sing-box vs Xray 2026: la vera differenza è l'ambito

Divulgazione affiliata: questo articolo contiene link affiliati a Contabo e NordVPN. Se ordini un VPS tramite il nostro link, riceviamo una commissione senza costi aggiuntivi per te. Il confronto qui sotto riflette le funzioni documentate di ciascun progetto. Verifica la sintassi esatta della configurazione sulla documentazione ufficiale di ciascuno strumento, perché cambia da una versione all'altra.

Risposta breve: vuoi un setup anti-censura VLESS + REALITY mirato e collaudato, con la più ampia scelta di guide? Scegli Xray. Vuoi un unico binario che faccia da client e da server e parli anche i nuovi protocolli QUIC (Hysteria2, TUIC)? Aggiunge anche Shadowsocks, VMess, VLESS, Trojan e WireGuard: scegli sing-box. Entrambi supportano REALITY. La vera scelta è tra uno strumento mirato e un kit tutto-in-uno. Sei alle prime armi con questi protocolli? Parti dalla nostra guida di configurazione V2Ray / VMess / VLESS.

Qualunque tu scelga, la parte server gira su un VPS fuori dalla rete censurata. Un'opzione adatta è un VPS Cloud Contabo con Ubuntu 24.04 (link di affiliazione), da 5,50 € al mese con durata di 24 mesi (prezzo letto il 17 ottobre 2026); scegli un datacenter vicino ai tuoi utenti per ridurre la latenza.

Carta bancaria rifiutata? Ultahost accetta anche Bitcoin e altre criptovalute, Alipay, WeChat Pay e Qiwi (pagina dei pagamenti, letta il 25 ottobre 2026). Link di affiliazione; controlla le sue condizioni per il tuo paese prima di ordinare.

Non hai ancora deciso? Non serve scegliere prima di provare. Il nostro generatore di config VLESS REALITY gratuito scrive le config server e client per entrambi i core dalle stesse chiavi, e se hai già un link vless:// o vmess://, il convertitore di link lo trasforma in una config Xray e una config sing-box affiancate, con una revisione di sicurezza del link. Entrambi funzionano nel tuo browser.

Che cos'è sing-box, e che cos'è Xray?

• V2Ray (Project V): la piattaforma proxy multiprotocollo originale. Ha introdotto VMess e poi VLESS, con trasporti come TCP, WebSocket, HTTP/2, gRPC e QUIC. Resta il riferimento principale, ma il suo core originale non ha REALITY.
• Xray: un fork di V2Ray che ha aggiunto XTLS Vision e REALITY. È il core su cui si lavora di più per aggirare la censura. La maggior parte dei setup anti-GFW "V2Ray" del 2026 gira in realtà su Xray. (Trattiamo un setup completo nella nostra guida V2Ray / VMess e VLESS.)
• sing-box: nei forum e nelle ricerche si scrive spesso singbox, mentre il progetto stesso usa il trattino; il binario, il pacchetto e la chiave di configurazione sono tutti sing-box. È una piattaforma tutto-in-uno più recente (Go, singolo binario). Gestisce molti protocolli sia come client sia come server: Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS e altri. Aggiunge TLS/REALITY e diversi trasporti. Esistono app per Android (SFA), iOS (SFI) e macOS (SFM).

Confronto fianco a fianco

Quale scegliere, sing-box o Xray?

• Scegli Xray se il tuo unico obiettivo è un setup VLESS + REALITY robusto contro un DPI pesante (il GFW cinese, Iran, Russia) e vuoi il percorso più documentato. Fa molto bene quel compito preciso.
• Scegli sing-box se vuoi riunire tutto in un solo strumento: un binario per il server e per tutti i tuoi dispositivi, la libertà di provare Hysteria2/TUIC (protocolli UDP/QUIC che possono rendere meglio su reti con perdita di pacchetti o rallentate) e WireGuard integrato. È la base "coltellino svizzero" migliore se prevedi di cambiare protocollo.
• Non sei sicuro? Entrambi girano su un piccolo VPS (quale VPS si adatta a V2Ray/Xray) ed entrambi supportano REALITY, quindi nessuno dei due è una scelta sbagliata. Comincia da quello che corrisponde alla guida che seguirai davvero. Per VLESS + REALITY spesso è Xray. Per un laboratorio multiprotocollo è sing-box.

Cosa serve per provarne uno

Entrambi i core girano su qualsiasi piccolo VPS Linux con IP pubblico, e il server è l'unico pezzo che non puoi prendere in prestito: deve stare fuori dalla rete che ti filtra. Il nostro generatore di config VLESS REALITY gratuito scrive le config server e client per Xray e per sing-box dalle stesse chiavi, generate nel tuo browser: puoi installare un core, provarlo e passare all'altro senza rigenerare nulla.

Se ti colleghi dalla Cina o dall'Iran, la posizione del datacenter conta più delle specifiche. Contabo ha sedi a Singapore e Tokyo oltre a Europa e Stati Uniti, e il suo piano base (4 vCPU, 8 GB di RAM, 5,50 €/mese per i primi 24 mesi) supera di molto ciò che serve a un proxy personale. Nessun provider garantisce che i propri range di IP restino raggiungibili: considera il server sostituibile e tieni la config pronta da ridistribuire su un nuovo IP.

Protocolli e trasporti in sintesi

I due core si sovrappongono sui protocolli proxy classici ma divergono su quelli più recenti. È la differenza fattuale più netta tra loro.

• Terreno comune: entrambi parlano VLESS, VMess, Trojan e Shadowsocks, ed entrambi supportano REALITY e TLS. Offrono anche trasporti comuni come TCP, WebSocket, HTTP/2 e gRPC. Per un tunnel VLESS + REALITY, quindi, va bene l'uno o l'altro core.
• L'obiettivo di Xray: il core Xray è costruito attorno allo stack VLESS + XTLS Vision + REALITY. XTLS Vision è il meccanismo di controllo del flusso proprio di Xray, che riduce l'overhead "TLS dentro TLS" quando si fa passare traffico TLS in un proxy TLS. È il setup per cui Xray è più noto e più documentato.
• I protocolli in più di sing-box: sing-box aggiunge nello stesso binario protocolli più recenti basati su QUIC/UDP, in particolare Hysteria/Hysteria2 e TUIC, oltre a WireGuard come inbound/outbound integrato e a ShadowTLS. Questa ampiezza è il motivo principale per preferire sing-box a Xray.

Quale resiste meglio all'ispezione approfondita dei pacchetti?

Entrambi i progetti fanno di REALITY la loro prima linea contro l'ispezione approfondita dei pacchetti. REALITY funziona prendendo in prestito il vero handshake TLS di un sito di terzi legittimo (un design che "ruba" l'handshake), così che per un osservatore la connessione sembri un normale HTTPS verso quel sito e non un proxy. Soprattutto, è progettato per resistere all'active probing, quando un censore si connette al tuo server per capire se si comporta come un proxy: dato che REALITY inoltra le sonde inattese verso il vero sito bersaglio, la sonda riceve una risposta TLS normale invece di un proxy riconoscibile.

Xray è il progetto in cui è nato REALITY e in cui XTLS Vision riduce l'impronta di doppia cifratura di un tunnel TLS. Anche sing-box implementa REALITY, e lo affianca al suo insieme di protocolli più ampio: puoi abbinare REALITY, per esempio, a un protocollo basato su QUIC su un endpoint separato. Nessuno dei due approcci garantisce di passare: i sistemi di censura cambiano, e la posizione onesta è che l'anti-DPI resta un continuo gioco del gatto e del topo, non un problema risolto.

Design e governance

I due progetti hanno origini diverse, e questo determina il modo in cui ciascuno è costruito.

• sing-box (SagerNet) è un singolo binario multiuso: lo stesso eseguibile fa da client e da server, con regole di routing, gestione DNS e più inbound/outbound configurati in un unico file JSON unificato. È il più recente dei due e punta a essere una piattaforma universale piuttosto che il riferimento di un singolo protocollo.
• Xray (Project XTLS) è un fork comunitario di V2Ray (Project V). Resta vicino al ruolo di core proxy: è soprattutto il motore, mentre l'esperienza lato client è di solito affidata ad app di terze parti separate. La sua identità è legata a XTLS Vision e REALITY, le funzioni anti-rilevamento che ha introdotto per primo.

La distinzione quindi non si gioca solo funzione per funzione. È un kit tutto-in-uno contro un core proxy mirato, circondato da un ampio ecosistema di client.

Le licenze non sono le stesse, e i confronti continuano a ometterlo

Entrambi i progetti sono open source, e la maggior parte dei confronti si ferma a questa parola. Ma non hanno le stesse condizioni, ed è il genere di differenza che conta se distribuisci qualcosa costruito su uno dei due.

Xray-core è sotto Mozilla Public License 2.0. L'API di GitHub la normalizza come MPL-2.0. È un copyleft a livello di file: se modifichi un file MPL, quel file resta MPL, ma puoi combinarlo con codice sotto altre licenze.

sing-box è sotto GPL versione 3 o successiva, più una clausola propria. Il suo file LICENSE riporta la concessione standard GPLv3-or-later, poi aggiunge:

In addition, no derivative work may use the name or imply association with this application without prior consent.

(In sostanza: nessuna opera derivata può usare il nome o lasciar intendere un legame con l'applicazione senza consenso preventivo.) È per questa frase aggiunta che GitHub non la normalizza: l'API riporta Other / NOASSERTION invece di GPL-3.0, perché il testo non è più la licenza originale non modificata. (Entrambi i valori letti dall'API di GitHub il 20 agosto 2026, insieme a 41.119 stelle per Xray-core e 37.139 per sing-box.)

Se auto-ospiti per uso personale, niente di tutto questo ti riguarda: eseguire un software non significa ridistribuirlo. Se invece stai costruendo un prodotto, un servizio o un'appliance su uno di questi core, "GPLv3-or-later con una restrizione sul nome" e "MPL-2.0" sono punti di partenza molto diversi, ed è una questione per chi gestisce le tue licenze, non qualcosa da decidere leggendo un articolo di confronto.

Quali client funzionano con sing-box e Xray?

Nell'uso quotidiano, il modo in cui ti connetti conta quanto il core del server.

• App client: sing-box fornisce app ufficiali di accompagnamento (SFA per Android, SFI per iOS e SFM per macOS) che eseguono lo stesso core sul dispositivo. Xray non distribuisce app proprie per l'utente finale; è invece integrato in diffusi client di terze parti come v2rayNG su Android e Shadowrocket su iOS, che molti usano già.
• Configurazione: entrambi i core si configurano in JSON. sing-box usa uno schema unificato che copre inbound, outbound, DNS e regole di routing in un solo file, adatto a un setup tutto-in-uno. Il JSON di Xray ruota attorno all'inbound/outbound del proxy, con un proprio blocco di routing. Nessuno dei due è banale, ed entrambi gli schemi cambiano da una release all'altra: è la configurazione, non l'installazione, il punto in cui la maggior parte dei setup va storta.

"sing-box o v2rayN?" è il confronto sbagliato

Questa domanda torna di continuo, e mescola due tipi di software diversi.

sing-box è un core. Parla i protocolli, termina il tunnel e instrada il traffico. v2rayN è un client: un'interfaccia desktop per Windows che gestisce i tuoi profili, importa i link di abbonamento e avvia e ferma la connessione. Non implementa i protocolli da sé: pilota un core sottostante. A seconda della build che installi, quel core è V2Ray, Xray o sing-box.

Le due cose quindi non sono alternative. Il modo onesto di porre la decisione è in due parti:

• Quale core vuoi che gestisca il protocollo e la resistenza al DPI: sing-box o Xray? È il confronto che questa pagina fa qui sopra.
• Quale client vuoi che lo piloti sulla tua macchina? Su Windows, v2rayN è la risposta comune qualunque core tu scelga. Su Android l'equivalente è v2rayNG, e sing-box ha anche le sue app ufficiali (SFA, SFI, SFM).

Se usi già v2rayN e ti chiedi se "passare a sing-box", quello che stai davvero valutando è cambiare il core che avvia, non sostituire l'applicazione. Verifica quali core supporta la tua build di v2rayN prima di dare qualcosa per scontato, perché varia da una release all'altra.

Come si migra da Xray a sing-box?

Una domanda che arriva una volta fatta la scelta: si può semplicemente convertire il file di configurazione? Modificandolo a mano, no. Una migrazione da V2Ray a sing-box ricrea la configurazione invece di tradurla: i due core descrivono la stessa connessione con nomi di chiave diversi, quindi nessun cerca-e-sostituisci ti porta a destinazione.

La forma della differenza, prendendo come esempio un outbound VMess:

Alla semplice rinomina si aggiungono due note pratiche. La documentazione attuale di Xray mostra l'outbound VMess con address, port e id direttamente sotto settings, e non con il vecchio array vnext che molti esempi pubblicati usano ancora: anche all'interno della stessa famiglia, quindi, non tutte le configurazioni si somigliano. E sing-box separa in tls e transport ciò che Xray tiene insieme sotto streamSettings, ed è proprio lì che una copia meccanica campo per campo di solito va storta.

La via affidabile è quindi scrivere l'outbound sing-box partendo dai parametri del server che già conosci (host, porta, UUID, trasporto, impostazioni TLS) e non dal vecchio file, poi validarlo prima di avviare qualsiasi cosa: sing-box check -c config.json segnala gli errori di schema e sing-box format -w -c config.json riscrive il file in forma canonica. Come dice l'avvertenza più sotto, controlla i nomi dei campi sulla documentazione aggiornata della versione che hai davvero installato, perché questi schemi cambiano da una release all'altra.

Se usi v2rayN su Windows, la migrazione è un lavoro diverso. Lì non riscrivi una configurazione server, cambi il core che il client pilota, perché v2rayN può far girare il core Xray o il core sing-box sotto la stessa interfaccia. Questo cambia le opzioni che la GUI mostra e, soprattutto, il componente che risolve il DNS. Trattiamo questo passaggio e la sua unica trappola ricorrente in v2rayN con il core sing-box.

Quale server serve per far girare l'uno o l'altro?

Se per la tua rete basta WireGuard puro e non ti serve un protocollo offuscato, il nostro generatore di configurazione WireGuard gratuito ti dà una configurazione server e client funzionante in un minuto, con le chiavi generate nel tuo browser.

Qualunque core tu scelga, il tunnel si rompe allo stesso modo quando l'MTU è sbagliata: le richieste piccole vanno a buon fine, i trasferimenti grandi si bloccano e la connessione cade sotto carico. Questo quadro viene regolarmente attribuito al provider. mtu-probe misura il pacchetto più grande che il tuo percorso trasporta davvero, così puoi impostare l'MTU dell'interfaccia partendo da una misura invece che da un valore predefinito, sottraendo 60 byte per WireGuard su IPv4 e 80 su IPv6.

Qualunque core tu scelga, lo auto-ospiti sul tuo VPS. È questo che mantiene il setup privato e sotto il tuo controllo. Una piccola istanza basta e avanza per uso personale; se stai ancora scegliendo il provider, guarda come si confrontano Contabo, Hetzner e OVH per una VPN auto-ospitata.

Un'opzione pratica è un VPS Contabo (Ubuntu 24.04). Scegli un datacenter vicino alla tua regione di destinazione per una latenza più bassa. Vedi i prezzi dei VPS Contabo →

Una volta pronto il VPS, il nostro generatore di config VLESS REALITY scrive le configurazioni server e client per l'uno o l'altro core, Xray o sing-box, dalle stesse chiavi: così puoi provarli entrambi.

Che cosa dovrebbe farti esitare?

In alcuni paesi aggirare la censura può violare la legge locale. Questo articolo spiega la tecnologia; non è una consulenza legale. Inoltre, gli schemi di configurazione dei core proxy cambiano da una release all'altra. Considera qualsiasi frammento di configurazione che trovi (anche nelle guide) come un punto di partenza. Verificalo sulla documentazione ufficiale aggiornata di sing-box o Xray prima di farci affidamento.

E se mantenere un core proxy ti sembra troppo, la via chiavi in mano è una VPN commerciale con server offuscati, come NordVPN (che ora girano sul suo protocollo NordWhisper). Il compromesso è reale: i suoi IP dei server sono condivisi e noti ai censori, quindi in un paese molto filtrato viene bloccata più spesso del tuo server REALITY.

La tua VPN nasconde il tuo IP. Non nasconde il tuo browser.

Un tunnel WireGuard configurato correttamente sostituisce l'indirizzo che un sito vede. Non cambia nulla di ciò che il tuo browser dichiara da solo: font, schermo, fuso orario, stack grafico. Questa combinazione è spesso abbastanza unica da seguirti da una sessione all'altra, con o senza tunnel.

Misura l'impronta del tuo browser: passiva, senza domande, senza account, senza email. Ti dice quanti browser su N assomigliano al tuo, e quale attributo ti fa risaltare.

Guide correlate

• v2rayN spiegato: il client Windows per VLESS e VMess
• Masquerade di Hysteria2: nascondere il tunnel dietro un sito plausibile
• Setup V2Ray: VMess e VLESS per Cina, Iran, Russia
• Shadowsocks vs VPN: confronto tecnico
• Cloak: offuscamento TLS per VPN auto-ospitate
• Anti-DPI: aggirare l'ispezione approfondita dei pacchetti
• La stretta sulle VPN in Russia nel 2026: cosa è bloccato e cosa funziona ancora
• v2rayN con il core sing-box: cosa cambia e la trappola del DNS

Entrambi i core hanno comunque bisogno di un server su cui girare. Se questa parte non è ancora decisa, il nostro confronto dei VPS più economici per WireGuard elenca quanto fa pagare ciascun provider per le specifiche che questi setup richiedono davvero.