VLESS и AmneziaVPN: как VPN прячется под HTTPS и почему свой сервер надёжнее

Вокруг VLESS и AmneziaVPN за последние пару лет выросла почти легенда: «этот VPN провайдер не видит», «работает даже там, где всё закрыто». Доля правды здесь есть, но половина разговоров — маркетинг. Разбираю по порядку: что такое VLESS, из чего на самом деле сделан AmneziaVPN, как трафик маскируется под обычный HTTPS и почему вопрос «кому доверять» важнее вопроса «какой протокол быстрее».

Что не так с обычными VPN

OpenVPN и WireGuard — хорошие протоколы, но у них есть узнаваемая структура пакетов. WireGuard, например, начинается с фиксированных байтов рукопожатия: первые байты каждого соединения одинаковые. OpenVPN в классическом виде тоже имеет характерный заголовок.

Оборудование провайдера, которое анализирует трафик (DPI), не обязано расшифровывать содержимое — достаточно узнать подпись. Дальше варианты: замедлить, оборвать соединение или внести адрес сервера в список. Поэтому обычный WireGuard дома работает прекрасно, а в мобильной сети или офисе, где фильтрация жёстче, может не подключиться вообще.

Отсюда и весь интерес к «маскировке»: нужно, чтобы трафик выглядел не как VPN, а как обычный визит на сайт.

VLESS: тонкий протокол поверх чужого шифрования

VLESS — протокол из проекта Xray (ответвление XTLS). Его главная особенность в том, чего в нём нет: собственного шифрования. У предшественника, VMess, был встроенный слой шифрования — и вместе с ним лишние накладные расходы. В VLESS это убрали и переложили шифрование на транспорт: TLS.

Что это значит на практике:

• Сам по себе VLESS не защищает. Без TLS это просто аккуратная передача данных: шифрования внутри нет. Всё держится на том, что снаружи надет нормальный TLS.
• Пользователь опознаётся по UUID. Не логин с паролем, а строка вида uuid — её выдают на каждое устройство. Утёк UUID — считайте, что утёк доступ.
• Транспорт подключается отдельно. VLESS можно завернуть в TCP, WebSocket, gRPC или HTTP/2. От этого зависит, как соединение выглядит снаружи.
• Есть режим XTLS Vision. Он убирает «TLS внутри TLS»: когда вы открываете HTTPS-сайт через VPN, TLS-рукопожатие происходит дважды. Vision это оптимизирует — и заодно убирает узнаваемый признак двойного шифрования.

REALITY: самый интересный кусок

Обычный TLS-сервер предъявляет свой сертификат. Если он самоподписанный или выдан на «vpn.example.com», это заметно: домен свежий, репутации нет, сертификат нигде не встречается. Проверяющий может постучаться на сервер и убедиться, что там не сайт, а VPN-заглушка.

REALITY решает это иначе. Сервер не показывает свой сертификат — он предъявляет настоящий сертификат реального чужого сайта и подстраивает рукопожатие под него. Для наблюдателя со стороны подключение выглядит как обычный визит на этот сайт: тот же домен, тот же сертификат, тот же отпечаток TLS. Если кто-то попробует «постучать» напрямую, он попадёт на настоящий сайт, а не на заглушку.

Что REALITY не делает: не даёт анонимности, не скрывает вас от сайтов, куда вы заходите, и не спасает, если IP сервера уже в чёрном списке. Это маскировка соединения, а не невидимость.

AmneziaVPN: это не протокол, а установщик

Частая путаница: AmneziaVPN называют протоколом. Это не так. AmneziaVPN — открытое приложение (клиенты под Windows, macOS, Linux, Android, iOS), задача которого — развернуть VPN на вашем собственном сервере без ручной настройки: вы вводите IP и пароль от VPS, программа сама всё ставит и выдаёт готовые конфигурации.

Внутри у неё несколько протоколов на выбор:

• AmneziaWG — форк WireGuard с обфускацией;
• OpenVPN + Cloak — OpenVPN, завёрнутый в транспорт, похожий на HTTPS;
• XRay (VLESS, в том числе с REALITY);
• ShadowSocks и настройки DNS (в том числе DoH).

Почему AmneziaWG сложно опознать

WireGuard легко узнать по первым байтам пакета. AmneziaWG их меняет: фиксированные значения рукопожатия заменяются на настраиваемые (H1–H4), а в соединение добавляются пакеты-«мусор» и выравнивание размеров (параметры Jc, Jmin, Jmax, S1, S2). В результате:

• сигнатуры WireGuard в трафике нет;
• размеры и ритм пакетов не совпадают с эталоном;
• соединение не отвечает так, как ожидает детектор «это WireGuard».

Простое правило DPI «увидел такие байты — заблокируй» перестаёт работать. Именно поэтому такие конфигурации живут дольше обычных.

Как трафик маскируется под HTTPS

Важно понимать, что именно видит провайдер. Без расшифровки ему доступны:

• IP-адрес сервера и порт;
• домен, к которому идёт подключение (SNI), если это TLS;
• размеры пакетов и их последовательность;
• время начала сессии и её длительность;
• отпечаток TLS-клиента (набор поддерживаемых шифров, порядок расширений).

Маскировка работает по всем этим пунктам сразу:

• порт 443 — как у обычного HTTPS, а не 51820 или 1194;
• настоящий домен и сертификат (REALITY) — снаружи это визит на существующий сайт;
• TLS 1.3 и обычный отпечаток браузера — соединение не выделяется среди других;
• выравнивание размеров пакетов — по объёмам не видно, что внутри видео или VPN-туннель;
• правдоподобные тайминги — keep-alive и паузы как у браузера, а не ровный поток туннеля.

Отдельно про «фильтрацию сигнала в пакетах HTTPS»: содержимое остаётся зашифрованным, подделывается не полезная нагрузка, а внешний вид соединения — рукопожатие, домен, размеры. Для DPI это выглядит как обычный HTTPS, для вас — как туннель.

Оговорка: маскировка не делает вас невидимым для сайтов, куда вы заходите, и не помогает, если IP сервера уже заблокирован по адресу. Тогда нужен новый IP, а не новый протокол.

Почему чужому VPN доверять рискованно

Любой VPN-провайдер — это точка, где ваш трафик выходит в интернет. И он видит больше, чем провайдер доступа:

• к каким доменам вы подключаетесь (SNI и DNS);
• объём и время трафика;
• ваш реальный IP и устройство;
• стабильность использования — то есть ваш профиль поведения.

Дальше начинается самое неприятное.

«Мы не храним логи» — это обещание, а не гарантия. Проверить его со стороны нельзя. Логи могут не храниться, а могут тихо писаться месяц. Провайдера могут взломать, к нему могут прийти с запросом, его могут купить и сменить политику — а вы об этом не узнаете.

Технически провайдер может видеть и HTTPS. Если он подменяет сертификаты своим корневым (это называется MITM), он читает содержимое страниц целиком. Иногда это подают как «защиту от фишинга» или «фильтрацию рекламы» — но тем же механизмом можно вставлять свою рекламу, подменять кнопки и перенаправлять на похожие страницы.

Фишинг через VPN — реальный сценарий. Ничто не мешает провайдеру отдать вам подменённую страницу входа в банк или в почту: адресная строка покажет правильный домен, а сертификат будет «свой». Для пользователя это неотличимо.

Бесплатные VPN платят не деньгами. Их монетизация — аналитика, продажа данных, вставка рекламы, установка приложений. Если продукт бесплатный, платите вы, просто не деньгами.

Вывод не в том, что все провайдеры плохие. Вывод в том, что вы отдаёте весь трафик третьей стороне и никак не можете это проверить. Для банка, рабочей почты и корпоративных систем это слишком дорогое доверие.

Свой сервер: что меняется

Свой VPN-сервер — это VPS, на котором вы сами поднимаете WireGuard, VLESS+REALITY или Amnezia. Разница не в скорости, а в модели доверия:

• Ключи только у вас. Никто посторонний не может подключиться к туннелю и не может читать трафик внутри.
• Логи — ваши. Их либо нет, либо они лежат у вас и удаляются по вашему решению.
• Нет посредника, которого можно купить или взломать — в цепочке остаётся только хостер, который видит объём трафика, но не содержимое.
• Гибкость. Можно пустить через туннель только рабочие сервисы, а остальное оставить напрямую.
• Смена IP. Если адрес попал под блокировку — берёте новый, конфигурация не меняется.

Минусы тоже честные:

• обновлять сервер и следить за безопасностью нужно самому;
• ошибка в конфигурации открывает наружу больше, чем нужно;
• IP вашего VPS может попасть в чёрный список — это вопрос времени, а не «если»;
• ответственность за то, что через сервер ходит, лежит на вас.

Amnezia как раз сокращает первый шаг: установка занимает несколько минут и не требует помнить синтаксис конфигов. Но обслуживание всё равно остаётся на владельце сервера.

Что выбрать под задачу

• Доступ к своему офису или серверу — WireGuard или IPsec. Маскировка там не нужна, важнее стабильность.
• Обход блокировок, мобильные сети — VLESS+REALITY или AmneziaWG: они не выделяются в трафике.
• Несколько устройств и семья — свой VPS и Amnezia: одна панель, разные конфигурации на каждое устройство.
• Компания — свой сервер, отдельные ключи на сотрудника, журнал выдачи и отзыва доступа.

И общее правило: отдельный ключ на каждое устройство, отзыв при увольнении или потере телефона, обновления не раз в год. Один общий конфиг на всю компанию — это не VPN, а лотерея.

Итог

VLESS и REALITY — это про то, как сделать соединение незаметным: убрать лишнее шифрование, надеть настоящий TLS и выглядеть как обычный сайт. AmneziaVPN — про то, как поставить такой сервер на свою машину за десять минут вместо вечера с конфигами. Но главный выбор не между протоколами, а между «мой сервер» и «чужой сервер».

Пока туннель чужой, кто-то видит ваш DNS, домены и расписание, а при желании может подменить страницу. Когда сервер ваш — эти риски остаются только у хостера, который видит объём трафика и ничего больше.

Перед настройкой проверьте требования законодательства вашей страны: правила использования VPN отличаются, и это ответственность пользователя.

Помогаю настроить VPN и удалённый доступ для организаций в Минске: IT-обслуживание организаций. Разница между IPsec, OpenVPN и WireGuard разобрана в отдельной статье. Короткие заметки по администрированию и безопасности публикую в Telegram-канале.