum beschränkt sich auf deinen VPS-Anbieter
-- Worauf du achten solltest
Es ist ein Projekt, kein Produkt: VPS-Bereitstellung, TLS/SNI-Optimierung, Kernaktualisierungen und Log-Analyse liegen bei dir – Habrs Analyse vom Februar 2026 bezeichnet die One-Click-Ära als „definitiv vorbei“ und sagt: „Wenn du deinen eigenen Server hast, bist du nicht länger nur ein Nutzer; du bist ein Sysadmin im Dienst“
Das Katz-und-Maus-Spiel ist real und aktuell: Roskomnadzors TSPU brachte im Februar 2026 neue VLESS/Xray-Signaturen heraus, die Reality-Konfigurationen auf Port 443 deaktivierten (gemeldete Workarounds waren Portwechsel, leeres SNI oder Shadowsocks-2022/xHTTP-Ketten); Irans GFW blockierte Reality Ende 2023 durch Datenverkehrsanalyse, und Zensoren verbessern ihre Methoden stetig
Die akademische Forschung zur Erkennung nähert sich der protokollagnostischen Tunnelerkennung an – USENIX Security 24 (Xue et al.) demonstrierte die zuverlässige Erkennung gekapselter TLS-Handshakes mit minimalem Kollateralschaden in einem live ISP und warnt, dass Multiplexing plus zufällige Auffüllung allein grundsätzlich begrenzt sind
REALITY erbt eine dokumentierte strukturelle Anfälligkeit: Eine Hetzner-IP, die behauptet, apple.com zu sein, ist durch Reverse-DNS-/SOA-/Whois-Konsistenzprüfungen unterscheidbar (GitHub-Diskussion #3269), daher sind IP-Auswahl und Camouflage-Zielwahl entscheidend
Es existiert keine unabhängige Sicherheitsüberprüfung von Xray-core (kein Prüfer in irgendeiner gefundenen Quelle genannt); der Code ist ein Fork eines Forks, und RPRX hat Funktionen zwischen Versionen einseitig entfernt
Streaming ist ungeeignet – ein r/VPN-Nutzer weist darauf hin, dass die Exit-IP weiterhin eine Rechenzentrum-IP ist, und Reality ändert daran nichts, sodass Streaming-/Bankingseiten, die Hosting-Bereiche blockieren, nicht getäuscht werden
Die Projektsteuerung ist undurchsichtig: pseudonymer Hauptautor, eine Dokumentationsseite, die warnt, ihre englischen Übersetzungen könnten veraltet sein, und sichtbare Community-Konflikte (die net4people #281 Debatte über TLS-in-TLS-Behauptungen und die öffentliche Uneinigkeit des sing-box-Maintainers mit RPRX) sind in gefundenen Threads sichtbar
Preis-Realitätscheck
Einführungspreis
ca. 4,40 € /mo
Hinweise
Die Software ist kostenlos; die einzige Kostenstelle ist ein VPS. Nutzer aus r/VPN berichten, Server für '2–3 USD pro Monat' (2026-08) zu mieten und VLESS auf einem freien VPS oder sogar auf einem Mini-PC zu Hause mit dynamischer IP zu betreiben (2026-08); ein typischer VPS im Ausland kostet etwa 5 USD/Monat. Kein Abo, keine Lizenzgebühr.
Der Geldfluss - was Testportale mit dieser Empfehlung verdienen
Affiliate-Status noch nicht verifiziert
Sollten wir dieses Programm joinen, wird jeder Link hier rel="nofollow sponsored" und läuft über /go/. Bis dahin zeigen unsere Links direkt auf die Anbieter-Website, ohne jegliches Tracking. Die Ranking-Logik kann Affiliate-Felder physisch nicht lesen - hier der Beweis.
On the website
Captured by our screenshot bot from the live site (or its public archive). A capture is evidence of what the page showed at capture time - not an endorsement.
Bevor du zahlst: prüfe den Verlängerungspreis, das Erstattungsfenster und ob ein günstigerer oder Gratis-Weg deinen Anwendungsfall abdeckt - die ehrliche Checkliste.
Ist Xray / VLESS REALITY (modern obfuscation proxy core) seriös?
Stand unserer Prüfungen: 2026-11-03. Xray / VLESS REALITY (modern obfuscation proxy core) erreicht 3.8/10 in unserem gewichteten Review. Wir haben 5 rote Flaggen vermerkt (oben aufgelistet). Nutzerberichte, Eigentum und die Vorfallhistorie sind mit datierten Quellen im Meta-Review unten dokumentiert.
What do I actually get for the price?
You get free, open-source software - no accounts, no licenses. The cost is your VPS (around $5/month). You install Xray-core yourself and configure it using community guides or panels like 3x-ui.
What is the renewal price and total 3-year cost?
There is no renewal price. The software is free. Your only cost is the VPS, which runs about $5/month. Over three years, that totals roughly $180, depending on your provider.
What evidence supports the no-logs claim?
There is no logs claim to prove - because there’s no service. You run the server, so logs exist only if you enable them. The architecture eliminates centralized logging by design.
Does this work in censored countries like China or Iran?
Yes, it’s built for that. REALITY resists detection by mimicking real HTTPS traffic. Users in China, Iran, and Russia report success, though active blocking (e.g., TLS-in-TLS analysis) does occur and requires updates to bypass.
Can I pay anonymously?
Yes - there’s nothing to pay. You download the software for free. If you donate to the developers, crypto is accepted. Your server cost is the only payment, and some VPS providers accept crypto.
What happens if the project shuts down?
Since it’s open source, the code remains available even if development stops. Existing installations keep working. Forks like sing-box already implement similar protocols, ensuring continuity.
What’s the honest free or cheap alternative?
Xray-core itself is free. For a managed option, consider a flat-priced independent provider like Mullvad - but know that most commercial “anti-censorship” apps are just reskinned versions of tools like this one.
Der Meta-Review: was das Internet über Xray / VLESS REALITY (modern obfuscation proxy core) sagt
Wir erwarten nicht, dass du uns vertraust. Dieser Review ist ein Meta-Review: unten siehst du, was andere Testportale behaupten - mit ihren Interessenkonflikten gekennzeichnet -, was Nutzer auf Reddit und in Foren berichten und wer Xray / VLESS REALITY (modern obfuscation proxy core) wirklich betreibt. Jede Behauptung verlinkt ihre Quelle, damit du sie selbst prüfen kannst.
Was andere Tester sagen (1)
Jede Quelle trägt ein Konflikt-Label aus unserer Testportal-Datenbank. „Affiliate-finanziert“ heißt: Die Seite verdient mit, wenn du kaufst, was sie empfiehlt. Kritische Stimmen nehmen wir bewusst auf.
Fetched 2026-11-03 (HTTP 200, ~6300 words): independent source-level walkthrough of the REALITY client (Xray-core transport/internet/reality) and server (XTLS/REALITY) code - explains the SNI-whitelist censorship strategy that made pre-REALITY TLS tools unusable in parts of mainland China (China Mobile Quanzhou cited as first deployer), the Session-ID covert channel (Xray version + Unix timestamp + shortId AEAD-encrypted inside the ClientHello), the X25519/HKDF preMasterKey derivation, the server's forward-to-dest handshake completion with ephemeral ed25519 temporary certificates signed via HMAC with the shared key, and the client's three-way discrimination (temporary cert = proceed, real cert = spider mode, invalid = TLS alert disconnect).
Was Nutzer sagen (6)
Reddit, Foren, HN - paraphrasiert und verlinkt, nie aus dem Kontext gerissen. Anekdoten, keine Beweise - aber Erstattungsbeschwerden und Leak-Reports sind das beste Frühwarnsystem, das dieser Markt hat.
Fetched 2026-11-03 (HTTP 200, 85 comments): Iranian users document Reality blocking waves on the MCI ISP - controlled A/B tests where a 200-user high-traffic Reality server died within hours while a 1-2-user server survived a week; irgfw describes a pre-existing IP graylist and reports 'IRGFW has zoomed on TLS proxies now, all kinds of them'; maintainer Fangliding notes Reality is outwardly indistinguishable from port forwarding; GFW Report researchers (gfw-report account) join the thread offering to investigate; community theories include reverse-DNS/SOA consistency attacks against camouflage targets and the USENIX TLS-in-TLS paper.
Fetched 2026-11-03 (HTTP 200, 40+ comments): the anti-censorship research forum's TLS-in-TLS debate - RPRX confirms an unpublished TLS-in-TLS characterization paper contacted him and yuhan6665 and that it motivated Vision Seed; his Trojan-killer PoC (client-after-CCS byte-count + timing conditions, ~0.1% false positive in Tun mode) versus the sing-box maintainer's skepticism that the GFW deploys ML detection; wkrp's framing that the censor detects tunnels, not TLS; diwenx (Xue) later authored the USENIX Security 24 encapsulated-TLS-handshake paper; GGFAST SIGCOMM 2023 classifier paper cited as methodology precedent.
Fetched 2026-11-03 (HTTP 200): 20 hits across 2025-2026 threads - 'only thing that works is xray vpn' (Russia, Tor thread 2025-08); XRay-based VPN worked in Uzbekistan where WireGuard was blocked; Russia 'all but admitted they can not block xray+reality-style VPNs' (2026-05); WireGuard+xray in Iran (2026-05); escalation-to-xray prediction on an Italy blocks thread (2026-07); GFW-adaptation commentary (2026-06).
Fetched 2026-11-03 (HTTP 200): the substring 'vless' matches 'vessel' in 858k comments, so this query returns noise - recorded honestly as a dead end that justified relying on the 'xray vpn' query for HN voices instead.
Fetched 2026-11-03 (HTTP 200 via curl after rate-limit cooldown; two earlier attempts hit HTTP 429 and an app-level 'Timeout. Maybe slow down a bit' payload): 2026 r/VPN voices - Reality as camouflage against DPI, version-mismatch troubleshooting, the datacenter-exit-IP caveat, router deployments, SSL-inspection defeats VLESS in enterprise networks.
Fetched 2026-11-03 (HTTP 200 via curl after rate-limit cooldown): 2026 r/VPN voices - VLESS+Reality as the standard Russian Telegram-ecosystem protocol, own-VPS-vs-commercial-IP-blocking logic, 2 - 3 USD/mo server rentals, CDN/SNI/fragmentation hardening advice, first-time 3x-ui setup friction, mini-PC dynamic-IP setups.
KI-Fakten-Report - alles, was wir wissen, komprimiert
Erstellt von Qwen3 am 2026-11-03 aus unserer Faktendatenbank plus den verlinkten Quellen. Er fasst zusammen - er fügt keine Fakten hinzu. Prüfe alles Wichtige gegen die verlinkten Quellen.
Bottom line: This is not a service but a self-hosted tool - free, open-source software you run on your own VPS. It offers strong obfuscation against state-level DPI using REALITY and VLESS, making it one of the few options still viable in heavily censored regions like China, Iran, and Russia. However, it requires technical skill to deploy and maintain, and active blocking efforts are evolving.
The logging truth: There is no central operator to log traffic - logging depends entirely on your VPS provider and your own server configuration. The software itself does not require or enforce logging, and by design, there is no company or legal entity that could be compelled to log. Jurisdiction is irrelevant: this is a decentralized project with no formal ownership.
Pricing reality: The software is free. You pay only for a VPS, typically $2-5/month. There are no subscriptions, renewals, or billing traps - just your server costs. No payment or account is needed to use Xray-core itself.
What reviewers say vs what users say: Users consistently report that VLESS + REALITY works where other tools fail, especially in Russia and China, calling it “undetectable” and “the last thing standing.” However, enterprise SSL inspection (e.g., university firewalls) can break it. External analyses (USENIX, GFW Report) confirm its effectiveness but also show detection methods are advancing. Conflict exists: vendor-authored content (e.g., a MegaV VPN writer) claims high survival rates, while independent researchers stress it's a temporary advantage.
Who runs it: No one company or legal entity runs it. It is a pseudonymous open-source project led by developer RPRX, with contributions from an international community. The lack of formal structure protects it from legal pressure but also means no accountability, support, or guarantees.
Quellen & wie dieser Review entstand
Jede externe Quelle, die auf dieser Seite verwendet wird, mit dem Abrufdatum und ihrer Belegklasse [A]-[D] (A = Primär-/Betreiberquelle, B = seriöse Presse/Forschung, C = Community, D = eigene Messungen). Methodik: wie wir verifizieren. Quellen verschwinden oder ändern sich - falls ein Link tot ist, sag uns über die Kontaktseite Bescheid.
Evidence classes on this page:[A] A: 6[B] B: 6[C] C: 6[D] D: 0(D stays empty until our own test phase)
A censorship-unblocking tool that now wears nonprofit clothes: Lantern's parent became the 501(c)(3) Brave New Software Project and the site now reads like a…
A DNS-layer filtering service that has grown up in public: born January-April 2021 out of the Windscribe team (same three founders, spun out precisely because…
Open Source
Einstieg ca. 2,70 € /mo
Canada - CONTROLD, Inc., Toronto, Ontario; operator about-us page states 'Founded in 2021 - Toronto, Canada' and site footer reads '2026 CONTROLD, Inc.'; free-dns FAQ calls it 'based in Toronto, Canada... the sister company of Windscribe'datenschutz-werkzeug vor 42 Std.
Hysteria 2 is not a VPN provider - it is free, MIT-licensed proxy software you deploy on your own server, and this dossier treats it that way: there is no…
Open Source
Einstieg ca. 4,40 € /mo
none - Hysteria is not a company; it is MIT-licensed open-source software (Go) developed by a volunteer community around lead developer 'Toby' (GitHub: tobyxdd), with the repo on GitHub and docs at hysteria.networkdatenschutz-werkzeug vor 42 Std.
Noch keine Kommentare - sei der Erste. Das Posten läuft durch einen kurzen Proof-of-Work in deinem Browser (Anti-Spam), kein Konto nötig.