VLESS nedir: şifrelemeyi TLS veya REALITY’ye bırakan protokol

Her VLESS bağlantısının başında kısa bir başlık bulunur. Başlık, tanımlayıcınızı ve hedef adresi taşır. Protokolün kendisi hiçbir şeyi ne şifreler ne de kamufle eder. Bu işi alt katmandaki TLS veya REALITY yapar. Bu yüzden VLESS çoğu zaman bu ikisinden biriyle birlikte anılır. Bu yazıda VLESS başlığını, VMess’e göre yapılan değişiklikleri, taşıma yöntemlerini ve REALITY’yi inceliyoruz. Ayrıca bir VLESS anahtarında neler bulunduğunu sıralıyor ve Ben's VPN uygulamasının protokolü nasıl kullandığını açıklıyoruz.

VLESS başlığında UUID, komut ve adres bulunur

VLESS, istemci ile proxy sunucusu arasındaki bağlantılar için bir protokoldür. Her bağlantı bir istek başlığıyla açılır. Verileriniz hemen ardından gelir. İstek başlığı aşağıdaki alanlardan oluşur.

• Protokolün sürümü.
• UUID: sunucudaki tanımlayıcınız, örneğin 8b71f62c-7736-4334-ab2f-032d2115d2fd. Parola görevi de görür, çünkü sunucu yalnızca kendi listesindeki UUID’leri kabul eder.
• Ekler: aşağıda anlatılan flow modu gibi ilave ayarlar.
• Komut: TCP akışı, UDP paketleri veya tek bağlantıda birkaç akış (Mux) ister.
• Hedef port ve adres: Adres IPv4, IPv6 veya bir alan adı olabilir.

VLESS, başlıktan sonraki verilere hiçbir şey eklemez. Sunucu daha da kısa bir başlıkla yanıt verir. Bu başlıkta yalnızca sürüm ve ekler bulunur. İstek başlığında zaman damgası da şifreleme alanı da yok. VLESS başlığın kendisini de şifrelemez. VLESS ile VMess arasındaki temel fark budur.

VLESS’in ilk sürümü 2020 yazında V2Ray ile birlikte yayımlandı. O yılın sonundan bu yana geliştirmenin büyük kısmı, V2Ray’den ayrılan Xray-core projesinde yapılıyor. VLESS’i sing-box gibi başka çekirdekler de destekler. Teknik olarak VLESS’in kendisi bir proxy protokolüdür. Bir uygulama cihazın tüm trafiğini VLESS üzerinden yönlendirdiğinde, telefon veya bilgisayar için bir VPN elde edersiniz. VPN ile proxy arasındaki farkı anlatan yazımız, ikisini ayrıntılı olarak karşılaştırır.

VLESS, VMess’teki şifrelemeyi ve saat kontrolünü kaldırır

V2Ray’in daha eski protokolü VMess, verileri kendi şifreleme algoritmasıyla (ChaCha20-Poly1305 veya AES-128-GCM) şifreler. Bir bağlantıyı doğrulamak için hem UUID’yi hem de o anki saati kontrol eder. Xray belgelerine göre istemci ve sunucu saatleri doğru saatten en fazla 2 dakika sapabilir. VLESS bu 2 kontrolden yalnızca UUID kontrolünü korudu. Standart bir kurulumda VLESS hiçbir şeyi şifrelemez. Sunucudaki decryption alanı da istemcideki encryption alanı da none olarak ayarlanır. Saat, VLESS bağlantısını etkilemez.

Tablo, farkı 3 durumda gösterir. İlk 2 durumda iki protokol de TLS içinde çalışır.

Durum	VMess	VLESS
Telefonunuzun saati 5 dakika ileri	Sunucu bağlantıyı reddeder	Sunucu bağlantıyı kabul eder
Tünel üzerinden bir HTTPS sitesi açıyorsunuz	3 şifreleme katmanı (site, VMess ve dış TLS)	2 şifreleme katmanı (site ve dış TLS)
Bağlantıda dış TLS yok	VMess verileri yine kendi algoritmasıyla şifreler	Rota üzerindeki her gözlemci UUID’yi ve hedef adresleri görür

TLS içinde VMess şifrelemesi yalnızca işlemci yükü ve pil tüketimi ekler. VLESS’te böyle bir maliyet yok. Flow modu açıkken dış TLS, siteyle yapılan el sıkışmadan sonra verileri yeniden şifrelemeyi bırakır. 2025’te Xray, VLESS’e isteğe bağlı yerleşik bir şifreleme ekledi: VLESS Encryption. Bu şifreleme, dış TLS olmayan kurulumlar için tasarlandı. TLS bağlantısının sunucudan önce, örneğin bir CDN’de sona erdiği kurulumlara da uyar. REALITY kurulumunda VLESS Encryption gerekmez.

VLESS trafiğinin görünümünü taşıma yöntemi belirler

VLESS bir taşıma yöntemi (transport) üzerinden iletilir. Ağdaki gözlemci bu taşıma yöntemini görür. Xray’de VLESS için birkaç taşıma yöntemi var. Başlıca 4 tanesi aşağıda.

• RAW, eski yapılandırmalarda tcp adıyla geçer. Düz bir TCP bağlantısıdır. Üzerine TLS veya REALITY eklendiğinde sıradan HTTPS trafiği gibi görünür.
• XHTTP, eski adıyla SplitHTTP. Akışı HTTP/1.1, HTTP/2 veya HTTP/3 üzerinden sıradan HTTP istek ve yanıtlarına dağıtır. XHTTP bir CDN üzerinden de çalışır. Gözlemciye, sunucusuna sürekli istek gönderen bir web uygulaması gibi görünür.
• gRPC. Trafik, HTTP/2 üzerinden uzak yordam çağrıları olarak gider. Birçok uygulama API’lerle bu şekilde veri alışverişi yapar.
• WebSocket. Web sohbetlerinin ve tarayıcı oyunlarının kullandığı türden uzun süreli bir bağlantı. Bu yöntem de bir CDN üzerinden çalışır.

RAW, XHTTP ve gRPC, REALITY ile çalışır. WebSocket ise REALITY ile çalışmaz.

REALITY sunucusu alan adı da sertifika da gerektirmez

Normal bir TLS bağlantısı için sunucuda bir alan adı ve buna uyan bir sertifika gerekir. 2023 baharında Xray-core 1.8.0 ile gelen REALITY ise ikisini de gerektirmez. El sıkışma sırasında sunucu, üçüncü tarafa ait gerçek bir sitenin kimliğini kullanır. Bu siteye hedef site denir. Aşağıdaki adımlar, sunucunun 2 tür bağlantıyı nasıl işlediğini gösterir.

1. İstemciniz, TLS el sıkışmasını yaygın kullanılan bir tarayıcı gibi başlatır. İlk mesajı olan ClientHello, hedef sitenin adını içerir. ClientHello ayrıca, yalnızca sunucunun özel anahtarına sahip olan tarafın doğrulayabileceği bir işaret taşır. İşaretin bir parçası, shortId adlı kısa bir tanımlayıcıdır.
2. Sunucu işareti kontrol eder. İşaret geçerliyse el sıkışmayı kendisi tamamlar ve ardından VLESS verileri gelir.
3. Bir tarama aracı veya başka herhangi bir ziyaretçi, işaretsiz sıradan bir ClientHello gönderir. Sunucu ona doğrudan yanıt vermez. Bunun yerine bağlantıyı hedef siteye iletir. Hedef site, gerçek sertifikası ve sayfasıyla yanıt verir.

Hedef sitenin TLS 1.3 ve HTTP/2 desteklemesi gerekir. REALITY bir X25519 anahtar çiftine dayanır. Özel anahtar sunucuda kalır, açık anahtarı ise istemci alır.

VLESS anahtarı tüm bağlantı ayarlarını içerir

Bir hizmetin veya sunucu yöneticisinin verdiği VLESS anahtarı, tek parça uzun bir metindir. İstemcinin bağlanmak için ihtiyaç duyduğu her şey bu metinde bulunur.

• Sunucunun adresi ve portu.
• Parola görevi gören UUID’niz.
• Taşıma yöntemi ve güvenlik katmanı (TLS veya REALITY).
• İstemcinin el sıkışmada gönderdiği site adı (SNI).
• REALITY için sunucunun açık anahtarı ve shortId.
• İstemcinin ClientHello mesajında taklit ettiği tarayıcı parmak izi.
• Flow modu, genellikle xtls-rprx-vision. Tünelin içinde başka bir TLS bağlantısı varsa, bu mod o el sıkışmanın tipik paket boyutlarını gizler. El sıkışmadan sonra sitenin zaten şifrelediği verileri yeniden şifrelemez.
• Anahtarı listede ayırt etmeniz için bir ad.

Böyle bir sunucuyu kiralık bir VPS (sanal sunucu) üzerinde kendiniz de çalıştırabilirsiniz. Bu durumda kurulumdan ve çekirdek güncellemelerinden sorumlu olursunuz. Eski adres engellenirse sunucuyu yeni bir adrese taşımanız da gerekir. Sunucu kiralamak ile VPN hizmetine abone olmak arasındaki fark için VPS ve VPN karşılaştırmamıza bakın.

Sunucu adresi internet sağlayıcınıza görünür kalır

REALITY ile çalışan VLESS, bağlantıda neyin taşındığını gizler. Karşı uçta hangi sunucunun olduğunu gizlemez. İnternet sağlayıcınız o sunucuya giden bağlantıyı yine de görür. Sağlayıcı, sunucunun adresini, bağlantının ne zaman açık olduğunu ve her yönde kaç bayt gittiğini görür. Bu adres engellenirse hiçbir protokol ayarı bağlantıyı geri getiremez. O zaman başka bir adreste çalışan bir sunucu gerekir.

Bazı ağlarda trafik yalnızca onaylı bir listedeki adreslere gidebilir. Bu listenin dışındaki bir sunucuya ulaşılamaz. Protokolün ne kadar iyi kamufle edildiği bunu değiştirmez. Böyle ağlarda trafiğin başka bir rotadan gitmesi gerekir.

Ben's VPN uygulaması protokolü kendisi seçer ve anahtar istemez

Ben's VPN uygulamasında 4 bağlantı yöntemi var (VLESS + REALITY, XHTTP, Hysteria2 ve Shadowsocks). Uygulama aralarından birini otomatik olarak seçer. Ayarlarda belirli bir yöntemi sabitleyemezsiniz. Bu 4 yöntemin yan yana karşılaştırması için VPN protokolleri kılavuzumuza bakın.

Uygulama, başka bir hizmetten veya kendi sunucunuzdan gelen VLESS anahtarlarını kabul etmez. Bunlara ihtiyacı da yok, bu yüzden hiçbir zaman UUID veya anahtar girmezsiniz. Telefonda, tablette veya bilgisayarda uygulamayı kurun ve Bağlan düğmesine dokunun. Ardından Ben's VPN satın al penceresinde abonelik için ödeme yapın. Zaten aboneliğiniz varsa aynı pencereden giriş yapın. Her platform için indirme bağlantıları uygulamalar sayfamızda bulunur.

Bağlantı zayıfsa uygulama, Sorunu çöz düğmesi olan bir Kötü bağlantı uyarısı gösterebilir. Düğme 2 seçenek sunar: konumu değiştirmek veya çalışan bir sunucu aramak. Aynı aramayı Hesap → Ayarlar bölümündeki Çalışan sunucuyu bul düğmesi de başlatır. Arama sunucuyu yeniden kontrol eder ve ona yeni IP adresleri verir. Başka hiçbir şey işe yaramazsa arama multihop’u açar. Arama en fazla 2 dakika sürer.

Sorular ve yanıtlar

VLESS sunucusu için kendi alan adım gerekir mi?

REALITY ile alan adı gerekmez. Sunucu, üçüncü tarafa ait bir hedef sitenin kimliğini kullanır. Bu yüzden kendi sertifikasına ihtiyacı yok. VLESS normal TLS içinde veya bir CDN arkasında çalışıyorsa alan adı ve sertifika gerekir.

VLESS sunucusu neden 443 portunda çalıştırılır?

443, HTTPS için standart porttur. Bu porttaki bir TLS veya REALITY bağlantısı sıradan web gezintisine benzer. Alışılmadık bir portta aynı bağlantı, trafiğin büyük bölümünden farklı görünürdü. VLESS protokolünün kendisi her portta çalışır.

VLESS ile Hysteria2 arasındaki fark nedir?

VLESS genellikle TLS veya REALITY içinde, TCP üzerinden iletilir. Hysteria2 ise QUIC üzerine kuruludur, bu yüzden UDP üzerinden çalışır. Dışarıdan bakıldığında Hysteria2 trafiği HTTP/3 gibi görünür. Bu nedenle 2 protokol farklı ağ kısıtlamalarından etkilenir. UDP’yi engelleyen veya yavaşlatan bir ağ Hysteria2’yi etkiler, TCP üzerinden çalışan VLESS’i etkilemez. Ben's VPN uygulamasında ikisi de var. Hangisinin kullanılacağını uygulama seçer.

REALITY sunucunun IP adresini gizler mi?

Hayır. REALITY sunucu adresini değil, el sıkışmayı kamufle eder. Ağdaki bir gözlemci cihazınızın hangi sunucuya bağlandığını görebilir. Bu adres engellendiğinde yeni bir adreste çalışan bir sunucu gerekir.

Kendi VLESS anahtarımı Ben's VPN uygulamasına ekleyebilir miyim?

Hayır. Başka hizmetlerden veya kendi sunucunuzdan gelen VLESS anahtarları uygulamada çalışmaz. Uygulama Ben's VPN sunucularına bağlanır ve protokolü kendisi seçer.