VLESS en VPS con Cloudflare CDN: WebSocket, TLS y ofuscación

Qué es VLESS con Cloudflare CDN y por qué usarlo en un VPS

Configurar VLESS a través de Cloudflare CDN en tu VPS con WebSocket y TLS para enmascarar el tráfico toma entre 30 y 45 minutos, utilizando Xray-core y Nginx, ocultando así la IP real de tu servidor detrás de la red de Cloudflare. Este esquema permite evadir eficazmente los bloqueos por dirección IP, proporcionando una capa adicional de privacidad y disponibilidad. A diferencia de una conexión directa, donde tu dirección IP real es visible, Cloudflare actúa como un servidor proxy, enrutando el tráfico a través de su red global.

El objetivo principal de usar Cloudflare CDN junto con VLESS+WebSocket+TLS es el **enmascaramiento del tráfico CDN** y la ocultación de la dirección IP real de tu VPS. Cuando te conectas a tu servidor proxy, tu tráfico primero va a uno de los muchos nodos de Cloudflare (PoP), y desde allí se redirige a tu VPS. Para un observador externo, como un proveedor de internet, parece que te estás conectando a un sitio web normal protegido por Cloudflare. Esto dificulta significativamente el bloqueo de tu servicio, ya que el bloqueo de una dirección IP de Cloudflare afectaría a millones de sitios web legítimos.

El esquema cliente → Cloudflare → tu VPS ofrece una serie de ventajas:

• Ocultación de la IP real del servidor: Tu servidor VPS se vuelve inaccesible directamente desde internet por su dirección IP, lo que aumenta la seguridad y la resistencia a los ataques DDoS.
• Evasión de bloqueos por dirección: Muchos bloqueos gubernamentales se basan en listas negras de direcciones IP. Cloudflare evade eficazmente estos bloqueos, ya que sus direcciones IP rara vez entran en estas listas.
• Capa adicional de protección: Cloudflare proporciona protección básica contra ataques DDoS incluso en sus planes gratuitos.
• Cifrado TLS: Todo el tráfico entre el cliente y Cloudflare, así como entre Cloudflare y tu VPS, se cifra mediante TLS, lo que garantiza la confidencialidad de los datos.

Sin embargo, es importante recordar que este esquema tiene sus limitaciones, incluyendo una posible reducción de la velocidad debido al enrutamiento a través de Cloudflare y ciertas reglas de uso de CDN que podrían ser infringidas con un uso intensivo para tráfico VPN. Puedes obtener más información sobre cómo elegir el VPS óptimo para estas tareas en el artículo VPN en tu propio VPS: guía completa 2026.

Cómo funciona VLESS + WebSocket + TLS detrás de Cloudflare CDN

El principio de funcionamiento de VLESS + WebSocket + TLS detrás de Cloudflare CDN se basa en el proxying y cifrado multinivel. El cliente establece una conexión con un nombre de dominio que apunta a Cloudflare. Cloudflare recibe este tráfico, lo descifra (si el cifrado completo está activado) y luego lo reenvía a tu VPS mediante el protocolo WebSocket sobre TLS. En el VPS, Nginx actúa como un proxy inverso que recibe el tráfico cifrado de Cloudflare, lo descifra y redirige el tráfico WebSocket "limpio" a Xray-core.

Secuencia de conexión:

1. Cliente → Cloudflare: Tu cliente VLESS establece una conexión TLS cifrada con uno de los servidores Cloudflare más cercanos. Para ello, se utiliza el nombre de dominio que vincularás a Cloudflare, no la IP real de tu VPS. El tráfico parece una solicitud HTTPS normal a un sitio web.
2. Cloudflare → Tu VPS (Nginx): Cloudflare, al recibir el tráfico, establece una nueva conexión TLS con tu VPS. Dependiendo de la configuración SSL/TLS en Cloudflare (Full/Full (strict)), este tráfico también estará cifrado. Cloudflare reenvía el tráfico WebSocket a Nginx, que escucha en el puerto 443 de tu VPS.
3. Nginx → Xray-core: Nginx en tu VPS actúa como un proxy inverso. Recibe la conexión TLS entrante de Cloudflare, la descifra y luego redirige el tráfico WebSocket "limpio" a un puerto local donde Xray-core está escuchando (por ejemplo, 127.0.0.1:10000).
4. Xray-core: Xray-core recibe el tráfico WebSocket, lo procesa según el protocolo VLESS y establece una conexión con el recurso de destino (por ejemplo, un sitio web en internet).

Este esquema proporciona un eficaz enmascaramiento del tráfico CDN, ya que el observador externo solo ve una conexión HTTPS con Cloudflare. El uso de websocket tls vless en esta combinación hace que el tráfico sea prácticamente indistinguible del tráfico web normal, lo que es una herramienta poderosa para evadir la censura.

Preparación del VPS y dominio para configurar VLESS con Cloudflare

Antes de proceder con la configuración de VLESS a través de Cloudflare, asegúrate de tener todo lo necesario. Esta es una etapa crítica que sentará las bases para el funcionamiento estable de tu proxy.

Requisitos del VPS:

Para la mayoría de los usuarios, incluso con carga moderada, un VPS con 2 vCPU, 2 GB de RAM y 40 GB de disco NVMe es suficiente. Para 50 usuarios concurrentes, se requieren 4 vCPU, 8 GB de RAM y un disco NVMe de 80 GB.

La elección de un VPS con discos NVMe mejora significativamente el rendimiento, especialmente con un uso activo, como se describe en detalle en el artículo NVMe, RAM o red: ¿qué es realmente importante para un VPS para proxy y VPN?.

1. Servidor VPS: Asegúrate de que tu VPS funcione con un sistema operativo Linux (se recomienda Debian 11/12 o Ubuntu 20.04/22.04). El acceso por SSH es obligatorio.
2. Nombre de dominio: Necesitarás tu propio nombre de dominio (por ejemplo, `example.com` o un subdominio como `sub.example.com`). Esto es necesario para el funcionamiento de Cloudflare y los certificados TLS.
3. Cuenta de Cloudflare: Regístrate en Cloudflare.com y añade tu dominio. Configura los servidores DNS de Cloudflare como autoritativos para tu dominio.

Configuración DNS en Cloudflare:

En el panel de control de Cloudflare para tu dominio, crea un registro A que apunte a la dirección IP de tu VPS.

1. Ve a la sección DNS -> Records.
2. Añade un nuevo registro A:
   • Type: `A`
   • Name: `sub` (o cualquier otro subdominio, por ejemplo, `proxy`, `cdn`, etc.)
   • IPv4 address: `IP_DE_TU_VPS`
   • Proxy status: Asegúrate de que la nube naranja esté activada (Proxied). Esto es crucial para el funcionamiento de la CDN.

Después de guardar el registro, espera unos minutos para que los cambios surtan efecto. Ahora tu subdominio dirigirá el tráfico a través de Cloudflare hacia tu VPS.

Cómo configurar VLESS + WS + TLS en un VPS con Xray y Nginx paso a paso

Esta sección te guiará a través de la configuración detallada de VLESS WS TLS en tu VPS, incluyendo la instalación de los componentes necesarios y su configuración.

Instalación de Xray-core en el VPS

Xray-core es una herramienta potente para implementar varios protocolos proxy, incluido VLESS. La instalación es bastante sencilla.

# Обновляем систему
sudo apt update && sudo apt upgrade -y

# Устанавливаем необходимые утилиты
sudo apt install -y curl wget unzip

# Устанавливаем Xray-core (рекомендуется использовать официальный скрипт)
bash -c "$(curl -L https://raw.githubusercontent.com/XTLS/Xray-install/main/install-release.sh)" @ install

Después de la instalación, Xray-core se iniciará como un servicio del sistema. Puedes verificar el estado con el comando `sudo systemctl status xray`.

Configuración de Nginx para el proxy de WebSocket y TLS

Nginx escuchará el tráfico entrante en el puerto 443, terminará la conexión TLS de Cloudflare y reenviará el tráfico WebSocket a Xray-core.

# Устанавливаем Nginx
sudo apt install -y nginx

# Создаем директорию для конфигурации нашего сайта
sudo mkdir -p /etc/nginx/sites-available/
sudo mkdir -p /etc/nginx/sites-enabled/

# Удаляем дефолтный конфиг Nginx, если он есть
sudo rm /etc/nginx/sites-enabled/default
sudo rm /etc/nginx/sites-available/default

# Создаем новый файл конфигурации Nginx
sudo nano /etc/nginx/sites-available/your_domain.conf

Inserta el siguiente código en el archivo `your_domain.conf`, reemplazando `your_domain.com` por tu subdominio (por ejemplo, `sub.example.com`).

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name your_domain.com; # Замените на ваш поддомен

    # Убедитесь, что ваш сертификат Cloudflare Origin CA установлен в /etc/ssl/nginx/
    # Это важно для Full (strict) SSL в Cloudflare
    ssl_certificate /etc/ssl/nginx/your_domain.com.pem;
    ssl_certificate_key /etc/ssl/nginx/your_domain.com.key;

    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers off;

    # Добавляем заголовки, необходимые Cloudflare
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header X-Frame-Options DENY;

    # Можно добавить фейковый сайт для маскировки
    # root /var/www/html;
    # index index.html index.htm;

    location / {
        # Если вы хотите показывать фейковый сайт, раскомментируйте следующие строки
        # try_files $uri $uri/ =404;
        # return 404; # Или 200, если хотите пустую страницу
        
        # Перенаправляем весь трафик на Xray, если URL не соответствует нашему пути VLESS
        # Это может быть опасно, если у вас есть легальный сайт на этом домене.
        # Лучше использовать отдельный поддомен или конкретный path для VLESS.
        return 404; # Просто возвращаем 404 для всех запросов, кроме VLESS path
    }

    location /your_vless_path { # Замените на уникальный путь, например /panel/path
        if ($http_upgrade != "websocket") {
            return 404;
        }
        proxy_redirect off;
        proxy_pass http://127.0.0.1:10000; # Порт, на котором слушает Xray-core
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Después de guardar el archivo, crea un enlace simbólico para activar la configuración:

sudo ln -s /etc/nginx/sites-available/your_domain.conf /etc/nginx/sites-enabled/your_domain.conf

Verifica la sintaxis de Nginx y reinícialo:

sudo nginx -t
sudo systemctl restart nginx

Punto importante sobre los certificados SSL: Para el esquema Full (strict) en Cloudflare, necesitarás un Origin CA Certificate de Cloudflare. Puedes generarlo en el panel de Cloudflare (SSL/TLS -> Origin Server -> Create Certificate). La validez de este certificado es de 15 años. Guarda la clave (`.key`) y el certificado (`.pem`) en el directorio `/etc/ssl/nginx/` (o cualquier otro especificado en la configuración de Nginx) y actualiza las rutas en la configuración de Nginx.

Configuración de Xray-core para VLESS y WebSocket

Ahora configuraremos Xray-core para recibir tráfico VLESS a través de WebSocket en el puerto local.

sudo nano /usr/local/etc/xray/config.json

Inserta la siguiente configuración, reemplazando `YOUR_UUID` por un UUID generado (puedes generarlo con el comando `xray uuid` o un generador en línea), y `your_vless_path` por la misma ruta que especificaste en la configuración de Nginx.

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "port": 10000, # Этот порт будет слушать Nginx
      "listen": "127.0.0.1", # Слушаем только локальные соединения от Nginx
      "protocol": "vless",
      "settings": {
        "clients": [
          {
            "id": "YOUR_UUID", # Сгенерируйте свой UUID
            "level": 0
          }
        ],
        "decryption": "none",
        "fallbacks": []
      },
      "streamSettings": {
        "network": "ws",
        "wsSettings": {
          "path": "/your_vless_path", # Должен совпадать с путем в Nginx
          "headers": {
            "Host": "your_domain.com" # Замените на ваш поддомен
          }
        }
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {}
    },
    {
      "protocol": "blackhole",
      "settings": {},
      "tag": "blocked"
    }
  ]
}

Guarda el archivo y reinicia Xray-core:

sudo systemctl restart xray

Verifica el estado de Xray-core para asegurarte de que funciona sin errores:

sudo systemctl status xray

Configuración de Cloudflare para el proxy de tráfico VLESS

La configuración correcta de Cloudflare es crítica para el funcionamiento de tu CDN para servidor VPN.

1. Registro DNS: Asegúrate de que el registro A para tu subdominio (por ejemplo, `sub.example.com`) apunte a la IP de tu VPS y tenga la nube naranja activada (Proxied).
2. Modo SSL/TLS: Ve a la sección SSL/TLS -> Overview. Establece el modo en "Full (strict)". Esto garantiza que Cloudflare cifrará el tráfico hasta tu VPS, y tu Nginx utilizará un Origin CA Certificate válido.
3. Reglas de firewall (Firewall Rules): Si encuentras problemas, asegúrate de que Cloudflare no esté bloqueando tu tráfico. En la sección Security -> WAF -> Firewall rules, puedes desactivar temporalmente algunas reglas o añadir excepciones para tu IP.
4. Reglas de caché (Caching Rules): En la sección Caching -> Configuration, asegúrate de que el nivel de caché para tu subdominio esté configurado en "No Query String" o "Standard", o mejor aún, crea una regla "Bypass Cache" para tu ruta VLESS.
5. Reglas de página (Page Rules): Para una mejor compatibilidad y rendimiento, y para evitar el almacenamiento en caché innecesario, se recomienda crear una Page Rule para tu subdominio. Ve a Rules -> Page Rules y añade una regla:
   • URL: `*your_domain.com/your_vless_path*`
   • Settings: `Cache Level: Bypass`, `Disable Performance`, `Disable Security` (o configura a tu gusto), `SSL: Full (strict)`
   Esto ayudará a garantizar que Cloudflare no interfiera con tu tráfico WebSocket.

Verifica cuidadosamente que todas las configuraciones coincidan con las indicadas para asegurar el funcionamiento ininterrumpido del proxy VLESS de Cloudflare.

Configuración del cliente VLESS + WS + TLS

Una vez configurada la parte del servidor, es necesario configurar la aplicación cliente. Ejemplos de clientes incluyen V2RayN (Windows), Nekoray (Windows/Linux), Shadowrocket/Streisand (iOS), v2rayNG (Android).

Ejemplo de configuración para el cliente (los parámetros pueden variar ligeramente según la aplicación):

• Protocolo: VLESS
• Dirección (Address): `your_domain.com` (tu subdominio de Cloudflare)
• Puerto (Port): `443`
• UUID: `YOUR_UUID` (el mismo que usaste en la configuración de Xray)
• Cifrado (Encryption): `none`
• Transporte (Transport): `WebSocket`
• TLS (Enable TLS): `True`
• SNI: `your_domain.com` (tu subdominio de Cloudflare)
• Host (Host Header): `your_domain.com` (tu subdominio de Cloudflare)
• Ruta (Path): `/your_vless_path` (la misma que usaste en Nginx y Xray)
• Allow insecure: `False` (si usas Origin CA Certificate)

Asegúrate de que todos los parámetros coincidan exactamente con la configuración del servidor. Un UUID, ruta o dominio incorrectamente especificado provocará errores de conexión. Para usuarios de Android, puedes encontrar una instrucción detallada sobre la configuración en el artículo Tu propio VPS + v2rayNG: configuración de VLESS Reality en Android en 10 minutos.

Limitaciones y posibles problemas de VLESS a través de Cloudflare CDN

A pesar de su eficacia, el uso de Cloudflare CDN para el proxy de tráfico VLESS tiene una serie de limitaciones y posibles problemas que deben tenerse en cuenta.

1. Velocidad y rendimiento: El tráfico pasa a través de los servidores de Cloudflare, lo que puede añadir latencia y reducir el ancho de banda total. La velocidad depende de la carga de los servidores PoP de Cloudflare más cercanos a ti y de su enrutamiento a tu VPS. Cloudflare no está optimizado para la tunelización constante de grandes volúmenes de datos a alta velocidad.
2. Términos de Servicio de la CDN (ToS): Cloudflare, por lo general, no aprueba el uso de sus servicios gratuitos para tráfico no-HTTP(S) o tunelización. Aunque VLESS a través de WebSocket+TLS se asemeja a tráfico HTTPS normal, el uso intensivo o la detección de actividad atípica puede llevar a la desactivación del proxy (la nube naranja se volverá gris) o incluso al bloqueo del dominio.
3. Límites de tráfico: En los planes gratuitos de Cloudflare no hay límites estrictos de tráfico, pero con un uso excesivo (por ejemplo, varios terabytes al mes) pueden surgir problemas. Si planeas transferir grandes volúmenes de datos, considera las opciones de VPS ilimitado vs límite de tráfico (TB/mes).
4. Bloqueo de direcciones IP de Cloudflare: En algunas regiones donde la censura es muy estricta, se pueden bloquear rangos completos de direcciones IP de Cloudflare. Aunque es raro, existe tal riesgo.
5. Falta de almacenamiento en caché: Para el tráfico VLESS, el almacenamiento en caché de Cloudflare no funciona, ya que no es contenido estático. Todas las solicitudes siguen llegando a tu VPS.
6. Punto de fallo adicional: Cloudflare añade otro nodo a la cadena, lo que puede convertirse en un punto de fallo adicional o una causa de interrupciones en el servicio.

Comprender estas limitaciones te ayudará a decidir si una CDN para servidor VPN es la solución adecuada para tus necesidades específicas. Para evaluar el consumo de tráfico de tu servidor, es útil familiarizarse con el cálculo de ancho de banda y límites en un VPS.

Cuándo VLESS Reality es mejor que Cloudflare CDN

Aunque VLESS a través de Cloudflare CDN es un método eficaz para evadir bloqueos, existen escenarios en los que el protocolo VLESS Reality ofrece una solución más fiable y de mayor rendimiento. VLESS Reality es una tecnología relativamente nueva en Xray-core, diseñada específicamente para evadir la inspección profunda de paquetes (DPI) sin utilizar CDN de terceros.

Reality funciona haciéndose pasar por tráfico TLS legítimo hacia un sitio web conocido. Intercepta el handshake TLS del cliente y lo redirige a un servidor "reflector" de destino, mientras crea la apariencia de una conexión con un sitio real y popular (por ejemplo, microsoft.com, apple.com). Esto hace que el tráfico sea prácticamente indistinguible del tráfico HTTPS normal, lo que dificulta su bloqueo incluso para los sistemas de censura más avanzados.

Ventajas de Reality sobre Cloudflare CDN:

1. Resistencia a DPI: Reality es mucho más resistente a la DPI avanzada, ya que no depende de direcciones IP de CDN que pueden ser bloqueadas. Crea una huella TLS completamente legítima.
2. Menor latencia y mayor velocidad: El tráfico va directamente del cliente a tu VPS (oculto detrás de Reality), sin nodos CDN intermedios. Esto reduce la latencia y aumenta el ancho de banda, haciendo la conexión más rápida y estable.
3. Ausencia de dependencia de los ToS de la CDN: No infringes las reglas de uso de Cloudflare u otras CDN, ya que no las utilizas para el proxy. Tu servidor no está expuesto al riesgo de bloqueo por parte de la CDN.
4. Control total: Tienes control total sobre tu servidor y no dependes de la política de empresas de terceros.
5. No requiere dominio: Reality puede funcionar sin un nombre de dominio propio, utilizando solo la dirección IP de tu VPS y el SNI de un sitio conocido. Esto simplifica la configuración para quienes no tienen un dominio.

Cuándo elegir VLESS Reality:

• Si te encuentras en una región con censura muy estricta y se bloquean incluso las direcciones IP de Cloudflare.
• Si necesitas la máxima velocidad posible y la mínima latencia.
• Si quieres evitar cualquier riesgo relacionado con la infracción de los ToS de la CDN.
• Si prefieres una solución más "discreta" que no dependa de infraestructuras conocidas.

Para configurar VLESS Reality en tu VPS, puedes consultar el artículo Tu propio VPN en un VPS: VLESS Reality + Xray-core en 10 minutos, que describe este proceso en detalle. En general, Reality es una solución más moderna y fiable para quienes buscan la máxima resistencia a los bloqueos y un alto rendimiento.

Preguntas frecuentes

Aquí se recopilan las respuestas a las preguntas más comunes sobre la configuración de VLESS a través de Cloudflare CDN.

¿Por qué usar Cloudflare CDN para VLESS?

El uso de Cloudflare CDN para VLESS permite ocultar la dirección IP real de tu servidor VPS, lo cual es clave para evadir bloqueos por IP. El tráfico pasa a través de la red global de Cloudflare, enmascarándose como una solicitud HTTPS normal, lo que hace que tu servidor VPN sea menos detectable para los sistemas de censura. Esto mejora significativamente la disponibilidad y la resistencia a ataques externos, como DDoS, aprovechando las capacidades gratuitas de Cloudflare.

¿Qué modo SSL/TLS debo elegir en Cloudflare?

Para un funcionamiento y seguridad óptimos, se recomienda elegir el modo "Full (strict)" en la configuración SSL/TLS de Cloudflare. Este modo garantiza que el tráfico estará cifrado no solo entre el cliente y Cloudflare, sino también entre Cloudflare y tu servidor VPS. Para ello, tu VPS debe tener un certificado SSL válido instalado, como el Cloudflare Origin CA Certificate, que se puede obtener de forma gratuita por 15 años.

¿Puede Cloudflare bloquear mi dominio por usar VLESS?

Teóricamente, Cloudflare puede bloquear un dominio o desactivar el proxy (la nube naranja) por infringir sus Términos de Servicio, que generalmente prohíben el uso de sus servicios gratuitos para "tunelización" o tráfico no-HTTP(S). Sin embargo, dado que VLESS a través de WebSocket+TLS se asemeja a tráfico HTTPS normal, en la práctica estos casos son raros, especialmente con un uso moderado. No obstante, para volúmenes de tráfico muy altos o si se detecta actividad inusual, el riesgo aumenta. Para estos casos, es mejor considerar VLESS Reality.

¿Necesito un dominio real o basta con una dirección IP?

Para el esquema de VLESS a través de Cloudflare CDN, es indispensable tener un dominio o subdominio propio. Cloudflare opera a nivel de nombres de dominio, actuando como proxy para ellos. Además, los certificados TLS utilizados para el cifrado están vinculados a un nombre de dominio. Usar solo una dirección IP no te permitirá aprovechar las ventajas de Cloudflare CDN para el enmascaramiento y la evasión de bloqueos.

¿Qué papel juega Nginx en este esquema?

Nginx actúa como un servidor proxy inverso en tu VPS. Recibe las conexiones TLS cifradas entrantes de Cloudflare en el puerto 443, termina el SSL (descifra el tráfico) y luego redirige el tráfico WebSocket "limpio" a un puerto local (por ejemplo, 127.0.0.1:10000) donde Xray-core está escuchando. Nginx también permite enmascarar el tráfico VLESS, añadiendo cabeceras HTTP y, si es necesario, mostrando un sitio web falso en la ruta raíz de tu dominio, lo que lo hace parecer más un servidor web normal.

Conclusiones

La configuración de VLESS a través de Cloudflare CDN con WebSocket y TLS en tu VPS es una solución potente y accesible para evadir la censura de internet y ocultar la dirección IP real del servidor. Este esquema enmascara eficazmente tu tráfico VPN como HTTPS normal, utilizando la red global de Cloudflare. Para una máxima estabilidad y rendimiento, se recomienda usar un VPS con discos NVMe y suficiente RAM, así como seguir cuidadosamente todos los pasos de configuración de Nginx y Xray-core, especialmente en lo que respecta a los certificados SSL y las rutas de WebSocket.