چطور در ایران روی لینوکس کلاینت VPN/VLESS را نصب و استفاده کنیم — توضیح صادقانه (لینوکس کممحدودترین سکو از نظر فروشگاه است: قفلِ App Store ندارد، باینری/AppImage/.deb را مستقیم از گیتهابِ رسمی میگیرید و اجرا میکنید؛ اما تفاوتِ اصلی با ویندوز/مک این است که کلاینتهای لینوکس بیشتر خطفرمانی/دستیاند — یا فایلِ JSON را ویرایش میکنید و sing-box/xray را اجرا میکنید، یا از یک GUI/رابطِ وب مثل v2rayA/nekoray استفاده میکنید؛ TUN روی کلِ ماشین به root یا CAP_NET_ADMIN نیاز دارد، وگرنه هر برنامه را جداگانه از طریقِ SOCKS پروکسی میکنید؛ و گامِ حیاتیِ ایران تفکیکِ مسیر است — سایتهای داخلی، درگاههای شاپرک و سایتهای دولتی باید مستقیم بروند؛ نبردِ اصلی هنوز این است که پروتکلت از DPIِ ایران جان سالم به در ببرد) و یک راهِ پایدارتر (VLESS+Reality با سرویسِ systemd)
بهروزرسانی
اول نتیجه: لینوکس به فروشگاه قفل نیست، اما کلاینتها بیشتر خطفرمانیاند
خروج از فیلترینگ روی لینوکس در ایران یک مزیتِ طبیعی دارد: لینوکس کممحدودترین سکو از نظرِ فروشگاه است — قفلی مثلِ App Store ندارد و شما باینری، AppImage یا .deb/.rpm را مستقیم از گیتهابِ رسمی اجرا میکنید، پس «تحریمهای آمریکا اپهای VPN را از فروشگاههای ایران بیرون راند» روی لینوکس اصلاً مسئله نیست (روی لینوکس از اول لازم نبود از فروشگاه بروید). بهایش: کلاینتهای لینوکس بیشتر خطفرمانی/دستیاند — رابطِ گرافیکیِ یککلیکی مثلِ ویندوز/مک ندارند. دو راهِ عمومی: ①اجرای خطفرمانِ sing-box یا xray-core و ویرایشِ دستیِ یک فایلِ JSON؛ ②استفاده از یک پوششِ گرافیکی/وب (نسخههای لینوکسیِ nekoray، v2rayA، Hiddify یا خانوادهٔ mihomo). در ادامه: انتخابِ کلاینت، انتخاب بینِ TUN و پروکسیِ هر برنامه، systemd، و تفکیکِ مسیرِ خاصِ ایران.
چه کلاینتهایی روی لینوکس هست: خطفرمانِ sing-box / xray یا v2rayA / nekoray
راههای اصلیِ برپاییِ VLESS+Reality روی لینوکس: ①sing-box (خطفرمان) — یک باینری، یک فایلِ JSON، کاملترین گزینه و بهترین برای اجرای یک سرویسِ دائمی؛ انتخابِ نخستِ سرورها/کاربرانِ پیشرفته؛ ②xray-core (خطفرمان) — آن هم خطفرمان+JSON، پیادهسازیِ مرجعِ VLESS+Reality؛ ③v2rayA — یک دیمن با رابطِ وب، محبوب میانِ کاربرانِ دسکتاپِ لینوکس در ایران و جاهای دیگر؛ اشتراک را وارد میکنید و نودها را در مرورگر انتخاب میکنید، و xray/sing-box زیرِ آن کار میکند؛ ④nekoray/nekobox — کلاینتِ گرافیکیِ Qt، چندسکویی با نسخهٔ لینوکس؛ ⑤Hiddify و خانوادهٔ clash (mihomo / AppImageِ clash-verge-rev) هم نسخهٔ لینوکس دارند. راحتتر میخواهید — v2rayA/nekoray؛ پایدارترین اجرای دائمی را میخواهید — مستقیم خطفرمانِ sing-box. همه از همان اشتراکِ کلاینتِ گوشی/ویندوزِ شما استفاده میکنند.
انتخابِ کلیدی: TUN روی کلِ ماشین (نیازمندِ root) یا پروکسیِ SOCKS برای هر برنامه
برای فرستادنِ ترافیک به داخلِ تونل روی لینوکس دو سطح هست — تفاوتشان را حتماً بدانید: ①تصاحبِ کلِ ماشین با TUN — sing-box یک ورودیِ
tun داخلی دارد (یا از tun2socks استفاده کنید) که یک واسطِ مجازی میسازد و ترافیکِ کلِ ماشین را میگیرد، نزدیکترین حالت به «حالتِ سراسری»ِ ویندوز/مک؛ اما به root یا CAP_NET_ADMIN نیاز دارد تا واسط بسازد و مسیرها را تغییر دهد. ②پروکسیِ SOCKS برای هر برنامه — کلاینت فقط یک پورتِ محلیِ SOCKS/HTTP باز میکند و شما مرورگر را، یا با proxychains / متغیرهای محیطی (http_proxy/https_proxy) یک برنامهٔ مشخص را، به آن میفرستید؛ نکته این است که هر برنامهای پروکسی را رعایت نمیکند (بهویژه ابزارهای خطفرمان و برنامههای UDP)، پس ترافیکِ نشتکرده باز هم مستقیم میرود. «کلِ ماشین پایدار» میخواهید — TUN؛ فقط مرورگر/برنامههای خاص را میخواهید — پروکسیِ SOCKS سبکتر است.میخواهید دائمی/در زمانِ بوت اجرا شود: یک سرویسِ systemd بنویسید
اگر میخواهید کلاینت در زمانِ بوت اجرا شود، پس از قطعی خودکار وصل شود و روی سروری بدونِ رابطِ گرافیکی دائمی بماند (مثلاً روی یک ماشینِ خانگیِ کوچک یا یک VPS در نقشِ دروازه برای کلِ شبکهٔ محلی)، پایدارترین راه ساختنِ sing-box/xray بهصورتِ سرویسِ systemd است: یک واحدِ
.service که به باینری و پیکربندی اشاره میکند، systemctl enable --now برای دائمیشدن، و journalctl برای لاگها. در بسیاری از توزیعها بستههای رسمی از پیش یک فایلِ سرویس دارند. توجه کنید که در حالتِ TUN سرویس به دسترسیِ مناسب نیاز دارد (اجرا با root یا اعطای CAP_NET_ADMIN به باینری)، و حتماً قواعدِ تفکیکِ مسیر را تنظیم کنید — که در ایران مهمترین گام است.گامِ حیاتیِ ایران: همیشه تفکیکِ مسیر (داخلی/بانکی/دولتی مستقیم)
این نکته در ایران بیش از تقریباً هر جای دیگری اهمیت دارد: سایتهای داخلیِ ایران (داخلی / شبکهٔ ملیِ اطلاعات، NIN)، درگاههای بانکیِ شاپرک و سایتهای دولتی را روی حالتِ مستقیم بگذارید، و فقط سایتهای خارجیِ مسدود/گلوگاهشده را از تونل عبور دهید. سه دلیل: شبکهٔ داخلی سریعتر و ارزانتر است و اغلب از سهمیهٔ ترافیکِ بینالمللِ شما کم نمیشود؛ بسیاری از سایتهای بانکی و دولتیِ ایران IPِ خارجی را رد میکنند، پس اگر آنها را هم از تونل عبور دهید از بانکِ آنلاین و خدماتِ دولتی جا میمانید؛ و تفکیکِ مسیر CPUِ ماشین/روتر را هم صرفهجویی میکند. قواعدِ مسیریابیِ sing-box/xray یا تنظیماتِ مسیریابیِ v2rayA میتوانند بر اساسِ دامنه/منطقه تفکیک کنند — و روی لینوکس، پیکربندیِ این قواعد از خطفرمان در واقع منعطفترین راه است.
مراحلِ پیکربندی: نصبِ کلاینت → واردکردنِ اشتراک → انتخابِ TUN یا SOCKS → تنظیمِ تفکیکِ مسیر → بررسی
- کلاینت را نصب کنید: پیشرفته/روی سرور — sing-box یا xray-core (باینری را از گیتهابِ رسمی بگیرید، یا از پکیجمنیجرِ توزیع استفاده کنید)؛ رابط میخواهید — v2rayA (دیمن را نصب + مرورگر را باز کنید) یا nekoray (AppImage را دانلود کنید).
- اشتراکِ VLESS+Reality خود را وارد کنید: در خطفرمان نود را در فایلِ JSON بنویسید؛ در v2rayA/nekoray فقط لینکِ اشتراک را بچسبانید و نودها را انتخاب کنید (همان اشتراکِ گوشی/ویندوز).
- حالتِ تصاحب را انتخاب کنید: برای کلِ ماشین TUN را فعال کنید (ورودیِ tunِ sing-box یا tun2socks، نیازمندِ root/CAP_NET_ADMIN)؛ فقط برای مرورگر/برنامههای خاص از پورتِ محلیِ SOCKS + proxychains/تنظیماتِ پروکسیِ مرورگر استفاده کنید.
- تفکیکِ مسیرِ ایران را تنظیم کنید: سایتهای داخلیِ ایران، داخلی/NIN، بانکیِ شاپرک و سایتهای دولتی را مستقیم بگذارید و فقط سایتهای خارجیِ مسدود/گلوگاهشده را از تونل عبور دهید.
- میخواهید دائمی بماند — یک سرویسِ systemd بنویسید: یک واحدِ .service + systemctl enable --now، لاگها با journalctl.
- بررسی کنید: یک سایتِ خارجیِ مسدود را باز کنید تا از کارکرد مطمئن شوید؛ مطمئن شوید بانکِ آنلاین و سایتهای دولتیِ محلی هنوز مستقیم میروند؛ در خطفرمان با curl --interface یا journalctl عیبیابی کنید.
مرزهای صادقانه و سیاههٔ کار
- کلاینتهای لینوکس بیشتر خطفرمانیاند — sing-box/xray یعنی ویرایشِ JSON؛ برای رابطِ گرافیکی از v2rayA/nekoray استفاده کنید.
- TUN روی کلِ ماشین به root یا CAP_NET_ADMIN نیاز دارد؛ بدونِ TUN باید هر برنامه را جداگانه از طریقِ SOCKS پروکسی کنید و هر برنامهای آن را رعایت نمیکند.
- مهمترین گامِ ایران تفکیکِ مسیر است: سایتهای داخلی/بانکیِ شاپرک/دولتی مستقیم، فقط سایتهای خارجی از تونل، وگرنه از خدماتِ محلی جا میمانید.
- پروتکلِ درست را انتخاب کنید: روی لینوکس هم باید VLESS+Reality درستپیکربندیشده به کار ببرید — DPIِ ایران ترافیکِ رمزنگاریشدهٔ مشکوک را میکاود/گلوگاه میاندازد.
- هیچ تضمینی نیست: VLESSِ بدپیکربندیشده هم قطع میشود؛ در قطعیِ سراسری/دورهٔ فقطشبکهٔملی هر تونلِ خارجی با هم قطع میشود.
- باینری را از منابعِ غیررسمی نگیرید — از ریلیزهای رسمیِ گیتهاب یا مخازنِ رسمیِ توزیع استفاده کنید تا درِ پشتی کاشته نشود؛ چکسام را تطبیق دهید.
خلاصه: مزیتِ لینوکس این است که از حذفِ فروشگاه تأثیر نمیگیرد — کلاینت را مستقیم از منبعِ رسمی اجرا میکنید و حتی میتوانید آن را بهصورتِ سرویسِ systemd روی سرور دائمی کنید؛ بهایش این است که بیشتر خطفرمانی/دستی است، TUN روی کلِ ماشین به root نیاز دارد، و پروکسیِ هر برنامه را همهٔ برنامهها رعایت نمیکنند. راحتتر میخواهید — رابطِ گرافیکیِ v2rayA/nekoray؛ پایدارترین اجرای دائمی را میخواهید — خطفرمانِ sing-box + systemd. و در ایران، مهمترین گام را فراموش نکنید: تفکیکِ مسیر — داخلی/بانکی/دولتی مستقیم، فقط ترافیکِ خارجی از تونل. اینکه اصلاً وصل میشوید یا نه، در نهایت به نبردِ پروتکل بستگی دارد: از VLESS+Realityِ درستپیکربندیشده استفاده کنید، و برای روشِ دسکتاپ مقالهٔ ویندوز را ببینید.
سؤالات متداول
- برای نصبِ VPN/VLESS روی لینوکس در ایران حتماً باید خطفرمان بلد باشم؟
- لزوماً نه، اما خطفرمان عمومیترین راه است. اگر نمیخواهید سراغِ آن بروید، از کلاینتی با رابطِ گرافیکی/وب استفاده کنید: v2rayA (دیمنی که از مرورگر کنترلش میکنید، روی دسکتاپِ لینوکس در ایران و جاهای دیگر محبوب است)، nekoray/nekobox (کلاینتِ گرافیکیِ Qt، فقط یک AppImage دانلود کنید)، یا نسخههای لینوکسیِ Hiddify یا خانوادهٔ clash (mihomo / clash-verge-rev) — اشتراک را وارد میکنید و نودها را در رابط انتخاب میکنید. اگر کاربرِ سرور/پیشرفتهاید، اجرای خطفرمانِ sing-box یا xray-core و ویرایشِ یک فایلِ JSON در واقع پایدارترین و مناسبترین گزینه برای یک سرویسِ دائمی است. هر دو راه از همان اشتراکِ VLESS+Reality استفاده میکنند.
- در ایران چرا «تفکیکِ مسیر» اینقدر مهم است؟
- چون شبکهٔ داخلیِ ایران و دسترسیِ خارجی باید جدا از هم بروند. سایتهای داخلیِ ایران (داخلی / شبکهٔ ملیِ اطلاعات، NIN)، درگاههای بانکیِ شاپرک و سایتهای دولتی را روی حالتِ مستقیم بگذارید و فقط سایتهای خارجیِ مسدود یا گلوگاهشده را از تونل عبور دهید. سه دلیل: شبکهٔ داخلی سریعتر و ارزانتر است و اغلب از سهمیهٔ ترافیکِ بینالمللتان کم نمیشود؛ بسیاری از سایتهای بانکی و دولتیِ ایران IPِ خارجی را رد میکنند، پس اگر آنها را هم از تونل عبور دهید از بانکِ آنلاین و خدماتِ دولتی جا میمانید؛ و تفکیکِ مسیر CPUِ ماشین/روتر را هم صرفهجویی میکند. قواعدِ مسیریابیِ sing-box/xray یا تنظیماتِ مسیریابیِ v2rayA میتوانند بر اساسِ دامنه/منطقه تفکیک کنند و روی لینوکس پیکربندیِ این قواعد از خطفرمان در واقع منعطفترین راه است.
- چطور کاری کنم روی لینوکس «کلِ ماشین» از VPN استفاده کند، نه فقط مرورگر؟
- از حالتِ TUN استفاده کنید. sing-box یک ورودیِ tun داخلی دارد (یا از tun2socks استفاده کنید) که یک واسطِ مجازی میسازد و ترافیکِ کلِ ماشین را میگیرد، نزدیکترین حالت به حالتِ سراسری در ویندوز/مک. بهایش این است که به root یا CAP_NET_ADMIN نیاز دارد تا واسط بسازد و جدولِ مسیریابی را تغییر دهد. اگر فقط یک پورتِ محلیِ پروکسیِ SOCKS/HTTP باز کرده باشید، آنگاه فقط برنامههایی که صراحتاً به آن اشاره میکنید (مرورگری که پروکسیاش تنظیم شده، یا برنامههایی که با proxychains اجرا میشوند) از تونل میروند و بقیه مستقیم میمانند — و هر برنامهای پروکسیِ SOCKS را رعایت نمیکند (بسیاری ابزارهای خطفرمان و برنامههای UDP نشت میکنند). کلِ ماشین پایدار میخواهید — TUN؛ فقط مرورگر — پروکسیِ SOCKS سبکتر است. تفکیکِ مسیر را فراموش نکنید تا ترافیکِ داخلی مستقیم برود.
- استفاده از VLESS روی لینوکس یعنی حتماً مسدود نمیشود؟
- چنین تضمینی نیست. مسدودسازی در ایران در لایهٔ پروتکل است: بازرسیِ عمیقِ بستهها (DPI) ترافیکِ رمزنگاریشدهٔ مشکوک را میکاود و گلوگاه میاندازد یا قطع میکند، از جمله VLESS را. VLESS+Reality بهتر دوام میآورد چون ترافیک را مثلِ HTTPS معمولی به یک سایتِ بزرگِ واقعی پنهان میکند و تقریباً اثرِانگشتِ یکتایی ندارد — اما این مقاومت از پیکربندیِ استتارِ Reality میآید، نه از نامِ پروتکل؛ VLESSِ بدپیکربندیشده هم قطع میشود، بیهیچ تضمینی. و در زمانِ قطعیِ سراسری یا دورهای که فقط شبکهٔ داخلی (NIN) باقی میماند، هر تونلِ خارجی با هم قطع میشود، فرقی نمیکند لینوکس داشته باشید یا سیستمی دیگر. عوضکردنِ سیستمعامل نبردِ پروتکل را تغییر نمیدهد.
کانال تلگرام Univista
آخرین کانفیگهای سالم، وضعیت سرورها و آموزش رفع اشکال در کانال ما.
ورود به کانالسرویسی که میخواهید باز کنید فیلتر شده؟ دسترسیتان را رایگان برگردانید.
حدود ۲ دقیقه تا اتصال دوباره، بدون نیاز به کارت بانکی. یک مسیر پایدار و امن مبتنی بر VLESS + Reality روی iOS، اندروید، ویندوز و مک.
- روزانه ۱ گیگابایت رایگان
- ثبتنام بدون کارت بانکی
- کانفیگ VLESS+Reality آماده در ۶۰ ثانیه
وقتی دوستتان شروع به استفاده کند، شما و دوستتان هرکدام +30 روز اعتبار و ترافیک پاداش میگیرید.
برگرداندن دسترسی — رایگانراهنماهای مرتبط
در سال ۲۰۲۶ چه روشهایی در ایران هنوز کار میکنند: چرا DPI ویپیانهای رایج را قطع میکند و انتخاب پروتکل تعیینکننده است
VLESS Reality چیست — کاربرد و تفاوت با VPN
چطور در ایران روی کامپیوتر ویندوز کلاینت VPN/VLESS را نصب و استفاده کنیم — توضیح صادقانه (ویندوز بازترین سکو است: نه قفلِ App Store دارد و هر کلاینتی مستقیم از یک .exeِ گیتهاب اجرا میشود و TUN کل دستگاه را میگیرد؛ اما ایران یک لایهٔ اضافه دارد که روسیه ندارد — تحریمهای آمریکا دسترسیِ IP ایران به گیتهاب/npm را محدود و حدود ۲۰٪ از دامنههای برتر را برای IP ایران مسدودِ جغرافیایی میکنند، پس حتی دانلودِ کلاینت هم ممکن است بلوکه شود، در حالی که نبردِ اصلی هنوز این است که پروتکلت از DPIِ ایران جان سالم به در ببرد) و یک راهِ پایدارتر (VLESS+Reality)
چطور در ایران روی مک (macOS) کلاینت VPN/VLESS را نصب و استفاده کنیم — توضیح صادقانه (مک هم مثل ویندوز بازترین سکو است: برخلافِ آیفون قفلِ App Store ندارد و هر کلاینتی مستقیم از گیتهابِ رسمی اجرا میشود و حذفشدن از فروشگاه را دور میزند و TUN سطحسیستمی (utun) کل دستگاه را میگیرد؛ اما ایران یک لایهٔ اضافه دارد که روسیه ندارد — تحریمهای آمریکا بر پایهٔ IP مسدودِ جغرافیایی میکنند پس حتی دانلودِ کلاینت هم ممکن است بلوکه شود، و macOS دو نکتهٔ خاص دارد: هشدارِ «توسعهدهندهٔ ناشناس»ِ Gatekeeper و انتخابِ نسخه بر اساس تراشه (Apple Silicon/Intel)، در حالی که نبردِ اصلی هنوز این است که پروتکلت از DPIِ ایران جان سالم به در ببرد) و یک راهِ پایدارتر (VLESS+Reality)
چطور در روسیه روی روتر VPN/VLESS راهاندازی کنیم — کل خانه یکجا (توضیح صادقانه): VPN روی روتر یعنی تلویزیون هوشمند، کنسولهای بازی و IoT بدون نصب اپ روی هر دستگاه از تونل عبور میکنند؛ اما فقط روتری کار میکند که بتواند xray/sing-box را اجرا کند (Keenetic+Entware / OpenWRT+passwall / GL.iNet) و روتر معمولی اپراتور مناسب نیست؛ پردازندهٔ روتر گلوگاه سرعت است؛ و نبرد در سطح پروتکل همان است — از دسامبر ۲۰۲۵ RKN پروتکلها را مسدود میکند، پس VLESS+Reality روی روتر هم لازم است
چطور در روسیه روی لینوکس کلاینت VPN/VLESS نصب و استفاده کنیم: توضیح صادقانه (لینوکس کممحدودترین پلتفرم از نظر فروشگاه است — به App Store قفل نیست، باینری/AppImage/.deb را مستقیم از گیتهاب رسمی میگیرید و اجرا میکنید؛ اما تفاوت اصلی با ویندوز/مک این است که کلاینتهای لینوکس بیشتر خطفرمانی/دستیاند — یا فایل JSON را ویرایش میکنید و sing-box/xray را اجرا میکنید، یا از یک GUI/رابط وب مثل v2rayA/nekoray استفاده میکنید؛ TUN روی کل ماشین به root یا CAP_NET_ADMIN نیاز دارد، وگرنه باید هر برنامه را جداگانه از طریق SOCKS پروکسی کنید و هر برنامهای پروکسی را رعایت نمیکند؛ میدان نبرد واقعی این است که آیا پروتکل شما از TSPUِ RKN جان سالم به در میبرد) و روشی پایدارتر (VLESS+Reality با سرویس systemd)
این راهنما را به اشتراک بگذارید
مشترک شدید؟ کمک کنید مراحل وارد کردن و رفع اشکال را ببینید.
آماده دسترسی پایدار به اینترنت بینالملل؟
مشاهده تعرفههااین مطلب صرفاً آموزش فنی است. از ابزارهای شبکه مطابق قوانین محل خود استفاده کنید. Univista مسئول استفاده شما نیست.