REALITY là giao thức cuối cùng đã đánh bại được kiểu dò quét chủ động: nó chiếm dụng handshake TLS 1.3 của một trang web thật, nên khi Vạn Lý Tường Lửa chọc thử máy chủ của bạn, nó chỉ thấy một trang HTTPS bình thường — không cần mua chứng chỉ, không có tên miền nào để bị lộ, không có dấu hiệu nhận diện nào để tóm được. Chạy nó trên một IP nước ngoài còn mới với bảng điều khiển 3x-ui, thanh toán bằng crypto.
Suốt nhiều năm, trò mèo vờn chuột xoay quanh việc giấu lưu lượng proxy bên trong TLS — nhưng bên kiểm duyệt đã học được cách chủ động dò quét các máy chủ đáng ngờ để bắt bài hàng giả. REALITY đảo ngược chiêu thức đó: thay vì tự trình một chứng chỉ của riêng mình, máy chủ của bạn chuyển tiếp đúng handshake TLS thật của một trang web phổ biến (Microsoft, Apple, một CDN nào đó). Với một lượt dò quét, endpoint của bạn không thể phân biệt được với trang web đó — cùng chứng chỉ, cùng dấu hiệu nhận diện — bởi vì ở khâu handshake, nó đúng là như vậy thật. Không có chứng chỉ tự ký nào để bị đánh dấu, không có tên miền riêng nào để bị đưa vào danh sách chặn, và không có gì để một bộ quét dấu hiệu nhận diện có thể bám vào. Đó là lý do REALITY là khuyến nghị mặc định cho Trung Quốc vào năm 2026.
Vạn Lý Tường Lửa chọc thử các máy chủ khả nghi để lột mặt nạ proxy. Dò quét một endpoint REALITY, nó sẽ trả lời y hệt trang thật mà nó mượn — không có gì để lột mặt nạ cả.
Các chiêu thức TLS khác cần một tên miền và một chứng chỉ có thể bị đưa vào danh sách chặn. REALITY không cần cái nào cả — chỉ cần IP còn mới của bạn và một SNI công khai để mượn.
Quản lý inbound, người dùng và link chia sẻ từ một bảng điều khiển web gọn gàng. Thêm một người dùng, sao chép mã QR, xong — không phải tự tay sửa JSON rồi lỡ sai chỗ nào đó.
Xray-core chỉ 'nhấm nháp' khoảng 50 MB RAM. Một VPS-S chạy một endpoint REALITY cho bạn và vài thiết bị mà vẫn còn dư sức.
Giao thức này thực chất là gì, nó ẩn mình ra sao, và nó mạnh nhất ở đâu — mô tả thẳng thắn, không tô hồng. Không có proxy nào là phép màu — chỉ có proxy phù hợp với mạng của bạn mới là phép màu thực sự.
| Phần mềm máy chủ | Xray-core + 3x-ui panel |
|---|---|
| Giao thức truyền tải & ngụy trang | REALITY — borrows a real site’s TLS 1.3 handshake |
| Khả năng chống DPI | Highest — no fingerprint, no cert, no domain |
| Thông lượng | Excellent (TCP + uTLS) |
| Mức tiêu thụ RAM | ≈ 50 MB |
| Cài đặt | 3x-ui web panel, ≈ 5 min |
| Cổng | 443 TCP |
| Mạnh nhất khi | China, Iran, Russia — 2026 gold standard |
Một proxy chỉ là một tiến trình nhỏ gọn — thứ nó cần là một IP sạch và băng thông ổn định, không phải một cỗ máy khủng. Mọi gói đều là VPS NVMe không giới hạn lưu lượng với toàn quyền root, thuê bằng token và thanh toán bằng crypto.
Một người, vài thiết bị: VPS-S là quá đủ cho một endpoint REALITY. Cách rẻ nhất để bước vào internet tự do.
Dùng chung với gia đình hay nhóm bạn: các nhân xử lý bổ sung của VPS-M gánh cả chục người dùng đồng thời trên 3x-ui mà không hề khựng.
Bán quyền truy cập hay phục vụ cả một cộng đồng: VPS-L chạy 3x-ui với nhiều inbound và nhiều người dùng, cộng thêm một giao thức thứ hai chạy song song.
Với người dùng tại Iran, Thổ Nhĩ Kỳ và vùng Vịnh, Hà Lan và Romania cho độ trễ thấp nhất. Với Nga, bất kỳ vị trí nào ở châu Âu cũng đều ổn. Trung Quốc không có PoP gần trong mạng lưới của chúng tôi, nhưng khả năng ẩn mình của REALITY quan trọng hơn độ trễ thuần túy ở đó — Hà Lan vẫn là lựa chọn thường thấy nhất.
| Vị trí | CPU | RAM | Lưu trữ | Uplink | Giá | |
|---|---|---|---|---|---|---|
| Moldova Offshore giá rẻ | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Đặt mua |
| Russia Ngoài tầm với của phương Tây | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Đặt mua |
| Panama Không lưu giữ dữ liệu | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Đặt mua |
| Romania Chống lưu giữ dữ liệu | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Đặt mua |
| Netherlands Kết nối peering tốt nhất | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $9.00/mo | Đặt mua |
| Iceland Thiên đường tự do ngôn luận | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $10.00/mo | Đặt mua |
| Switzerland Quyền riêng tư cao cấp | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $11.00/mo | Đặt mua |
Từ một VPS trống đến một endpoint hoạt động hoàn chỉnh. Các lệnh đã sẵn sàng copy-paste cho Ubuntu 24.04.
Trước tiên chuyển SSH sang chỉ dùng key, sau đó chỉ một lệnh duy nhất sẽ cài đặt bảng điều khiển 3x-ui để quản lý Xray thay bạn.
# key-only SSH, then install the 3x-ui panel
bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)Trong bảng điều khiển: chọn giao thức VLESS, bảo mật REALITY, và một SNI ngụy trang có thể truy cập được từ mạng bị kiểm duyệt. Bảng điều khiển sẽ tự xử lý việc trao đổi khóa.
# in the panel: add an inbound → protocol VLESS, security REALITY
# pick a camouflage SNI that is reachable from the censored network,
# e.g. www.microsoft.com or a CDN domain — REALITY relays its real certBảng điều khiển sẽ xuất ra một link vless://…#REALITY kèm mã QR. Nhập vào v2rayN (Windows), v2rayNG (Android), Streisand/FoXray (iOS) hoặc sing-box. Không có chứng chỉ client nào có thể bị rò rỉ.
# the panel prints a vless://...#REALITY share link + QR.
# import it into v2rayN (Win), v2rayNG (Android), Streisand / FoXray (iOS),
# or sing-box (any). No client cert, no config file to leak.Nhìn từ bên ngoài, endpoint sẽ trả lời một handshake TLS bình thường cho SNI bạn đã mượn. Với bất kỳ công cụ quét nào, đây chỉ là một host HTTPS như bao host khác.
# verify from outside: the endpoint answers a normal TLS handshake
curl -sI https://YOUR_IP --resolve YOUR_SNI:443:YOUR_IP | head -1Cả Trojan lẫn VMess-over-TLS đều bọc lưu lượng proxy trong một phiên TLS trông có vẻ hợp lệ — nhưng chúng trình ra một chứng chỉ cho một tên miền do chính bạn kiểm soát, và tên miền đó (cùng chứng chỉ của nó) hoàn toàn có thể bị dò quét, nhận diện và đưa vào danh sách chặn. REALITY loại bỏ hẳn mắt xích yếu đó: không có tên miền nào của bạn, cũng không có chứng chỉ nào của bạn. Máy chủ của bạn hoàn tất handshake bằng chứng chỉ thật của một bên thứ ba, rồi âm thầm chuyển sang truyền lưu lượng của bạn chỉ cho những client đã xác thực. Bên kiểm duyệt dò quét sẽ thấy trang web thật; công cụ quét dấu hiệu nhận diện sẽ thấy stack TLS của trang web thật. Đơn giản là không có gì 'tố' đây là một proxy cả.
REALITY mượn handshake TLS của một trang 'dest' (đích) thật mà bạn trỏ tới. Hãy chọn một trang (1) có thể truy cập được và không bị chặn từ bên trong mạng bị kiểm duyệt, (2) phục vụ qua TLS 1.3 với đường cong X25519 hiện đại, và (3) hợp lý như một điểm đến — một CDN lớn, một endpoint của Microsoft hay Apple, một trang phổ biến bản thân nó không bị chặn. Tránh bất cứ thứ gì bên kiểm duyệt có động cơ để chặn, và tránh các trang nhỏ hoặc bị khóa theo khu vực. Bảng điều khiển 3x-ui có thể kiểm tra khả năng tương thích của một SNI ứng viên trước khi bạn chốt dùng nó.
3x-ui biến Xray thành công việc chỉ cần trỏ-và-nhấp: tạo inbound, thêm người dùng kèm hạn mức lưu lượng và ngày hết hạn, rồi phát link chia sẻ hoặc mã QR riêng cho từng người. Đây là lựa chọn lý tưởng nếu bạn phục vụ gia đình hoặc bán lại quyền truy cập — mỗi người nhận một thông tin đăng nhập riêng mà bạn có thể thu hồi mà không ảnh hưởng đến ai khác. Hãy đặt chính bảng điều khiển sau một cổng không tiêu chuẩn và SSH chỉ dùng key, và không bao giờ để nó lộ ra internet công cộng mà thiếu mật khẩu. Checklist bảo mật giờ đầu tiên của chúng tôi đã bao quát những điều cơ bản này.
REALITY xuất sắc trước DPI và dò quét chủ động, nhưng nó chạy trên nền TCP — nên trên một mạng di động bị cố tình bóp băng thông hoặc mất gói tin cực nặng (thường gặp ở Iran trong các giai đoạn bất ổn), một giao thức UDP/QUIC như Hysteria2 có thể nhanh hơn rõ rệt. Và nếu mục tiêu của bạn chỉ đơn thuần là Telegram, một proxy MTProto nhẹ hơn và được thiết kế chuyên biệt cho việc đó. Tin vui là: toàn quyền root nghĩa là bạn có thể chạy REALITY và một phương án dự phòng trên cùng một VPS, ở các cổng khác nhau, rồi chuyển đổi khi tình hình mạng thay đổi.
Một VPS-S từ $7.50/tháng (Moldova/Nga) đến $11/tháng (Thụy Sĩ) chạy một endpoint REALITY cho bạn với dư địa cho vài thiết bị. Băng thông không giới hạn đã được bao gồm — không có đồng hồ đo lưu lượng nào để phải canh chừng.
Không — đó chính là một lợi thế quan trọng. REALITY mượn handshake TLS của một trang công khai của bên thứ ba, nên bạn không cần cả tên miền lẫn chứng chỉ. Chỉ cần IP của VPS và một SNI ngụy trang để trỏ tới.
REALITY được thiết kế chuyên biệt cho việc đó: một lượt dò quét đến endpoint của bạn sẽ nhận được phản hồi y hệt trang thật mà bạn mượn, nên không có gì để lột mặt nạ cả. Đây là phương pháp chống dò quét mạnh nhất hiện có vào năm 2026. Không phương pháp nào được đảm bảo mãi mãi, đó là lý do bạn luôn có thể đổi IP một cách tự do.
Tất cả các ứng dụng lớn: v2rayN và NekoBox trên Windows, v2rayNG trên Android, Streisand/FoXray/Shadowrocket trên iOS, và sing-box trên mọi nền tảng. Bảng điều khiển 3x-ui cung cấp cho bạn một link chia sẻ và mã QR mà các ứng dụng này nhập trực tiếp được.
Có — 3x-ui quản lý nhiều người dùng trên một inbound, mỗi người có link, hạn mức và ngày hết hạn riêng. Một VPS-S xử lý được một số lượng nhỏ; nâng lên VPS-M hoặc VPS-L khi số người dùng đồng thời tăng lên.
Chỉ cần chọn một trang ngụy trang khác trong bảng điều khiển rồi phát hành lại các link — một thay đổi mất hai phút. Việc luôn nhớ sẵn hai SNI đã biết là hoạt động tốt là một thói quen hữu ích cho khi tình hình mạng thay đổi.
Bài viết liên quan: VPN Tự Lưu Trữ trên VPS No-KYC: WireGuard vs OpenVPN · Giờ Đầu Tiên Gia Cố VPS: Một Checklist · Trường hợp sử dụng: tự lưu trữ VPN
Xray + REALITY trên một IP nước ngoài còn mới, quản lý từ 3x-ui, thanh toán bằng crypto không cần danh tính. Từ $7.50/tháng, hoạt động chỉ trong vài phút.