Wie man 3x-ui installiert und die richtige Anti-Zensur-Konfiguration wählt

Schlüsselwörter

The quick glossary below keeps the terms straight before the installation starts:

Wie man 3x-ui auf einem VPS installiert und die richtige Anti-Zensur-Konfiguration wählt

Eines Tages funktioniert dein VPN. Am nächsten Tag funktioniert es nicht mehr. In restriktiven Netzwerken ist die Blockierung oft weniger darauf ausgerichtet, ob der Datenverkehr verschlüsselt ist, sondern darauf, ob der Datenverkehr leicht zu klassifizieren aussieht.

Das ist der Teil, den viele ältere VPN-Tutorials überspringen. Verschlüsselung allein garantiert keine Tarnung. Netzwerke können immer noch Handshake-Muster, Paketverhalten und Protokoll-Fingerprints ausreichend inspizieren, um zu entscheiden, dass dein Datenverkehr nicht normal aussieht. Die Frage hört also auf, “wie installiere ich ein VPN?” zu sein, und wird zu “wie lasse ich die Datenverkehrsform normal genug aussehen, um Filterung zu überstehen?”

Dieser Leitfaden ist der grundlegende Schritt. Du wirst ein funktionierendes 3x-ui-Panel auf einem Ubuntu VPS installieren, die Admin-Oberfläche korrekt sichern und mit einem klaren Rahmen gehen, um zu wählen, was du als nächstes im Panel konfigurieren möchtest. Wenn du auf einem kleinen VPS selbst hostest — ob von AlexHost oder einem anderen Anbieter — ist dies der Punkt, an dem die Einrichtung verwaltbar wird.

Was 3x-ui wirklich ist — und was nicht

Der wichtigste Missverständnis, das man früh klären sollte, ist dieses: 3x-ui ist nicht die Zensur-Umgehungstechnologie selbst. Es ist das Dashboard. Xray ist die Engine darunter. Die Protokoll-, Transport- und Sicherheitsentscheidungen in dieser Engine bestimmen, wie sich Ihr Traffic im Netzwerk verhält.

3x-ui ist wichtig, weil es Xray aus einem Haufen von manuell bearbeiteten JSON-Dateien in etwas verwandelt, das ein durchschnittlicher Mensch bedienen kann. Sie erhalten ein Web-Kontrollpanel zum Erstellen von Inbounds, zum Hinzufügen von Clients, zum Exportieren von Links oder QR-Codes, zum Verwalten von Limits, zum Aktualisieren von Geofiles und zum Verwalten von Admin-Zugriff und Panel-SSL.

Das kurze Glossar unten hält die Begriffe vor dem Start der Installation auseinander:

📝 Hinweis: 3x-ui wird am besten als Verwaltungsebene für Xray-core verstanden, und das Projekt selbst rahmt es als Software für den persönlichen Gebrauch ein, anstatt es beiläufig als gehärtete Produktionsinfrastruktur zu behandeln.

Diese Unterscheidung ist auch für die Sicherheit wichtig. Ein HTTPS-fähiges Panel mit starken Admin-Anmeldedaten schützt die Kontrolloberfläche — den Ort, an dem Sie sich anmelden und den Server verwalten. Es macht Benutzer-Traffic nicht automatisch unauffällig. Die Installation gibt Ihnen Kontrolle; der danach gewählte Protokoll-Stack bestimmt, wie die Verbindung im Netzwerk aussieht.

Vor der Installation: Server- und Zugriffsprüfliste

3x-ui benötigt keinen großen Server, aber einen sauberen Installationspfad. Für diese Anleitung ist die Grundlage Ubuntu 22.04 LTS oder 24.04 LTS, SSH-Zugriff mit Root- oder Sudo-Privilegien, eine öffentliche IP-Adresse und bescheidene Ressourcen wie 1 vCPU und 1 GB RAM. Jede geeignete VPS funktioniert, einschließlich kostengünstiger Einstiegspläne, solange sie dir vorhersehbaren Netzwerkzugriff und Firewall-Kontrolle bietet.

Bevor du irgendwelche Befehle ausführst, überprüfe diese Checkliste:

• Betriebssystem: Ubuntu 22.04 LTS oder 24.04 LTS
• Zugriffsstufe: Root-SSH-Zugriff oder ein Benutzer mit vollständigen sudo-Privilegien
• Netzwerk: öffentliche IP-Adresse und die Möglichkeit, erforderliche Ports zu öffnen
• Traffic-Port: 443/tcp für HTTPS-ähnlichen Proxy-Traffic später
• ACME-Validierungsport: 80/tcp nur wenn du den integrierten Let’s Encrypt-Flow des Installers für das Panel möchtest; ACME ist die öffentliche Erreichbarkeitsprüfung für die Zertifikatvalidierung
• Panel-Erreichbarkeit: sei bereit, dass der Installer einen zufälligen Panel-Port und randomisierte webBasePath zuweist
• Erwarteter Endzustand: eine erreichbare Panel-URL, gespeicherte Anmeldedaten und ein verifizierter HTTPS-Panel-Service

⚠️ Warnung: Wenn du UFW zum ersten Mal auf einer Remote-VPS aktivierst, erlaube SSH, bevor du die Firewall aktivierst. Andernfalls kannst du dich selbst aus dem Server aussperren, den du konfigurieren möchtest.

Sobald diese Grundlagen erfüllt sind, wird der Rest unkompliziert. Die nächsten zwei Abschnitte führen dich von „Ich habe eine VPS” zu „Ich habe ein funktionierendes Kontrollpanel” ohne Raterei.

Servervorbereitung: BBR und Grundlagen

Mit verifizierten Voraussetzungen bereiten wir nun den Server vor. Diese Phase optimiert Ihren VPS vor der Installation von VPN-Software und gewährleistet maximale Leistung von Anfang an.

💡 TIPP: Verwenden Sie BBR vor der Bereitstellung — es verbessert oft den Durchsatz und die Latenz bei eingeschränkten oder höheren Latenzverbindungen.

Aktualisieren Sie zunächst Ihre Systempakete. Dies stellt sicher, dass Sie die neuesten Sicherheitsupdates und erforderlichen Abhängigkeiten haben:

apt update && apt upgrade -y

Dieser Schritt kann je nach VPS-Anbieter und Netzwerkgeschwindigkeit 1-5 Minuten dauern. Einige Anbieter wie Vultr aktualisieren ihre Images bereits während der Bereitstellung vor, daher könnte dieser Schritt auf einigen Systemen schnell abgeschlossen sein.

Aktivieren Sie anschließend die Google BBR-Staukontrolle. BBR (Bottleneck Bandwidth and Round-trip propagation time) ist Googles Staukontrollalgorithmus. Anstatt sich hauptsächlich auf Paketverlusten als Signal zu verlassen, versucht er, verfügbare Bandbreite und Round-Trip-Zeit direkter zu modellieren, was den Durchsatz und die Reaktionsfähigkeit auf einigen VPS-Verbindungen verbessern kann.

# Verify BBR module is available
lsmod | grep tcp_bbr

Wenn nichts angezeigt wird, laden Sie das Modul manuell:

modprobe tcp_bbr

Erstellen Sie nun die sysctl-Konfiguration, um BBR dauerhaft zu aktivieren:

cat >> /etc/sysctl.d/99-bbr.conf << 'EOF'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF

Wenden Sie die Konfiguration an:

sysctl -p /etc/sysctl.d/99-bbr.conf

Überprüfen Sie, ob BBR aktiv ist:

sysctl net.ipv4.tcp_congestion_control
sysctl net.ipv4.tcp_available_congestion_control

Sie sollten bbr als den aktiven Algorithmus sehen.

Einige Systeme profitieren von einem Neustart nach der Aktivierung von BBR — dies stellt sicher, dass das Modul ordnungsgemäß geladen wird und alle Netzwerkoptimierungen wirksam werden:

reboot

Stellen Sie nun sicher, dass Port 443 erreichbar ist. Wenn Sie den integrierten Let’s Encrypt-Flow des 3x-ui-Installers für das Panel verwenden möchten, erlauben Sie auch 80/tcp — dieser Port wird für die ACME-Zertifikatvalidierung verwendet, nicht für das Panel selbst. Wenn Ihr VPS-Anbieter auch eine Cloud-Firewall oder Security-Group-Ebene hat, erlauben Sie dort die gleichen Ports. Unter Ubuntu ist der sicherste Weg normalerweise UFW:

# If this is a remote VPS and you're enabling UFW for the first time, allow SSH before enabling the firewall
ufw allow OpenSSH
# Allow HTTPS-style Reality traffic
ufw allow 443/tcp
# Allow ACME validation for the 3x-ui panel's built-in Let's Encrypt setup
ufw allow 80/tcp
# Review rules, then enable only if UFW is not already active
ufw status
ufw enable

⚠️ WARNUNG: Port 443 wird dringend empfohlen, da er normalem HTTPS-Verkehr entspricht. Andere Ports können technisch funktionieren, aber sie vermischen sich weniger natürlich und machen das Setup leichter erkennbar.

Ihr Server ist nun optimiert und bereit für die 3x-ui-Installation.

Installation des 3x-ui Panels

Wir verwenden den MHSanaei Fork, der aktiv gepflegt wird und aktuelle Protokolle unterstützt. Nochmals wichtiger Hinweis: Das Projekt selbst stellt 3x-ui als Panel für persönliche Nutzung dar, daher sollten Sie es als Admin-Komfortebene behandeln und das Panel sorgfältig absichern.

Bevor Sie das Installationsprogramm ausführen, beachten Sie eine leicht zu übersehende Anforderung: Wenn Sie möchten, dass das integrierte Let’s Encrypt-Setup des Installers ein SSL-Zertifikat für das Panel ausstellt, muss 80/tcp offen und vom öffentlichen Internet aus erreichbar sein. Dieser ACME-Validierungsport ist separat vom Panel-Port, den Sie während des Setups wählen.

Führen Sie den Installationsbefehl aus:

bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Aktuelle Versionen des Installers beginnen nicht mit dem älteren nummerierten Menü Installieren / Aktualisieren / Deinstallieren, das viele Tutorials noch zeigen. Stattdessen startet das Skript die Installation sofort, installiert fehlende Abhängigkeiten, lädt die neueste Version herunter und führt Sie dann durch die Panel-Setup-Eingabeaufforderungen.

Ein typischer Installationsablauf sieht jetzt so aus:

1. Wählen Sie, ob Sie einen benutzerdefinierten Panel-Port festlegen oder den Installer einen zufälligen generieren lassen möchten.
2. Lassen Sie den Installer einen zufälligen Benutzernamen, ein Passwort und einen webBasePath generieren.
3. Wählen Sie, wie Sie das Panel-SSL konfigurieren möchten:
   • 1 = Let’s Encrypt für eine Domain
   • 2 = Let’s Encrypt für die Server-IP
   • 3 = Verwenden Sie ein vorhandenes Zertifikat
4. Füllen Sie die Zertifikat-Eingabeaufforderungen aus, wenn Sie den integrierten Let’s Encrypt-Ablauf verwenden.

⚠️ WICHTIG: Der Panel-Port ist nicht dasselbe wie der ACME-Validierungsport. Sie könnten das Panel auf einem zufälligen Port wie 13525 ausführen und benötigen dennoch öffentlich erreichbares 80/tcp, damit Let’s Encrypt das Zertifikat validieren kann.

Die wichtige Regel ist einfach: Verwenden Sie die genauen Anmeldedaten, den Pfad und die URL, die Ihr eigenes Installationsprogramm ausgibt, nicht Annahmen, die aus älteren Tutorials kopiert wurden.

Ihre endgültige Ausgabe sieht eher so aus:

Username:    GENERATED_USERNAME
Password:    GENERATED_PASSWORD
Port:        13525
WebBasePath: RANDOM_PATH
Access URL:  https://YOUR_SERVER_IP:13525/RANDOM_PATH

Überprüfen Sie, ob der Dienst ausgeführt wird:

systemctl status x-ui

Diese Überprüfung ist wichtig. Achten Sie speziell auf die Webserver-Zeile in der Statusausgabe:

• Wenn Sie Web server running HTTPS … sehen, funktioniert das Panel-SSL korrekt.
• Wenn Sie Web server running HTTP … sehen, wurde das Panel erfolgreich installiert, aber das SSL-Setup wurde nicht abgeschlossen.

Greifen Sie auf das Panel mit der genauen URL, dem Benutzernamen und dem Passwort zu, die Ihre eigene Installation generiert hat. Nehmen Sie nicht an, dass der Pfad /panel ist, und nehmen Sie nicht an, dass die Anmeldedaten admin/admin sind, es sei denn, Ihre eigene Installation sagt dies ausdrücklich.

💡 TIPP 1: Um die aktuellen Panel-Einstellungen erneut anzuzeigen und die Zugriffs-URL auszudrucken, führen Sie in der CLI den Befehl „x-ui” aus und wählen Sie Nummer 10 „View Current Settings” aus der Menüausgabe.

💡 TIPP 2: Wenn die Zugriffs-URL nicht geladen wird, stellen Sie sicher, dass der 3x-ui Panel-Port in Ihrer VPS-Firewall offen ist. Wenn Ihr Panel beispielsweise auf Port „13525″ ausgeführt wird, erlauben Sie es mit: „ufw allow 13525/tcp”. Ersetzen Sie 13525 durch den tatsächlichen Port, den Sie für das 3x-ui Panel konfiguriert haben.

Wenn der Installer fertig ist, aber systemctl status x-ui zeigt HTTP statt HTTPS

Die häufigste Ursache ist, dass 80/tcp während der Let’s Encrypt-Validierung nicht vom öffentlichen Internet aus erreichbar war. In diesem Fall kann das Panel immer noch installiert und gestartet werden, aber die Zertifikatausstellung schlägt fehl.

Beheben Sie zuerst die Firewall:

ufw allow 80/tcp
ufw status

Wenn Ihr VPS-Anbieter eine Cloud-Firewall oder Security-Group-Ebene hat, erlauben Sie dort auch 80/tcp. Führen Sie dann das Panel-Zertifikat-Setup erneut aus dem 3x-ui-Verwaltungsskript aus:

x-ui

Für ein IP-basiertes Panel-Zertifikat wählen Sie:

• 19 → 6 (SSL für IP-Adresse abrufen)

Für ein Domain-basiertes Panel-Zertifikat wählen Sie:

• 19 → 1 (SSL abrufen (Domain))

Überprüfen Sie danach erneut:

systemctl status x-ui

Sie möchten, dass die Statusausgabe Web server running HTTPS … anzeigt, bevor Sie fortfahren.

💡 TIPP: Speichern Sie die generierten Anmeldedaten und die Panel-URL sofort. Beachten Sie auch, dass die Installer-Zusammenfassung irreführend sein kann, wenn die Zertifikatausstellung fehlschlägt — wenn der letzte Block eine HTTPS-URL ausgibt, aber systemctl status x-ui zeigt immer noch HTTP, vertrauen Sie der Dienststatus-Ausgabe und beheben Sie SSL, bevor Sie fortfahren.

Die Entscheidungs-Mind-Map: wo “Zensur umgehen” wirklich anfängt

Sobald das Panel installiert ist, ändert sich das Problem. Sie versuchen nicht mehr, Software korrekt zu installieren. Sie entscheiden, wie der Client-Traffic sich dem Netzwerk präsentieren soll. Dort beginnt “Zensur umgehen konfigurieren” wirklich.

Der einfachste Weg, das Terminologie-Durcheinander zu reduzieren, ist, in drei Schichten zu denken: wie Client und Server miteinander sprechen, wie der Stream übertragen wird, und wie dieser Traffic für einen externen Beobachter aussieht. Andernfalls, wenn Sie diese in eine einzige Liste von Schlagwörtern zusammenfassen, sieht 3x-ui komplizierter aus, als es wirklich ist.

Nehmen Sie ein Anker-Beispiel: VLESS + TCP/RAW + Reality auf 443. VLESS ist das Protokoll. TCP/RAW trägt den Stream. Reality formt, wie die Verbindung gewöhnliches HTTPS-Verhalten ähnelt. Und 443 ist wichtig, weil die Tarnung am besten funktioniert, wenn sie auch dem Standard-Port für normalen verschlüsselten Web-Traffic entspricht. An einigen Stellen sagen die Xray-Dokumente raw, während die Panel-UI TCP sagt; für diesen Artikel behandeln Sie diese als die gleiche konzeptionelle Transport-Wahl.

⚠️ Warnung: Es gibt keinen universellen Gewinner und keine dauerhaft unblockierbare Kombination. Netzwerke ändern sich, Filter entwickeln sich weiter, und was auf einem Pfad gut passt, kann auf einem anderen auffallen. Das Ziel ist nicht Magie. Das Ziel ist, den sinnvollsten Stack für Ihre Umgebung zu wählen.

Deshalb endet dieser Artikel bei der Map, anstatt so zu tun, als könnte eine Seite jeden vollständigen Build abdecken. Der nächste Schritt ist, die Konfigurationsfamilie zu wählen, die zu Ihrem Netzwerk und Ihren Zielen passt.

Welcher 3x-ui-Pfad passt zu Ihrem Anwendungsfall?

Wenn Sie zuerst die klarste Standardantwort möchten, hier ist sie: Für restriktive, DPI-intensive Umgebungen beginnen Sie mit VLESS + Reality. Es trennt Protokoll und Stealth klar, funktioniert gut auf Port 443 und zwingt Sie nicht, mit einer Domain oder einem Reverse Proxy zu beginnen.

Das macht es nicht zur Antwort auf jede Situation. Wenn Sie bereits eine Domain betreiben oder einen traditionelleren TLS-und-Reverse-Proxy-Workflow bevorzugen, dann ist VLESS oder Trojan über TLS mit WebSocket oder gRPC oft die bessere Wahl. Dieser Pfad macht mehr Sinn, wenn Sie bereits eine Domain und Zertifikate verwalten.

Wenn Ihre Priorität Durchsatz ist und Ihr Netzwerk UDP gut handhabt, verdient Hysteria 2 Aufmerksamkeit. Es ist der spezialisierte Pfad hier, weil sein Reiz weniger „sieht aus wie die gewöhnlichste Browser-Sitzung möglich” und mehr „starke Leistung aus einem QUIC/UDP-basierten Design” ist. Es ist überzeugend, aber nicht die Standard-Anfängerempfehlung für Stealth-First-Setups.

Shadowsocks 2022, VMess und ähnliche Kompatibilitätspfade haben immer noch ihren Platz, aber hauptsächlich für Migration, ältere Client-Unterstützung oder enge Kompatibilitätsbeschränkungen. VMess ist insbesondere keine beste gleichberechtigte Anfängerempfehlung wegen seiner Zeitabhängigkeit — ein weiteres operatives Detail, das man falsch machen kann, wenn einfachere Optionen bereits vorhanden sind.

💡 Schnelle Entscheidungs-Checkliste

• Zensiertes Netzwerk: beginnen Sie mit VLESS + Reality
• Domain / Reverse-Proxy-Setup: evaluieren Sie TLS + WS/gRPC oder Trojan
• Hochgeschwindigkeits-UDP: testen Sie Hysteria 2
• Kompatibilitäts-Grenzfälle: erwägen Sie Shadowsocks 2022 oder VMess

WireGuard und OpenVPN sind nützliche Kontrastbeispiele hier, nicht der empfohlene nächste Schritt, da gewöhnliche VPN-Protokollformen oft das sind, was restriktive Netzwerke zuerst lernen zu erkennen. Wählen Sie den Pfad, der zu Ihrer Umgebung passt, und bauen Sie dann diesen Pfad auf, bevor Sie weitere Optionen hinzufügen.

Was Sie nach der Wahl eines Pfads in 3x-ui als Nächstes tun können

Sobald Sie den Pfad wählen, wird 3x-ui zur Betriebsebene. Hier erstellen Sie die Inbound, fügen Clients hinzu, exportieren einen Freigabe-Link oder QR-Code, legen Traffic-Limits oder Ablaufdaten fest und halten den Server im Laufe der Zeit verwaltbar, anstatt sich durch Raw-Xray-Dateien zu graben.

📝 Hinweis: Das Panel ist nicht „nur der Login-Bildschirm”. Es ist die Admin-Oberfläche, auf der Protokollentscheidungen zu laufenden Inbounds, Client-Anmeldedaten, Nutzungskontrollen und Sichtbarkeit werden.

In der Praxis ist die Abfolge normalerweise einfach: Erstellen Sie die Inbound, fügen Sie eine Client-Identität hinzu, exportieren Sie die Verbindungsdetails, importieren Sie sie in die Client-App, und kehren Sie später für Limits, Verlängerungen, Protokolle, Traffic-Statistiken und Routing- oder Geofile-Updates zurück, falls erforderlich. Diese operative Sichtbarkeit ist ein großer Teil davon, warum die Verwendung des Panels lohnenswert ist.

Wenn Sie dieses Setup als Serie fortsetzen, sollte der erste Folgeartikel der VLESS + Reality Build für Leser in restriktiven Netzwerken sein. Das ist der natürlichste nächste Artikel, da er dieses mentale Modell in eine konkrete Konfiguration umwandelt.

Fazit

Die Installation von 3x-ui ist nicht die endgültige Anti-Zensur-Lösung. Es ist der Kontrollraum. Das echte Ergebnis kommt davon, was Sie darin als nächstes konfigurieren. Halten Sie die Aufteilung einfach: Das Dashboard macht Xray verwaltbar, aber die Engine und Route — Protokoll, Transport und Sicherheitsauswahl — entscheiden, wie gut die Verbindung Filterung übersteht.

Machen Sie also den ehrlichen nächsten Schritt und wählen Sie den tatsächlichen Weg, der Ihren Zielen am besten entspricht. Und sobald Sie es ernst meinen mit dem Self-Hosting Ihrer Wahl, ist stabile VPS-Infrastruktur auch wichtig — ob das AlexHost oder einen anderen Anbieter bedeutet, der Ihnen vorhersehbare Netzwerkkontrolle und sauberen Firewall-Zugang bietet.