So funktioniert HopFox VPN

Diese Seite beschreibt nur, was heute läuft. Ändert sich etwas, erscheint die Änderung hier und in den News.

Das Protokoll: VLESS Reality

HopFox VPN verbindet sich per VLESS über TCP-Port 443, verpackt in Reality, mit der Open-Source-Engine Xray-core (Version 26.3.27 auf den Servern wie in jeder App).

Port 443 ist der Port von HTTPS, und Reality lässt die Verbindung exakt wie eine TLS-1.3-Sitzung mit einer bekannten öffentlichen Website aussehen: Der Handshake ist echt, das Zertifikat gehört dieser Website, und in den ersten Paketen steht nichts, was „VPN“ sagt. Filtertechnik, die herkömmliche VPN-Protokolle erkennt und drosselt, sieht normalen Web-Verkehr. Nur ein Client, der den Schlüssel des Servers kennt, bekommt einen Tunnel; wer sonst dieselbe Adresse aufruft, wird transparent an die echte Website weitergeleitet und sieht eine normale Seite.

Warum wir es gewählt haben:

• Nicht von HTTPS zu unterscheiden. Es gibt keinen eigenen Handshake, der sich fingerprinten ließe, und keinen VPN-spezifischen Port. Diese Eigenschaft ist uns am wichtigsten, weil sie entscheidet, ob die App in dem Netzwerk funktioniert, in dem Sie gerade sind.
• Keine Zertifikate, denen man vertrauen muss. Reality leiht sich die TLS-Identität einer echten Website, also muss auf dem Telefon nichts installiert oder bestätigt werden, und nichts kann widerrufen werden.
• Schnell. Mit XTLS Vision werden Anwendungsdaten, die bereits TLS-verschlüsselt sind, nicht ein zweites Mal verschlüsselt, der Tunnel kostet also sehr wenig. Die Latenz entspricht der einer direkten Verbindung zum Server.
• Open Source, von vielen Augen geprüft. Xray-core wird offen entwickelt; wir setzen das aktuelle Release ein und verändern das Protokoll nicht.

Standard ist Automatic: Die App wählt für jedes Netz selbst zwischen den beiden. Reality ist die richtige Wahl, wenn das Netz feindlich ist. Seit Version 0.5.0 gibt es eine zweite Option, sie ist unten beschrieben.

Das zweite Protokoll: AmneziaWG

AmneziaWG ist WireGuard mit Verschleierung: derselbe schnelle UDP-Tunnel, aber der Handshake wird aufgefüllt und von Müllpaketen eingeleitet, sodass er für Filtertechnik nicht wie WireGuard aussieht. Es läuft an jedem Standort auf UDP-Port 443 neben Reality, mit der quelloffenen Engine amneziawg-go auf den Servern und in den Apps.

Wann man es wählt: In einem guten Netz ist es meist schneller und hat geringere Latenz als ein TCP-Tunnel, und die Verbindung bleibt bestehen, während das Telefon zwischen WLAN und Mobilfunk wechselt. Wann man bei Reality bleibt: wenn UDP blockiert oder gedrosselt wird, was in Firmen- und manchen Mobilfunknetzen üblich ist; Reality läuft über TCP und geht als HTTPS durch. Die Wahl steht in jeder App unter Settings, Protocol. Automatic, der Standard, verbindet sich immer zuerst per Reality, sodass in einem gefilterten Netz nichts über UDP gesendet wird. Kommt Reality in einem Netz nicht durch, versucht die App einmal AmneziaWG und merkt sich eine Woche lang, welches Protokoll dort funktioniert.

In den Apps

Unter Android registriert die App eine System-VPN-Schnittstelle, sodass jede App auf dem Telefon durch den Tunnel geht, DNS eingeschlossen. Unter Windows und Linux legt ein kleiner Hilfsdienst den Tunneladapter an, sodass der ganze Rechner hindurchgeht; auf dem Mac arbeitet Reality als Systemproxy und AmneziaWG als echter Tunnel. In jeder App öffnet eine Kopie von Xray-core oder amneziawg-go die Verbindung. Das Gespräch der App mit dem Panel und die Prüfung Ihrer sichtbaren IP gehen direkt.

Die Latenz wird auf Ihrem Gerät gemessen, nicht bei uns geschätzt: Die App öffnet zu jedem Standort eine Verbindung und stoppt die Zeit. Die Wahl Automatic ist einfach der Standort mit dem niedrigsten Wert in diesem Moment. Die Liste sortiert sich nicht um, während Sie sie ansehen; sie wird einmal pro Stunde und auf Wunsch aktualisiert.

Auf den Servern

• Eigene Server, Debian 13, immer aktuell. Zwei Prozesse auf jedem: Xray-core auf TCP-Port 443 und amneziawg-go auf UDP-Port 443.
• Das Logging ist auf Warnungen beschränkt und geht in den Arbeitsspeicher, nicht auf die Festplatte. Nichts über Nutzer wird auf einem Server dauerhaft gespeichert.
• Ein kleiner Agent auf jedem Server spricht mit unserem Panel: welche Konten erlaubt sind, wie viele online sind, wie viel Verkehr durchlief. Das ist das gesamte Datenmodell.
• Das Panel kennt Ihre Kontonummer, den Tarif, die Zahl der Geräte und die Verbindungszeiten. Es weiß nicht, was Sie im Tunnel tun.

Konten ohne Identität

Beim ersten Start erzeugt die App einen Schlüssel auf Ihrem Gerät und bittet das Panel um eine Kontonummer. Diese Nummer ist das Konto. Keine E-Mail, keine Telefonnummer, kein Passwort: Es gibt nichts, das durchsickern könnte, und nichts zum Zurücksetzen. Möchten Sie dasselbe Konto auf einem zweiten Gerät, geben Sie dort die Nummer ein. Löschen Sie das Konto, schließt das Panel die Nummer, und jedes damit verknüpfte Gerät verliert sofort den Zugang.

Was es noch nicht gibt

• App für iPhone: in Entwicklung.

Aktualisiert am 26. Oktober 2026.