Протокол VLESS: как он обходит DPI и почему считается самым надежным для обхода блокировок в 2026 году

Что такое VLESS и зачем он был создан

VLESS (VMess Less) — это легковесный прокси-протокол без сохранения состояния, представленный в 2020 году разработчиком RPRX как упрощение VMess. Основная цель — создать минимальный протокол, который не имеет собственного шифрования и полностью делегирует конфиденциальность транспортному уровню, обычно TLS 1.3.

В отличие от VMess, который включал собственное шифрование AEAD, защиту от повторного воспроизведения и синхронизацию часов, VLESS состоит всего из нескольких полей: версия, UUID, команда (TCP/UDP), порт и адрес назначения. Это всего 25–50 байт на соединение, тогда как OpenVPN добавляет более 100 байт на пакет.

Протокол существует в двух основных реализациях: оригинальный v2fly/v2ray-core и активно развиваемый XTLS/Xray-core. Именно Xray-core получил функции XTLS Vision и REALITY, которые сделали VLESS стандартом для обхода цензуры.

Как устроен VLESS: структура заголовка и принцип работы

Заголовок VLESS предельно прост:

• Версия (1 байт)
• UUID пользователя (16 байт)
• Длина дополнительных данных (1 байт)
• Дополнительные данные (переменная длина)
• Команда (1 байт: TCP или UDP)
• Порт назначения (2 байта)
• Тип адреса (1 байт: IPv4, домен или IPv6)
• Адрес назначения (переменная длина)

Критически важно, что этот заголовок не шифруется самим VLESS. В конфигурации явно указывается encryption: "none", чтобы оператор помнил: вся безопасность обеспечивается внешним TLS-туннелем. Это конструктивное решение позволяет избежать проблемы «TLS-в-TLS», из-за которой VMess стал легко обнаруживаемым системами DPI.

VLESS не хранит состояние соединения. Аутентификация сводится к проверке UUID: если он совпадает, соединение разрешено, если нет — отклонено. Никакой зависимости от времени или синхронизации часов, что устраняет целый класс ошибок, характерных для VMess.

Транспорты VLESS: TCP, WebSocket, gRPC, QUIC и mKCP

VLESS не привязан к конкретному транспорту. Он может работать поверх:

• TCP — с TLS или без него, классический вариант.
• WebSocket — позволяет маскировать трафик под обычное HTTP-соединение и использовать CDN, например Cloudflare.
• gRPC — использует мультиплексирование HTTP/2, что усложняет анализ.
• QUIC — передает данные внутри внешней сессии TLS 1.3 на основе UDP.
• mKCP — собственный протокол V2Ray на основе UDP, устойчивый к потере пакетов.

Выбор транспорта влияет на устойчивость к DPI и возможность интеграции с CDN. На практике для обхода блокировок чаще всего используют WebSocket или gRPC, так как они позволяют скрыть трафик за легитимным HTTPS и спрятать сервер за CDN.

Xray, XTLS Vision и REALITY: стек технологий для максимальной маскировки

Голый VLESS редко используется. В реальных конфигурациях применяется связка Xray-core с двумя ключевыми технологиями:

XTLS Vision (flow: "xtls-rprx-vision") — схема заполнения, которая сглаживает сигнатуры длины записей TLS 1.3. Проблема в том, что записи TLS имеют предсказуемые размеры, что позволяет DPI определить, что внутри туннель. Vision добавляет случайные байты на ранних этапах рукопожатия, а затем переключается на копирование через splice() в ядре Linux, что дает почти нативную скорость.

REALITY — технология, выпущенная в 2023 году, которая полностью отказывается от собственного TLS-сертификата. Вместо этого сервер имитирует рукопожатие реального стороннего сайта (например, microsoft.com). Клиенты, знающие открытый ключ REALITY, выполняют полноценное рукопожатие TLS 1.3 с поддельной цепочкой сертификатов, а DPI видит обычное соединение с легитимным сайтом.

Именно комбинация VLESS + XTLS Vision + REALITY считается самой надежной конфигурацией для обхода DPI в 2026 году.

Сравнение VLESS с VMess, Trojan, Shadowsocks и WireGuard

Чтобы понять преимущества VLESS, полезно сравнить его с альтернативами:

• VMess — предшественник VLESS, использует собственное шифрование AEAD и защиту от повторного воспроизведения. Из-за двойного шифрования внутри TLS стал легко обнаруживаемым: к сентябрю 2025 года уровень обнаружения на Великом китайском файрволе превысил 80%.
• Trojan — минималистичный протокол с паролем вместо UUID и TLS снаружи. Долго считался необнаружимым, но после августа 2025 года активное зондирование DPI выявляет его примерно в 90% случаев.
• Shadowsocks — симметричный AEAD-шифр без TLS-фасада, маскируется под случайные байты. Однако современные DPI помечают полностью зашифрованный трафик как подозрительный, поэтому требуются плагины обфускации, что фактически перестраивает архитектуру в сторону VLESS.
• WireGuard — VPN на уровне ядра, отличный для приватности и скорости в чистой сети, но его фиксированный байт рукопожатия 0x01 легко обнаруживается DPI, и в цензурированных сетях он практически бесполезен.

VLESS+REALITY показывает наименьший уровень обнаружения — менее 5% в полевых отчетах.

Как DPI обнаруживает VPN и почему VLESS обходит все три метода

Современные системы DPI, такие как российская ТСПУ, используют три основных метода обнаружения:

1. Фингерпринтинг протоколов — каждый VPN имеет характерное рукопожатие. Например, OpenVPN начинается с фиксированного паттерна P_CONTROL_HARD_RESET_CLIENT_V2, а WireGuard — с поля типа 0x01. VLESS не имеет таких сигнатур, так как его заголовок не содержит магических чисел и отправляется только внутри TLS.

1. Статистический анализ трафика — анализ размеров пакетов и интервалов между ними. WireGuard отправляет пакеты с предсказуемыми интервалами, Shadowsocks — характерную последовательность маленьких и больших пакетов. VLESS+Vision выравнивает эти паттерны, делая трафик неотличимым от обычного HTTPS.

1. Активное зондирование — DPI подключается к подозрительному серверу и пытается выполнить рукопожатие. Trojan-серверы отвечают характерным образом, что их выдает. REALITY имитирует рукопожатие реального сайта, поэтому зондирование не дает результата.

Таким образом, VLESS+REALITY обходит все три метода, потому что его трафик выглядит как обычный браузинг HTTPS.

Практическая настройка VLESS: конфигурация сервера и клиента

Для production-использования VLESS обычно настраивают с TLS и WebSocket. Пример конфигурации сервера Xray:

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{"id": "UUID", "level": 0}],
      "decryption": "none",
      "fallbacks": [{"dest": 8080, "xver": 1}]
    },
    "streamSettings": {
      "network": "ws",
      "security": "tls",
      "wsSettings": {
        "path": "/api/v1/stream",
        "headers": {"Host": "example.com"}
      },
      "tlsSettings": {
        "serverName": "example.com",
        "certificates": [{
          "certificateFile": "/etc/letsencrypt/live/example.com/fullchain.pem",
          "keyFile": "/etc/letsencrypt/live/example.com/privkey.pem"
        }],
        "minVersion": "1.3",
        "alpn": ["h2", "http/1.1"]
      }
    }
  }],
  "outbounds": [{"protocol": "freedom"}]
}

Ключевые детали: WebSocket path должен выглядеть как легитимный API-эндпоинт, fallback на порт 8080 отдает реальный сайт, а TLS 1.3 настроен как в современных браузерах. Клиент подключается с аналогичными настройками, указывая UUID и адрес сервера.

Интеграция с CDN: почему это обязательно для выживания

Запуск VLESS на голом IP-адресе — рискованно, так как DPI может заблокировать IP даже без распознавания протокола. Решение — размещение сервера за CDN, например Cloudflare.

Архитектура: пользователь → Cloudflare CDN → origin-сервер (VLESS). Пользователь подключается к IP-адресам Cloudflare, которые используются миллионами легитимных сайтов, поэтому блокировка такого трафика означала бы разрушение значительной части интернета. Cloudflare проксирует WebSocket-соединение к вашему серверу.

Для этого необходимо настроить Nginx перед Xray, который проксирует только конкретный WebSocket path к VLESS, а остальные запросы отдает на реальный сайт. Это создает «прикрытие»: если кто-то зайдет на ваш домен в браузере, он увидит обычный сайт, а не прокси.

Реальный опыт: как протоколы блокировались в России и почему VLESS выжил

По данным из практики операторов VPN-инфраструктуры, ситуация с блокировками в России выглядит так:

• OpenVPN — обнаружение 100% в течение 30 секунд после подключения, заблокирован давно.
• WireGuard — к середине 2024 года начал троттлиться, затем полностью блокироваться. Обнаружение 100%.
• Shadowsocks — оригинальная версия заблокирована, обфусцированные варианты работали до сентября 2024, затем обнаружение достигло 95%.
• Trojan — считался необнаружимым, но после августа 2025 активное зондирование выявило его. Обнаружение 90%.
• VMess — работал до сентября 2025, затем DPI научились распознавать его по таймингам и размерам пакетов. Обнаружение 80%.
• VLESS — с правильной конфигурацией (TLS + WebSocket + CDN) показывает обнаружение менее 5%. Серверы работают более 10 месяцев без блокировки.

Опыт показывает, что ключ к выживанию — не полагаться на один протокол, а использовать мультипротокольную архитектуру с автоматическим переключением. Клиент сначала пробует VLESS, затем VMess, Shadowsocks и Trojan, проверяя их работоспособность каждые 5 минут.

Ограничения и будущее VLESS

Несмотря на эффективность, VLESS не является серебряной пулей. Его главное ограничение — зависимость от TLS-транспорта: если DPI начнет блокировать все нестандартные TLS-соединения или активно зондировать все серверы, VLESS может потерять преимущество. Также REALITY требует тщательного выбора целевого сайта для имитации: он должен быть доступен из региона пользователя и иметь стабильный сертификат.

Кроме того, VLESS не обеспечивает анонимность — он лишь маскирует факт использования прокси. Для полной приватности необходимо сочетать его с другими инструментами, например Tor.

Будущее VLESS зависит от гонки вооружений с DPI. Пока что он остается самым надежным протоколом для обхода цензуры, но операторам важно следить за обновлениями Xray-core и быть готовыми к быстрой смене конфигураций.

Вопросы и ответы