Протокол VLESS и REALITY: как устроен современный обход блокировок и почему он работает

Что такое VLESS и зачем он появился

VLESS (сокращение от «VMess Less») — это легковесный прокси-протокол без сохранения состояния, представленный в 2020 году разработчиком RPRX. Он создавался как упрощение VMess — оригинального протокола V2Ray, который к концу 2010-х годов стал громоздким из-за собственного механизма шифрования, защиты от повторного воспроизведения и синхронизации часов. Эти особенности делали VMess уязвимым для обнаружения системами глубокого анализа пакетов (DPI), особенно в странах с жёсткой интернет-цензурой.

Основная идея VLESS — делегировать шифрование и маскировку внешнему транспортному уровню, обычно TLS 1.3. Сам протокол лишь аутентифицирует пользователя и передаёт метаданные соединения. В конфигурации VLESS явно указывается encryption: "none", чтобы оператор помнил: вся конфиденциальность обеспечивается транспортом. Такой подход устраняет проблему «TLS-в-TLS», которая позволяла DPI распознавать VMess по характерной двойной обёртке.

Сегодня VLESS существует в двух основных реализациях: оригинальный v2fly/v2ray-core и более активно развиваемый форк XTLS/Xray-core. Именно Xray-core включает ключевые технологии XTLS Vision и REALITY, которые сделали VLESS стандартом для обхода цензуры в России, Иране и Китае.

Как работает VLESS: UUID, отсутствие шифрования и TLS

Протокол VLESS устроен предельно просто. Клиент устанавливает соединение и отправляет заголовок, который содержит байт версии, 16-байтовый UUID пользователя, необязательное поле addons, команду (TCP или UDP), порт назначения, тип адреса и сам адрес. В сумме это 25–50 байт на соединение — значительно меньше, чем у OpenVPN, где только на заголовок уходит более 100 байт на пакет.

UUID — это стандартный идентификатор RFC-4122, который служит единственным ключом аутентификации. Если UUID совпадает — соединение авторизовано, если нет — отклоняется на первом байте. Никакой синхронизации часов или защиты от повторного воспроизведения не требуется, что устраняет целый класс ошибок, связанных с неверным временем на устройстве.

Поскольку VLESS не шифрует трафик сам, он полагается на внешний транспорт. Поддерживаются TCP (с TLS или без), mKCP, WebSocket, gRPC и QUIC. WebSocket позволяет маскировать трафик под обычное HTTP-соединение и использовать CDN, например Cloudflare. gRPC использует мультиплексирование HTTP/2, а QUIC работает поверх UDP с TLS 1.3. Такое разделение делает VLESS универсальным и переносимым.

Xray, XTLS Vision и REALITY: стек технологий для обхода DPI

На практике VLESS редко используется «в чистом виде». Основную работу по обходу цензуры выполняют технологии, которые окружают протокол. Xray-core — это форк V2Ray-core, созданный RPRX и сообществом XTLS. Он включает две ключевые функции: XTLS Vision и REALITY.

XTLS Vision (в конфигурации flow: "xtls-rprx-vision") — это схема заполнения для трафика TLS 1.3. Записи TLS 1.3 имеют предсказуемые сигнатуры длины, которые могут выдать факт туннелирования. Vision добавляет байты заполнения на ранней стадии рукопожатия, а после установления соединения переключается на копирование через необработанный сокет. В Linux используется системный вызов splice(), который пересылает TCP-пакеты в ядре без копирования через пользовательское пространство. Это даёт пропускную способность, близкую к прямому TCP-соединению, и сглаживает утечки информации о длине.

REALITY, выпущенный в 2023 году, — более радикальное решение. Вместо собственного TLS-сертификата сервер имитирует рукопожатие реального стороннего веб-сайта, например microsoft.com или apple.com. Оператор выбирает целевой домен, сервер использует подделку SNI и обмен ключами X25519. Клиенты, знающие правильный открытый ключ REALITY, выполняют настоящее рукопожатие TLS 1.3 с имитированной цепочкой сертификатов, а затем направляются в туннель VLESS. Системы DPI, которые не знают ключа, видят обычное соединение с легитимным сайтом. Комбинация VLESS + XTLS Vision + REALITY — это конфигурация, которая по состоянию на середину 2026 года остаётся одной из самых устойчивых к обнаружению.

Сравнение VLESS с VMess, Trojan, Shadowsocks и WireGuard

Чтобы понять место VLESS в экосистеме прокси-протоколов, полезно сравнить его с основными альтернативами.

VMess — предшественник VLESS. Использует собственное шифрование AEAD, защиту от повторного воспроизведения и alterId. В нецензурированной сети эти функции лишь незначительно снижают производительность, но в цензурированной — делают протокол уязвимым. По данным телеметрии, с сентября 2025 года уровень обнаружения VMess на «Великом китайском файрволе» превышает 80%.

Trojan — ещё более простой протокол: пароль вместо UUID, TLS снаружи. Долгое время он был эффективен, но после обновления DPI в августе 2025 года обнаруживается примерно в 90% случаев.

Shadowsocks — симметричный AEAD-шифр без TLS-фасада, маскирующий трафик под случайные байты. Такой подход работал, пока DPI не начали помечать полностью зашифрованный трафик как подозрительный. Современные развёртывания Shadowsocks используют плагины (v2ray-plugin, cloak), которые оборачивают шифр в TLS или HTTP, фактически повторяя архитектуру VLESS.

WireGuard — это VPN на уровне ядра, а не прокси-протокол. В чистой сети он на 2–3% быстрее VLESS+XTLS и значительно менее требователен к CPU. Однако его фиксированный байт рукопожатия 0x01 легко идентифицируется DPI, и в цензурированных сетях эффективная пропускная способность падает почти до нуля.

Таким образом, VLESS+REALITY — оптимальный выбор для враждебных сетей, тогда как WireGuard лучше подходит для защиты конфиденциальности от интернет-провайдера в обычных условиях.

VLESS и российская цензура: контекст и эффективность

VLESS приобрёл популярность в России именно потому, что он эффективно обходит государственные системы DPI. С 2024 года Роскомнадзор активно блокирует VPN-сервисы: к январю 2026 года было заблокировано 439 VPN-сервисов. Федеральный бюджет на блокировку VPN составляет примерно 60 миллиардов рублей (около 780 миллионов долларов) на 2025–2027 годы, а на фильтрацию трафика выделено дополнительно 2,27 миллиарда рублей (~29 миллионов долларов).

В таких условиях протоколы с предсказуемыми сигнатурами, как WireGuard или Trojan, быстро выходят из строя. VLESS+REALITY, напротив, маскирует трафик под обычные HTTPS-соединения с легитимными сайтами, что делает его обнаружение крайне сложным. По полевым отчётам, уровень обнаружения VLESS+REALITY составляет не более 5%, что значительно ниже, чем у других протоколов.

Важно понимать, что ни один протокол не даёт абсолютной гарантии. DPI постоянно развиваются, и то, что работает сегодня, может перестать работать завтра. Однако на данный момент VLESS+REALITY остаётся одним из самых надёжных инструментов для обхода блокировок в России.

Практическая настройка VLESS+REALITY: три способа

Существует несколько способов развернуть VLESS+REALITY на собственном сервере. Рассмотрим три основных подхода, от простого к сложному.

Способ 1: AmneziaVPN. Это самый быстрый вариант, не требующий технических знаний. Нужно зарегистрироваться у хостера (например, VDSina), заказать стандартный сервер с 1 ядром и 2 ГБ RAM, установить приложение AmneziaVPN на компьютер или телефон, выбрать «Self-hosted VPN», ввести IP-адрес и root-пароль сервера, затем выбрать протокол XRay (XRay with Reality). Программа автоматически настроит сервер и предложит подключиться. По умолчанию используется VLESS.

Способ 2: Панель 3X-UI. Многие хостеры предлагают установку 3X-UI (или X-UI) — графического интерфейса для управления XRay. После заказа сервера вы получаете ссылку на панель, логин и пароль. В панели нужно перейти в раздел «Подключения», добавить новое подключение с протоколом vless, портом 443, безопасностью Reality, нажать «Get New Cert», указать Flow = xtls-rprx-vision и создать конфигурацию. Панель сгенерирует QR-код и URL-ссылку для импорта в клиент.

Способ 3: Ручная установка. Этот вариант требует больше всего шагов, но даёт полный контроль. Сначала обновляем пакеты и устанавливаем XRay с помощью скрипта: apt update -y && bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install. Затем генерируем UUID и ключи X25519 командами xray uuid и xray x25519. Далее нужно выбрать сайт, поддерживающий HTTP/2, TLS 1.3 и X25519 (проверяется через curl -I --tlsv1.3 --http2 https://example.com). После этого редактируем конфигурационный файл /usr/local/etc/xray/config.json, вставляя сгенерированные ключи и данные сайта. Наконец, перезапускаем XRay и проверяем статус.

Клиентские приложения для VLESS

После настройки сервера необходимо установить клиентское приложение. Выбор зависит от операционной системы:

• Windows: Hiddify, InvisibleMan-XRay, NekoBox
• iOS и macOS: Hiddify, FoXray, Streisand
• Android: Hiddify, v2rayNG, NekoBox
• Linux: Hiddify, NekoBox

Большинство клиентов поддерживают импорт конфигурации через QR-код или URL-ссылку. Для этого достаточно отсканировать QR-код или вставить ссылку в приложение. Если функция импорта отсутствует, данные из URL нужно перенести вручную.

URL-строка конфигурации VLESS+REALITY выглядит так:

vless://@:443?type=tcp&security=reality&pbk=<публичный ключ>&fp=chrome&sni=<домен>&sid=&flow=xtls-rprx-vision#<название>

Из этой строки можно сгенерировать QR-код с помощью утилиты qrencode для удобного импорта на мобильные устройства.

Критерии выбора VPS-хостера и требования к серверу

Для стабильной работы VLESS+REALITY важно правильно выбрать хостинг-провайдера. Основные критерии:

• Расположение сервера. Чем ближе сервер к пользователю, тем ниже задержка. Для России оптимальны серверы в Нидерландах, Германии или Финляндии, но можно выбрать и другие страны.
• Пропускная способность. Для просмотра видео в HD достаточно 100 Мбит/с, но лучше выбирать тариф с безлимитным трафиком.
• Поддержка потоковой передачи. Некоторые хостеры блокируют VPN-трафик, поэтому стоит выбирать провайдеров, которые не ограничивают такие подключения.
• Цена. Минимальная конфигурация (1 ядро, 1–2 ГБ RAM) обычно стоит $3–10 в месяц. Для личного использования этого достаточно.
• Наличие готовых решений. Некоторые хостеры предлагают предустановленную панель 3X-UI, что упрощает настройку.

Также важно убедиться, что сервер поддерживает TLS 1.3 и HTTP/2, так как REALITY требует этих протоколов. Проверить можно командой openssl s_client -connect example.com:443 -brief.

Ограничения и риски использования VLESS+REALITY

Несмотря на высокую эффективность, VLESS+REALITY не является панацеей. Существуют ограничения и риски, которые стоит учитывать.

Юридические риски. В России использование VPN для обхода блокировок не запрещено напрямую, но Роскомнадзор активно борется с VPN-сервисами. Владельцы серверов могут столкнуться с блокировкой IP-адреса или давлением со стороны провайдера. Рекомендуется использовать серверы за пределами РФ и не афишировать их назначение.

Технические ограничения. REALITY требует, чтобы целевой сайт (dest) поддерживал TLS 1.3 и X25519. Не все сайты соответствуют этим требованиям. Кроме того, если целевой сайт изменит сертификат или перестанет работать, соединение может нарушиться.

Производительность. Хотя XTLS Vision обеспечивает высокую скорость, на слабых серверах (1 ядро, 512 МБ RAM) могут наблюдаться задержки. Для активного использования рекомендуется минимум 1 ГБ RAM.

Обнаружение. DPI постоянно совершенствуются. Хотя VLESS+REALITY на данный момент считается одним из самых устойчивых, нельзя исключать, что в будущем появятся методы его обнаружения. Важно следить за обновлениями Xray и сообществом.

Будущее VLESS и альтернативные подходы

VLESS+REALITY — это не конечная точка эволюции прокси-протоколов. Сообщество XTLS продолжает развивать технологии, и уже сейчас видны направления будущих улучшений.

Одно из них — улучшение имитации TLS-рукопожатий. REALITY уже позволяет маскироваться под реальные сайты, но исследователи работают над более точной эмуляцией поведения браузеров, включая отпечатки TLS (JA3/JA4). Это может сделать обнаружение ещё более сложным.

Другое направление — использование новых транспортных протоколов, таких как QUIC и HTTP/3. Они уже поддерживаются, но их применение в условиях цензуры пока ограничено.

Также стоит отметить, что в некоторых случаях альтернативные подходы могут быть более эффективными. Например, для обхода блокировок в корпоративных сетях может использоваться SSH-туннелирование или DNS-шифрование. Однако для массового использования VLESS+REALITY остаётся одним из лучших вариантов.

В долгосрочной перспективе возможно появление новых протоколов, которые будут ещё лучше маскироваться под обычный трафик. Но пока VLESS+REALITY — это стандарт де-факто для обхода цензуры в России и других странах.

Вопросы и ответы