VLESS, REALITY, Hysteria2, TUIC, WireGuard: гайд по современным протоколам
В 2026 году ландшафт VPN-протоколов в России выглядит просто: классические OpenVPN, L2TP/IPsec и обычный WireGuard массово детектируются ТСПУ и регулярно отваливаются. Держатся протоколы, которые умеют маскироваться под обычный HTTPS, — VLESS с REALITY, Hysteria2, TUIC и обфусцированные форки WireGuard вроде AmneziaWG.
Эта страница — обзорный гайд по живым протоколам: для чего создан каждый из них, в чём его сила и слабость, как он ведёт себя под DPI и на каких транспортах (TCP/UDP/QUIC) работает. Если вы выбираете, на чём поднимать свой VPN, или просто хотите понять, почему один клиент работает у вас, а другой нет — начните отсюда.
Конкретные «всегда рабочие» сервисы не называем: правила ТСПУ обновляются, и сегодняшний «100% рабочий VPN» завтра попадает в фильтр. Лучше понимать сам протокол, тогда легко сменить инструмент, не теряя времени на рекламные обзоры.
Коротко
- Современные «живучие» протоколы — VLESS-REALITY, Hysteria2, TUIC, AmneziaWG.
- Базовый WireGuard, OpenVPN UDP и L2TP/IPsec классически детектируются по сигнатуре handshake.
- REALITY — это не отдельный протокол, а слой маскировки поверх VLESS под TLS чужого сайта.
- Hysteria2 и TUIC работают поверх QUIC/UDP и оптимизированы под потери пакетов.
- Shadowsocks-2022 остаётся живым лёгким proxy-протоколом, но без TLS-маскировки.
- Выбор протокола сегодня важнее выбора сервиса: правильный протокол держится дольше.
Что произошло с протоколами за последние пару лет
До массового внедрения ТСПУ хватало почти любого VPN: оператор смотрел на IP и порт, и пока ваш сервер не светился в чёрном списке, всё работало. Глубокая инспекция пакетов изменила правила. Теперь оборудование на границе оператора умеет смотреть содержимое первого пакета (handshake) и решать: это браузер, это игра, это VPN.
Отсюда два больших семейства современных протоколов. Первое — те, что притворяются обычным HTTPS: VLESS-REALITY, Trojan, Shadowsocks с TLS-плагином. Второе — те, что переехали на QUIC (UDP на порту 443) и используют его как несущую: Hysteria2, TUIC.
VLESS
Lightweight транспорт от команды Xray: ничего своего не шифрует, рассчитан на то, что снаружи его обернут в TLS. Сам по себе тонкий и быстрый. Стал популярен именно как «основа», поверх которой ставят XTLS или REALITY. Документация ядра — на сайте проекта XTLS.
REALITY
Не отдельный протокол, а слой маскировки для VLESS. Идея простая: сервер при handshake реально подключается к чужому популярному сайту (например, к крупному облачному хосту), забирает его настоящий TLS-сертификат и подсовывает клиенту. Снаружи DPI видит «подключение к microsoft.com», отличить от настоящего трафика сложно. Спецификация и код — в репозитории REALITY.
Hysteria2
Прокси-протокол поверх QUIC. Главная фишка — собственное управление перегрузкой (Brutal), которое выжимает скорость в сетях с большими потерями пакетов. Маскируется под HTTPS3 (QUIC на 443). Полезен там, где обычный UDP-туннель рвётся каждую минуту.
TUIC
Тоже на QUIC, но с акцентом на низкую задержку и обработку IPv4/IPv6 multipath. Используется реже, чем Hysteria2, но удобен для интерактивных сценариев — игр, голоса, ssh.
WireGuard и его форки
Сам WireGuard — самый быстрый и простой современный VPN-протокол. Но его handshake фиксированной длины с характерным заголовком тривиально детектируется. Поэтому в России живут не «голый» WG, а форки с обфускацией: AmneziaWG добавляет случайные мусорные байты в handshake, чтобы сломать сигнатуру.
Классика: OpenVPN, L2TP/IPsec
Оба протокола проектировались до эпохи DPI и не умеют скрываться. OpenVPN в UDP-режиме узнаётся по структуре первого пакета, в TCP-TLS — по характерным расширениям ClientHello. L2TP/IPsec — типовой набор портов 500/4500 UDP, который операторы часто блочат целиком.
Сравнение протоколов: транспорт, маскировка, стойкость к DPI
| Протокол | Транспорт | Маскировка | Стойкость к DPI |
|---|---|---|---|
| VLESS + REALITY | TCP/443 + TLS чужого сайта | Полная — выглядит как HTTPS к легитимному домену | Высокая |
| VLESS + XTLS-Vision | TCP/443 + TLS | Умеренная — характерные ClientHello чинят регулярно | Средняя–высокая |
| Hysteria2 | QUIC/UDP 443 | Под HTTPS3 | Высокая |
| TUIC | QUIC/UDP 443 | Под HTTPS3 | Высокая |
| AmneziaWG | UDP, любой порт | Шум в handshake поверх WG | Средняя |
| Shadowsocks-2022 | TCP/UDP, любой порт | Нет; чистый поток с AEAD | Средняя |
| WireGuard (базовый) | UDP, любой порт | Нет | Низкая |
| OpenVPN UDP/TCP | UDP 1194 / TCP 443 | Нет (или внешние плагины) | Низкая |
| L2TP/IPsec | UDP 500/4500 + ESP | Нет | Очень низкая |
Как проверить прямо сейчас
Понять, какой протокол сейчас доступен у вашего оператора, проще всего эмпирически: запустить однотипные проверки с разных пробников и сравнить. Freedom Checker делает именно это — отслеживает доступность популярных протоколов по операторам и регионам, без рекламы конкретных VPN.
Если ваш текущий клиент сидит на базовом WireGuard или OpenVPN — это первый кандидат на смену. Сначала пробуйте VLESS-REALITY или Hysteria2 через клиенты на ядре sing-box или Hiddify.
Сбой или блокировка?
Сбой выглядит как непредсказуемые отвалы у части пользователей разных операторов: сервер упал, у провайдера авария, у конкретного сервиса перегруз. Через час-два само возвращается.
Блокировка протокола — другое: симптомы стабильны и чётко привязаны к протоколу. Базовый WireGuard массово не коннектится у одного оператора, тот же сервер на VLESS-REALITY работает. Это уже сигнатура на ТСПУ. Менять стоит не сервис, а протокол.
На что обратить внимание
- Не привязывайтесь к одному протоколу: правила ТСПУ меняются, держите запас из 2 разных.
- UDP-протоколы (WG, Hysteria2, TUIC) требуют, чтобы оператор пропускал UDP к нужному порту.
- REALITY-сервер нельзя поднять «куда угодно» — нужен внешний домен, чей TLS он мимикрирует.
- OpenVPN и L2TP сегодня берите только если других вариантов нет.
- Скорость зависит не только от протокола, но и от качества канала VPS и пинга до сервера.
- «Один универсальный клиент» для всех протоколов — Hiddify, Streisand, NekoBox, v2rayNG.
- Реальная стойкость к DPI всегда определяется тем, как именно настроен сервер, а не только названием протокола.
Вывод
Эпоха «один VPN на все случаи жизни» закончилась с приходом массового DPI. Современный обход блокировок строится на протоколах, которые либо мимикрируют под HTTPS (VLESS-REALITY), либо едут на QUIC (Hysteria2, TUIC), либо хотя бы зашумляют свой handshake (AmneziaWG).
Если что-то не работает, не спешите винить сервис: чаще виноват именно протокол. Понимание различий между ними экономит много времени на диагностике.