Что происходит за ту секунду, пока VPN подключается

Нажали кнопку — через секунду значок загорелся. Разберём, что успело произойти.

Шаг 1. Разбор конфигурации

Приложение читает строку подключения и достаёт из неё параметры: адрес сервера, порт, протокол, транспорт, идентификатор пользователя и способ маскировки.

vless://UUID@адрес:443?type=ws&path=/ws
&security=tls&sni=n6.light-request.com

Здесь: подключаемся к указанному адресу на порт 443, транспорт — WebSocket по пути /ws, поверх TLS, представляемся доменом из параметра sni.

Шаг 2. Разрешение имени

Если в конфигурации домен, а не адрес — приложение спрашивает у DNS, какой у него IP. Момент тонкий: этот запрос идёт ещё до установки туннеля, то есть открыто. Поэтому важно, чтобы клиент использовал шифрованный DNS.

Шаг 3. TLS-рукопожатие

Устанавливается защищённое соединение — ровно такое же, как при открытии любого сайта. Клиент сообщает, какой домен ему нужен, сервер присылает сертификат, стороны договариваются о ключах.

Для стороннего наблюдателя на этом этапе всё выглядит как обычное обращение к веб-сайту. В этом и смысл: ничего, что выделялось бы на фоне остального трафика.

Шаг 4. Аутентификация

Внутри уже зашифрованного канала клиент отправляет свой идентификатор. Сервер сверяет его со списком. Нет в списке — соединение закрывается без объяснений.

Именно поэтому ссылку-подписку нельзя публиковать: идентификатор в ней и есть ключ доступа.

Шаг 5. Поднятие интерфейса

Приложение создаёт в системе виртуальный сетевой адаптер и меняет таблицу маршрутизации, чтобы трафик пошёл через него. В этот момент операционная система и спрашивает разрешение.

Если включено раздельное туннелирование, правила добавляются выборочно: часть адресов направляется в туннель, часть остаётся на обычном маршруте.

Шаг 6. Первый пакет

Вы открываете сайт. Запрос уходит в виртуальный адаптер, шифруется, упаковывается в уже установленное соединение, доезжает до сервера. Тот распаковывает и отправляет в интернет от своего имени. Ответ проделывает путь обратно.

Почему иногда это занимает дольше

• Долгий DNS. Медленный или недоступный резолвер задерживает самый первый шаг
• Повторные попытки. Если первый сервер не отвечает, клиент пробует следующий
• Сбитые часы. Проверка сертификата не проходит, и рукопожатие срывается
• Фильтрация. Соединение устанавливается, но обрывается на этапе передачи данных

Если подключение стабильно занимает больше нескольких секунд — скорее всего, дело в выбранном сервере. Переключитесь на соседний, разница часто заметна сразу.

Читайте также