VLESS и Reality: почему новые протоколы переживают блокировки
· 7 мин чтения
OpenVPN и WireGuard надёжны, но их давно научились вычислять и блокировать по характерному рисунку трафика. Reality родился как ответ именно на это.
Любой протокол оставляет отпечаток. Система фильтрации не обязана расшифровывать ваш трафик, чтобы его прибить — достаточно опознать, что это именно VPN, по форме пакетов, размеру рукопожатия и поведению соединения. Так на протяжении пары лет и выбивали OpenVPN с типовыми настройками.
Идея VLESS
VLESS — лёгкий транспорт от команды Xray. Он почти не добавляет накладных расходов и не несёт собственного шифрования: эту работу отдают TLS, тому самому, что стоит за замочком в браузере. За счёт этого VLESS гибче и быстрее, чем старые схемы, но сам по себе он ещё не решает проблему распознавания.
Что добавляет Reality
Reality — это надстройка, которая решает главную головную боль маскировки: поддельные TLS-сертификаты. Раньше замаскированный сервер представлялся, например, гуглом, но сертификат у него был самоподписанный, и по этому несоответствию его и ловили.
Reality поступает хитрее. Он берёт настоящий чужой сайт с честным сертификатом — скажем, крупный зарубежный ресурс — и при рукопожатии притворяется им буквально, отдавая его реальный сертификат. Со стороны соединение неотличимо от похода обычного пользователя на этот сайт. Если систему фильтрации что-то смущает и она сама стучится на тот адрес, она получает настоящую страницу, а не подозрительную заглушку.
- Нет поддельного сертификата — нет повода для блокировки по этому признаку.
- Трафик сливается с массой обычных HTTPS-соединений.
- Активная проверка со стороны фильтра упирается в настоящий сайт-прикрытие.
Плата за это — чуть более сложная настройка, поэтому удобнее, когда конфиг выдаёт сам сервис, а не собираешь его руками. В MaskVPN ключ приходит готовым: вставили в приложение и работаете, вся возня с Reality остаётся на стороне сервера.
Стоит держать в голове, что серебряной пули не существует. Методы фильтрации тоже не стоят на месте, и устойчивость протокола — это история про постоянную подстройку сервера, а не про однажды настроенную и забытую конфигурацию.