V2Ray (e il suo fork Xray-core) è oggi lo strumento di riferimento per aggirare sofisticati DPI - in particolare il GFW cinese. Dove Shadowsocks offre crittografia opaca e wstunnel utilizza semplici WebSocket, V2Ray combina più protocolli (VMess, VLess, Trojan, Shadowsocks) con più trasporti (TCP, WebSocket, HTTP/2, gRPC, QUIC) e più livelli di offuscamento (TLS, REALITY, XTLS Vision). È potente. È anche complesso.
Questa guida copre l'installazione di V2Ray su un VPS Contabo (Ubuntu 24.04), la distinzione tra VMess e VLess nel 2026, due configurazioni JSON (VMess + WS + TLS classico, e VLess + REALITY per la Cina), il multiplexing per condividere le connessioni, e i client mobili v2rayNG (Android) e Shadowrocket (iOS).
Hai già un link vmess:// o vless://? Incollalo nel nostro convertitore di link VMess / VLESS gratuito: decodifica ogni campo, segnala le impostazioni pericolose (security=none, allowInsecure, un link REALITY senza pbk) e scrive la configurazione Xray-core, sing-box e Clash Meta corrispondente. Funziona nel browser, quindi le credenziali del server contenute nel link non ci vengono mai inviate.
Preferisci non assemblare il JSON a mano? Il nostro generatore di config VLESS REALITY gratuito crea la coppia di chiavi X25519, l'UUID e lo short ID nel tuo browser e scrive le config server e client corrispondenti per sing-box e Xray-core, pronte da incollare nei passaggi qui sotto.
VMess vs VLess vs Xray: scegliere lo strumento giusto
VMess (V2Ray, 2015): il protocollo storico. Crittografia a livello di applicazione all'interno di V2Ray + UUID + alterId per l'autenticazione. Robusto ma "marcato": la sua impronta è diventata rilevabile dai DPI avanzati dal 2021.
VLess (V2Ray, 2020): versione più leggera. Nessuna crittografia a livello di applicazione (tutto delegato a TLS), nessun alterId, solo UUID per l'autenticazione. Più veloce (meno calcoli), più furtivo (nessuna "firma VMess" caratteristica).
Xray-core (fork RPRX, 2021): un fork di V2Ray più attivamente mantenuto, che ha introdotto XTLS (TLS ottimizzato senza doppia crittografia) e poi REALITY (prende in prestito il certificato di un sito target). Nel 2026, Xray-core è tecnicamente superiore per la Cina.
Raccomandazione 2026:
- Nuova configurazione, focus Cina: Xray-core + VLess + REALITY.
- Nuova configurazione, resto del mondo (Iran, Russia, aziendale): Xray-core + VLess + WS + TLS (o VMess per compatibilità).
- Mantenere una configurazione esistente: rimanere su V2Ray + VMess + WS + TLS, funziona ancora molto bene al di fuori del GFW aggressivo.
Per il resto, installiamo Xray-core (che supporta VMess + VLess + Trojan + SS nello stesso binario - più completo del V2Ray-core).
Installazione di Xray-core su un VPS Contabo
Contabo Cloud VPS 4 (4 vCPU, 8 GB RAM, €5.50/mese, vedi offerta) su Ubuntu 24.04. Per la Cina, scegli il datacenter di Singapore o Tokyo; per Iran/Turchia, Düsseldorf o Norimberga; per la Russia, stesso Europa. Se preferisci un provider statunitense con 30 giorni soddisfatti o rimborsati, il VPS Basic di Ultahost costa 5,52 $ al mese su 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026).
Carta bancaria rifiutata? Ultahost accetta anche Bitcoin e altre criptovalute, Alipay, WeChat Pay e Qiwi (pagina dei pagamenti, letta il 25 ottobre 2026). Link di affiliazione; controlla le sue condizioni per il tuo paese prima di ordinare.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Noleggia il VPS per il tuo server Xray → ContaboDa 5,50 €/mese (durata 24 mesi) · Datacenter a Singapore, Tokyo, UE e USA · Accesso root completo, IPv4 pubblico→Passo 1 - Script di installazione ufficiale
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
Lo script installa Xray in /usr/local/bin/xray, crea un'unità systemd xray.service, e inserisce la configurazione predefinita in /usr/local/etc/xray/config.json. Verifica:
xray version
systemctl status xray
Passo 2 - Dominio e certificato TLS (per VMess/VLess + WS + TLS)
Prerequisito: cdn.yourdomain.com puntato all'IP del VPS. Questa guida utilizza Caddy come proxy inverso per la gestione automatica di Let's Encrypt:
apt update && apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | tee /etc/apt/sources.list.d/caddy-stable.list
apt update && apt install -y caddy
Per REALITY, nessun dominio richiesto - REALITY prende in prestito il certificato di un sito target. Uno dei principali vantaggi per implementazioni rapide.
Configurazione 1: VMess + WebSocket + TLS
Questa è la configurazione "classica 2020-2023" che passa ancora molto bene nel 2026 al di fuori del GFW aggressivo. Compatibile con tutti i client V2Ray storici.
/usr/local/etc/xray/config.json:
{
"log": { "loglevel": "warning" },
"inbounds": [
{
"port": 10000,
"listen": "127.0.0.1",
"protocol": "vmess",
"settings": {
"clients": [
{ "id": "UUID-CLIENT-1-GENERATE", "alterId": 0, "email": "user1@vpnsmith" },
{ "id": "UUID-CLIENT-2-GENERATE", "alterId": 0, "email": "user2@vpnsmith" }
]
},
"streamSettings": {
"network": "ws",
"wsSettings": {
"path": "/cdn-static/vmess-ws",
"headers": { "Host": "cdn.yourdomain.com" }
}
}
}
],
"outbounds": [
{ "protocol": "freedom", "tag": "direct" },
{ "protocol": "blackhole", "tag": "block" }
]
}
Genera un UUID per utente con xray uuid o uuidgen. Conserva ogni UUID in un gestore di segreti - è la chiave di autenticazione.
Caddyfile corrispondente (/etc/caddy/Caddyfile):
cdn.yourdomain.com {
root * /var/www/html
file_server
@vmess {
path /cdn-static/vmess-ws
header Connection *Upgrade*
header Upgrade websocket
}
reverse_proxy @vmess 127.0.0.1:10000
}
Inserisci un sito HTML fittizio in /var/www/html/index.html (cruciale per il camuffamento contro il probing attivo). Avvia:
systemctl restart xray caddy
journalctl -u xray -f
Configurazione 2: VLess + REALITY (anti-GFW 2026)
Questa è la configurazione consigliata per la Cina continentale nel 2026. REALITY fa sembrare il tuo server esattamente come www.microsoft.com (o un altro sito popolare nella whitelist) dal punto di vista di un DPI.
Genera prima una coppia di chiavi REALITY:
xray x25519
# Chiave privata: ...
# Chiave pubblica: ...
Preferisci non assemblarla a mano? Il nostro generatore di configurazione VLESS REALITY crea la coppia di chiavi, l'UUID e lo short ID nel browser e scrive la configurazione server, quella client e il link vless:// coerenti tra loro.
La maggior parte delle installazioni REALITY si rompe quando si ricopiano i valori. La nostra VLESS REALITY Cheat Sheet gratuita (PDF di 3 pagine in inglese, download diretto, senza registrazione) mette fianco a fianco il nome di ogni campo in Xray, sing-box e nel link vless://, con i controlli lato server e le cause di guasto più comuni. Scarica la scheda.
REALITY richiede un server che controlli
Più RAM per lo stesso uso? vedi l'offerta Contabo Cloud VPS
Link di affiliazione: potremmo ricevere una commissione, senza costi aggiuntivi per te. Il generatore resta gratuito e non dipende da questo.
Funziona interamente nel browser: chiavi, UUID e configurazioni sono generati in locale e non vengono inviati da nessuna parte.
L'IP pubblico del tuo VPS (o un dominio che punta lì). Usato nella configurazione client e nel link.
443 è la norma: REALITY imita HTTPS.
Un sito di terzi con TLS 1.3 e HTTP/2, raggiungibile dai tuoi client. Vedi la checklist sotto lo strumento.
L'impronta TLS che il client imita. chrome è la scelta abituale.
La chiave privata va solo sul server. Quella pubblica va a ogni client.
Esadecimale, lunghezza pari, al massimo 16 caratteri.
- Le chiavi mancano o non sono valide (32 byte, base64url, 43 caratteri). Genera una coppia o incolla la tua.
Link di condivisione vless://
vless://@203.0.113.10:443?encryption=none&flow=xtls-rprx-vision&security=reality&sni=www.example.com&fp=chrome&pbk=&sid=&type=tcp&headerType=none#my-reality
Importalo in v2rayN, v2rayNG, Hiddify, Streisand o Shadowrocket, oppure scansiona il codice QR.
{
"log": {
"loglevel": "warning"
},
"inbounds": [
{
"listen": "0.0.0.0",
"port": 443,
"protocol": "vless",
"settings": {
"clients": [
{
"id": "",
"flow": "xtls-rprx-vision",
"email": "my-reality"
}
],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"show": false,
"target": "www.example.com:443",
"xver": 0,
"serverNames": [
"www.example.com"
],
"privateKey": "",
"shortIds": [
""
]
}
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls",
"quic"
],
"routeOnly": true
}
}
],
"outbounds": [
{
"protocol": "freedom",
"tag": "direct"
},
{
"protocol": "blackhole",
"tag": "block"
}
]
}{
"log": {
"loglevel": "warning"
},
"inbounds": [
{
"listen": "127.0.0.1",
"port": 10808,
"protocol": "socks",
"settings": {
"udp": true
}
},
{
"listen": "127.0.0.1",
"port": 10809,
"protocol": "http"
}
],
"outbounds": [
{
"protocol": "vless",
"tag": "proxy",
"settings": {
"vnext": [
{
"address": "203.0.113.10",
"port": 443,
"users": [
{
"id": "",
"flow": "xtls-rprx-vision",
"encryption": "none"
}
]
}
]
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"serverName": "www.example.com",
"fingerprint": "chrome",
"publicKey": "",
"shortId": "",
"spiderX": "/"
}
}
},
{
"protocol": "freedom",
"tag": "direct"
}
]
}# Installare Xray-core con lo script ufficiale (servizio systemd incluso)
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
# Facoltativo: verificare che la chiave pubblica corrisponda alla privata
xray x25519 -i ""
# Verificare che la destinazione risponda in TLS 1.3 e HTTP/2
xray tls ping www.example.com
# Aprire la porta
sudo ufw allow 443/tcp
# Incollare la configurazione server, testarla, poi avviare il servizio
sudo nano /usr/local/etc/xray/config.json
xray run -test -c /usr/local/etc/xray/config.json
sudo systemctl restart xray && sudo systemctl enable xray
# Seguire il log mentre si connette il primo client
sudo journalctl -u xray -f
REALITY richiede un server che controlli
Un server REALITY è un VPS con IP pubblico e la porta 443 libera, nient'altro. Il VPS base di Contabo include un IPv4 pubblico, accesso root e molto traffico, e puoi scegliere il datacenter più vicino ai tuoi utenti.
Seconda opzione, un provider statunitense con 30 giorni soddisfatti o rimborsati: il VPS Basic di Ultahost, 5,52 $/mese su 24 mesi, 1 CPU, 1 GB DDR5 e IPv4 dedicato (letto il 21 ottobre 2026), sufficiente per un server Xray. Accetta anche Bitcoin e altre criptovalute, Alipay, WeChat Pay e Qiwi (pagina dei pagamenti, letta il 25 ottobre 2026), utile se la tua carta bancaria viene rifiutata; controlla le sue condizioni per il tuo paese prima di ordinare. Vedi i VPS Ultahost
Link di affiliazione: potremmo ricevere una commissione, senza costi aggiuntivi per te. Il generatore resta gratuito e non dipende da questo.
Preferisci file già testati dall'inizio alla fine?
Il pack di configurazione VLESS + REALITY contiene un server Xray commentato sulla porta 443, un client desktop (proxy SOCKS5 e HTTP locale), un modello di link vless:// per v2rayN, v2rayNG e Shadowrocket, e due cose che questo generatore non scrive: una variante del server con contatori di traffico per dispositivo e un README con una checklist di risoluzione dei problemi in 10 punti. Ogni file JSON supera xray run -test con Xray-core 26.10.31. Solo Xray-core, nessun file sing-box.
Vedi il pack di configurazione VLESS + REALITY (4,90 EUR)Prodotto nostro, pagamento unico, ZIP di file di testo in inglese (pagina in inglese). Modelli per il tuo server, non un abbonamento VPN, e nessuna promessa che REALITY continui a passare un dato DPI. I file generati sopra funzionano anche senza.
Scegli un sito target (dest) che risponda in TLS 1.3 + HTTP/2 e non sia nella blacklist nel paese target. Per la Cina: www.microsoft.com, dl.microsoft.com, update.microsoft.com sono ottime scelte.
Nota: da Xray 26.10.31, scegliere www.microsoft.com come target mostra all'avvio un avviso (maggiore probabilità che il GFW blocchi l'IP del server). Funziona ancora, ma preferisci un sito TLS 1.3 + H2 meno comune, ospitato vicino al tuo VPS.
/usr/local/etc/xray/config.json:
{
"log": { "loglevel": "warning" },
"inbounds": [
{
"port": 443,
"protocol": "vless",
"settings": {
"clients": [
{
"id": "UUID-CLIENT-GENERATE",
"flow": "xtls-rprx-vision",
"email": "user1@vpnsmith"
}
],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"show": false,
"dest": "www.microsoft.com:443",
"xver": 0,
"serverNames": ["www.microsoft.com"],
"privateKey": "YOUR_X25519_PRIVATE_KEY",
"shortIds": ["", "a1b2c3d4"]
}
}
}
],
"outbounds": [
{ "protocol": "freedom", "tag": "direct" }
]
}
Come funziona:
- Quando un client REALITY si connette, invia un ClientHello TLS 1.3 con SNI
www.microsoft.come un segreto condiviso in un'estensione. - Xray rileva il segreto condiviso, prende il controllo e stabilisce il tunnel VLess.
- Quando si presenta un client "non-REALITY" (ad esempio una sonda GFW), Xray fa passthrough a
www.microsoft.com:443- il client vede la vera pagina di Microsoft, certificato valido, comportamento normale. - Il DPI non può distinguere il tuo server da una cache di Microsoft.
È lo stato dell'arte per l'anti-DPI nel 2026. Difficile da inserire nella blacklist senza inserire nella blacklist Microsoft.
Limiti di REALITY:
- Solo TCP (niente WS, niente HTTP/2). Se il firewall limita il TCP generico, REALITY non aiuta.
- Il client deve supportare REALITY: v2rayNG ≥ 1.8, Shadowrocket ≥ 2.2.20, sing-box ≥ 1.5. Vecchi client SS o VMess WS = incompatibili.
Multiplexing (mux) per condividere le connessioni
V2Ray/Xray supporta il multiplexing: più flussi TCP utente condividono una singola connessione TCP fisica al server. Vantaggi: meno connessioni visibili (utile contro DPI che contano le connessioni), latenza ridotta dopo la prima sessione, risparmio di handshake TLS.
Lato server, nessuna configurazione necessaria - Xray rileva automaticamente.
Lato client (v2rayNG, Shadowrocket, sing-box), abilita "Mux" con concorrenza 8 (valore consigliato).
Avviso: su reti instabili (4G mobile vicino al limite di copertura), mux può amplificare il blocco della testa di linea. Se noti rallentamenti strani, disabilita mux per quel profilo.
Client: v2rayNG (Android), Shadowrocket (iOS), v2rayN (Windows), sing-box (Linux/macOS)
Hai già un link vmess:// o vless:// e un client che lo rifiuta? Incollalo nel nostro convertitore di link vmess / vless: mostra ogni campo, segnala le impostazioni che rompono o indeboliscono la connessione (security=none, allowInsecure, Vision su WebSocket) e scrive la configurazione Xray-core, sing-box o Clash Meta, senza che il link lasci il browser.
Android - v2rayNG (open source, F-Droid o Play Store): il client di riferimento. Per VMess + WS + TLS, importa manualmente con:
- Indirizzo:
cdn.yourdomain.com - Porta:
443 - ID: il tuo UUID
- Crittografia:
auto - Rete:
ws - Percorso:
/cdn-static/vmess-ws - Host:
cdn.yourdomain.com - TLS:
tls - SNI:
cdn.yourdomain.com - Consenti insicuro:
false
Per VLess + REALITY:
- Indirizzo: IP del VPS
- Porta:
443 - ID: il tuo UUID
- Flusso:
xtls-rprx-vision - Rete:
tcp - Sicurezza:
reality - SNI:
www.microsoft.com - Impronta digitale:
chrome - Chiave pubblica: la tua chiave pubblica x25519
- ID breve:
a1b2c3d4(uno dalla lista del server)
iOS - Shadowrocket ($2.99 una tantum su AppStore). Supporto nativo VMess, VLess + REALITY dalla versione 2.2.20. Importa l'URI vless:// o vmess:// generato da Xray (xray generate config) o tramite l'interfaccia utente.
Windows - v2rayN (open source, GitHub). Interfaccia classica per Windows, supporta tutto l'ecosistema V2Ray/Xray. Gestisce bene il proxy di sistema (modalità System Proxy).
Linux/macOS - sing-box (open source, più moderno del client V2Ray). Configurazione JSON. Più performante e leggero del client V2Ray.
Prestazioni e costi operativi
Non pubblichiamo numeri di benchmark. Throughput e latenza dipendono interamente dal tuo percorso di rete (regione del server, il tuo ISP, la distanza, il carico), quindi qualsiasi cifra che citassimo ingannerebbe più di quanto aiuti. Ciò che è stabile è l'ordine qualitativo che deriva dal design:
- VLess + REALITY (xtls-vision) ha il minor overhead, perché XTLS Vision evita la doppia crittografia TLS-then-VLess.
- VLess + WS + TLS è più leggero di VMess + WS + TLS: VLess non ha crittografia a livello applicativo e delega tutto a TLS.
- Le configurazioni WebSocket + TLS (VMess, VLess, Trojan) aggiungono il framing WebSocket sopra TLS, quindi hanno più overhead di REALITY.
Misura il tuo percorso. Esegui iperf3 -c <server> e ping, con e senza il tunnel: solo quei numeri ti dicono cosa offrono la tua regione, il tuo ISP e il tuo piano VPS.
Rafforzamento
1. Autenticazione UUID unica per utente. NON condividere mai lo stesso UUID tra persone. Se un UUID trapela (gestione errata degli appunti, screenshot di Telegram), sai chi revocare.
2. Rotazione UUID ogni 3-6 mesi. Genera nuovi UUID, inviali agli utenti, rimuovi i vecchi dalla configurazione Xray. Facile da scriptare.
3. fail2ban su Caddy 404. Come con wstunnel, banna gli IP che scansionano percorsi inesistenti:
# /etc/fail2ban/jail.d/caddy-404.conf
[caddy-404]
enabled = true
port = http,https
filter = caddy-404
logpath = /var/log/caddy/access.log
maxretry = 10
findtime = 60
bantime = 3600
4. Solo chiave SSH + UFW. Standard. Disabilita la password SSH in /etc/ssh/sshd_config (PasswordAuthentication no), apri solo 22, 80, 443 in UFW (ufw allow 443/tcp, ecc.).
5. Breve conservazione dei log. In config.json, mantieni loglevel: warning (non info o debug), e configura logrotate per eliminare i vecchi log. Idealmente: nessun log DNS/connessione persistente se la giurisdizione è sensibile.
V2Ray vs alternative - Quando passare ad altro
| Esigenza | Scelta |
|---|---|
| Configurazione più semplice, solo bypass aziendale | wstunnel (configurazione in 5 minuti) |
| Nessun VPS, solo offuscare un WireGuard esistente | Cloak |
| Multi-utente + bypass GFW + configurazione pro | Xray-core + VLess + REALITY |
| Mobile-first, configurazione plug & play | VPN commerciale (NordVPN, ecc.) |
| Ricerca accademica anti-censura | Tor + obfs4 o Snowflake |
Se hai meno di 3 utenti e non vai mai nella Cina continentale, V2Ray è eccessivo - preferisci wstunnel o WireGuard + Cloak. Se desideri una soluzione mobile pronta all'uso senza VPS da gestire, controlla NordVPN con i suoi server offuscati.
Risoluzione dei problemi comuni
Sintomo: connessione stabilita ma nessun traffico fluisce. Controlla outbounds - se hai dimenticato freedom, tutto va nel black-hole. Aggiungi {"protocol": "freedom", "tag": "direct"}.
Sintomo: "Errore handshake TLS" sul client. SNI client errato, o certificato server scaduto (controlla caddy logs o acme.sh status a seconda della tua configurazione).
Sintomo: REALITY non funziona, il client vede la vera pagina dest. Gli shortIds lato server non corrispondono a quelli inviati dal client. Verifica che il client invii a1b2c3d4 (o un altro valore valido elencato dal server).
Misurato su Xray 26.10.31 (01/11/2026, server e client sulla stessa macchina, log del server a warning). Una chiave pubblica errata (password nelle config client attuali) e uno shortId assente dalla lista del server danno lo stesso errore lato client: REALITY: received real certificate (potential MITM or redirection). Un serverName assente da serverNames non dà alcun errore REALITY, solo righe accepted e una sessione TLS che fallisce. In tutti e tre i casi il server non registra nulla. Controlla prima la chiave, poi lo short ID, poi lo SNI, e prova in locale prima di dare la colpa alla rete.
Sintomo: scarse prestazioni nonostante un buon collegamento. Abilita mux lato client (concorrenza 8). Controlla che il server non sia limitato dalla CPU (top poi htop). Se il limite è la CPU, un piano più grande come Cloud VPS 8 (8 vCPU, 24 GB RAM, €14/mese) offre più margine.
Ulteriori letture
- Self-host VPN su Contabo: guida completa a WireGuard 2026
- Se preferisci un server domestico, self-host WireGuard su Raspberry Pi 5 è un'alternativa economica a un VPS.
- Hai bisogno di configurazioni WireGuard pronte? Vedi i nostri modelli di configurazione WireGuard.
- Shadowsocks vs VPN 2026: confronto tecnico
- wstunnel: TCP/UDP su WebSocket
- Cloak: offuscamento TLS per VPN self-host
- Cos'è v2rayN? Il client che tutti scaricano aspettandosi una VPN
- Hysteria 2: cosa fanno davvero il masquerade e l'offuscamento
Fonti e documentazione ufficiale:
- Xray-core - GitHub ufficiale
- Documentazione Project V (V2Ray)
- Protocollo REALITY - spiegato da RPRX
- v2rayNG (Android) GitHub
- GFW Report - dati di blocco in tempo reale
Pubblicato il 2026-06-03. REALITY evolve rapidamente - rivedi i changelog trimestrali di Xray-core prima di un'implementazione critica.
Promemoria legale: V2Ray/Xray sono strumenti open-source, legali nell'UE, negli Stati Uniti, in Canada e nella maggior parte dei paesi. L'uso anti-censura in Cina, Iran, Russia è localmente illegale con pene variabili. VPNSmith pubblica questa guida a scopo educativo.
Devi ancora scegliere l'host? Come scegliere un VPS per V2Ray e Xray confronta le opzioni su posizione, reputazione dell'IP e traffico.
Link di affiliazione
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Un VPS che controlli completamente per tunneling e offuscamento → ContaboCloud VPS 4 · 5,50 €/mese · Carta o PayPal · ordini accettati anche fuori dall'UE→Prezzo verificato il 17/10/2026, durata 24 mesi
