🎭 Xray Reality · SNI Borrowing · Active Probe Immunity

什么是 Reality（借壳伪装 · 代理终极隐身）？

过去搭节点必须自己“花钱买域名、配置 SSL 证书”，一旦域名暴露就被连窝端；而 Reality 黑科技 就像“借用苹果/微软官方正品防伪勋章的顶级特工” —— 无需域名与证书，直接借用正规大厂公钥握手，审查者主动扫描探测时自动把请求甩锅给真正的苹果官网，达到物理级不可区分的终极防封！

🌐 传统方案：自买域名与证书

买便宜域名，一眼被识破

为了伪装成网站，自己去买 .xyz / .top 廉价域名并申请 Let's Encrypt 证书。审查系统只要看一眼：一个毫无知名度的破域名却有巨大的持续大流量，立即精准阻断！

❌ 运维极其繁琐：要配 DNS 解析、Nginx 反代和 Certbot 自动续签
❌ 证书透明度暴露：证书申请记录全部在公共数据库可查，无处遁形

🎭 Reality：借壳正规大厂，完美隐身

免买域名，借苹果公钥通关

配置时直接借用 www.apple.com 或 www.microsoft.com。在握手阶段用 ECDH 临时密钥做身份验证。审查者主动探测？节点瞬间把连接反代甩锅给真正的苹果官网！

✨ 免域名免证书：省下每年买域名的钱，配置 1 秒搞定
✨ 主动探测完全免疫：探测者收到的响应来自真正的苹果官方服务器

一句话顿悟：为什么 Reality 能做到“偷别人的公钥”却不被发现？

TLS 1.3 握手时，服务器证书是由私钥签名的；但 Reality 的客户端并不需要服务端拥有真实私钥 —— 客户端在本地就已经内置了服务端的公钥（PublicKey）！
双方通过 ECDH 算法（椭圆曲线密钥协商）在暗中完成身份鉴权。只要暗号对得上，通道直接打开；暗号对不上，直接当作正常路人转接给真实的苹果官网！

拆解 Reality 借壳隐身术的 4 大精妙设计

从 SNI 伪装到 ECDH 鉴权，搞懂代理防封技术之巅

🍎

1. 借用知名大厂 SNI

配置如 itunes.apple.com 或 gateway.icloud.com。在防火墙日志中，你的流量就是普通的 iPhone 用户在同步云端相册。

🔐

2. ECDH 隐式密钥交换

客户端在 ClientHello 中埋入随机临时公钥。只有持有对应 PrivateKey 的 Reality 服务端才能解密握手，全程无任何明文特征。

🔄

3. 主动探测“大甩锅” (Fallback)

当网络审查节点发送非法握手探针时，Reality 节点不会报错断开，而是透明反向代理至真实的苹果官网，返回合法的 200 OK 证书！

⚡

4. 告别证书续签灾难

再也不用担心 Let's Encrypt 证书 90 天到期导致的突发断网。苹果和微软的证书由他们自己的千人运维团队维护，你坐享其成！

🕹️ Reality 握手鉴权与甩锅演练台

观察合法客户端握手与审查者恶意探测时，Reality 的分流机制：

1. ClientHello 握手包 SNI: gateway.icloud.com

2. Reality 节点鉴权 ECDH 验证通过 ✔

3. 数据通道流转进入 VLESS 极速代理隧道 🚀

🔑 行为 1：合法客户端握手成功

客户端发送包含临时公钥的 ClientHello。
服务端使用 PrivateKey 成功计算出共享对称密钥。
握手瞬间完成，直接建立高吞吐直通隧道！

✔ 正常放行 · 物理级不可与 Apple 流量区分

👑 协议作者 rprx 的神来之笔

从 XTLS 到 Reality 的终极演进

Xray-core 创始人 rprx 在发布 Reality 时宣告：

“买域名的时代彻底终结了。” 它从根源上斩断了审查机构通过证书透明度（CT Logs）和 DNS 解析追踪节点服务器的路径。

🎯 选壳的黄金法则

如何挑选一个完美的被借壳网站？

1. 必须支持 TLS 1.3 与 H2（HTTP/2）；

2. 服务器与你的 VPS 物理距离越近越好（降低甩锅延迟）；3. 不要选国内可直接秒开的网站，推荐选海外大型 CDN（如 Apple, Microsoft, Amazon）。

🛡️ 为什么审查机构无法封杀？

封杀 Reality 等于封杀整个苹果生态

审查系统如果一刀切屏蔽 Reality 的握手特征，就必然会导致全中国数亿台 iPhone 无法正常同步 iCloud 与 App Store。

这种“大树底下好乘凉”的借壳哲学，构成了 Reality 坚不可摧的生存护城河！