nuestra puntuaciónsin valoraciones de usuarios - valore →
Análisis de Xray / VLESS REALITY (modern obfuscation proxy core)
El estado actual de la técnica en eludir la censura de forma autohospedada, y la razón por la que «comprar una VPN» ya no tiene una única respuesta correcta para personas detrás de cortafuegos serios. Xray-core es un bifurcación dura (hard-fork) del v2ray-core, ampliamente extendido (Project X comenzó el 2020-11-23, v1.0.0 construido a partir del commit 9a3cc5 de v2fly), cuyas verdaderas innovaciones son VLESS, el control de flujo XTLS Vision y sobre todo REALITY: en lugar de alquilar un dominio y comprar un certificado TLS como Trojan, el servidor toma prestado el handshake TLS de un sitio importante genuino y sirve un certificado efímero solo a clientes que puedan demostrar posesión del secreto compartido, mientras que todo lo demás —incluyendo una sonda activa del censor— se reenvía transparentemente al sitio real. Ese diseño, extraído directamente de la documentación del proyecto, es la razón por la que usuarios iraníes, rusos y chinos lo reportan como lo último que aún funciona: voces de r/VPN afirman que VLESS+Reality «muy probablemente no puede bloquearse, a menos que estén dispuestos a bloquear el puerto 443 y matar todo el internet», y comentaristas de HN señalan que Rusia «prácticamente admitió que no puede bloquear las VPN de estilo xray+reality» y ha cambiado a hablar de prohibiciones generalizadas del tráfico extranjero. Los costes honestos también son claros: es un proyecto, no un producto: usted provee un VPS, usted es el administrador de sistemas de turno (la ola de firmas de Roskomnadzor de febrero de 2026 derribó VPS personales «samovar» exactamente igual que los públicos, y moverse del puerto 443 o cambiar el SNI no ayudó de forma fiable), la investigación de detección está alcanzando rápidamente este terreno (USENIX Security 24 muestra que los handshakes TLS encapsulados son identificables incluso con relleno), no hay auditorías, no hay empresa, y RPRX dirige el desarrollo según sus propios términos —incluyendo recaudación de fondos mediante NFT. Para usuarios prácticos en regiones censuradas, esta es la mejor opción «hágalo usted mismo» que hemos encontrado; para todos los demás, es lo que las mejores soluciones comerciales ofrecen bajo el capó.
Código abierto5 señales de alertaHechos verified - Xray-core and REALITY GitHub repos, GitHub releases API, xtls.github.io docs (home, Grand Chronicle news page, VLESS protocol spec), the Iran REALITY-blocking discussion #3269, net4people bbs TLS-in-TLS issue #281, the GFW Report USENIX Security 23 paper page, the USENIX Security 24 TLS-in-TLS paper page, ObjShadow's REALITY source-code analysis, Risky Biz News (Oct 2022), two Habr analyses (Feb 2026), HN Algolia and arctic-shift Reddit archives all fetched live 2026-11-03; arctic-shift body-search intermittently rate-limited (HTTP 429 and app-level 'Timeout' payloads) so only the reality and vless subreddit pools returned full data - the xray and selfhosted pools did not complete; xray.com docs domain unreachable (transport error) - noted, not counted
No security audit, no legal entity, no privacy policy - by design there is nobody to hold accountable, which is protection against subpoenas but also against bugs
Active censorship response is documented in three countries within 30 months: China's mass blocking of TLS-based circumvention including Xray/VLESS (Oct 2022, GFW Report via Risky Biz News), Iran's traffic-analysis blocking of Reality (Dec 2023 discussion #3269, with GFW Report researchers engaging), and Russia's Feb 2026 TSPU signature wave against Xray/VLESS (Habr)
Donation model leans on NFTs ('Project X NFT', 'VLESS NFT', 'REALITY NFT' on OpenSea) - unusual, unregulated fundraising for critical infrastructure
+2 señales de alerta más - desplegar antes de registrarse
The project publicly acknowledged a panel-security problem ('Why are there people managing panels using http://ip on the public web?', Grand Chronicle 2024-10-04) - misconfigured panels are a real user risk, not vendor FUD
RPRX deleted large feature sets in the 2024-09-30 release with little notice ('the deleted features were truly not being used by anyone') - rolling releases can break setups
Análisis
Borrador de Qwen3, verificado por la redacción de serviciovpn · Versión del análisis 2 · Texto actualizado 2026-11-03 · Hechos a fecha de 2026-11-03 · cómo verificamos
Nota de honestidad: no hemos hecho tests propios de Xray / VLESS REALITY (modern obfuscation proxy core) (fugas, velocidad, kill switch). Todo en esta página es metainvestigación basada en fuentes con enlaces fechados. En cuanto hagamos pruebas, los resultados aparecerán aquí y en el registro de cambios.
Xray / VLESS REALITY is not a VPN provider but a self-hosted proxy toolkit built around the Xray-core software. It enables technically skilled users to run censorship-resistant tunnels using protocols like VLESS and obfuscation tech like REALITY. There is no company, no subscription, and no customer support - just open-source code. You must rent your own VPS and configure everything yourself, meaning your privacy and uptime depend entirely on your choices and skills.
Logging & privacy
There is no central operator to log your traffic - because there is no operator at all. Xray-core runs on your own server, so any logging depends solely on your configuration; by default, it logs only warnings. The REALITY protocol enhances privacy by camouflaging traffic as legitimate HTTPS to major sites, forwarding probes to real destinations so censors see nothing suspicious. However, there is no audit, no warrant canary, and no legal entity to challenge surveillance. Your trust rests in the code and your VPS provider, not in any enforceable promise.
The software itself is free under the Mozilla Public License 2.0. You pay only for a VPS, typically $5/month (or as low as $2-3 according to r/VPN reports). There is no subscription, no renewal fee, and no billing cycle - just your server costs. Since there’s no product to buy, there’s no renewal trap. You control all expenses, but also all responsibility: no refunds, no support, and no automated billing protections.
Xray-core supports VLESS, VMess, Shadowsocks-2022, Trojan, WireGuard, and more, with advanced obfuscation like REALITY and XTLS Vision flow control to defeat TLS-in-TLS detection. It offers multihop routing, split tunneling, and runs on Windows, Mac, Linux, Android, iOS, and routers. There are no performance tests in this review, but community reports and USENIX research confirm its design resists deep packet inspection. However, enterprise SSL inspection (e.g., FortiGate) can break it, and there is no kill switch built into the core.
Ownership & track record
Xray-core is developed by a pseudonymous team led by RPRX under the XTLS GitHub organization, with no legal entity, jurisdiction, or formal governance. It is a distributed open-source project with contributors from Chinese, Russian, and Persian communities. While this shields it from legal coercion, it also means no accountability for bugs or outages. The project has faced active blocking in China, Iran, and Russia, and relies on unregulated funding like NFTs. Misconfigured web panels and abrupt feature removals (e.g., 2024-09-30) are documented risks.
Censorship resistance
REALITY is specifically designed for high-censorship environments like China, Iran, and Russia. By borrowing real TLS handshakes from major websites, it avoids domain and certificate ownership, making passive detection extremely difficult. Users report it surviving where commercial VPNs fail. However, active blocking exists: Iran uses traffic analysis, Russia deploys TSPU signatures, and China has broad TLS-based filtering. While not invincible - especially against enterprise SSL inspection - it remains one of the most resilient tools available for technically capable users.
Verdict
For hands-on users in censored regions, Xray/VLESS REALITY is the gold standard of self-hosted circumvention - what many commercial “anti-censorship” VPNs are quietly built on. It offers unmatched resistance to DPI but demands real technical effort and ongoing maintenance. For everyone else, it’s a reminder that real privacy often means doing the work yourself. And no, this project doesn’t pay review sites - because it’s not a product at all.
++ Qué se sostiene
El diseño de REALITY que 'roba el handshake' no necesita dominio ni certificado, y presenta un handshake TLS completo al censor; la detección activa devuelve el sitio de camuflaje mismo (XTLS/REALITY README + análisis del código fuente)
Gratis, código abierto (MPL-2.0), un solo binario en Go, lanzamientos mensuales, compilaciones reproducibles
La última opción funcional en los entornos más duros según testimonios comunitarios (hilos sobre Rusia, Irán, Uzbekistán, China 2025-2026) y la documentación de la ola de bloqueos en Rusia de octubre de 2025
XTLS Vision + REALITY contrarrestan específicamente la huella de TLS-en-TLS que detectó a proxies anteriores basados en TLS; la amenaza del artículo de USENIX es reconocida y la hoja de ruta del proyecto menciona 'modo preconstruido' y 0-RTT como próximos objetivos
Un ecosistema enorme de clientes y paneles: el README enumera docenas de interfaces gráficas mantenidas en todas las plataformas, por lo que 'autohospedado' ya no significa ausencia de aplicaciones
Sin cuentas, sin KYC, sin precio, sin empresa: la superficie jurisdiccional es únicamente su proveedor de VPS
-- A qué prestar atención
Es un proyecto, no un producto: el aprovisionamiento de VPS, el ajuste de TLS/SNI, las actualizaciones del núcleo y la lectura de registros dependen de usted; el análisis de Habr de febrero de 2026 afirma que la era del 'un solo clic' ha terminado 'definitivamente' y dice que 'si tiene su propio servidor, ya no es solo un usuario; es un administrador de sistemas en servicio'
El juego del gato y el ratón es real y está activo: en febrero de 2026, la TSPU de Roskomnadzor implementó nuevas firmas VLESS/Xray que desactivaron las configuraciones Reality en el puerto 443 (los workarounds reportados fueron cambiar de puerto, usar SNI vacío o cadenas Shadowsocks-2022/xHTTP); el GFW de Irán bloqueó Reality mediante análisis de tráfico a finales de 2023 y los censores siguen iterando
La investigación académica en detección converge hacia la detección de túneles independiente del protocolo: USENIX Security 24 (Xue et al.) demostró la detección confiable de handshakes TLS encapsulados con daño colateral mínimo en un ISP en vivo, y advierte que la multiplexación más relleno aleatorio por sí solas son inherentemente limitadas
REALITY hereda una exposición estructural documentada: una IP de Hetzner que afirma ser apple.com es distinguible mediante comprobaciones de coherencia de DNS inverso / SOA / whois (discusión en GitHub #3269), por lo que la elección de IP y la elección del objetivo de camuflaje son importantes
No existe ninguna auditoría de seguridad de terceros sobre Xray-core (ningún auditor mencionado en ninguna fuente obtenida); la base de código es un bifurcación de una bifurcación y RPRX ha eliminado funciones unilateralmente entre versiones
El streaming no es adecuado: un usuario de r/VPN señala que la IP de salida sigue siendo una IP de centro de datos, y Reality no cambia eso, por lo que los sitios de streaming/banca que bloquean rangos de hosting no se dejarán engañar
La gobernanza del proyecto es opaca: autor principal con seudónimo, un sitio de documentación que advierte que sus traducciones al inglés pueden estar desactualizadas, y fricciones comunitarias (el debate net4people #281 sobre afirmaciones de TLS-en-TLS y el desacuerdo público del mantenedor de sing-box con RPRX) son visibles en hilos obtenidos
Prueba de realidad de precios
Precio inicial
5,00 US$ /mo
Notas
El software es gratuito; el único costo es un VPS. Usuarios de r/VPN informan alquilar servidores 'por 2 a 3 dólares al mes' (2026-08) y ejecutar VLESS en un VPS sobrante o incluso en una mini PC doméstica con IP dinámica (2026-08); un VPS típico en el extranjero cuesta unos 5 dólares al mes. Sin suscripción, sin tarifa de licencia
El flujo de dinero - lo que ganan los portales de análisis con esta recomendación
Estado de afiliación aún sin verificar
Si nos uniéramos a este programa, cada enlace de aquí llevaría rel="nofollow sponsored" y pasaría por /go/. Hasta entonces, nuestros enlaces apuntan directamente al sitio del proveedor, sin ningún rastreo. La lógica de ordenación no puede leer físicamente los campos de afiliación - aquí la prueba.
On the website
Captured by our screenshot bot from the live site (or its public archive). A capture is evidence of what the page showed at capture time - not an endorsement.
Estado de nuestras comprobaciones: 2026-11-03. Xray / VLESS REALITY (modern obfuscation proxy core) alcanza 3.8/10 en nuestro análisis ponderado. Hemos registrado 5 señales de alerta (listadas arriba). Los reportes de usuarios, la propiedad y el historial de incidentes están documentados con fuentes fechadas en el metaanálisis de abajo.
What do I actually get for the price?
You get free, open-source software - no accounts, no licenses. The cost is your VPS (around $5/month). You install Xray-core yourself and configure it using community guides or panels like 3x-ui.
What is the renewal price and total 3-year cost?
There is no renewal price. The software is free. Your only cost is the VPS, which runs about $5/month. Over three years, that totals roughly $180, depending on your provider.
What evidence supports the no-logs claim?
There is no logs claim to prove - because there’s no service. You run the server, so logs exist only if you enable them. The architecture eliminates centralized logging by design.
Does this work in censored countries like China or Iran?
Yes, it’s built for that. REALITY resists detection by mimicking real HTTPS traffic. Users in China, Iran, and Russia report success, though active blocking (e.g., TLS-in-TLS analysis) does occur and requires updates to bypass.
Can I pay anonymously?
Yes - there’s nothing to pay. You download the software for free. If you donate to the developers, crypto is accepted. Your server cost is the only payment, and some VPS providers accept crypto.
What happens if the project shuts down?
Since it’s open source, the code remains available even if development stops. Existing installations keep working. Forks like sing-box already implement similar protocols, ensuring continuity.
What’s the honest free or cheap alternative?
Xray-core itself is free. For a managed option, consider a flat-priced independent provider like Mullvad - but know that most commercial “anti-censorship” apps are just reskinned versions of tools like this one.
El metaanálisis: lo que internet dice de Xray / VLESS REALITY (modern obfuscation proxy core)
No esperamos que nos crea. Este análisis es un metaanálisis: abajo verá lo que afirman otros portales de análisis - con sus conflictos de interés señalados -, lo que reportan los usuarios en Reddit y foros y quién opera realmente Xray / VLESS REALITY (modern obfuscation proxy core). Cada afirmación enlaza su fuente para que pueda comprobarla usted mismo.
Lo que dicen otros testers (1)
Cada fuente lleva una etiqueta de conflicto de nuestra base de datos de portales de análisis. «Financiado por afiliación» significa: la web gana si usted compra lo que recomienda. Las voces críticas las incluimos deliberadamente.
Fetched 2026-11-03 (HTTP 200, ~6300 words): independent source-level walkthrough of the REALITY client (Xray-core transport/internet/reality) and server (XTLS/REALITY) code - explains the SNI-whitelist censorship strategy that made pre-REALITY TLS tools unusable in parts of mainland China (China Mobile Quanzhou cited as first deployer), the Session-ID covert channel (Xray version + Unix timestamp + shortId AEAD-encrypted inside the ClientHello), the X25519/HKDF preMasterKey derivation, the server's forward-to-dest handshake completion with ephemeral ed25519 temporary certificates signed via HMAC with the shared key, and the client's three-way discrimination (temporary cert = proceed, real cert = spider mode, invalid = TLS alert disconnect).
Lo que dicen los usuarios (6)
Reddit, foros, HN - parafraseado y enlazado, nunca fuera de contexto. Anécdotas, no pruebas - pero las quejas de reembolso y los reportes de fugas son el mejor sistema de alerta temprana que tiene este mercado.
Fetched 2026-11-03 (HTTP 200, 85 comments): Iranian users document Reality blocking waves on the MCI ISP - controlled A/B tests where a 200-user high-traffic Reality server died within hours while a 1-2-user server survived a week; irgfw describes a pre-existing IP graylist and reports 'IRGFW has zoomed on TLS proxies now, all kinds of them'; maintainer Fangliding notes Reality is outwardly indistinguishable from port forwarding; GFW Report researchers (gfw-report account) join the thread offering to investigate; community theories include reverse-DNS/SOA consistency attacks against camouflage targets and the USENIX TLS-in-TLS paper.
Fetched 2026-11-03 (HTTP 200, 40+ comments): the anti-censorship research forum's TLS-in-TLS debate - RPRX confirms an unpublished TLS-in-TLS characterization paper contacted him and yuhan6665 and that it motivated Vision Seed; his Trojan-killer PoC (client-after-CCS byte-count + timing conditions, ~0.1% false positive in Tun mode) versus the sing-box maintainer's skepticism that the GFW deploys ML detection; wkrp's framing that the censor detects tunnels, not TLS; diwenx (Xue) later authored the USENIX Security 24 encapsulated-TLS-handshake paper; GGFAST SIGCOMM 2023 classifier paper cited as methodology precedent.
Fetched 2026-11-03 (HTTP 200): 20 hits across 2025-2026 threads - 'only thing that works is xray vpn' (Russia, Tor thread 2025-08); XRay-based VPN worked in Uzbekistan where WireGuard was blocked; Russia 'all but admitted they can not block xray+reality-style VPNs' (2026-05); WireGuard+xray in Iran (2026-05); escalation-to-xray prediction on an Italy blocks thread (2026-07); GFW-adaptation commentary (2026-06).
Fetched 2026-11-03 (HTTP 200): the substring 'vless' matches 'vessel' in 858k comments, so this query returns noise - recorded honestly as a dead end that justified relying on the 'xray vpn' query for HN voices instead.
Fetched 2026-11-03 (HTTP 200 via curl after rate-limit cooldown; two earlier attempts hit HTTP 429 and an app-level 'Timeout. Maybe slow down a bit' payload): 2026 r/VPN voices - Reality as camouflage against DPI, version-mismatch troubleshooting, the datacenter-exit-IP caveat, router deployments, SSL-inspection defeats VLESS in enterprise networks.
Fetched 2026-11-03 (HTTP 200 via curl after rate-limit cooldown): 2026 r/VPN voices - VLESS+Reality as the standard Russian Telegram-ecosystem protocol, own-VPS-vs-commercial-IP-blocking logic, 2 - 3 USD/mo server rentals, CDN/SNI/fragmentation hardening advice, first-time 3x-ui setup friction, mini-PC dynamic-IP setups.
Informe de hechos con IA - todo lo que sabemos, condensado
Generado por Qwen3 el 2026-11-03 a partir de nuestra base de datos de hechos y las fuentes enlazadas. Resume - no añade hechos. Contraste todo lo importante con las fuentes enlazadas.
Bottom line: This is not a service but a self-hosted tool - free, open-source software you run on your own VPS. It offers strong obfuscation against state-level DPI using REALITY and VLESS, making it one of the few options still viable in heavily censored regions like China, Iran, and Russia. However, it requires technical skill to deploy and maintain, and active blocking efforts are evolving.
The logging truth: There is no central operator to log traffic - logging depends entirely on your VPS provider and your own server configuration. The software itself does not require or enforce logging, and by design, there is no company or legal entity that could be compelled to log. Jurisdiction is irrelevant: this is a decentralized project with no formal ownership.
Pricing reality: The software is free. You pay only for a VPS, typically $2-5/month. There are no subscriptions, renewals, or billing traps - just your server costs. No payment or account is needed to use Xray-core itself.
What reviewers say vs what users say: Users consistently report that VLESS + REALITY works where other tools fail, especially in Russia and China, calling it “undetectable” and “the last thing standing.” However, enterprise SSL inspection (e.g., university firewalls) can break it. External analyses (USENIX, GFW Report) confirm its effectiveness but also show detection methods are advancing. Conflict exists: vendor-authored content (e.g., a MegaV VPN writer) claims high survival rates, while independent researchers stress it's a temporary advantage.
Who runs it: No one company or legal entity runs it. It is a pseudonymous open-source project led by developer RPRX, with contributions from an international community. The lack of formal structure protects it from legal pressure but also means no accountability, support, or guarantees.
Fuentes & cómo se hizo este análisis
Cada fuente externa usada en esta página, con su fecha de consulta y su clase de prueba [A]-[D] (A = fuente primaria/del operador, B = prensa seria/investigación, C = comunidad, D = mediciones propias). Metodología: cómo verificamos. Las fuentes desaparecen o cambian - si un enlace está muerto, avísenos por la página de contacto.
Evidence classes on this page:[A] A: 6[B] B: 6[C] C: 6[D] D: 0(D stays empty until our own test phase)
A censorship-unblocking tool that now wears nonprofit clothes: Lantern's parent became the 501(c)(3) Brave New Software Project and the site now reads like a…
CanaryCódigo abierto
Inicial: 3,63 US$ /mo
United Statesherramienta de privacidad hace 37 días
A DNS-layer filtering service that has grown up in public: born January-April 2021 out of the Windscribe team (same three founders, spun out precisely because…
Código abierto
Inicial: 3,00 US$ /mo
Canada - CONTROLD, Inc., Toronto, Ontario; operator about-us page states 'Founded in 2021 - Toronto, Canada' and site footer reads '2026 CONTROLD, Inc.'; free-dns FAQ calls it 'based in Toronto, Canada... the sister company of Windscribe'herramienta de privacidad hace 42 h
Hysteria 2 is not a VPN provider - it is free, MIT-licensed proxy software you deploy on your own server, and this dossier treats it that way: there is no…
Código abierto
Inicial: 5,00 US$ /mo
none - Hysteria is not a company; it is MIT-licensed open-source software (Go) developed by a volunteer community around lead developer 'Toby' (GitHub: tobyxdd), with the repo on GitHub and docs at hysteria.networkherramienta de privacidad hace 42 h
Aún no hay comentarios - sea el primero. Publicar pasa por una breve prueba de trabajo en su navegador (antispam), sin necesidad de cuenta.