VLESS — это протокол из проекта Xray, который передаёт трафик между устройством и сервером, но сам по себе обычно его не шифрует: защиту даёт внешний слой TLS или Reality. Reality — способ замаскировать такое соединение под обычное TLS-соединение с настоящим чужим сайтом, без своего домена и сертификата. AmneziaWG — модификация WireGuard для VPN (впн), которая шифрует так же, как WireGuard, но меняет внешние признаки пакетов, чтобы системы фильтрации труднее его узнавали.
Ни один из этих протоколов не гарантирует, что соединение не заблокируют. Факты ниже — по документации Xray, Amnezia и WireGuard на 18 октября 2026 года.
Содержание
Чем маскировка трафика отличается от шифрования
Шифрование скрывает содержимое трафика, а маскировка скрывает сам факт, что это VPN. Протокол может хорошо решать одну задачу и не решать другую.
Наблюдатель в сети — провайдер или система фильтрации — не может прочитать зашифрованный трафик, но видит адрес сервера, порт, размеры пакетов, время их отправки и служебные поля в начале соединения. По этим признакам протокол узнают, ничего не расшифровывая.
WireGuard — хороший пример разницы. По описанию протокола на wireguard.com, он шифрует трафик с помощью Noise_IK, Curve25519 и ChaCha20-Poly1305, все пакеты идут по UDP, а в каждом сообщении есть поле типа со значением от 1 до 4. Сам проект пишет, что WireGuard «не сосредоточен на маскировке» и что она должна происходить на уровне выше.
VLESS с Reality и AmneziaWG маскируют трафик по-разному. Как устроено само шифрование, мы разбирали в статье «Протоколы VPN».
Что такое Xray и VLESS
Xray — программа с открытым кодом от Project X, которая работает и на сервере, и на устройстве пользователя и поддерживает несколько протоколов для передачи трафика. По README Xray-core, версия 1.0.0 ответвилась от v2fly-core (проекта v2ray). Сайт Project X называет собственными протоколами проекта VLESS, XTLS, XUDP, XHTTP и REALITY.
VLESS — протокол передачи данных между клиентом и сервером Xray, который документация Xray называет «лёгким протоколом без состояния». VLESS по замыслу не шифрует трафик сам: на сайте Project X это сформулировано как «VLESS убирает избыточное шифрование».
Документация Xray требует, чтобы VLESS работал с внешним слоем защиты транспорта — на практике это TLS или Reality. Без него VLESS допустим, только если сервер в частной сети и канал доверенный, либо если включено необязательное собственное шифрование VLESS Encryption. В настройках сервера это видно по полю decryption: значение none означает, что собственное шифрование VLESS выключено.
TLS — протокол, которым защищены сайты с адресом https://. VLESS поверх TLS выглядит как HTTPS-соединение с вашим сервером, но требует своего домена и сертификата, а TLS-«отпечаток» такого сервера можно сравнить с настоящими сайтами.
Насколько хорошо работает: VLESS — способ упаковки, а не защита; защищённость и заметность решает слой поверх него.
Что такое Reality и что видит наблюдатель
Reality — изменённый вариант TLS, который, по документации Xray, использует «внешний вид и характеристики рукопожатия целевого сайта как маскировку». Целевой сайт — настоящий чужой сайт, под соединение с которым подделывается трафик.
Reality не требует своего домена и сертификата. По README REALITY, при замене TLS на REALITY можно указать чужой сайт, не покупая домен и не настраивая TLS-сервер, а характерный TLS-отпечаток сервера пропадает.
Что видит наблюдатель в сети, когда работает VLESS с Reality:
- соединение по TCP с IP-адресом вашего сервера;
- в начале соединения — имя чужого сайта в поле SNI (там клиент сообщает, к какому сайту обращается) и рукопожатие, похожее на браузерное: клиент подставляет отпечаток браузера, по умолчанию Chrome;
- дальше — зашифрованный поток, как у любого HTTPS; его объём и время передачи наблюдатель тоже видит.
Если проверяющий сам подключится к серверу, Reality не пустит его в туннель: по документации Xray, соединения, не прошедшие проверку ключа, сервер «напрямую пересылает» на целевой сайт, и проверяющий видит настоящий сертификат этого сайта.
Ограничения Reality, которые называет сама документация:
- IP-адрес остаётся вашим: имя сайта в соединении чужое, а адрес — вашего сервера. README REALITY называет плюсом целевой сайт с близким IP-адресом — так соединение «больше похоже», а документация Xray называет лучшей практикой брать сайт из той же сети (ASN — номер автономной системы, то есть сети одного оператора, например хостинга).
- Целевой сайт должен поддерживать TLS 1.3 и HTTP/2, пишет README REALITY.
- README REALITY не рекомендует использовать Reality с протоколами, кроме XTLS: у них виден признак «TLS внутри TLS», на который уже нацелены блокировки.
Насколько хорошо работает: Reality убирает самые явные признаки — свой сертификат и непохожий отпечаток, но соединение по-прежнему идёт на IP-адрес вашего сервера.
Что такое AmneziaWG и чем он отличается от WireGuard
AmneziaWG — модификация WireGuard от команды Amnezia, которая сохраняет его шифрование, но меняет признаки пакетов, по которым WireGuard узнают системы глубокой проверки трафика (DPI). По README amneziawg-go, это ответвление WireGuard-Go с защитой от обнаружения DPI.
Криптография AmneziaWG та же, что у WireGuard: Noise_IK, Curve25519 и ChaCha20-Poly1305, по документации Amnezia. Если параметры маскировки выключить, конфигурация полностью совместима с WireGuard.
Что меняет AmneziaWG, по документации Amnezia:
- Заголовки (H1–H4). Вместо постоянных номеров типа сообщения — значения из заданных диапазонов. При включённой защите заголовков в версии 3.1 документация советует оставлять стандартные значения 1–4.
- Размеры (S1–S4). К пакетам добавляются случайные байты, и их размеры перестают совпадать с размерами WireGuard.
- Мусорные пакеты (Jc, Jmin, Jmax). Серия пакетов случайной длины.
- Пакеты-сигнатуры (I1–I5). До пяти UDP-пакетов перед рукопожатием: первый может повторять начало настоящего протокола, например QUIC, остальные заполняются счётчиком, временем и случайными данными.
- Защита заголовков (в версии 3.1). Незашифрованные служебные части пакетов WireGuard дополнительно скрываются с помощью ChaCha20.
Версии AmneziaWG по документации разработчика на 18 октября 2026 года:
- 1.5 — изменённые заголовки, случайные размеры рукопожатия, маскировка под UDP-протоколы вроде QUIC и DNS;
- 2.0 — полная «мимикрия» под другие протоколы;
- 3.1 — создана в ответ на массовые блокировки в России в июне и июле 2026 года; меняет размеры, последовательности, время и часть метаданных.
Документация Amnezia называет версии 1.5 и 2.0 уязвимыми к блокировке и рекомендует перейти на 3.1, даже если старое подключение пока работает. Переход — это переустановка протокола на сервере через приложение AmneziaVPN 5.0.2.1 или новее; все пользователи протокола при этом удаляются, и им нужны новые ключи. На 18 октября 2026 года последняя стабильная версия на странице релизов — 5.0.3.0 от 18 сентября 2026 года, она подходит для перехода. Версия 5.0.2.1 по-прежнему помечена как предварительная, а 5.0.1.5, хотя в её описании указано «Added AWG 3.1 support», для перехода по документации не подходит. Пошагово — в статье «Свой VPN перестал работать».
Насколько хорошо работает: что AmneziaWG 3.1 лучше обходит новые блокировки, на 18 октября 2026 года — заявление разработчика.
Чем VLESS с Reality отличается от AmneziaWG: таблица
VLESS с Reality прячет VPN под соединение с чужим сайтом, а AmneziaWG делает трафик непохожим на WireGuard. Обычный WireGuard — для сравнения.
VLESS + Reality, AmneziaWG и WireGuard на 18 октября 2026 года
| VLESS + Reality | AmneziaWG | WireGuard | |
|---|---|---|---|
| Основа | Xray: протокол VLESS и слой Reality | Модификация WireGuard (amneziawg-go — ответвление WireGuard-Go) | Самостоятельный протокол |
| Транспорт | TCP | UDP | UDP |
| Кто шифрует | Reality (изменённый TLS); сам VLESS — нет | Как в WireGuard | Noise_IK, ChaCha20-Poly1305 |
| Как маскируется | Под TLS-соединение с настоящим чужим сайтом; чужие проверки пересылаются на этот сайт | Меняет заголовки и размеры, добавляет мусорные и сигнатурные пакеты | Никак: проект пишет, что маскировка — не его задача |
| Приложения | AmneziaVPN (протокол XRay); в README Xray-core перечислены, например, v2rayN и v2rayNG | AmneziaVPN; AmneziaWG для Android, iOS и macOS, Windows; модуль ядра Linux; роутеры (поддержка 3.1 зависит от прошивки производителя) | AmneziaVPN и другие клиенты WireGuard |
| Сложность настройки | Вручную: ключи x25519, shortId, выбор целевого сайта по требованиям; в AmneziaVPN — установка из приложения | В AmneziaVPN параметры маскировки заполняются автоматически; вручную их нужно задавать самому | Без параметров маскировки |
| Что известно о блокировках | С конца ноября 2025 года — жалобы на блокировки VLESS, по нашей сводке; «нельзя обнаружить» практикой не подтверждается | Версии 1.5 и 2.0 разработчик называет уязвимыми; 3.1 — ответ на блокировки июня–июля 2026 года, устойчивость — заявление разработчика | Проект WireGuard не занимается маскировкой |
Данные о блокировках собраны в сводке «Не работает VPN сегодня?» по сообщениям пользователей и разборам; это не официальная статистика. Документация Amnezia пишет об XRay: «Undetectable by DPI analysis systems and resistant to blocking» («не обнаруживается системами DPI и устойчив к блокировкам»). Это заявление разработчика; на той же странице сказано, что цензоры могут пытаться распознать REALITY уже при TLS-рукопожатии. С конца ноября 2025 года пользователи сообщают о сбоях VLESS («Медуза», 24 ноября 2025 года), поэтому считать это заявление гарантией не стоит.
VLESS-ключи: что это
VLESS-ключ — это ссылка или файл настроек, где записано всё, что нужно приложению для подключения к конкретному серверу Xray. Обычно это строка, которая начинается с vless:// и вставляется в приложение.
По стандарту ссылок в репозитории Xray-core, в такой строке есть:
- идентификатор пользователя (UUID), по которому сервер узнаёт клиента;
- адрес и порт сервера;
- транспорт (
type) и слой защиты (security=realityилиtls); - для Reality — имя чужого сайта (
sni), отпечаток браузера (fp), ключ (pbk) и короткий идентификатор (sid); - название подключения после знака
#.
Пример: vless://UUID@203.0.113.10:443?type=tcp&security=reality&flow=xtls-rprx-vision&sni=example.com&fp=chrome&pbk=КЛЮЧ&sid=ID#my-server.
VLESS-ключ работает как пропуск: любой, у кого он есть, может подключиться к серверу. Ключи AmneziaWG устроены похоже: это файл настроек WireGuard с параметрами маскировки или ключ для приложения AmneziaVPN.
Чем опасны бесплатные VLESS-ключи из интернета
Бесплатный VLESS-ключ из интернета подключает вас к чужому серверу, и владелец этого сервера занимает место вашего провайдера: ваш трафик выходит из туннеля в интернет именно у него.
Что может видеть владелец чужого сервера:
- ваш IP-адрес и время подключений;
- к каким сайтам и адресам вы обращаетесь;
- содержимое всего, что передаётся без HTTPS. Содержимое HTTPS-сайтов остаётся зашифрованным между вами и сайтом.
Источник бесплатного ключа обычно неизвестен: нельзя проверить, кто держит сервер, что он записывает и зачем раздаёт доступ. Стандарт ссылок Xray оговаривает, что пока такие ссылки рассчитаны на обмен серверами и не подходят для массовой выдачи сервисами подписок, — это техническая оговорка, а не предупреждение о безопасности.
Что делать вместо: поднять свой VPN-сервер или брать ключ у человека, которому доверяете. И помнить, что даже свой сервер не делает вас анонимным, — об этом статья «VPN и анонимность».
Что выбрать для своего сервера: VLESS с Reality или AmneziaWG
Однозначно лучшего варианта нет: по сообщениям пользователей и по словам разработчика Amnezia, блокировки затрагивали и VLESS, и старые версии AmneziaWG. Практичный ход — держать наготове оба протокола: README AmneziaVPN перечисляет AmneziaWG и XRay среди протоколов с маскировкой. Если один перестал подключаться, проверьте второй — по шагам из статьи «Свой VPN перестал работать».
Короткие ответы
VLESS — что это простыми словами?
VLESS — протокол из проекта Xray, который передаёт трафик между приложением и сервером. Сам VLESS обычно не шифрует трафик, поэтому его используют поверх TLS или Reality.
Чем VLESS Reality отличается от просто VLESS?
VLESS Reality — это VLESS поверх слоя Reality, который шифрует соединение и маскирует его под TLS-соединение с настоящим чужим сайтом. Свой домен и сертификат для VLESS Reality не нужны.
AmneziaWG — что это и чем отличается от WireGuard?
AmneziaWG — модификация WireGuard от команды Amnezia с тем же шифрованием, но с изменёнными заголовками и размерами пакетов и с дополнительными пакетами, чтобы системы фильтрации труднее узнавали в нём WireGuard. На 18 октября 2026 года разработчик рекомендует версию AmneziaWG 3.1.
Можно ли обнаружить и заблокировать VLESS Reality?
Да, VLESS Reality можно заблокировать — как минимум по IP-адресу сервера, на который идёт соединение. С конца ноября 2025 года пользователи сообщают о блокировках VLESS; по этим сообщениям нельзя установить, блокировали адреса или распознавали протокол. Полагаться на обещание, что VLESS Reality «нельзя обнаружить», не стоит.
Безопасно ли пользоваться бесплатными VLESS-ключами?
Бесплатный VLESS-ключ подключает вас к чужому серверу, владелец которого видит ваш IP-адрес, адреса сайтов и всё, что передаётся без HTTPS. Кто держит такой сервер и что он записывает, проверить нельзя.
Источники
Все страницы проверены 18 октября 2026 года.
- Project X: главная страница документации — что такое Xray, собственные протоколы, «VLESS убирает избыточное шифрование».
- XTLS/Xray-core, README — происхождение от v2fly-core, поддерживаемые протоколы, список клиентов.
- Xray: VLESS (inbound) — VLESS без состояния, требование внешнего слоя защиты, поле
decryption, VLESS Encryption. - Xray: Transport — определение REALITY, транспорты, с которыми он работает.
- Xray: REALITY — пересылка непрошедших проверку соединений, ASN, Cloudflare,
serverNames, ключи. - XTLS/REALITY, README — без своего домена и сертификата, требования к целевому сайту (TLS 1.3, HTTP/2), предупреждение о «TLS внутри TLS».
- Xray-core, обсуждение #716: стандарт ссылок VLESS — поля ссылки
vless://, назначение ссылок. - Amnezia: AmneziaWG — что меняет AmneziaWG, версии 1.5, 2.0 и 3.1, совместимость с WireGuard, клиенты.
- Amnezia: AmneziaWG на своём сервере — 1.5 и 2.0 уязвимы, переход на 3.1, AmneziaVPN 5.0.2.1, удаление пользователей.
- Amnezia: блог о версии 5.0.1.5 — поддержка AWG 3.1 и роутеры.
- Amnezia: XRay — XRay (REALITY) в Amnezia, TCP, заявления о маскировке.
- amnezia-vpn/amneziawg-go — AmneziaWG как ответвление WireGuard-Go, параметры Jc, S, H, I.
- amnezia-vpn/amnezia-client и страница релизов — протоколы AmneziaVPN, версии 5.0.1.5, 5.0.2.1 и 5.0.3.0.
- WireGuard: Protocol & Cryptography — UDP, типы сообщений, криптография.
- WireGuard: Known Limitations — WireGuard не занимается маскировкой.
- «Медуза», 24 ноября 2025 года — первые жалобы на сбои VLESS/Reality в ряде регионов.