Что такое VLESS и Reality: камуфляж против DPI

Если вы когда-нибудь сталкивались с тем, что привычный VPN перестаёт работать в сети с жёсткой цензурой, вы почти наверняка слышали два слова: VLESS и Reality. Разберёмся, что такое VLESS — это лёгкий прокси-протокол из семейства Xray/V2Ray — и почему именно Reality стал тем самым приёмом маскировки, который позволяет соединению выглядеть как заурядный визит на крупный сайт. Объясним без лишней теории, но технически честно.

Что такое VLESS простыми словами

VLESS — это сетевой протокол для проброса трафика через сервер-посредник. Он появился в экосистеме Xray (продолжение проекта V2Ray) как упрощённая и более производительная замена старого протокола VMess.

Ключевое слово здесь — «лёгкий». VLESS намеренно сделан минималистичным: у него нет собственного шифрования и нет тяжёлой системы аутентификации внутри самого протокола. Вместо этого он опирается на внешний транспортный слой — как правило, TLS, тот же самый, что защищает обычные сайты с https://. Такой подход даёт два преимущества: меньше накладных расходов на обработку пакетов и меньше характерных «отпечатков», по которым протокол можно опознать. В терминах протокола ещё говорят, что VLESS «без сохранения состояния» (stateless): на нём нет тяжёлой внутренней сессии со своими счётчиками и подписями, которую можно было бы изучать и распознавать.

Сравним с тем, что вы, скорее всего, уже знаете:

• WireGuard — быстрый и элегантный VPN-протокол, но его трафик имеет узнаваемую сигнатуру и работает поверх UDP, который во многих цензурируемых сетях просто режут.
• OpenVPN — старый рабочий стандарт, но его рукопожатие тоже опознаётся системами глубокой инспекции пакетов (DPI).
• VLESS — сам по себе не «VPN» в классическом смысле, а прокси. Но в связке с правильной маскировкой он становится крайне сложным для обнаружения.

Важно не путать: VLESS — это не VMess. VMess нёс шифрование и метаданные внутри себя, что парадоксально делало его более заметным для DPI. VLESS отдал шифрование внешнему TLS и стал тише.

Что происходит, когда вы подключаетесь

Чтобы всё встало на места, проследим путь одного соединения по шагам. Это поможет понять, где именно вступает в дело Reality.

1. Клиент открывает соединение к серверу. Внешне это выглядит как самое обычное обращение по TCP к 443-му порту — тому же, на котором работают все сайты с https://.
2. Начинается TLS-рукопожатие. Ваш клиент шлёт первое сообщение handshake (ClientHello). В нём — имя домена, к которому вы якобы обращаетесь (поле SNI), и набор параметров шифрования. С Reality это имя — настоящий чужой популярный сайт, а не ваш сервер.
3. Сервер узнаёт «своего». Внутри рукопожатия есть особое поле, незаметное для постороннего наблюдателя. Сервер Reality, зная секретный ключ, видит его и понимает: это легитимный клиент, а не случайный гость или зонд.
4. Поднимается зашифрованный канал. После рукопожатия данные идут внутри TLS. VLESS внутри этого канала добавляет лишь тонкий заголовок — кто вы и куда хотите достучаться, — и дальше просто переносит ваш трафик.
5. Трафик уходит в интернет. Сервер распаковывает запрос, ходит на нужный сайт от вашего имени и возвращает ответ обратно по тому же замаскированному каналу.

Со стороны весь этот процесс выглядит как одно обычное HTTPS-соединение с крупным сайтом. Никаких странных портов, незнакомых сертификатов или подозрительных таймингов.

Почему обычный VPN видно в сети

Чтобы понять ценность Reality, надо понять, как именно цензоры блокируют VPN. Подробнее об этом мы писали в материале о том, что такое DPI и как оно работает, но коротко суть такая.

Современные системы фильтрации не смотрят только на IP-адрес. Они анализируют форму трафика: размеры пакетов, тайминги, заголовки рукопожатия. У WireGuard и OpenVPN эти признаки достаточно характерны, чтобы их распознать и заблокировать целым классом, даже не зная, к какому конкретно серверу вы подключаетесь.

Есть и более агрессивный приём — активное зондирование (active probing). Цензор замечает подозрительное соединение, а затем сам подключается к вашему серверу, притворяясь обычным клиентом, и смотрит на ответ. Если сервер ведёт себя не как настоящий веб-сайт — например, отвечает пустотой, обрывает связь или отдаёт самоподписанный сертификат, — его помечают и блокируют. Многие старые методы обхода падали именно на этом шаге: туннель удавалось спрятать от пассивного анализа, но он не выдерживал прямого «стука» в дверь.

Если вы хотите понять общую картину обхода блокировок, у нас есть отдельный разбор — как обходить блокировки и почему одни методы переживают цензуру, а другие нет.

Что такое Reality протокол и в чём его трюк

Reality — это техника маскировки TLS, разработанная в проекте Xray специально для борьбы с DPI и активным зондированием. Reality протокол не заменяет VLESS, а работает поверх него как транспорт. Их почти всегда используют в паре: VLESS переносит данные, Reality прячет факт самого VPN-соединения.

Аналогия проста. Представьте, что Reality — это маскировка, превращающая ваш туннель в обычный визит на крупный, всем известный сайт. Снаружи наблюдатель видит не «странное зашифрованное соединение к неизвестному серверу», а то, что выглядит как рукопожатие TLS с каким-нибудь популярным ресурсом вроде новостного портала или магазина.

Как Reality добивается этого

Главный трюк Reality в том, что он не подделывает TLS-сертификат, а заимствует настоящее рукопожатие реального чужого сайта. При подключении ваш клиент начинает TLS-handshake, который по всем внешним признакам адресован, скажем, крупному легальному домену. Сервер Reality знает секретный ключ и распознаёт «своего» клиента по особому полю в рукопожатии, незаметному для постороннего. Для всех остальных это просто соединение с настоящим сайтом.

Что это даёт против цензуры:

• DPI не за что зацепиться. Трафик статистически и по сигнатуре неотличим от обычного HTTPS, а HTTPS блокировать целиком нельзя — встанет половина интернета.
• Активное зондирование проваливается. Если цензор сам постучится на ваш сервер, не зная секрета, Reality «отзеркалит» его на тот самый настоящий сайт, чьё рукопожатие заимствуется. Зонд увидит легитимный ресурс с валидным сертификатом и ничего подозрительного не обнаружит — именно на этом ломались прежние методы.
• Нет своего сертификата — нет улики. Раньше методы вроде VLESS+WS+TLS требовали поднимать собственный TLS-сертификат на сервере, и сам факт необычного домена или самоподписанного сертификата мог выдать соединение. Reality эту проблему убирает.

VLESS, VMess, Trojan и Shadowsocks одним взглядом

Вокруг обхода блокировок крутится целый зоопарк названий. Коротко, чем они различаются по сути:

• Shadowsocks — лёгкий шифрующий прокси, исторически первый массовый. Прост и быстр, но его трафик не притворяется чем-то конкретным, поэтому в самых жёстких сетях его научились вычислять по статистике.
• VMess — «родитель» VLESS из V2Ray. Нёс шифрование и метаданные внутри себя; мощный, но более тяжёлый и заметный для DPI.
• Trojan — прокси, который изначально проектировался под маскировку: он притворяется обычным HTTPS-сайтом и при «неправильном» обращении отдаёт реальную веб-страницу. Идея близка к Reality, но требует собственного домена и сертификата.
• VLESS — лёгкий преемник VMess без встроенного шифрования; вся защита и маскировка вынесены в транспорт (TLS, Reality, WS+TLS). Именно эта «пустота» внутри делает его таким гибким.

Грубо говоря, Shadowsocks — про скорость и простоту, VMess — про мощность прошлого поколения, Trojan и VLESS+Reality — про то, чтобы вообще не выглядеть как прокси.

Чем Reality отличается от прежних приёмов маскировки

Reality появился не на пустом месте — до него были годы экспериментов. Эволюция шла от Shadowsocks (распознавался по энтропии трафика) к WS+TLS (трафик в веб-сокете внутри настоящего TLS, часто за CDN — надёжно, но нужен свой домен и сертификат) и далее к промежуточным техникам XTLS-Vision и uTLS, которые подгоняли «отпечаток» TLS-клиента под настоящие браузеры. Reality вобрал лучшее из этого подхода и пошёл дальше, убрав необходимость во владении доменом.

Сегодня в арсенале практичного пользователя обычно сосуществуют два подхода: Reality как основной щит против самых строгих DPI и WS+TLS как запасной вариант, который хорошо проходит через CDN и некоторые корпоративные сети.

Если хочется системного сравнения транспортов и протоколов, загляните в наш разбор — протоколы VPN в сравнении.

Когда что выбирать: Reality, WS+TLS или WireGuard

Готового «лучшего» протокола нет — есть подходящий под вашу сеть. Простое правило:

• WireGuard — когда сеть не блокирует VPN. Это эталон по скорости и простоте: пара ключей, минимум накладных расходов. Если дома или в офисе обычный VPN работает — не усложняйте.
• Reality — когда провайдер или государство активно охотятся за VPN: режут по сигнатуре и применяют активное зондирование. Reality выживает там, где WireGuard и OpenVPN падают, потому что вообще не выглядит как туннель.
• WS+TLS — запасной вариант, когда Reality по каким-то причинам не проходит, зато хорошо работают связки через CDN. Часто его держат «про запас» рядом с Reality и переключаются при необходимости.

На практике разумная стратегия — иметь под рукой все три и переключаться: WireGuard для скорости, Reality как основной обход, WS+TLS как страховка.

Чем это отличается от «обычного VPN»

Стоит честно проговорить: VLESS+Reality — это не магия и не «более защищённый» VPN в смысле приватности. С точки зрения шифрования данных современный WireGuard ничем не хуже. Разница в цели.

Обычный VPN решает задачу «спрятать содержимое трафика и сменить IP». Об этом — наш базовый материал, как вообще работает VPN. VLESS+Reality решает другую, более узкую задачу: сделать сам факт использования туннеля незаметным.

Если в вашей сети WireGuard и OpenVPN работают без проблем — вам, скорее всего, и не нужен Reality. Это инструмент против блокировок, а не панацея от слежки. Кстати, если вы выбираете между анонимностью и обходом блокировок, полезно прочитать сравнение Tor и VPN.

Компромиссы: за что платим

Честный разбор не обходится без минусов. У VLESS+Reality они есть.

• Чуть больше накладных расходов, чем у WireGuard. Reality добавляет работу по имитации рукопожатия и маршрутизации зондов. На практике разница обычно невелика, но WireGuard как чистый туннель остаётся эталоном по скорости. Замерить разницу на своём канале можно нашим тестом скорости.
• Сложнее настройка. WireGuard — это пара ключей и несколько строк конфига. Reality требует выбрать «донорский» сайт, сгенерировать ключи, согласовать параметры клиента и сервера. Готовый клиент скрывает эту сложность, но при ручной настройке порог входа выше.
• Зависимость от чужого сайта. Reality заимствует рукопожатие реального домена. Если выбранный домен повёл себя необычно или попал в блок, маскировку приходится подкручивать.

Стоит ли оно того? Если ваша цель — стабильное соединение там, где обычные VPN падают, то почти наверняка да. В остальных случаях WireGuard проще и быстрее.

Как это устроено в GANVAS VPN

GANVAS VPN — это приватный VPN для Windows (десктоп-приложение) и Linux (CLI-клиент), и он поддерживает оба подхода к маскировке: VLESS с Reality и VLESS с WS+TLS, а также классический WireGuard для сетей, где маскировка не нужна и важна максимальная скорость.

На практике это значит, что соединение через Reality выглядит для наблюдателя как обычный HTTPS-трафик, поэтому DPI не может опознать и заблокировать его по сигнатуре. Дополнительно есть kill switch (блокировка трафика при обрыве туннеля), защита от утечек DNS и отсутствие логов трафика. Свои собственные конфиги VLESS или WireGuard можно использовать бесплатно — если у вас уже есть рабочий сервер, просто подключитесь к нему.

Проверить, что вы действительно подключены и ваш реальный IP скрыт, помогут наши инструменты: проверка VPN на утечки и определение вашего IP-адреса. А начать без оплаты можно с бесплатного VPN или сразу поставить приложение для Windows.

Частые вопросы

Чем VLESS отличается от VMess? VMess нёс шифрование и метаданные внутри самого протокола, из-за чего был заметнее для DPI. VLESS отдал шифрование внешнему TLS-слою и стал легче и тише. Это его прямой и более современный преемник в экосистеме Xray.

Reality — это отдельный протокол вместо VLESS? Нет. Reality — это транспорт и техника маскировки TLS, которая работает поверх VLESS. Их используют в паре: VLESS переносит данные, Reality прячет сам факт VPN-соединения, отзеркаливая рукопожатие настоящего сайта.

Reality медленнее WireGuard? Немного. Reality добавляет работу по имитации TLS-рукопожатия, поэтому накладных расходов чуть больше, чем у чистого WireGuard. На большинстве каналов разница незаметна, но если важна абсолютная скорость и сеть не блокирует VPN, WireGuard выгоднее.

Нужен ли мне Reality, если мой VPN и так работает? Скорее всего, нет. Reality нужен там, где провайдер активно блокирует VPN по сигнатуре или применяет активное зондирование. Если WireGuard или OpenVPN у вас стабильны, маскировка Reality вам не понадобится — это инструмент именно против цензуры.