VLESS, Reality и XTLS-Vision: что внутри ссылки для Happ

Что такое VLESS, зачем к нему Reality и XTLS-Vision и почему соединение, неотличимое от обычного TLS, работает там, где классические протоколы уже не подключаются.

Внутри ссылки-подписки для Happ почти всегда лежат серверы VLESS — чаще всего с Reality. Именно из-за этого сочетания современные сервисы работают там, где классический туннель молчит. Разберём без формул, что это значит.

Почему старые протоколы перестают работать

WireGuard, IPsec, PPTP — честные протоколы: их трафик легко узнать. У каждого свой «почерк» — заголовки пакетов, порты, последовательность рукопожатия. Оборудование анализа трафика (DPI) у оператора видит этот почерк и режет соединение или душит скорость. Сила шифрования тут ни при чём: определить «это туннель» и расшифровать туннель — разные задачи, и для первой ключ не нужен.

Поэтому у современных протоколов другая идея: не прятать содержимое сильнее, а сделать соединение неотличимым от обычного захода на обычный сайт.

Что такое VLESS

VLESS — лёгкий транспортный протокол из семейства Xray. Сам по себе он почти ничего не делает: собственного шифрования нет, только минимальный заголовок с идентификатором пользователя (тот самый UUID в ссылке). Шифрование и маскировку даёт транспортный слой — TLS, а в современных сборках Reality.

Разложим типичную ссылку vless://… на части:

Эти параметры сервис прописывает сам; вы их не редактируете, а получаете по ссылке-подписке.

Reality: соединение, похожее на настоящий сайт

Reality решает главную слабость TLS-маскировки — сертификат. Раньше серверу нужен был свой домен и сертификат, и DPI мог заметить: «сайт с таким именем никому не известен, а трафика на него много». Reality вместо этого «одалживает» рукопожатие настоящего крупного сайта: для всех, кто смотрит со стороны, ваше устройство открывает именно его — с его настоящим сертификатом. И только клиент, знающий ключ pbk, получает от сервера скрытый ответ и начинает передавать трафик внутри.

Проверяющий, который сам подключится к адресу сервера, увидит обычный сайт. Своего домена и сертификата у сервиса нет — заметить нечего.

XTLS-Vision: без «шифрования в шифровании»

Внутри туннеля тоже идёт TLS — у сайтов, которые вы открываете. Шифровать его повторно бесполезно и заметно: у двойного шифрования узнаваемый рисунок размеров пакетов. Vision убирает эту двойную работу: после рукопожатия внутренний TLS-поток идёт через туннель почти как есть. Это быстрее и естественнее выглядит со стороны.

Другие протоколы, которые может выдать сервис

• VMess — предшественник VLESS, тяжелее, встречается в старых подписках.
• Trojan — тоже маскировка под HTTPS, но требует собственного домена и сертификата.
• Shadowsocks — простой и быстрый, но легче определяется.
• Hysteria 2 — работает поверх UDP, хорош на плохих каналах, но не везде проходит.

Какой протокол используется — решает сервис. У Вятка основа — VLESS с Reality; что это значит для приватности.