VLESS, Reality и XHTTP простыми словами: почему они работают там, где WireGuard молчит

В описаниях VPN мелькают VLESS, Reality, XHTTP, и по ним трудно понять, что это и зачем. Объясняем на пальцах и без формул, а в конце разбираем, что делать, если «VLESS не работает».

Почему старые протоколы стали видны

OpenVPN, IKEv2 и WireGuard создавались для защиты данных, а не для маскировки. Их трафик зашифрован, но по форме пакетов и порядку рукопожатия видно, что это VPN. Оборудование на границе провайдера распознаёт форму и рвёт соединение. Шифрование при этом не взломано, просто сам факт «это VPN» уже достаточен для блокировки.

VLESS: транспорт без лишнего

VLESS — это способ упаковать ваш трафик в туннель с минимальными накладными расходами. Сам по себе он ничего не маскирует и не шифрует, поэтому всегда работает в паре с чем-то «сверху». Это как контейнер: важно не он сам, а какая оболочка на нём.

Reality: притвориться чужим сайтом

Reality — оболочка, которая делает соединение неотличимым от обычного захода на известный сайт. Когда телефон подключается к нашему серверу, со стороны это выглядит как HTTPS-соединение, например, с Яндексом: те же сертификаты, те же этапы рукопожатия. Разница в одном скрытом ключе, который знает только наш клиент. Если к серверу приходит кто-то без ключа, например проверяющий робот провайдера, сервер честно пропускает его на настоящий Яндекс. Робот видит Яндекс и уходит. Поэтому Reality так живуч: чтобы его заблокировать, нужно заблокировать сайт, под который он маскируется.

XHTTP: когда режут всё, кроме сайтов

У части операторов, особенно мобильных, действуют белые списки: проходит только то, что похоже на загрузку обычных страниц и картинок. XHTTP разбивает туннель на серию обычных HTTP-запросов, каждый из которых выглядит как загрузка файла с сайта. Его можно пропустить даже через CDN, и тогда оператор видит соединение не с нашим сервером, а с крупной сетью доставки контента, которую блокировать себе дороже. У Сурка это профиль «Европа · авто».

Что из этого выбрать

Ничего выбирать не нужно: в подписке есть все три варианта, и приложение перебирает их само. Для понимания: Reality быстрее и легче, XHTTP через CDN проходит там, где Reality не пропускают. Если у вас всё работает, оставьте как есть.

«VLESS не работает»: что проверить

1. Обновите подписку. Ключи Reality и адреса меняются, старый конфиг перестаёт подходить.
2. Переключите профиль. Не работает Reality на 443, попробуйте XHTTP или профиль через CDN. Не работает на мобильном, но работает на Wi-Fi: это белые списки, нужен CDN-профиль.
3. Выключите другой VPN. Второй туннель на телефоне не поднимется.
4. Проверьте время на устройстве. Reality сверяет время с сервером, разница в несколько минут ломает рукопожатие. Включите автоматическую установку времени.
5. Смените приложение. Старые версии клиентов не знают XHTTP. Happ, v2RayTun, Streisand и Hiddify последних версий поддерживают всё.
6. Посмотрите на сам сервер. Если сервис даёт один адрес и один порт, вам нечего переключать, и это проблема сервиса, а не протокола.

Коротко

VLESS упаковывает, Reality прячет под чужой сайт, XHTTP притворяется обычными запросами и проходит через CDN. Вместе они закрывают почти все способы блокировок, которые сейчас применяют. Что не закрывают, закрывает возможность переключить профиль, а для этого профилей должно быть несколько.