VLESS Reality — протокол обхода DPI на базе TLS-маскировки

Разберём последовательность установки соединения VLESS Reality пошагово. Именно здесь кроется главное отличие от всех конкурентов.

Шаг 1: ClientHello с настоящим SNI

Клиент (v2rayNG на телефоне) отправляет TLS ClientHello с полем SNI = www.microsoft.com (или другим target site, заданным в конфиге). SNI — это Server Name Indication, расширение TLS, которое указывает, к какому домену обращается клиент. DPI-системы активно анализируют это поле для фильтрации.

Шаг 2: Проверка fingerprint клиента

VPN-сервер получает ClientHello и проверяет два параметра: (1) fingerprint TLS-клиента (набор cipher suites, extensions — должен выглядеть как обычный браузер Chrome/Firefox), и (2) наличие зашитой метки в поле Session ID или uTLS fingerprint. Если fingerprint некорректен — сервер прозрачно проксирует соединение к настоящему Microsoft. Цензор не видит ничего подозрительного.

Шаг 3: TLS-handshake завершается с реальным сертификатом

Сервер возвращает клиенту настоящий TLS-сертификат от Microsoft (или другого target site). Технически это достигается через TLS pass-through к реальному серверу-мишени. Внешний наблюдатель видит стандартный TLS 1.3 handshake с верифицируемым сертификатом от CA (DigiCert, GlobalSign и т.д.). Никакого самоподписанного сертификата, никакого подозрительного домена.

Шаг 4: Туннель VLESS внутри HTTPS

После успешного TLS-handshake клиент и сервер устанавливают внутренний зашифрованный канал VLESS. Данные пользователя проходят через этот туннель. Снаружи это выглядит как продолжение HTTPS-сессии — обмен зашифрованными Application Data записями.

Шаг 5: XTLS-Vision — нулевой padding и zero-RTT

XTLS-Vision работает на уровне inner TLS (TLS внутри TLS). Вместо двойного шифрования Vision передаёт внутренние TLS-записи напрямую, убирая лишний crypto-слой. Дополнительно добавляется padding — случайные байты для выравнивания размеров пакетов. Это скрывает характерные паттерны трафика, которые DPI мог бы использовать для идентификации VPN-сессии.

Клиент                     VPN-сервер              Microsoft.com
  |                             |                        |
  |-- ClientHello (SNI=ms.com)->|                        |
  |                             |-- ClientHello -------->|
  |                             |<-- ServerHello+Cert ---|
  |<-- ServerHello+Cert --------|                        |
  |                             |   (проверка fingerprint)
  |=== VLESS туннель (зашифр.) =|                        |
  |                             |                        |
DPI видит: TLS 1.3 к microsoft.com — всё легально

Системы ТСПУ и DPI анализируют первые пакеты соединения для классификации трафика. В случае VLESS Reality они видят: корректный TLS 1.3, SNI на известный легитимный ресурс, реальный сертификат от доверенного CA, fingerprint обычного браузера. Оснований для блокировки нет.

Именно комбинация vless xtls rprx vision reality и vless tcp xtls vision reality делает этот протокол наиболее устойчивым к современным методам DPI-блокировки среди всех коммерчески доступных решений.

XHTTP — это транспортный слой, разработанный командой XTLS как замена WebSocket и gRPC. Он работает поверх HTTP/2 и использует chunked transfer encoding для передачи данных, что делает поток неотличимым от обычной загрузки страниц или стриминга.

Главные преимущества XHTTP перед классическим TCP-транспортом Reality: (1) многопоточность — несколько параллельных HTTP/2 потоков для разных соединений без overhead на создание новых TCP-сессий; (2) лучшая совместимость с корпоративными прокси — HTTP/2-трафик проходит через большинство firewall и прокси-серверов без модификации; (3) дополнительный уровень маскировки — даже если DPI пробьётся через TLS, внутри он увидит HTTP/2-запросы, а не неизвестный бинарный протокол.

Комбинация vless reality xhttp — это то, что используется в Дымке. Это наиболее устойчивая конфигурация для работы в российских сетях: Reality скрывает факт VPN на уровне TLS-handshake, XHTTP скрывает тип трафика на уровне приложения.

На практике XHTTP добавляет незначительный overhead (+5–10 мс latency по сравнению с чистым TCP), но обеспечивает лучшую стабильность в сетях с агрессивным DPI и за корпоративными firewall, которые разрешают только HTTP/HTTPS.

Если хотите полный контроль над инфраструктурой — вот минимальный путь. Потребуется VPS за пределами РФ и базовые навыки работы с Linux.

1. Выбор VPS

Лучший выбор для России по соотношению цены, скорости и стабильности: Hetzner (Финляндия, Германия) или Aeza (Нидерланды). CX11 на Hetzner (2 vCPU, 2 ГБ RAM) достаточно для 10–20 пользователей. Выбирайте сервера в Европе — пинг 30–60 мс из России.

2. Установка Xray-core

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)"

Скрипт установит Xray-core как systemd-сервис. Бинарник окажется в /usr/local/bin/xray, конфиг — в /usr/local/etc/xray/config.json.

3. Генерация ключей

# UUID для пользователя
xray uuid

# x25519 keypair для Reality
xray x25519

Сохраните privateKey (на сервере) и publicKey (передаётся клиенту в конфиге).

4. Конфигурация сервера

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{"id": "YOUR-UUID", "flow": "xtls-rprx-vision"}],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "www.microsoft.com:443",
        "serverNames": ["www.microsoft.com"],
        "privateKey": "YOUR-PRIVATE-KEY",
        "shortIds": ["YOUR-SHORT-ID"]
      }
    }
  }],
  "outbounds": [{"protocol": "freedom"}]
}

5. Запуск и проверка

systemctl restart xray
systemctl status xray
journalctl -u xray -f

После запуска сгенерируйте VLESS-ссылку для клиента и импортируйте в v2rayNG или v2rayN.

Этот гайд — только для технарей. Если не хочется разбираться с VPS, конфигами и системным администрированием — Дымка делает всё это за вас. Подключение за 30 секунд через @dymka_app_bot.