Was VLESS ist: ein Protokoll, das die Verschlüsselung TLS oder REALITY überlässt

Jede VLESS-Verbindung beginnt mit einem kurzen Header, der Ihre Kennung und die Zieladresse enthält. Das Protokoll selbst verschlüsselt und tarnt nichts. Diese Aufgabe übernimmt die Schicht darunter, TLS oder REALITY. Deshalb ist von VLESS selten ohne eines der beiden die Rede. Dieser Artikel behandelt den Header, die Änderungen gegenüber VMess, die Transporte und REALITY. Außerdem zählt er auf, was ein VLESS-Schlüssel enthält, und erklärt, wie Ben's VPN das Protokoll nutzt.

Ein VLESS-Header enthält eine UUID, einen Befehl und eine Adresse

VLESS ist ein Protokoll für Verbindungen zwischen einem Client und einem Proxy-Server. Jede Verbindung beginnt mit einem Anfrage-Header. Direkt danach folgen Ihre Daten. Der Anfrage-Header besteht aus den folgenden Feldern.

• Version des Protokolls.
• UUID, Ihre Kennung auf dem Server, zum Beispiel 8b71f62c-7736-4334-ab2f-032d2115d2fd. Die UUID dient zugleich als Passwort, denn der Server akzeptiert nur UUIDs aus seiner Liste.
• Add-ons, zusätzliche Einstellungen wie der Flow-Modus, den wir weiter unten beschreiben.
• Befehl, der einen TCP-Stream, UDP-Pakete oder mehrere Streams in einer Verbindung (Mux) anfordert.
• Zielport und Zieladresse. Als Adresse ist eine IPv4- oder IPv6-Adresse oder ein Domainname möglich.

Nach dem Header fügt VLESS den Daten nichts hinzu. Der Server antwortet mit einem noch kürzeren Header, der nur die Version und die Add-ons enthält. Der Anfrage-Header hat weder einen Zeitstempel noch ein Feld für das Verschlüsselungsverfahren. Auch den Header selbst verschlüsselt VLESS nicht. Darin liegt der Hauptunterschied zwischen VLESS und VMess.

Die erste Version von VLESS erschien im Sommer 2020 mit V2Ray. Seit Ende 2020 wird VLESS vor allem in Xray-core weiterentwickelt, einem Fork von V2Ray. Auch andere Kerne wie sing-box unterstützen das Protokoll. Streng genommen ist VLESS selbst ein Proxy-Protokoll. Ein VPN für Smartphone oder Computer entsteht, wenn eine App den gesamten Datenverkehr des Geräts über VLESS leitet. Einen ausführlichen Vergleich enthält unser Artikel zum Unterschied zwischen VPN und Proxy.

VLESS verzichtet auf die Verschlüsselung und die Zeitprüfung von VMess

VMess, das ältere Protokoll aus V2Ray, verschlüsselt die Daten mit einem eigenen Verfahren: ChaCha20-Poly1305 oder AES-128-GCM. Um eine Verbindung zu authentifizieren, prüft VMess sowohl die UUID als auch die aktuelle Uhrzeit. Laut der Xray-Dokumentation dürfen die Uhren von Client und Server höchstens 2 Minuten von der korrekten Zeit abweichen. Von diesen 2 Prüfungen hat VLESS nur die Prüfung der UUID behalten. In einer Standardkonfiguration verschlüsselt VLESS nichts. Das Feld decryption auf dem Server und das Feld encryption auf dem Client stehen beide auf none. Die Uhrzeit hat keinen Einfluss auf eine VLESS-Verbindung.

Die Tabelle zeigt den Unterschied in 3 Situationen. In den ersten 2 Situationen laufen beide Protokolle innerhalb von TLS.

Situation	VMess	VLESS
Die Uhr Ihres Smartphones geht 5 Minuten vor	Der Server lehnt die Verbindung ab	Der Server nimmt die Verbindung an
Sie öffnen eine HTTPS-Website durch den Tunnel	3 Verschlüsselungsschichten (Website, VMess und äußeres TLS)	2 Verschlüsselungsschichten (Website und äußeres TLS)
Die Verbindung hat kein äußeres TLS	VMess verschlüsselt die Daten trotzdem mit seinem eigenen Verfahren	Jeder Beobachter auf dem Übertragungsweg sieht die UUID und die Zieladressen

Innerhalb von TLS verursacht die Verschlüsselung von VMess nur zusätzliche Prozessorlast und höheren Akkuverbrauch. Bei VLESS fällt dieser Aufwand weg. Bei eingeschaltetem Flow-Modus verschlüsselt das äußere TLS die Daten nach dem Handshake mit der Website nicht noch einmal. 2025 erhielt VLESS in Xray eine optionale eingebaute Verschlüsselung namens VLESS Encryption. VLESS Encryption ist für Konfigurationen ohne äußeres TLS gedacht. Das Verfahren passt auch zu Konfigurationen, in denen TLS vor dem Server endet, zum Beispiel bei einem CDN. Eine Konfiguration mit REALITY braucht VLESS Encryption nicht.

Der Transport bestimmt, wie VLESS-Datenverkehr aussieht

VLESS läuft innerhalb eines Transports. Ein Beobachter im Netzwerk sieht diesen Transport. Xray bietet für VLESS mehrere Transporte. Die 4 wichtigsten sind unten aufgeführt.

• RAW, in älteren Konfigurationen tcp genannt. Das ist eine reine TCP-Verbindung. Mit TLS oder REALITY darüber sieht sie wie gewöhnlicher HTTPS-Datenverkehr aus.
• XHTTP, früher SplitHTTP. Der Transport verteilt den Datenstrom auf gewöhnliche HTTP-Anfragen und -Antworten über HTTP/1.1, HTTP/2 oder HTTP/3. Er funktioniert auch über ein CDN. Für einen Beobachter sieht XHTTP wie eine Web-App aus, die fortlaufend Anfragen an ihren Server sendet.
• gRPC. Der Datenverkehr läuft als entfernte Prozeduraufrufe über HTTP/2, so wie viele Apps Daten mit APIs austauschen.
• WebSocket. Eine dauerhaft offene Verbindung, wie sie Web-Chats und Browserspiele nutzen. Auch WebSocket funktioniert über ein CDN.

REALITY funktioniert mit RAW, XHTTP und gRPC, aber nicht mit WebSocket.

Ein REALITY-Server braucht weder Domain noch Zertifikat

Für gewöhnliches TLS braucht der Server einen Domainnamen und ein passendes Zertifikat. REALITY kam im Frühjahr 2023 mit Xray-core 1.8.0 hinzu und braucht beides nicht. Beim Handshake nutzt der Server die Identität einer echten fremden Website, der Zielwebsite. Die folgenden Schritte zeigen, wie der Server mit 2 Arten von Verbindungen umgeht.

1. Ihr Client beginnt den TLS-Handshake wie ein gängiger Browser. Seine erste Nachricht, das ClientHello, nennt die Zielwebsite. Das ClientHello enthält außerdem eine Markierung, die nur der Besitzer des privaten Serverschlüssels prüfen kann. Ein Teil der Markierung ist eine kurze ID namens shortId.
2. Der Server prüft die Markierung. Ist sie gültig, schließt der Server den Handshake selbst ab. Danach folgen die VLESS-Daten.
3. Ein Scanner oder ein anderer Besucher sendet ein gewöhnliches ClientHello ohne Markierung. Der Server beantwortet es nicht direkt. Stattdessen leitet er die Verbindung an die Zielwebsite weiter. Diese antwortet mit ihrem echten Zertifikat und ihrer echten Seite.

Die Zielwebsite muss TLS 1.3 und HTTP/2 unterstützen. REALITY beruht auf einem X25519-Schlüsselpaar. Der private Schlüssel bleibt auf dem Server, der Client erhält den öffentlichen.

Ein VLESS-Schlüssel enthält alle Einstellungen der Verbindung

Ein VLESS-Schlüssel von einem Dienst oder einem Serveradministrator ist eine einzige lange Zeichenkette. Diese Zeichenkette enthält alles, was ein Client für die Verbindung braucht.

• Die Adresse und der Port des Servers.
• Ihre UUID, die als Passwort dient.
• Der Transport und die Sicherheitsschicht, TLS oder REALITY.
• Der Name der Website, den der Client im Handshake sendet (SNI).
• Bei REALITY der öffentliche Schlüssel des Servers und die shortId.
• Der Browser-Fingerabdruck, den der Client in seinem ClientHello nachahmt.
• Der Flow-Modus, meist xtls-rprx-vision. Läuft im Tunnel eine weitere TLS-Verbindung, verbirgt er die typischen Paketgrößen ihres Handshakes. Nach dem Handshake verschlüsselt er nicht noch einmal, was die Website bereits verschlüsselt hat.
• Ein Name, damit Sie den Schlüssel in einer Liste erkennen.

Einen solchen Server können Sie auch selbst auf einem gemieteten VPS betreiben. Dann sind die Einrichtung und die Updates des Kerns Ihre Aufgabe. Ist die alte Adresse gesperrt, müssen Sie den Server außerdem auf eine neue Adresse umziehen. Mehr zur Wahl zwischen einem gemieteten Server und einem bezahlten VPN lesen Sie in unserem Vergleich von VPS und VPN.

Die Serveradresse bleibt für Ihren Internetanbieter sichtbar

VLESS mit REALITY verbirgt, was über die Verbindung läuft, aber nicht, welcher Server am anderen Ende steht. Ihr Internetanbieter sieht die Verbindung zu diesem Server weiterhin. Er sieht die Serveradresse, wann die Verbindung aktiv ist und wie viele Bytes in jede Richtung fließen. Ist diese Adresse gesperrt, stellt keine Protokolleinstellung die Verbindung wieder her. Dann brauchen Sie einen Server unter einer anderen Adresse.

Manche Netzwerke erlauben Datenverkehr nur zu einer Liste freigegebener Adressen. Ein Server außerhalb dieser Liste bleibt unerreichbar, wie gut das Protokoll auch getarnt ist. In solchen Netzwerken muss der Datenverkehr einen anderen Weg nehmen.

Die App Ben's VPN wählt das Protokoll automatisch und braucht keinen Schlüssel

Die App Ben's VPN unterstützt 4 Verbindungsarten (VLESS + REALITY, XHTTP, Hysteria2 und Shadowsocks). Zwischen ihnen wählt die App automatisch. In den Einstellungen können Sie keine davon festlegen. Eine Gegenüberstellung aller 4 Verbindungsarten finden Sie in unserem Leitfaden zu VPN-Protokollen.

Die App akzeptiert keine VLESS-Schlüssel, weder von einem anderen Dienst noch von Ihrem eigenen Server. Solche Schlüssel braucht sie auch nicht. Eine UUID oder einen Schlüssel geben Sie deshalb nie ein. Installieren Sie die App auf dem Smartphone, Tablet oder Computer und tippen oder klicken Sie auf Verbinden. Bezahlen Sie danach ein Abonnement im Fenster Ben's VPN kaufen. Wenn Sie bereits ein Abonnement haben, melden Sie sich im selben Fenster an. Downloads für alle Plattformen finden Sie auf unserer Seite mit den Apps.

Bei einer schlechten Verbindung kann die App die Meldung Schlechte Verbindung mit der Schaltfläche Problem beheben anzeigen. Die Schaltfläche bietet 2 Möglichkeiten: den Standort wechseln oder einen funktionierenden Server suchen. Die Suche gibt es auch als Schaltfläche Funktionierenden Server finden unter Mein Profil → Einstellungen. Die Suche prüft den Server erneut und weist ihm neue IP-Adressen zu. Hilft nichts anderes, schaltet sie Multihop ein. Die Suche dauert bis zu 2 Minuten.

Fragen und Antworten

Brauche ich eine eigene Domain, um VLESS zu betreiben?

Mit REALITY brauchen Sie keine Domain. Der Server nutzt die Identität einer fremden Zielwebsite und braucht deshalb kein eigenes Zertifikat. Eine Domain und ein Zertifikat brauchen Sie, wenn VLESS innerhalb von gewöhnlichem TLS oder hinter einem CDN läuft.

Warum sollte ich einen VLESS-Server auf Port 443 betreiben?

Port 443 ist der Standardport für HTTPS. Eine TLS- oder REALITY-Verbindung auf diesem Port sieht wie gewöhnliches Surfen im Web aus. Auf einem ungewöhnlichen Port würde sich dieselbe Verbindung vom Großteil des übrigen Datenverkehrs unterscheiden. Das Protokoll VLESS selbst funktioniert auf jedem Port.

Wie unterscheidet sich VLESS von Hysteria2?

VLESS läuft meist über TCP innerhalb von TLS oder REALITY. Hysteria2 baut auf QUIC auf und läuft daher über UDP. Von außen sieht der Datenverkehr von Hysteria2 wie HTTP/3 aus. Deshalb sind die 2 Protokolle von unterschiedlichen Netzwerkbeschränkungen betroffen. Ein Netzwerk, das UDP sperrt oder drosselt, trifft Hysteria2, aber nicht VLESS über TCP. Ben's VPN nutzt beide Protokolle. Die App wählt zwischen ihnen.

Verbirgt REALITY die IP-Adresse des Servers?

Nein, REALITY tarnt den Handshake, aber nicht die Serveradresse. Ein Beobachter im Netzwerk sieht, mit welchem Server sich Ihr Gerät verbindet. Sobald diese Adresse gesperrt ist, brauchen Sie einen Server unter einer neuen Adresse.

Kann ich einen eigenen VLESS-Schlüssel in der App Ben's VPN hinzufügen?

Nein, VLESS-Schlüssel von anderen Diensten oder von Ihrem eigenen Server funktionieren in der App nicht. Die App verbindet sich mit den Servern von Ben's VPN und wählt das Protokoll für Sie.