Shadowsocks-client: zo kies, installeer en gebruik je hem in 2026

Een Shadowsocks-client is de app op je apparaat die verbinding maakt met een Shadowsocks-server en je verkeer door een versleutelde tunnel stuurt. Je hebt er een nodig zodra iemand je een ss://-link, een QR-code of een set servergegevens geeft. De keuze van de app doet er bovendien meer toe dan je zou denken: de helft van de clients die oudere handleidingen aanraden, is al jaren niet bijgewerkt, en sommige kunnen helemaal niet met moderne servers praten.

Voor de meeste mensen is het antwoord kort. Outline is op elk platform de makkelijkste gratis optie, shadowsocks-android geeft meer controle op Android, en sslocal van shadowsocks-rust dekt Linux, servers en routers af. Hieronder bekijken we welke clients in 2026 nog leven, halen we een ss://-link uit elkaar en richten we elk platform in. Daarna controleren we of je verkeer echt via de server naar buiten gaat, want een groen ‘verbonden’-icoontje alleen bewijst dat niet.

Wat een Shadowsocks-client eigenlijk doet#

Shadowsocks is een versleuteld proxyprotocol. Het verscheen in 2012 als manier om sites te bereiken die in sommige regio’s niet beschikbaar zijn, en inmiddels is het een van de meestgebruikte protocollen voor netwerken met beperkingen. Een opstelling bestaat altijd uit twee helften: een server op een netwerk zonder beperkingen en een client op je apparaat.

De client doet drie dingen:

1. Hij opent een lokale proxy. De client luistert op je eigen computer, meestal als SOCKS5-proxy op 127.0.0.1:1080. Sommige clients openen daarnaast een HTTP-proxy of een systeembrede VPN-interface.
2. Hij versleutelt en stuurt door. Elke verbinding die je apps naar die lokale proxy sturen, wordt met de gedeelde sleutel versleuteld en doorgestuurd naar de Shadowsocks-server.
3. Hij bepaalt wat door de tunnel gaat. Afhankelijk van de modus is dat al het verkeer, alleen verkeer dat aan bepaalde regels voldoet, of alleen de apps die je naar de proxy laat wijzen.

Aan de andere kant ontsleutelt de server het verkeer en opent hij de echte verbinding met de website. De website ziet het IP-adres van de server in plaats van het jouwe, terwijl je internetprovider alleen een versleutelde stroom naar één server ziet, zonder zichtbare proxy-handshake.

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Twee veelgehoorde aannames over Shadowsocks kloppen niet:

• Het is geen SOCKS5-proxy. De client spreekt SOCKS5 met je apps, maar de verbinding met de server gebruikt een ander, versleuteld protocol. Daarom kun je een Shadowsocks-client niet op een gewone SOCKS5-server richten, en andersom ook niet.
• Het is standaard geen volwaardige VPN. In de basismodus gaan alleen de apps die de lokale proxy gebruiken door de tunnel, en apps die proxyinstellingen negeren, gaan rechtstreeks naar buiten. Wil je het hele apparaat afdekken, dan zet je de client in VPN-modus (TUN).

De beste Shadowsocks-clients in 2026#

Veel lijstjes raden nog steeds clients aan die al lang zijn opgegeven. Daarom hebben we in oktober 2026 de releasegeschiedenis van elke client nagekeken. De tabel laat zien hoe ze ervoor staan.

Officiële clients en clients voor één protocol#

Client	Platforms	Shadowsocks 2022-ciphers	Plug-ins	Status in 2026
Outline Client	Windows, macOS, Linux, Android, iOS, ChromeOS	Nee, alleen klassieke ciphers	Nee	Actief in ontwikkeling; sinds januari 2026 beheerd door de non-profit Outline Foundation
shadowsocks-android	Android	Ja	Ja, als aparte apps	Onderhouden op GitHub (v5.3.4); de vermelding in Google Play is sinds 2021 niet bijgewerkt
ShadowsocksX-NG	macOS	Nee	Ja	Laatste release v1.10.3 in oktober 2024; draait native op Apple Silicon
shadowsocks-rust (sslocal)	Linux, macOS, Windows, routers	Ja	Ja	De referentie-implementatie, met regelmatige releases (v1.25.0)
Shadowsocks for Windows	Windows	Nee	Ja	Werkt nog, maar de laatste release (4.4.1.0) dateert van februari 2022
shadowsocks-libev, nu shadowsocks-c	Linux, routers	Nog niet in een release	Ja	Nieuw leven ingeblazen onder een nieuwe naam; v3.3.6 kwam uit in februari 2026
shadowsocks-qt5	Linux, Windows	Nee	Nee	Opgegeven; gebruik in plaats daarvan sslocal of een multiprotocol-app
Python shadowsocks (pip)	Alle	Nee	Nee	Al jaren geleden opgegeven, dus niet gebruiken
ShadowsocksR (SSR)	Diverse	Nee	Nee	Een dode fork met een eigen protocol dat moderne servers niet accepteren

Multiprotocol-clients die ook Shadowsocks spreken#

Heb je later misschien VLESS, Trojan of Hysteria nodig, dan kan één app die allemaal naast Shadowsocks afhandelen:

• Desktop: Clash Verge Rev, dat op de mihomo-core is gebouwd, en v2rayN.
• Android: NekoBox, Hiddify en de officiële app van sing-box. NekoBox wordt traag bijgewerkt en de vermelding in Google Play wordt door een derde partij beheerd, dus installeer de app via GitHub.
• iOS: de gratis app sing-box MT, waarnaar de documentatie van sing-box verwijst, en Potatso, dat in de App Store nog steeds updates krijgt, al is de oude opensource-repository opgegeven. Betaalde apps zoals Shadowrocket, Stash en Surge voegen daar routering op basis van regels aan toe.

sing-box en mihomo ondersteunen allebei de ciphers van Shadowsocks 2022. Ze hebben ook de gangbare plug-ins ingebouwd, zodat je die niet als aparte programma’s hoeft te installeren.

Snelle keuzes#

• Het makkelijkst op elk apparaat: Outline. Je plakt een sleutel en drukt op Connect.
• Android met volledige controle: shadowsocks-android.
• Mac: ShadowsocksX-NG, of Clash Verge Rev als je routeringsregels en nieuwere ciphers wilt.
• Linux, servers en routers: sslocal van shadowsocks-rust.
• iPhone: Outline als gratis optie, of een app met regels als je per site wilt routeren, wat Outline niet kan.

Wat je van de server nodig hebt#

Elke Shadowsocks-client heeft dezelfde vier waarden nodig, of je ze nu intypt of importeert:

Veld	Voorbeeld	Opmerkingen
Server	203.0.113.10	IP-adres of domeinnaam
Poort	8388	Elke poort waarop de server luistert; 443 komt vaak voor
Wachtwoord / sleutel	Secret0	Moet exact overeenkomen met de server
Cipher (methode)	chacha20-ietf-poly1305	Moet exact overeenkomen met de server

Een verkeerde cipher of een verkeerd wachtwoord levert geen duidelijke foutmelding op. De client maakt verbinding en daarna laadt er niets, en daardoor is dit verreweg het meest voorkomende probleem bij het instellen.

Een ss://-link lezen#

Providers en serverpanelen geven je de vier waarden meestal als één link in het SIP002-formaat, vaak met een QR-code ernaast:

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

Onderdeel	Betekenis
ss://	Het schema dat elke Shadowsocks-client herkent
Y2hhY2hh…	De cipher en het wachtwoord, chacha20-ietf-poly1305:Secret0, gecodeerd in URL-veilige Base64
@203.0.113.10:8388	Serveradres en poort
#Frankfurt	Een label dat de app toont en dat geen invloed heeft op de verbinding

Wil je controleren wat je hebt gekregen, dan kun je het middelste deel decoderen met echo Y2hhY2hh… | base64 -d. Links voor Shadowsocks 2022-ciphers zien er anders uit, omdat de specificatie daar Base64 verbiedt: de cipher en de sleutel staan in platte tekst, met speciale tekens in percent-encoding. Gebruikt de server een plug-in, dan krijgt de link na de poort een parameter /?plugin=.

Je kunt ook nog twee andere formaten tegenkomen die servers via een URL uitdelen:

• SIP008-abonnements-URL’s. Dit is een HTTPS-link die een JSON-lijst met servers teruggeeft. De client haalt die lijst af en toe opnieuw op (shadowsocks-rust doet dat standaard elk uur), zodat de provider servers kan wisselen zonder je nieuwe links te sturen.
• Outline-sleutels met ssconf://. Dit zijn de dynamische toegangssleutels van Outline. De app vervangt ssconf:// door https:// en haalt de actuele servergegevens van dat adres op.

Behandel elk van deze links als een wachtwoord, want iedereen die de link heeft, kan je server gebruiken.

Welke cipher je moet gebruiken#

Cipher	Familie	Gebruiken?
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	Ja, als zowel client als server het ondersteunen. Bescherming tegen replay-aanvallen is ingebouwd.
chacha20-ietf-poly1305	Klassieke AEAD	Ja. Elke client die de specificatie volgt, moet deze ondersteunen, en het is de snelste keuze op telefoons en routers.
aes-256-gcm, aes-128-gcm	Klassieke AEAD	Ja. Het snelst op pc’s met hardwarematige AES.
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20 en andere streamciphers	Verouderd	Nee. Ze hebben geen integriteitscontrole, en het project zelf noemt ze volledig gebroken.

Streamciphers zijn geen theoretisch risico. Een aanval uit 2020 liet zien dat iemand die je verkeer had opgenomen, het kon laten ontsleutelen door een server die nog een streamcipher met hetzelfde wachtwoord gebruikt.

Shadowsocks 2022 verandert ook hoe sleutels werken, want het accepteert geen zelfgekozen wachtwoord. De sleutel moet uit willekeurige bytes in Base64 bestaan: 16 bytes voor 2022-blake3-aes-128-gcm en 32 bytes voor de andere twee. Je genereert hem dus met openssl rand -base64 16 of openssl rand -base64 32. Het protocol controleert ook tijdstempels en behandelt elk bericht dat meer dan 30 seconden afwijkt als replay. In de praktijk betekent dit dat een apparaatklok die een halve minuut verkeerd loopt, elke verbinding laat mislukken.

Een Shadowsocks-client instellen#

Kopieer eerst je ss://-link. Elke client hieronder kan die importeren, zodat je de cipher en de sleutel niet met de hand hoeft in te typen.

Windows#

De eenvoudigste optie is Outline:

1. Download Outline Client voor Windows van de website van Outline en installeer het.
2. Klik op Add server (server toevoegen), plak de ss://-link of toegangssleutel in het veld Paste access key here en bevestig.
3. Klik op Connect en keur de eerste keer de netwerkmelding goed. Vanaf dan gaat al het verkeer door de tunnel.

De klassieke optie is Shadowsocks for Windows:

1. Download de nieuwste ZIP van de releasepagina van het project op GitHub en pak hem uit in een map die je blijft gebruiken.
2. Installeer .NET Framework 4.8 en de Visual C++ 2015 Redistributable (x86) als Windows die nog niet heeft, en start daarna Shadowsocks.exe.
3. Klik met de rechtermuisknop op het papieren vliegtuigje in het systeemvak, open Servers en kies Import URL from Clipboard…, of voeg de server handmatig toe via Edit Servers….
4. Kies onder System Proxy voor PAC om alleen sites uit de lijst door de tunnel te sturen, of voor Global om alles door te sturen.

macOS#

1. Download ShadowsocksX-NG.dmg van de releasepagina op GitHub en sleep de app naar Apps. Weigert macOS de app de eerste keer te openen, sta hem dan toe via Systeeminstellingen → Privacy en beveiliging.
2. Kies in het menubalkicoon Import Server URLs… of Scan QR Code From Screen. Je kunt de waarden ook invullen in Server Preferences….
3. Zet Shadowsocks aan en kies een modus: Auto Mode By PAC, Global Mode of Manual Mode, waarbij alleen apps die je zelf instelt de tunnel gebruiken.

Linux (en routers, servers, Docker)#

Gebruik op Linux sslocal van shadowsocks-rust. Je kunt het installeren via je pakketbeheerder, met snap install shadowsocks-rust of brew install shadowsocks-rust, of een kant-en-klare binary van de releasepagina downloaden.

Het snelst begin je door de link direct mee te geven:

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

Voor een vaste opstelling zet je de waarden in een configuratiebestand:

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

Het snap-pakket levert ook een sslocal-daemon-service mee die je met systemd kunt inschakelen, en er is een officiële Docker-image, ghcr.io/shadowsocks/sslocal-rust.

Android#

1. Installeer shadowsocks-android via de releasepagina op GitHub. De versie in Google Play werkt nog, maar is sinds 2021 niet bijgewerkt.
2. Tik bovenaan op het icoon om een profiel toe te voegen en kies Scan QR code, Import from Clipboard of Manual Settings.
3. Selecteer het profiel, tik op de ronde verbindingsknop en accepteer daarna het VPN-verzoek.
4. Stel in de profielinstellingen Route in (zo houdt Bypass LAN lokale adressen buiten de tunnel). Moeten maar een paar apps de tunnel gebruiken, zet dan Apps VPN mode aan en kies ze.

iPhone en iPad#

1. Installeer Outline uit de App Store.
2. Kopieer de ss://-link. Outline biedt aan om hem toe te voegen zodra je de app opent, maar je kunt ook op Add server tikken en hem plakken.
3. Tik op Connect en sta de VPN-configuratie toe.

Apps met regels zoals Shadowrocket of Potatso werken op dezelfde manier: je voegt een server toe door de link te plakken of de QR-code te scannen, en daarna zet je hem aan. Het verschil is dat ze alleen gekozen sites door de tunnel kunnen sturen, terwijl Outline altijd alles door de tunnel stuurt.

Routeringsmodi: wat er echt door de tunnel gaat#

De modus bepaalt welk verkeer Shadowsocks gebruikt, en de verkeerde modus kiezen is de op één na meest voorkomende reden dat een ‘werkende’ client niets lijkt te doen.

Modus	Wat door de tunnel gaat	Geschikt voor
Handmatig	Alleen apps die je naar 127.0.0.1:1080 laat wijzen	Scripts, één browserprofiel, testen
Globaal (systeemproxy)	Elke app die de systeemproxy-instelling respecteert	Surfen met de hele browser door de tunnel
PAC / Auto / regels	Alleen domeinen op een lijst, terwijl de rest rechtstreeks gaat	Lokale sites snel houden terwijl buitenlandse sites via de tunnel gaan
VPN / TUN	Al het verkeer van het apparaat, inclusief UDP en apps die proxyinstellingen negeren	Games, messengers, telefoons en alles wat de proxy ‘niet ziet’

Outline en de mobiele apps werken altijd in VPN-modus. Klassieke desktopclients gebruiken standaard de systeemproxy, terwijl je in multiprotocol-apps zoals Clash Verge Rev en v2rayN een TUN-modus kunt inschakelen.

De lokale proxy in specifieke apps gebruiken#

• Firefox: open Instellingen, zoek op ‘proxy’ en klik in het onderdeel Proxy settings op Configure proxy. Kies Manual proxy configuration, vul 127.0.0.1 en poort 1080 in als SOCKS Host, selecteer SOCKS v5 en controleer of Proxy DNS when using SOCKS v5 is aangevinkt. Recente versies vinken dit standaard aan, en zonder deze optie gaan DNS-verzoeken langs de tunnel heen.
• Chrome en Edge: deze volgen de systeemproxy. Wil je maar één browser door de tunnel sturen, start hem dan met --proxy-server="socks5://127.0.0.1:1080". Met SOCKS5 laat Chrome domeinnamen altijd aan de kant van de proxy omzetten, dus DNS lekt niet.
• Browserextensies: met een proxyswitcher stuur je alleen gekozen sites via 127.0.0.1:1080 en pas je regels met één klik aan. De originele Proxy SwitchyOmega werkt niet meer in de huidige Chrome, en de fork die nog wordt onderhouden, heet ZeroOmega. In de Chrome Web Store staat ook een nep-‘SwitchyOmega V3’, dus controleer de uitgever voordat je installeert. Controleer in Firefox of de optie voor remote DNS van de extensie aanstaat.
• Opdrachtregel: gebruik curl --socks5-hostname 127.0.0.1:1080 …, of stel ALL_PROXY=socks5h://127.0.0.1:1080 in. Veel tools begrijpen alleen HTTP-proxy’s, en voor die tools kun je sslocal met --protocol http draaien.
• Git: git config --global http.proxy socks5h://127.0.0.1:1080.

De h in socks5h is belangrijk, want die vertelt de tool dat hij domeinnamen via de proxy moet omzetten in plaats van via je lokale DNS.

Controleer of het echt werkt#

Een groen icoontje betekent alleen dat de client is gestart. Om te zien waar je verkeer naartoe gaat, voer je één opdracht uit:

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

Die hoort het IP-adres van je Shadowsocks-server te tonen en niet dat van jezelf. Voer in VPN-modus gewoon curl https://ifconfig.me uit, zonder de proxyvlag. Open daarna in je browser een DNS-lektest: de DNS-servers die daar verschijnen, horen bij het netwerk van de server of bij een publieke resolver, niet bij je eigen internetprovider thuis.

Plug-ins, en hoe goed Shadowsocks in 2026 te detecteren is#

Plug-ins#

Shadowsocks kan zijn verkeer doorgeven aan een plug-in volgens de SIP003-standaard, die het in een ander transport verpakt. De plug-in draait aan beide kanten, dus de client heeft dezelfde plug-in nodig als de server, met bijpassende instellingen (bij v2ray-plugin dezelfde host, hetzelfde pad en dezelfde keuze voor TLS). Er kan maar één plug-in tegelijk draaien, en plug-ins vervoeren alleen TCP-verkeer.

Plug-in	Wat hij doet	Opmerkingen
v2ray-plugin	Verpakt verkeer in WebSocket, optioneel met TLS	Kan achter een CDN of een gewone webserver op poort 443 draaien
kcptun	Stuurt verkeer over een UDP-gebaseerd protocol dat is afgestemd op verbindingen met pakketverlies	Helpt bij instabiele mobiele verbindingen of verbindingen over grote afstand, ten koste van meer bandbreedte
simple-obfs	Vermomt verkeer als gewoon HTTP of TLS	Verouderd; gebruik in plaats daarvan v2ray-plugin
Cloak	Laat de server er bij aftasten uitzien als een gewone HTTPS-site	Vereist een eigen client- en serverconfiguratie

Outline en veel iOS-apps draaien geen plug-ins. Gebruikt je server er wel een, kies dan een client met ‘Ja’ in de plug-inkolom van de tabel hierboven, of een multiprotocol-app waarin de plug-in is ingebouwd.

Is Shadowsocks te detecteren?#

Ja, door goed uitgeruste netwerkfilters. Shadowsocks heeft geen zichtbare handshake: het eerste pakket bevat al versleutelde data, waardoor de hele stroom op willekeurige bytes lijkt. Juist dat ontwerp is ook de zwakke plek. In november 2021 begonnen filtersystemen in regio’s met beperkingen verbindingen te laten vallen waarvan het eerste pakket er ‘te willekeurig’ uitziet.

Een team van onderzoekers van verschillende Amerikaanse universiteiten beschreef in een paper op USENIX Security 2023 hoe dat werkt. Het systeem past eenvoudige regels toe op het eerste datapakket, zoals het aandeel afdrukbare tekens, en controleert maar ongeveer een kwart van de verbindingen. Volgens de schatting van de auteurs kon het daarmee toch zo’n 0,6% van het normale internetverkeer als bijkomende schade treffen. Als reactie voegde shadowsocks-rust begin 2022 configureerbare payload-prefixen toe, en later dat jaar kreeg ook de client van Outline een vergelijkbare optie, ‘prefix’.

In de praktijk komt het hierop neer:

• Op gewone netwerken, zoals wifi in hotels en cafés, bedrijfsfirewalls of tijdens een zakenreis, werkt gewone Shadowsocks met een moderne AEAD- of 2022-cipher prima.
• In regio’s met beperkingen blijft geen enkel protocol voor altijd bereikbaar. Protocollen die echt TLS-verkeer nabootsen, zoals VLESS met Reality of Trojan, houden het tegenwoordig vaak langer vol, en met een multiprotocol-client wissel je zonder iets opnieuw te installeren.
• Voor je privacy moet je weten dat Shadowsocks geen voorwaartse geheimhouding (forward secrecy) heeft, ook niet in de 2022-versie. Wie je verkeer opneemt en later de sleutel in handen krijgt, kan het ontsleutelen, dus vervang je sleutels regelmatig en deel links niet met iedereen.

Problemen oplossen#

Symptoom	Waarschijnlijke oorzaak	Oplossing
Verbonden, maar er laadt geen enkele site	Cipher of wachtwoord komt niet overeen met de server	Importeer de ss://-link opnieuw in plaats van waarden in te typen, of decodeer hem om te vergelijken
Verbinding krijgt een time-out	Server offline, verkeerde poort, of de poort is dicht op je netwerk	Controleer of de server draait en probeer een andere poort, bijvoorbeeld 443
Browser werkt, andere apps niet	Die apps negeren de systeemproxy	Schakel over naar VPN/TUN-modus, of stel de proxy in de app zelf in
Sites tonen nog steeds je echte land	DNS of verkeer gaat langs de tunnel heen	Gebruik socks5h, vink ‘Proxy DNS’ aan in Firefox, of schakel over naar VPN-modus
Elke verbinding mislukt met een 2022-cipher	De sleutel is geen geldige Base64 van 16 of 32 bytes, of de apparaatklok wijkt meer dan 30 seconden af	Genereer de sleutel opnieuw met openssl rand -base64 32 (16 voor aes-128) en synchroniseer de klok
Foutmelding ‘Unsupported method’	De client kent de cipher niet	Werk de client bij, of gebruik chacha20-ietf-poly1305 aan beide kanten
Een server met plug-in maakt geen verbinding	De client heeft geen plug-in, of de instellingen wijken af van die van de server	Installeer dezelfde plug-in met bijpassende host, pad en TLS-instellingen, of gebruik een client met plug-inondersteuning
Werkt een paar minuten en stopt dan	Filtering of throttling op het netwerk	Probeer een plug-in, een andere poort of een protocol op basis van TLS
Lage snelheid	Server ver weg, overbelaste VPS of een mobiele verbinding met pakketverlies	Kies een server dichterbij en probeer kcptun op instabiele verbindingen

Shadowsocks vs. SOCKS5-proxy vs. VPN#

Deze drie lossen verschillende problemen op, en mensen kiezen vaak de verkeerde.

	Shadowsocks	SOCKS5-proxy	VPN (WireGuard, OpenVPN)
Versleuteling tot aan de server	Ja	Nee; verkeer en inloggegevens zijn zichtbaar op de lijn	Ja
Ziet eruit als	Willekeurige bytes, geen handshake	Een herkenbare proxy-handshake	Een herkenbare VPN-handshake
Dekt	Apps die de lokale proxy gebruiken, of het hele apparaat in TUN-modus	Apps die je instelt	Het hele apparaat
Typische opzet	Eén privéserver die een paar mensen delen	Veel IP’s van een provider	Eén server of het netwerk van een provider
Het beste voor	Gefilterde netwerken en regio’s met beperkingen	Scraping, automatisering, werken met meerdere accounts, geotesten	Dagelijkse privacy op onbetrouwbare netwerken

Shadowsocks geeft je één versleutelde tunnel die moeilijk op te merken is, maar wel met maar één uitgangsadres. Dataverzameling en automatisering vragen juist het omgekeerde, namelijk veel uitgangs-IP’s zonder de overhead van versleuteling, en voor die taak passen SOCKS5-proxy’s beter. Wil je alleen een heel apparaat beschermen op openbare wifi, dan is een VPN zoals FineVPN eenvoudiger dan zelf een Shadowsocks-server draaien.