Протокол VLESS: что это, как работает и почему он вытесняет Shadowsocks

Что такое VLESS и зачем он нужен

VLESS (VMess Less) — это транспортный протокол без сохранения состояния, разработанный в рамках проекта V2Ray и его форка Xray. Он предназначен для проксирования интернет-трафика и обхода цензуры. В отличие от своего предшественника VMess, VLESS не имеет встроенного шифрования и полагается на внешние методы защиты, такие как TLS или XTLS. Это делает его более лёгким и гибким.

Протокол появился в 2019–2020 годах как эволюция VMess, который требовал синхронизации системного времени и имел встроенное шифрование, что усложняло эксплуатацию. VLESS упростил аутентификацию, перейдя на UUID, и устранил зависимость от времени. В 2020 году развитие продолжилось в рамках Xray-core, где были добавлены XTLS и Reality — технологии, значительно улучшившие маскировку трафика.

Сегодня VLESS — один из самых популярных протоколов для обхода блокировок, особенно в странах с жёсткой цензурой, таких как Россия, Китай и Иран. Его активно поддерживают современные клиенты и серверные реализации, а сообщество постоянно развивает протокол.

Как работает VLESS: аутентификация и шифрование

Аутентификация в VLESS основана на UUID — уникальном идентификаторе пользователя. Сервер и клиент обмениваются UUID, что позволяет различать легитимных пользователей и отклонять посторонние подключения. UUID может быть сгенерирован случайно или отображён из строки длиной до 30 байт.

До версии Xray-core 25.8.29 VLESS не имел встроенного шифрования, полагаясь на внешние транспортные слои, такие как TLS или Reality. Однако начиная с этой версии протокол получил встроенное шифрование, поддерживающее как классический обмен ключами x25519, так и постквантовый ML-KEM-768. Это позволяет защитить трафик даже от будущих квантовых атак. При этом возможность использования внешнего шифрования осталась, что даёт гибкость в настройке.

Важно понимать: VLESS сам по себе не шифрует данные. Если использовать его без TLS или Reality, трафик будет передаваться в открытом виде, что делает его уязвимым для перехвата. Поэтому в реальных сценариях VLESS всегда комбинируют с TLS, Reality или XTLS.

VLESS против Shadowsocks: ключевые отличия

Shadowsocks (SS) — это протокол, который шифрует трафик так, чтобы он выглядел как случайные данные. Он прост в настройке, особенно с клиентом Outline, но именно эта «случайность» стала его слабым местом. Современные системы DPI (глубокой инспекции пакетов) научились выявлять трафик с равным соотношением нулей и единиц, что характерно для SS-AEAD. В Китае такой метод блокировки применяется уже давно, а в России с апреля 2024 года начались испытания подобных блокировок.

VLESS, напротив, маскируется под обычный HTTPS-трафик, которого в интернете большинство. Для провайдера такое соединение выглядит как обычный запрос к легитимному сайту, например Google. Это делает VLESS значительно более устойчивым к DPI и блокировкам.

Ещё одно важное отличие — возможность работы через CDN. VLESS поддерживает транспорты WebSocket, gRPC и HTTPUpgrade, что позволяет прятать сервер за CDN и обходить блокировки по IP. Shadowsocks такой возможности не имеет, хотя при желании его можно обернуть в те же транспорты, но это требует дополнительной настройки и двойного шифрования.

Скорость и энергопотребление также различаются. VLESS с XTLS-Vision может быть быстрее и энергоэффективнее, чем SS, особенно на мобильных устройствах. Однако при неправильной настройке VLESS может давать большую задержку.

VLESS и Reality: маскировка под реальный сайт

Reality — это технология, выпущенная весной 2023 года для Xray-core, которая значительно усиливает маскировку VLESS. Её главная особенность — отсутствие необходимости в собственном домене и SSL-сертификате. Вместо этого сервер использует чужой реальный сайт (например, известный сайт с поддержкой TLS 1.3) для имитации рукопожатия.

Когда к серверу подключается легитимный клиент, он передаёт предварительно согласованный ключ, и сервер распознаёт его. Если же подключение совершает посторонний (например, DPI-зонд), сервер прозрачно перенаправляет его на реальный сайт, и зонд видит обычный HTTPS-трафик. Это делает Reality практически неотличимым от настоящего веб-сервера.

Reality также решает проблему «TLS-в-TLS», когда внутри одного TLS-соединения создаётся ещё одно. Такая двойная обёртка часто выявляется DPI. Vision (xtls-rprx-vision) — это режим потока, который устраняет этот недостаток, имитируя отпечаток TLS-рукопожатия браузера (uTLS). В сочетании VLESS + Vision + Reality считается одним из самых надёжных способов обхода цензуры на сегодняшний день.

Транспорты VLESS: TCP, WebSocket, gRPC и другие

VLESS поддерживает множество транспортов, каждый из которых имеет свои особенности. Основные из них:

• TCP — стандартный транспорт, работает напрямую. Прост в настройке, но легко обнаруживается DPI, если не использовать дополнительную маскировку.
• WebSocket (WS) — позволяет маскировать трафик под обычные веб-запросы. Часто используется в сочетании с CDN, так как CDN поддерживает WS.
• gRPC — современный транспорт на основе HTTP/2, также хорошо работает через CDN. Обеспечивает низкую задержку и хорошую производительность.
• mKCP — транспорт на основе UDP, оптимизированный для нестабильных сетей. Может быть быстрее TCP при высокой потере пакетов, но менее стабилен.
• QUIC — транспорт на основе UDP, который также используется в HTTP/3. Обеспечивает низкую задержку и устойчивость к потере пакетов.
• XHTTP — новый транспорт, появившийся в Xray-core, который сочетает преимущества HTTP и QUIC. В ноябре 2025 года, когда TCP-транспорт VLESS начали блокировать в России, многие сервисы перешли на XHTTP.

Выбор транспорта зависит от конкретных условий: если нужно обойти блокировку по IP, лучше использовать WS или gRPC через CDN; если важна скорость на нестабильном канале — QUIC или mKCP.

Ситуация с блокировками в России: что происходит

В России VLESS стал особенно популярен после того, как были заблокированы OpenVPN, WireGuard и Shadowsocks. Однако в ноябре 2025 года цензоры начали блокировать TCP-транспорт VLESS в некоторых регионах. Это нарушило работу многих VPN-сервисов, но они быстро адаптировались, перейдя на XHTTP, gRPC или Hysteria2.

Кроме того, в некоторых регионах были введены «белые списки» IP-адресов (CIDR), когда подключения к серверам вне списка просто не работают. Это затронуло не только VLESS, но и другие протоколы. В таких условиях даже самые современные технологии маскировки могут оказаться бесполезными, если сервер находится в «чёрном» диапазоне.

Тем не менее, VLESS остаётся одним из самых надёжных протоколов в России. Его способность маскироваться под HTTPS и работать через CDN позволяет обходить многие виды блокировок. Однако важно понимать, что ни один протокол не гарантирует 100% доступности — блокировки постоянно эволюционируют, и пользователям приходится адаптироваться.

Как выбрать клиент для VLESS

Для использования VLESS нужен клиент, поддерживающий этот протокол. Наиболее популярные варианты:

• v2rayNG — популярный клиент для Android, основанный на Xray-core. Поддерживает VLESS, Reality, XTLS и множество транспортов.
• Nekobox — клиент для Android и Windows, также на базе Xray. Отличается удобным интерфейсом и поддержкой многих протоколов.
• Hiddify — кроссплатформенный клиент (Windows, macOS, Linux, Android, iOS), который поддерживает VLESS, Reality, Hysteria2 и другие. Имеет простой интерфейс и автоматическую настройку.
• Streisand — клиент для iOS, поддерживающий VLESS и Reality. Удобен для использования на iPhone.
• Shadowrocket — популярный клиент для iOS, поддерживающий множество протоколов, включая VLESS.
• Clash Verge Rev — клиент для настольных систем, использующий ядро mihomo. Поддерживает VLESS и другие современные протоколы.

При выборе клиента важно учитывать не только поддержку VLESS, но и наличие функций роутинга (маршрутизации), которые позволяют направлять трафик к определённым сайтам напрямую, минуя VPN. Это особенно полезно для доступа к российским госуслугам и банкам, которые могут блокировать подключения из-за рубежа.

Настройка VLESS: основные шаги и типичные ошибки

Настройка VLESS сложнее, чем Shadowsocks, но при наличии инструкций занимает около 15–20 минут. Основные шаги:

1. Установите Xray-core на сервер.
2. Сгенерируйте UUID для клиента.
3. Настройте inbound-конфигурацию в JSON-файле, указав протокол VLESS, UUID, порт и транспорт.
4. Настройте outbound-конфигурацию на клиенте, указав адрес сервера, порт, UUID и транспорт.
5. Если используете Reality, укажите параметры маскировки (например, адрес реального сайта).

Типичные ошибки:

• Неправильно указанный UUID или порт — соединение не установится.
• Неверный выбор транспорта — например, использование TCP без TLS, что делает трафик уязвимым.
• Отсутствие настройки fallback — если не настроить перенаправление не-VLESS трафика, сервер может быть обнаружен при активном зондировании.
• Неправильные параметры Reality — если указать несуществующий сайт или неверный ключ, маскировка не сработает.

Рекомендуется использовать готовые конфигурации из официальной документации Xray и проверять настройки на тестовом подключении.

Будущее VLESS: постквантовая криптография и новые вызовы

VLESS продолжает активно развиваться. В 2025 году в Xray-core была добавлена поддержка постквантового шифрования на основе ML-KEM-768. Это важный шаг, так как квантовые компьютеры в будущем смогут взломать традиционные алгоритмы, такие как RSA и ECC. Постквантовая криптография обеспечивает защиту от таких атак.

Кроме того, Reality теперь поддерживает постквантовые подписи ML-DSA-65, что делает маскировку ещё более надёжной. Эти нововведения пока не обязательны для обычных пользователей, но они показывают, что разработчики серьёзно относятся к будущим угрозам.

Однако вместе с развитием технологий растут и методы блокировок. Уже сейчас DPI-системы умеют распознавать QUIC-трафик и даже расшифровывать его первые пакеты для чтения SNI. Поэтому протоколы, использующие UDP, такие как Hysteria2, вынуждены добавлять дополнительные обфускации. VLESS, работающий на TCP, пока остаётся более устойчивым, но и он не застрахован от новых методов обнаружения.

В итоге, будущее VLESS зависит от способности сообщества адаптироваться к новым вызовам. Пока что это один из самых перспективных протоколов, и его популярность вряд ли снизится в ближайшие годы.

Вопросы и ответы