VLESS Reality: гайд протокола для VPN-пользователей в 2026

Если ищешь VPN, работающий в России, Иране, Китае или Пакистане в 2026, наверняка наткнулся на ту же стену, что и все. Handshake WireGuard убивается за секунды. OpenVPN едва лучше. Большинство «stealth» или «obfuscated» режимов крупных брендов тоже пэттерн-матчатся.

Протокол, который держится — VLESS Reality. Это техническая причина, почему небольшой набор consumer-VPN (включая Fexyn) продолжает работать в DPI-тяжёлых сетях, пока известные имена блокируются.

Это длинная версия. Что Reality реально, почему работает, где не, и где находится относительно других протоколов обхода цензуры.

Что такое VLESS Reality

VLESS — транспортный протокол из проекта XRay-core, изначально построенный разработчиками в Китае, которым нужно было что-то, что Великий китайский файрвол не мог детектить.

Reality — фича поверх VLESS, выпущена в Xray-core v1.8.0 в начале 2023. Ранние трюки обфускации пытались делать VPN-трафик похожим на HTTPS. Reality не аппроксимирует. Делает настоящий TLS 1.3 handshake к настоящему публичному сайту и форвардит реальный сертификат сайта клиенту.

Три вещи реальны:

TLS-handshake — настоящий TLS 1.3, байт-в-байт идентичный тому, что отправил бы браузер.
Сертификат, возвращаемый сервером — настоящий сертификат, подписанный настоящим CA, для настоящего домена вроде www.microsoft.com.
Цель handshake — настоящий production-сайт, уже обслуживающий миллионы легитимных пользователей.

Нет ничего фейкового для детекта. Обман структурный: спрятан внутри handshake, маленький кусок pre-shared криптографического материала идентифицирует аутентифицированных клиентов. Всё, что наблюдатель может видеть — настоящий HTTPS к хосту, который не могут позволить заблокировать.

Почему «выглядит как HTTPS» было недостаточно

DPI не нужно расшифровывать трафик, чтобы идентифицировать протокол, его несущий. Просто нужно распознать форму трафика на проводе.

Инициация handshake WireGuard всегда ровно 148 байт, с 1-байтовым полем типа, тремя зарезервированными нулевыми байтами, 4-байтовым sender index и 32-байтовым эфемерным публичным ключом. Структура не варьируется. ТСПУ России может детектить WireGuard с почти 100% точностью на первом пакете.

OpenVPN имеет тайминги и узнаваемый control-channel фрейминг. Великий китайский файрвол блокирует надёжно годами.

Ранние инструменты обфускации пробовали уклоняться:

obfs4 оборачивает трафик в слой, спроектированный выглядеть случайным шумом. Потом DPI начал флагать высокоэнтропийные потоки, не совпадающие с известным протоколом. Случайный шум выделяется, когда вокруг всё структурировано.
Shadowsocks имеет ту же энтропийную проблему. AEAD-варианты помогли, но отсутствие TLS-handshake осталось детектируемым. Китайский DPI флагает Shadowsocks-потоки, когда показывают высокоэнтропийные нагрузки с первого пакета без предшествующего handshake.
Trojan пошёл дальше, делая настоящий TLS-handshake и обслуживая реалистичный сайт неаутентифицированным проберам. Слом: Trojan использует self-issued сертификат, и Certificate Transparency-логи делают эти сертификаты тривиально отличимыми от настоящих Microsoft или Cloudflare-сертификатов, которые они пытаются имитировать.

Паттерн через все: пытались имитировать нормальный трафик, не будучи им. При достаточном анализе имитация ломается.

Как Reality реально работает

Шаг за шагом, что происходит при подключении клиента:

1. ClientHello. Клиент Fexyn открывает TCP-соединение к серверу Fexyn и шлёт TLS 1.3 ClientHello. Поле SNI несёт реальный hostname настоящего публичного сайта (используем ротирующийся набор высокотрафиковых целей — www.microsoft.com каноничный пример). ClientHello генерируется uTLS, мимикрирующим текущий Chrome, Firefox или Safari фингерпринт точно. Любой DPI, смотрящий на ClientHello, видит нормальный браузер, открывающий соединение к Microsoft.

2. Аутентификация внутри handshake. Скрытый внутри key-share extension (TLS 1.3 держит зашифрованным от пассивного наблюдения), клиент передаёт shortId плюс X25519 публичный ключ. Сервер валидирует. Аутентификация невидима снаружи handshake.

3. Сервер подключается к реальной цели. Параллельно с шагом 2, сервер Fexyn открывает своё TLS-соединение к настоящему www.microsoft.com. Делает легитимный handshake. Microsoft не знает и не волнует, что Fexyn это делает; выглядит как ещё один reverse proxy.

4. Реальный сертификат форвардится назад. Цепочка сертификатов, возвращаемая Microsoft, передаётся клиенту. Клиент верифицирует так же, как браузер. Цепочка настоящая, SCT в Certificate Transparency, эмитент — публичный CA.

5a. Аутентифицированные клиенты туннелируются. Если шаг 2 прошёл, сервер использует установленную TLS-сессию как транспорт для VLESS-фреймов. VPN-данные текут внутри того, что выглядит как HTTPS-сессия к Microsoft.

5b. Неаутентифицированные клиенты форвардятся. Если пробер цензора подключается без валидных credentials, сервер прозрачно проксирует к настоящему www.microsoft.com. Получают настоящий контент Microsoft. Настоящие заголовки. Настоящие TLS-записи. Настоящее всё. Сервер неотличим от легитимного reverse proxy перед Microsoft.

Это вся игра. Пассивный наблюдатель видит HTTPS к Microsoft. Активный пробер получает Microsoft. Единственное, что отличает реального Reality-клиента от любого другого посетителя Microsoft — зашифрованный shortId в key-share extension, который цензор не читает.

Устойчивость к активному зондированию

Цензоры не только пассивно анализируют. Зондируют.

Когда GFW видит соединение, могущее быть прокси, отправляет своё соединение к тому же серверу за минуты. Если ответ сервера отличается от легитимного сервиса, IP блокируется.

Так каждое развёртывание Trojan рано или поздно ловится. Пробер подключается, проваливает аутентификацию, и сервер возвращает заглушку-страницу. Заглушка может работать как HTML, но сертификат не совпадает с тем, что Certificate Transparency говорит о домене. Или HTTP response headers слегка отличаются от настоящего ПО, которым домен заявляет управляться. Мелкие несоответствия, но достаточно.

У Reality нечего сравнивать, потому что нет фейка. Активный пробер подключается к настоящему Microsoft. Тот же сертификат, что Certificate Transparency ожидает. Те же заголовки, что Microsoft отдаёт. Тот же контент, что Microsoft хостит. Нет несоответствий.

Единственная оставшаяся атака — IP-репутация: замечать, что IP получает соединения от residential и также проксирует к Microsoft, и этот паттерн необычен. ТСПУ России имел ограниченный успех с этим, блокируя часть VPS-диапазонов, совпадающих с паттерном. Скорость детекта против правильно развёрнутого Reality с residential-выглядящих IP всё ещё под 5% по сообществу до начала 2026.

Vision flow и почему важно TLS-in-TLS

Стоит понять одну тонкость. Когда туннелируешь VPN-трафик внутри TLS-соединения, каждый посещаемый HTTPS-сайт через туннель генерирует свой TLS-handshake. Это создаёт TLS-записи, вложенные в TLS-записи: «TLS-in-TLS» паттерн, видимый через анализ трафика, даже когда данные зашифрованы.

XTLS Vision flow (xtls-rprx-vision) детектит, когда внутренняя нагрузка уже TLS-protected, и пропускает с минимальной дополнительной обёрткой. Внешний Reality TLS обрабатывает аутентификацию и фрейминг; внутренний application TLS течёт без избыточного шифрования.

Статья USENIX 2024 подтвердила, что VLESS+Vision-трафик статистически неотличим от прямого HTTPS-соединения к камуфляж-хосту, даже под анализом размера пакетов и таймингов. Без Vision паттерн TLS-in-TLS оставался бы жизнеспособным сигналом детекта.

Fexyn поставляет VLESS Reality с Vision flow по умолчанию. Думать об этом не надо.

Почему это важно: гонка вооружений DPI

Битва на уровне протокола в 2026 идёт на трёх фронтах.

ТСПУ России работает с 2021 и сейчас сидит у каждого лицензированного российского провайдера. Блокирует WireGuard, OpenVPN, IKEv2, L2TP, plain VLESS без Reality и SOCKS5 с высокой точностью. Роскомнадзор заблокировал 469 VPN-сервисов поимённо на февраль 2026. Россия также экспериментирует с блокировкой generic VLESS (без Reality) с конца 2025. Reality с Vision всё ещё проходит, потому что камуфляж-хост — то, что Роскомнадзор не может заблокировать без ломки essential-сервисов.

GFW Китая был самой сложной средой для VPN с минимум 2009. Эскалация апреля 2026 физически отключила тысячи relay-серверов и добавила энтропийный анализ, инспекцию QUIC SNI и идентификацию DoH. Детект Shadowsocks теперь 30–60% точности. Reality продолжает работать, потому что камуфляж-флоу выглядит как нормальный HTTPS к хосту, который GFW не может заблокировать.

Иранский TLS-fingerprint MITM — другой зверь. Иранская инфраструктура фильтрации делает частичный MITM на TLS-handshakes в периоды волнений, ища фингерпринты протоколов внутри зашифрованного трафика. Plain WireGuard и OpenVPN не выживают. Reality — да, потому что handshake Reality по конструкции — настоящий handshake к настоящему сайту.

BTK-обязательный DPI Турции, давление PTA Пакистана (декабрь 2025) и фильтрация TE Data Египта запускают облегчённые версии того же playbook. Фильтрация на уровне протокола эскалирует; Reality продолжает адаптироваться, потому что нет фейкового handshake для фингерпринта.

VLESS Reality vs другие протоколы

Протокол	Устойчивость к DPI	Скорость	Зрелость	Когда использовать
WireGuard	Нет — фингерпринтится по 148-байтовой инициации	Самый быстрый	Production	Открытые сети. Везде без активной фильтрации VPN.
OpenVPN	Низкая — узнаваемый handshake и тайминги	Медленнее WireGuard	Зрелый	Fallback совместимости. Легко-фильтруемые сети.
Shadowsocks (AEAD)	Средняя — энтропийный анализ ловит в Китае	Быстрый	Зрелый	Старые китайские сети до эскалации 2024.
V2Ray VMess	Низкая-средняя	Средняя	Стареет	Legacy XRay-развёртывания.
Trojan-GFW	Средняя — ловится несоответствием certificate-transparency	Быстрый	Зрелый	Улучшение над Shadowsocks; всё ещё детектируем.
Hysteria 2	Средняя — QUIC-фингерпринты	Очень быстрый на сетях с потерями	Свежий	Мобильные сети с высокими потерями; легко-цензурируемые среды.
NaiveProxy	Высокая — использует сетевой стэк Chrome	Средняя	Свежий	Когда нужна browser-grade неотличимость для HTTP/2.
VLESS Reality + Vision	Высочайшая — настоящий TLS, настоящий сертификат, настоящая цель	Средняя (TCP-handshake оверхед)	Production	Россия, Китай, Иран, ОАЭ, Саудовская Аравия, Пакистан, Турция. Везде с активным DPI.

Честное саммари: в любой стране, не пытающейся активно блокировать VPN-трафик, WireGuard выигрывает по скорости. Как только сеть начинает фильтровать протоколы, ответ — Reality-вариант, который поставляет провайдер. У Hysteria преимущества скорости на сетях с потерями, но QUIC-фингерпринт всё ещё сигнал детекта. NaiveProxy технически силён, но имеет меньший развёрнутый footprint, что значит меньше провайдеров его поставляют и меньше пользователей для blend-in.

Сравнили крупные протоколы обхода цензуры детально, если хочешь глубже таблицы.

Почему большинство крупных VPN не поставляют Reality

Это вопрос, который у нас был до старта Fexyn, и у него несколько ответов.

Reality требует XRay-core. XRay — Go-кодовая база, изначально построенная для self-hoster-ов в Китае. Крупные VPN-бренды поставляют свои стэки протоколов (NordLynx у NordVPN кастомный WireGuard, Lightway у ExpressVPN кастомный, Mullvad и ProtonVPN — модифицированный WireGuard). Никто из них не перестроил серверный флот и клиенты вокруг open-source кодовой базы из другой экосистемы. Сделать правильно — серьёзный инженерный проект.

Reality требует настоящих камуфляж-целей. Нельзя направить Reality на свой домен. Цензор заметит, что тысячи пользователей подключаются к домену, хостящемуся на той же VPS, что и VPN-сервер. Нужно использовать крупные публичные сайты (Microsoft, Cloudflare, Apple) и маршрутизировать прозрачно. Крупные VPN-бренды эту инфраструктуру не построили.

Reality сложнее поддерживать. Когда Reality-соединение падает, режимы провалов ветвятся: камуфляж-домен, shortId, X25519-ключи, uTLS-фингерпринт, соединение сервера к камуфляж-цели или полдюжины других. WireGuard падает тремя способами, и каждый диагностируется за 30 секунд. Reality требует больше глубины в поддержке.

Большинству VPN не приходилось. Если клиентская база в США, UK и Германии, WireGuard работает нормально. Reality moat существует для пользователей в странах, где WireGuard не работает. Это меньший коммерческий рынок, поэтому бренды, оптимизированные под больший, не инвестируют.

Мы сделали обратный выбор. Fexyn построен прежде всего для пользователей на цензурно-тяжёлых рынках: Россия, Турция, Залив, Пакистан, Иран. На этих рынках Reality — не фича. Это единственное, что работает.

Как Fexyn поставляет Reality

Fexyn Stealth — наша продуктизация VLESS Reality с Vision flow. Технические детали:

Сторона сервера: XRay-core v26+ на каждом сервере Fexyn (Frankfurt, Helsinki, Cyprus, Ashburn).
Камуфляж-цели: ротирующийся набор высокотрафиковых публичных сайтов; клиент получает полную конфигурацию из нашего API во время подключения, чтобы цель обновлялась без релиза клиента.
uTLS-фингерпринт: совпадает с текущими Chrome, Firefox, Safari фингерпринтами; обновляем по мере обновления браузеров.
Аутентификация: per-device shortId плюс per-server X25519-ключи, ротируемые каждые 24 часа через нашу PKI.
Vision flow: включён по умолчанию, устраняет TLS-in-TLS паттерн.

Большинству трогать ничего не надо. Движок ротации Fexyn пробует Fexyn Bolt (WireGuard) первым, потому что быстрее. Если Bolt блокируется или троттлится, клиент переключается на Stealth автоматически. Настраивать ничего не надо.

В странах, где Bolt известно не работает (Россия, Иран, Китай), зафиксируй Stealth дефолтом в настройках. Документируем это на страновых страницах.

Когда Reality — неправильный ответ

Reality не бесплатен.

Задержка. Reality добавляет около 100 мс к установке соединения по сравнению с WireGuard из-за дополнительного TLS-handshake к камуфляж-цели. После этого продолжающийся трафик примерно как любая другая TLS-сессия.
TCP-оверхед. Reality работает поверх TCP. WireGuard поверх UDP. На сетях с потерями (мобильные, перегруженный Wi-Fi) head-of-line блокировка TCP вызывает occasional тормоза, которых UDP избегает.
CPU на клиенте. TLS 1.3 handshake Reality тяжелее, чем Noise handshake WireGuard. На старых телефонах или low-power машинах разницу заметишь во время подключения.

Если подключаешься с сети без DPI (домашнее в Берлине, аэропорт в Амстердаме, офис в Торонто) — нет причин платить эти расходы. WireGuard быстрее, проще, работает.

Решение по сути: пытается ли что-то между тобой и открытым интернетом блокировать VPN? Если да — Stealth. Если нет — Bolt. Приложение Fexyn делает это автоматически по умолчанию.

Реальные показатели детекта

По тестам сообщества и нашей серверной телеметрии до начала 2026:

Страна	WireGuard	OpenVPN	VLESS Reality
Россия (ТСПУ)	Блокируется мгновенно	Блокируется или троттлится	~95% успеха
Китай (GFW)	Блокируется	Блокируется	Работает, occasional IP-блоки
Иран	Блокируется	С перебоями	Работает
Турция (BTK)	Блокируется во время инцидентов	Троттлится	Работает
ОАЭ (Etisalat / du)	Троттлится	Троттлится	Работает
Пакистан (PTA)	Заблокирован с декабря 2025	Блокируется	~80% успеха
Саудовская Аравия (CITC)	Троттлится, варьируется по оператору	Троттлится	Работает

Российский success rate ограничен в основном IP-репутационной блокировкой на конкретных VPS-диапазонах, не детектом протокола. 80% Пакистана отражает то, что DPI PTA усиливается, и даже Reality occasional деградирует на конкретных операторах в конкретное время. Ни один протокол не даёт 100% надёжности везде; Reality — ближайшее в 2026.

Часто спрашивают

VLESS Reality — это то же, что VLESS?

Нет. VLESS — базовый протокол. Reality — транспортный слой, оборачивающий VLESS в настоящий TLS 1.3 handshake к настоящему публичному сайту. Можно запускать VLESS без Reality (большинство ранних развёртываний), но plain VLESS теперь блокируется в России и нескольких других DPI-средах. Когда говорят «VLESS» в 2026, почти всегда имеют в виду VLESS Reality с Vision flow.

Может ли GFW заблокировать Reality?

Чтобы заблокировать полностью, Китаю нужно блокировать камуфляж-хост — Microsoft, Cloudflare, Apple. Это сломало бы essential бизнес-сервисы для китайских пользователей. Пока Китай не готов платить эту цену. Активная блокировка против Reality — на уровне IP-репутации, ловящем часть развёртываний, но не все.

Почему форвардить к Microsoft, а не использовать свой домен?

Если бы использовали Fexyn-контролируемый домен как камуфляж-цель, каждое соединение шло бы к Fexyn-IP. Цензор заметил бы паттерн: residential пользователи, подключающиеся к fexyn-something.com — узнаваемый VPN-клиент. Использование настоящего публичного сайта значит, что наши соединения сливаются с миллионами легитимных соединений к тому сайту каждый день.

Чем отличается от «stealth» или «обфусцированных» режимов NordVPN, ExpressVPN, ProtonVPN?

Эти режимы оборачивают WireGuard или OpenVPN в TLS-подобный паддинг. Обёртка делает трафик TLS-формы, но это не настоящий TLS-handshake — нет настоящего сертификата и настоящей цели. DPI в России, Иране и нескольких других рынках пэттерн-матчит этот стиль обфускации с 2023. Reality структурно другой: нет обёртки, handshake — настоящий.

Нужно ли мне настраивать Reality самому?

В Fexyn — нет. Зарегистрируйся, установи приложение, подключись. Приложение выбирает протокол под сеть. На цензурно-тяжёлых рынках зафиксируй Stealth в настройках, чтобы пропустить авто-детект.

Что насчёт Hysteria, NaiveProxy, TUIC?

Все интересные протоколы. Hysteria 2 отличен на сетях с потерями. NaiveProxy использует сетевой код Chrome — browser-grade неотличимость. TUIC — QUIC-based дизайн с многообещающими свойствами. Ни один не имеет комбинации Reality: (а) настоящий TLS к настоящим публичным сайтам, (б) Vision flow, устраняющий детект TLS-in-TLS, (в) развёрнутый footprint, достаточно крупный для blend-in. Мониторим; сейчас Reality — сильнейший доступный выбор для рынков, которые мы обслуживаем.

Заблокирует ли Россия Reality следующим?

Россия исследует. Бюджет Роскомнадзора 2026 включает ~20 млрд рублей в год на «постоянную инфраструктуру VPN-цензуры». Но архитектурная проблема реальна: Reality нельзя заблокировать без блокировки камуфляж-хоста, и камуфляж-хосты — сайты, которые Россия не может позволить сломать. Прагматичный ответ: Reality продолжит работать, пока Россия не готова сломать Microsoft и Cloudflare для обычных пользователей, к чему пока не готова. Следим за ситуацией и обновим эту страницу по мере эволюции.

Если ты в стране, где стандартные VPN-протоколы перестают работать, попробуй Fexyn бесплатно 7 дней. Карта не нужна. Stealth (VLESS Reality с Vision flow) включён в каждый план. Используем Tier 4 цены ($2.99/мес) для России, Пакистана и других рынков. Крипто-only биллинг для России; карта или крипто везде ещё.

Дальше: VLESS Reality на Fexyn, Как VLESS Reality делает VPN-трафик невидимым для цензоров, DPI объяснён, карта цензуры.