Was ist VLESS?

Eine VLESS-Sitzung beginnt damit, dass der Client einen kleinen Header schickt: ein Versionsbyte, die UUID des Kontos, ein optionales Add-on-Feld, den Befehl (über TCP verbinden, über UDP verbinden) sowie Zieladresse und Port. Der Server prüft die UUID gegen seine Liste, öffnet die gewünschte Verbindung und kopiert von da an nur noch Bytes in beide Richtungen.

Es gibt kein Framing pro Nachricht, keine Verschleierungsschicht, keinen Zeitstempel-Handshake, keinen Schlüsselaustausch im Protokoll. Der Overhead pro Verbindung liegt bei wenigen Bytes, die Prozessorlast des Protokolls selbst nahe null. Alles Teure passiert in der darunterliegenden TLS-Schicht, für die jeder moderne Prozessor Hardwarebeschleunigung hat.

Deshalb wird VLESS als Transport beschrieben und nicht als Tunnel im Sinne von WireGuard. WireGuard baut eine Netzwerkschnittstelle und routet Pakete. VLESS vermittelt Datenströme: eine Anwendung fragt nach einem Ziel, der Client verpackt die Anfrage, der Server stellt die Verbindung her. Ob Ihr gesamtes Gerät darüber läuft, entscheidet die Client-Software, nicht das Protokoll.

Ältere Protokolle dieser Familie brachten eigene Kryptografie mit. Das erzeugte zwei Probleme. Erstens ist selbstgebaute Kryptografie in einem zensurresistenten Protokoll eine schlechte Wette: weniger Leute schreiben sie, weniger Leute prüfen sie, und wenn sie falsch ist, merkt es jahrelang niemand. Das zweite Problem wiegt für den eigentlichen Zweck schwerer. Eigene Verschlüsselung erzeugt eigen aussehenden Verkehr, und Verkehr, der sonst nirgends im Internet vorkommt, lässt sich leicht herausgreifen, auch wenn er nicht lesbar ist.

VLESS macht das Gegenteil. Es übernimmt Identifikation und Adressierung, tritt dann zur Seite und überlässt TLS Vertraulichkeit und Integrität. TLS ist das meistanalysierte Protokoll des Internets, wird von Bibliotheken umgesetzt, die Tausende Menschen prüfen, und, hier am nützlichsten, es ist das, wonach fast jede andere Verbindung Ihres Geräts ebenfalls aussieht.

Praktische Folge: Ein VLESS-Endpunkt ohne TLS davor ist wirklich unsicher und sollte nie benutzt werden. Wenn Sie einen vless://-Link bekommen, bei dem der Sicherheitsparameter none lautet, überträgt dieser Link Ihre Konto-UUID und Ihre Zieladressen im Klartext. Jede Konfiguration, die wir ausgeben, verwendet TLS.

VMess kam zuerst, aus demselben Projekt. Es bringt eigene Verschlüsselung mit und authentifiziert über einen Hash aus Konto-UUID und aktueller Uhrzeit. Diese Zeitabhängigkeit ist die Ursache des klassischen VMess-Fehlers: Ein Client, dessen Uhr ein bis zwei Minuten vom Server abweicht, verbindet sich einfach nicht, ohne brauchbare Fehlermeldung.

VMess hat außerdem eine charakteristische Form. Weil es eigenes Framing und eigene Kryptografie macht, hat der Bytestrom Eigenschaften, die ein Filtersystem lernen kann. Mehrere nationale Filtersysteme haben genau das vorgeführt, woraufhin VMess-Installationen sich in TLS einwickelten, um zu überleben. Ab da bezahlte das Protokoll die Verschlüsselung zweimal.

VLESS ist im Kern VMess ohne diese beiden Dinge: keine eingebaute Kryptografie, keine Zeitstempel-Authentifizierung. Das Ergebnis ist prozessorschonender, unempfindlich gegen Uhrabweichungen und, sobald TLS die äußere Schicht bildet, deutlich schwerer zu erkennen. Wer heute wählt, hat kein starkes Argument mehr für VMess.

Shadowsocks ist ein verschlüsselter SOCKS-Proxy. Sein Verkehr soll wie zufällige Bytes ohne jeden erkennbaren Header aussehen. Das funktionierte jahrelang, aber "ein Strom hochentropischer Bytes auf einem Port, ohne TLS-Handshake davor" ist selbst eine Signatur, und moderne Filtersysteme haben gelernt, genau dieses Muster zu suchen und die betreffenden Server aktiv zu sondieren.

Trojan wählte den anderen Weg: nicht nach nichts aussehen, sondern nach etwas sehr Gewöhnlichem. Ein Trojan-Server zeigt ein echtes TLS-Zertifikat und liefert einer Sonde ohne das richtige Passwort eine normale Webseite aus. Für einen Scanner ist das ein Webserver. Die Schwäche: Er braucht eine echte Domain und ein echtes Zertifikat, und die Seiten, für die er einsteht, sind meist Seiten mit wenig Verkehr, die niemand besucht.

VLESS über TLS gehört zur selben Familie wie Trojan, und REALITY treibt dieselbe Idee weiter. Der Unterschied: VLESS ist ein Transport und kein vollständiges Serverdesign, es lässt sich also über einfaches TLS, über WebSocket hinter einem CDN, über gRPC oder über REALITY führen, und Sie wählen, was zum Netz passt, in dem Sie gerade sind. Diese Flexibilität ist der eigentliche Grund, warum es zum Standard in diesem Ökosystem wurde.

CDN-Fronting heißt, dass Ihre VLESS-Verbindung nicht zu einem Server geht, der allein auf seiner eigenen Adresse sitzt. Sie geht zu einem Edge-Knoten eines Content Delivery Network, per WebSocket oder gRPC innerhalb einer ganz normalen HTTPS-Anfrage, und das CDN leitet sie weiter. Wer das Netz beobachtet, sieht eine Verbindung zu einer IP-Adresse, die auch Tausende völlig anderer Websites ausliefert, mit einem Hostnamen und einem Zertifikat dieses CDN. Diese Adresse zu sperren hieße, einen großen Teil des normalen Webs mitzusperren, und diesen Preis zahlen die meisten Netze nicht.

REALITY setzt stattdessen bei der Zertifikatsseite an. Ein REALITY-Server borgt sich den TLS-Handshake einer echten, beliebten, unbeteiligten Website. Wenn ein Zensursystem Ihren Server aktiv sondiert, was heute Routine und keine Theorie mehr ist, bekommt die Sonde den echten Handshake und das echte Zertifikat dieser Seite. Sie schließt daraus, einen Spiegel eines bekannten Dienstes gefunden zu haben, denn von außen war es genau das.

Keine der beiden Techniken ist Zauberei und keine ist dauerhaft. Beide sind Antworten auf ein bestimmtes Erkennungsverfahren, und Erkennungsverfahren ändern sich. Was sie einbringen: Ihre Verbindung zu sperren kostet den Netzbetreiber Kollateralschaden, statt eine Regel zu sein, die ihn nichts kostet.

Filtersysteme arbeiten in Schichten. Die billigste Schicht ist eine Liste gesperrter Adressen und Hostnamen. Die nächste betrachtet die Form des Verkehrs: Handshake-Bytes, Paketgrößenverteilung, Timing. Die teuerste verbindet sich selbst mit Ihrem Server und versucht, ihn zu einer Aussage zu bringen.

VLESS über TLS gibt der ersten Schicht wenig, weil sich eine CDN-Adresse nicht billig auf eine Sperrliste setzen lässt. Der zweiten gibt es ebenfalls wenig, weil auf der Leitung eine TLS-Sitzung liegt, deren Handshake-Fingerabdruck einem gängigen Browser gleichen kann, und der VLESS-Header erst nach dem Aufbau dieser Sitzung erscheint, verschlüsselt. REALITY beantwortet die dritte Schicht direkt, indem es der Sonde eine echte Website liefert.

Was weiterhin wirkt: ein Netz, das nur eine Whitelist von Zielen erlaubt, ein Netz, das TLS zu allem außer dem eigenen Resolver und Proxy blockiert, und Verkehrsanalyse über längere Zeit, die nichts lesen muss, um zu bemerken, dass eine Verbindung lange auffällig viele Daten getragen hat. VLESS ist eine starke Antwort auf Mustererkennung. Es ist keine Antwort auf ein Netz, das Sie nur fünf freigegebene Adressen erreichen lässt.

Es ist keine Anonymität. Eine VLESS-Verbindung verschiebt den sichtbaren Endpunkt Ihres Verkehrs von Ihrem eigenen Netz auf den Server. Ihr lokales Netz und Ihr Zugangsanbieter sehen Ihre Ziele nicht mehr, der Server sieht sie. Das ist eine Verlagerung von Vertrauen, keine Abschaffung. Unser Netz führt keine Protokolle, das heißt Quelladressen und Verbindungszeitpunkte werden nicht gespeichert und die Server laufen aus dem RAM, sodass ein Neustart nichts zurücklässt. Prüfen Sie diese Aussage trotzdem so, wie Sie sie bei jedem anderen prüfen würden.

Es ist kein Tor. Tor führt über drei unabhängige Relays verschiedener Betreiber, damit kein einzelnes weiß, wer Sie sind und wohin Sie gehen. VLESS ist ein Sprung zu einem Betreiber. Tor ist deutlich langsamer und gegen genau diese Bedrohung deutlich stärker. Wenn Ihr Risikomodell verlangt, dass niemand im Pfad beide Enden verknüpfen kann, ist ein VPN welchen Protokolls auch immer das falsche Werkzeug.

Es ist auch keine Garantie. Ein Netz kann ein Protokoll sperren, ein Land kann ein CDN sperren, und ein Endpunkt, der gestern lief, kann heute stehen. Wer verspricht, VLESS funktioniere in einem bestimmten Land immer, rät. Wahr ist das Engere und trotzdem Nützliche: VLESS ist so gebaut, dass es wie gewöhnlicher verschlüsselter Webverkehr aussieht, und es ist das, was man probiert, wenn die einfacheren Protokolle scheitern.

Unseres läuft von vier Standorten: Singapur, Tokio, Los Angeles und Berlin. CDN-gestützte Endpunkte werden einzeln gepflegt und nicht in Masse aufgesetzt, und eine kurze gepflegte Liste schlägt eine lange ungepflegte. VLESS-Zugang ist in jedem Plan auf /vpn/ enthalten, neben WireGuard und OpenVPN auf Servern in Dutzenden Ländern, und unter /vpn/status/ steht eine Live-Übersicht, wenn Sie die Endpunkte vor der Entscheidung sehen wollen.