Что такое VLESS и REALITY простыми словами
Разбираем, как работает протокол VLESS с маскировкой REALITY, почему такой трафик похож на обычный сайт и чем он отличается от WireGuard и OpenVPN.
Опубликовано
Если коротко: VLESS — это способ передавать трафик между вашим устройством и сервером, а REALITY — способ сделать так, чтобы со стороны это выглядело как обычный заход на популярный сайт. Вместе они дают соединение, которое фильтры операторов не отличают от нормального HTTPS.
Зачем вообще нужны новые протоколы
Классические VPN-протоколы — OpenVPN, WireGuard, IPsec — создавались, чтобы шифровать трафик, а не прятать сам факт его существования. У каждого из них узнаваемый «почерк»: характерный первый пакет, свой порт, свой ритм обмена данными. Системе глубокой проверки трафика (DPI) у оператора достаточно увидеть этот почерк, чтобы заблокировать соединение, даже не расшифровывая его.
Поэтому задача сменилась. Нужно не просто зашифровать данные, а сделать так, чтобы соединение было неотличимо от того, что и так идёт через сеть миллионами в секунду, — от обычного HTTPS-запроса к сайту.
Что такое VLESS
VLESS — транспортный протокол из проекта Xray. Он отвечает за одно: доставить ваши данные на сервер и обратно с минимальными накладными расходами. Техническое описание протокола есть в документации Xray.
Что важно знать:
- Сам по себе VLESS не шифрует. Это не ошибка, а идея: шифрование перекладывается на уровень TLS — тот же, что защищает любой сайт с замком в адресной строке. Так протокол не изобретает своё шифрование, которое можно было бы распознать.
- Он лёгкий. В заголовке запроса почти нет служебных данных, поэтому меньше задержка и выше скорость по сравнению со старым VMess.
- Авторизация по UUID. Ключ, который выдаёт бот, — это в том числе идентификатор клиента. Сервер отвечает только тем, кто предъявил правильный UUID; остальным — так, будто это обычный веб-сервер.
VLESS в одиночку DPI всё равно может заметить: TLS-соединение с неизвестным сервером и самодельным сертификатом выглядит подозрительно. Здесь нужен второй компонент.
Что такое REALITY
REALITY — это способ установить TLS-соединение так, чтобы оно выглядело как соединение с реальным крупным сайтом, хотя на самом деле ведёт на VPN-сервер.
Как это работает по шагам:
- Ваше устройство начинает TLS-соединение и в поле SNI указывает имя настоящего сайта — например, крупного CDN или облачного сервиса, который точно не заблокирован.
- Сервер Buzz VPN принимает это соединение. Если клиент предъявил правильный ключ — сервер понимает, что это свой, и дальше идёт VPN-трафик.
- Если ключа нет (например, соединение проверяет оператор или кто-то сканирует сервер), сервер прозрачно перенаправляет запрос на тот самый настоящий сайт. Проверяющий получает его настоящий сертификат и настоящую страницу.
Получается, что у VPN-сервера нет собственного сертификата, который можно было бы «засветить», а при любой проверке со стороны он ведёт себя как чужой легитимный сайт.
Дополнительно клиент подстраивает «отпечаток» TLS-соединения под обычный браузер (это называется uTLS). Для фильтра соединение выглядит так, будто Chrome или Safari открывает сайт.
Чем это отличается от WireGuard и OpenVPN
| VLESS + REALITY | WireGuard | OpenVPN | |
|---|---|---|---|
| Похож на обычный HTTPS | да | нет | нет |
| Устойчив к DPI на мобильном интернете | да | обычно блокируется | обычно блокируется |
| Нужен свой сертификат на сервере | нет | — | да |
| Скорость | высокая | очень высокая | средняя |
| Поднять самому | сложно: нужен Xray и сайт-прикрытие | просто | средне |
| Для чего создан | незаметность | скорость и простота | универсальность |
WireGuard быстрее и проще, но работает по UDP с узнаваемым форматом пакетов — фильтры его видят. OpenVPN гибкий, но его рукопожатие тоже давно известно DPI. VLESS с REALITY проектировался позже остальных и именно под задачу не выделяться; плата за это — более сложная настройка на стороне сервера.
Оба компонента — открытый код: Xray-core и REALITY можно изучить на GitHub.
Что это значит для вас
Вам не нужно разбираться в SNI и сертификатах: всё это уже настроено на стороне Buzz VPN. Ключ из бота содержит адрес сервера, UUID и параметры маскировки, а Happ, v2RayTun или INCY применяют их автоматически.
На практике вы заметите три вещи:
- соединение устанавливается на мобильном интернете даже там, где обычный VPN не подключается, — подробнее в статье о белых списках;
- скорость близка к скорости вашего канала, потому что протокол почти не добавляет накладных расходов;
- приложению не нужны права администратора или установка сертификатов — только подтверждение VPN-профиля.
Как получить ключ и подключиться — в инструкциях.