Как в Иране установить и использовать VPN/VLESS-клиент на Linux — честное объяснение (Linux — самая свободная от магазина платформа: нет привязки к App Store, вы берёте бинарник/AppImage/.deb прямо с официального GitHub и запускаете; но главное отличие от Windows/Mac в том, что клиенты под Linux скорее командной строки/ручные — либо правите JSON-конфиг и запускаете sing-box/xray, либо берёте GUI/веб-интерфейс вроде v2rayA/nekoray; TUN на всю машину требует root или CAP_NET_ADMIN, иначе проксируете по приложениям через SOCKS; а ключевой шаг для Ирана — раздельная маршрутизация: местные сайты, банковские шлюзы Shaparak и госсайты должны идти напрямую; настоящее поле боя — выдержит ли ваш протокол иранский DPI) и более надёжный подход (VLESS+Reality со службой systemd)
Обновлено
Bottom line first: Linux isn't store-locked, but the clients are more command-line
Getting out on Linux in Iran has a natural advantage: it's the least app-store-restricted platform — there's no App Store-style lock, and you run the binary, AppImage or .deb/.rpm straight from official GitHub, so 'US sanctions pushed VPN apps out of Iran's stores' simply isn't a problem on Linux. The cost: Linux clients are more command-line/manual — there's no polished one-click GUI like on Windows/Mac. The two most universal paths: (1) run the sing-box or xray-core CLI and edit a JSON config yourself; (2) use a GUI/web wrapper (the Linux builds of nekoray, v2rayA, Hiddify, or the mihomo family). Below: choosing a client, the TUN vs per-app-proxy trade-off, systemd, and Iran-specific split-routing.
Which clients exist on Linux: sing-box / xray CLI, or v2rayA / nekoray
The main ways to land VLESS+Reality on Linux: (1) sing-box (CLI) — one binary, one JSON config, the most complete and the best to run as an always-on service; the top pick for servers/advanced users; (2) xray-core (CLI) — also CLI+JSON, the reference implementation of VLESS+Reality; (3) v2rayA — a daemon with a web UI, popular among Linux desktop users in Iran and elsewhere; you import the subscription and pick nodes in the browser, with xray/sing-box underneath; (4) nekoray/nekobox — a Qt GUI client, cross-platform with a Linux build; (5) Hiddify and the clash family (mihomo / clash-verge-rev AppImage) also have Linux builds. Want it easy — use v2rayA/nekoray; want the most stable always-on setup — use the sing-box CLI directly. They use the same subscription as your phone/Windows client.
The key trade-off: whole-machine TUN (needs root) or per-app SOCKS proxy
There are two levels of sending traffic through the tunnel on Linux — be clear on the difference: (1) whole-machine TUN takeover — sing-box has a built-in
tun inbound (or use tun2socks) that creates a virtual interface capturing the whole machine's traffic, closest to the 'global mode' of Windows/Mac; but it needs root or CAP_NET_ADMIN to create the interface and change routes. (2) per-app SOCKS proxy — the client just opens a local SOCKS/HTTP port and you point a browser, or use proxychains / env vars (http_proxy/https_proxy), at a specific program; the catch is that not every program honors the proxy (especially CLI tools and UDP programs), so leaked traffic still goes direct. Want 'the whole machine stable' — use TUN; want only the browser/specific programs tunneled — the SOCKS proxy is lighter.Want it always-on / at boot: write a systemd service
If you want it to start at boot, auto-reconnect on drop, and stay resident on a headless server (e.g. on a little home box or a VPS acting as a gateway for the whole LAN), the most stable approach is to run sing-box/xray as a systemd service: a
.service unit pointing at the binary and config, systemctl enable --now to make it resident, and journalctl for logs. Many distros' official packages already ship a service file. Note that in TUN mode the service needs the right privileges (run as root, or grant the binary CAP_NET_ADMIN), and be sure to configure your split-routing rules — which in Iran is the single most important step.Iran's crucial step: always split-route (domestic/banking/gov direct)
This matters more in Iran than almost anywhere: set Iranian domestic sites (داخلی / the National Information Network, NIN), Shaparak banking gateways and government sites to go direct, and send only blocked/throttled foreign sites through the tunnel. Three reasons: the domestic network is faster and cheaper and often isn't counted against your international data quota; many Iranian bank and government sites outright reject foreign IPs, so tunneling them locks you out of online banking and gov services; and split-routing also saves CPU on your machine/router. sing-box/xray routing rules, or v2rayA's routing settings, can split by domain/region — and on Linux, configuring these rules from the CLI is actually the most flexible.
Configuration steps: install a client → import the subscription → pick TUN or SOCKS → set split-routing → verify
- Install a client: advanced/server — sing-box or xray-core (grab the binary from official GitHub, or use your distro's package manager); want a UI — v2rayA (install the daemon + open the browser) or nekoray (download the AppImage).
- Import your VLESS+Reality subscription: with the CLI, put the node into the JSON config; with v2rayA/nekoray, paste the subscription link and pick nodes (the same subscription as your phone/Windows).
- Pick the takeover mode: for whole-machine, enable TUN (sing-box tun inbound or tun2socks, needs root/CAP_NET_ADMIN); for just the browser/specific programs, use the local SOCKS port + proxychains/browser proxy settings.
- Set Iran split-routing: keep Iranian domestic sites, داخلی/NIN, Shaparak banking and government sites direct, and send only blocked/throttled foreign sites through the tunnel.
- Want it resident — write a systemd service: a .service unit + systemctl enable --now, journalctl for logs.
- Verify: open a blocked foreign site to confirm it works; confirm local online banking and gov sites still go direct; use curl --interface or journalctl on the CLI to troubleshoot.
Honest limits and checklist
- Linux clients are more command-line — sing-box/xray means editing JSON; for a GUI use v2rayA/nekoray.
- Whole-machine TUN needs root or CAP_NET_ADMIN; without TUN you proxy per-app over SOCKS, and not every program honors it.
- Iran's most important step is split-routing: keep domestic sites/Shaparak banking/gov sites direct, only foreign sites through the tunnel, or you lock yourself out of local services.
- Pick the right protocol: on Linux too you must use a well-configured VLESS+Reality — Iran's DPI probes/throttles suspicious encrypted traffic.
- No guarantees: a poorly configured VLESS gets cut too; during a national shutdown / NIN-only period any foreign tunnel goes down together.
- Don't grab binaries from unofficial sources — use the official GitHub releases or your distro's official repos to avoid a planted backdoor; verify checksums.
In summary: Linux's advantage is that it's unaffected by store removals — you run the client straight from the official source, and can even make it a systemd service resident on a server; the cost is that it's more command-line/manual, whole-machine TUN needs root, and per-app proxying isn't honored by every program. Want it easy — use the v2rayA/nekoray GUI; want the most stable always-on setup — sing-box CLI + systemd. And in Iran, don't forget the single most important step: split-routing — keep domestic/banking/gov direct, only foreign traffic through the tunnel. Whether you actually connect still comes down to the protocol fight: use a well-configured VLESS+Reality, and for the desktop approach see the Windows guide.
Частые вопросы
- Do I have to know the command line to install a VPN/VLESS on Linux in Iran?
- Not necessarily, but the command line is the most universal path. If you'd rather not touch it, use a client with a GUI/web UI: v2rayA (a daemon you operate from the browser, popular on Linux desktops in Iran and elsewhere), nekoray/nekobox (a Qt GUI client, just download the AppImage), or the Linux builds of Hiddify or the clash family (mihomo / clash-verge-rev) — you import the subscription and pick nodes in the interface. If you're a server/advanced user, running the sing-box or xray-core CLI and editing a single JSON config is actually the most stable and best suited to an always-on service. Both paths use the same VLESS+Reality subscription.
- In Iran, why is split-routing so important?
- Because Iran's domestic network and foreign access must be kept separate. Set Iranian domestic sites (داخلی / the National Information Network, NIN), Shaparak banking gateways and government sites to go direct, and send only blocked or throttled foreign sites through the tunnel. Three reasons: the domestic network is faster and cheaper and often isn't counted against your international data quota; many Iranian bank and government sites outright reject foreign IPs, so if you tunnel them too you get locked out of online banking and gov services; and split-routing saves CPU on your machine/router. sing-box/xray routing rules or v2rayA's routing settings can split by domain/region, and on Linux configuring these rules from the CLI is actually the most flexible.
- How do I make the 'whole machine' use the VPN on Linux, not just the browser?
- Use TUN mode. sing-box has a built-in tun inbound (or use tun2socks) that creates a virtual interface capturing the whole machine's traffic, closest to the global mode on Windows/Mac. The cost is that it needs root or CAP_NET_ADMIN to create the interface and change the routing table. If you only opened a local SOCKS/HTTP proxy port, then only the programs you explicitly point at it (a browser set to the proxy, or programs launched via proxychains) go through the tunnel, while everything else stays direct — and not every program honors a SOCKS proxy (many CLI tools and UDP programs leak). Want the whole machine stable — use TUN; want only the browser tunneled — the SOCKS proxy is lighter. Don't forget split-routing so domestic traffic goes direct.
- Does using VLESS on Linux mean it definitely won't be blocked?
- No such guarantee. Iran's blocking is at the protocol layer: deep packet inspection (DPI) probes and throttles or cuts suspicious encrypted traffic, VLESS included. VLESS+Reality survives better because it disguises traffic as ordinary HTTPS to a real major site with almost no unique fingerprint — but the resilience comes from Reality's disguise configuration, not the protocol name; a poorly configured VLESS gets cut too, with no guarantee. And during a national shutdown or a period when only the domestic network (NIN) is left, any foreign tunnel goes down together, regardless of whether you're on Linux or another OS. Switching OS doesn't change the protocol fight.
Канал Univista в Telegram
В канале — свежие рабочие конфиги, статус узлов и разбор частых проблем.
Перейти в каналСервис, который вам нужен, заблокирован? Верните доступ — бесплатно.
Снова онлайн примерно за 2 минуты, без банковской карты. Рабочее подключение по VLESS + Reality на iOS, Android, Windows и macOS.
- Бесплатно 1 ГБ в день
- Банковская карта не нужна
- VLESS + Reality за 60 секунд
Когда друг начнёт пользоваться сервисом, вы оба получите по +30 бонусных дней и бонусный трафик.
Восстановить доступ — бесплатноПохожие руководства
Что ещё работает в Иране в 2026: почему DPI ломает обычные VPN и почему важен выбор протокола
Что такое VLESS Reality: назначение и отличия от VPN
Как в Иране установить и использовать VPN/VLESS-клиент на Windows — честное объяснение (Windows — самая открытая платформа: нет блокировки магазина приложений, любой клиент запускается прямо из .exe с GitHub, а режим TUN охватывает всю машину; но в Иране есть слой, которого нет в России, — санкции США ограничивают доступ иранских IP к GitHub/npm и геоблокируют около 20% топовых доменов для иранских IP, так что даже скачать клиент может оказаться заблокировано, тогда как главное поле боя по-прежнему — выдержит ли ваш протокол иранский DPI) и более надёжный подход (VLESS+Reality)
Как в Иране установить и использовать VPN/VLESS-клиент на Mac (macOS) — честное объяснение (как и Windows, Mac — самая открытая платформа: в отличие от iPhone он не заблокирован магазином приложений, любой клиент запускается прямо из официального GitHub и обходит удаление из магазина, а системный режим TUN (utun) охватывает всю машину; но в Иране есть слой, которого нет в России, — санкции США геоблокируют по IP, так что даже скачать клиент может оказаться заблокировано, а macOS добавляет две особенности: предупреждение Gatekeeper о «неустановленном разработчике» и выбор сборки под чип (Apple Silicon/Intel), тогда как главное поле боя по-прежнему — выдержит ли ваш протокол иранский DPI) и более надёжный подход (VLESS+Reality)
Как настроить VPN/VLESS на роутере в России — весь дом за один раз (честное объяснение): VPN на роутере значит, что умный телевизор, игровые приставки и IoT идут через туннель без приложения на каждом устройстве; но подходит только роутер, способный запустить xray/sing-box (Keenetic+Entware / OpenWRT+passwall / GL.iNet), — обычный роутер провайдера не годится; процессор роутера — узкое место по скорости; а борьба на уровне протоколов та же — с декабря 2025 RKN блокирует протоколы, так что VLESS+Reality нужен и на роутере
Как установить и пользоваться VPN/VLESS-клиентом на Linux в России: честное объяснение (Linux — самая свободная от магазина платформа: нет привязки к App Store, вы берёте бинарник/AppImage/.deb прямо с официального GitHub и запускаете; но главное отличие от Windows/Mac в том, что клиенты под Linux скорее командной строки/ручные — либо правите JSON-конфиг и запускаете sing-box/xray, либо берёте GUI/веб-интерфейс вроде v2rayA/nekoray; TUN на всю машину требует root или CAP_NET_ADMIN, иначе проксируете по приложениям через SOCKS, а не каждая программа уважает прокси; настоящее поле боя — выдержит ли ваш протокол TSPU от RKN) и более надёжный подход (VLESS+Reality + служба systemd)
Поделиться этим руководством
Уже подписались? Помощь — импорт и устранение неполадок.
Готовы к стабильному доступу в интернет?
ТарифыМатериал носит технический характер. Соблюдайте местные законы при использовании сетевых инструментов. Univista не отвечает за ваш сценарий использования.