O VMess-sobre-WebSocket-sobre-TLS do V2Ray é o proxy clássico compatível com CDN fronting: coloque a Cloudflare na frente e o censor vê tráfego até a Cloudflare, nunca até o seu servidor. É a escolha madura e amplamente documentada, com clientes em todo lugar. Rode em um IP offshore novo, pago em cripto, com uma origem que permanece escondida.
O V2Ray (e seu protocolo VMess) foi pioneiro nos truques de transporte que tudo o mais hoje toma emprestado: envolver o proxy em WebSocket, envolver isso em TLS, e rotear tudo por uma CDN grande. A mágica é a CDN: quando a Cloudflare fica na frente do seu domínio, um cliente se conecta aos IPs da Cloudflare — que um censor não vai colocar em lista de bloqueio em massa porque metade da internet está atrás deles — e a Cloudflare discretamente repassa para a sua origem. O IP real do seu servidor nunca aparece na conexão do cliente. É um pouco mais pesado e precisa de um domínio, mas a propriedade de esconder a origem é única, e a década de documentação do V2Ray e seu suporte universal a clientes o tornam o caminho seguro e bem trilhado.
Atrás da Cloudflare, os clientes falam com a CDN, nunca com o seu VPS. O censor não consegue bloquear um IP que nunca vê, e também não consegue bloquear a CDN facilmente.
As faixas da Cloudflare são importantes demais para serem colocadas em lista de bloqueio em massa. Seu tráfego se esconde nessa multidão, indistinguível de qualquer outro site na CDN.
Uma década de guias, configurações e conhecimento da comunidade. Se você já usou um proxy antes, é bem provável que fosse V2Ray — as configurações que você conhece ainda funcionam.
v2rayN, v2rayNG, NekoBox, sing-box, Shadowrocket — todo cliente fala VMess. Importe o link vmess:// e conecte.
O que o protocolo realmente é, como ele se camufla e onde é mais forte — explicado com honestidade. Nenhum proxy é mágico; o ideal para a sua rede, sim.
| Software do servidor | V2Ray / V2Fly core (or Xray) |
|---|---|
| Transporte e camuflagem | VMess + WebSocket + TLS, Cloudflare-CDN-frontable |
| Resistência a DPI | High behind a CDN — traffic looks like your CDN domain |
| Vazão | Good; CDN fronting adds a hop but hides the origin |
| Consumo de RAM | ≈ 60 MB |
| Configuração | config + optional CDN, moderate |
| Porta(s) | 443 via WS + TLS |
| Ponto forte | CDN-fronting fans, existing v2ray/VMess configs |
Um proxy é um processo minúsculo — ele precisa de um IP limpo e banda estável, não de uma máquina potente. Todo plano é um VPS NVMe com banda ilimitada e root completo, alugado com um token e pago em cripto.
Uma pessoa querendo uma origem escondida: o VPS-S mais um domínio gratuito na Cloudflare roda o V2Ray com seu IP real invisível.
Compartilhe atrás de uma CDN: o VPS-M dá conta de uma casa inteira enquanto a Cloudflare faz o fronting de cada conexão.
Revendendo com proteção de origem: o VPS-L roda muitos inbounds atrás de um único domínio na CDN, com o IP nunca exposto.
Como a Cloudflare faz o fronting da conexão, a latência até a sua origem importa menos que o normal — escolha Países Baixos ou Romênia para um backhaul rápido, ou o nó mais barato, já que a CDN faz o trabalho pesado. O domínio vive na Cloudflare; o VPS só responde por trás dela.
| Localização | CPU | RAM | Armazenamento | Uplink | Preço | |
|---|---|---|---|---|---|---|
| Moldávia Offshore econômico | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Pedido |
| Rússia Imune ao Ocidente | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Pedido |
| Panamá Sem retenção de dados | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Pedido |
| Romênia Anti-retenção | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Pedido |
| Países Baixos Melhor peering | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $9.00/mo | Pedido |
| Islândia Refúgio da liberdade de expressão | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $10.00/mo | Pedido |
| Suíça Privacidade premium | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $11.00/mo | Pedido |
De um VPS zerado a um endpoint funcionando. Os comandos são prontos para copiar e colar no Ubuntu 24.04.
O VPS-S já basta. Qualquer jurisdição funciona, já que a CDN faz o fronting — Países Baixos para uma origem rápida. Pague em cripto, tenha root.
Adicione um domínio à Cloudflare (plano gratuito), crie um registro com proxy ativado (nuvem laranja) apontando para o IP do seu VPS. É isso que esconde sua origem.
O instalador oficial já coloca o V2Ray no lugar (ou o núcleo Xray, que serve como substituto direto). Um comando, sem dependências.
# official installer (V2Ray or the drop-in Xray core)
bash <(curl -Ls https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh)Configure o VMess sobre WebSocket com um caminho secreto, finalize o TLS, e deixe a Cloudflare fazer o proxy. Os censores então veem tráfego até a Cloudflare no seu domínio, não até o seu VPS.
# VMess + WebSocket + TLS. Put Cloudflare (proxied, orange cloud)
# in front of a domain that points at this VPS; set path=/your-secret-path.
# GFW/Iran then see traffic to Cloudflare, not to your origin IP.Exporte o link vmess:// e importe no v2rayN, v2rayNG ou sing-box. Toda conexão agora viaja pela Cloudflare até sua origem escondida.
# share the vmess:// link; import into v2rayN / v2rayNG / sing-box
systemctl restart v2ray && journalctl -u v2ray -n 20 --no-pagerNormalmente, um cliente se conecta direto ao IP do seu servidor — que um censor pode registrar e colocar em lista de bloqueio. O CDN fronting quebra essa cadeia: você coloca seu domínio atrás da Cloudflare com o proxy (nuvem laranja) ativado, então o DNS resolve para os IPs da Cloudflare, não para o seu. A conexão TLS do cliente termina na Cloudflare, que repassa o fluxo WebSocket até a sua origem pela própria rede dela. Do ponto de vista do censor, você está se conectando à Cloudflare — os mesmos IPs que atendem milhões de sites comuns. Para te bloquear especificamente, eles teriam que bloquear aquelas faixas da Cloudflare e derrubar junto uma fatia enorme da web normal, algo que a maioria não está disposta a fazer.
O VMess é o protocolo original do V2Ray; funciona e é universalmente suportado, mas carrega um pouco mais de overhead e um handshake baseado em timestamp que, sozinho, o DPI moderno às vezes consegue detectar. É exatamente por isso que ele é combinado com WebSocket+TLS+CDN — é o envoltório que fornece a furtividade, não o VMess em si. Se você não precisa de CDN fronting, o VLESS mais recente (especialmente com REALITY) é mais enxuto e mais furtivo por conta própria. Pense no V2Ray+CDN como a escolha específica para quando esconder o IP da sua origem atrás da Cloudflare é a propriedade que você quer.
Você não precisa de um plano pago nem de um domínio caro. Um domínio barato (nosso registrador sem KYC tem opções a partir de $4.99) mais o plano gratuito da Cloudflare te dá o registro DNS com proxy que faz todo o trabalho. Mantenha o registro com a nuvem laranja ativada, use um caminho de WebSocket não óbvio, e você está com o fronting pronto. Uma ressalva, para ser honesto: seu tráfego passa pela Cloudflare, então a confiança fica dividida entre nós (sua origem, sem logs) e a CDN — para a maioria dos modelos de ameaça focados em vencer um firewall nacional, essa é uma troca justa; para configurações de confiança máxima em que você não confia em ninguém, um endpoint REALITY puro mantém tudo na sua própria máquina.
Uma vez no ar, a manutenção é baixa: mantenha o V2Ray atualizado, mantenha o registro da Cloudflare com proxy ativado, e troque o caminho do WebSocket se em algum momento suspeitar que foi descoberto. Como a origem fica escondida, o IP do seu VPS raramente é bloqueado diretamente — o modo de falha mais comum é o domínio ser sinalizado, o que você resolve trocando de domínio (barato e rápido) em vez de reimplantar o servidor. Se a própria Cloudflare estiver sofrendo interferência no seu país, esse é o sinal para recorrer ao REALITY ou ao Hysteria2 no mesmo VPS.
Para a configuração com CDN fronting, sim — um domínio atrás da Cloudflare é o que esconde sua origem. Um barato já serve; nosso registrador sem KYC tem domínios a partir de $4.99/ano, pagáveis com seu saldo. Sem CDN, você pode rodar VMess+TLS direto no IP, mas perde o benefício de esconder a origem.
Com o proxy (nuvem laranja) ativado, os clientes se conectam aos IPs da Cloudflare e a Cloudflare repassa para o seu VPS. Seu IP real nunca aparece na conexão, e as faixas da Cloudflare são usadas de forma ampla demais para um censor colocar em lista de bloqueio em massa.
Envolvido em WebSocket+TLS atrás de uma CDN, sim — é o envoltório que fornece a furtividade. Sozinho, o VMess exposto pode ser identificado por fingerprint, então não o rode puro em uma rede censurada. Se você quer furtividade sem CDN, use VLESS+REALITY no lugar.
Escolha V2Ray+CDN quando esconder o IP da sua origem atrás da Cloudflare for o objetivo. Escolha VLESS+REALITY quando quiser furtividade máxima na própria máquina, sem domínio, sem certificado e sem terceiros no caminho. O root completo permite rodar os dois e comparar.
Isso adiciona um salto, então fica marginalmente mais lento que um protocolo direto — mas a rede da Cloudflare é rápida e próxima da maioria dos usuários, então na prática é bem fluido. Se velocidade bruta em uma rede estrangulada é a prioridade, o Hysteria2 é a escolha mais rápida.
Troque para um domínio diferente (barato e rápido) mantendo o mesmo servidor e a mesma conta Cloudflare — muito mais fácil do que migrar um servidor. Como o IP da sua origem ficou escondido, ele geralmente continua limpo e reutilizável.
Leituras relacionadas: VPN Auto-Hospedada em VPS Sem KYC: WireGuard vs OpenVPN · A primeira hora de hardening do VPS: um checklist · Caso de uso: VPN self-hosted
V2Ray + WebSocket + TLS atrás da Cloudflare em um IP offshore novo, pago em cripto. A partir de $7.50/mês, origem invisível.