Reality: протокол, который невозможно отличить от обычного сайта

Reality — пожалуй, самое удачное решение последних лет в области обхода блокировок. Разберём, в чём его трюк.

Проблема, которую он решает

Чтобы спрятать прокси под HTTPS, нужен домен и сертификат. И тут начинаются сложности. Домен можно внести в списки. Сертификат от Let's Encrypt для малоизвестного домена — сам по себе подозрительный признак: на него ходит один человек, трафик идёт круглосуточно, сайт по адресу пустой.

Если проверяющая система откроет такой «сайт» браузером, она увидит заглушку nginx или ошибку. Вывод очевиден.

Идея Reality

А что, если не притворяться сайтом, а использовать настоящий?

Сервер Reality настроен на какой-нибудь крупный публичный домен — скажем, dl.google.com. Когда к нему приходит соединение, он смотрит на содержимое рукопожатия:

• Это свой клиент (знает секретный ключ) — обслуживаем как прокси
• Это кто-то чужой — молча перенаправляем всё рукопожатие на настоящий google.com и отдаём ответ обратно

Во втором случае проверяющий получает подлинный сертификат Google, подлинные параметры TLS, подлинный ответ. Потому что они действительно от Google. Доказать, что сервер — прокси, попросту нечем.

Чем это отличается от обычной маскировки

Как выглядит в настройках

Строка подключения содержит несколько специфичных параметров:

vless://UUID@адрес:порт?type=tcp&security=reality
&sni=dl.google.com&fp=chrome&pbk=ПУБЛИЧНЫЙ_КЛЮЧ&sid=ID

• sni — домен, под который маскируемся
• fp=chrome — отпечаток TLS, которым представляется клиент
• pbk — публичный ключ сервера, по нему вас узнают «за своего»
• sid — короткий идентификатор сессии

Ограничения

Reality не всесилен. Остаётся блокировка по IP-адресу сервера: если адрес попал в список, до него просто не доходят пакеты, и никакая маскировка не поможет. Поэтому в серьёзных сервисах Reality сочетают с запасом адресов и промежуточными узлами.

Ещё момент: маскировочный домен должен быть реально популярным и доступным из вашей страны. Если выбрать сайт, который сам заблокирован, эффект будет обратным.

Reality не прячет трафик — он делает его неинтересным. Система видит обычное обращение к Google и проходит мимо.

Стоит ли выбирать именно его

В условиях жёсткой фильтрации — да, это сегодня лучший вариант. В спокойной сети разницы вы не почувствуете, а WireGuard будет быстрее. Разумно иметь оба и переключаться по ситуации — именно так устроена наша подписка: Reality и классический VLESS идут в одном списке, выбор за вами.

Читайте также