Почему OpenVPN и WireGuard блокируют, а VLESS продолжает работать

Вопрос, который задают чаще всего: «почему мой проверенный OpenVPN вдруг перестал работать, а какой-то VLESS работает?» Ответ лежит не в стойкости шифрования, а в заметности.

Главная мысль

Все эти протоколы надёжно шифруют данные. Прочитать вашу переписку не может никто. Но блокировщику и не нужно её читать — ему достаточно понять, что это VPN, и оборвать соединение. Поэтому исход определяет не криптография, а маскировка.

Что выдаёт OpenVPN

Протокол создавался в начале двухтысячных, когда о сопротивлении цензуре никто не думал. Он честно объявляет себя:

• Фиксированный байт 0x38 в начале первого пакета
• Узнаваемая структура обмена ключами
• Порт 1194 по умолчанию
• Характерная последовательность размеров пакетов при установке связи

Режим tcp-443 спасает слабо: порт совпадает с HTTPS, но содержимое на HTTPS не похоже. Это как надеть чужую форму, но говорить на другом языке.

Что выдаёт WireGuard

Протокол современный, быстрый и элегантный — но столь же узнаваемый. Его первый пакет имеет фиксированную длину 148 байт и начинается с определённого типа сообщения. Этого достаточно: правило для фильтра пишется в одну строку.

Вдобавок WireGuard работает поверх UDP, а UDP-трафик в принципе легче ограничивать — его меньше, и он реже критичен для обычного пользователя.

Это не делает WireGuard плохим. На домашней сети, в офисном VPN, в странах без фильтрации он прекрасен: быстрый, экономный к батарее, мгновенно переподключается при смене сети. Проблема только в заметности.

Почему VLESS другой

VLESS изначально проектировался для среды с враждебной фильтрацией. Отличия принципиальные:

У него нет собственного шифрования. Звучит пугающе, но это намеренное решение: шифрование полностью отдано на откуп TLS — тому же самому, которым защищены все сайты. Значит, нет и собственной сигнатуры, по которой можно опознать протокол.

Он гибок в транспорте. Один и тот же VLESS может ходить поверх WebSocket, gRPC, обычного TCP с TLS. Если один способ перестал работать, меняется один параметр в конфигурации.

Reality: шаг дальше

Обычный маскирующийся прокси упирается в проблему сертификата. Вы говорите «я — microsoft.com», но предъявляете самоподписанный сертификат, и это видно.

Reality решает задачу красиво: сервер проксирует рукопожатие на настоящий сайт. Активная проверка получает подлинный сертификат подлинного домена, потому что он действительно оттуда. Отличить такое соединение от обычного визита на популярный сайт системе фильтрации практически нечем.

Практический вывод

Держите под рукой несколько вариантов. Разумная стратегия — основным выбрать VLESS или Reality, а WireGuard оставить как запасной: он быстрее и лучше ведёт себя на мобильной сети, и в спокойные периоды им удобно пользоваться.

Именно поэтому мы отдаём в подписке все варианты сразу: если один канал перестал отвечать, вы просто выбираете соседний в том же приложении, ничего не переустанавливая.

Читайте также