VLESS Reality — это способ запустить зашифрованный прокси, который для всего, что наблюдает за сетью, выглядит как обычное посещение реального сайта. Он сочетает лёгкий транспорт VLESS из Xray с рукопожатием REALITY, которое заимствует отпечаток TLS у настоящего сайта, так что глубокой инспекции пакетов не за что зацепиться. Настройка занимает один небольшой сервер и около пятнадцати минут.

Коротко: вы арендуете сервер за пределами фильтруемой сети, ставите на него Xray, включаете входящее соединение VLESS с безопасностью REALITY и импортируете сгенерированную ссылку в клиентское приложение. REALITY делает самое сложное: он делает рукопожатие TLS вашего сервера неотличимым от рукопожатия настоящего популярного сайта — именно поэтому это сочетание всё ещё проходит там, где более старые инструменты блокируются.

Главное

  • VLESS — это транспорт Xray без излишеств. Сам по себе он не несёт шифрования, поэтому его всегда сочетают со слоем безопасности — здесь это REALITY.
  • REALITY — это и есть тот самый приём: он заставляет ваш сервер предъявлять рукопожатие TLS реального стороннего сайта, побеждая и снятие отпечатков, и активное зондирование, и при этом не требуя собственного домена или сертификата.
  • Это самостоятельное размещение. Вам нужен собственный сервер (дешёвый VPS) в нефильтруемой локации — никакого аккаунта регистрировать не надо.
  • Два распространённых пути настройки: веб-панель 3x-ui (проще всего) или написанный вручную конфиг Xray (больше контроля). Оба разобраны ниже.
  • Он мощный, но управлять им вам: один сервер, без резервирования и постоянное обслуживание — вот реальная цена.

Что такое VLESS Reality на самом деле

Три части складываются вместе, и их полезно разделить.

Xray (Xray-core) — это движок прокси, активно поддерживаемый потомок проекта V2Ray. Он говорит на нескольких протоколах; VLESS — один из них.

VLESS — намеренно минималистичный транспортный протокол. Само название указывает на то, чего в нём нет: там, где более старый протокол VMess делал собственное шифрование и аутентификацию по меткам времени, VLESS отбрасывает всё это и не несёт никакого собственного шифрования. Это звучит как шаг назад, пока не увидишь смысл. Оставаясь в стороне, VLESS позволяет выделенному слою безопасности заниматься шифрованием — с меньшими накладными расходами и более чистой сигнатурой на проводе.

REALITY — это и есть тот слой безопасности, и именно ради него вся эта настройка стоит хлопот. Задача, которую он решает, конкретна. Обычный TLS-прокси обязан предъявить сертификат, а сертификат — это отпечаток. Самоподписанные сертификаты выглядят подозрительно; сертификат для вашего собственного домена привязывает сервер к вам и поддаётся перечислению. Хуже того, системы цензуры запускают активные пробы: они сами подключаются к подозрительному серверу, чтобы посмотреть, как он себя ведёт. Большинство маскировок этот тест проваливает.

Ответ REALITY — перестать притворяться и начать заимствовать. Вместо того чтобы предъявлять собственный сертификат, ваш сервер завершает настоящее рукопожатие TLS 1.3, используя личность подлинного популярного сайта, который вы назначаете. Авторизованный клиент — тот, у кого есть ваш публичный ключ и подходящий короткий ID, — направляется в прокси. Все остальные, включая правительственного пробера, прозрачно перенаправляются на этот настоящий сайт и видят его настоящий действительный сертификат. Никакой аномалии для обнаружения нет, потому что для стороннего наблюдателя это настоящее соединение с настоящим сайтом.

Если вам нужен более широкий контекст, зачем существуют такие инструменты, материал как Иран, Россия и Китай блокируют VPN разбирает системы глубокой инспекции пакетов и активного зондирования, пережить которые и создан REALITY.

Что понадобится перед началом

  • VPS (виртуальный частный сервер) в локации, которая не находится за файрволом, который вы пытаетесь пересечь. Подойдёт любой небольшой инстанс с недавней Debian или Ubuntu.
  • Доступ по SSH к этому серверу — под root или пользователем с sudo.
  • Около пятнадцати минут.

Чего вам не нужно — так это собственного доменного имени или сертификата TLS. Устранение этого требования — главное удобство REALITY и во многом причина, почему такую настройку поднять быстрее, чем предшествовавшие ей прокси на TLS и домене.

Настройка, путь A: панель 3x-ui

Если вам ближе кликать, чем редактировать JSON, панель 3x-ui — самый распространённый путь, и она генерирует ключи за вас. Шаги по порядку:

  1. Получите VPS и подключитесь. Создайте сервер у своего провайдера, затем подключитесь по SSH: ssh root@your-server-ip.
  2. Запустите скрипт установки. Вставьте однострочный установщик из README проекта 3x-ui. Он ставит панель и Xray и печатает адрес панели, порт и логин.
  3. Войдите и закройте доступ. Откройте URL панели в браузере и войдите. Сразу же смените имя пользователя, пароль и путь панели по умолчанию — открытая панель с учётными данными по умолчанию — самый частый способ, которым такие настройки компрометируют.
  4. Создайте входящее соединение. Добавьте новое входящее соединение, задайте протокол VLESS и установите безопасность REALITY.
  5. Позвольте панели заполнить криптографию. Кнопками сгенерируйте UUID, пару ключей x25519 и короткий ID. Для назначения и SNI выберите реальный сайт, отвечающий критериям из раздела ниже.
  6. Экспортируйте и импортируйте. Сохраните, затем скопируйте ссылку для обмена или отсканируйте QR-код в клиентское приложение. Эта единственная ссылка содержит всё, что нужно клиенту.

Вот и весь процесс. Панель делает ровно то же, что и ручной путь; она просто прячет файл конфигурации.

Настройка, путь B: конфиг Xray вручную

Ручной путь даёт больше контроля и никаких лишних подвижных частей. Вы запустите две команды для генерации учётных данных, а затем напишете один файл конфигурации.

  1. Установите Xray-core. Используйте официальный установщик из проекта XTLS Xray-core. Он размещает на сервере бинарный файл и службу systemd.
  2. Сгенерируйте учётные данные. Запустите xray uuid для клиентского ID, затем xray x25519 для пары ключей. Держите приватный ключ на сервере; публичный ключ идёт вашим клиентам.
  3. Напишите конфиг. Минимальное входящее соединение VLESS с REALITY выглядит так:
    {
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{ "id": "PASTE-UUID", "flow": "xtls-rprx-vision" }],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "example.com:443",
        "serverNames": ["example.com"],
        "privateKey": "PASTE-PRIVATE-KEY",
        "shortIds": ["", "0123abcd"]
      }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}
  4. Перезапустите и проверьте. Перезапустите службу Xray и убедитесь, что она слушает порт 443.
  5. Соберите клиентскую ссылку. Составьте URL для обмена из UUID, вашего публичного ключа, короткого ID и SNI. Большинство людей генерируют её один раз и используют повторно.

Несколько полей здесь не зря едят свой хлеб. flow, установленное в xtls-rprx-vision, включает XTLS Vision, который срезает удвоенное шифрование от туннелирования TLS внутри TLS, так что он и быстрее, и тише. dest и serverNames — это заимствованная личность. privateKey образует пару с публичным ключом, который держит ваш клиент, а shortIds позволяет одному серверу различать клиентов.

Выбор «dest» — единственное решение, которое имеет значение

Сайт назначения, который вы заимствуете, — это разница между тем, чтобы слиться с фоном и тем, чтобы выделиться. Цельтесь в сайт, который:

  • Поддерживает TLS 1.3 и HTTP/2 (REALITY нужно современное рукопожатие, чтобы его имитировать).
  • Не заблокирован там, где находятся ваши клиенты, — вы прячетесь внутри его трафика, так что он должен быть доступен.
  • Размещён за пределами вашей собственной страны и не является чем-то необычным для посещения кем-то оттуда.
  • Не является вашим собственным доменом и не является крошечным или малоизвестным хостом, который выглядел бы странно как назначение.

Сделайте это правильно — и трафик вашего сервера статистически скучен. Сделайте неправильно — заблокированный сайт или такой, что на деле не поддерживает рукопожатие, которое вы заявляете, — и вы сделали себя более заметным, а не менее.

Подключение клиента

Одна и та же ссылка для подключения работает на разных платформах; вы импортируете её в тот клиент, который подходит вашему устройству.

  • Windows / Linux: v2rayN и похожие настольные клиенты.
  • Android: v2rayNG.
  • iOS: приложения, поддерживающие VLESS с REALITY и потоком Vision, — Shadowrocket, Streisand и V2Box — распространённый выбор. Вставьте ссылку или отсканируйте QR.

Чем бы вы ни пользовались, после подключения проведите быструю проверку: убедитесь, что ваш публичный IP сменился на серверный и что DNS не утекает в обход туннеля. Прокси, который тихо протекает, сводит на нет весь смысл.

В чём он хорош — и его реальные ограничения

Честная версия этого тезиса коротка. VLESS Reality сегодня — один из самых надёжных способов вывести соединение из жёстко фильтруемой сети. Он побеждает активное зондирование, которое ловит более простые инструменты, ему не нужен домен или сертификат, а с Vision издержки производительности невелики. Конкретно для задачи цензуры он превосходен.

Но самостоятельное размещение — это сделка, а не бесплатный обед, и об издержках стоит сказать прямо:

  • Это единая точка отказа. Один сервер, один IP-адрес. Если этот IP заблокируют или ваш провайдер пометит инстанс, вы окажетесь без связи и без резервирования, пока не пересоберёте всё в другом месте.
  • Оператор — это вы. Накатывать патчи на ОС, обновлять Xray, держать ключи и панель в безопасности — эта работа не прекращается. Устаревшая панель или повторно использованный пароль по умолчанию — реальный риск, а не гипотетический.
  • Покрытие зависит от клиента. Маршрутизировать всё устройство, обрабатывать DNS и вести себя безопасно при обрыве туннеля — здесь это задача клиента, а клиенты разнятся. Полноценный VPN стандартизирует это поведение; настройка прокси оставляет больше на вас. Этот контраст — в самом сердце материала Shadowsocks против VPN.
  • Маскировке тоже нужно обслуживание. Заимствованное назначение, которое заблокировали, или клиент, отставший от протокола, могут превратить тихую настройку в громкую.

Есть и параллельный подход, о котором стоит знать. REALITY прячет прокси, имитируя сайт; мир WireGuard отвечает на ту же задачу глубокой инспекции пакетов со стороны VPN, переформируя сам протокол, — об этом материал AmneziaWG против WireGuard. А если вам сначала нужно сравнение этих туннельных протоколов на базовом уровне, материал WireGuard против OpenVPN против IKEv2 раскладывает компромиссы.

Часто задаваемые вопросы

Что такое VLESS Reality? Это сочетание двух вещей в Xray: VLESS — лёгкого транспортного протокола, который несёт ваш трафик, и REALITY — слоя безопасности, который маскирует соединение под обычное TLS-посещение реального сайта. Вместе они образуют прокси, который системам цензуры трудно обнаружить или прощупать.

Зашифрован ли VLESS Reality? Да — но не средствами VLESS. Сам VLESS не несёт шифрования. Шифрование исходит от настоящей сессии TLS 1.3, которую устанавливает REALITY, — это то же современное шифрование, что защищает обычный HTTPS. Так что ваш трафик зашифрован; просто шифрование живёт в слое REALITY, а не в транспорте.

Что означает «VLESS»? Это транспортный протокол из семейства V2Ray/Xray, задуманный как более лёгкий преемник VMess. Название указывает на то, что он убирает: он делает меньше, прежде всего отбрасывая встроенное шифрование и аутентификацию по меткам времени, которые нёс VMess. Этот минимализм и есть функция — он оставляет шифрование на TLS или REALITY и держит накладные расходы и сигнатуры низкими.

VLESS лучше, чем VMess? Для современной «стелс»-настройки — обычно да. VLESS легче и может использовать поток XTLS Vision, чего VMess не может, и он чисто сочетается с REALITY. VMess всё ещё работает и имеет встроенное собственное шифрование, но его рукопожатие легче снять по отпечатку — а это именно то, чего вы пытаетесь избежать в фильтруемой сети.

VLESS Reality бесплатен? Программное обеспечение — да: Xray и REALITY открыты и бесплатны. Платите вы за сервер, на котором они работают. Остерегайтесь «бесплатных» публичных конфигов, которыми делятся в сети: использовать такой — значит направлять весь свой трафик через сервер незнакомца, с той же проблемой доверия, что и у любого бесплатного прокси.

Итог

  • VLESS Reality — это самостоятельно размещаемый «стелс»-прокси: транспорт VLESS из Xray плюс рукопожатие REALITY, которое маскирует сервер под реальный сайт.
  • Он побеждает снятие отпечатков и активное зондирование, которые блокируют более простые инструменты, и ему не нужен собственный домен или сертификат.
  • Настройка — это один VPS и короткий конфиг (либо через панель 3x-ui, либо файл, написанный вручную), и самый важный выбор — это сайт назначения, который вы заимствуете.
  • Цена — это владение: один сервер, без резервирования и хлопоты, что приходят с управлением собственной инфраструктурой.

Запуск собственного сервера VLESS Reality покупает вам полный контроль ценой того, что именно вы держите его пропатченным, оплаченным и живым. Если вы на iPhone и предпочли бы иметь обфусцированное соединение WireGuard, которым не нужно управлять, — без сервера в аренду, без ротации ключей, без почты или аккаунта, — то это та сторона, для которой создан Snap VPN, и он есть в App Store.