XHTTP-Transport für Xray: Umfassendes Setup-Handbuch und Unterschiede zu HTTP

Einleitung

XHTTP-Transport für Xray hat sich zwischen 2024 und 2026 schnell als eine praktische Methode etabliert, den Datenverkehr als gewöhnliches HTTP zu tarnen und moderner DPI sicher zu entgehen. Der Grund ist simpel: Viele Netzwerke erlauben weiterhin klassisches HTTP(S) für legitimen Traffic, und XHTTP imitiert dessen Dialoge ohne den schweren Overhead von HTTP/2- oder WebSocket-Framing. In diesem Leitfaden klären wir, was XHTTP im Xray-Kontext bedeutet, wie es intern funktioniert, worin es sich vom Standard-HTTP-Transport unterscheidet, bieten robuste DPI-resistente Konfigurationsschemata, Checklisten, Performance- und Monitoring-Tipps sowie typische Fehlerquellen, die in realen Netzwerken Verbindungen verhindern. Am Ende hast du eine systematische Methodik, um XHTTP für deine Szenarien zu designen, auszurollen und zu pflegen – vom privaten Gebrauch bis zum Unternehmens-Edge und mobilen Netzen.

Grundlagen

Was sind Xray und Transport

Xray-core ist eine leistungsstarke Proxy-Engine, die ein flexibles Modell aus Protokoll + Transport + Verschlüsselung anbietet. Anwendungsprotokolle (VLESS, VMess, Trojan etc.) regeln Authentifizierung und Multiplexing der Sessions, während der Transport (TCP, WebSocket, HTTP/2, gRPC, QUIC, XHTTP) definiert, wie Bytes über das Netzwerk laufen und welche Netzwerkmerkmale DPI und Zwischenstellen erkennen. Die Verschlüsselung (TLS/XTLS/REALITY) und das Klientensimulationsverfahren (uTLS, JA3-Fingerprints) verschleiern den Inhalt und passen das TLS-Profil realistischen Browsern an.

Wo XHTTP in dieser Matrix steht

XHTTP ist ein Transportmodus, der das Verhalten eines klassischen HTTP/1.1-Dialogs nachahmt und sowohl TLS als auch reines TCP unterstützt (h2c-Äquivalente sind nicht nötig). Ziel ist es, für DPI ein möglichst „normales“ Profil zu bieten: Header, Methoden, Pfade, Keep-Alive, Chunked-Transfer, Upgrade-Muster – und nach rechtmäßigem Handshake den Stream in einen bidirektionalen Byte-Kanal für echten Proxy-Traffic umzuwandeln. Außen wirkt das wie eine dauerhafte HTTP-Anfrage/-Antwort mit einer offenen Verbindung, innen ist es eine Pipeline für dein VLESS/VMess.

Warum das gegen DPI funktioniert

• HTTP/1.1-Semantik. Die meisten DPI-Systeme „verstehen“ und lassen typische HTTP-Header, Methoden (GET/POST/OPTIONS), Kodierungen (Chunked) und Keep-alive-Verbindungen durch.
• Minimaler Framing-Overhead. Im Gegensatz zu HTTP/2 und WebSocket führt XHTTP keine expliziten Frames oder Opcodes ein, sondern hält den Stream so, als wäre es der Körper eines POST oder ein Verbindungsupgrade. Für viele Inspektoren ist das ein „normales“ Muster.
• Flexible Nachahmung. Header (User-Agent, Accept, Referer), Pfade, Hosts, Antwortcodes und sogar Übertragungsintervalle lassen sich täuschend echt an reale Backends anpassen.

Im Vergleich: Normale HTTP-Transports in Xray

Xray bietet HTTP-Transports (oft HTTP/2 oder h2c-ähnliche Modi), die auf Framing und Multiplexing innerhalb von HTTP/2 setzen. Das ist praktisch, hinterlässt aber deutliche Fingerabdrücke (ALPN h2, HPACK-Profile, spezifische Prologe) und erfordert komplizierte Abstimmung. XHTTP vermeidet die typischen HTTP/2-Signale und ist oft die bessere Wahl in „engen“ Netzen, die nur „einfaches“ HTTP/1.1 über TLS 1.3 erlauben und HTTP/2/H3 blockieren oder drosseln.

Deep Dive

Architektur des XHTTP-Stroms

1. TLS/TCP-Aufbau. Der Client stellt eine TCP- (oder TLS-)Verbindung her. Beim TLS kommt uTLS zum Einsatz, um eine echte Browser-Identität vorzutäuschen (JA3, SNI, ALPN – typischerweise http/1.1 plus optional h2 für Realismus).
2. HTTP-Anfrage. Der Client sendet eine plausible HTTP/1.1-Anfrage: Methode (meist POST oder GET), Pfad (z. B. /api, /health, /v1/upload), Header (Host, User-Agent, Accept, Accept-Language, Content-Type, Connection: keep-alive, TE: trailers, Cache-Control, X-Requested-With etc.). Zwei Muster sind üblich: „langer POST-Body“ oder „upgrade-ähnlicher“ Austausch.
3. Serverantwort. Der Server sendet je nach Muster 200/204/101, passende Server-Header (Server: nginx, Date, Content-Type, Transfer-Encoding: chunked, Connection: keep-alive) und hält dann die Verbindung offen.
4. Tunnel. Danach tauschen beide Seiten „nützliche“ Xray-Datenbytes im Body-/Chunk-Strom aus. Für DPI sieht das wie ein lebendes HTTP-Streaming mit fortlaufendem Body/Chunks aus.

Kernunterschiede zwischen XHTTP und HTTP/2 sowie WebSocket

• Kein explizites Browser-Framing. H2/H3 sind auffällig: ALPN h2/h3, Prioritäten, HPACK/QPACK. WS signalisiert sich mit Upgrade: websocket, Sec-WebSocket-Key/Accept. XHTTP nutzt „normale“ Header.
• Weniger Signaturen. DPI hat oft Trainingsdaten für WebSocket und untypische HPACK-Profile. XHTTP kommt in den bewährten HTTP/1.1-Stack rein.
• Flexible Tarnung. Kann überzeugend als Downloader, Uploader, langes SSE oder langsamer API-Endpunkt auftreten.
• Zuverlässigkeit in „lauten“ Netzen. Simples HTTP/1.1 und Chunked-Handling funktionieren meist stabil hinter Unternehmensproxys und NAT.

Performance und Overhead

• Header-Overhead: gering, aber berechenbar. Bei langen Sessions kaum relevant.
• RTT: plus ein RTT für HTTP-Anfrage/-Antwort neben TLS. Reduziert sich durch Keep-Alive und Early Data (wenn unterstützt).
• Durchsatz: vergleichbar mit plain TCP+TLS; Limitierung meist durch Proxy/Loadbalancer und Buffering.

Kompatibilität und ALPN

In der Praxis sorgt ALPN „http/1.1“ für das neutralste Profil. Ist h2 beliebt, kann man „h2“ als Option ergänzen, der Server muss es aber richtig handhaben – sonst gibt es unnötige Verbindungsabbrüche. Für mehr Realismus aktivierst du uTLS mit einem frischen Chrome/Firefox-Profil.

Praktischer Abschnitt 1: Minimalaufbau VLESS+XHTTP über TLS

Ziel

Xray mit VLESS-Protokoll und XHTTP-Transport auf 443/tcp samt gültigem Zertifikat aufsetzen. Außen läuft eine normale Webseite unter derselben Domain oder eine statische Platzhalterseite; Proxy-Traffic geht über den XHTTP-Pfad.

Schritte

1. Domain & DNS. Richte A/AAAA auf VPS ein. Prüfe, ob deine IP nicht auf offensichtlichen Blocklisten steht.
2. Zertifikat. Installiere certbot oder Caddy für automatisches TLS. Minimiere unnötige ALPN-Ausgaben, wenn du kein h2 nutzt.
3. Xray. Aktualisiere auf die Version von 2026. Stelle sicher, dass die Version XHTTP-Transport unterstützt.
4. Server-Konfiguration. Erstelle inbound VLESS mit streamSettings: network: xhttp, security: tls. Setze plausible Header und Pfad.
5. Client-Konfiguration. Nutze identisches network: xhttp, serverName und Pfad/Host wie am Server. Aktiviere uTLS.
6. Firewall. Öffne 443/tcp, sperre unnötige Ports. Aktiviere conntrack-Optimierungen.
7. Test. Verwende curl -v https://deine_domain/pfad – du solltest einen ehrlichen 200/204 erhalten. Prüfe anschließend mit Xray-Client und Log-Metriken die Verbindung.

Beispielkonfiguration (gekürzt)

Server: protocol: vless; clients: UUID; decryption: none; streamSettings: network: xhttp; security: tls; tlsSettings: serverName: deine_domain; alpn: ["http/1.1"]; xhttpSettings: host: ["deine_domain"], path: "/api", method: "POST", headers: {"User-Agent": ["Mozilla/5.0"], "Accept": ["* .related-articles { padding-top: 1rem; } .related-title { font-size: 1.75rem; font-weight: 700; color: var(--gray-900); margin-bottom: 1.5rem; padding-bottom: 0.75rem; border-bottom: 2px solid rgba(59,130,246,0.1); } .related-card { display: flex; flex-direction: column; gap: 0.5rem; height: 100%; background: white; border: 2px solid #e5e7eb; border-radius: 1rem; padding: 1.25rem 1.5rem; text-decoration: none; transition: all 0.3s cubic-bezier(0.4,0,0.2,1); box-shadow: 0 2px 8px rgba(0,0,0,0.04); } .related-card:hover { transform: translateY(-4px); box-shadow: 0 12px 24px rgba(59,130,246,0.15); border-color: var(--primary); } .related-card-title { font-size: 1.0625rem; font-weight: 600; color: var(--gray-900); line-height: 1.4; } .related-card-meta { font-size: 0.8125rem; color: #6b7280; display: flex; align-items: center; gap: 0.375rem; } .article-tldr { position: relative; margin: 0 0 2rem; padding: 1.25rem 1.5rem 1.25rem 1.75rem; background: linear-gradient(135deg, rgba(59,130,246,0.06), rgba(139,92,246,0.05)); border-start: 4px solid var(--primary); border-radius: 0.75rem; } .article-tldr-label { display: inline-block; font-size: 0.75rem; font-weight: 700; text-transform: uppercase; letter-spacing: 0.06em; color: var(--primary); margin-bottom: 0.4rem; } .article-tldr p { margin: 0; font-size: 1.0625rem; line-height: 1.6; color: #374151; font-weight: 500; } [data-bs-theme="dark"] .article-tldr { background: linear-gradient(135deg, rgba(59,130,246,0.10), rgba(139,92,246,0.10)); } [data-bs-theme="dark"] .article-tldr p { color: #e5e7eb; } [data-bs-theme="dark"] .article-tldr-label { color: #60a5fa; } .author-bio-extended { margin: 2rem 0; } .author-bio-card { background: linear-gradient(135deg, rgba(59,130,246,0.03), rgba(139,92,246,0.03)); border: 1px solid rgba(59,130,246,0.15); border-radius: 1.5rem; padding: 2rem; box-shadow: 0 4px 12px rgba(0,0,0,0.04); transition: all 0.3s; } .author-bio-card:hover { box-shadow: 0 8px 24px rgba(59,130,246,0.12); transform: translateY(-2px); } .author-bio-header { display: flex; align-items: center; gap: 1rem; margin-bottom: 1.5rem; padding-bottom: 1rem; border-bottom: 2px solid rgba(59,130,246,0.15); } .author-bio-icon { width: 48px; height: 48px; background: linear-gradient(135deg, var(--primary), var(--accent)); border-radius: 12px; display: flex; align-items: center; justify-content: center; box-shadow: 0 4px 12px rgba(59,130,246,0.3); } .author-bio-icon i { color: white; font-size: 1.25rem; } .author-bio-title { font-size: 1.5rem; font-weight: 700; color: var(--gray-900); margin: 0; } .author-bio-content { display: grid; grid-template-columns: 150px 1fr; gap: 2rem; align-items: start; } .author-photo-wrapper { position: relative; width: 150px; height: 150px; } .author-photo { width: 100%; height: 100%; object-fit: cover; border-radius: 1rem; border: 3px solid white; box-shadow: 0 8px 20px rgba(0,0,0,0.1); } .author-photo-badge { position: absolute; bottom: -8px; right: -8px; width: 36px; height: 36px; background: linear-gradient(135deg, var(--success), #059669); border-radius: 50%; display: flex; align-items: center; justify-content: center; border: 3px solid white; } .author-photo-badge i { color: white; font-size: 0.75rem; } .author-main-info { margin-bottom: 1rem; padding-bottom: 1rem; border-bottom: 1px solid rgba(0,0,0,0.08); } .author-name { font-size: 1.25rem; font-weight: 700; color: var(--gray-900); margin: 0 0 0.25rem; } .author-job { font-size: 0.9rem; color: var(--primary); margin: 0; font-weight: 500; } .author-info-list { display: flex; flex-direction: column; gap: 1rem; } .author-info-item { display: flex; gap: 1rem; align-items: flex-start; } .info-icon { width: 36px; height: 36px; min-width: 36px; background: rgba(59,130,246,0.08); border-radius: 8px; display: flex; align-items: center; justify-content: center; } .info-icon i { color: var(--primary); font-size: 0.875rem; } .info-content { font-size: 0.9rem; line-height: 1.5; } .info-content strong { display: block; font-size: 0.8rem; text-transform: uppercase; letter-spacing: 0.5px; color: #6b7280; margin-bottom: 0.25rem; } .expertise-tags { display: flex; flex-wrap: wrap; gap: 0.5rem; margin-top: 0.25rem; } .expertise-tag { padding: 0.25rem 0.75rem; background: rgba(59,130,246,0.08); color: var(--primary); border-radius: 1rem; font-size: 0.8rem; font-weight: 500; border: 1px solid rgba(59,130,246,0.15); } .achievements-list { margin: 0.25rem 0 0; padding-left: 1.25rem; } .achievements-list li { font-size: 0.9rem; margin-bottom: 0.25rem; } .author-bio-text { margin-top: 1rem; padding: 1rem; background: rgba(0,0,0,0.02); border-radius: 0.75rem; border-start: 3px solid var(--primary); } .author-bio-text p { margin: 0; font-size: 0.9rem; line-height: 1.6; color: #4b5563; } @media (max-width: 991px) { .article-content-card { padding: 2rem; } .article-title { font-size: 2rem !important; } .articleBody { font-size: 1rem; } .articleBody h2 { font-size: 1.75rem; } .articleBody h3 { font-size: 1.375rem; } } @media (max-width: 768px) { .article-content-card { padding: 1.5rem; border-radius: 1rem; } .article-title { font-size: 1.75rem !important; } .article-nav-title { font-size: 1rem; } .author-bio-content { grid-template-columns: 1fr; } .author-photo-wrapper { width: 100px; height: 100px; margin: 0 auto; } .info-icon { align-self: flex-start; } } [data-bs-theme="dark"] .article-search { background: #1f2937; border-color: rgba(255,255,255,0.1); color: #f9fafb; } [data-bs-theme="dark"] .article-search::placeholder { color: #9ca3af; } [data-bs-theme="dark"] .article-search:focus { border-color: var(--primary) !important; background: #1f2937; } [data-bs-theme="dark"] .article-content-card { background: #1f2937; border: 1px solid rgba(255,255,255,0.06); } [data-bs-theme="dark"] .article-title { color: #f9fafb !important; } [data-bs-theme="dark"] .article-meta { color: #9ca3af !important; } [data-bs-theme="dark"] .articleBody { color: #d1d5db; } [data-bs-theme="dark"] .articleBody h2, [data-bs-theme="dark"] .articleBody h3, [data-bs-theme="dark"] .articleBody h4 { color: #f9fafb; } [data-bs-theme="dark"] .articleBody a { color: #60a5fa; border-bottom-color: rgba(96,165,250,0.3); } [data-bs-theme="dark"] .articleBody a:hover { color: #93c5fd; border-bottom-color: #60a5fa; } [data-bs-theme="dark"] .articleBody blockquote { background: linear-gradient(135deg, rgba(59,130,246,0.1), rgba(139,92,246,0.1)); color: #d1d5db; } [data-bs-theme="dark"] .articleBody code { background: rgba(255,255,255,0.05); color: #f472b6; } [data-bs-theme="dark"] .articleBody pre { background: #111827; } [data-bs-theme="dark"] .article-nav-link { background: #1f2937; border-color: rgba(255,255,255,0.1); } [data-bs-theme="dark"] .article-nav-link:hover { border-color: rgba(59,130,246,0.5); } [data-bs-theme="dark"] .article-nav-direction { color: #60a5fa; } [data-bs-theme="dark"] .article-nav-title { color: #f9fafb; } [data-bs-theme="dark"] .author-bio-card { background: linear-gradient(135deg, rgba(59,130,246,0.08), rgba(139,92,246,0.08)); border-color: rgba(59,130,246,0.25); } [data-bs-theme="dark"] .author-bio-title, [data-bs-theme="dark"] .author-name { color: #f9fafb; } [data-bs-theme="dark"] .author-job { color: #60a5fa; } [data-bs-theme="dark"] .author-photo { border-color: #1f2937; } [data-bs-theme="dark"] .author-photo-badge { border-color: #1f2937; } [data-bs-theme="dark"] .author-main-info { border-bottom-color: rgba(255,255,255,0.1); } [data-bs-theme="dark"] .info-icon { background: linear-gradient(135deg, rgba(59,130,246,0.15), rgba(139,92,246,0.15)); } [data-bs-theme="dark"] .info-content { color: #d1d5db; } [data-bs-theme="dark"] .info-content strong { color: #f9fafb; } [data-bs-theme="dark"] .expertise-tag { background: linear-gradient(135deg, rgba(59,130,246,0.15), rgba(139,92,246,0.15)); color: #60a5fa; border-color: rgba(59,130,246,0.3); } [data-bs-theme="dark"] .author-bio-text { background: rgba(255,255,255,0.03); border-start-color: #60a5fa; } [data-bs-theme="dark"] .author-bio-text p { color: #d1d5db; } [data-bs-theme="dark"] .article-share-section h4 { color: #f9fafb; } [data-bs-theme="dark"] .related-title { color: #f9fafb; border-bottom-color: rgba(96,165,250,0.2); } [data-bs-theme="dark"] .related-card { background: #1f2937; border-color: rgba(255,255,255,0.1); } [data-bs-theme="dark"] .related-card:hover { border-color: rgba(59,130,246,0.5); } [data-bs-theme="dark"] .related-card-title { color: #f9fafb; } [data-bs-theme="dark"] .related-card-meta { color: #9ca3af; } body { background: #0A0E14 !important; } .breadcrumb { background: transparent !important; } .breadcrumb-item a { color: #8a94a6; } .breadcrumb-item.active { color: #6B7689 !important; } .breadcrumb-item + .breadcrumb-item::before { color: #4a5260 !important; } .article-content-card { background: transparent !important; border: 0 !important; box-shadow: none !important; } .article-title { color: #F5F6F7 !important; } .article-meta { color: #8a94a6 !important; } .article-meta i { color: #19E3B1 !important; } .article-search { background: #11161F !important; border: 1px solid rgba(245,246,247,.12) !important; color: #F5F6F7 !important; } .article-search::placeholder { color: #6B7689 !important; } .articleBody { color: #C5CAD3 !important; } .articleBody h2, .articleBody h3, .articleBody h4 { color: #F5F6F7 !important; } .articleBody h2 { border-bottom-color: rgba(245,246,247,.10) !important; } .articleBody a { color: #19E3B1 !important; border-bottom-color: rgba(25,227,177,.35) !important; } .articleBody a:hover { color: #3BEBC0 !important; border-bottom-color: #3BEBC0 !important; } .articleBody ul li::marker { color: #19E3B1 !important; } .articleBody blockquote { background: rgba(25,227,177,.05) !important; border-start-color: #19E3B1 !important; color: #aeb6c2 !important; } .articleBody code { background: rgba(25,227,177,.12) !important; color: #3BEBC0 !important; } .articleBody pre { background: #11161F !important; border: 1px solid rgba(245,246,247,.08) !important; color: #c2c9d4 !important; } .articleBody pre code { color: #c2c9d4 !important; } .articleBody img { box-shadow: 0 10px 34px rgba(0,0,0,.5) !important; } .article-tldr { background: rgba(25,227,177,.07) !important; border: 1px solid rgba(25,227,177,.22) !important; border-start: 3px solid #19E3B1 !important; } .article-tldr-label { color: #19E3B1 !important; } .article-tldr p { color: #c2c9d4 !important; } .article-share-section h4 { color: #F5F6F7 !important; } .article-nav-link, .related-card { background: #1A2230 !important; border: 1px solid rgba(245,246,247,.08) !important; box-shadow: none !important; } .article-nav-link:hover, .related-card:hover { border-color: rgba(25,227,177,.35) !important; box-shadow: 0 16px 40px -16px rgba(0,0,0,.6) !important; } .article-nav-direction { color: #19E3B1 !important; } .article-nav-title, .related-card-title, .related-title { color: #F5F6F7 !important; } .related-title { border-bottom-color: rgba(245,246,247,.10) !important; } .related-card-meta { color: #6B7689 !important; } .related-card-meta i { color: #19E3B1 !important; } .author-bio-card { background: #11161F !important; border-color: rgba(245,246,247,.08) !important; } .author-bio-header { border-bottom-color: rgba(245,246,247,.10) !important; } .author-bio-title, .author-name { color: #F5F6F7 !important; } .author-job { color: #19E3B1 !important; } .author-bio-icon { background: #19E3B1 !important; } .author-bio-icon i { color: #0A0E14 !important; } .author-main-info { border-bottom-color: rgba(245,246,247,.08) !important; } .author-photo { border-color: #1A2230 !important; } .info-icon { background: rgba(25,227,177,.12) !important; } .info-icon i { color: #19E3B1 !important; } .info-content { color: #c2c9d4 !important; } .info-content strong { color: #8a94a6 !important; } .expertise-tag { background: rgba(25,227,177,.10) !important; color: #19E3B1 !important; border-color: rgba(25,227,177,.22) !important; } .author-bio-text { background: rgba(255,255,255,.03) !important; border-start-color: #19E3B1 !important; } .author-bio-text p, .achievements-list li, .author-bio-content { color: #aeb6c2 !important; }