С root или без?

В обоих режимах Material Xray запускает одну и ту же сборку Xray-core. Различается то, как к ней попадает трафик.

Без root создаётся обычный VPN Android, и его файловый дескриптор TUN передаётся Xray.
С root через su создаётся собственный TUN-интерфейс и таблицы маршрутизации, так что Android вообще не видит VPN.

Сравнение

	Без root	С root
Обнаружение	⚠️ Поднимает VPN Android, который приложения могут обнаружить через системные сетевые API.	✅ Таблицы маршрутизации скрывают туннель от приложений, которые идут в обход него.
Настройка	✅ Достаточно разрешить VPN в Android, как для любого VPN-приложения.	⚠️ Нужен доступ суперпользователя через `su`. Предпочтительно KernelSU.
VPN-слот Android	⚠️ Занят, и другие приложения легко это обнаруживают.	✅ Свободен. Можно использовать вместе с другими VPN, например Tailscale.
Управление по приложениям	✅ Прокси или обход для каждого приложения.	✅ Прокси или обход для каждого приложения, а также отдельный сервер для каждого приложения.
Точка доступа и модем	⚠️ Трафик подключённых устройств не туннелируется.	✅ Может туннелировать подключённые устройства.
Постоянная VPN	✅ Поддерживается.	⚠️ Включение постоянной VPN в Android переключает приложение в режим без root.
Автоподключение после перезагрузки	✅ Поддерживается.	✅ Поддерживается.
Если Android завершит приложение	⚠️ Прокси тоже останавливается. Постоянная VPN может перезапустить его.	✅ Процесс прокси продолжает работать сам по себе.
Стабильность	✅ Маршрутизацией занимается Android: стандартно и проверено временем.	⚠️ Тщательно протестирован, но возможны шероховатости.

Чего не делает режим с root

Режим с root не делает вас незаметным. Приложения всё ещё могут опираться на другие признаки: обнаружение root, особенности маршрутизации и пограничные случаи в работе сети. Он не скрывает другой VPN, запущенный параллельно, а совместная работа всё равно зависит от совместимости маршрутизации.

Если приложение откатится в режим без root или постоянная VPN переключит его туда, подключение снова станет обычным VPN Android.

Как работает маршрутизация с root

Все группы прокси для приложений используют один TUN-интерфейс. Таблица маршрутизации каждой группы даёт её трафику отдельный адрес источника, и Xray маршрутизирует по этому адресу.
Исходящие соединения привязываются к физическому интерфейсу, чтобы избежать петель маршрутизации.
Сервис следит за сменой Wi-Fi и мобильной сети и перенаправляет подключение при смене сети.
Xray остаётся в SELinux-домене su. Если этот домен не позволяет приложениям к нему подключаться, как в старых версиях KernelSU, приложение добавляет одно это правило с помощью утилиты политик root-решения (ksud, magiskpolicy, apd или supolicy) до следующей перезагрузки. Если такой утилиты нет, используйте режим без root.