reality 伪装网站

[lhbdhr]

reality 可以正常使用，但是chrome直接访问的话，reality可以用dest退回到伪装网站吗？
xxxxx.com 使用了不受支持的协议。
ERR_SSL_VERSION_OR_CIPHER_MISMATCH

[kingwilliam]

已确实吗?

https://github.com/XTLS/REALITY
目标网站最低标准：国外网站，支持 TLSv1.3 与 H2

如对方是 www.xxx.com dest 也要 www.xxx.com 不能只 xxx.com
"dest": "www.xxx.com:443",

还有 留意 不是所有 domain 都能偷 如Microsoft.com 就已不能

[qfqha]

为什么有些网站明明符合要求却不能偷呢，我现在使用github.com，是否安全呢

[kingwilliam]

就算已付合所有要求 但却不能偷 原因有好多 如microsoft就是其一 因太多人偷 所以给闸了 如站在他们伺服器看 会看见reality的行为不是正常浏览 都带点点 攻击性(正确一点 应是莫明其妙行为 而且是连续)

[qfqha]

如果选择了类似microsoft这样不可用的域名，在使用时会表现为无法正常连接吗，还是可以连接但是无法伪装特征明显呢（话说GitHub会不会哪天也ban了）

[kingwilliam]

reality重点就是偷别网站证书 封了你就是连证书也取不了 所以特征就是连接也不能

[someonewating]

Hi @kingwilliam ,

我也遇到同样问题。
使用的是推荐配置，没有任何更改，只是使用 xray x25519 替换了private key的部分。Reference: https://github.com/chika0801/Xray-examples/blob/main/VLESS-Vision-REALITY/config_server.json
可以正常访问Google等网站，但如果直接通过域名访问VPS，会出现ERR_SSL_VERSION_OR_CIPHER_MISMATCH。
查看了 debug log，发现重现问题时有 transport/internet/tcp: REALITY: processed invalid connection。

非常感谢您！

full config:

{
    "log": {
        "loglevel": "debug"
    },
    "inbounds": [
        {
            "listen": "0.0.0.0",
            "port": 443,
            "protocol": "vless",
            "settings": {
                "clients": [
                    {
                        "id": "chika", // 长度为 1-30 字节的任意字符串，或执行 xray uuid 生成
                        "flow": "xtls-rprx-vision"
                    }
                ],
                "decryption": "none"
            },
            "streamSettings": {
                "network": "tcp",
                "security": "reality",
                "realitySettings": {
                    "dest": "www.lovelive-anime.jp:443", // 目标网站最低标准：国外网站，支持 TLSv1.3、X25519 与 H2，域名非跳转用（主域名可能被用于跳转到 www）
                    "serverNames": [ // 客户端可用的 serverName 列表，暂不支持 * 通配符，在 Chrome 里输入 "dest" 的网址 -> F12 -> 安全 -> F5 -> 主要来源（安全），填证书中 SAN 的值
                        "www.lovelive-anime.jp",
                        "lovelive-anime.jp"
                    ],
                    "privateKey": "***", // 执行 xray x25519 生成，填 "Private key" 的值
                    "shortIds": [ // 客户端可用的 shortId 列表，可用于区分不同的客户端，0 到 f，长度为 2 的倍数，长度上限为 16，可留空，或执行 openssl rand -hex 1到8 生成
                            "89e0cd1f6b390c60"
                    ]
                }
            },
            "sniffing": {
                "enabled": true,
                "destOverride": [
                    "http",
                    "tls",
                    "quic"
                ]
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "freedom",
            "tag": "direct"
        },
        {
            "protocol": "blackhole",
            "tag": "block"
        }
    ]
}

[someonewating]

Updates:
补充一下我的发现。因为我现在用的是vision方案，有一个nginx用来将异常流量重定向到www.lovelive-anime.jp。我试了偷我自己nginx的域名，是ok的。
其次我也试了一些别的域名，e.g. www.cloudflare.com, azure.microsoft.com，以及我自己的伪装域名。从结果看，www.cloudflare.com是成功偷到了，azure.microsoft.com不行，我自己的伪装域名也成功了。
对比三个网站使用的TLS，似乎网站除了要支持H2, TLS1.3, 采用X25519外，cipher必须要是AES_128_GCM且Server signature 必须要是ECDSA with SHA-256 才可以成功。

Solution:
我没有经过仔细测试，但我会采用偷自己域名作为最终解决方案。