Русский
English
Українська
Deutsch
Español
VLESS- und VMess-Proxy-Protokolle
Was sind VMess und VLESS
VMess und VLESS sind Proxy-Protokolle, die als Teil des V2Ray-Projekts (Project V) zur Umgehung von Internetzensur entwickelt wurden. Sie sind darauf ausgelegt, Proxy-Verkehr als reguläres HTTPS zu tarnen, wodurch sie widerstandsfähig gegen DPI (Deep Packet Inspection) sind.
VMess (V2Ray Mess) ist das erste V2Ray-Protokoll. Es beinhaltet Verschlüsselung und Authentifizierung auf Protokollebene.
VLESS ist eine leichtgewichtige Version von VMess. Es entfernt die integrierte Verschlüsselung (an TLS delegiert), was den Overhead reduziert und die Leistung verbessert.
Warum neue Protokolle benötigt werden
Das Problem mit klassischen Proxys
SOCKS5 — Das Protokoll ist unverschlüsselt. DPI identifiziert SOCKS5-Verkehr leicht anhand seines Handshakes.
HTTP CONNECT — Die CONNECT-Methode ist im Klartext sichtbar. Leicht erkennbar.
OpenVPN — Hat charakteristische Verkehrsmuster, die von DPI identifizierbar sind.
Shadowsocks — War effektiv, aber die GFW (Große Firewall Chinas) lernte, es durch aktives Probing und Verkehrsanalyse zu erkennen.
Die V2Ray-Lösung
V2Ray entwickelte Protokolle, die:
- Keine charakteristischen Muster aufweisen (sehen aus wie reguläres HTTPS)
- Widerstandsfähig gegen aktives Probing sind
- Mehrere Transporte unterstützen (WebSocket, gRPC, HTTP/2)
- Proxy-Verkehr innerhalb einer legitimen TLS-Verbindung tarnen
VMess im Detail
Funktionsweise
VMess verwendet UUID-basierte Authentifizierung und symmetrische Verschlüsselung. Jede Anfrage beinhaltet:
- Authentifizierung — Ein 16-Byte-Hash aus UUID + Zeitstempel. Der Server überprüft die UUID anhand seiner Liste.
- Header-Verschlüsselung — AES-128-CFB-Verschlüsselung der Anforderungsmetadaten.
- Datenverschlüsselung — AES-128-GCM oder ChaCha20-Poly1305 für die Nutzlast.
Schutz vor Replay-Angriffen
VMess enthält einen Zeitstempel im Authentifizierungs-Header. Der Server lehnt Anfragen mit einem veralteten Zeitstempel (120-Sekunden-Fenster) ab und speichert verarbeitete IDs, um Replay zu verhindern.
VMess Nachteile
- Doppelte Verschlüsselung (VMess + TLS) erzeugt unnötigen Overhead
- Anfälligkeit für aktives Probing bei Fehlkonfiguration
- Komplexe Protokollimplementierung
VLESS im Detail
Unterschiede zu VMess
VLESS entfernt die integrierte Verschlüsselung und behält nur die UUID-basierte Authentifizierung bei. Die Verschlüsselung wird vollständig an eine externe Schicht (TLS/XTLS) delegiert.
Vorteile:
- Weniger Overhead (keine doppelte Verschlüsselung)
- Höhere Leistung
- Einfachere Implementierung
- Bessere Kompatibilität mit modernen TLS-Bibliotheken
XTLS (Xray TLS)
XTLS ist eine optimierte Version von TLS, die für Xray-core entwickelt wurde. Beim Übertragen von TLS-Verkehr (Client-HTTPS-Anfragen) vermeidet XTLS eine erneute Verschlüsselung, indem es bereits verschlüsselte Daten direkt weiterleitet.
Dies bietet:
- 50-70% Reduzierung der CPU-Last
- Erhöhter Durchsatz
- Ununterscheidbarkeit von regulärem TLS-Verkehr
VLESS + Reality
Reality ist ein neuer Verschleierungsmechanismus, der es einem Proxy-Server ermöglicht, eine bestehende reale Website (z.B. microsoft.com) zu "imitieren". Wenn DPI den Server inspiziert, sieht es ein echtes TLS-Zertifikat und den Inhalt der realen Website.
Transporte
| Transport | Beschreibung | Verschleierung |
|---|---|---|
| TCP | Direkte TCP-Verbindung | Minimal |
| WebSocket | Via WebSocket über HTTPS | Erscheint als WebSocket-Anwendung |
| gRPC | Via gRPC über HTTP/2 | Erscheint als gRPC-API |
| HTTP/2 | Via HTTP/2-Stream | Erscheint als HTTP/2-Verkehr |
| QUIC | Via QUIC/HTTP3 | Erscheint als QUIC-Verkehr |
| mKCP | UDP-Transport, Verschleierung als verschiedene UDP-Protokolle | Kann als FaceTime, WireGuard getarnt werden |
VLESS vs VMess vs Shadowsocks vs SOCKS5
| Parameter | VLESS | VMess | Shadowsocks | SOCKS5 |
|---|---|---|---|---|
| Verschlüsselung | An TLS delegiert | Integriert | Integriert | Keine |
| DPI-Umgehung | Exzellent | Gut | Moderat | Keine |
| Aktives Probing | Widerstandsfähig (Reality) | Moderat | Anfällig | Anfällig |
| Leistung | Hoch (XTLS) | Moderat | Gut | Hoch |
| Konfiguration | Komplex | Komplex | Moderat | Einfach |
| Kompatibilität | Xray, V2Ray | V2Ray, Xray | Weit | Universell |
Clients und Server
Server-Implementierungen
Xray-core — Die primäre Implementierung, die VLESS, VMess, XTLS, Reality unterstützt. Die aktuellste.
V2Ray-core — Die ursprüngliche Implementierung. Unterstützt VMess und VLESS (ohne XTLS).
Sing-box — Eine universelle Proxy-Plattform mit Unterstützung für alle Protokolle.
Clients
| Plattform | Clients |
|---|---|
| Windows | V2rayN, Nekoray, Clash Verge |
| macOS | V2rayU, ClashX, Surge |
| Linux | V2rayA, Nekoray |
| Android | V2rayNG, SagerNet, NekoBox |
| iOS | Shadowrocket, Quantumult X, Surge |
Praktische Anwendungen
Umgehung der Zensur
Der Hauptzweck ist die Umgehung der GFW und anderer DPI-Systeme. VLESS+Reality+XTLS gilt derzeit als die widerstandsfähigste Kombination.
Unternehmens-VPN
Verschleierung von VPN-Verkehr als HTTPS zur Umgehung von Unternehmens-Firewall-Beschränkungen.
Proxy-Infrastruktur
VLESS/VMess kann als Transportschicht für Proxy-Dienste verwendet werden, die Verschlüsselung und Verschleierung bieten.
Fazit
VLESS und VMess sind fortschrittliche Proxy-Protokolle, die für die DPI-Umgehung entwickelt wurden. VLESS mit XTLS und Reality bietet derzeit die beste Kombination aus Leistung, Sicherheit und Erkennungsresistenz. Für die Umgehung von Internetzensur (China, Iran, Russland) sind diese Protokolle zum De-facto-Standard geworden.