SNI در VLESS Reality: چیست و چطور انتخابش کنیم؟

SNI تنها فیلدی است که تعیین می‌کند تونل VLESS Reality شما از کنار DPI رد می‌شود یا همان بسته اول کشته می‌شود. اشتباه انتخابش کنید و یک کانفیگ از نظر فنی بی‌نقص هم می‌میرد.

---

SNI دقیقاً چیست

SNI مخفف Server Name Indication است. فیلدی در دست‌دهی TLS — که داخل همان اولین پیام ClientHello و پیش از برقراری کامل نشست رمزگذاری‌شده فرستاده می‌شود — که به سرور می‌گوید شما کدام سایت را می‌خواهید. یک آدرس IP می‌تواند هزاران سایت را میزبانی کند، پس SNI راهی است که سرور بفهمد کدام گواهی را برگرداند.

نکته اینجاست. در یک اتصال HTTPS معمولی، SNI به‌صورت آشکار منتقل می‌شود. ISP شما نمی‌تواند محتوای نشست را بخواند، اما همان یک نام را می‌خواند. فایروال‌های ملی دقیقاً روی همین حساب باز می‌کنند. یک نام ممنوع در SNI ببینند → اتصال را قطع می‌کنند. بخش بزرگی از «سایت اصلاً باز نمی‌شود» همین‌طور کار می‌کند.

برای Reality، همین فیلد قابل‌مشاهده دیگر یک نشت نیست، بلکه خودِ استتار است.

---

Reality چطور دست‌دهی یک سایت واقعی را قرض می‌گیرد

Reality مشکل همیشگی VPN را وارونه می‌کند. به‌جای ساختن گواهی خودش که یک جعبه DPI می‌تواند آن را ناشناس علامت بزند، اتصال شما را به هویت TLS یک وب‌سایت واقعی و بزرگ می‌پوشاند.

دو تنظیم این کار را می‌کنند و باید با هم هماهنگ باشند:

• مقصد (همان dest/target روی سرور) — سایت واقعی که سرور شما TLS را بی‌سروصدا به آن پراکسی معکوس می‌کند.
• serverName / SNI (چیزی که کلاینت شما ارائه می‌دهد) — نام دامنه‌ای که کلاینت ادعا می‌کند در حال بازدید از آن است.

وقتی کلاینت شما یک نشست Reality باز می‌کند، آن دامنه بزرگ را در SNI می‌گذارد. سرور شما یکی از کلاینت‌های خودش را می‌شناسد و نشست را به خودش هدایت می‌کند. برای هر چیزی که نمی‌شناسد — یک پروب فعال، یک سانسورچی کنجکاو که پورت را وارسی می‌کند — به‌صورت شفاف به سایت واقعی فوروارد می‌کند. پس برای یک ناظر بیرونی گواهی، کل زنجیره و اثر انگشت TLS 1.3 همه به آن دامنه قانونی تعلق دارند. نه خودامضایی، نه چیز تازه‌ای برای فهرست‌کردن.

SNI که ارائه می‌دهید و مقصدی که از آن قرض می‌گیرید باید همان یک دامنه واقعی باشند. یک چیز ادعا کنید و جای بی‌ربطی فرود بیایید، آنگاه به‌جای پنهان‌کردن یک امضا، خودتان یک امضا ساخته‌اید.

---

چرا انتخاب SNI تعیین می‌کند مسدود می‌شوید یا نه

جعبه DPI سانسورچی یک سؤال ساده درباره دست‌دهی شما می‌پرسد: این ترافیک کجا می‌رود و آیا آن مقصد عادی به نظر می‌رسد؟ با Reality، پاسخِ به‌ظاهر صادقانه یک دامنه بزرگ و مورد اعتماد است. اگر آن دامنه تمیز و در دسترس باشد، ترافیک عبور می‌کند و شما رد می‌شوید.

اگر نباشد، همان ماشینی که شما را پنهان می‌کند تبدیل به چیزی می‌شود که شما را لو می‌دهد. همان تونل، همان رمزنگاری، نتیجه معکوس — و تنها متغیری که عوض شد نامِ جلوی کار بود. برای همین SNI تزئینی نیست. کل شرط‌بندی است.

---

چه چیزی یک SNI خوب می‌سازد (معیارها)

هیچ «بهترین SNI» جهانی برای VLESS Reality وجود ندارد. بهترین گزینه دامنه‌ای است که از جایی که واقعاً وصل می‌شوید همه معیارهای زیر را رد کند:

• پشت یک CDN بزرگ یا ارائه‌دهنده مهم. میلیون‌ها سایت بی‌ربط پشت همان زیرساخت نشسته‌اند، پس مسدودکردن مقصد شما یعنی خسارت جانبی که سانسورچی معمولاً حاضر به پرداختش نیست.
• از داخل کشور سانسورشده قابل دسترس. از ایران، ترکیه یا هر جا که کاربرانتان هستند تست کنید. دامنه‌ای که در فرانکفورت سریع است اما در تهران مسدود، به‌عنوان پوشش آنجا بی‌ارزش است.
• نه در لیست انسداد محلی و با اعتبار تمیز. خارجی، خنثی و بی‌حاشیه. نه دسته بزرگسال، قمار یا از پیش فیلترشده.
• TLS 1.3 واقعی + HTTP/2، تا allowInsecure=0 اجرا کنید. مقصد باید گواهی معتبر روی TLS 1.3 با X25519 ارائه دهد. آنگاه کلاینت شما گواهی واقعی را تأیید می‌کند و هرگز سراغ allowInsecure=1 نمی‌روید.
• پایدار و دیرپا. دامنه‌ای که سال‌هاست وجود دارد و ماه بعد ناپدید نمی‌شود یا CDN عوض نمی‌کند.
• نه همان پیش‌فرض کلیشه‌ای که همه کپی می‌کنند. SNIهایی که در هزاران کانفیگ عمومی چسبانده شده‌اند اولین چیزی هستند که اپراتورهای DPI اثر انگشتشان را برمی‌دارند.

یک دروازه سریع پیش از انتخاب نهایی → آن را از کشور هدف resolve کنید، TLS 1.3 را در دست‌دهی تأیید کنید و مطمئن شوید همان‌جا مسدود نیست. اگر هر کدام از این سه رد شد، سراغ گزینه بعدی بروید.

---

چرا یک SNI بد شما را مسدود می‌کند

هر معیار مستقیماً به یک حالت شکست نگاشت می‌شود:

• خودِ سایت SNI در کشور مسدود است. حالا تونل شما ادعا می‌کند در حال بازدید از یک مقصد ممنوع است، پس سانسورچی به همان دلیلی که سایت واقعی را می‌بندد آن را هم قطع می‌کند. شکست آنی — و به نظر می‌رسد VPN شما خراب است.
• مقصد واقعاً آن‌طور که Reality انتظار دارد TLS 1.3 حرف نمی‌زند. ناهماهنگی دست‌دهی. یا اصلاً وصل نمی‌شود، یا اثر انگشت آن‌قدر لنگ می‌زند که جلب توجه می‌کند.
• allowInsecure=1. به کلاینت گفته‌اید هر گواهی‌ای را بپذیرد. جعبه‌های پروب فعال و MITM عاشق این هستند، چون تنها بررسی‌ای که استتار را صادق نگه می‌دارد حذف می‌شود.
• SNI پرمصرف. به‌محض اینکه یک مقصد در لیست‌های عمومی اسکرپ‌شده ظاهر شود، اپراتورها می‌توانند همان دامنه به‌علاوه الگو را هدف بگیرند. محبوب یعنی امن نیست.
• مقصد و SNI با هم نمی‌خوانند. یک دامنه ادعا کنید و روی IP در شبکه‌ای بی‌ربط فرود بیایید، این ناهماهنگی خودش یک امضاست.

ایران استثنای صادقانه است. حتی یک SNI خوب هم می‌تواند نه به‌خاطر خود نام، بلکه به‌خاطر انسداد حجم‌محور و پر-IP بسوزد — استتار سرجایش می‌ماند، اما آدرس IP مقصد وقتی ترافیک کافی روی یک آدرس سوار شود جلب توجه می‌کند. ایران واقعاً سخت است و هیچ انتخاب SNI آن را آسان نمی‌کند. بازی واقع‌بینانه آنجا داشتن IPهای کم‌ترافیک متعدد و چرخش است، نه یک دامنه زیرکانه.

---

Veilora SNI را برایتان انتخاب می‌کند

اگر کاربر عادی هستید، هیچ‌کدام از اینها کار شما نیست. Veilora برای هر سرور و هر منطقه SNI و مقصد را به‌صورت خودکار انتخاب و چرخش می‌دهد، دسترس‌پذیری را از کشورهایی که اهمیت دارند تست می‌کند و وقتی یک گزینه شروع به افت می‌کند مقادیر تازه می‌فرستد — همان منطق VeilShift پشت پشته VLESS + Reality ما. در نظرسنجی مه ۲۰۲۶ ما در ۶۰ ISP در ۴ کشور سانسورشده، این تونل ۹۲ تا ۹۸ درصد سایت‌های محلی مسدودشده را بازگرداند — ترکیه ۹۲٪، پاکستان ۹۸٪، هند ۹۲٪، اندونزی ۹۷٪ (چطور تست می‌کنیم).

به دلایل امنیتی، اینکه از کدام دامنه‌های تولیدی استفاده می‌کنیم را منتشر نمی‌کنیم. انتشار آنها دقیقاً همان راهی است که یک SNI خوب را می‌سوزاند — لحظه‌ای که یک مقصد کارآمد در لیست عمومی بیفتد، تبدیل به هدف می‌شود.

اگر خودتان Xray را میزبانی می‌کنید، SNI مال شماست که انتخاب کنید و مدام تست کنید. یک گزینه را بر اساس معیارهای بالا انتخاب کنید، از داخل کشور هدف تأییدش کنید و طبق یک برنامه دوباره بررسی‌اش کنید، چون دامنه‌ای که امروز تمیز است فردا می‌تواند مسدود شود یا CDN عوض کند. راهنمای Xray روی اندروید نشان می‌دهد این فیلدها در یک کانفیگ واقعی کجا هستند، و وبلاگ بقیه پشته را پوشش می‌دهد.

---

قدم بعدی شما

نمی‌خواهید هیچ‌کدام از اینها را مدیریت کنید؟ یک کانفیگ آماده و چرخشی از /free-configs/ بگیرید — ۱۰ گیگ در ماه، بدون کارت — و بگذارید انتخاب SNI سمت سرور اتفاق بیفتد. اگر مشخصاً در یک منطقه سخت هستید، با راهنمای ایران یا ترکیه شروع کنید. Reality فقط به‌اندازه نامِ جلویش خوب است. آن نام را خوب انتخاب کنید، یا بگذارید چیزی که این کار را از قبل انجام می‌دهد برایتان انجامش دهد.