Почему классические VPN-протоколы перестали работать
Ещё несколько лет назад для доступа к заблокированным сайтам было достаточно подключиться к любому VPN-серверу: операторы смотрели только на IP-адрес и порт, и пока сервер не был в чёрном списке, соединение работало. Однако с массовым внедрением систем глубокого анализа пакетов (DPI) ситуация кардинально изменилась. Оборудование на стороне провайдера теперь анализирует содержимое первого пакета (handshake) и может отличить VPN-трафик от обычного браузерного.
Классические протоколы — OpenVPN, L2TP/IPsec и даже базовый WireGuard — были разработаны до эпохи DPI и не предусматривают маскировки. Их сигнатуры хорошо известны: например, handshake WireGuard имеет фиксированную длину и характерный заголовок, а L2TP/IPsec использует стандартные порты 500 и 4500 UDP, которые операторы часто блокируют целиком. В результате такие протоколы массово детектируются и перестают работать.
В 2026 году устойчивыми считаются протоколы, которые либо маскируются под обычный HTTPS-трафик (VLESS с REALITY, Trojan), либо используют транспорт QUIC (Hysteria2, TUIC), который сложнее отличить от легитимного трафика. Понимание этих различий помогает не только выбрать рабочий инструмент, но и быстро адаптироваться при изменении правил блокировок.
VLESS Reality: маскировка под настоящий сайт
VLESS — это лёгкий транспортный протокол из экосистемы Xray. Сам по себе он не шифрует трафик и не маскируется, поэтому обычно используется в связке с REALITY. REALITY — это не отдельный протокол, а слой маскировки, который делает соединение неотличимым от обычного HTTPS-запроса к популярному сайту.
Принцип работы REALITY: сервер при установке соединения реально подключается к чужому популярному сайту (например, к крупному облачному сервису), забирает его настоящий TLS-сертификат и передаёт клиенту. Снаружи DPI видит «подключение к microsoft.com» и не может отличить его от настоящего трафика. Это закрывает дыры, из-за которых раньше пали Trojan и другие TLS-маскирующиеся протоколы.
REALITY работает поверх TCP на порту 443, что делает его устойчивым к блокировкам UDP. Он выдерживает SNI-фильтрацию, анализ TLS-отпечатков и даже активное зондирование сервера: при попытке проверить сервер он возвращает настоящий сайт. Это делает VLESS Reality одним из самых надёжных протоколов для обхода DPI.
Hysteria2: скорость на нестабильных сетях
Hysteria2 — это прокси-протокол, работающий поверх QUIC (UDP). Его главная особенность — собственный алгоритм управления перегрузкой под названием Brutal, который не снижает скорость при потерях пакетов так агрессивно, как TCP. Вместо этого он продолжает отправлять данные с той скоростью, которую реально может пропустить канал.
Это делает Hysteria2 идеальным для сетей с высокими потерями: переполненный общественный Wi-Fi, мобильный интернет в поезде, международные каналы с высокой задержкой. На таких линиях разница с TCP-протоколами может быть кратной. Кроме того, Hysteria2 маскируется под HTTP/3 (QUIC на порту 443), что делает его похожим на обычный трафик современных веб-приложений.
Однако у Hysteria2 есть слабое место: он требует, чтобы сеть пропускала исходящий UDP. В корпоративных сетях, некоторых публичных Wi-Fi и у отдельных операторов UDP может быть ограничен или полностью заблокирован — тогда Hysteria2 не подключится вовсе, в то время как VLESS Reality продолжит работать.
Сравнение VLESS Reality и Hysteria2: транспорт, маскировка, стойкость
Чтобы выбрать между VLESS Reality и Hysteria2, важно понимать их ключевые различия.
Транспорт: VLESS Reality работает поверх TCP на порту 443, Hysteria2 — поверх UDP с использованием QUIC.
Маскировка: VLESS Reality выглядит как настоящий TLS-сеанс с реальным сайтом, Hysteria2 — как HTTP/3 трафик. Оба варианта сложно отличить от легитимного трафика, но REALITY считается более надёжным против активного зондирования.
Стойкость к DPI: VLESS Reality выдерживает SNI-фильтрацию, анализ отпечатков TLS и активные проверки. Hysteria2 также устойчив, но в сетях, где QUIC блокируется или троттлится, он может работать нестабильно.
Скорость: На чистом стабильном канале VLESS Reality обычно немного быстрее из-за меньших накладных расходов. На канале с потерями Hysteria2 выигрывает благодаря алгоритму управления перегрузкой.
Пинг: У VLESS Reality ниже задержка на установку соединения, что важно для интерактивных приложений.
Расход батареи: VLESS Reality экономичнее, Hysteria2 на UDP потребляет больше энергии на мобильных устройствах.
Поведение при блокировке UDP: Если сеть режет UDP, Hysteria2 не поднимется, а VLESS Reality продолжит работать. Обратная ситуация почти не встречается.
Какой протокол выбрать для разных сценариев
Выбор между VLESS Reality и Hysteria2 зависит от условий сети, в которой вы находитесь.
Домашний проводной интернет или стабильный Wi-Fi: используйте VLESS Reality. Низкие накладные расходы и меньший пинг дадут максимальную скорость.
Мобильный интернет, поездки, переполненный общественный Wi-Fi: выбирайте Hysteria2. Его устойчивость к потерям пакетов обеспечит стабильное соединение там, где TCP-протоколы будут тормозить.
Корпоративная или кампусная сеть: почти наверняка блокирует незнакомый UDP, поэтому VLESS Reality — единственный рабочий вариант.
Страны с агрессивным DPI (Китай, Иран): VLESS Reality — основной выбор, так как он выдерживает SNI-фильтрацию и активное зондирование. Hysteria2 может работать в периоды, когда QUIC не блокируется.
Домашний интернет без ограничений: можно использовать любой протокол, выбирайте тот, который быстрее на вашей линии.
Важно помнить: не стоит привязываться к одному протоколу. Правила блокировок меняются, поэтому держите в подписке оба протокола и переключайтесь в зависимости от ситуации.
Почему в подписке нужны оба протокола
Современные VPN-сервисы обычно предоставляют подписку, в которую включены и VLESS Reality, и Hysteria2. Это не маркетинговый ход, а практическая необходимость: условия сети меняются в течение дня. Дома может отлично работать один протокол, а в метро — другой.
Наличие обоих протоколов в одной подписке позволяет переключаться между ними одним нажатием, без необходимости менять сервис или перенастраивать клиент. Например, если Hysteria2 не подключается в корпоративной сети, вы просто выбираете VLESS Reality — и соединение устанавливается.
Кроме того, разные протоколы по-разному ведут себя при смене сети (переход с Wi-Fi на мобильный интернет). Hysteria2 обычно быстрее восстанавливает соединение, но если UDP заблокирован, он вообще не подключится. Поэтому наличие запасного варианта критически важно для стабильной работы.
Клиенты и приложения для работы с протоколами
Для использования VLESS Reality и Hysteria2 нужны современные клиенты, поддерживающие оба протокола. Большинство из них основаны на ядре sing-box, которое умеет работать с широким спектром протоколов.
Популярные клиенты:
- Hiddify — кроссплатформенное приложение (Windows, Linux, Android), поддерживает оба протокола, удобный импорт подписок.
- V2Box — клиент для iOS, macOS и Android, также поддерживает VLESS Reality и Hysteria2.
- NekoBox и v2rayNG — популярные клиенты для Android.
- Streisand — ещё один вариант для Android.
Эти приложения позволяют импортировать подписку одной ссылкой и автоматически настраивают все профили. В некоторых клиентах, например в VPNBaron, есть функция автоматического выбора протокола (Baron Pathfinder), которая тестирует маршруты и выбирает оптимальный.
Важно: не все клиенты одинаково хорошо поддерживают оба протокола. Перед установкой проверьте, что приложение умеет работать с VLESS Reality и Hysteria2, иначе один из профилей может не работать.
Как проверить, какой протокол работает у вашего оператора
Лучший способ узнать, какой протокол доступен у вашего оператора, — эмпирическая проверка. Запустите однотипные тесты с разных устройств и в разных сетях, чтобы понять, какой протокол стабильно работает.
Если ваш текущий клиент использует базовый WireGuard или OpenVPN, и соединение не устанавливается, это первый кандидат на замену. Попробуйте переключиться на VLESS Reality или Hysteria2 через клиент на ядре sing-box.
Важно различать сбой и блокировку. Сбой выглядит как непредсказуемые отвалы у части пользователей разных операторов: сервер упал, у провайдера авария, перегрузка. Через час-два соединение восстанавливается. Блокировка протокола — это стабильные симптомы, привязанные к конкретному протоколу: например, базовый WireGuard не коннектится у одного оператора, а VLESS Reality на том же сервере работает. В этом случае менять нужно не сервис, а протокол.
Для мониторинга доступности протоколов можно использовать сервисы вроде Freedom Checker, которые отслеживают доступность по операторам и регионам.
Ограничения и подводные камни
Несмотря на все преимущества, у VLESS Reality и Hysteria2 есть ограничения, о которых стоит знать.
VLESS Reality:
- Требует внешний домен, чей TLS-сертификат будет использоваться для маскировки. Нельзя поднять сервер «где угодно».
- На каналах с потерями пакетов TCP-транспорт может давать рывки и снижение скорости.
Hysteria2:
- Зависит от доступности UDP. В сетях, где UDP блокируется, протокол не работает.
- Потребляет больше энергии на мобильных устройствах.
- В некоторых регионах QUIC может троттлиться или блокироваться, особенно в периоды усиления цензуры.
Общие ограничения:
- Скорость зависит не только от протокола, но и от качества VPS-сервера и пинга до него.
- Реальная стойкость к DPI определяется настройками сервера, а не только названием протокола.
- Правила блокировок постоянно обновляются, поэтому даже самые надёжные протоколы могут перестать работать.
Не забывайте: ни один протокол не даёт 100% гарантии. Всегда имейте запасной вариант.
Частые вопросы о VLESS Reality и Hysteria2
Что быстрее — VLESS Reality или Hysteria2? На стабильном широком канале обычно VLESS Reality: у него меньше накладных расходов и ниже пинг. На канале с потерями пакетов быстрее оказывается Hysteria2, причём разница может быть кратной. Универсального ответа нет — скорость зависит от качества сети.
Почему Hysteria2 не подключается, а VLESS работает? Скорее всего, в этой сети ограничен или полностью закрыт исходящий UDP. VLESS работает поверх TCP, поэтому такие ограничения его не касаются. Просто переключитесь на VLESS.
Можно ли пользоваться только одним протоколом? Да, большинству пользователей хватает VLESS Reality. Второй протокол нужен как запасной путь на случай, когда конкретная сеть плохо обходится с TCP или режет UDP.
Влияет ли выбор протокола на расход трафика? Незначительно. Разница в накладных расходах составляет единицы процентов и на счётчике оператора практически не видна. На расход батареи выбор влияет заметнее.
Как переключиться между протоколами? В клиенте оба профиля видны как отдельные серверы в одной подписке — выберите нужный и подключитесь заново. Если второго профиля нет, обновите подписку.
Вопросы и ответы
Что такое VLESS Reality и как он работает?
VLESS — это лёгкий транспортный протокол из экосистемы Xray, который сам по себе не шифрует трафик. REALITY — это слой маскировки, который делает соединение неотличимым от обычного HTTPS-запроса к популярному сайту. Сервер реально подключается к чужому сайту, забирает его настоящий TLS-сертификат и передаёт клиенту. Снаружи DPI видит «подключение к легитимному сайту» и не может отличить его от настоящего трафика. REALITY работает поверх TCP на порту 443, что делает его устойчивым к блокировкам UDP.
Чем Hysteria2 отличается от VLESS Reality?
Hysteria2 работает поверх QUIC (UDP) и использует собственный алгоритм управления перегрузкой Brutal, который не снижает скорость при потерях пакетов. Это делает его идеальным для нестабильных сетей. VLESS Reality работает поверх TCP и маскируется под настоящий TLS-сеанс с реальным сайтом, что обеспечивает максимальную скрытность. На стабильных каналах VLESS обычно быстрее, на каналах с потерями — Hysteria2.
Какой протокол выбрать для мобильного интернета?
Для мобильного интернета, особенно в поездках или при переполненной сети, лучше выбирать Hysteria2. Он устойчив к потерям пакетов и троттлингу, что обеспечивает стабильную скорость. Однако если ваш оператор блокирует UDP, Hysteria2 не подключится — тогда используйте VLESS Reality.
Почему Hysteria2 не подключается, а VLESS работает?
Скорее всего, в этой сети ограничен или полностью закрыт исходящий UDP. Hysteria2 работает поверх UDP, поэтому такие ограничения не дают ему подключиться. VLESS Reality работает поверх TCP, поэтому он продолжает работать. Просто переключитесь на VLESS.
Можно ли использовать оба протокола одновременно?
Да, современные клиенты поддерживают оба протокола в одной подписке. Вы можете переключаться между ними вручную или использовать функцию автоматического выбора, если она есть в вашем приложении. Это удобно, так как условия сети меняются в течение дня.
Какой протокол лучше для игр и стриминга?
Для игр на нестабильных каналах Hysteria2 обычно даёт более низкий джиттер. Для стриминга, если сеть является узким местом, Hysteria2 также предпочтительнее. На хорошей линии оба протокола справляются отлично, и выбор не критичен.
Насколько безопасны VLESS Reality и Hysteria2?
Оба протокола обеспечивают шифрование трафика. VLESS Reality маскируется под настоящий TLS-сеанс, что делает его практически неотличимым от обычного HTTPS. Hysteria2 использует QUIC, который также сложно отличить от легитимного трафика. Однако безопасность зависит и от настроек сервера, и от конфигурации клиента. Важно использовать проверенные сервисы и обновлять клиенты.