Что такое ключ для VPN?

Это текстовая строка вида vless://, vmess://, trojan:// или ss://, в которой записаны адрес сервера, порт, протокол, идентификатор пользователя и параметры шифрования. Приложение-клиент читает строку и подключается к одному конкретному серверу. Подробнее в статье ключи для Happ.

Что такое VLESS VPN?

VLESS — это лёгкий протокол из ядра Xray. Собственного шифрования у него нет, поэтому его всегда используют вместе с TLS или Reality. Связка VLESS и Reality маскирует подключение под обычное соединение TLS 1.3 с настоящим сторонним сайтом.

Чем ключ отличается от подписки?

Ключ описывает один сервер и не меняется: если сервис заменит сервер, ключ перестанет работать. Подписка — это ссылка на список серверов, который приложение само загружает и обновляет.

Работает ли WireGuard в России?

С 2023 года мобильные операторы массово блокировали WireGuard и OpenVPN, об этом в августе 2023 года писал ComNews. Рассчитывать на чистый WireGuard для повседневного подключения не стоит. AmneziaWG 3.x, это его вариант с убранными сигнатурами.

Outline VPN ещё работает?

Outline использует внутри протокол Shadowsocks. Надёжных датированных сообщений о его статусе в России мы не нашли. Последний релиз сервера Outline на GitHub вышел 24 февраля 2025 года.

Чем AmneziaWG отличается от WireGuard?

Шифрование то же, но AmneziaWG убирает узнаваемые признаки: добавляет случайные заголовки, мусорные пакеты и пакеты, похожие на QUIC или DNS. Версию 3.x разработчики выпустили в ответ на блокировки в России летом 2026 года. В Happ AmneziaWG нет, его поддерживает, например, INCY.

Можно ли открыть ключ vless:// в Happ?

Да. Happ поддерживает VLESS с Reality и xHTTP, а также VMess, Trojan, Shadowsocks и SOCKS. Ключ копируют и вставляют через плюс в приложении.

Что такое конфигурация VPN?

Это полный файл настроек клиента: кроме сервера в нём могут быть правила маршрутизации и DNS. Ключ и подписка проще, а конфигурация гибче. Подробнее в статье конфигурации для Happ.

Протоколы VPN и что такое ключ vless://

Проверено: 14 сентября 2026 По спецификациям протоколов и документации проектов

Протокол VPN — это набор правил, по которым приложение на телефоне и сервер договариваются о шифровании и упаковывают трафик. От протокола зависит, насколько соединение заметно для систем фильтрации у провайдера. А ключ для VPN, например строка vless://..., это готовая запись всех параметров подключения к одному серверу по конкретному протоколу.

Ниже сравнение двенадцати протоколов, объяснение Reality простыми словами и разбор того, что написано внутри ключа. Технические данные взяты из спецификаций и официальной документации проектов. События в России указаны только там, где есть датированные сообщения; если таких данных нет, мы так и пишем. Если вы только начинаете разбираться, сначала загляните в статью что такое VPN.

Коротко

Классические протоколы (PPTP, L2TP/IPsec, IKEv2, OpenVPN, WireGuard) создавались для защиты данных, а не для маскировки. Их узнают по портам, заголовкам и размерам пакетов.
Протоколы с маскировкой (VLESS с Reality, xHTTP, Trojan, Hysteria 2, AmneziaWG 3.x) стараются выглядеть как обычный HTTPS, HTTP/3 или неприметный UDP-трафик.
Протокол не единственный фактор. Часть ограничений в России направлена на адреса серверов и сети хостингов, а не на сам протокол. Поэтому не меньше важна быстрая замена серверов.
Ключ описывает один сервер. Подписка даёт список серверов, который приложение обновляет само.

Сравнительная таблица протоколов

Протокол	Транспорт	Шифрование	Чем заметен для DPI	Что известно о России
PPTP	TCP 1723 и GRE	MPPE и MS-CHAPv2, криптографически сломан	Отдельный протокол GRE и фиксированный порт	Датированных данных нет, протокол небезопасен сам по себе
L2TP/IPsec	UDP 1701 внутри IPsec, UDP 500 и 4500	IPsec ESP, сам L2TP не шифрует	Известные порты и открытый заголовок IKE	Конец 2025: жалобы на блокировку в ряде регионов (РБК)
IKEv2/IPsec	UDP 500 и 4500	IPsec ESP, например AES-GCM	Известные порты и открытый заголовок IKE (вывод из спецификации)	Датированных данных нет
OpenVPN	UDP или TCP	TLS для управления, AES-GCM и другие для данных	Байтовый шаблон, размеры пакетов, ответы на проверочные запросы	Август 2023: массовые блокировки у мобильных операторов (ComNews)
WireGuard	Только UDP	ChaCha20-Poly1305, Curve25519	Фиксированные размеры служебных сообщений	Август 2023: массовые блокировки у мобильных операторов (ComNews)
AmneziaWG 3.x	UDP	Как у WireGuard	Сигнатуры WireGuard убраны: случайные заголовки, мусорные пакеты, имитация QUIC и DNS	С мая по июль 2026: волны блокировок серверов, версия 3.x выпущена в ответ (Amnezia)
Shadowsocks, Outline	TCP и UDP	AEAD, например 2022-blake3-aes-256-gcm	Поток похож на случайные байты, и это само по себе признак	Датированных данных нет
VMess	Любой транспорт Xray	AES-128-GCM или ChaCha20-Poly1305	Без TLS тот же признак «случайного» потока	Датированных данных нет
VLESS + Reality	TCP, xHTTP или gRPC	У VLESS своего нет, защищает Reality (TLS 1.3)	Выглядит как TLS 1.3 к настоящему сайту; против распознавания вложенного TLS есть режим Vision	Конец 2025: жалобы на блокировку VLESS в ряде регионов (РБК)
xHTTP	HTTP/1.1, HTTP/2, HTTP/3	TLS или Reality	Похож на обычные HTTP-запросы, может идти через CDN	Датированных данных нет; для сетей CDN действуют общие ограничения (ниже)
Trojan	TCP и TLS	TLS	Похож на HTTPS, чужие запросы уходят на обычный веб-сервер	Датированных данных нет
Hysteria 2	UDP, QUIC	TLS 1.3 внутри QUIC	Похож на HTTP/3; без пароля сервер ведёт себя как обычный веб-сервер	Датированных данных нет

Столбец про DPI описывает, за что протокол можно зацепить по спецификации и исследованиям, а не гарантирует результат у конкретного оператора. «Датированных данных нет» тоже не значит «работает»: надёжных сообщений с датой просто не нашлось. PPTP в таблице для полноты: ещё в 2012 году Microsoft признала, что стойкость его аутентификации MS-CHAPv2 сводится к одному ключу DES независимо от длины пароля.

Формально Shadowsocks, VMess, VLESS и Trojan прокси-протоколы, но приложения на телефоне включают их через системный VPN-интерфейс, поэтому для пользователя разницы почти нет. Подробнее в статье VPN и прокси.

Почему одни протоколы заметнее других

DPI (глубокий анализ пакетов) — это оборудование у провайдера. Содержимое зашифрованного трафика оно не читает, зато смотрит на форму: порты, первые байты, размеры пакетов, реакцию сервера на проверочные запросы.

Фиксированные заголовки и размеры

У WireGuard первое сообщение рукопожатия всегда занимает 148 байт, ответ 92 байта, а работает протокол только по UDP (спецификация WireGuard). Разработчики Amnezia прямо пишут, что именно эти предсказуемые заголовки и размеры узнаёт DPI.

OpenVPN разобрали в исследовании «OpenVPN is Open to VPN Fingerprinting» (USENIX Security, 2022): по байтовому шаблону, размерам пакетов и реакции сервера на зонды на данных провайдера с миллионом пользователей удалось выявить более 85% потоков OpenVPN. IKEv2 и L2TP/IPsec работают на известных портах UDP 500 и 4500 с незашифрованным заголовком IKE; это вывод из спецификации, измерений мы не нашли.

Слишком случайный трафик

Shadowsocks, Outline и VMess без TLS шифруют весь поток, и он выглядит как случайные байты. Но отсутствие узнаваемого формата тоже признак. В ноябре 2021 года Великий китайский файрвол начал блокировать трафик, похожий на случайный: без печатаемых символов в начале и без заголовков TLS или HTTP. Блокировалось около 26% таких соединений, и только к диапазонам адресов популярных дата-центров (USENIX Security 2023). Это опыт Китая, а не России, но логику фильтрации он показывает хорошо.

Маскировка под обычный веб

Reality, Trojan, xHTTP и Hysteria 2 идут другим путём: выглядят как HTTPS или HTTP/3. Слабое место у них одно: TLS внутри TLS. По аннотации исследования на USENIX Security 2024, трафик таких прокси распознаётся по вложенному рукопожатию даже со случайным дополнением. Для этой проблемы в Xray есть режим потока xtls-rprx-vision, который добавляет случайное дополнение к внутреннему рукопожатию.

AmneziaWG, тот же WireGuard без сигнатур

AmneziaWG — это форк WireGuard, в котором убраны узнаваемые признаки. По документации Amnezia, протокол добавляет случайные префиксы и заголовки, мусорные пакеты и «сигнатурные» пакеты, похожие на QUIC или DNS, а с версии 2.0 меняет заголовки и размеры на протяжении всей сессии. Версию 3.x разработчики сделали в ответ на масштабные блокировки в России летом 2026 года. С выключенной обфускацией AmneziaWG совместим с обычным WireGuard.

Что известно о блокировках в России

Датированные события из надёжных источников:

2023. Перебои начались в конце мая, а 8 августа 2023 года ComNews сообщил, что мобильные операторы массово блокируют OpenVPN и WireGuard.
С 9 июня 2025 года. По данным Cloudflare, ряд российских провайдеров обрывает соединения с сайтами за Cloudflare после первых 16 КБ, в том числе по HTTP/3. Помехи, по тем же данным, затрагивают и сети хостингов Hetzner, DigitalOcean и OVH. Под удар здесь попадает сеть, а не протокол.
Конец ноября и начало декабря 2025 года. После обновления ТСПУ пользователи массово жаловались на блокировку SOCKS5, VLESS и L2TP в ряде регионов (РБК, пересказ на Habr).
С 20 мая по 25 июля 2026 года. Серверы Amnezia блокировали волнами. По словам разработчиков (Habr, 10 сентября 2026 года), их вычисляли по сочетанию нескольких косвенных признаков. Ответом стала AmneziaWG 3.x.

Для IKEv2, SSTP, Shadowsocks и Outline, Trojan, Hysteria 2 и xHTTP датированных сообщений из надёжных источников мы не нашли. Общая картина: фильтрация бьёт и по сигнатурам протоколов, как в 2023 году, и по адресам серверов и сетям хостингов, как в 2025 и 2026 годах. Даже хорошо замаскированный протокол не поможет, если заблокирован адрес сервера, поэтому сервисы меняют серверы, а не только протоколы. Что делать, если подключение пропало, в статье VPN не работает.

Reality и xHTTP простыми словами

Представьте здание, куда каждый день заходят тысячи людей. Охрана видит, что вы идёте туда же, куда все, но по пропуску вы проходите в служебную дверь. Проверяющего без пропуска вежливо проводят в обычный зал, и ничего необычного он не увидит. Reality работает примерно так.

Что происходит технически

Маска из чужого сайта. Документация Xray называет Reality модифицированным TLS, который использует внешний вид и рукопожатие настоящего стороннего сайта как камуфляж.
Что видит провайдер. Имя сайта (SNI) в TLS передаётся открытым текстом, так устроен протокол. При Reality провайдер видит соединение TLS 1.3, в котором указано имя сайта-маски.
Проверка ключа. Клиент с правильным ключом попадает в прокси. Соединения без ключа сервер пересылает на настоящий сайт, поэтому проверяющий зонд видит обычный сайт.
Отпечаток браузера. Клиент обязательно копирует рукопожатие популярного браузера (параметр fingerprint), чтобы не выделяться на фоне обычного трафика.
Без своего домена. Свой домен и сертификат не обязательны. Сайт-маска должен быть зарубежным, поддерживать TLS 1.3 и HTTP/2 и открываться без редиректа.

Ограничение простое: Reality прячет вид трафика, но не адрес сервера. Если заблокирован IP, маскировка не поможет.

xHTTP

xHTTP (раньше назывался SplitHTTP) — это транспорт Xray поверх HTTP. Отправка данных идёт отдельными запросами, получение потоком, заголовки дополняются случайным «наполнителем». Работает по HTTP/1.1, HTTP/2 и HTTP/3, шифруется через TLS или Reality и умеет ходить через CDN. На xHTTP поверх TLS, например, у некоторых сервисов работают отдельные серверы для мобильного интернета в режиме белых списков, подробнее в статье Happ и белые списки. У CDN свои риски: с июня 2025 года у ряда российских провайдеров соединения с сетью Cloudflare обрываются после 16 КБ.

Что такое ключ vless://

Ключ — это одна текстовая строка, в которой записано всё, что нужно приложению для подключения к одному серверу. Схематично она выглядит так:

vless://ID@адрес:порт ?type=tcp&security=reality &sni=...&pbk=...&sid=... &fp=...&flow=... #Название

Часть	Что означает
`vless://`	Протокол. Встречаются также `vmess://`, `trojan://`, `ss://` (Shadowsocks)
ID, адрес, порт	Идентификатор пользователя (по сути пароль) и сервер, к которому подключаться
`type`, `security`	Транспорт (`tcp`, `xhttp`, `grpc`) и слой защиты (`reality` или `tls`)
`sni`	Имя сайта, которое увидит провайдер; для Reality это сайт-маска
`pbk`, `sid`	Публичный ключ и короткий идентификатор сервера Reality
`fp`	Какой браузер изображать при рукопожатии
`flow`, `#Название`	Режим потока (например, Vision) и подпись сервера в списке приложения

Ключ, подписка и конфигурация

Ключ описывает один сервер и не меняется. Если сервис заменит сервер, ключ перестанет работать.
Подписка — это ссылка, по которой приложение загружает актуальный список серверов и затем обновляет его само.
Конфигурация — это полный файл настроек клиента, в котором кроме сервера могут быть правила маршрутизации и DNS. Подробнее в статье конфигурации для Happ.

Happ открывает ключи VLESS (с Reality и xHTTP), VMess, Trojan, Shadowsocks и SOCKS. Для WireGuard и AmneziaWG обычно выдают файл конфигурации; Happ их не поддерживает, а, например, INCY поддерживает.

Ключ даёт доступ к серверу любому, у кого он есть. Не публикуйте его в чатах и не отправляйте незнакомым. Если ключ утёк, сбросьте его в кабинете сервиса. С публичными бесплатными ключами обратная проблема: ваш трафик идёт через сервер незнакомого человека. Где брать ключи и как проверить, жив ли ключ, в статье ключи для Happ.

Какой протокол выбрать

Обычному пользователю выбирать протокол вручную почти не приходится: его задаёт сервис, а от вас нужны приложение-клиент и подписка. Ориентиры такие:

Встроенный VPN в настройках телефона или компьютера работает на классических протоколах вроде IKEv2 и L2TP/IPsec. Для России это слабый вариант: такие протоколы узнаются по портам и заголовкам, а на блокировку L2TP в конце 2025 года массово жаловались.
OpenVPN и чистый WireGuard мобильные операторы массово блокировали ещё в 2023 году. Если нужен протокол семейства WireGuard, смотрите на AmneziaWG 3.x и приложение с его поддержкой.
VLESS с Reality или xHTTP, Trojan поддерживает Happ на ядре Xray; INCY дополнительно умеет WireGuard и AmneziaWG.
Смотрите не только на протокол. Важно, как быстро сервис меняет заблокированные серверы, есть ли несколько стран и отдельные варианты для мобильного интернета.

Серверы Milky, партнёра справочника, работают на VLESS с Reality (TCP) в 7 странах, а для мобильного интернета в режиме белых списков есть отдельная локация на xHTTP поверх TLS. Подписку рекомендуется открывать в Happ или INCY, а проверить её на своём операторе можно на пробном тарифе: 3 дня и 10 ГБ за 19 ₽, без автосписаний. Оформить на сайте или прочитать обзор Milky.

Частые вопросы

Что такое ключ для VPN?: Это текстовая строка вида vless://, vmess://, trojan:// или ss://, в которой записаны адрес сервера, порт, протокол, идентификатор пользователя и параметры шифрования. Приложение-клиент читает строку и подключается к одному конкретному серверу. Подробнее в статье ключи для Happ.
Что такое VLESS VPN?: VLESS — это лёгкий протокол из ядра Xray. Собственного шифрования у него нет, поэтому его всегда используют вместе с TLS или Reality. Связка VLESS и Reality маскирует подключение под обычное соединение TLS 1.3 с настоящим сторонним сайтом.
Чем ключ отличается от подписки?: Ключ описывает один сервер и не меняется: если сервис заменит сервер, ключ перестанет работать. Подписка — это ссылка на список серверов, который приложение само загружает и обновляет.
Работает ли WireGuard в России?: С 2023 года мобильные операторы массово блокировали WireGuard и OpenVPN, об этом в августе 2023 года писал ComNews. Рассчитывать на чистый WireGuard для повседневного подключения не стоит. AmneziaWG 3.x, это его вариант с убранными сигнатурами.
Outline VPN ещё работает?: Outline использует внутри протокол Shadowsocks. Надёжных датированных сообщений о его статусе в России мы не нашли. Последний релиз сервера Outline на GitHub вышел 24 февраля 2025 года.
Чем AmneziaWG отличается от WireGuard?: Шифрование то же, но AmneziaWG убирает узнаваемые признаки: добавляет случайные заголовки, мусорные пакеты и пакеты, похожие на QUIC или DNS. Версию 3.x разработчики выпустили в ответ на блокировки в России летом 2026 года. В Happ AmneziaWG нет, его поддерживает, например, INCY.
Можно ли открыть ключ vless:// в Happ?: Да. Happ поддерживает VLESS с Reality и xHTTP, а также VMess, Trojan, Shadowsocks и SOCKS. Ключ копируют и вставляют через плюс в приложении.
Что такое конфигурация VPN?: Это полный файл настроек клиента: кроме сервера в нём могут быть правила маршрутизации и DNS. Ключ и подписка проще, а конфигурация гибче. Подробнее в статье конфигурации для Happ.