Xray

　Xrayは主に中国のネット検閲システムであるGFW（以下、「金盾」と言う）を回避するために利用されている検閲回避ツールである。更新が止まったV2Rayのソースコードを元にProject Xにより管理されている。

　サーバー側にツールを配置後、クライアント側から接続することによりVPNのように通信を行う。VPNとの違いはディープ・パケット・インスペクション（以下、「DPI」と言う）の回避を目的とした通信プロトコルのサポートを行っている点である。

導入

　以下に導入方法を記す。

全プロトコル共通

　全てのプロトコルで必要なものは以下の２つ。

・VPSインスタンス（最小構成で良い）

・静的IP

IPを固定したらSSHでインスタンスに接続。

ルートユーザーになる。

sudo su

インスタンスのタイムゾーンを日本時間に設定。

timedatectl set-timezone Asia/Tokyo

Xrayをインストール

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

VMess

　Shadowsocksに似ているが暗号化方式の選択を重視せず、VMessの暗号化方式はクライアントによって指定される。暗号化に時間依存のキーを使用するなど難読性が高い。

Xrayの設定ファイルを作成。

vi /usr/local/etc/xray/config.json

VMessの設定は以下の通り。

"port"は使用するポート番号で任意の値に変更可。インスタンスの設定で要開放。

"id"はUUIDを示し、"********-****-****-****-************"を必ず一意の値に変更する。

{
  "log":{
    "loglevel": "warning",
    "access": "/var/log/xray/access.log",
    "error": "/var/log/xray/error.log"
  },
  "inbounds": [{
    "port": 10086,
    "protocol": "vmess",
    "settings": {
      "clients": [
        {
          "id": "********-****-****-****-************",
          "level": 1,
          "alterId": 64
        }
      ]
    }
  }],
  "outbounds": [{
    "protocol": "freedom",
    "settings": {}
  },{
    "protocol": "blackhole",
    "settings": {},
    "tag": "blocked"
  }],
  "routing": {
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "blocked"
      }
    ]
  }
}

環境変数の値を設定。

vi /etc/systemd/system/xray.service

[Service]の末尾に以下追記。

Environment=XRAY_VMESS_AEAD_FORCED=false

Xrayを再起動。

systemctl restart xray

クライアントソフトウェアに以下の値を入力し接続を確認してみよう。

・Address　・・・・・・インスタンスのグローバルIPアドレス

・Port　・・・・・・・設定ファイルに記述したポート番号

・id　・・・・・・・・設定ファイルに記述したUUID

・alterId　・・・・・・設定ファイルのalterId

・security　・・・・・"chacha20-poly1305"を選択

・Network　・・・・・・tcp

・head type　・・・・・none

Shadowsocks-2022

　Shadowsocksは、SOCKS5サーバーをsslocalとssserverに分割してインターネットトラフィックを難読化し、DPIの回避を行う。

　Shadowsocks-2022では従来の物からパフォーマンスを向上させ、完全なリプレイ保護を備えており、古いプロトコルのセキュリティ問題に対処している。

Xrayの設定ファイルを作成。

vi /usr/local/etc/xray/config.json

Shadowsocks-2022の設定は以下の通り。

"port"は使用するポート番号で任意の値に変更可。インスタンスの設定で要開放。

"password"は接続用パスワードを示し、値を必ず一意の値に変更する。32ビット長のパスワードが必須で、openssl rand -base64 32で生成すると良い。

{
  "log":{
    "loglevel": "warning",
    "access": "/var/log/xray/access.log",
    "error": "/var/log/xray/error.log"
  },
  "inbounds": [{
    "port": 8488,
    "protocol": "shadowsocks",
    "settings": {
        "method": "2022-blake3-aes-256-gcm",
        "password": "gIljL7ERTJgZC2Kkv2iZvtkQ4MZMdhoTeQOszoAth30=",
        "network": "tcp,udp"
    }
  }],
  "outbounds": [{
    "protocol": "freedom",
    "settings": {}
  },{
    "protocol": "blackhole",
    "settings": {},
    "tag": "blocked"
  }],
  "routing": {
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "blocked"
      }
    ]
  }
}

Xrayを再起動。

systemctl restart xray

クライアントソフトウェアに以下の値を入力し接続を確認してみよう。

・Address　・・・・・・インスタンスのグローバルIPアドレス

・Port　・・・・・・・設定ファイルに記述したポート番号

・password　・・・・・設定ファイルに記述した接続用パスワード

・security　・・・・・"2022-blake3-aes-256-gcm"を選択

クライアント

（執筆中）WindowsやLinux等デスクトップOSではクライアントソフトウェアの他にv2ray-coreが必要。

・Windows　・・・・・v2rayN https://github.com/2dust/v2rayN

・Android　・・・・・V2RayNG https://play.google.com/store/apps/details?id=com.v2ray.ang

・iOS　・・・・・・・Shadowrocket https://apps.apple.com/jp/app/shadowrocket/id932747118

　有料だがiOSアプリで各プロトコルを網羅しているクライアントソフトウェアはこれくらい。

・Linux　・・・・・・Qv2ray https://github.com/Qv2ray/Qv2ray

複数プロトコルのサポート

　Xrayの設定ファイル（/usr/local/etc/xray/config.json）の"inbounds"に以下の様に記述すると、同一インスタンスにて複数プロトコルを使い分ける事ができる。

　例：Shadowsocks-2022とVmess

  "inbounds": [{
    "port": 8488,
    "protocol": "shadowsocks",
    "settings": {
        "method": "2022-blake3-aes-256-gcm",
        "password": "gIljL7ERTJgZC2Kkv2iZvtkQ4MZMdhoTeQOszoAth30=",
        "network": "tcp,udp"
    }
  },{
    "port": 8488,
    "protocol": "vmess",
    "settings": {
      "clients": [
        {
          "id": "272768b2-ef4f-447f-8a41-fb5119a1955c",
          "level": 1,
          "alterId": 64
        }
      ]
    }
  }],

おまけ（広告ブロック）

　サーバー側で使用するDNSにAdGuard DNSを指定し、広告をクライアント側に送信しないようにする。セキュアな通信環境を入手する目的でXrayを導入する場合、パブリックDNSを使用するリスクは自己責任で判断する。

　各ディストリビューションで設定が異なるため一例を記載する。

Ubuntu 20.04 LTS

resolved.confを編集する。

vi /etc/systemd/resolved.conf

[Resolve]にAdGuardのDNSサーバーを記載。

DNS=94.140.14.14, 94.140.15.15

ローカルDNSを経由せず、指定したDNSリゾルバに直接聞きにいくようシンボリックリンクを変更

ln -f -s /run/systemd/resolve/resolv.conf /etc/resolv.conf

systemd-resolvedを再起動。

systemctl restart systemd-resolved