Reality, XHTTP или AmneziaWG: как выбрать протокол

В настройках современного VPN-приложения вместо привычных OpenVPN и WireGuard всё чаще встречаются другие названия: Reality, XHTTP, AmneziaWG. Для пользователя из России или Центральной Азии выбор между ними — не вопрос вкуса. От протокола зависит, подключитесь вы вообще или нет.

Почему классика перестала работать

OpenVPN и WireGuard создавались для защиты данных, а не для обхода фильтров. Шифруют они надёжно, но их трафик выглядит именно как VPN: у каждого протокола характерное рукопожатие и узнаваемая структура пакетов. Системы анализа трафика (DPI) на сетях операторов распознают эти протоколы по первым пакетам и режут соединение или скорость. Три протокола из заголовка решают проблему по-разному.

Reality: трафик как у обычного браузера

Reality — технология из экосистемы Xray. Сервер с Reality во время TLS-рукопожатия предъявляет настоящий сертификат крупного стороннего сайта. Для оборудования оператора такое подключение неотличимо от обычного захода на этот сайт: корректное рукопожатие, настоящий сертификат, привычное поведение.

Сильная сторона — сама маскировка: заблокировать такой трафик, не задев настоящий HTTPS, фильтр не может. Есть и практическое следствие: серверу с Reality не нужны собственный домен и сертификат, а значит, меньше внешних признаков, по которым сервер попадает в чёрные списки. Слабое место — работа поверх TCP: на мобильных сетях с потерями и «удушением» долгих соединений Reality в чистом виде иногда деградирует. Дома, на проводном интернете и Wi-Fi это обычно лучший выбор по умолчанию.

XHTTP: рассчитан на мобильные сети

XHTTP — транспорт из той же экосистемы, устроенный иначе: данные ходят внутри серии обычных HTTP-запросов и ответов, а не через одно долгоживущее соединение. Со стороны это похоже на активный веб-сёрфинг или стриминг, а не на постоянный туннель.

Такая схема хорошо переносит то, чем славятся мобильные операторы: обрывы, смену базовых станций, ограничение долгих сессий. Если туннель рвётся при переходе с Wi-Fi на LTE или соединение затухает через несколько минут после включения, XHTTP чаще всего решает проблему. Плата за живучесть — чуть большая задержка по сравнению с прямым туннелем.

AmneziaWG: скорость WireGuard без его почерка

AmneziaWG — модификация WireGuard, созданная разработчиками Amnezia VPN. Ядро протокола осталось прежним: лёгкий и быстрый UDP-туннель с современной криптографией. Изменилась обёртка: перед рукопожатием уходят мусорные пакеты, а служебные поля заголовков рандомизируются. Шаблон, по которому DPI узнаёт классический WireGuard, перестаёт совпадать.

В результате остаются главные достоинства WireGuard — высокая скорость и скромный расход батареи, но исчезает узнаваемая сигнатура. Ограничение общее для любого UDP-протокола: если оператор режет UDP-трафик целиком, а такое случается, AmneziaWG не поможет и придётся уходить на TCP-варианты вроде Reality или XHTTP.

Как понять, что протокол не проходит

Симптомы почти всегда одни и те же. Подключение зависает на этапе соединения или обрывается через минуту-другую после установки. Скорость падает до сотен килобит, хотя без VPN всё летает. По Wi-Fi работает, по мобильному интернету нет. Любой из этих признаков — повод переключить протокол, а не переустанавливать приложение. Перед сменой протокола стоит исключить одну частую помеху: вручную прописанный «Частный DNS» в настройках Android ломает работу внутри туннеля независимо от протокола.

Шпаргалка

• Домашний интернет и Wi-Fi — Reality: максимальная маскировка, стабильная работа.
• Мобильный интернет, частые обрывы — XHTTP: переживает фильтрацию и смену сетей.
• Нужна максимальная скорость для видео и загрузок, UDP не заблокирован — AmneziaWG.
• Непонятно, что происходит, — пробуйте по очереди и запоминайте, что заработало на вашей сети.

Или не выбирать вовсе

Перебирать протоколы вручную — занятие на любителя, тем более что поведение фильтров различается между операторами и меняется со временем: конфигурация, которая месяц работала идеально, после очередной перенастройки оборудования оператора может замолчать. В SomonVPN за это отвечает Smart Connect: при подключении приложение проверяет доступные протоколы и выбирает тот, который реально проходит на текущей сети, а при обрыве само переключается на запасной вариант. Ручной выбор при этом остаётся в настройках. Проверить на своём операторе можно бесплатно: пробный день выдаётся без карты.