Контакты

Руководство

Открытые VPN-протоколы: что ещё работает в Китае и России

·Команда Openscore VPN

протоколы VPN · Китай · Россия · цензура · WireGuard · VLESS

«Какой протокол VPN лучше?» имеет два разных ответа, потому что под словом «VPN» скрываются две разные работы. Одна из задач — конфиденциально и быстро переместить ваш трафик за пределы обычной сети. Другой вариант — пропустить этот трафик через национальный межсетевой экран, который активно пытается его идентифицировать и отсечь. Протоколы, выигравшие первое задание, чаще всего проигрывают второе.

Все, что представлено ниже, имеет открытый исходный код, поэтому его дизайн является общедоступным, а не маркетинговым заявлением. Вы можете прочитать код и спецификации самостоятельно, и каждый источник, на который мы опираемся, имеет ссылку в конце. Если речь идет о цензуре, мы датируем ее: брандмауэры и инструменты одновременно развиваются ежемесячно, а протокол, который был «неблокируемым» в январе, можно будет обнаружить к апрелю.

Классические протоколы VPN с открытым исходным кодом

Это туннели общего назначения. Они были созданы для конфиденциальности и производительности, и, за одним частичным исключением, они не пытаются скрыть тот факт, что они являются VPN.

WireGuard — это современный стандарт по умолчанию. Его криптография фиксирована и не подлежит обсуждению: ChaCha20-Poly1305 для шифрования, Curve25519 для обмена ключами, BLAKE2 для хеширования, и все это заключено в рукопожатие Noise_IK 1-RTT протокола Noise, при этом каждый пакет передается по UDP. Удаление согласования алгоритма предотвращает атаки на понижение версии и сохраняет небольшую кодовую базу, а обработка внутри ядра делает его заметно быстрее и с меньшей задержкой, чем OpenVPN на том же оборудовании (точные цифры во многом зависят от теста; собственная страница производительности WireGuard теперь отрицает опубликованные тесты как «старые, ненадежные и не очень хорошо проведенные»). Платой за этот минимализм является видимость: фиксированный тип заголовка сообщения и пакет подтверждения фиксированного размера позволяют легко идентифицировать WireGuard, и именно поэтому он входит в число первых протоколов, блокируемых цензурой.

OpenVPN — ветеран. Он использует канал управления TLS и канал зашифрованных данных, мультиплексированный через один порт TCP или UDP, и наследует все шифры, предоставляемые OpenSSL (современные конфигурации используют AES-GCM). Он чрезвычайно гибок и может скрываться на TCP 443, но его путь передачи данных в пользовательском пространстве, в основном одноядерный, медленнее, и он полностью распознается по отпечаткам пальцев: рецензируемое исследование USENIX Security 2022 выявило более 85% ванильных потоков OpenVPN «лишь с незначительными ложными срабатываниями» с использованием последовательности байтов его кода операции плюс активное зондирование.

IPsec/IKEv2, использующий демоны StrongSwan или libreswan с открытым исходным кодом, быстр (шифрование уровня данных выполняется в ядре) и действительно хорош в роуминге между сетями благодаря MOBIKE, поэтому его часто выбирают для мобильных устройств. Но его обмен ключами происходит на фиксированных портах UDP 500 и 4500 с характерным рукопожатием, поэтому его легко снять с помощью отпечатков пальцев, и он часто блокируется брандмауэром.

OpenConnect / ocserv (открытая повторная реализация AnyConnect SSL-VPN от Cisco) представляет собой интересный средний вариант: он устанавливает свой канал через TCP + HTTP + TLS на порту 443, а затем согласовывает канал данных DTLS-over-UDP для обеспечения скорости. Поскольку управляющий трафик выглядит как обычный HTTPS, он проходит через большинство строгих межсетевых экранов, в отличие от OpenVPN и IPsec.

SoftEther (Apache-2.0 с 2019 года, создан в Университете Цукубы) — это многопротокольный сервер, который использует собственный SSL-VPN, OpenVPN, IPsec/L2TP и т. д. и может даже туннелировать через ICMP или DNS. Особенностью его заголовка является маскировка VPN-трафика под HTTPS. Обратите внимание, что утверждение о том, что «брандмауэры глубокой проверки пакетов не могут обнаружить» принадлежит проекту, а его обширная кодовая база пользовательского пространства подвергалась менее формальному криптографическому контролю, чем WireGuard или IPsec, поэтому рассматривайте это как утверждение поставщика, а не как измеренный факт.

Слой обхода

Когда противником является национальный межсетевой экран, одного туннеля недостаточно. Вам нужно, чтобы трафик был неотличим от того, что цензура не заблокирует. Эти протоколы с открытым исходным кодом созданы именно для этого и используют три широких подхода.

  • Выглядит как случайный шум. Shadowsocks — это зашифрованный прокси-сервер SOCKS5, полезная нагрузка которого представляет собой неотличимый случайный поток байтов. Его современная версия, Shadowsocks-2022, требует защиты от повтора и современного AEAD с фиксированным предварительным общим ключом, закрывая дыры в активном зондировании и воспроизведении старой версии AEAD. Загвоздка (см. Китай ниже) заключается в том, что «выглядит случайным» теперь само по себе является обнаруживаемым свойством.

  • Выглядеть как настоящий TLS. Троян выполняет подлинное рукопожатие TLS и при любом неправильно сформированном соединении или соединении с неверным паролем прозрачно проксирует посетителя на реальный веб-сайт, поэтому зонд видит обычный HTTPS-сервер. V2Ray/VMess был более ранней рабочей лошадкой, но его обнаруживаемый заголовок подтолкнул экосистему к Xray VLESS + XTLS-REALITY: REALITY заимствует TLS-сертификат настоящего стороннего сайта, так что для наблюдателя рукопожатие является подлинным, неотличимым сеансом TLS с этим сайтом, без какого-либо домена или собственного сертификата для черного списка.

  • Похоже на HTTP/3 или браузер. Hysteria2 и TUIC используют стандарт QUIC и маскируются под веб-сервер HTTP/3, обменивая дружественный к перебору контроль перегрузки на хорошую скорость на каналах с потерями; Hysteria добавляет дополнительный слой запутывания «Саламандра». NaiveProxy идет дальше и использует собственный сетевой стек Chromium, чтобы заставить свой трафик повторять настоящий браузер Chrome, разговаривающий с обычным веб-сервером, преодолевая активное зондирование, скрываясь за широко используемым интерфейсом.

Подключаемые транспорты проекта Tor дополняют список самых сложных сетей: obfs4 (случайный полиморфный поток), meek (фронтирование домена через CDN, теперь ослабленное, поскольку основные CDN отключили фронтирование) и Snowflake (трафик, который выглядит как обычный видеовызов WebRTC, передаваемый через браузеры-добровольцы).

Так что же «лучше»?

Для обычной ненадежной сети, такой как Wi-Fi в отеле или интернет-провайдер, которому вы не хотите читать свой DNS, честный ответ — WireGuard: современный, быстрый, небольшой, с формально анализируемым рукопожатием. OpenVPN остается разумным и более гибким запасным вариантом, а IKEv2 отлично подходит для телефонов, меняющих сети. Не нужно платить налог на запутывание, поэтому выбирайте скорость и качество аудита.

В тот момент, когда ваш противник становится цензором, а не шпионом, рейтинг меняется на противоположный. WireGuard, OpenVPN и IPsec обнаружить легче всего, а чистая скорость бесполезна, если поток прерывается. Там вопрос не в том, какой туннель самый быстрый, а в том, какая маскировка выживет, и ответ в Пекине иной, чем в Москве, и в этом квартале другой, чем в прошлом.

Материковый Китай: Великий файрвол

Цензура в Китае является наиболее технически продвинутой и детально документирована группой GFW Report. Здесь важны четыре возможности, и именно поэтому голые протоколы и даже некоторые запутанные протоколы терпят неудачу:

  • Энтропийный анализ в реальном времени. С 2023 года GFW помечает трафик как «полностью зашифрованный», то есть все, что выглядит как случайные байты, измеряя долю установленных битов в первом пакете и блокируя его, если он не соответствует исключению, с предполагаемым сопутствующим ущербом в 0,6% (USENIX Security 2023). Это структурная причина, по которой простые Shadowsocks и VMess обнаруживаются: признак случайности.

  • Активное зондирование. Брандмауэр не просто наблюдает; он подключается к подозрительным серверам с помощью организованных и воспроизведенных проверок, чтобы подтвердить их перед блокировкой (задокументировано для Shadowsocks на IMC 2020).

  • Фильтрация SNI, теперь включая QUIC. С 7 апреля 2024 года GFW расшифровывает начальные пакеты QUIC в большом масштабе, считывает зашифрованный SNI и отбрасывает соответствующие потоки; Исследователи обнаружили черный список из 58 207 доменов и подтвердили, что собственные прокси-домены Hysteria и пользовательские прокси-домены были заблокированы таким образом (USENIX Security 2025).

  • Обнаружение TLS-в-TLS. Исследование 2024 года показало, что туннели, в которых выполняется внутренний сеанс TLS внутри внешнего (Trojan, VLESS+TLS, NaiveProxy), оставляют обнаруживаемый отпечаток инкапсулированного рукопожатия, который одно только заполнение не может скрыть. Это исследовательская возможность, масштабное развертывание которой еще не подтверждено, поэтому NaiveProxy все еще работает эмпирически.

Практическая картина по состоянию на середину 2026 года: необфусцированные WireGuard, OpenVPN, IPsec и простые Shadowsocks/VMess нежизнеспособны без оболочки. Лучше всего выживают настоящие имитации TLS и маскарады QUIC: VLESS+REALITY, Hysteria2 (с Salamander и портом высокого назначения) и Shadowsocks-2022 за внешним слоем, похожим на TLS. Но выжить – это не то же самое, что иметь иммунитет. Отчеты 2025 года описывают блокировку, обусловленную объемом трафика, парой (IP, SNI) и репутацией хостинга, а не сигнатурой протокола, поэтому занятый чистый сервер может быть заблокирован по IP в течение нескольких часов, а тихий - на несколько недель. Считайте любые рекомендации по единому протоколу для Китая скоропортящимися.

Россия: от сервисов блокировки к протоколам блокировки

Российская система, построенная на блоках ДПИ ТСПУ, установленных у интернет-провайдеров, но централизованно контролируемых Роскомнадзором, пошла по другому пути. Как документируют OONI и «Роскомсвобода», в 2022 и 2023 годах она перешла от блокировки отдельных VPN-сервисов по IP к снятию отпечатков пальцев и блокировке самих протоколов. Хьюман Райтс Вотч со ссылкой на проект DPIdetector сообщила в июле 2025 года, что власти блокируют «по крайней мере семь наиболее распространенных протоколов VPN, таких как Shadowsocks, AmneziaWG и OpenVPN».

Примерный график, каждый пункт привязан к датированному источнику ниже: OpenVPN и IKEv2 были сняты с отпечатков пальцев и отключены первыми; WireGuard продержался дольше, но скорость была снижена до непригодной для использования, а затем заблокирована во многих жилых и мобильных сетях до 2024 и 2025 годов; а в обновлении TSPU от декабря 2025 года Россия начала блокировать VLESS, SOCKS5 и L2TP. ВЛЕСС был, по словам одного российского аналитика, «одним из последних последовательно работающих протоколов», идентифицируемых теперь «по косвенным признакам». В 2026 году открылся отчетливый второй фронт: обнаружение VPN на уровне приложений. Рекомендации побуждают популярные российские приложения обнаруживать и ограничивать устройства, использующие VPN, поэтому даже протокол, который превосходит TSPU, может быть помечен внутри приложения.

В российских репортажах встречаются два одинаковых аварийных люка, и ни один из них не является протоколом. Трафик деловых и стационарных подключений фильтруется гораздо менее агрессивно, чем домашний и мобильный, а инструменты, которые меняют свои конфигурации (периодические обновления AmneziaWG, РЕАЛЬНОСТЬ за часто меняющимся фасадом), превосходят любую статическую настройку. Выживший — это обслуживание, а не магический протокол.

Честный вывод

Не существует единого «лучшего» протокола с открытым исходным кодом, и любой, кто продает вам его для Китая или России, продает снимок, как если бы это был закон. Для повседневной конфиденциальности WireGuard является разумным выбором по умолчанию. Для цензурированной сети семейство-победитель (настоящая имитация TLS, такая как VLESS+REALITY или маскарад QUIC/HTTP-3) имеет меньшее значение, чем окружающая его операционная дисциплина: ничем не примечательный объем трафика, меняющиеся фронты и запасной вариант, готовый к неделе, когда правила изменятся. Именно поэтому на этом сайте мы записываем протоколы провайдера как датированные, цитируем факты, а не значок. Сопротивление протокола цензуре — это подвижная цель, и единственный честный способ описать ее — указать источник и дату.

Источники

Каждое утверждение в этой заметке опирается на опубликованный метод сайта. Прочитайте его полностью на странице методологии или вернитесь в блокнот.