VLESS и Reality: почему их не блокируют

VLESS с маскировкой Reality живёт дольше классических протоколов по одной причине: он не создаёт узнаваемого сетевого «почерка». Трафик выглядит как обычный HTTPS-запрос к настоящему стороннему сайту, и у DPI-систем провайдера просто нет сигнатуры, чтобы отличить его от легитимного соединения — в отличие от OpenVPN и классического WireGuard, которые палятся по характерным заголовкам, портам и рукопожатиям.

Почему OpenVPN и WireGuard палятся, а VLESS — нет

OpenVPN использует собственный TLS-хендшейк с полем opcode и предсказуемой структурой пакетов: даже без расшифровки содержимого DPI видит характерную последовательность байт в начале соединения. Провайдеры массово внедрили такое распознавание в 2021–2022 годах, и голый OpenVPN на стандартных портах блокируется в большинстве регионов за секунды после первого пакета.

WireGuard устойчивее, но тоже уязвим: хендшейк содержит поля фиксированной длины — 32-байтный publickey, счётчик пакетов, — и статистический анализ по размеру и таймингу пакетов вычисляет протокол даже без анализа содержимого. Это DPI по метаданным, а не по сигнатурам, и он работает против WireGuard эффективно.

VLESS решает проблему иначе: сам по себе это лёгкий транспортный протокол без собственного шифрования, он оборачивается в TLS 1.3 и идёт поверх обычного TCP-соединения на 443-й порт — том же, что использует любой HTTPS-сайт. DPI видит валидное рукопожатие с реальным сертификатом и не отличает его от браузера. Спецификация открыта и развивается в проекте Xray-core на GitHub, а не принадлежит одному провайдеру.

Reality: маскировка под чужой сайт

Reality — надстройка над VLESS, которая закрывает главную слабость обычного TLS-маскирования. Раньше сервер эмулировал чужой сайт сам, генерируя поддельный сертификат, и продвинутый DPI мог вычислить подделку через active probing — прямое подключение к серверу с проверкой, отвечает ли он как настоящий веб-сервер. Этим методом провайдеры вычисляли поддельные TLS-серверы примерно с 2022 года.

Reality убирает саму уязвимость: вместо эмуляции сервер на лету проксирует TLS-хендшейк к настоящему сайту-цели (например, крупному CDN) и подставляет его подлинный сертификат. Технически это выглядит так:

1. 1Клиент инициирует TLS-соединение с доменом-целью — например, реальным сайтом крупного сервиса.
2. 2Reality-сервер перехватывает хендшейк: если запрос пришёл от стороннего наблюдателя без нужного приватного ключа, сервер просто проксирует его напрямую к легитимному сайту.
3. 3Если запрос пришёл от клиента с правильным приватным ключом, сервер подставляет собственные параметры, которые распознаёт только этот клиент.
4. 4Сертификат и TLS-параметры при этом подлинные — соединение неотличимо от обращения к настоящему сайту. Клиент с ключом продолжает сессию: VLESS-трафик туннелируется поверх этого TLS-канала.

Сервер физически не может выдать себя при зондировании — для стороннего запроса он и есть настоящий сайт-цель, поэтому active probing против Reality не работает: раньше именно этим методом провайдеры за секунды отличали замаскированный VPN-сервер от обычного сайта.

Как получить конфиг и в чём ограничения

Конфиг VLESS+Reality выдаёт провайдер после оплаты — вручную такие настройки не составляют: нужен приватный ключ сервера, сгенерированный при разворачивании ноды, и параметры маскировки под конкретный домен. Провайдер присылает ссылку vless://… для импорта в один клик, QR-код и профиль для V2RayNG, FoXray, Shadowrocket, Nekoray или v2rayN. Мы не публикуем готовые конфиги: ключ имеет смысл только внутри конкретной подписки, а конфиги из телеграм-каналов — частый вектор компрометации трафика.

У подхода есть ограничения:

Протокол снижает риск блокировки по анализу трафика, но не отменяет блокировку по IP-адресу — это два разных механизма, и провайдеры интернета применяют оба одновременно.

Сервисы, которые уже на этом протоколе

VLESS с Reality — уже не экспериментальная фича, а стандарт для сервисов, которые всерьёз относятся к устойчивости к блокировкам. AmneziaVPN поддерживает VLESS как один из протоколов: если у вас связка «amnezia vpn vless не работает», чаще всего дело в устаревшем ядре приложения или в блокировке целевого домена маскировки, а не в самом протоколе. Сервисы на базе Xray-core изначально строятся вокруг VLESS.

При выборе провайдера технически подкованному пользователю важнее не маркетинговое название сервиса, а конкретный набор протоколов в его инфраструктуре. На странице сравнения VPN-сервисов можно отфильтровать провайдеров по поддержке VLESS и посмотреть, у кого Reality включена по умолчанию, а не как экспериментальная опция. Если вы уже сталкивались с блокировкой других протоколов, разница будет заметна с первого подключения: соединение не рвётся там, где раньше DPI обрывал сессию за секунды.

Чем VLESS отличается от Shadowsocks и других протоколов обфускации трафика — в разборе протоколов VPN, а про механизмы DPI и способы их обхода — в статье про DPI и блокировки VPN.

Частые вопросы

Чем VLESS отличается от VMess? VMess добавляет собственное шифрование и метаданные в каждый пакет — лишний узнаваемый паттерн для DPI. VLESS убрал этот слой, переложив шифрование целиком на TLS.

Можно ли использовать Reality без VLESS? Нет, это транспортный слой именно для VLESS (и частично VMess в отдельных реализациях Xray-core), самостоятельным протоколом она не является.

Почему amnezia vpn vless не работает после обновления? Чаще всего дело в истёкшем или заблокированном целевом домене на стороне провайдера либо в устаревшем клиенте без XTLS Vision. Сначала обновите приложение и переустановите конфиг.

Заблокируют ли VLESS+Reality в будущем? Исключить нельзя — DPI развивается. Но пока active probing, которым вычисляли предыдущее поколение маскировки, против Reality не работает.