Shadowsocks hat still und leise mehr Menschen über die Great Firewall gebracht als jedes andere Werkzeug. Die 2022-Edition härtet es gegen die Active-Probing-Angriffe, die ältere Versionen erwischten — und es ist hier weiterhin die leichteste, schnellste Option. Deploye es mit einem Klick über Outline oder von Hand mit sing-box, auf einer frischen Offshore-IP, in Krypto bezahlt.
Shadowsocks wurde für genau eine Aufgabe gebaut — deinen Traffic durch eine Firewall zu bringen, ohne wie ein VPN auszusehen — und es erledigt das mit fast keinem Overhead. Es versucht nicht, ein vollwertiges VPN zu sein; es ist ein schlanker verschlüsselter SOCKS-Proxy, weshalb es selbst auf schwachen Geräten und günstigen Servern schnell ist. Das ursprüngliche Protokoll fiel schließlich dem aktiven Probing zum Opfer, doch Shadowsocks-2022 (die AEAD-2022-Chiffren) schließt diese Lücken mit echter authentifizierter Verschlüsselung und Replay-Schutz. Kombiniere es mit dem v2ray-plugin für TLS-/WebSocket-Tarnung und es hält modernem DPI gut stand, während es dramatisch einfacher bleibt als die Alternativen.
~30 MB RAM und vernachlässigbare CPU. Ein VPS-S merkt es kaum — perfekt für einen günstigen, dauerhaft laufenden persönlichen Exit.
Jigsaws Outline installiert den Server mit einem Befehl und gibt dir einen teilbaren Zugangsschlüssel. Keine Konfigurationsdateien, wenn du keine willst.
Die AEAD-2022-Methoden ergänzen authentifizierte Verschlüsselung und Replay-Schutz — genau die Lücken, die aktives Probing früher ausnutzte.
Jeder Client spricht Shadowsocks: Outline, sing-box, Shadowrocket, v2rayN, NekoBox. Teile einen ss://-Schlüssel und du bist fertig.
Was das Protokoll wirklich ist, wie es sich versteckt und wo es am stärksten ist — ehrlich beschrieben. Kein Proxy ist Magie; der richtige für dein Netzwerk schon.
| Server-Software | Shadowsocks-2022 (sing-box / Outline) |
|---|---|
| Transport & Tarnung | AEAD-2022 ciphers, optional v2ray-plugin (TLS/WS) |
| DPI-Resistenz | High — 2022 edition resists active probing & replay |
| Durchsatz | Excellent — the lightest option here |
| RAM-Bedarf | ≈ 30 MB |
| Einrichtung | Outline Manager one-click, or sing-box |
| Port(s) | any high TCP/UDP |
| Am stärksten bei | China (evergreen), low-power clients |
Ein Proxy ist ein winziger Prozess — er braucht eine saubere IP und stabile Bandbreite, keine große Maschine. Jeder Tarif ist ein NVMe-VPS ohne Volumenlimit mit vollem Root-Zugriff, per Token gemietet und in Krypto bezahlt.
Ein persönlicher Exit für eine Person: VPS-S betreibt Shadowsocks mit Reserven. Der günstigste zuverlässige Weg über die Mauer.
Teile mit ein paar Leuten: Die Kerne und Bandbreite des VPS-M bewältigen einen Haushalt gleichzeitiger Streams bequem.
Viele bedienen oder weiterverkaufen: VPS-L mit sing-box oder einer Outline-Flotte bewältigt Dutzende Schlüssel und starke gleichzeitige Nutzung.
Die Niederlande und Rumänien bieten die niedrigste Latenz zum Nahen Osten und in die Türkei; Moldau ist der günstigste Einstieg; die Schweiz und Island bringen rechtliches Gewicht, wenn du weiterverkaufst. Für China ist Latenz aus Europa unvermeidlich — die Niederlande sind die Standardwahl.
| Standort | CPU | RAM | Speicher | Uplink | Preis | |
|---|---|---|---|---|---|---|
| Moldau Budget-Offshore | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Bestellung |
| Russland Westlich unangreifbar | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Bestellung |
| Panama Keine Vorratsdatenspeicherung | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Bestellung |
| Rumänien Anti-Vorratsdatenspeicherung | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Bestellung |
| Niederlande Bestes Peering | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $9.00/mo | Bestellung |
| Island Hafen der Meinungsfreiheit | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $10.00/mo | Bestellung |
| Schweiz Premium-Datenschutz | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $11.00/mo | Bestellung |
Vom leeren VPS zum funktionierenden Endpunkt. Die Befehle sind copy-paste-fertig für Ubuntu 24.04.
VPS-S reicht völlig. Wähle eine Jurisdiktion nahe bei dir — Niederlande für Peering, Moldau für den niedrigsten Preis. In Krypto bezahlen, Root auf einer sauberen IP erhalten.
Nur Key-basiertes SSH, eine Firewall, die deinen gewählten Proxy-Port erlaubt, automatische Sicherheitsupdates. Zehn Minuten, einmalig erledigt.
Schnellster Weg: Outlines Ein-Zeilen-Installer, dann gibt dir der Outline Manager einen Zugangsschlüssel. Power-Weg: sing-box mit einer 2022-blake3-Chiffre.
# fastest path: Outline. One command installs the server,
# Outline Manager gives you an access key to share.
sudo bash -c "$(wget -qO- https://raw.githubusercontent.com/Jigsaw-Code/outline-server/master/src/server_manager/install_scripts/install_server.sh)"Bei feindlichem DPI hülle Shadowsocks in das v2ray-plugin (TLS + WebSocket), sodass es wie schlichtes HTTPS aussieht. In weniger strengen Netzwerken reicht reines Shadowsocks-2022.
# power path: sing-box with Shadowsocks-2022 cipher
# /etc/sing-box/config.json → method 2022-blake3-aes-128-gcm,
# a base64 psk, and (optional) v2ray-plugin for TLS camouflageImportiere den ss://-Schlüssel oder Outline-Schlüssel in deine App — Outline-Client, sing-box, Shadowrocket. Bestätige, dass es online ist, und du bist durch.
# import the ss:// key into Outline client, sing-box, or Shadowrocket
systemctl status sing-box # or: check Outline Manager shows the key onlineDas klassische Shadowsocks (Stream-Chiffren, dann die ersten AEAD-Chiffren) diente Millionen, wurde aber schließlich probe-bar: Ein Zensor konnte präparierte Pakete senden und beobachten, wie der Server reagierte, um ihn von einem echten Dienst zu unterscheiden. Shadowsocks-2022 behebt das auf Protokollebene mit moderner authentifizierter Verschlüsselung, Salts pro Sitzung und Replay-Schutz, sodass fehlerhafte oder wiederholte Probes kein brauchbares Signal liefern. Wenn du heute einrichtest, wähle immer eine 2022-blake3-Methode — die älteren Chiffren werden nur für Legacy-Clients behalten und sollten in einem zensierten Netzwerk nicht genutzt werden.
Outline (von Jigsaw, einer Google-Einheit) ist der freundlichste Weg: eine Server-Installation mit einem Befehl und ein Desktop-'Manager', der mit einem Klick teilbare Schlüssel ausgibt — ideal für technisch unversierte Freunde und Familie. sing-box ist das Power-Tool: eine Binary, die Shadowsocks-2022 plus ein Dutzend weiterer Protokolle spricht, über eine JSON-Datei konfiguriert, perfekt, wenn du Tarn-Plugins, mehrere Protokolle auf einer Maschine oder feine Kontrolle willst. Beide laufen problemlos auf einem VPS-S; wähle Outline für Einfachheit, sing-box für Flexibilität.
In den aggressivsten Netzwerken (Teile Chinas in sensiblen Zeiten) kann selbst die eigene Traffic-Form von Shadowsocks-2022 Aufmerksamkeit erregen. Die Lösung ist das v2ray-plugin: Es hüllt deinen Shadowsocks-Stream in echtes TLS über WebSocket, sodass er auf der Leitung nicht von HTTPS zu einer Website zu unterscheiden ist. Das bringt etwas Overhead und einen Domain-/CDN-Schritt mit sich, macht Shadowsocks aber zu einem vollständig getarnten Tunnel. Wenn du das oft brauchst, lohnt sich auch ein Vergleich mit VLESS+REALITY, das ähnliche Tarnung ohne Plugin erreicht.
Shadowsocks glänzt, weil es einfach ist, also ist der Betrieb leicht: Aktiviere die BBR-Staukontrolle für besseren Durchsatz auf Langstreckenverbindungen, halte den Server aktuell und lege ihn auf einen unauffälligen Port. Wird eine IP gesperrt, deploye auf einer frischen neu — da du mit einem Token bezahlt hast, verbindet nichts den alten Server mit dem neuen. Viele behalten eine Shadowsocks-Maschine als zuverlässigen Alltags-Begleiter und ein zweites Protokoll in Reserve für den Fall, dass der Zensor die Zügel anzieht.
Ab $7.50/Mon. für einen VPS-S — mehr als genug, da Shadowsocks fast keine Ressourcen verbraucht. Unbegrenzte Bandbreite inklusive, sodass Streaming und große Downloads an kein Limit stoßen.
Shadowsocks-2022 (die AEAD-2022-Chiffren) ist es — es schließt die Active-Probing-Lücken, die ältere Versionen erwischten. In den härtesten Netzwerken ergänze das v2ray-plugin für TLS-Tarnung. Meide stets die veralteten Stream-Chiffren.
Outline für einen Ein-Klick-Server und per Klick teilbare Schlüssel — super für die Familie. sing-box, wenn du Tarn-Plugins, mehrere Protokolle auf einer Maschine oder präzise Kontrolle willst. Beide laufen einwandfrei auf dem günstigsten VPS.
Ja — gib pro Person einen Schlüssel aus (mit Outline ist das ein Klick). Ein VPS-S deckt ein paar Personen ab; wechsle zu VPS-M für einen Haushalt gleichzeitiger intensiver Nutzer.
Sehr gut — es hat wenig Overhead und ist schnell, und mit unbegrenzter Bandbreite gibt es keine Drosselung. Aktiviere BBR für flüssigeren Durchsatz über lange Distanzen. Für absichtlich gedrosselte Mobilfunknetze ziehe auch Hysteria2 in Betracht.
Deploye auf einer frischen IP neu, idealerweise in einer anderen Jurisdiktion, aus deinem Dashboard — Minuten, kein Ausweis, keine neue Zahlungsmethode. Einen Ersatz an einem zweiten Standort bereitzuhalten bedeutet nahezu keine Ausfallzeit.
Weiterführende Lektüre: Selbst gehostetes VPN auf einem No-KYC-VPS: WireGuard vs. OpenVPN · Die erste Stunde VPS-Härtung: Eine Checkliste · Anwendungsfall: selbstgehostetes VPN
Shadowsocks-2022 auf einer frischen Offshore-IP, ein Klick mit Outline, in Krypto bezahlt. Ab $7.50/Mon., heute Abend online.