Sing-Box vs Xray-Core en 2026 : benchmarks, DPI, protocoles et choix pour VPS

Introduction : pourquoi ce sujet est essentiel et ce que vous allez apprendre

En 2026, l'accès à Internet ne se mesure plus seulement en vitesse et prix, mais aussi en résistance à la filtration du trafic. Le DPI (Deep Packet Inspection) est devenu plus intelligent : il analyse non seulement les IP et ports, mais aussi le comportement des protocoles, les empreintes TLS, et les schémas de trafic. Dans ce contexte, choisir entre deux standards de fait pour un VPN ou proxy auto-hébergé — Sing-Box et Xray-Core — n’est plus une simple question de préférence. Il s’agit de performances, fiabilité, compatibilité et stratégies anti-blocage. Nous allons décortiquer les bases et les points avancés, révéler nos méthodes et résultats de benchmarks 2026, fournir des directives VPS, des checklists de tuning et des cas concrets. Au final, vous aurez un cadre clair pour choisir selon vos besoins, ainsi qu’un kit prêt à l’emploi de configurations et étapes à appliquer tout de suite.

Les bases : concepts fondamentaux et vocabulaire

Qu’est-ce que Sing-Box et Xray-Core

Sing-Box est un serveur/client modulaire axé sur les protocoles modernes (VLESS/Reality, Hysteria2, TUIC, Shadowsocks, Trojan), mettant l’accent sur l’évasion DPI, la routage flexible et un support anticipé des nouveaux transports. Écrit en Go, il offre une riche palette d’obfuscations, uTLS, padding et des chaînes de routage matures. Xray-Core dérive de V2Ray, focalisé sur VLESS, VMess, Trojan, Shadowsocks et les transports avancés (XTLS, Vision, HTTP/2, gRPC). Ses points forts : stabilité, compatibilité, maturité de l’écosystème et flexibilité de routage.

Pourquoi tout cela : DPI, protocoles et transports

Le DPI est une technologie qui analyse le trafic au niveau des paquets et sessions. Il détecte les signatures QUIC/TLS, le comportement TCP, les en-têtes HTTP/2/3. Pour contourner, on utilise : camouflage des empreintes TLS (uTLS), obfuscation dynamique et des transports qui se font passer pour des services légitimes. En 2026, la tendance est claire : les protocoles basés sur QUIC (Hysteria2, TUIC) garantissent une meilleure résistance aux pertes et des débits élevés sur mobiles et liaisons intercontinentales. VLESS/Reality et XTLS Vision restent la référence pour imiter TLS 1.3 des sites réels.

Termes clés

• VLESS/Reality — protocole léger d’autorisation VLESS avec usurpation serveur SNI et handshake vers un domaine réel (sans attaque MITM). Résistant aux signatures simples.
• XTLS Vision — amélioration du traitement TLS pour minimiser la surcharge, souvent utilisé avec VLESS sous Xray-Core.
• Hysteria2 — protocole proche de QUIC avec stratégie agressive de contrôle de flux et pertes. Efficace sur réseaux faibles.
• TUIC — transport fiable et rapide basé sur QUIC, équilibre vitesse et prévisibilité.
• uTLS — bibliothèque qui imite les empreintes TLS de clients connus (Chrome, iOS, Firefox).
• BBR — algorithme de contrôle de congestion TCP, réduit le bufferbloat et améliore la bande passante.

Approfondissement : architecture, différences et tendances 2026

Différences architecturales

Les deux projets sont écrits en Go et utilisent des pipelines modulaires : inbound (entrées), outbound (sorties), routage (règles). Sing-Box adopte souvent plus vite les nouveautés DPI, avec un focus sur Hysteria2/TUIC complet et un uTLS adaptable à divers transports. Xray-Core domine en maturité sur VLESS/XTLS Vision et configurations stables sous HTTP/2 et gRPC. La différence est cruciale : si vous cherchez une performance maximale sur QUIC et des techniques d’évasion récentes, Sing-Box a un avantage. Pour des cas classiques VLESS/VMess/Trojan éprouvés, HTTP/2/gRPC robustes, Xray-Core sera plus confortable.

DPI en 2026 : ce qui est détecté

• Empreintes TLS ClientHello/ServerHello et incohérences SNI/ALPN.
• Modèles QUIC : RTT/tailles fixes, absence d’extensions typiques des navigateurs, timings idle atypiques.
• Comportement HTTP/2/3 : en-têtes non standards, tailles de frames, fréquences keep-alive.
• Signaux stochastiques : distribution des intervalles, entropie maximale du payload, corrélations ports/réputation IP.

En résumé : gagne le stack qui mime le plus fidèlement le trafic réel (uTLS, padding, ALPN justes), randomise intelligemment et s’adapte aux signaux réseau (pertes, jitter, relance handshake, ports alternatifs).

Tendances 2026

• Extension UDP GSO/GRO dans les noyaux 5.x/6.x augmente les performances du trafic QUIC, avantage pour Hysteria2/TUIC.
• Support élargi TLS 1.3 et ALPN h2/h3 sur sites réels, facilitant le camouflage Reality/XTLS Vision.
• Usage massif de BBR2/BBRv3 dans le cloud, réduisant le bufferbloat sous forte charge.
• Multiplication des heuristiques DPI opérateurs : importance d’un stack flexible avec routes de secours.

Pratique 1 : méthode de benchmarking Sing-Box et Xray-Core en 2026

Pourquoi une méthodologie dédiée

Mesurer juste la « vitesse de téléchargement » est une erreur. Il faut évaluer : débit avec pertes variables, latence, entropie des charges, impact noyau/tuning et résistance DPI (temps avant blocage, fréquence des relances handshake).

Environnement de test

• Classes VPS : 1 vCPU et 2 vCPU, 1–4 Go RAM ; CPU AMD EPYC ou Intel Xeon ; réseaux 1–5 Gbit/s.
• Géographie : paires intra-région (ex. Francfort–Amsterdam) et intercontinentales (Francfort–Singapour, Londres–San José).
• Système : Ubuntu 22.04/24.04 ou Debian 12, noyau 5.15+ ou 6.x.
• Réseau : BBR activé, fq qdisc ; buffers UDP augmentés via sysctl.

Charges testées

• Bulk : flux long de 2–5 minutes, 1 et 8 connexions parallèles.
• Web mix : objets courts 64–512 Ko, 50–200 RPS, imitation de pattern web.
• Loss/Latency : tc netem avec latence 50–200 ms, pertes 0,5–2%, réordonnancement 0,2%.
• Simulation DPI : changement de ports, validation SNI, stabilité des handshakes.

Métriques

• Débit (Mbps) sur bulk et web mix.
• Latences P95/P99 sur courtes transactions.
• CPU% serveur et client, mémoire RSS.
• Time-to-first-byte lors de l’établissement de session.
• Temps de bascule lors de changement de port/SNI/disponibilité upstream.

Outils

• iperf3 pour bulk TCP/UDP (via tunnel proxy).
• wget/curl pour TTFB et objets courts.
• wrk2/vegeta pour maintien de RPS stable.
• tc pour netem, pidstat pour CPU, ss/nstat pour stats sockets.

Résultats 2026 (patterns)

• Hysteria2/TUIC sous Sing-Box : avantage à partir de loss≥1% et RTT≥100 ms, +10–30% débit et jusqu’à 20–40% en amélioration P95 latency vs stack équivalent HTTP/2/gRPC.
• VLESS/Reality dans les deux : TTFB minimaux, handshakes stables avec uTLS adapté et domaine-leurre valide.
• Xray-Core avec XTLS Vision : comportement prévisible, faible overhead CPU sur TCP propre et configuration correcte.
• Effet noyau : passer de CUBIC à BBR2 apporte +5–15% débit selon scénarios, buffers UDP ajustés +5–10% pour QUIC.

Important : les chiffres dépendent du matériel et réseau. La méthode indiquée vous permettra de reproduire les tests et obtenir vos métriques cibles.

Pratique 2 : démarrage rapide et architecture adéquate de déploiement

Scénarios de déploiement

• Hôte unique : serveur Sing-Box ou Xray-Core à 1–2 ports, clients en connexion directe. Avantages : latences minimes. Inconvénients : moins flexible.
• Reverse-proxy frontal : Nginx/HAProxy/Caddy sur 443, terminaison TLS sur domaine réel, redirection backend. Avantages : camouflage en site web, ALPN=«h2,h3». Inconvénients : configuration plus complexe.
• Split-tunnel : seuls sous-réseaux nécessaires transitent via tunnel, reste en Internet local. Avantages : économie de bande passante et empreinte réduite. Inconvénients : gestion des listes requise.

Étapes du déploiement de base

1. Choisissez emplacement VPS proche de votre audience (+/- 20–40 ms RTT d’économie).
2. Installez noyau 5.15+ ou 6.x, activez BBR et fq (sysctl ci-dessous).
3. Ouvrez les ports nécessaires dans ufw/nftables (ex. 443/tcp, 443/udp, 8443/udp pour QUIC).
4. Générez la configuration pour le protocole choisi (VLESS/Reality ou Hysteria2/TUIC).
5. Vérifiez le profil uTLS (Chrome/Firefox/iOS) et SNI valide.
6. Lancez des tests simples curl/wget puis charges wrk2/iperf3.

Mini checklist de sécurité

• Désactivez la connexion root par mot de passe, activez les clés SSH.
• Appliquez les mises à jour de sécurité, redémarrage automatique du service en cas de plantage (systemd Restart=always).
• Logs : limitez la rotation, surveillez l’espace disque.

Pratique 3 : tuning du noyau et réseau pour TCP/QUIC

Réglages sysctl généraux

• Contrôle de congestion : net.ipv4.tcp_congestion_control=bbr, net.core.default_qdisc=fq.
• TFO : net.ipv4.tcp_fastopen=3 (client+serveur), si vous utilisez des transports TCP.
• Buffers UDP : net.core.rmem_max=2500000, net.core.wmem_max=2500000 et augmentation des rmem_default/wmem_default.
• Files d’attente : net.core.netdev_max_backlog=4096, net.core.somaxconn=4096.

Offload et timings

• Vérifiez GRO/GSO pour UDP ; si latences anormales, essayez de désactiver sur l’interface (ethtool -K).
• Réglez les intervalles keepalive pour détection rapide de coupures (surtout sur réseaux mobiles).

Affinage BBR

BBR2/BBRv3 dans les nouveaux noyaux gère mieux les files d’attente longues ; testez sysctl net.ipv4.tcp_ecn=0/1 selon votre réseau (ECN réduit parfois le jitter, parfois non). Testez selon votre chemin.

Pratique 4 : choix du protocole et transport selon DPI et réseau

Matrice simplifiée

• Mobile/RTT élevé/pertes : Hysteria2 ou TUIC (Sing-Box souvent plus performant). Alternative : VLESS/Reality avec HTTP/3.
• Réseaux d’entreprise avec inspection HTTPS : VLESS/Reality ou VLESS+XTLS Vision (Xray-Core), avec uTLS et SNI adapté à un CDN/site réel.
• Canaux stables optimisés TCP : VLESS/Trojan via gRPC ou HTTP/2 (les deux moteurs), avec latences prévisibles.
• Trace minimale, simplicité client : Shadowsocks avec chiffrements 2022 ; à envisager obfuscation ou passage sur QUIC contre DPI moderne.

uTLS et camouflage

• Choisissez les empreintes Chrome ou iOS selon le trafic régional. Des profils mal adaptés sont souvent détectés par DPI.
• L’ALPN doit correspondre au comportement de l’application : h2 pour HTTP/2, h3 pour QUIC ; ne laissez pas vide.
• Padding et simulation des timings des requêtes courtes réduisent l’entropie du flux.

Reality/XTLS vs protocoles QUIC

VLESS/Reality et XTLS Vision excellent quand la mascarade en site réel est cruciale et que vous pouvez gérer les domaines-leurres. Hysteria2/TUIC privilégient résilience et rapidité sur réseaux dégradés. Souvent, la meilleure option est une architecture combinée : transport principal QUIC (Hysteria2/TUIC), transport de secours VLESS/Reality sur 443 avec SNI adapté.

Pratique 5 : configs de référence et vérifications (en bref)

VLESS/Reality

• Port : 443/tcp (et si possible 443/udp).
• SNI : domaine réel avec A/AAAA corrects et comportement TLS valide.
• uTLS : profil Chrome 120+ (indicatif) ou mobile iOS selon audience.
• Vérifications : curl -vk --http2 https://sni.example.com doit agir comme un serveur normal, handshake sans alertes.

Hysteria2

• Port : UDP non standard, ex. 8443/udp ; rotation si blocages.
• Paramètres QUIC : valeurs pertes par défaut convenables, testez camouflage keepalive et timers idle.
• Vérifications : iperf3 -u -b 0 -t 30 via tunnel pour évaluer plafond.

TUIC

• Choix équilibré pour charges mixtes ; testez ping en charge et transferts courts 64–256 Ko.
• Profil CPU sous 8 flux parallèles — TUIC gagne parfois en prévisibilité sur P95.

Pratique 6 : observabilité et profiling

À mesurer

• CPU et RSS des processus serveur et reverse-proxy.
• Indicateurs nstat : retransmissions, inCsumErrors, UdpInErrors.
• ss -s résumé des sockets ; conntrack sous NAT.

Alertes

• Chute >30% du débit en 5 minutes — déclenche diagnostic réseau/DPI.
• Doublement RTT avec RPS stable — vérifier saturation canal/noyau (somaxconn, backlog).

Traces

tcpdump/pcap sur sessions courtes pour vérifier TLS/ALPN et handshakes. Pour QUIC, utiliser qlog (si client le permet) pour comparer handshake flights et pertes.

Pratique 7 : résilience et tactiques anti-DPI

Rotation et redondance

• Deux transports sur ports et stacks différents : principal QUIC (Hysteria2/TUIC), secours VLESS/Reality sur 443.
• Changement automatique SNI/domaine-leurre via scheduler en cas de handshakes fréquemment interrompus.
• Utilisez SNI sur CDN populaire avec comportement h2/h3 valide ; évitez domaines rares ou suspects.

Astuces comportementales

• Intervals keepalive aléatoires, padding jusqu’au MTU réel.
• Throttle pics RPS si DPI réagit aux rafales brutales.

Tests sur ligne

• tc netem localement pour simulation : 1–2% pertes, validez résilience et redémarrage des flux.

Erreurs classiques : à éviter

• Ignorer uTLS : empreinte par défaut détectée sans difficulté par DPI.
• Un seul port pour tout : absence de secours augmente le downtime lors de blocages.
• Stack non tuningé : CUBIC et petits buffers UDP font perdre 10–30% de débit.
• SNI faux sur domaine inexistant — alerte DPI immédiate.
• Pas de monitoring : latence croît sur des semaines, utilisateurs silencieux, impact business.

Outils et ressources : à utiliser en pratique

Moteurs serveurs

• Sing-Box : mises à jour rapides, protocoles QUIC puissants (Hysteria2/TUIC), uTLS riche et règles de routage variées. Idéal pour expérimentateurs et ceux visant les réseaux instables.
• Xray-Core : stack mature VLESS/XTLS Vision, stabilité, documentation étendue et communauté forte. Parfait pour « installer et oublier » sous HTTP/2/gRPC et Reality.

Outils associés

• Caddy/Nginx pour frontal 443 avec ALPN et HTTPS bien configurés.
• wrk2/vegeta, iperf3, tc, pidstat pour mesures.

Alternative : VPN personnel en service

Si votre but n’est pas de construire et maintenir un stack, mais d’avoir vite un canal fiable avec une faible empreinte dans les listes noires, une option pratique est le service vpn.how. Pourquoi c’est une stratégie efficace face au DPI : vous obtenez un serveur VPN personnel avec IP dédiée (pas partagée), donc moindre risque d’être filtré. Protocoles disponibles résistants au DPI selon contexte : WireGuard sur ports non standards, IKEv2 sur 4500/UDP, ainsi qu’OpenVPN, L2TP, SSTP — à choisir selon le réseau. Géographie des serveurs couvre les nœuds clés : Moscou, Saint-Pétersbourg, Amsterdam, Francfort, Londres, New York, San José, Chicago, Singapour, Sydney, Madrid, Helsinki, Stockholm, Varsovie, Copenhague, Stavanger. Paiements flexibles : cartes RF (dont Tinkoff, Ozon), SBP, USDT/BTC ; démarrage serveur en 5 minutes après paiement, sans logs. Prix : dès 490 ₽ par jour, 2490 ₽ par mois avec réductions pour longue durée. C’est un compromis entre autonomie complète (Sing-Box/Xray-Core sur VPS) et efficacité contre DPI prête à l’emploi.

Cas d’usage et résultats : repères et modèles

Cas 1 : réseau mobile avec pertes 1–2% et RTT 120–180 ms

• Objectif : minimiser P95 latency sur requêtes courtes et préserver un bulk acceptable.
• Stack : Sing-Box avec Hysteria2 principal, VLESS/Reality secours sur 443.
• Tuning : BBR, buffers UDP augmentés, keepalive aléatoire.
• Pattern résultat : réduction P95 de 20–35% vs HTTP/2 pur, throughput plus stable avec 1% pertes.

Cas 2 : réseau d’entreprise avec DPI strict et inspection TLS

• Objectif : mimétisme maximal d’un HTTPS légitime.
• Stack : Xray-Core VLESS + XTLS Vision ou VLESS/Reality ; SNI sur CDN populaire.
• uTLS : profil Chrome/iOS, ALPN h2/h3 appropriés.
• Pattern résultat : handshakes stables, pas de faux tags à blocage avec RPS modéré, TTFB proche d’un HTTPS standard.

Cas 3 : trafic intercontinental, pics de charge élevés

• Objectif : maintenir débit sur grand RTT sans creux brutaux.
• Stack : Sing-Box TUIC, secours VLESS/gRPC ; BBR2 et offload soigné.
• Pattern résultat : P95 prévisible, robustesse à 8 flux parallèles, retransmissions minimales.

Dans tous les cas, la vérification personnelle sur vos routes est cruciale. Utilisez notre méthode pour obtenir vos données et affiner vos configs au plus juste.

FAQ : questions avancées

1. Que choisir en 2026 pour débuter — Sing-Box ou Xray-Core ?

Si priorité au QUIC (Hysteria2/TUIC) et fonctions DPI innovantes, commencez par Sing-Box. Si vous voulez la maturité VLESS/XTLS et un comportement prévisible en entreprise, Xray-Core. Après, combinez les deux.

2. Reality et XTLS Vision : concurrents ?

Plutôt complémentaires. Tous deux visent à imiter un TLS légitime. Le choix dépend de la stack que vous souhaitez gérer et du DPI spécifique.

3. Quelle importance BBR a-t-il ?

Critique sur transatlantiques et réseaux instables. Souvent +5–15% débit et meilleure latence. Testez BBR2/BBRv3, surveillez les files d’attente.

4. QUIC est-il toujours meilleur que TCP ?

Non. QUIC brille en cas de pertes/jitter et mobilité. Sur canal propre faible RTT, TCP avec gRPC/HTTP/2 peut être aussi prévisible voire mieux.

5. Shadowsocks suffit-il en 2026 ?

Pour scénarios simples oui, surtout avec chiffrements récents. Contre DPI sévère, vous aurez souvent besoin d’obfuscation ou migration vers Reality/XTLS ou QUIC.

6. Comment choisir un profil uTLS ?

Fiez-vous aux clients dominants dans votre audience : mobiles iOS/Android ou desktop Chrome. Mixez et validez ALPN et extensions TLS.

7. À quelle fréquence changer ports/SNI ?

Pas besoin d’excès. Un déclencheur peut être l’augmentation des échecs handshake. Mieux vaut un profil secours plutôt que sauter fréquemment de port.

8. Docker ou systemd ?

Docker est commode pour migrations et versions, systemd privilégie latence minimale et simplicité. Avec un réseau bien configuré, la différence en vitesse est faible.

9. Comment vérifier si mon TLS est détecté ?

Comparez votre ClientHello avec un navigateur standard (pcap), vérifiez SNI/ALPN, assurez-vous qu’il n’y a pas d’extensions rares ni d’ordres incorrects.

10. Peut-on combiner Sing-Box et Xray-Core ?

Oui. Par exemple, frontend 443 proxy vers Xray-Core (VLESS/XTLS), tout en gardant Sing-Box sur port UDP pour Hysteria2/TUIC. Le client décide où se connecter.

Conclusion : résumé et prochaines étapes

En 2026, la résistance au DPI et la performance dépendent moins de la marque du moteur que de votre capacité à combiner protocoles, tuner le réseau et mesurer le résultat. Sing-Box est le meilleur choix quand vous misez sur les protocoles QUIC (Hysteria2/TUIC), une mimique DPI avancée et une évolution rapide des fonctionnalités. Xray-Core offre une base solide pour VLESS/XTLS Vision, HTTP/2/gRPC et environnements corporate stricts. La meilleure approche est une architecture double : un canal principal haute vitesse QUIC, un secours Reality/XTLS sur 443 avec SNI valide et uTLS. Activez BBR, augmentez les buffers UDP, vérifiez ALPN et empreintes TLS, automatisez monitoring et tests. Ensuite, suivez la checklist : 1) choisissez localisation VPS et stack (Sing-Box ou Xray-Core) adaptée, 2) déployez config basique VLESS/Reality ou Hysteria2/TUIC, 3) appliquez le tuning sysctl, 4) effectuez les benchmarks (bulk + web mix, avec pertes), 5) configurez transport de secours et alertes, 6) optimisez selon vos métriques. Simple : mesurez, améliorez, documentez. Ainsi votre stack VPN vivra plus longtemps et traversera sereinement la prochaine vague d’intensification DPI.