Stealth VPN: почему ваш VPN блокируют и как это исправить

Коротко о главном

• В сетях с системами глубокого анализа трафика (DPI) блокируется сам протокол. Если купить подписку у нового провайдера с WireGuard или OpenVPN, она отвалится точно так же, как и старая.
• DPI не нужно расшифровывать содержимое трафика. Он узнает VPN по паттернам хендшейка (рукопожатия) и по тому, как сервер отвечает на активные проверки (probes).
• Смена порта не поможет: на 443-м порту хендшейк WireGuard выглядит абсолютно так же.
• Обфусцированные (замаскированные) протоколы прячут туннель под видом обычного HTTPS-трафика. В условиях жестких блокировок 2026 года лучше всего держатся VLESS с REALITY и Trojan.
• Уход на UDP не спасает от обнаружения: Великий китайский файрвол расшифровывает первый пакет QUIC-соединений и читает из него домен.
• Обфускация не поможет, если IP-адрес уже в блок-листе, а через сеть, работающую по «белым спискам» (whitelist), не пройдет вообще ничего.
• Собственный сервер дает IP-адрес, которым пользуетесь только вы, и возможность менять конфиги в день обновления фильтров. Главное правило: никогда не запускайте на нем легко детектируемые протоколы.

Почему VPN блокируют и почему смена провайдера не решает проблему

Ваш VPN заблокирован, потому что сеть распознала протокол, на котором он работает. Смена провайдера здесь редко помогает: почти все коммерческие VPN используют одни и те же протоколы. Для систем DPI трафик WireGuard от одной компании ничем не отличается от WireGuard другой. Именно так устроена государственная цензура в таких странах, как Китай и Иран; аналогичные фильтры стоят в некоторых корпоративных сетях и отелях.

Обычному интернет-провайдеру настроить такое распознавание вполне по силам. В исследовании 2024 года, проведенном внутри сети провайдера с миллионной аудиторией, успешно детектировались все 23 протестированные конфигурации обфусцированных прокси (если они использовались со стандартными настройками). Поэтому, прежде чем платить за очередную подписку, разберитесь, с каким типом блокировки вы столкнулись.

Локальная проблема (конфиг, клиент, DNS) проявится в любой сети, а блокировка по IP затронет только один конкретный сервер. Но если сеть научилась распознавать протокол, то в ней «лягут» все серверы на этом протоколе, хотя в других сетях они продолжат отлично работать.

Выявить причину можно за пять минут:

1. Подключитесь с тем же конфигом через другую сеть (например, мобильный интернет). Если там все работает, значит, проблема в фильтрах вашей основной сети.
2. Проверьте два-три сервера, использующих один и тот же протокол. Если не работает ни один, скорее всего, протокол попал под DPI-фильтр. Если недоступен только один, заблокирован его IP-адрес.
3. Обратите внимание, в какой момент рвется связь. Если мгновенно, соединение режут на этапе хендшейка. Если туннель поднимается, а потом все зависает, трафик троттлят.
4. Если на сервере крутится еще и обычная HTTP-страница, попробуйте открыть ее по IP. Если сайт грузится, а VPN-туннель не поднимается, бьют именно по протоколу.

Если проверка указывает на локальную проблему, изучите гайд по устранению неполадок VPN.

Как DPI распознает зашифрованный трафик

DPI вычисляет VPN-протокол по структуре пакетов, и для этого ему даже не нужно их расшифровывать. Размеры пакетов и фиксированные байты в заголовках остаются видимыми для любого транзитного узла.

Проще всего с WireGuard. Согласно спецификации протокола, каждый хендшейк начинается с сообщения, первый байт которого равен 0x01, за ним идут три нулевых байта, а общая длина сообщения всегда составляет 148 байт. Правило для фильтра под такой паттерн срабатывает на первом же пакете. На практике это оборачивается либо полным обрывом связи, либо жестким троттлингом (снижением скорости почти до нуля).

Именно поэтому банальная смена порта ничего не решает. На UDP-порту 443 хендшейк WireGuard все так же весит 148 байт и начинается с 0x01.

OpenVPN выдает себя незашифрованным кодом операции (opcode) в заголовке каждого пакета и ответами в управляющем канале. Фильтр легко отслеживает их, не прикасаясь к полезной нагрузке.

Поведение трафика выдает его не меньше, чем байты. В ноябре 2021 года Великий китайский файрвол начал блокировать трафик, выглядящий полностью случайным (как «белый шум»), что сразу ударило по Shadowsocks, VMess, obfs4 и ряду других протоколов. По оценкам исследователей, под сопутствующий ущерб от этого правила могло попасть около 0,6% нормального трафика (USENIX Security 2023).

Кроме того, цензоры используют активный пробинг: они сами подключаются к подозрительным серверам и анализируют ответы.

Что такое stealth VPN и на что способна обфускация

Stealth VPN (VPN с обфускацией) маскирует трафик так, чтобы DPI классифицировал его как легитимный. Чаще всего туннель прячут под видом обычного HTTPS. Обфускация стирает узнаваемую сигнатуру протокола и помогает серверу не спалиться при активных проверках (пробинге).

Но чудес не бывает: обфускация не разблокирует IP, уже попавший в блэклист, и не пробьется через сеть с «белыми списками». Кроме того, TLS-маскировка все равно оставляет следы. Само слово «stealth» скорее маркетинговый термин, за которым нет единого стандарта.

Относитесь к DPI-устойчивому VPN как к системе, которую нужно постоянно обновлять, прямо как антивирусные базы.

Механики обфускации делятся на два основных подхода:

• Удаление фиксированной сигнатуры. AmneziaWG добавляет мусорные пакеты и заменяет константные значения заголовков WireGuard на ваши собственные, а мосты obfs4 превращают трафик Tor в поток случайных байтов. Это ломает сигнатурный анализ, но пасует перед фильтрами, блокирующими любую «неопознанную кашу» (как в Китае с 2021 года).
• Маскировка под распространенный протокол. Trojan и VLESS заворачивают трафик в TLS, делая его похожим на обычный серфинг в интернете. Технология REALITY идет еще дальше: она заимствует TLS-хендшейк у существующего публичного сайта. Если цензор постучится на сервер с проверкой, он получит сертификат этого легитимного сайта.

Как ловят TLS-маскировку, показывает исследование 2024 года: оно выявляло прокси по хендшейку, вложенному в туннель, так что стандартных настроек обычно недостаточно.

Зашифрованный хендшейк тоже не гарантирует невидимости. С апреля 2024 года Великий китайский файрвол массово расшифровывает первый пакет QUIC-соединений, читает из него домен и блокирует по нему (USENIX Security 2025). QUIC шифрует этот пакет ключами, которые может вычислить кто угодно, поэтому домен для настойчивого цензора открыт. Для туннелей на базе QUIC, например Hysteria2, домен в хендшейке нужно выбирать так же тщательно, как сайт-донор для REALITY. Переход на UDP не выводит вас из поля зрения.

Какой вариант решения выбрать?

В условиях жестких блокировок 2026 года надежнее всего работают протоколы, имитирующие TLS, такие как VLESS с REALITY или Trojan. Ниже разобраны частые сценарии и подходящие методы обфускации.

Если у вас подписка на VPN

Подписка дает самый быстрый выход: не нужно администрировать сервер, есть готовые клиенты под все платформы. У многих провайдеров встроен режим обфускации, и его стоит включить в первую очередь.

Главная слабость подписок кроется в шеринге ресурсов. Тысячи клиентов сидят на одних и тех же адресах, поэтому эти IP стремительно попадают в блэклисты. Наконец, остается вопрос доверия, ведь провайдер видит метаданные ваших соединений (подробнее о том, что доказывают независимые аудиты, читайте в гайде по no-log VPN).

Если вы уже используете WireGuard или Amnezia

Текущий туннель можно модифицировать или полностью заменить. AmneziaWG сохраняет скорость и удобство обычного WireGuard, стирая при этом его детектируемую сигнатуру. Однако под капотом это все тот же UDP-протокол. В сетях, которые агрессивно душат любой нераспознанный UDP-трафик, AmneziaWG будет деградировать точно так же, как классический WireGuard.

Альтернатива: переход на ядро Xray с транспортом поверх TCP и TLS. Приложение Amnezia может добавить Xray VLESS REALITY на сервер, которым оно уже управляет. Инструкции по ручной настройке есть в статье «WireGuard на VPS», а другие клиенты собраны в обзоре альтернатив Amnezia VPN.

Если вы выбираете между VLESS, Trojan и Shadowsocks

Shadowsocks легкий и быстрый, но его трафик выглядит как полностью случайный набор байтов (что и стало мишенью для китайского файрвола). Обфускация Shadowsocks с помощью плагинов (например, v2ray-plugin) заворачивает поток в WebSocket поверх TLS, пряча подозрительную сигнатуру ценой небольшого падения скорости. Подробности в гайде по Shadowsocks.

Trojan устанавливает стандартное TLS-соединение. Главная фишка: если цензор попытается просканировать ваш сервер с неверным паролем, сработает механизм fallback, который просто отдаст проверяющему рабочий веб-сайт. Цензор увидит обычный ресурс и уйдет ни с чем. Если же fallback настроен просто на редирект, он, наоборот, становится отпечатком. За эту скрытность приходится платить: домен нужно купить и привязать к серверу.

VLESS с REALITY позволяет обойтись без своего домена. Сервер просто «одалживает» TLS-хендшейк у чужого публичного сайта и хранит ключевую пару x25519, а клиент знает публичный ключ сервера, shortId и свой UUID. Выбор транспорта добавляет еще один слой обфускации. Для REALITY стандартная схема: TCP с потоком Vision. Xray-core теперь помечает gRPC, WebSocket и HTTPUpgrade как устаревшие, так что если нужен другой транспорт, документация рекомендует XHTTP.

Итог: если у вас нет домена, а сеть максимально жесткая, начинайте с VLESS и REALITY. Если домен есть и вы хотите поднять перед туннелем реальный сайт-заглушку, выбирайте Trojan.

Как запустить собственный stealth VPN

Свой VPN-сервер дает выделенный IP, которым пользуетесь только вы, и возможность оперативно менять конфиги под новые правила блокировок. Но безопасность сервера теперь полностью ложится на ваши плечи.

В мае 2026 года один из пользователей протестировал свой 3X-UI сервер утилитой ByeByeVPN (открытый сканер, эмулирующий алгоритмы государственного DPI). На два разных проверочных запроса сервер выдал одинаковый шаблонный ответ длиной 41 байт, и утилита определила его как VPN. Сервер с REALITY такой ошибки не допускает: неавторизованные запросы он передает сайту-донору. Trojan ведет себя так же, если fallback указывает на рабочий веб-сервер.

Подходит ли вам свой сервер?

Главный плюс в полном контроле. IP принадлежит только вам, как и настройки (вплоть до выбора сайта-донора для REALITY). Главный минус в обслуживании: если начнется новая волна блокировок, никто не пришлет вам готовый обновленный конфиг.

В странах с жесткой цензурой блокировки бьют по самим серверам: если на IP-адресе заметят работу обычного WireGuard, OpenVPN или базового Shadowsocks, адрес может попасть в репутационный список, и смена протокола его оттуда не уберет.

Держите сервер «чистым» с первого дня:

• Не запускайте детектируемые протоколы даже «просто проверить».
• Перевесьте SSH со стандартного 22-го порта и разрешите доступ только со своих IP-адресов.
• Не оставляйте ничего лишнего на открытых портах.
• Если на вашем текущем IP раньше работал обычный WireGuard без обфускации, лучше закажите новый IP.
• Оптимально иметь второй сервер в другой локации в качестве резерва.

Финансовый вопрос тут вторичен: аренда VPS для нескольких пользователей обходится примерно в ту же сумму, что и подписка. Подробное сравнение есть в статье «VPS или VPN-подписка».

Настройка и проверка

Оба протокола настраиваются в панели 3X-UI. Для VLESS с REALITY создайте новый inbound, выберите протокол VLESS, в поле security укажите REALITY, а в поле flow выберите xtls-rprx-vision. Затем впишите сайт-донор и сгенерируйте ключи в той же форме. Для Trojan есть инструкция по настройке Trojan в 3X-UI.

Вам понадобится VPS с KVM-виртуализацией, публичным IPv4-адресом и Ubuntu 24.04 или Debian 12 на борту. Для REALITY заранее выберите сайт-донор, который не заблокирован в вашей стране, поддерживает TLS 1.3, HTTP/2 и не делает редиректов. Для Trojan зарегистрируйте домен и направьте его A-запись на IP сервера.

После настройки обязательно протестируйте туннель из сети с ограничениями:

1. Откройте «тяжелую» страницу с кучей медиа через мобильный интернет и Wi-Fi. Легкие страницы могут грузиться нормально, даже когда тяжелый трафик режут.
2. Проверьте свой IP через ifconfig.me и убедитесь в отсутствии утечек DNS.
3. Просканируйте сервер снаружи утилитой nmap. Отвечать должны только порт туннеля и ваш нестандартный порт SSH.
4. Откройте IP вашего сервера по HTTPS в браузере. Вы должны увидеть сайт. Если открывается админка панели или кастомная ошибка, ваш VPN-сервер обнаружен.

Создайте свой stealth VPN на VPS

Выживет ли туннель под ударами DPI, зависит от протокола и качества его настройки. Собственный сервер дает вам контроль над обоими факторами.

VPS от is*hosting предлагает 3X-UI как предустановленный образ при заказе и доступен в более чем 40 странах. Тариф Start (2 ГБ RAM) подходит под рекомендации для 3X-UI и стоит от $10.19/мес при оплате за год; базовый тариф Lite (1 ГБ) обойдется от $5.94/мес. Туннелю нужен публичный IPv4, поэтому проверьте эту опцию при оформлении заказа.