VLESS Reality на пальцах: почему этот протокол обходит DPI

Если вы пользовались OpenVPN или WireGuard в России в 2024–2025 годах, вы видели одно и то же: всё работает несколько дней, потом разом отваливается, потом снова работает, потом снова отваливается. Это не глюк провайдера и не плохой сервер — это DPI-системы, которые обучились распознавать сигнатуру этих протоколов и резать соединения по метке.

VLESS Reality — протокол, который не отваливается под этими волнами. Не потому что он «магический», а потому что устроен принципиально иначе. В этой статье разберём — без графиков и без академического языка — что такое DPI, почему старые протоколы детектируются, и за счёт чего Reality остаётся незаметным.

Что такое DPI и почему это касается VPN

DPI (Deep Packet Inspection) — это технология, которой пользуются провайдеры и операторы связи, чтобы анализировать содержимое сетевых пакетов, а не только их адреса. У обычного маршрутизатора задача простая: «вот пакет от Васи на адрес 8.8.8.8, отправить». DPI идёт глубже: «вот пакет от Васи на 8.8.8.8, заглянем внутрь и поймём — это HTTPS, или это VPN-туннель, или это видеостриминг?».

В России с 2017 года стоит национальная DPI-инфраструктура (на жаргоне — ТСПУ). Изначально её использовали для блокировки конкретных сайтов и сервисов, но в 2022–2025 годах фокус сместился на VPN-протоколы. Логика простая: если внутри HTTPS-трафика провайдер видит признаки OpenVPN или WireGuard — соединение режется или замедляется до неюзабельности.

Почему OpenVPN и WireGuard «видны» в DPI

Каждый VPN-протокол при первом подключении делает handshake — обмен сообщениями, чтобы согласовать ключи шифрования. И вот в этом handshake-сообщении кроется проблема:

OpenVPN начинает разговор с характерного 14-байтного заголовка 0x00 0x0E 0x38 .... DPI видит этот шаблон в первом пакете и моментально классифицирует соединение как OpenVPN.
WireGuard начинает с фиксированного байта 0x01 и характерной структуры handshake-пакета. Эта сигнатура задокументирована в RFC, и любая DPI-вендор-компания умеет её распознавать.
Даже если вы шифруете весь дальнейший трафик — handshake происходит до шифрования (естественно, ключи ещё не согласованы). И в нём, как в анкете на границе, протокол сразу себя называет.

Можно представить это так: вы хотите тайно пройти через КПП. Вы можете надеть очки, сменить причёску, поменять имя на бейджике — но если у вас стандартная униформа, охранник вас узнает по форме одежды до того, как посмотрит на лицо.

Что делает Reality иначе

VLESS — это просто транспорт, без собственного шифрования (передачу данных в TLS уже шифрует TLS-слой). Reality — добавка к VLESS, которая решает проблему handshake-сигнатуры элегантно: Reality использует чужой TLS-handshake вместо собственного.

Вот как это работает в трёх шагах:

Шаг 1. Клиент подключается «к microsoft.com»

Когда вы подключаетесь к VPN-серверу через Reality, ваш клиент инициирует TLS-handshake так, будто хочет открыть www.microsoft.com (или любой другой настоящий сайт, который выбрал владелец сервера — мы у MeerGuard VPN используем известные сайты вроде microsoft.com, apple.com, cloudflare.com). DPI смотрит на первый пакет и видит:

Client Hello, SNI=www.microsoft.com, ALPN=h2,http/1.1

— нормальный HTTPS-запрос к Microsoft. Заблокировать его DPI не может, потому что иначе сломается доступ к настоящему Microsoft, что задевает миллион других пользователей.

Шаг 2. VPN-сервер «прикидывается» этим сайтом

Сервер MeerGuard VPN получает запрос и проверяет: «это легитимный запрос к microsoft.com от случайного пользователя или это наш VPN-клиент с правильным ключом?». Проверка происходит через специальный криптографический маркер, который умеет распознавать только наш сервер.

Если клиент не наш (просто кто-то ткнулся на сервер из любопытства) — сервер прозрачно проксирует запрос к настоящему microsoft.com. Пользователь видит обычный microsoft.com, как будто и не было нашего сервера в середине.
Если клиент наш — сервер открывает обратный канал VLESS внутри уже установленного TLS-туннеля. Дальше идёт обычный VPN-трафик, но снаружи это всё ещё выглядит как HTTPS к microsoft.com.

Шаг 3. Снаружи всё выглядит как HTTPS к microsoft.com

DPI продолжает смотреть на ваше соединение и видит «человек открыл microsoft.com и качает оттуда какие-то данные». Размеры пакетов нормальные для HTTPS, тайминги нормальные, SNI настоящий, цепочка сертификатов идентична настоящему запросу к microsoft.com (Reality ретранслирует клиенту настоящий TLS-handshake реального сайта в момент рукопожатия — это и есть ключевой трюк). Заблокировать невозможно без сопутствующих потерь — иначе ломается доступ к настоящему microsoft.com.

А Reality точно нельзя заблокировать?

Можно — но дорого. Известные векторы детекта Reality:

Активное SNI-пробирование. DPI может «перепроверить» сервер: отправить ему свой запрос к microsoft.com и сравнить ответ с настоящим microsoft.com. Если ответы отличаются — детект. Reality защищается тем, что неавторизованных клиентов прозрачно проксирует к настоящему microsoft.com — пробирование возвращает идентичный ответ.
ML-классификация по таймингам и размерам пакетов. Машинное обучение может найти разницу в шаблонах трафика VPN vs обычный HTTPS. Но точность таких моделей невысока, false-positive ломает доступ к настоящим сайтам — провайдер не готов на такой риск.
Блокировка по IP сервера. Самый прямолинейный метод — заблокировать IP-адрес VPN-сервера. Но IP легко меняется, и Reality серверы обычно стоят у крупных хостинг-провайдеров вместе с тысячами других сайтов — заблокировать один IP = сломать тысячу легитимных ресурсов.

В отчётах GFW Report и Net4People за 2024–2025 годы есть кейсы детекта Reality в Китае, но требуется огромная вычислительная мощность и активное пробирование. Российский DPI работает по принципу «дёшево и массово», и Reality пока проходит этот барьер.

Reality vs обычный VLESS

Иногда читатели путают: «VLESS» и «VLESS Reality» — это одно и то же? Нет.

VLESS — это транспорт без обфускации. Можно запустить VLESS через TCP, gRPC, WebSocket — но handshake VLESS сам по себе детектируется в DPI почти так же легко, как OpenVPN. Без обфускации VLESS — не панацея.
VLESS + TLS — добавляет TLS-обёртку. Уже лучше, но обычный TLS handshake с самоподписанным сертификатом для VPN-сервера тоже детектируется (сертификат на homevpn.example.com выглядит подозрительно).
VLESS + Reality — использует настоящий сертификат настоящего сайта. Это и есть та комбинация, которая сложно детектируется.

Когда вы видите «у нас VLESS» — спросите, есть ли Reality. Без Reality VLESS — это половина решения.

Где Reality не панацея

Reality — отличный протокол для среды агрессивного DPI, но у него есть и слабые места:

Reality чувствителен к выбору SNI-таргета. Если владелец сервера выбрал в качестве «маски» сайт, который сам по себе заблокирован (или который провайдер режет по другим причинам) — Reality сломается. Уважающие себя VPN-провайдеры используют крупные глобальные сайты типа microsoft.com, github.com, cloudflare.com.
Reality требует свежей версии клиента. Если ваш VPN-клиент старше года и не обновлялся, он может не поддерживать Reality. Современные клиенты (Hiddify, V2RayN, V2box, Streisand) поддерживают.
Reality не решает проблему «выхода в интернет с российского IP». Reality маскирует ваше соединение К VPN-серверу. Куда этот VPN-сервер потом ведёт ваш трафик — отдельный вопрос. Если вам нужен иностранный IP — выбирайте локацию VPN в нужной стране.

Какие VPN-сервисы поддерживают Reality

В России в 2026 году Reality использует значительная часть «продвинутых» VPN-сервисов — но не все. По нашим публичным тестам и документации самих сервисов на май 2026 года:

MeerGuard VPN — Reality по умолчанию на всех тарифах.
AmneziaVPN — согласно их официальной документации, сервис фокусируется на собственном протоколе AmneziaWG (обфусцированный WireGuard). Поддержка Reality в свежих версиях есть, но не является дефолтом.
Outline — по документации Outline, сервис построен на Shadowsocks. Reality в стеке не упоминается. Под китайским DPI Shadowsocks с актуальными шифрами держится — под российским в наших тестах последних месяцев результаты были разнородные.
Большинство «стандартных» Telegram-VPN на WireGuard — без обфускации. Reality нет.

Если в описании сервиса упоминается «VLESS Reality», «Xray», «Reality SNI» — почти наверняка поддерживается. Если упоминается только «OpenVPN», «WireGuard», «Shadowsocks» — Reality нет.

Что в итоге

Reality — это не маркетинговая фишка, а инженерное решение конкретной задачи: «как сделать VPN, который не отваливается при ужесточении DPI». Решение элегантное: вместо того чтобы прятать свой трафик, Reality маскирует его под трафик легитимного сайта, который сам по себе никто не блокирует.

Если вы выбираете VPN на 2026 год и работаете в России — Reality стоит в коротком списке требований. MeerGuard VPN использует его по умолчанию, без переключений в настройках — установили приложение, нажали «подключиться», вы уже на Reality.

Триал MeerGuard VPN — 3 дня бесплатно. Откройте @meerguardbot, нажмите «Получить триал». Без банковской карты при регистрации.

Связанные материалы

Информация о DPI и Reality актуальна на дату публикации, реальная картина может меняться в обе стороны со временем.