VLESS простымі словамі
Уявіце канверт, у які пакладзены даныя, і адрас атрымальніка на ім. Класічны VPN-пратакол піша на канверце свой зваротны адрас і ставіць фірмовую пячатку: адразу відаць, што гэта ліст ад VPN. VLESS уладкаваны інакш — ён робіць службовую частку мінімальнай. Гістарычна ўласнага шыфравання ў яго не было зусім: гэтым займаўся TLS, той самы механізм, што абараняе банкаўскія сайты і пошту. З 2025 года ў Xray з'явіўся і родны слой шыфравання, але на практыцы VLESS па-ранейшаму выкарыстоўваюць у звязцы з TLS. Усё астатняе засталося ранейшым: няма складанага рукапаціскання са сваімі апазнавальнымі прыкметамі, няма лішніх службовых палёў. Звонку атрымліваецца паток TLS да нейкага дамена, па форме падобны на мільёны іншых такіх жа патокаў. Адсюль і назва: літара V ад зыходнага сямейства пратаколаў, less — гэта значыць «менш», менш службовай нагрузкі. Менавіта гэтая мінімальнасць ускладняе класіфікацыю: відавочных зачэпак у фільтруючага абсталявання становіцца менш. Поўнай незаўважнасці гэта не дае — аналіз укладзенага TLS даўно апісаны і прымяняецца на практыцы, — але задача распазнавання становіцца прыкметна складанейшай. Адсюль практычнае патрабаванне: VLESS амаль заўсёды працуе разам з TLS, а ў рэжыме REALITY кліент абапіраецца на рукапацісканне старонняга сайта, так што ўласнае даменнае імя для гэтага не патрабуецца. Без знешняй абгорткі пратакол губляе галоўную перавагу і ператвараецца ў звычайны неабаронены тунэль.
Чым VLESS адрозніваецца ад OpenVPN і WireGuard
OpenVPN і WireGuard праектаваліся для іншай задачы — надзейна злучыць офіс з офісам у сетцы, дзе ніхто не замінае. Яны выдатныя тэхнічна, але гэта пратаколы з пазнавальнай сігнатурай. У OpenVPN гэта характэрнае рукапацісканне і структура пакетаў, у WireGuard — кароткія UDP-дэйтаграмы фіксаванага фармату і прыкметны першы абмен ключамі. Справа не ва ўзросце: крыптаграфія ў абодвух сучасная, праблема менавіта ў прадказальнасці першых байтаў. Сістэме глыбокай інспекцыі трафіку іх звычайна дастаткова, каб класіфікаваць злучэнне і абарваць яго ці зменшыць хуткасць да непрыдатнай. Адсюль тыповая скарга на сэрвісы, пабудаваныя на такіх пратаколах: падключэнне паднімаецца і праз хвіліну падае. VLESS вырашае не праблему шыфравання, а праблему прыкметнасці. Ён не хутчэйшы за WireGuard у лабараторных умовах і не бяспечнейшы за яго сам па сабе — ён проста часцей праходзіць там, дзе астатнія не праходзяць. Гэта ж тлумачыць, чаму параўноўваць пратаколы ў адрыве ад канкрэтнай сеткі бессэнсоўна. Там, дзе трафік ніхто не разбірае, розніца зводзіцца да некалькіх працэнтаў накладных выдаткаў, а там, дзе інспекцыя актыўная, яна ператвараецца ў розніцу паміж працуючым і непрацуючым падключэннем.
Што такое ядро XRay
VLESS — гэта апісанне пратакола, а не праграма. Працуе ён унутры ядра — рухавіка, які ўмее прымаць злучэнні, ужываць правілы маршрутызацыі і абгортваць трафік у розныя транспарты. Найбольш распаўсюджанае такое ядро называецца XRay; на ім пабудаваны папулярныя кліенты, уключаючы Happ. Ядро адказвае за тое, што адбываецца вакол пратакола: які транспарт выкарыстоўваць па-над TLS, як маскіраваць злучэнне пад вэб-трафік, якія дамены пускаць напрамую міма тунэля, як перападключацца пры абрыве. Другое распаўсюджанае ядро — Mihomo, на якім працуе Koala Clash. Карыстальніку адрозненні паміж ядрамі амаль не відаць: абедзве праграмы прымаюць адзін і той жа ключ падключэння і самі разбіраюць канфігурацыю. Ведаць пра ядро карысна толькі ў адным выпадку — калі выбіраеце кліент пад сваю сістэму. Яшчэ адна задача ядра — раздзельная маршрутызацыя: лакальныя сайты і банкаўскія праграмы можна пусціць напрамую, а ўсё астатняе адправіць у тунэль. Правілы апісаны ў канфігурацыі і прыходзяць разам з ключом, таму ўручную іх звычайна не наладжваюць.
Дзе VLESS хутчэйшы за ShadowSocks і калі наадварот
ShadowSocks старэйшы і прасцейшы: гэта лёгкі проксі з AEAD-шыфраваннем па-над звычайным TCP ці UDP, без усялякага слоя TLS. Яго прыдумалі для таго, каб фільтрацыя па змесце не магла разабраць паток. За кошт прастаты ён дае мінімальныя накладныя выдаткі і вельмі хутка паднімае злучэнне, таму добра адчувае сябе ў мабільных сетках з дрэнным сігналам і частымі пераключэннямі паміж вышкамі. VLESS выйграе там, дзе аналіз трафіку разумнейшы: маскіроўка пад звычайны TLS-паток, як правіла, перажывае актыўнае зандзіраванне, якое ShadowSocks часам не перажывае. На стабільным правадным канале і ў цяжкіх сцэнарах — відэа ў высокім разрозненні, вялікія загрузкі, доўгія злучэнні — VLESS звычайна раўней трымае хуткасць. У сетках, дзе важнейшыя імгненны водгук і эканомны расход батарэі, ShadowSocks нярэдка аказваецца прыемнейшым. Універсальнага пераможцы няма, ёсць прыдатны пад умовы інструмент. Правяраць лепш эмпірычна: уключыце адзін пратакол на пару дзён у сваіх звычайных сцэнарах, потым другі, і параўноўвайце не пікавыя лічбы з тэсту хуткасці, а адчуванне ад вячэрняга відэа і загрузкі старонак.
Чаму мы даём абодва пратаколы
Умовы ў сетках уладкаваны па-рознаму і мяняюцца ў часе: у аднаго правайдара вечарам горш праходзіць адно, у другога раніцай — іншае. Таму RobinGood VPN выдае на адным акаўнце і VLESS, і ShadowSocks: калі ў вашай сетцы сёння горш працуе адзін варыянт, вы пераключаецеся на другі проста ў кліенце, не мяняючы тарыф і не заводзячы новы ключ. Дапаўняюць карціну MTProto-проксі для трафіку месэнджара і HTTPS-проксі для браўзерных сцэнараў. Калі маршрут перастае працаваць, доступ аднаўляецца без вашага ўдзелу — пераналаджваць кліент не трэба. Пры гэтым аўтаматычнага пераключэння паміж пратаколамі няма: сервер і пратакол выбіраеце вы самі, і займае гэта некалькі секунд. Да гэтага дадаюцца кліенты на розных ядрах: XRay у Happ і Mihomo ў Koala Clash па-рознаму паводзяць сябе ў асобных сетках, і наяўнасць альтэрнатывы часам вырашае пытанне хутчэй за любую перапіску. Калі дапамога ўсё ж патрэбна, ёсць Telegram-бот падтрымкі, а калі месэнджар недаступны — пошта support@rgvpn.pro.
Што гэта значыць на практыцы
Карыстальніку не трэба разумець будову пратакола, каб ім карыстацца. Дастаткова ўзяць ключ падключэння ў асабістым кабінеце ці ў боце і ўставіць яго ў кліент: Happ на тэлефоне і камп'ютары, Koala Clash на дэсктопе. Outline для VLESS не падыдзе — ён умее толькі ShadowSocks. Калі тунэль патрэбны выключна ў браўзеры, ёсць наша пашырэнне для Chrome: ключ яму не патрабуецца, дастаткова ўвайсці ў акаўнт RobinGood. Кліент сам разбярэ канфігурацыю, падыме злучэнне і выбера транспарт. Калі старонка не адкрываецца ці хуткасць прасела, разумны парадак дзеянняў такі: змяніць сервер, потым пратакол, потым перазапусціць кліент. Колькі прылад працуе на адным акаўнце, залежыць ад тарыфу — ліміт указаны ў яго апісанні; у межах гэтага ліміту тэлефон, ноўтбук і тэлевізар могуць выкарыстоўваць розныя пратаколы адначасова, гэта нармальна і часам карысна. Асобная гісторыя — роўтар: на стокавай прашыўцы VLESS звычайна не заводзіцца, на Keenetic і OpenWrt патрэбныя дадатковыя пакеты накшталт Entware і XKeen, затое налада робіцца адзін раз для ўсёй хатняй сеткі. Ключ падключэння варта захоўваць не толькі ў перапісцы: захавайце яго ў менеджары пароляў, каб наладзіць новую прыладу без звароту ў падтрымку. Пры змене тэлефона дастаткова ўставіць той жа ключ у кліент.
Чаго VLESS не робіць
Карысна разумець межы. Родны слой шыфравання з'явіўся ў пратакола толькі ў свежых версіях Xray, і на практыцы бяспеку па-ранейшаму забяспечвае TLS па-над ім — без знешняй абгорткі злучэнне застаецца неабароненым. Ён не робіць вас ананімным: сайты па-ранейшаму пазнаюць вас па акаўнтах, куках і адбітку браўзера, а сэрвіс на другім канцы тунэля тэхнічна бачыць злучэнні. Ён не абараняе ад шкоднасных праграм і фішынгу, бо вырашае транспартную задачу, а не задачу фільтрацыі змесціва. І ён не дае вечнай незаўважнасці: метады інспекцыі трафіку развіваюцца — аналіз укладзенага TLS і актыўнае зандзіраванне даўно не тэорыя, — а разам з імі мяняюцца транспарты і спосабы маскіроўкі. Устойлівасць падключэння — вынік не аднаго пратакола, а пастаяннага суправаджэння інфраструктуры. Впн любога пакалення варта ўспрымаць як інструмент з зразумелай вобласцю прымянення, а не як універсальны шчыт. Нарэшце, пратакол не адмяняе базавай гігіены: абноўленая сістэма, актуальны браўзер і ўвага да папярэджанняў пра сертыфікаты значаць для бяспекі не менш, чым выбар транспарту.
Частыя пытанні
Ці шыфруе VLESS трафік?
Шыфраванне ў гэтай звязцы забяспечвае перш за ўсё TLS, якім абгорнута злучэнне, — той самы механізм, што абараняе банкаўскія сайты, таму на практыцы даныя закрытыя не горш. У новых версіях Xray у самога пратакола з'явіўся і ўласны слой шыфравання, але звыклая схема засталася ранейшай: VLESS унутры, TLS звонку. Такое падзяленне і дазваляе злучэнню выглядаць як звычайны вэб-трафік.
Чым VLESS лепшы за WireGuard і OpenVPN?
Не хуткасцю і не крыптаграфіяй, а тым, наколькі цяжка яго апазнаць. WireGuard і OpenVPN — пратаколы з пазнавальнай сігнатурай: рукапацісканне ў іх фіксаванае, і абсталяванне глыбокай інспекцыі распазнае яго па першых байтах, пасля чаго злучэнне абрываецца ці запавольваецца. VLESS мінімізуе службовыя даныя і хаваецца пад звычайны TLS, таму звычайна праходзіць там, дзе пратаколы з прыкметнай сігнатурай адвальваюцца.
Што трэба ўсталяваць, каб карыстацца VLESS?
Кліент з падтрымкай гэтага пратакола: Happ на тэлефоне і камп'ютары, Koala Clash на дэсктопе; Outline не падыдзе, ён працуе толькі з ShadowSocks. Дастаткова ўставіць ключ падключэння з асабістага кабінета ці з бота — канфігурацыя падцягнецца аўтаматычна. Даступнасць Happ у расійскім App Store час ад часу мяняецца, таму актуальную спасылку на ўсталёўку глядзіце ў асабістым кабінеце. Калі трафік патрэбны толькі ў браўзеры, падыдзе наша пашырэнне для Chrome: ключ яму не патрэбны, дастаткова ўваходу ў акаўнт.
Што выбраць: VLESS ці ShadowSocks?
Пачынайце з VLESS — ён звычайна ўстойлівейшы да прасунутага аналізу трафіку. Калі ў мабільнай сетцы злучэнне паднімаецца павольна ці часта рвецца пры пераключэнні паміж вышкамі, паспрабуйце ShadowSocks: ён прасцейшы і лягчэйшы. Абодва пратаколы даступныя на адным акаўнце, пераключэнне займае некалькі секунд і робіцца ўручную ў кліенце.
Чаму VLESS часам усё роўна перастае працаваць?
Таму што ўмовы ў сетках мяняюцца: правайдары спрабуюць новыя метады аналізу і абмяжоўваюць доступ да канкрэтных адрасоў і даменаў. У такіх выпадках звычайна дапамагае змена сервера ці пратакола ў кліенце, а калі маршрут перастае працаваць, доступ аднаўляецца без вашага ўдзелу — пераналаджваць кліент не трэба. Ніводзін пратакол не дае пастаяннай незаўважнасці без суправаджэння.
Гатовыя да стабільнага інтэрнэту?