Manche Netze blockieren VPNs nicht nach Adresse, sondern nach Form. Dort können Sie den ganzen Tag Server wechseln, ohne dass sich etwas bessert, denn verworfen wird das Aussehen Ihres Verkehrs, nicht sein Ziel. Diese Anleitung erklärt, worauf diese Prüfung wirklich schaut, warum ein in TLS eingebetteter VLESS-Strom schwerer einzuordnen ist, wie Sie einen in die üblichen Apps laden, und am Schluss den Teil, den die meisten Seiten weglassen: was niemand ehrlich versprechen kann.
Wenn Sie eine Bestellung bei uns haben, liegen die VLESS-Links neben den WireGuard- und OpenVPN-Dateien auf Ihrer Bestellseite, geöffnet mit dem achtstelligen Magic Code. Vier der ausgelieferten Server stehen genau für diesen Fall hinter einem CDN: Singapur, Tokio, Los Angeles und Berlin. Alles andere auf der VPN-Seite kommt genauso, in derselben Bestellung, ohne Konto an irgendeiner Stelle.
Worauf Deep Packet Inspection schaut
Eine Filterbox zwischen Ihnen und dem Internet hat eine Handvoll billiger Signale und nutzt sie ungefähr in dieser Reihenfolge.
- Ziel. Die IP-Adresse und bei TLS der Servername im Handshake. Die billigste Prüfung und die erste, die gebaut wird.
- Port und Transport. Ob TCP oder UDP und welcher Port. Ungewöhnliches UDP auf einen hohen Port ist ein starkes Signal in einem Netz, in dem fast alles TCP 443 ist.
- Die ersten Bytes. Jedes Protokoll beginnt mit etwas Erkennbarem. Die erste Handshake-Nachricht von WireGuard hat feste Länge mit bekanntem Typ-Byte davor, OpenVPN hat seinen eigenen Opcode-Header. Ist die Regel einmal geschrieben, ist das trivial.
- Form über die Zeit. Paketgrößen, Timing, Symmetrie des Verkehrs, ob alle paar Sekunden ein Herzschlag kommt. Ein Tunnel, der ewig im festen Takt ein kleines Keepalive sendet, sieht nach nichts aus, was ein Browser tut.
- Aktives Sondieren. Die ausgefeilteste Variante: Der Filter verbindet sich selbst mit dem Server und schaut, wie er antwortet. Ein Server, der auf eine zufällige Sonde so reagiert, wie es kein Webserver täte, sortiert sich selbst auf die Sperrliste.
WireGuard ist in fast allem hervorragend und genau hierin schlecht. Es spricht nur UDP, sein Handshake hat feste Länge, und es ist auf Tempo und Einfachheit ausgelegt, nicht aufs Verstecken. Das ist kein Mangel, sondern eine Entwurfsentscheidung. Deshalb lautet die Antwort auf "WireGuard ist blockiert" nie "WireGuard anders konfigurieren".
Warum VLESS schwerer einzuordnen ist
VLESS ist ein schlankes Transportprotokoll mit fast keinem eigenen erkennbaren Handshake. Allein würde ihn das nicht retten. Entscheidend ist, worin es üblicherweise steckt: eine normale TLS-Sitzung zu einem normalen Hostnamen auf Port 443, oft mit einem Content Delivery Network davor, sodass die Adresse, zu der Ihr Gerät verbindet, für Tausende anderer Menschen gewöhnliche Websites ausliefert.
Für einen passiven Beobachter sieht diese Verbindung aus wie die mehreren hundert anderen TLS-Verbindungen, die Ihr Gerät täglich aufbaut. Es gibt keinen markanten Opcode, der Port ist der eine Port, der nie pauschal gesperrt werden kann, und die Zieladresse wird mit unbeteiligtem Verkehr geteilt, sodass eine Sperre Kosten hat.
| Protokoll | Transport | Was ein Filter sieht | Wann einsetzen |
|---|---|---|---|
| WireGuard | UDP, eigener Port | Handshake fester Länge mit bekannter Signatur, über UDP | Erste Wahl überall, wo es erlaubt ist. Am schnellsten, am besten mobil. |
| OpenVPN UDP | UDP | Erkennbarer Opcode-Header auf ungewöhnlichem Port | Selten besser als WireGuard. Wenn ein Client nur OpenVPN kann. |
| OpenVPN TCP 443 | TCP 443 | Unauffälliger Port, darunter ein markanter Handshake | Firmen- und Hotelnetze, die nur TCP 80 und 443 erlauben. |
| VLESS über TLS | TCP 443, oft hinter einem CDN | Eine TLS-Sitzung zu einem geteilten Hostnamen, wie jede HTTPS-Seite | Netze, die Verkehr prüfen statt nur Ports zu filtern. |
Die Reihenfolge zum Ausprobieren
Arbeiten Sie die Liste ab, statt zum letzten Punkt zu springen. Jeder Schritt ist langsamer oder fragiler als der davor, Überspringen bringt nichts.
- WireGuard. Importieren, zwei oder drei Server probieren, jedem eine Minute geben. Kommt nirgends ein Handshake zustande, während derselbe Tunnel über Mobilfunk oder ein anderes WLAN läuft, liegt es an diesem Netz. Die WireGuard-Anleitung nennt die übrigen Gründe für einen fehlenden Handshake, die sollte man zuerst ausschließen.
- OpenVPN über TCP 443. Das Profil liegt auf Ihrer Bestellseite. Viele restriktive Netze filtern nur Ports, und das genügt bereits. Es wird langsamer sein als WireGuard: TCP in TCP verträgt Paketverlust schlecht.
- VLESS. Wenn TCP 443 erlaubt ist und das OpenVPN-Profil trotzdem stirbt, schaut das Netz tiefer als auf Ports, und die nächste Form ist ein in TLS eingebetteter Strom.
- Nicht nur das Protokoll wechseln, auch den Standort. Scheitert VLESS in eine Region, probieren Sie eine andere. Filterung ist oft routenspezifisch statt global.
Einen vless://-Link importieren
Ein VLESS-Server kommt als eine Textzeile, die mit vless:// beginnt. Sie enthält Adresse, Port, Kennung und Transporteinstellungen auf einmal, weshalb jeder Client sie in einem Schritt aus der Zwischenablage übernimmt. Behandeln Sie diese Zeile wie ein Passwort, sie ist der Zugangsschlüssel.
v2rayNG, Android
- v2rayNG von der offiziellen Release-Seite oder aus F-Droid installieren.
- Die
vless://-Zeile von der Bestellseite kopieren. - v2rayNG öffnen, oben rechts auf das Plus tippen, Konfiguration aus Zwischenablage importieren. Der Server erscheint in der Liste.
- Antippen zum Auswählen, dann unten rechts den runden Knopf zum Verbinden. Das V-Symbol in der Statusleiste geht an.
- Mit dem Speedtest im Menü prüfen, ob der Server antwortet, bevor Sie den Tunnel für defekt halten.
Hiddify für Android, iOS, Windows, macOS und Linux
- Hiddify für Ihre Plattform installieren.
- Mit kopierter
vless://-Zeile auf Neues Profil und dann Aus Zwischenablage hinzufügen. - Server in der Liste wählen und den großen Verbinden-Knopf drücken.
- Hiddify hält mehrere Profile nebeneinander und ist damit der bequemste Client, um alle vier Standorte vorzuhalten und zu wechseln.
Shadowrocket oder Streisand, iOS
- Beides sind iOS-Clients, die einen
vless://-Link annehmen. Shadowrocket kostet, Streisand ist kostenlos. Beides geht. - Link kopieren, App öffnen; meist bietet sie beim Start selbst an, den Server aus der Zwischenablage zu übernehmen. Sonst über das Plus einfügen.
- Routing auf global oder Proxy für alles stellen, sofern Sie nicht ausdrücklich Split Routing wollen.
- Verbinden und beim ersten Mal die VPN-Konfiguration von iOS bestätigen.
Auf dem Desktop ist Hiddify die einfachste plattformübergreifende Wahl. Wer sing-box oder Xray direkt betreibt, kann denselben Link in seinen eigenen Konfigurationsgenerator einsetzen, einen Vorteil bringt das aber nur, wenn Sie ohnehin so arbeiten.
Praktische Hinweise, die einen Abend retten
- Geräteuhr prüfen. TLS reagiert auf eine stark falsche Uhr genauso empfindlich wie WireGuard. Datum und Zeit auf automatisch, bevor Sie etwas anderes verdächtigen.
- Nicht zwei Tunnel gleichzeitig. Ein VLESS-Client und ein WireGuard-Tunnel wollen beide das System-VPN sein. Einen vollständig beenden, bevor der andere startet.
- Zuerst im Mobilfunk testen. Läuft der Link mobil und scheitert in einem bestimmten WLAN, ist bestätigt, dass das Netz filtert und nicht der Server ausgefallen ist.
- Es wird langsamer sein. Eine zusätzliche TLS-Schicht und ein CDN-Hop kosten Latenz. Das ist der Preis dafür, gewöhnlich auszusehen, und in einem Netz, das alles andere verwirft, ist er es wert.
- Zum Installieren einer eSIM das VPN ausschalten. Der Profildownload muss den Betreiber direkt erreichen. Das gilt für jedes Protokoll und trifft alle, die ein Bundle gekauft und zuerst das VPN eingerichtet haben.
Die ehrlichen Grenzen
Das ist der wichtigste Teil und der, den eine Seite, die Ihnen etwas verkauft, meist auslässt.
Kein Anbieter kann versprechen, dass irgendein Protokoll in einem zensierten Netz funktioniert. Filterung ändert sich, mal wöchentlich, mal für ein paar Tage rund um ein Ereignis, mal nur bei einem Anbieter, während ein anderer unbehelligt bleibt. Wer ein bestimmtes Land garantiert, passt entweder nicht auf oder sagt Ihnen, was Sie hören wollen. Wir sagen, wofür VLESS gebaut ist: wie gewöhnlicher Verkehr auszusehen und das Erste zu sein, was man versucht. Ein Versprechen oder einen Erstattungsanspruch hängen wir daran nicht.
Ein VPN verschiebt Vertrauen, es beseitigt es nicht. Ihr Provider sieht nicht mehr, wohin Ihr Verkehr geht, sondern dass Sie eine verschlüsselte Verbindung zu einer Adresse haben. Stattdessen sieht das Netz am anderen Ende den Verkehr. Unser Netz führt keine Logs, Quell-IP-Adressen und Verbindungszeitstempel werden nie gespeichert, und die Server laufen aus dem RAM, ein Neustart löscht die Maschine. Das ist die Beschreibung eines Aufbaus, kein Versprechen darüber, was irgendein Beobachter irgendwo herausfinden kann. Nichts hiervon macht jemanden anonym oder unauffindbar, und eine Seite, die etwas anderes behauptet, verkauft ein Gefühl.
Wenn Ihre Sicherheit davon abhängt, verlassen Sie sich nicht allein darauf. Nutzen Sie Tor, und in einem Netz, das Tor direkt sperrt, Tor mit Bridges. Tor ist gegen einen deutlich stärkeren Gegner entworfen als ein kommerzielles VPN, und die beiden ersetzen einander nicht. Den Tor Browser über eine VPN-Verbindung laufen zu lassen, ist eine sinnvolle Kombination, wenn das lokale Netz Tor komplett blockiert: Das VPN sorgt für Erreichbarkeit, Tor für das Bedrohungsmodell.
Ihr Verhalten bei Konten und Endgeräten zählt weiter. Ein Tunnel ändert den Netzweg. Er ändert nicht, dass Sie sich in ein Konto eingeloggt haben, dass ein Browser-Fingerabdruck Ihnen folgt oder dass eine App auf Ihrem Telefon einen Standort meldet. Das sind eigene Probleme mit eigenen Antworten.
Was als Nächstes zu tun ist
Wenn Sie schon eine Bestellung haben, öffnen Sie die Bestellseite mit dem Magic Code, importieren Sie je einen VLESS-Link aus allen vier Standorten statt nur den nächstgelegenen, und behalten Sie die WireGuard-Tunnel. Der Sinn mehrerer Einträge ist, dass Sie wechseln statt zu untersuchen, wenn eine Verkehrsform aufhört zu funktionieren.
Wenn Sie noch lesen statt zu kaufen: Die VPN-Seite listet den Lieferumfang und die Laufzeiten von 7 bis 365 Tagen, und es ist derselbe eine Zugang auf jedem Server, den wir listen. Ist Ihr Problem ein Netz auf der Arbeit oder im Hotel und kein zensiertes Land, beginnen Sie mit dem OpenVPN-TCP-Profil und der WireGuard-Anleitung. Und wenn Sie vorher verstehen wollen, was eine Kryptozahlung preisgibt: Zahlen mit Monero, USDT oder Bitcoin.
