V2Ray (e o seu fork Xray-core) é hoje a ferramenta de referência para contornar DPI sofisticado - particularmente o GFW chinês. Onde Shadowsocks faz encriptação opaca e wstunnel faz WebSocket simples, V2Ray combina múltiplos protocolos (VMess, VLess, Trojan, Shadowsocks) com múltiplos transportes (TCP, WebSocket, HTTP/2, gRPC, QUIC) e múltiplas camadas de ofuscação (TLS, REALITY, XTLS Vision). É poderoso. Também é complexo.
Este guia cobre a instalação do V2Ray num VPS Contabo (Ubuntu 24.04), a distinção entre VMess e VLess em 2026, duas configurações JSON (VMess + WS + TLS clássico, e VLess + REALITY para a China), multiplexação para partilhar conexões, e os clientes móveis v2rayNG (Android) e Shadowrocket (iOS).
Já tens um link vmess:// ou vless://? Cola-o no nosso conversor de links VMess / VLESS gratuito: descodifica cada campo, assinala as definições perigosas (security=none, allowInsecure, um link REALITY sem pbk) e escreve a configuração Xray-core, sing-box e Clash Meta correspondente. Corre no teu navegador, por isso as credenciais do servidor contidas no link nunca nos são enviadas.
Preferes não montar o JSON à mão? O nosso gerador de config VLESS REALITY gratuito cria o par de chaves X25519, o UUID e o short ID no teu navegador e escreve as configs de servidor e cliente correspondentes para sing-box e Xray-core, prontas a colar nos passos abaixo.
VMess vs VLess vs Xray: escolher a ferramenta certa
VMess (V2Ray, 2015): o protocolo histórico. Encriptação na camada de aplicação dentro do V2Ray + UUID + alterId para autenticação. Robusto mas "marcado": a sua impressão digital tornou-se eventualmente detetável por DPI avançado desde 2021.
VLess (V2Ray, 2020): versão mais leve. Sem encriptação na camada de aplicação (delegamos tudo para TLS), sem alterId, apenas UUID para autenticação. Mais rápido (menos computação), mais furtivo (sem "assinatura VMess" característica).
Xray-core (fork RPRX, 2021): um fork V2Ray mais ativamente mantido, que introduziu XTLS (TLS otimizado sem dupla encriptação) e depois REALITY (empresta o certificado de um site alvo). Em 2026, o Xray-core é tecnicamente superior para a China.
Recomendação para 2026:
- Nova configuração, foco na China: Xray-core + VLess + REALITY.
- Nova configuração, resto do mundo (Irão, Rússia, corporativo): Xray-core + VLess + WS + TLS (ou VMess para compatibilidade).
- Manutenção de uma configuração existente: mantenha-se em V2Ray + VMess + WS + TLS, ainda funciona muito bem fora do GFW agressivo.
Para o resto, instalamos o Xray-core (que suporta VMess + VLess + Trojan + SS no mesmo binário - estritamente mais completo que o V2Ray-core).
Instalação do Xray-core num VPS Contabo
Contabo Cloud VPS 4 (4 vCPU, 8 GB RAM, €5.50/mês, ver oferta) no Ubuntu 24.04. Para a China, escolha o datacenter de Singapura ou Tóquio; para o Irão/Turquia, Düsseldorf ou Nuremberga; para a Rússia, o mesmo na Europa. Se preferir um fornecedor dos EUA com 30 dias de reembolso, o VPS Basic da Ultahost custa 5,52 $ por mês em 24 meses (1 GB de RAM, IPv4 dedicado, lido a 21 de outubro de 2026).
Cartão bancário recusado? A Ultahost também aceita Bitcoin e outras criptomoedas, Alipay, WeChat Pay e Qiwi (página de pagamentos, lida a 25 de outubro de 2026). Link de afiliado; confirma as condições para o teu país antes de encomendar.
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · porta de 200 Mbit/s
Alugue o VPS do seu servidor Xray → ContaboDesde 5,50 €/mês (fidelização 24 meses) · Datacenters em Singapura, Tóquio, UE e EUA · Acesso root, IPv4 público→Passo 1 - Script de instalação oficial
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
O script instala o Xray em /usr/local/bin/xray, cria uma unidade systemd xray.service, e coloca a configuração padrão em /usr/local/etc/xray/config.json. Verifique:
xray version
systemctl status xray
Passo 2 - Domínio e certificado TLS (para VMess/VLess + WS + TLS)
Pré-requisito: cdn.seudominio.com apontando para o IP do VPS. Este guia usa o Caddy como proxy reverso para gestão automática do Let's Encrypt:
apt update && apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | tee /etc/apt/sources.list.d/caddy-stable.list
apt update && apt install -y caddy
Para REALITY, não é necessário domínio - REALITY empresta o certificado de um site alvo. Uma das grandes vantagens para implantações rápidas.
Configuração 1: VMess + WebSocket + TLS
Esta é a configuração "clássica de 2020-2023" que ainda passa muito bem em 2026 fora do GFW agressivo. Compatível com todos os clientes históricos do V2Ray.
/usr/local/etc/xray/config.json:
{
"log": { "loglevel": "warning" },
"inbounds": [
{
"port": 10000,
"listen": "127.0.0.1",
"protocol": "vmess",
"settings": {
"clients": [
{ "id": "UUID-CLIENT-1-GENERATE", "alterId": 0, "email": "user1@vpnsmith" },
{ "id": "UUID-CLIENT-2-GENERATE", "alterId": 0, "email": "user2@vpnsmith" }
]
},
"streamSettings": {
"network": "ws",
"wsSettings": {
"path": "/cdn-static/vmess-ws",
"headers": { "Host": "cdn.seudominio.com" }
}
}
}
],
"outbounds": [
{ "protocol": "freedom", "tag": "direct" },
{ "protocol": "blackhole", "tag": "block" }
]
}
Gere um UUID por utilizador com xray uuid ou uuidgen. Guarde cada UUID num gestor de segredos - é a chave de autenticação.
Caddyfile correspondente (/etc/caddy/Caddyfile):
cdn.seudominio.com {
root * /var/www/html
file_server
@vmess {
path /cdn-static/vmess-ws
header Connection *Upgrade*
header Upgrade websocket
}
reverse_proxy @vmess 127.0.0.1:10000
}
Coloque um site HTML fictício em /var/www/html/index.html (crucial para camuflagem contra sondagens ativas). Inicie:
systemctl restart xray caddy
journalctl -u xray -f
Configuração 2: VLess + REALITY (anti-GFW 2026)
Esta é a configuração recomendada para a China continental em 2026. REALITY faz o seu servidor parecer exatamente como www.microsoft.com (ou outro site popular na lista branca) do ponto de vista de um DPI.
Primeiro, gere um par de chaves REALITY:
xray x25519
# Chave privada: ...
# Chave pública: ...
Prefere não montar tudo à mão? O nosso gerador de configuração VLESS REALITY cria o par de chaves, o UUID e o short ID no navegador e escreve a configuração de servidor, a de cliente e o link vless:// que condizem entre si.
A maioria das instalações REALITY quebra ao copiar os valores. A nossa VLESS REALITY Cheat Sheet gratuita (PDF de 3 páginas em inglês, download direto, sem registo) coloca lado a lado o nome de cada campo no Xray, no sing-box e no link vless://, com as verificações do servidor e as causas de falha habituais. Descarregar a ficha.
O REALITY precisa de um servidor que controla
Mais RAM para o mesmo uso? ver a oferta Contabo Cloud VPS
Link de afiliado: podemos receber uma comissão, sem custo extra para si. O gerador continua gratuito e não depende disso.
Tudo acontece no seu navegador: chaves, UUID e configurações são gerados localmente e não são enviados para lado nenhum.
O IP público do seu VPS (ou um domínio que aponte para ele). Usado na configuração do cliente e no link.
443 é a norma: o REALITY imita HTTPS.
Um site de terceiros com TLS 1.3 e HTTP/2, acessível aos seus clientes. Veja a lista de verificação abaixo da ferramenta.
A impressão TLS que o cliente imita. chrome é a escolha habitual.
A chave privada vai apenas para o servidor. A pública vai para cada cliente.
Hexadecimal, comprimento par, até 16 caracteres.
- As chaves faltam ou são inválidas (32 bytes, base64url, 43 caracteres). Gere um par ou cole o seu.
Link de partilha vless://
vless://@203.0.113.10:443?encryption=none&flow=xtls-rprx-vision&security=reality&sni=www.example.com&fp=chrome&pbk=&sid=&type=tcp&headerType=none#my-reality
Importe-o no v2rayN, v2rayNG, Hiddify, Streisand ou Shadowrocket, ou leia o código QR.
{
"log": {
"loglevel": "warning"
},
"inbounds": [
{
"listen": "0.0.0.0",
"port": 443,
"protocol": "vless",
"settings": {
"clients": [
{
"id": "",
"flow": "xtls-rprx-vision",
"email": "my-reality"
}
],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"show": false,
"target": "www.example.com:443",
"xver": 0,
"serverNames": [
"www.example.com"
],
"privateKey": "",
"shortIds": [
""
]
}
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls",
"quic"
],
"routeOnly": true
}
}
],
"outbounds": [
{
"protocol": "freedom",
"tag": "direct"
},
{
"protocol": "blackhole",
"tag": "block"
}
]
}{
"log": {
"loglevel": "warning"
},
"inbounds": [
{
"listen": "127.0.0.1",
"port": 10808,
"protocol": "socks",
"settings": {
"udp": true
}
},
{
"listen": "127.0.0.1",
"port": 10809,
"protocol": "http"
}
],
"outbounds": [
{
"protocol": "vless",
"tag": "proxy",
"settings": {
"vnext": [
{
"address": "203.0.113.10",
"port": 443,
"users": [
{
"id": "",
"flow": "xtls-rprx-vision",
"encryption": "none"
}
]
}
]
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"serverName": "www.example.com",
"fingerprint": "chrome",
"publicKey": "",
"shortId": "",
"spiderX": "/"
}
}
},
{
"protocol": "freedom",
"tag": "direct"
}
]
}# Instalar o Xray-core com o script oficial (serviço systemd incluído)
bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install
# Opcional: confirmar que a chave pública corresponde à privada
xray x25519 -i ""
# Verificar que o destino responde em TLS 1.3 e HTTP/2
xray tls ping www.example.com
# Abrir a porta
sudo ufw allow 443/tcp
# Colar a configuração do servidor, testá-la e iniciar o serviço
sudo nano /usr/local/etc/xray/config.json
xray run -test -c /usr/local/etc/xray/config.json
sudo systemctl restart xray && sudo systemctl enable xray
# Acompanhar o registo enquanto o primeiro cliente se liga
sudo journalctl -u xray -f
O REALITY precisa de um servidor que controla
Um servidor REALITY é um VPS com IP público e a porta 443 livre, mais nada. O VPS de entrada da Contabo inclui IPv4 público, acesso root e muito tráfego, e pode escolher o datacenter mais próximo dos seus utilizadores.
Segunda opção, um fornecedor dos EUA com 30 dias de reembolso: o VPS Basic da Ultahost, 5,52 $/mês em 24 meses, 1 CPU, 1 GB DDR5 e IPv4 dedicado (lido a 21 de outubro de 2026), suficiente para um servidor Xray. Também aceita Bitcoin e outras criptomoedas, Alipay, WeChat Pay e Qiwi (página de pagamentos, lida a 25 de outubro de 2026), útil se o teu cartão bancário for recusado; confirma as condições para o teu país antes de encomendar. Ver VPS da Ultahost
Link de afiliado: podemos receber uma comissão, sem custo extra para si. O gerador continua gratuito e não depende disso.
Prefere ficheiros já testados de ponta a ponta?
O pack de configuração VLESS + REALITY inclui um servidor Xray comentado na porta 443, um cliente de desktop (proxy SOCKS5 e HTTP local), um modelo de link vless:// para v2rayN, v2rayNG e Shadowrocket, e duas coisas que este gerador não escreve: uma variante do servidor com contadores de tráfego por dispositivo e um README com uma lista de resolução de problemas em 10 pontos. Cada ficheiro JSON passa xray run -test com Xray-core 26.10.31. Apenas Xray-core, sem ficheiros sing-box.
Ver o pack de configuração VLESS + REALITY (4,90 EUR)Produto nosso, pagamento único, ZIP de ficheiros de texto em inglês (página em inglês). Modelos para o seu próprio servidor, não uma assinatura VPN, e sem promessa de que o REALITY continue a passar um DPI específico. Os ficheiros gerados acima funcionam sem ele.
Escolha um site alvo (dest) que responda em TLS 1.3 + HTTP/2 e não esteja na lista negra no país alvo. Para a China: www.microsoft.com, dl.microsoft.com, update.microsoft.com são excelentes escolhas.
Nota: desde o Xray 26.10.31, escolher www.microsoft.com como alvo mostra no arranque um aviso (maior probabilidade de o GFW bloquear o IP do servidor). Continua a funcionar, mas prefira um site TLS 1.3 + H2 menos comum, alojado perto do seu VPS.
/usr/local/etc/xray/config.json:
{
"log": { "loglevel": "warning" },
"inbounds": [
{
"port": 443,
"protocol": "vless",
"settings": {
"clients": [
{
"id": "UUID-CLIENT-GENERATE",
"flow": "xtls-rprx-vision",
"email": "user1@vpnsmith"
}
],
"decryption": "none"
},
"streamSettings": {
"network": "tcp",
"security": "reality",
"realitySettings": {
"show": false,
"dest": "www.microsoft.com:443",
"xver": 0,
"serverNames": ["www.microsoft.com"],
"privateKey": "YOUR_X25519_PRIVATE_KEY",
"shortIds": ["", "a1b2c3d4"]
}
}
}
],
"outbounds": [
{ "protocol": "freedom", "tag": "direct" }
]
}
Como funciona:
- Quando um cliente REALITY se conecta, envia um TLS 1.3 ClientHello com SNI
www.microsoft.come um segredo partilhado numa extensão. - O Xray deteta o segredo partilhado, assume o controlo e estabelece o túnel VLess.
- Quando um cliente "não-REALITY" aparece (sonda do GFW, por exemplo), o Xray faz passagem para
www.microsoft.com:443- o cliente vê a página real da Microsoft, certificado válido, comportamento normal. - O DPI não consegue distinguir o seu servidor de uma cache da Microsoft.
É o estado da arte para anti-DPI em 2026. Difícil de colocar na lista negra sem colocar a Microsoft.
Limitações do REALITY:
- Apenas TCP (sem WS, sem HTTP/2). Se o firewall limitar TCP genérico, REALITY não ajuda.
- O cliente deve suportar REALITY: v2rayNG ≥ 1.8, Shadowrocket ≥ 2.2.20, sing-box ≥ 1.5. Clientes antigos de SS ou VMess WS = incompatíveis.
Multiplexação (mux) para partilhar conexões
V2Ray/Xray suporta multiplexação: múltiplos fluxos TCP de utilizador partilham uma única conexão TCP física para o servidor. Benefícios: menos conexões visíveis (útil contra DPI que faz contagem de conexões), latência reduzida após a primeira sessão, economia de handshake TLS.
No lado do servidor, não é necessária configuração - o Xray deteta automaticamente.
No lado do cliente (v2rayNG, Shadowrocket, sing-box), ative "Mux" com concorrência 8 (valor recomendado).
Aviso: em redes instáveis (4G móvel perto do limite de cobertura), o mux pode amplificar o bloqueio de linha de frente. Se notar lentidões estranhas, desative o mux para esse perfil.
Clientes: v2rayNG (Android), Shadowrocket (iOS), v2rayN (Windows), sing-box (Linux/macOS)
Já tem um link vmess:// ou vless:// e um cliente que o recusa? Cole-o no nosso conversor de links vmess / vless: mostra cada campo, assinala as definições que partem ou enfraquecem a ligação (security=none, allowInsecure, Vision sobre WebSocket) e escreve a configuração Xray-core, sing-box ou Clash Meta, sem que o link saia do navegador.
Android - v2rayNG (código aberto, F-Droid ou Play Store): o cliente de referência. Para VMess + WS + TLS, importe manualmente com:
- Endereço:
cdn.seudominio.com - Porta:
443 - ID: o seu UUID
- Encriptação:
auto - Rede:
ws - Caminho:
/cdn-static/vmess-ws - Host:
cdn.seudominio.com - TLS:
tls - SNI:
cdn.seudominio.com - Permitir inseguro:
false
Para VLess + REALITY:
- Endereço: IP do VPS
- Porta:
443 - ID: o seu UUID
- Fluxo:
xtls-rprx-vision - Rede:
tcp - Segurança:
reality - SNI:
www.microsoft.com - Impressão digital:
chrome - Chave pública: a sua chave pública x25519
- ID curto:
a1b2c3d4(um da lista do servidor)
iOS - Shadowrocket ($2.99 uma vez na AppStore). Suporte nativo para VMess, VLess + REALITY desde 2.2.20. Importe o URI vless:// ou vmess:// gerado pelo Xray (xray generate config) ou através da UI.
Windows - v2rayN (código aberto, GitHub). UI clássica do Windows, suporta todo o ecossistema V2Ray/Xray. Lida bem com proxy de sistema (modo System Proxy).
Linux/macOS - sing-box (código aberto, mais moderno que o cliente V2Ray). Configuração em JSON. Mais performante e leve que o cliente V2Ray.
Desempenho e custo operacional
Não publicamos números de benchmark. O throughput e a latência dependem inteiramente do seu próprio caminho de rede (região do servidor, o seu ISP, a distância, a carga), pelo que qualquer número que citássemos enganaria mais do que ajudaria. O que é estável é a ordem qualitativa que decorre do design:
- VLess + REALITY (xtls-vision) tem o menor overhead, porque XTLS Vision evita a dupla encriptação TLS-then-VLess.
- VLess + WS + TLS é mais leve do que VMess + WS + TLS: o VLess não tem encriptação na camada de aplicação e delega tudo no TLS.
- As configurações WebSocket + TLS (VMess, VLess, Trojan) acrescentam o enquadramento WebSocket por cima do TLS, pelo que têm mais overhead do que REALITY.
Meça o seu próprio caminho. Execute iperf3 -c <servidor> e ping, com e sem o túnel: só esses números lhe dizem o que a sua região, o seu ISP e o seu plano VPS entregam.
Endurecimento
1. Autenticação única UUID por utilizador. NUNCA partilhe o mesmo UUID entre pessoas. Se um UUID vazar (clipboard mal gerido, captura de ecrã no Telegram), saberá quem revogar.
2. Rotação de UUID a cada 3-6 meses. Gere novos UUIDs, envie para os utilizadores, remova os antigos da configuração do Xray. Fácil de scriptar.
3. fail2ban no Caddy 404. Como com wstunnel, banir IPs que escaneiam caminhos inexistentes:
# /etc/fail2ban/jail.d/caddy-404.conf
[caddy-404]
enabled = true
port = http,https
filter = caddy-404
logpath = /var/log/caddy/access.log
maxretry = 10
findtime = 60
bantime = 3600
4. Apenas chave SSH + UFW. Padrão. Desativar senha SSH em /etc/ssh/sshd_config (PasswordAuthentication no), abrir apenas 22, 80, 443 no UFW (ufw allow 443/tcp, etc.).
5. Retenção curta de logs. Em config.json, mantenha loglevel: warning (não info ou debug), e configure logrotate para purgar logs antigos. Idealmente: sem logs persistentes de DNS/conexão se a jurisdição for sensível.
V2Ray vs alternativas - Quando avançar
| Necessidade | Escolha |
|---|---|
| Configuração mais simples, apenas bypass corporativo | wstunnel (configuração em 5 min) |
| Sem VPS, apenas ofuscar um WireGuard existente | Cloak |
| Multi-utilizador + bypass GFW + configuração pro | Xray-core + VLess + REALITY |
| Foco em mobile, configuração plug & play | VPN comercial (NordVPN, etc.) |
| Pesquisa académica anti-censura | Tor + obfs4 ou Snowflake |
Se tiver menos de 3 utilizadores e nunca for à China continental, V2Ray é exagero - prefira wstunnel ou WireGuard + Cloak. Se quiser uma solução móvel pronta a usar sem VPS para gerir, veja NordVPN com os seus servidores ofuscados.
Resolução de problemas comuns
Sintoma: conexão estabelecida mas sem tráfego. Verifique outbounds - se esqueceu freedom, tudo vai para o buraco negro. Adicione {"protocol": "freedom", "tag": "direct"}.
Sintoma: "Erro de handshake TLS" no cliente. SNI errado no cliente, ou certificado do servidor expirado (verifique caddy logs ou acme.sh status dependendo da sua configuração).
Sintoma: REALITY não funciona, cliente vê a página real do dest. Os shortIds do lado do servidor não correspondem ao que o cliente envia. Verifique se o cliente envia a1b2c3d4 (ou outro valor válido listado no servidor).
Medido no Xray 26.10.31 (01/11/2026, servidor e cliente na mesma máquina, log do servidor em warning). Uma chave pública errada (password nas configs de cliente atuais) e um shortId ausente da lista do servidor dão o mesmo erro no cliente: REALITY: received real certificate (potential MITM or redirection). Um serverName ausente de serverNames não dá nenhum erro REALITY, apenas linhas accepted e uma sessão TLS que falha. Nos três casos o servidor não regista nada. Verifique primeiro a chave, depois o short ID, depois o SNI, e teste em local antes de culpar a rede.
Sintoma: mau desempenho apesar de uma boa ligação. Ative o mux no lado do cliente (concorrência 8). Verifique se o servidor não está limitado pela CPU (top depois htop). Se o limite for a CPU, um plano maior como o Cloud VPS 8 (8 vCPU, 24 GB RAM, €14/mês) dá mais margem.
Leitura adicional
- VPN autogerido na Contabo: guia completo WireGuard 2026
- Se preferir um servidor doméstico, autogerir WireGuard no Raspberry Pi 5 é uma alternativa acessível a um VPS.
- Precisa de configurações WireGuard prontas? Veja os nossos modelos de configuração WireGuard.
- Shadowsocks vs VPN 2026: comparação técnica
- wstunnel: TCP/UDP sobre WebSocket
- Cloak: ofuscação TLS para VPN autogerido
- O que é o v2rayN? O cliente que toda a gente descarrega a pensar que é um VPN
- Hysteria 2: o que fazem realmente o masquerade e a ofuscação
Fontes e documentos oficiais:
- Xray-core - GitHub oficial
- Documentação do Project V (V2Ray)
- Protocolo REALITY - explicado por RPRX
- v2rayNG (Android) GitHub
- Relatório GFW - dados de bloqueio ao vivo
Publicado em 2026-06-03. REALITY evolui rapidamente - reveja os changelogs trimestrais do Xray-core antes de uma implantação crítica.
Lembrete legal: V2Ray/Xray são ferramentas de código aberto, legais na UE, EUA, Canadá e na maioria dos países. O uso anti-censura na China, Irão, Rússia é ilegal localmente com penalidades variáveis. A VPNSmith publica este guia para fins educacionais.
Ainda a escolher o alojamento? Como escolher um VPS para V2Ray e Xray compara as opções quanto à localização, à reputação do IP e ao tráfego.
Link de afiliado
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · porta de 200 Mbit/s
Um VPS que controla por completo para tunneling e ofuscação → ContaboCloud VPS 4 · 5,50 €/mês · Cartão ou PayPal · pedidos de fora da UE aceites→Preço verificado em 17/10/2026, prazo de 24 meses
