Типовое обращение в поддержку: «поставил Shadowsocks, всё настроил по инструкции, но половина приложений всё равно не работает, а сайт проверки упорно показывает мой домашний адрес». И человек не понимает, где именно он накосячил.
Нигде не накосячил. Оно так и работает, и мне каждый раз неловко это отвечать.
Просто Shadowsocks — не VPN, хотя его почти везде так называют, и я сам лет пять называл, пока не начал объяснять это другим и не понял, что объясняю неправильно. Разница не в терминологии, а в том, какой трафик вообще попадает в туннель. Пока её не ухватишь, вопрос «почему не весь интернет идёт через прокси» будет возвращаться.
Прокси, а не VPN: почему это не придирка к словам
VPN поднимает на устройстве виртуальный сетевой интерфейс и перехватывает трафик на уровне системы, так что всё, что отправляет любая программа, включая системные службы, уходит в туннель, а сама программа об этом даже не догадывается. Shadowsocks работает иначе. Он поднимает локальный прокси-сервер и ждёт, пока к нему кто-нибудь придёт. Придёт — перешлёт зашифрованным каналом. Не придёт — не перешлёт. Он никого не перехватывает и ни к чему не принуждает, и в этой пассивности вся суть.
Заземлю, потому что абстракции тут плохо заходят. VPN — это когда весь дом переехал по новому адресу и почта идёт туда автоматически, независимо от того, кто её отправил. Прокси — это когда вы попросили курьера возить только те письма, которые вложили ему в руки. Остальные уйдут по старому адресу: курьер про них ничего не знает. Отсюда прямое следствие, которое я повторяю в переписке чуть ли не еженедельно: браузер, которому вы явно прописали прокси, пойдёт через Shadowsocks, а мессенджер, который про прокси не знает, — не пойдёт.
Обойти это, впрочем, можно: прозрачное проксирование, VPN-обёртки на телефоне. Работает. Но это надстройка поверх, а не свойство самого протокола, и путать их не надо.
[Изображение: схема — что идёт через Shadowsocks, а что мимо]
Почему трафик Shadowsocks выглядит как случайный шум
Сделано красиво. Я до сих пор считаю эту идею одной из самых изящных в своей области и, признаюсь, немного к ней пристрастен — это был мой первый прокси вообще.
У большинства протоколов есть заголовки: служебные поля, версия, тип сообщения, длина — всё, по чему протокол опознаётся, даже если содержимое зашифровано. У Shadowsocks заголовков нет. Вообще никаких. Соединение открывается, и в него сразу льются зашифрованные байты — ни рукопожатия, ни приветствия, ни единого опознавательного знака, так что для наблюдателя со стороны это выглядит как поток случайных данных.
Ключ, к слову, выводится из пароля, шифрование современное, с проверкой целостности: подменят данные по дороге — соединение развалится. С криптографией тут всё в порядке, и претензий у меня нет. Проблема оказалась в другом месте. О ней ближе к концу.
Плагины: v2ray-plugin, simple-obfs и что они дают
Когда «просто случайные байты» перестало быть достаточной маскировкой, появились плагины. Я застал этот переход и помню, как быстро всё поменялось.
simple-obfs был первым массовым решением: он оборачивал поток так, чтобы начало соединения походило на HTTP-запрос или TLS-рукопожатие. Дёшево, сердито, какое-то время работало прекрасно. Сейчас устарел и не развивается: камуфляж оказался поверхностным, похоже было только начало, а дальше шёл всё тот же шум.
v2ray-plugin сделан заметно серьёзнее. Он умеет заворачивать Shadowsocks в WebSocket и поднимать поверх настоящий TLS с вашим доменом и вашим сертификатом, и снаружи это уже не «странный поток», а вполне убедительное соединение с веб-сервером.
Плагин обфускации Shadowsocks решает одну задачу: убрать статистическую аномалию. Парадокс, который мне когда-то вправил мозги: абсолютная случайность в сети — это тоже признак. Нормальный трафик так не выглядит. Цена известна: плагин нужен на обеих сторонах, а домен с сертификатом надо где-то взять и потом поддерживать.
[Изображение: иллюстрация работы плагина обфускации поверх Shadowsocks]
Shadowsocks, VLESS и WireGuard: что в чём отличается
| Свойство | Shadowsocks | VLESS + Reality | WireGuard |
|---|---|---|---|
| Что это по сути | Прокси | Прокси с маскировкой | Полноценный VPN |
| Охват трафика | Только то, что направили вручную | Зависит от клиента, чаще всё | Весь трафик устройства |
| Системные службы | Идут мимо | Обычно в туннеле | В туннеле |
| DNS-запросы | Часто утекают напрямую | Как правило, в туннеле | В туннеле |
| Внешний вид трафика | Случайный поток | Обычный HTTPS | Узнаваемый UDP |
| Нужен ли домен | Только с плагином | Нет, берётся чужой | Нет |
| Сложность запуска | Низкая | Средняя | Низкая |
| Устойчивость к фильтрации | Средняя, без плагина низкая | Высокая | Низкая |
| Работа на роутере | Через прошивку или костыли | Нужны допкомпоненты | Часто встроен |
Если отвечать на вопрос «Shadowsocks или VPN» одной строкой: прокси решает доступ к конкретным сайтам, VPN — защиту всего устройства.
Что остаётся за бортом: системный трафик, приложения и DNS
Самый практичный раздел, на мой взгляд. Читайте внимательно.
DNS. Главная дыра, и я в неё когда-то провалился сам. Браузер идёт через прокси, но прежде должен узнать адрес сайта, и спрашивает он у системного резолвера — то есть у DNS вашего провайдера, напрямую, мимо туннеля. В результате провайдер видит список доменов, даже не заглядывая в трафик. Лечится включением проксирования DNS в клиенте, и такая настройка есть почти везде. Только она не всегда включена по умолчанию, и люди годами ловят утечки, будучи уверенными, что у них всё закрыто. Проверить — полминуты на странице диагностики.
Системные службы. Обновления, синхронизация времени, телеметрия, push-уведомления — всё это живёт вне браузера и про ваш прокси не знает ничего.
Приложения без поддержки прокси. Многие десктопные программы через прокси не умеют или умеют криво. Игры, клиенты облачных дисков, рабочий софт ходят напрямую, и никто вас об этом не предупредит.
Outline: та же технология, но с человеческим лицом
Outline VPN часто воспринимают как отдельный продукт, хотя по сути это обёртка вокруг Shadowsocks: сервер разворачивается почти в один клик, ключи выдаются понятными строками. Порог входа реально низкий: человек, ни разу не видевший консоли, поднимает себе сервер и раздаёт доступ семье. Я, кстати, именно через Outline заводил доступ родителям, и это был единственный раз, когда мне не пришлось потом ничего объяснять по телефону.
Ограничения ровно те, которых и ждёшь. Под капотом всё тот же Shadowsocks со всеми его свойствами, включая прокси-природу и историю с DNS. Тонкая настройка с обфускацией тут недоступна. И сервер ваш, а значит, обновления, устойчивость и реакция на блокировку адреса — тоже ваши. Как настроить Outline — вопрос на десять минут по документации. Важнее понимать, что вы получаете: удобный прокси, а не полноценный туннель.
Когда Shadowsocks — правильный выбор
Сценарии, где он хорош, никуда не делись, и я их люблю.
Нужен доступ к паре сайтов из браузера — прокси справится и, что важнее, не сломает попутно доступ к банкам и госсервисам, которые не любят внезапно уехавший адрес.
Слабое железо. Старый ноутбук, одноплатник, роутер из позапрошлой эпохи — Shadowsocks нетребователен и заведётся там, где нормальный туннель будет еле ползти.
Гибкая маршрутизация по правилам: один узел для одних доменов, другой для других, всё остальное напрямую. Клиенты вроде Clash Verge Rev работают с этим давно, и вот тут прокси-природа из недостатка превращается в достоинство.
И антисценарий, скажем так, главный. Нужна приватность целиком, а не доступ к отдельным сайтам, — это не ваш инструмент. Тут нужен туннель, который забирает весь трафик устройства.
Почему его всё чаще ловят и что пришло на смену
Возвращаясь к тому, на чём я остановился раньше: проблема Shadowsocks оказалась не в криптографии.
Поток без заголовков и структуры — сам по себе аномалия, и это выяснилось не сразу. Достаточно посмотреть на распределение байтов в первых пакетах, на тайминги и размеры, чтобы «слишком случайный» поток выделился из общей массы, как человек в чёрном на снегу. Добавьте сюда активную проверку. Система сама стучится на тот же адрес и порт и смотрит, что ей ответят. Сервер без плагина отвечает на такой стук тишиной или разрывом. Веб-сервер так себя не ведёт никогда. Признак готов, правило написано, адрес поехал в список.
Именно поэтому shadowsocks в чистом виде в России к 2026 году работает нестабильно: где-то живёт неделями, где-то умирает за считаные часы. С хорошим плагином дольше, но это всё равно гонка, в которой вы постоянно догоняете, и мне она, если честно, надоела раньше, чем я успел в ней преуспеть.
На смену пришла другая идея. Не «не быть похожим ни на что», а «быть похожим на конкретный разрешённый ресурс». VLESS с Reality не отвечает тишиной на проверку — за ним стоит реальный популярный сайт с настоящим сертификатом. Механику я разбирал в отдельном материале про VLESS, а общая картина по блокировкам — на странице про обход блокировок РКН.
Что стоит унести с собой
Shadowsocks — прокси. Он закрывает то, что вы ему явно отдали, и ровно ничего больше. Системный трафик и DNS по умолчанию идут мимо.
Без плагина обфускации современные фильтры его находят, и находят, к слову, не по содержимому, а по статистике потока и по реакции сервера на проверку.
Как инструмент точечного доступа он всё ещё хорош: лёгкий, быстрый, гибкий в маршрутизации. Как средство защиты всего устройства не подходит, и это не недостаток, а природа. Обижаться тут не на что.
Если нужен туннель для всего устройства, а не для одного браузера, берите VPN. У нас это VLESS с Reality, WireGuard и OpenVPN в одном тарифе, 14 дней теста без карты, клиенты — в разделе загрузок. Проверьте на своём провайдере до того, как платить, — это разумнее любых обзоров, включая мои.
Частые вопросы
Shadowsocks — это VPN?
Нет, это зашифрованный прокси. VPN перехватывает весь трафик устройства на системном уровне, а Shadowsocks передаёт только то, что приложение само в него направило. Отсюда и типовая жалоба: браузер работает через туннель, а мессенджер, обновления и DNS-запросы идут напрямую.
Чем Shadowsocks отличается от VLESS?
Оба по своей природе прокси, но маскируются по-разному. Shadowsocks делает трафик похожим на случайный шум, а VLESS с Reality — на обычное HTTPS-соединение с реально существующим сайтом, включая настоящий сертификат. При активной проверке сервера второй подход держится заметно лучше, плюс у VLESS шире поддержка клиентов и удобнее работа с подписками.
Безопасен ли Shadowsocks?
С точки зрения шифрования — да, современные наборы шифров стойкие и с контролем целостности. Небезопасно другое: трафик, который идёт мимо прокси, и утечки DNS, если проксирование запросов не включено. И, разумеется, всё содержимое проходит через сервер, поэтому кому вы доверяете этот сервер — вопрос совсем не праздный.
Что такое Outline?
Готовая реализация Shadowsocks с простым разворачиванием сервера и удобной выдачей ключей. Технически это тот же протокол со всеми его свойствами, но с человеческим интерфейсом и управлением доступом. Порог входа низкий, гибкости меньше, сервер и его обслуживание — полностью на вас.
