Cara Melewati Sensor DPI dengan VPS Anda Sendiri

VPN yang berfungsi kemarin tapi gagal hari ini hampir tidak pernah dibobol. VPN itu telah di-fingerprint. Deep packet inspection adalah alat sensor default di Tiongkok, Iran, dan Rusia pada 2026, dan alat ini tidak perlu mendekripsi apa pun untuk menghentikan Anda — ia hanya perlu mengenali bentuk lalu lintas Anda, atau alamat yang Anda tuju.

Perbedaan itu menentukan solusinya. Jika sensor memblokir protokol Anda, server lain tidak mengubah apa pun. Jika yang diblokir adalah IP-nya, protokol lain tidak mengubah apa pun. Pada VPN komersial Anda biasanya terkena keduanya sekaligus, karena ribuan pelanggan berbagi satu rentang alamat dan satu tanda tangan handshake yang sama. Endpoint milik Anda sendiri adalah satu-satunya susunan di mana Anda mengendalikan keduanya. Panduan ini membahas apa yang dideteksi DPI, protokol mana dari lima protokol yang masih bekerja di 2026 yang menjawab pemblokiran yang mana, dan cara menerapkannya.

Apa yang sebenarnya dilihat oleh deep packet inspection

Deep packet inspection adalah nama yang menyesatkan. Sensor modern tidak membaca sesi terenkripsi Anda — ia tidak bisa. Ia mengklasifikasikan sesi dari apa yang tetap terlihat ketika payload-nya tidak: ukuran paket, waktu antar-paket, pola byte dari handshake pembuka, alamat dan port tujuan, serta bagaimana koneksi bereaksi ketika sesuatu mengusiknya.

Ada empat teknik yang berperan di sini, dan masing-masing bisa dikalahkan oleh langkah balasan yang berbeda. Mengetahui teknik mana yang mengenai Anda adalah keseluruhan diagnosisnya:

• Protocol fingerprinting. Setiap protokol VPN memiliki handshake pembuka yang bisa dikenali. Paket pertama OpenVPN membawa opcode tetap; paket WireGuard adalah pesan 148-byte dengan field tipe konstan pada posisi yang bisa diprediksi. Sebuah classifier bisa mencocokkan salah satunya hanya dalam satu paket, tanpa mendekripsi apa pun.
• Active probing. Gerakan khas Great Firewall. Setelah melihat sesi yang mencurigakan, sensor kemudian menghubungi sendiri alamat tersebut dan berbicara dengan protokol proxy kepadanya. Jika server menjawab seperti proxy, server itu diblokir — jadi terlihat seperti TLS saja tidak cukup, server harus bisa bertahan dari interogasi.
• IP and range blocklisting. Metode paling kasar dan sejauh ini yang paling umum. Rentang alamat yang diketahui menampung VPN komersial diblokir secara massal, tanpa inspeksi sama sekali. Inilah yang mematikan aplikasi VPN konsumen dalam semalam.
• Throttling rather than blocking. Metode favorit Iran. Koneksi tidak diputus, melainkan diturunkan kualitasnya hingga tidak berguna — loss dan latency yang disengaja sehingga merusak kontrol kemacetan TCP. Tidak ada yang terlihat diblokir, sehingga pengguna menyalahkan perangkat keras mereka sendiri.

Mengapa endpoint VPS Anda sendiri bertahan dari gelombang pemblokiran

VPN komersial gagal di negara-negara yang menyensor karena alasan struktural yang tidak bisa diperbaiki oleh rekayasa apa pun: VPN itu bersifat publik. Rentang alamatnya dipublikasikan, di-scrape, dan didaftar satu per satu. Siapa pun bisa membeli langganan, mencatat alamat exit-nya, lalu melaporkannya — dan itulah tepatnya yang dilakukan sensor. Satu entri blocklist membuat ribuan pengguna kehilangan akses sekaligus.

Proxy pada VPS Anda sendiri membalikkan hal ini. Endpoint Anda adalah satu alamat yang tidak dikenal, tidak masuk daftar mana pun sampai ada yang menemukannya, dan untuk menemukannya berarti harus melakukan fingerprint pada protokol Anda atau sudah tahu sebelumnya harus mencari ke mana. Anda juga mendapatkan sesuatu yang tidak ditawarkan langganan mana pun: root. Anda memilih sendiri protokol, port, obfuskasi, dan domain kamuflasenya, serta bisa menjalankan beberapa sekaligus.

Kompromi yang jujur adalah Anda menjadi operatornya sendiri. Tidak ada yang merotasi alamatnya untuk Anda, mem-patch server-nya, atau menyadari pukul 3 pagi bahwa daemon-nya mati. Jika Anda menginginkan sebuah aplikasi dan meja dukungan, ini bukan arsitektur yang tepat — halaman censorship-resistant hosting kami menyatakan kompromi yang sama dari sisi produk. Yang Anda dapatkan sebagai gantinya adalah endpoint yang nasibnya tidak dibagi dengan orang asing.

Mengapa WireGuard dan OpenVPN polos tertangkap oleh DPI

Keduanya adalah protokol yang sangat baik, dan keduanya, secara desain, dapat dikenali dengan mudah. WireGuard dioptimalkan untuk kesederhanaan dan kecepatan kriptografis, bukan untuk penyamaran: inisiasi handshake-nya adalah pesan dengan panjang tetap dengan byte tipe yang konstan. OpenVPN dalam konfigurasi bawaannya sama-sama mudah dikenali. Tak satu pun dirancang untuk tidak dikenali — itu memang bukan tujuan desainnya.

Ini tidak membuat keduanya menjadi pilihan yang buruk, seperti yang dinyatakan dengan jelas dalam perbandingan kami tentang WireGuard versus OpenVPN. Untuk privasi dari ISP Anda, untuk menghubungkan mesin-mesin Anda sendiri, untuk VPN di negara yang tidak menerapkan DPI, WireGuard adalah jawaban yang tepat, dan panduan pemasangan WireGuard kami tetap berlaku. Singkatnya: WireGuard menyelesaikan masalah privasi; ia tidak menyelesaikan masalah sensor.

Lapisan obfuskasi tersedia untuk keduanya — wrapper untuk OpenVPN, fork yang mengacak handshake WireGuard. Lapisan itu bekerja, dan terhadap sensor yang hanya melakukan fingerprinting, itu mungkin sudah cukup. Lapisan itu lebih lemah ketika active probing ikut bermain, karena mengacak handshake tidak mengajarkan server untuk berperilaku meyakinkan ketika sensor terhubung dan mengajukan pertanyaan kepadanya. Untuk itulah lima protokol berikutnya dibangun.

Lima protokol yang masih bekerja di 2026

Tidak ada satu protokol terbaik tunggal — yang ada hanyalah yang terbaik untuk metode pemblokiran yang Anda hadapi dan jaringan yang Anda gunakan. Kelima protokol ini layak diterapkan hari ini, masing-masing dengan halaman pemasangannya sendiri.

VLESS+REALITY adalah yang pertama layak dicoba. Triknya berbeda dari kamuflase TLS biasa: alih-alih menampilkan sertifikat miliknya sendiri, ia merelay handshake TLS asli dari situs web populer yang sungguhan. Active probe melihat rantai sertifikat asli untuk domain sungguhan, karena memang itulah yang ditampilkan kepadanya. Tidak ada sertifikat self-signed yang bisa ditandai, tidak ada domain asing yang bisa dikorelasikan.

Shadowsocks-2022 adalah yang paling ringan dan paling teruji medan; rangkaian cipher-nya menutup celah replay dan probing yang membuat versi-versi sebelumnya bisa terdeteksi. Hysteria2 menjawab throttling, bukan pemblokiran — kontrol kemacetannya dibangun untuk koneksi yang sengaja dibuat lossy. V2Ray di belakang CDN menyembunyikan origin: sensor melihat lalu lintas menuju CDN besar, bukan menuju Anda. Sebuah proxy MTProto menyelesaikan tepat satu masalah, tapi menyelesaikan akses Telegram dengan begitu bersih sehingga layak dijalankan berdampingan dengan apa pun yang Anda terapkan lainnya.

Memilih yurisdiksi dan IP

Dua properti yang penting dan keduanya saling tarik-menarik: seberapa segar rentang alamatnya, dan seberapa jauh server dari Anda. Kesegaran biasanya menang. Alamat baru pada rentang yang belum pernah dipakai untuk circumvention lolos dari pemblokiran massal yang menghentikan sebagian besar orang, dan tidak ada kecanggihan protokol sebanyak apa pun yang bisa memulihkan alamat yang sudah masuk daftar. Inilah sebabnya alamat "VPN anonim" daur ulang berhenti bekerja — alamat itu sudah terbakar sebelum Anda menyewanya.

Latensi penting di urutan kedua. Dari tujuh yurisdiksi tempat kami beroperasi, Belanda, Rumania, dan Moldova berada paling dekat dengan pengguna di Iran, Rusia, dan Asia Tengah, dan Belanda menambahkan peering kelas dunia melalui AMS-IX. Islandia, Panama, dan Swiss lebih jauh tetapi secara hukum lebih kuat — Panama tidak memiliki perjanjian bantuan hukum timbal balik dengan sebagian besar negara Barat dan tidak memiliki kewajiban retensi data, sementara Islandia sama sekali tidak memiliki retensi wajib.

Untuk endpoint circumvention, sarannya tidak romantis: pilih berdasarkan latensi dan kesegaran rentang alamat lebih dulu, yurisdiksi kedua. Anda memindahkan lalu lintas Anda sendiri, bukan menghosting konten yang memancing takedown, jadi profil hukum di sini kurang penting dibanding untuk publishing. Bandingkan ketujuh yurisdiksi tersebut di halaman lokasi, atau telusuri kompromi yang ada lewat jurisdiction selector dan panduan yurisdiksi kami. Setiap server dilengkapi IPv4 dedicated yang hanya milik Anda — alamat bersama akan menggagalkan keseluruhan maksudnya.

Membayar server dari negara yang disensor

Di sinilah kebanyakan panduan diam-diam berhenti berguna, karena inilah langkah yang sebenarnya gagal. Di Iran atau Rusia, prosesor kartu menolak Anda dengan alasan sanksi sebelum host bahkan melihat pesanannya, dan penyedia mainstream menuntut dokumen identitas yang mungkin punya alasan kuat untuk tidak Anda serahkan. Panduan teknis tidak ada gunanya jika checkout-nya tidak bisa selesai.

Crypto adalah jalur yang bertahan, itulah sebabnya no-KYC hosting dan circumvention sensor akhirnya menjadi produk yang sama: tidak ada bank di jalur yang bisa menolak transaksi, tidak ada pemeriksaan identitas yang bisa gagal. Kami menerima Bitcoin, Monero, Ethereum, Litecoin, TRON, Solana, dan Tether pada jaringan ERC-20 maupun TRC-20. Monero tidak meninggalkan graf transaksi publik yang mengaitkan sumber dana Anda dengan server Anda, dan panduan Monero kami membahasnya langkah demi langkah; USDT di TRC-20 adalah alternatif yang pragmatis, dengan biaya rendah dan likuiditas regional yang mudah. VPS kecil mulai dari $7.50 per bulan.

Menerapkan endpoint VLESS + REALITY di VPS Anda, langkah demi langkah

Penerapannya memakan waktu sekitar lima belas menit pada server Debian atau Ubuntu yang masih kosong. Berikut ini adalah gambaran alurnya; halaman VLESS+REALITY memuat perintah-perintahnya.

• Amankan server terlebih dahulu. SSH berbasis kunci saja, autentikasi kata sandi dinonaktifkan, firewall yang hanya mengizinkan apa yang memang ingin Anda ekspos. Lakukan ini sebelum proxy-nya aktif — checklist hardening jam pertama kami adalah versi ringkasnya, dan ini lebih penting di sini dibanding pada server biasa.
• Instal core Xray dan sebuah panel. Panel 3x-ui membungkus Xray dalam antarmuka web dan hanya membutuhkan satu perintah installer. Bind panel ini ke localhost dan aksesnya lewat SSH tunnel, bukan dengan mengeksposnya — panel administrasi pada port terbuka adalah fingerprint tersendiri.
• Buat inbound-nya. Tambahkan inbound dengan protokol VLESS dan security REALITY pada port 443. Keputusan yang benar-benar berbobot adalah SNI kamuflasenya: pilih situs HTTPS populer yang bisa dijangkau dan tidak diblokir dari dalam jaringan yang disensor. Jika domain kamuflase Anda sendiri diblokir, lalu lintas Anda ke sana menjadi anomali dan Anda justru memperburuk keadaan.
• Impor tautan klien. Panel akan mengeluarkan tautan share vless:// dan kode QR yang memuat konfigurasi lengkap. Impor tautan ini ke v2rayN di Windows, v2rayNG di Android, Streisand atau FoXray di iOS, atau sing-box di mana saja — tanpa sertifikat klien, tanpa file konfigurasi yang menyimpan rahasia jika perangkat diperiksa.
• Verifikasi dari luar. Dari jaringan yang bukan server itu sendiri, pastikan endpoint-nya menjawab handshake TLS normal untuk SNI pilihan Anda — sebuah curl -sI terhadap alamat tersebut dengan SNI yang di-resolve ke situ sudah cukup. Jika bagi Anda tampak seperti situs HTTPS biasa, bagi sebuah probe pun akan tampak begitu.

Tambahkan fallback sebelum Anda membutuhkannya. Protokol kedua pada port kedua hanya memakan waktu sepuluh menit selagi semuanya masih bekerja, dan akan menyakitkan atau bahkan mustahil dilakukan dari balik blokir aktif. Hysteria2 pada 443 UDP adalah pendamping alami untuk REALITY pada 443 TCP — transport, port, dan mode kegagalan yang berbeda. Simpan kedua tautan share di perangkat Anda sehingga pemulihan cukup dengan beralih di sisi klien.

Mengeraskan server agar proxy itu sendiri bukan sumber kebocoran

Proxy yang berfungsi dan proxy yang aman adalah dua hal yang berbeda. Endpoint tersebut kini mengetahui setiap tujuan yang Anda kunjungi, dan ia terekspos pada port yang telah Anda umumkan ke perangkat Anda sendiri.

• Ekspos hanya yang memang harus diekspos. Port proxy, dan SSH. Panel, metrik, dan database seharusnya berada di localhost, diakses lewat tunnel.
• Matikan logging yang tidak Anda butuhkan. Xray dan sebagian besar daemon proxy mencatat setiap koneksi ke disk secara default. Pada endpoint circumvention, file itu adalah objek paling sensitif di server.
• Jangan menempatkan layanan lain di server yang sama. Tahan diri untuk tidak menjalankan situs web pribadi atau mail server di server yang sama. Setiap layanan tambahan adalah fingerprint tambahan, sertifikat tambahan, cara tambahan untuk mengorelasikan endpoint dengan diri Anda.
• Kelola dengan hati-hati. Mengakses server lewat SSH dari jaringan tersensor yang sedang Anda coba hindari mengaitkan alamat asli Anda dengannya di lapisan jaringan. Server OpSec kami membahas disiplin ini dengan baik, dan inilah bagian yang paling sering dilewatkan orang.
• Jaga agar tetap ter-patch dan membosankan. Update keamanan otomatis tanpa pengawasan, tidak ada yang eksotis terpasang, tidak ada konfigurasi uji coba yang ditinggalkan dan masih listening.

Ketika IP terbakar

Anggap saja itu pasti akan terjadi. Endpoint yang digunakan oleh satu orang yang hati-hati bisa bertahan lama; yang dibagikan dengan empat puluh orang di sebuah grup chat tidak akan bertahan. Responsnya bersifat mekanis: pastikan pemblokiran terjadi di level alamat dengan menguji protokol yang sama dari server yang segar, terapkan ulang di yurisdiksi yang berbeda, impor ulang tautan share yang baru di perangkat Anda.

Karena tidak ada identitas yang pernah dilekatkan pada server pertama, tidak ada yang menghubungkan alamat baru dengan yang lama — inilah manfaat praktis dari no-KYC, yang biasa digambarkan sebagai posisi ideologis padahal sebenarnya bersifat operasional. Yang layak diubah pada saat bersamaan adalah disiplin berbagi yang menyebabkan alamat itu terbakar. Alamat menyebar lewat tangkapan layar dan grup chat, dan sensor juga membaca kanal-kanal itu. Jika Anda mendukung orang lain, beri masing-masing kredensial mereka sendiri sehingga satu pengguna yang disusupi bisa disingkirkan tanpa harus membangun ulang semuanya.

Delapan kesalahan yang membuat endpoint diblokir dalam waktu seminggu

• Menggunakan rentang alamat daur ulang. Server termurah seringkali berada pada rentang yang sudah membawa lalu lintas circumvention selama bertahun-tahun. Kesegaran adalah properti yang sebenarnya sedang Anda beli.
• Memilih SNI kamuflase yang diblokir secara lokal. REALITY hanya bekerja jika situs yang ditirunya adalah situs yang biasa dilihat jaringan Anda menerima lalu lintas normal. Meniru sesuatu yang sudah disensor lebih buruk daripada tidak berkamuflase sama sekali.
• Menjalankan panel manajemen pada port publik. Halaman login 3x-ui pada port terbuka mengidentifikasi server sebagai proxy bagi siapa pun yang men-scan-nya, dan scanning itu murah.
• Membagikan satu endpoint dengan grup besar. Volume lalu lintas menjadi anomali, dan alamatnya bocor lewat kanal apa pun tempat Anda membagikannya.
• Membiarkan log verbose tetap menyala. Berguna untuk satu malam debugging, menjadi beban setiap hari sesudahnya.
• Menggunakan kembali alamat setelah diblokir. Setelah masuk daftar, alamat jarang kembali bersih. Lakukan penerapan ulang, bukan menunggunya reda.
• Hanya menjalankan satu protokol. Sebuah single point of failure yang hanya bisa Anda perbaiki dari balik blokir yang sedang Anda coba hindari.
• Merotasi server tapi tidak merotasi kredensial. Membawa kunci, port, dan pengidentifikasi yang sama di setiap penerapan membangun ulang korelasi yang baru saja Anda hancurkan.

Apakah menjalankan proxy sendiri legal, dan apa yang kami catat

Dari sisi kami, jawabannya sederhana. Menyewa server dan menjalankan proxy di atasnya legal di ketujuh yurisdiksi tempat kami beroperasi. Software circumvention adalah software biasa, digunakan setiap hari oleh jurnalis dan peneliti. Kami tidak mencatat lalu lintas, koneksi, atau DNS, kami tidak menginspeksi payload, dan kami tidak men-throttle protokol apa pun. VPS-nya adalah server Linux polos dengan root penuh; apa yang berjalan di atasnya dan ke mana ia terhubung terlihat oleh Anda, bukan oleh kami.

Bagian yang tidak bisa kami jawab justru adalah bagian yang paling penting bagi Anda. Beberapa negara yang menerapkan deep packet inspection juga mengatur circumvention di sisi pengguna, dan tingkat risiko orang yang terhubung adalah pertanyaan hukum lokal yang tidak kompeten dijawab oleh penyedia hosting mana pun. Kami bisa memberi tahu Anda apa yang terjadi di server; kami tidak bisa memberi tahu Anda apa yang terjadi di tempat Anda berada.

Sama pentingnya untuk sama-sama jelas tentang apa yang tidak diberikan oleh arsitektur ini. Proxy pribadi mengalahkan sensor — ia tidak membuat Anda anonim di hadapan pihak yang bisa mengawasi kedua ujung koneksi. Lalu lintas yang masuk dan keluar dari endpoint Anda bisa dikorelasikan hanya lewat timing saja, dan alamat server diketahui oleh jaringan Anda. Jika model ancaman Anda adalah sebuah negara yang menyelidiki Anda secara spesifik, bukan sekadar filter yang memblokir Anda secara umum, Anda membutuhkan Tor dengan desain multi-hop-nya, bukan proxy single-hop. Mencocokkan alat dengan ancaman yang nyata adalah perbedaan antara privasi sungguhan dan sekadar tampilan privasi.