Sing-Box vs Xray-Core en 2026: benchmarks, DPI, protocolos y elección para VPS

Introducción: por qué este tema es relevante y qué aprenderás

En 2026, el acceso a internet no depende solo de la velocidad y el costo, sino también de la resistencia a la filtración de tráfico. El DPI (Deep Packet Inspection) se ha vuelto más inteligente: analiza no solo IP y puertos, sino también el comportamiento de protocolos, huellas TLS y patrones de tráfico. En este contexto, la elección entre dos estándares de facto para VPNs y proxies caseros — Sing-Box y Xray-Core — ya no es cuestión de gustos. Se trata de rendimiento, fiabilidad, compatibilidad y práctica contra bloqueos. Revisaremos desde conceptos básicos hasta temas avanzados, mostraremos metodologías y resultados de benchmarks 2026, daremos instrucciones para VPS, listas de ajustes y casos de uso. Al final tendrás un marco claro para elegir según tus condiciones y un conjunto de pasos y configuraciones listas para usar.

Conceptos básicos: fundamentos y terminología

¿Qué son Sing-Box y Xray-Core?

Sing-Box es un servidor/cliente modular enfocado en protocolos modernos (VLESS/Reality, Hysteria2, TUIC, Shadowsocks, Trojan), con énfasis en evasión de DPI, enrutamiento flexible y soporte anticipado para nuevos transportes. Está escrito en Go y ofrece una amplia gama de ofuscaciones, uTLS, padding y cadenas de enrutamiento maduras. Xray-Core es una derivación de V2Ray, servidor/cliente centrado en VLESS, VMess, Trojan, Shadowsocks y transportes avanzados (XTLS, Vision, HTTP/2, gRPC). Sus puntos fuertes son estabilidad, compatibilidad, madurez del ecosistema y flexibilidad en el enrutamiento.

¿Para qué todo esto? DPI, protocolos y transportes

DPI son tecnologías que analizan el tráfico a nivel de paquetes y sesiones. Detecta firmas de QUIC/TLS, comportamiento TCP y encabezados HTTP/2/3. Para evadirlo se usan: enmascaramiento de huellas TLS (uTLS), ofuscación dinámica y transportes que se comportan como servicios legítimos. En 2026 la tendencia es clara: los protocolos basados en QUIC (Hysteria2, TUIC) ofrecen mejor resistencia a pérdidas y velocidad en líneas móviles e intercontinentales. VLESS/Reality y XTLS Vision siguen siendo el estándar de oro para mimetizarse bajo TLS 1.3 con sitios reales.

Términos clave

• VLESS/Reality — protocolo ligero de autorización VLESS con falsificación server-side de SNI y handshake bajo dominio señuelo real (sin MITM). Resistente a firmas simples.
• XTLS Vision — mejora en el procesamiento TLS para minimizar overhead, comúnmente usado con VLESS en Xray-Core.
• Hysteria2 — protocolo parecido a QUIC con estrategia agresiva de control de flujo y pérdidas. Ideal para canales inestables.
• TUIC — transporte confiable y rápido basado en QUIC, equilibrio entre velocidad y predictibilidad.
• uTLS — biblioteca que emula huellas TLS de clientes conocidos (Chrome, iOS, Firefox).
• BBR — algoritmo de control de congestión TCP que reduce bufferbloat y aumenta el throughput.

Profundizando: arquitectura, diferencias y tendencias 2026

Diferencias arquitectónicas

Ambos proyectos están escritos en Go y usan pipelines modulares: inbound (entradas), outbound (salidas), reglas de enrutamiento. Sing-Box suele integrar primero nuevas funciones resistentes a DPI, con foco en completitud de Hysteria2/TUIC y uTLS flexible en varias capas de transporte. Xray-Core lidera en madurez de VLESS/XTLS Vision y configuraciones estables para HTTP/2 y gRPC. La diferencia es clave: si buscas máximo rendimiento en QUIC y técnicas nuevas de evasión, Sing-Box lleva ventaja. Si tu prioridad son escenarios probados de VLESS/VMess/Trojan y pipelines HTTP/2 y gRPC maduros, Xray-Core será más cómodo.

DPI en 2026: qué intentan detectar

• Huellas TLS ClientHello/ServerHello y discrepancias SNI/ALPN.
• Patrones QUIC: RTT y tamaño de paquete fijos, ausencia de extensiones típicas de navegador, tiempos idle no estándar.
• Comportamiento HTTP/2/3: encabezados inusuales, tamaños de frame y frecuencia de keep-alive.
• Indicadores estocásticos: distribución de intervalos, pico de entropía en payload, correlaciones de puerto y reputación IP.

Conclusión: gana el stack que mejor mime el tráfico real (uTLS, padding, ALPN correcto), randomice comportamiento y se adapte a señales de red (pérdidas, jitter, reinicios de handshake, puertos alternativos).

Tendencias 2026

• Expansión de UDP GSO/GRO en núcleos 5.x/6.x aumentó rendimiento de tráfico QUIC, beneficio para Hysteria2/TUIC.
• Mayor soporte de TLS 1.3 y ALPN h2/h3 en sitios reales, facilitando la máscara Reality/XTLS Vision.
• Amplio uso de BBR2/BBRv3 en la nube, suavizando bufferbloat bajo carga alta.
• Incremento de heurísticas DPI: importante contar con stack flexible y rutas alternativas.

Práctica 1: metodología de benchmarking Sing-Box y Xray-Core en 2026

Por qué una metodología específica

Medir solo la “velocidad de descarga” es un error. Hay que evaluar throughput bajo diversas pérdidas, latencias, entropías de carga, efecto del núcleo/ajustes y resistencia a DPI (tiempo hasta bloqueo, frecuencia de reinicios de handshake).

Banco de pruebas

• Clases VPS: 1 vCPU y 2 vCPU, 1–4 GB RAM; CPU AMD EPYC o Intel Xeon; redes de 1–5 Gbit/s.
• Geografía: pares intrarregionales (ej. Frankfurt–Ámsterdam) e intercontinentales (Frankfurt–Singapur, Londres–San José).
• SO: Ubuntu 22.04/24.04 o Debian 12, núcleo 5.15+ o 6.x.
• Red: BBR activo, fq qdisc; buffers UDP sysctl aumentados.

Cargas

• Bulk: flujo largo de 2–5 minutos, 1 y 8 conexiones paralelas.
• Web mix: objetos cortos 64–512 KB, 50–200 RPS, simulando patrón web.
• Pérdida/Latencia: tc netem con 50–200 ms de retardo, 0.5–2% pérdidas, 0.2% reordenamiento.
• Simulación DPI: cambio de puertos, validación SNI, chequeo de estabilidad de handshakes.

Métricas

• Throughput (Mbps) en bulk y web mix.
• Latencia P95/P99 en transacciones cortas.
• CPU% en servidor y cliente, RSS memoria.
• Tiempo al primer byte en sesión establecida.
• Tiempo de failover ante cambio de puerto/SNI/disponibilidad upstream.

Herramientas

• iperf3 para TCP/UDP bulk (vía proxy-túnel).
• wget/curl para TTFB y objetos cortos.
• wrk2/vegeta para RPS estable.
• tc para netem, pidstat para CPU, ss/nstat para sockets/estadísticas.

Resultados 2026 (patrones)

• Hysteria2/TUIC en Sing-Box: ventaja con pérdidas ≥1% y RTT ≥100 ms, ganancia de 10–30% en throughput y hasta 20–40% en latencia P95 respecto a stack equivalente HTTP/2/gRPC.
• VLESS/Reality en ambos motores: TTFB mínimos, handshakes estables con uTLS correcto y dominio señuelo válido.
• Xray-Core con XTLS Vision: comportamiento predecible, bajo overhead en CPU con TCP puro y configuración adecuada.
• Optimización del núcleo: pasar de CUBIC a BBR2 suma +5–15% de throughput en la mayoría de escenarios, buffers UDP correctos agregan +5–10% en QUIC.

Importante: cifras concretas dependen del hardware y red. La metodología permitirá replicar pruebas y obtener tus métricas objetivo.

Práctica 2: inicio rápido y arquitectura correcta desplegada

Escenarios de despliegue

• Single-host: servidor Sing-Box o Xray-Core escucha en 1–2 puertos, clientes conectan directo. Ventajas: latencia mínima. Desventajas: menor flexibilidad.
• Reverse-proxy frontal: Nginx/HAProxy/Caddy en 443, terminación TLS con dominio real, reenvío a backend. Ventajas: mimetización como sitio web, ALPN=«h2,h3». Desventajas: configuración más compleja.
• Split-tunnel: solo subredes necesarias van por túnel, resto internet local. Ventajas: ahorro de ancho de banda y menor huella. Desventajas: requiere mantener listas.

Pasos para despliegue básico

1. Elige ubicación VPS cercana a tu audiencia (+/- 20–40 ms RTT ahorrados).
2. Instala núcleo 5.15+ o 6.x, activa BBR y fq (sysctl más abajo).
3. Abre puertos necesarios en ufw/nftables (p.ej. 443/tcp, 443/udp, 8443/udp para QUIC).
4. Genera configuración para protocolo elegido (VLESS/Reality o Hysteria2/TUIC).
5. Verifica perfil uTLS (Chrome/Firefox/iOS) y SNI válido.
6. Ejecuta pruebas simples curl/wget, luego carga con wrk2/iperf3.

Mini checklist de seguridad

• Deshabilita login root con contraseña, usa llaves SSH.
• Aplica actualizaciones de seguridad, reinicia servicio automáticamente si falla (systemd Restart=always).
• Logs: limita rotación y monitorea disco.

Práctica 3: ajuste del núcleo y red para TCP/QUIC

Ajustes comunes sysctl

• Control de congestión: net.ipv4.tcp_congestion_control=bbr, net.core.default_qdisc=fq.
• TFO: net.ipv4.tcp_fastopen=3 (cliente+servidor), si usas transportes TCP.
• Buffers UDP: net.core.rmem_max=2500000, net.core.wmem_max=2500000 y aumentos en net.core.rmem_default/wmem_default.
• Colas: net.core.netdev_max_backlog=4096, net.core.somaxconn=4096.

Offload y temporizaciones

• Verifica GRO/GSO para UDP; si ves latencias anómalas, prueba a deshabilitar en interfaz (ethtool -K).
• Configura intervalos keepalive para detección rápida de desconexiones (muy útil en redes móviles).

Configuración fina de BBR

BBR2/BBRv3 en núcleos modernos maneja mejor las colas saturadas; prueba sysctl net.ipv4.tcp_ecn=0/1 según tu red (a veces ECN reduce jitter, a veces no). Testea según tu ruta.

Práctica 4: elección de protocolo y transporte según DPI y red

Matriz simplificada de selección

• Móviles/alta RTT/pérdidas: Hysteria2 o TUIC (Sing-Box suele aportar más rendimiento). Alternativa: VLESS/Reality con HTTP/3.
• Redes corporativas con inspección HTTPS: VLESS/Reality o VLESS+XTLS Vision (Xray-Core), con uTLS y SNI correcto a CDN/sitio real.
• Canales estables con optimización TCP: VLESS/Trojan vía gRPC o HTTP/2 (ambos motores). Ventaja: latencias previsibles.
• Huella mínima, simple en clientes: Shadowsocks con cifrados modernos 2022; pero frente a DPI fuerte puede necesitar ofuscación o salto a QUIC.

uTLS y enmascaramiento

• Elige huellas Chrome/iOS acorde a tu tráfico regional. Huellas mal ajustadas son causa frecuente de detecciones DPI.
• ALPN debe corresponder al comportamiento de la app: h2 para HTTP/2, h3 para QUIC; no lo dejes vacío.
• Padding e imitación de temporizaciones en peticiones cortas reducen la entropía del flujo.

Reality/XTLS vs protocolos QUIC

VLESS/Reality y XTLS Vision son ideales cuando es clave mimetizar un sitio real y se pueden mantener dominios señuelo. Hysteria2/TUIC sobresalen en resistencia y velocidad en redes pobres. A menudo gana una arquitectura combinada: transporte principal QUIC (Hysteria2/TUIC) y reserva VLESS/Reality en 443 con SNI apropiado.

Práctica 5: configuraciones de referencia y comprobaciones (resumen)

VLESS/Reality

• Puerto: 443/tcp (y si es posible 443/udp).
• SNI: dominio real con registros A/AAAA correctos y TLS válido.
• uTLS: perfil Chrome 120+ (aprox.) o móvil iOS según audiencia.
• Comprobaciones: curl -vk --http2 https://sni.example.com debe comportarse como servidor normal, handshake sin alertas.

Hysteria2

• Puerto: udp no estándar, ej. 8443/udp; en bloqueos, rotar.
• Parámetros QUIC: modos de pérdida por defecto ok, pero prueba enmascarar keepalive y timers idle.
• Comprobaciones: iperf3 -u -b 0 -t 30 a través túnel para estimar techo.

TUIC

• Elección equilibrada para carga mixta; verifica pings bajo carga y descargas cortas 64–256 KB.
• Perfila CPU con 8 streams paralelos; TUIC a veces gana en predictibilidad de P95.

Práctica 6: observabilidad y profiling

Qué monitorizar

• CPU y RSS de procesos de servidor y reverse-proxy.
• Indicadores nstat: retransmisiones, inCsumErrors, UdpInErrors.
• Resumen ss -s de sockets; conntrack para NAT.

Alertas

• Caída de throughput mayor al 30% en 5 minutos — dispara diagnóstico de red/DPI.
• Duplicación de RTT durante RPS constante — revisar saturación de canal/núcleo (somaxconn, backlog).

Traza

tcpdump/pcap en sesiones cortas para revisar TLS/ALPN y handshakes. Para QUIC: qlog (si cliente lo soporta), comparar vuelo de handshake y pérdidas.

Práctica 7: alta disponibilidad y tácticas anti-DPI

Rotación y reserva

• Dos transportes en puertos y stacks distintos: principal QUIC (Hysteria2/TUIC), reserva VLESS/Reality en 443.
• Cambio automático de SNI/dominio señuelo con scheduler al detectar frecuentes caídas de handshake.
• Usa SNI de CDN popular con comportamiento válido h2/h3; evita dominios raros o sospechosos.

Trucos de comportamiento

• Intervalos keepalive aleatorios, padding hasta MTU real.
• Control de ráfagas RPS si DPI responde a picos repentinos.

Pruebas de línea

• tc netem local para entrenar — simula 1–2% pérdidas, verifica estabilidad y reinicio de flujos.

Errores comunes: qué evitar

• Ignorar uTLS: huella por defecto fácil de detectar por DPI.
• Un solo puerto para todo el tráfico: falta de reserva incrementa downtime ante bloqueos.
• Stack sin optimizar: CUBIC + buffers UDP pequeños reduce velocidad 10–30%.
• SNI falso en dominio inexistente — alerta inmediata.
• Falta de monitoreo: latencias aumentan semanas sin aviso, usuarios callados, negocio pierde.

Herramientas y recursos: qué usar en la práctica

Motores de servidor

• Sing-Box: actualizaciones rápidas, potentes protocolos QUIC (Hysteria2/TUIC), amplio uTLS y reglas de enrutamiento. Ideal para experimentadores y quienes buscan sacar lo máximo a redes inestables.
• Xray-Core: stack maduro VLESS/XTLS Vision, estabilidad, documentación extensa y comunidad sólida. Perfecto para «instalar y olvidar» con HTTP/2/gRPC y Reality.

Complementarios

• Caddy/Nginx para fronting 443 con ALPN y HTTPS correctos.
• wrk2/vegeta, iperf3, tc, pidstat para mediciones.

Alternativa: VPN personal como servicio

Si la meta no es construir y mantener el stack, sino obtener rápido un canal estable con mínima huella en listas negras, una opción práctica es el servicio vpn.how. ¿Por qué es una estrategia efectiva contra DPI? Obtienes un servidor VPN personal con IP dedicada (no compartida), reduciendo mucho el riesgo de ser bloqueado por listas existentes. Ofrece protocolos resistentes a DPI según la situación: WireGuard en puertos no estándar, IKEv2 en 4500/UDP, además de OpenVPN, L2TP, SSTP para elegir según red. La geografía cubre nodos clave: Moscú, San Petersburgo, Ámsterdam, Frankfurt, Londres, Nueva York, San José, Chicago, Singapur, Sídney, Madrid, Helsinki, Estocolmo, Varsovia, Copenhague, Stavanger. Pagos flexibles: tarjetas rusas (incluyendo Tinkoff, Ozon), SBP y USDT/BTC; activación automática en 5 minutos tras pago, sin logs. Precios desde 490 ₽ por día y desde 2490 ₽ al mes con descuentos por períodos largos. Es un balance entre autonomía total (Sing-Box/Xray-Core en tu VPS) y preparación para condiciones DPI agresivas “listas para usar”.

Casos y resultados: referencias y plantillas de soluciones

Caso 1: red móvil con pérdidas de 1–2% y RTT 120–180 ms

• Objetivo: minimizar latencia P95 en peticiones cortas y mantener bulk aceptable.
• Stack: Sing-Box con Hysteria2 principal, VLESS/Reality reserva en 443.
• Ajustes: BBR, buffers UDP aumentados, keepalive aleatorio.
• Resultado patrón: reducción de P95 entre 20–35% vs HTTP/2 puro, throughput más estable con pérdida del 1%.

Caso 2: red corporativa con DPI estricto e inspección TLS

• Objetivo: mimetizar HTTPS legítimo al máximo.
• Stack: Xray-Core VLESS + XTLS Vision o VLESS/Reality; SNI en CDN popular.
• uTLS: perfiles Chrome/iOS, ALPN h2/h3 correcto.
• Resultado patrón: handshakes estables, sin bloqueos falsos con RPS moderado, TTFB cercano a HTTPS “limpio”.

Caso 3: tráfico intercontinental con picos altos de carga

• Objetivo: mantener throughput con RTT alto sin caídas abruptas.
• Stack: Sing-Box TUIC, reserva VLESS/gRPC; BBR2 y offload cuidadoso.
• Resultado patrón: P95 predecible, resistencia con 8 streams paralelos, mínimas retransmisiones.

En todos los casos es crucial: probar tú mismo según tus rutas. Utiliza nuestra metodología para obtener tus cifras y ajustar configuraciones con precisión.

FAQ: preguntas profundas

1. ¿Qué elegir para empezar en 2026 — Sing-Box o Xray-Core?

Si tu prioridad es QUIC (Hysteria2/TUIC) y novedades en evasión DPI “antes del mercado”, comienza con Sing-Box. Si valoras madurez VLESS/XTLS y comportamiento predecible en redes corporativas, opta por Xray-Core. Luego combina.

2. ¿Reality y XTLS Vision son competencia?

Más bien complementarios. Ambos buscan mimetizar TLS legítimo. La elección depende del stack que prefieras manejar y el tipo de DPI que enfrentes.

3. ¿Qué tan importante es BBR?

Crítico en rutas transatlánticas e inestables. Suele aportar 5–15% más rendimiento y mejora latencia. Prueba BBR2/BBRv3 y controla colas.

4. ¿QUIC siempre es mejor que TCP?

No. QUIC prevalece frente a pérdidas, jitter y movilidad. En rutas limpias con RTT bajo, TCP con gRPC/HTTP/2 puede ser igual o más predecible.

5. ¿Shadowsocks es suficiente en 2026?

Para casos simples sí, especialmente con cifrados modernos. Contra DPI estricto suele requerir ofuscación o salto a Reality/XTLS o protocolos QUIC.

6. ¿Cómo elegir perfil uTLS?

Mira qué clientes dominan en tu audiencia: móviles iOS/Android o desktop Chrome. Mezcla y valida ALPN y extensiones TLS.

7. ¿Con qué frecuencia cambiar puertos/SNI?

Sin excesos. Un disparador es aumento de fallos en handshakes. Mantén un perfil de reserva, no cambies a diario.

8. ¿Docker o systemd?

Docker es cómodo para migraciones y versiones, systemd para baja latencia y simplicidad. A velocidades altas no hay diferencia significativa con red bien configurada.

9. ¿Cómo comprobar si mi TLS está ‘expuesto’?

Compara tu ClientHello con pcap de navegador de referencia, verifica SNI/ALPN y ausencia de extensiones raras o campos mal ordenados.

10. ¿Puedo combinar Sing-Box y Xray-Core?

Sí. Por ejemplo, front en 443 que proxie a Xray-Core (VLESS/XTLS) y simultáneo Sing-Box en puerto UDP para Hysteria2/TUIC. El cliente decide qué usar.

Conclusión: resumen y próximos pasos

En 2026, la resistencia a DPI y el rendimiento no dependen de la marca del motor, sino de cómo combinas protocolos, ajustas red y mides resultados. Sing-Box es mejor elección cuando apuestas por protocolos QUIC (Hysteria2/TUIC), mimetismo DPI avanzado y evolución rápida de funciones. Xray-Core es base confiable para VLESS/XTLS Vision, HTTP/2/gRPC y entornos corporativos exigentes. El enfoque más efectivo es mantener una arquitectura dual: canal principal rápido en QUIC y reserva en Reality/XTLS vía 443 con SNI válido y uTLS. Activa BBR, aumenta buffers UDP, revisa ALPN y huellas TLS, automatiza monitoreo y pruebas. Luego sigue el checklist: 1) elige ubicación VPS y stack (Sing-Box o Xray-Core) para tu red, 2) despliega configuración básica VLESS/Reality o Hysteria2/TUIC, 3) aplica ajustes sysctl, 4) ejecuta metodología de benchmarking (bulk + web mix con pérdidas), 5) configura transporte de reserva y alertas, 6) optimiza según tus métricas. Es simple: mide, mejora y documenta. Así tu stack VPN vivirá más y soportará la próxima ola de refuerzos DPI sin dramas.