VLESS: что это за протокол, как работает и чем лучше VMess и OpenVPN

Сначала — зачем вам вообще это слово

Вы купили ключ. В письме написано «VLESS». Дальше — строка, похожая на пароль от вайфая, который придумывал злой человек.

И вот тут обычно начинается. Что за VLESS, почему не «обычный VPN», куда это вставлять, не сломается ли оно через неделю — вопросов много, а внятного ответа почти нигде нет, потому что половина статей написана разработчиками для разработчиков и начинается сразу с диаграммы на четыре слоя, а вторая половина написана людьми, которые сами протокол в глаза не видели, зато знают слово «шифрование» и умеют вставлять его через предложение. Я читал и те, и другие. После обеих категорий хочется закрыть ноутбук.

Попробую нормально.

Если совсем некогда, вот короткая версия: VLESS — не VPN в привычном смысле, а транспортный протокол из проекта Xray, лёгкий, быстрый и, главное, почти незаметный для того, кто разглядывает трафик со стороны провайдера. Дальше по порядку.

Сразу оговорюсь, чтобы потом не было обид: я тут лицо заинтересованное, работаю на сервисе, который этот самый VLESS и продаёт. Так что если вам покажется, что я его нахваливаю — возможно, вам не покажется. Но я постараюсь честно рассказать и про то, где он проигрывает, потому что проигрывает он в довольно очевидных местах, и делать вид, что этого нет, глупо: вы всё равно наткнётесь на это через неделю использования и будете злиться уже конкретно на меня.

Откуда он вообще взялся

Была такая штука — Shadowsocks. Простая до неприличия, работала годами, и я до сих пор вспоминаю её с теплотой, потому что она делала ровно одно дело и делала его хорошо. Потом её научились вычислять. Не то чтобы мгновенно — года три она ещё поскрипывала, обрастая плагинами обфускации, которые приделывали к ней сбоку, как к старому дому приделывают пристройки, пока он не превращается непонятно во что.

Дальше появился V2Ray, и вот это уже был не протокол, а целая платформа — конструктор, внутри которого можно было собирать транспорты и протоколы в любых сочетаниях, и в котором нормальный человек тонул примерно на третьей странице документации. Внутри V2Ray жил VMess. Со своим шифрованием, своей аутентификацией и — запомните этот момент, он нам ещё пригодится — своей проверкой времени. VMess работал. Долго и честно работал, и если бы не одно «но», про которое ниже, он бы и сейчас работал.

Потом часть команды разругалась с остальной и сделала форк — Xray. В историю конфликта лезть не буду, там всё как обычно в опенсорсе: сначала спорят о технических решениях, потом о том, кто кому что сказал в issue три года назад, потом расходятся по разным репозиториям и годами делают вид, что второго проекта не существует. Нам важно только одно: именно в Xray появился VLESS.

И сделали его, внимание, беднее предшественника. Сознательно. Выкинули шифрование. Выкинули проверку времени. Оставили голый минимум.

Звучит как деградация?

Я сам так думал ровно до того момента, пока не столкнулся с последствиями. Вернее — пока не перестал сталкиваться с последствиями старого подхода, что я поначалу списал на удачу, и только потом сообразил, в чём дело.

Почему протокол без шифрования — это не дыра

Главное, что нужно понять: VLESS не шифрует ничего.

Реакция у всех одинаковая. «То есть мой трафик идёт открытым?» Нет. Шифрование никуда не делось, оно просто переехало этажом ниже — в TLS. Тот самый, который прямо сейчас защищает вашу вкладку с банком, вашу почту и вообще весь HTTPS, на котором держится современный интернет. Он этим занимается двадцать с лишним лет, его ковыряли все кому не лень, и справляется он, скажем так, не хуже, чем самописный шифр внутри VPN-протокола.

Теперь сравните с тем, как было. VMess шифровал полезную нагрузку сам, своим алгоритмом, потом всё это заворачивалось в TLS, и TLS шифровал ещё раз, поверх. Шифрование в шифровании. Работало? Работало прекрасно. Но вы платили за это процессорным временем на обоих концах соединения, и если на компьютере вы этого не замечали, то на пятилетнем Android-телефоне — очень даже, особенно когда он лежит в кармане и греется. А выигрыш в безопасности от второго слоя — околонулевой. Вы шифруете уже зашифрованное.

Вторая причина менее очевидная, и вот она-то в своё время сожрала у меня не один вечер. Помните проверку времени в VMess? Сервер и клиент должны были иметь примерно одинаковые часы. Разъехались на пару минут — соединение не поднимается. Просто не поднимается, и всё, без внятной ошибки. Человек при этом перепроверяет ключ, переустанавливает приложение, пишет в поддержку, поддержка спрашивает про часовой пояс, человек обижается, потому что при чём тут вообще часовой пояс. В VLESS этого механизма нет. Одним источником загадочных отвалов меньше, и, честно говоря, ради одного этого стоило всё затевать.

Кстати, про отвалы. Самая частая причина, по которой у людей «не работает VLESS», не имеет к протоколу никакого отношения — конфиг скопировали не полностью, хвост строки отгрызся при копировании из мессенджера. Но об этом в конце.

Итого: VLESS отвечает за то, кто вы такой и куда вас маршрутизировать. За приватность отвечает TLS. Разделение труда, каждый делает своё и не лезет в чужое.

UUID: почему ваш ключ выглядит как строка из тридцати шести символов

Аутентификация в VLESS устроена предельно тупо, и это, я считаю, комплимент. Есть UUID — идентификатор вида 7a1b2c3d-4e5f-6789-abcd-ef0123456789. Сервер знает список UUID, клиент предъявляет свой, совпало — проходи, не совпало — до свидания. Ни логинов, ни паролей, ни восстановления через почту. Отсюда, кстати, следствие, которое мало кто проговаривает вслух: ваш UUID — это и есть ваш пароль. Скинули его другу в чат — считайте, отдали доступ. Выложили скриншот конфига на форуме, забыв замазать строку, — поздравляю, вашим тарифом пользуются люди, о которых вы не узнаете. Я видел такое не раз, и человек каждый раз искренне удивляется.

Теперь, к слову, про подписку — это другая история. Одиночный ключ — одна строка vless://..., описывающая конкретный сервер: работает, но жёстко, и стоит серверу смениться или протоколу обновиться, как ваш ключ превращается в тыкву. Ссылка-подписка устроена иначе — это адрес, по которому клиент сам ходит и забирает актуальный список узлов, так что когда мы на своей стороне переезжаем, у вас в приложении просто появляются новые строчки. В мире, где подсети выкашивают пачками, подписка — не удобство, а необходимость. Берите её. Я всегда беру подписку.

XTLS, или как перестать шифровать одно и то же дважды

Дальше чуть техничнее, но потерпите, и я постараюсь без диаграмм.

Представьте: вы открыли сайт по HTTPS, браузер честно зашифровал запрос в TLS, а дальше этот уже зашифрованный поток заворачивается в VPN-туннель, который тоже, сюрприз, TLS. Получается TLS внутри TLS. Проблема тут даже не в производительности, хотя и в ней тоже. Проблема в том, что это видно: у конструкции TLS-в-TLS есть характерный почерк — размеры пакетов, тайминги, соотношение между тем, что вы отправили, и тем, что вам ответили. Системы анализа научились этот почерк узнавать. Не мгновенно и не со стопроцентной точностью, но научились.

XTLS — попытка выйти из положения: для уже зашифрованных данных не делать второй проход, а пропускать их почти как есть, подменяя только необходимое. Текущая реализация называется XTLS-Vision и вдобавок сглаживает характерную сигнатуру первых пакетов — тех самых, по которым проще всего опознать соединение.

Аналогия, которая мне кажется рабочей, хотя, как все аналогии, хромает. Посылка в запечатанной коробке. Обычный VPN кладёт её в другую коробку и заклеивает скотчем, и по весу с формой прекрасно видно, что внутри коробка. XTLS наклеивает на исходную коробку новый адрес и отправляет как есть.

Reality — вот тут начинается главное

Если вы дочитали ради одного раздела — вот он.

Классическая схема с TLS требует домена и сертификата: поднимаете сервер, настраиваете — и у вас туннель, снаружи похожий на обычный HTTPS-сайт. Выглядит. Но если присмотреться — не очень убедительно, и вот почему. Домен свежий, ему две недели. Трафика на него нет никакого, кроме вашего. Сертификат от известного бесплатного центра, что само по себе нормально, но в комбинации с остальным играет против вас. А главное — если в этот домен постучаться браузером, сайта там не окажется. Так и работает активное зондирование: система видит подозрительное соединение, сама идёт по тому же адресу и смотрит, что отвечает.

Reality решает это радикально. Он не притворяется сайтом. Он использует настоящий.

Механика такая: при рукопожатии сервер подставляет сертификат реального стороннего сайта — крупного, живого и заведомо незаблокированного, к которому вы не имеете отношения. Для наблюдателя всё выглядит так, будто вы открыли этот сайт. И если кто-то решит проверить, он сходит по тому же адресу и увидит нормальный работающий ресурс, потому что запрос до него действительно дойдёт. Никакого своего домена. Никакого своего сертификата. Ничего, что помечается как «вот он, VPN-узел».

Отсюда, кстати, растёт требование, о котором пишут до обидного редко: сайт-прикрытие надо выбирать головой. Он должен быть популярным, доступным и находиться примерно в той же географии, что и сервер: прикрыться малоизвестным ресурсом, к которому из России никто не ходит, — такой же демаскирующий признак, только сбоку. Нормальный провайдер это учитывает и меняет прикрытие. Ненормальный ставит первый домен из гайда и забывает про него на два года.

Работает ли Reality идеально и навсегда? Нет, и я не знаю никого в здравом уме, кто утверждал бы обратное. Гонка брони и снаряда никуда не делась. Но прямо сейчас он работает лучше всего остального на рынке.

VLESS против WireGuard и OpenVPN: честное сравнение

Вопрос «что лучше» здесь, на мой взгляд, некорректен, потому что это инструменты под разные задачи, но раз уж все сравнивают — давайте сравним.

Если огрублять — а огрублять тут, скажем так, приходится: WireGuard — гоночная машина без брони, быстрее всех на открытой трассе, но заметна издалека и на блокпосте её снимают первой. OpenVPN — старый внедорожник, едет везде и со всем совместим, но небыстро и опознаётся отлично. VLESS с Reality — машина без опознавательных знаков в общем потоке.

Нужна максимальная скорость и никто не фильтрует — берите WireGuard, я серьёзно, он прекрасен. Нужно, чтобы работало там, где фильтруют, — выбор, увы, невелик.

Клиенты: что ставить на ваше устройство

Тут главная засада для новичка, и я её недооценивал, пока не начал объяснять всё это родственникам. VLESS — протокол, а не приложение: своего единого клиента у него нет, вместо этого зоопарк программ очень разной дружелюбности. Разложу по платформам, названия кликабельны.

Android

v2rayNG — рабочая лошадка, некрасивая, но надёжная. Hiddify — поприятнее интерфейсом и умеет сам выбирать лучший узел. v2RayTun и Happ — если хочется, чтобы просто работало. NekoBox — для тех, кто любит покрутить. Surfboard — тоже неплох.

iOS и iPadOS

Streisand и Happ — сейчас самый простой путь. Shadowrocket — классика, платная, но свои деньги отрабатывает. Quantumult X, Loon, FoXray, v2RayTun — тоже работают.

Отдельная боль: приложения регулярно выпиливают из российского App Store. Лечится сменой региона учётки — законно и бесплатно.

Windows

v2rayN — стандарт де-факто. NekoRay — удобнее визуально. Hiddify, Clash Verge Rev, FlClash — если нужна гибкая маршрутизация по правилам.

macOS

Streisand, FoXray, Hiddify. Для продвинутых — Surge и Stash, оба платные и оба своих денег стоят, если вы понимаете, зачем вам правила.

Linux, роутеры, экзотика

sing-box и NekoRay. С роутерами сложнее и зависит от прошивки: планируете VLESS на роутере — напишите в поддержку до покупки, сэкономите вечер.

Не знаете, что выбрать, — берите Hiddify на Android и Windows, Streisand на технике Apple. Промахнуться сложно, я этот совет выдаю раз в неделю. Полный список — на странице VPN-клиентов.

Как подключиться: минимальный маршрут

Пять шагов. Реально пять, я не для красоты округляю.

1. Получаете ссылку-подписку в личном кабинете. Не ключ — подписку.
2. Ставите клиент из списка выше.
3. Импортируете подписку. На телефоне — через QR-код, секунд десять. На компьютере — копируете ссылку и жмёте «добавить из буфера».
4. Обновляете список серверов и выбираете узел.
5. Подключаетесь и проверяете соединение: адрес должен смениться, утечек DNS быть не должно.

Последний пункт не пропускайте, я серьёзно. Это тридцать секунд, а находит он вещи, о которых вы бы иначе не узнали.

Что обычно идёт не так

Судя по обращениям в поддержку, набор проблем удивительно однообразен, и это, если честно, хорошая новость: почти всё чинится за пару минут и самостоятельно.

Не подключается вообще. В девяти случаях из десяти конфиг скопирован не полностью: строка vless:// длинная, и при копировании из мессенджера у неё отгрызается хвост. Скопируйте заново, целиком, я предупреждал.

Подключилось, но интернета нет. Похоже на MTU, я бы начал с него. Поищите это поле в настройках и поставьте что-нибудь в районе 1380–1400. Почему именно столько, я не знаю до сих пор: подбирается эмпирически.

Работало вчера, сегодня нет. Обновите подписку — обычно это отдельная кнопка со стрелочками. Скорее всего, сервер сменился, а клиент об этом не знает.

Медленно. Смените узел, у меня это решает половину жалоб. Первый попавшийся сервер не обязательно лучший: он может быть просто первым в списке, а не ближайшим географически, и разница между узлами бывает трёхкратная.

Российские сайты перестали открываться. Ожидаемо, кстати. Госуслуги, банки и маркетплейсы часто блокируют иностранные адреса, лечится раздельным туннелированием: добавляете домены в исключения, и они ходят напрямую. Пять минут, и вы об этом не вспоминаете.

Постоянная капча. Общий адрес, которым пользуетесь не вы один. Бесит — есть выделенный адрес, чистый и только ваш.

Коротко, если вы всё пролистали

VLESS не шифрует — за это отвечает TLS, и это правильное разделение обязанностей, а не дыра.

UUID — это пароль. Никому не показывайте.

Подписка лучше одиночного ключа. Не обсуждается.

Reality — причина, по которой всё это вообще работает там, где не работает остальное.

А будет ли оно работать через год? Честно — не знаю, и никто не знает, а кто говорит обратное, тот продаёт вам уверенность, которой у него нет: появится новый способ фильтрации, появится новый ответ на него, так было всегда. Но сегодня, в сентябре 2026-го, VLESS с Reality — лучшее из доступного, и перейти на следующее вы сможете обновлением подписки, а не покупкой нового сервиса.

Тест на 14 дней — бесплатно, карта не нужна. Проверьте на своих устройствах и своём провайдере, прежде чем платить. Так честнее.

Частые вопросы

Что такое VLESS простыми словами?

Протокол из проекта Xray, отвечающий за то, как ваш трафик доходит до сервера и обратно. Сам ничего не шифрует — этим занимается TLS. Ценность его в том, что в связке с Reality он неотличим от обычного посещения сайтов.

Чем VLESS отличается от VMess?

VMess шифрует данные сам и проверяет синхронизацию времени между клиентом и сервером. VLESS не делает ни того, ни другого: шифрование отдано TLS, проверка времени убрана. Меньше нагрузки, выше скорость, меньше внезапных обрывов.

VLESS шифрует трафик?

Сам — нет. Но трафик зашифрован: этим занимается транспортный слой, TLS или XTLS. Защита не хуже, чем у протоколов со встроенным шифрованием, а работает быстрее: нет двойного прохода.

Какой клиент выбрать для VLESS?

Android и Windows — Hiddify. Устройства Apple — Streisand или Happ. Нужна гибкая маршрутизация по правилам — Clash Verge Rev на Windows, Surge или Stash на macOS. Все варианты собраны в разделе клиентов.

Почему VLESS не подключается?

Чаще всего — неполностью скопированный конфиг или устаревшая подписка. Обновите подписку, попробуйте другой сервер, проверьте MTU. Если не помогло — напишите в поддержку и приложите название клиента, платформу и текст ошибки.

VLESS законно использовать?

Сам протокол шифрования и туннелирования ничем не отличается от тех, что используют банки и корпоративные сети. Использование VPN физлицом в России не запрещено — ограничения касаются распространения средств обхода и доступа к запрещённой информации.