VLESS простими словами
Уявіть конверт, у який вкладено дані, і адресу отримувача на ньому. Класичний VPN-протокол пише на конверті свою зворотну адресу і ставить фірмову печатку: одразу видно, що це лист від VPN. VLESS влаштований інакше — він робить службову частину мінімальною. Історично власного шифрування в нього не було зовсім: цим займався TLS, той самий механізм, що захищає банківські сайти та пошту. З 2025 року в Xray з'явився і рідний шар шифрування, але на практиці VLESS і далі використовують у зв'язці з TLS. Усе інше залишилося колишнім: немає складного рукостискання зі своїми розпізнавальними ознаками, немає зайвих службових полів. Ззовні виходить потік TLS до якогось домену, за формою схожий на мільйони інших таких самих потоків. Звідси й назва: літера V від початкової сім'ї протоколів, less — тобто «менше», менше службового навантаження. Саме ця мінімальність ускладнює класифікацію: явних зачіпок у фільтрувального обладнання стає менше. Повної непомітності це не дає — аналіз вкладеного TLS давно описаний і застосовується на практиці, — але задача розпізнавання стає помітно складнішою. Звідси практична вимога: VLESS майже завжди працює разом із TLS, а в режимі REALITY клієнт спирається на рукостискання стороннього сайту, тож власного доменного імені для цього не потрібно. Без зовнішньої обгортки протокол втрачає головну перевагу і перетворюється на звичайний незахищений тунель.
Чим VLESS відрізняється від OpenVPN і WireGuard
OpenVPN і WireGuard проєктувалися для іншої задачі — надійно з'єднати офіс з офісом у мережі, де ніхто не заважає. Вони чудові технічно, але це протоколи з упізнаваною сигнатурою. У OpenVPN це характерне рукостискання і структура пакетів, у WireGuard — короткі UDP-датаграми фіксованого формату та помітний перший обмін ключами. Річ не у віці: криптографія в обох сучасна, проблема саме в передбачуваності перших байтів. Системі глибокої інспекції трафіку їх зазвичай достатньо, щоб класифікувати з'єднання і обірвати його або знизити швидкість до непридатної. Звідси типова скарга на сервіси, побудовані на таких протоколах: підключення піднімається і через хвилину падає. VLESS розв'язує не проблему шифрування, а проблему помітності. Він не швидший за WireGuard у лабораторних умовах і не безпечніший за нього сам по собі — він просто частіше проходить там, де решта не проходить. Це ж пояснює, чому порівнювати протоколи у відриві від конкретної мережі безглуздо. Там, де трафік ніхто не розбирає, різниця зводиться до кількох відсотків накладних витрат, а там, де інспекція активна, вона перетворюється на різницю між робочим і неробочим підключенням.
Що таке ядро XRay
VLESS — це опис протоколу, а не програма. Працює він усередині ядра — рушія, який уміє приймати з'єднання, застосовувати правила маршрутизації й загортати трафік у різні транспорти. Найпоширеніше таке ядро називається XRay; на ньому побудовані популярні клієнти, зокрема Happ. Ядро відповідає за те, що відбувається навколо протоколу: який транспорт використовувати поверх TLS, як маскувати з'єднання під вебтрафік, які домени пускати напряму повз тунель, як перепідключатися при обриві. Друге поширене ядро — Mihomo, на якому працює Koala Clash. Користувачеві відмінності між ядрами майже не видно: обидві програми приймають один і той самий ключ підключення і самі розбирають конфігурацію. Знати про ядро корисно лише в одному випадку — коли обираєте клієнт під свою систему. Ще одна задача ядра — роздільна маршрутизація: локальні сайти й банківські застосунки можна пустити напряму, а все інше відправити в тунель. Правила описані в конфігурації і приходять разом із ключем, тому вручну їх зазвичай не налаштовують.
Де VLESS швидший за ShadowSocks і коли навпаки
ShadowSocks старший і простіший: це легке проксі з AEAD-шифруванням поверх звичайного TCP або UDP, без жодного шару TLS. Його вигадали для того, щоб фільтрація за вмістом не могла розібрати потік. Завдяки простоті він дає мінімальні накладні витрати і дуже швидко піднімає з'єднання, тому добре почувається в мобільних мережах зі слабким сигналом і частими перемиканнями між вишками. VLESS виграє там, де аналіз трафіку розумніший: маскування під звичайний TLS-потік, як правило, переживає активне зондування, яке ShadowSocks іноді не переживає. На стабільному дротовому каналі і у важких сценаріях — відео у високій роздільній здатності, великі завантаження, довгі з'єднання — VLESS зазвичай рівніше тримає швидкість. У мережах, де важливіші миттєвий відгук і ощадна витрата батареї, ShadowSocks нерідко виявляється приємнішим. Універсального переможця немає, є придатний під умови інструмент. Перевіряти краще емпірично: увімкніть один протокол на пару днів у своїх звичайних сценаріях, потім інший, і порівнюйте не пікові цифри з тесту швидкості, а відчуття від вечірнього відео та завантаження сторінок.
Чому ми даємо обидва протоколи
Умови в мережах влаштовані по-різному і змінюються в часі: в одного провайдера ввечері гірше проходить одне, в іншого вранці — інше. Тому RobinGood VPN видає на одному акаунті і VLESS, і ShadowSocks: якщо у вашій мережі сьогодні гірше працює один варіант, ви перемикаєтеся на другий прямо в клієнті, не змінюючи тариф і не заводячи новий ключ. Доповнюють картину MTProto-проксі для трафіку месенджера і HTTPS-проксі для браузерних сценаріїв. Якщо маршрут перестає працювати, доступ відновлюється без вашої участі — переналаштовувати клієнт не потрібно. При цьому автоматичного перемикання між протоколами немає: сервер і протокол вибираєте ви самі, і займає це кілька секунд. До цього додаються клієнти на різних ядрах: XRay у Happ і Mihomo в Koala Clash по-різному поводяться в окремих мережах, і наявність альтернативи іноді розв'язує питання швидше за будь-яке листування. Якщо допомога все-таки потрібна, є Telegram-бот підтримки, а коли месенджер недоступний — пошта support@rgvpn.pro.
Що це означає на практиці
Користувачеві не потрібно розуміти будову протоколу, щоб ним користуватися. Достатньо взяти ключ підключення в особистому кабінеті або в боті і вставити його в клієнт: Happ на телефоні та комп'ютері, Koala Clash на десктопі. Outline для VLESS не підійде — він уміє тільки ShadowSocks. Якщо тунель потрібен винятково в браузері, є наше розширення для Chrome: ключ йому не потрібен, достатньо увійти в акаунт RobinGood. Клієнт сам розбере конфігурацію, підніме з'єднання і обере транспорт. Якщо сторінка не відкривається або швидкість просіла, розумний порядок дій такий: змінити сервер, потім протокол, потім перезапустити клієнт. Скільки пристроїв працює на одному акаунті, залежить від тарифу — ліміт указано в його описі; у межах цього ліміту телефон, ноутбук і телевізор можуть використовувати різні протоколи одночасно, це нормально і іноді корисно. Окрема історія — роутер: на стоковій прошивці VLESS зазвичай не заводиться, на Keenetic і OpenWrt потрібні додаткові пакети на кшталт Entware і XKeen, зате налаштування робиться один раз для всієї домашньої мережі. Ключ підключення варто зберігати не тільки в листуванні: збережіть його в менеджері паролів, щоб налаштувати новий пристрій без звернення в підтримку. При зміні телефона достатньо вставити той самий ключ у клієнт.
Чого VLESS не робить
Корисно розуміти межі. Рідний шар шифрування з'явився в протоколу лише у свіжих версіях Xray, і на практиці безпеку, як і раніше, забезпечує TLS поверх нього — без зовнішньої обгортки з'єднання залишається незахищеним. Він не робить вас анонімним: сайти, як і раніше, впізнають вас за акаунтами, куками та відбитком браузера, а сервіс на іншому кінці тунелю технічно бачить з'єднання. Він не захищає від шкідливих програм і фішингу, бо розв'язує транспортну задачу, а не задачу фільтрації вмісту. І він не дає вічної непомітності: методи інспекції трафіку розвиваються — аналіз вкладеного TLS та активне зондування давно не теорія, — а разом із ними змінюються транспорти та способи маскування. Стійкість підключення — результат не одного протоколу, а постійного супроводу інфраструктури. Впн будь-якого покоління варто сприймати як інструмент із зрозумілою сферою застосування, а не як універсальний щит. Нарешті, протокол не скасовує базової гігієни: оновлена система, актуальний браузер і увага до попереджень про сертифікати значать для безпеки не менше, ніж вибір транспорту.
Часті запитання
Чи шифрує VLESS трафік?
Шифрування в цій зв'язці забезпечує насамперед TLS, яким огорнуто з'єднання, — той самий механізм, що захищає банківські сайти, тому на практиці дані закриті не гірше. У нових версіях Xray у самого протоколу з'явився і власний шар шифрування, але звична схема залишилася колишньою: VLESS усередині, TLS зовні. Такий поділ і дозволяє з'єднанню виглядати як звичайний вебтрафік.
Чим VLESS кращий за WireGuard і OpenVPN?
Не швидкістю і не криптографією, а тим, наскільки важко його розпізнати. WireGuard і OpenVPN — протоколи з упізнаваною сигнатурою: рукостискання в них фіксоване, і обладнання глибокої інспекції розпізнає його за першими байтами, після чого з'єднання обривається або сповільнюється. VLESS мінімізує службові дані і ховається під звичайний TLS, тому зазвичай проходить там, де протоколи з помітною сигнатурою відпадають.
Що потрібно встановити, щоб користуватися VLESS?
Клієнт із підтримкою цього протоколу: Happ на телефоні та комп'ютері, Koala Clash на десктопі; Outline не підійде, він працює тільки з ShadowSocks. Достатньо вставити ключ підключення з особистого кабінету або з бота — конфігурація підтягнеться автоматично. Доступність Happ у російському App Store час від часу змінюється, тому актуальне посилання на встановлення дивіться в особистому кабінеті. Якщо трафік потрібен лише в браузері, підійде наше розширення для Chrome: ключ йому не потрібен, достатньо входу в акаунт.
Що обрати: VLESS чи ShadowSocks?
Починайте з VLESS — він зазвичай стійкіший до просунутого аналізу трафіку. Якщо в мобільній мережі з'єднання піднімається повільно або часто рветься при перемиканні між вишками, спробуйте ShadowSocks: він простіший і легший. Обидва протоколи доступні на одному акаунті, перемикання займає кілька секунд і робиться вручну в клієнті.
Чому VLESS іноді все одно перестає працювати?
Тому що умови в мережах змінюються: провайдери пробують нові методи аналізу і обмежують доступ до конкретних адрес і доменів. У таких випадках зазвичай допомагає зміна сервера або протоколу в клієнті, а якщо маршрут перестає працювати, доступ відновлюється без вашої участі — переналаштовувати клієнт не потрібно. Жоден протокол не дає постійної непомітності без супроводу.
Готові до стабільного інтернету?