Протоколы прокси-линий: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Провайдер прокси-линий — это продавец линий, он выдаёт вам ссылку на подписку; узлы — это отдельные серверы внутри подписки; протокол — договорённость о том, как узел и ваше устройство шифруют и маскируют трафик; клиент — программа на вашем устройстве, куда импортируется подписка: семейство Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, Hiddify.

Разные узлы одного провайдера могут работать на разных протоколах, а один клиент вмещает узлы сразу нескольких протоколов. Поэтому вопрос «какой способ обхода блокировок лучше» на деле состоит из трёх: насколько хороши линии у этого провайдера, подходит ли протокол узла к вашей текущей сети и поддерживает ли его ваш клиент. Эта статья — только про второй вопрос.

Чем провайдер прокси-линий отличается от «ускорителя» и VPN — отдельная тема, см. Провайдер прокси-линий, ускоритель и VPN: в чём разница; VPN-протоколы вроде OpenVPN, WireGuard и AnyConnect разобраны в статье Сравнение VPN-протоколов.

• Shadowsocks (SS): работает поверх TCP, самый лёгкий и экономный, поддерживается почти всеми клиентами; трафик ни под что не маскируется, ставка на то, что «непонятно, что это».
• ShadowsocksR (SSR): ранняя ветка SS с плагинами обфускации; исходный проект давно заброшен, новые клиенты его в основном не поддерживают, и провайдеров с SSR всё меньше.
• VMess: первый протокол V2Ray, со своим шифрованием и проверкой времени — если часы устройства сильно расходятся, подключиться не выйдет; обычно используется в обёртке WebSocket + TLS.
• VLESS: облегчённый VMess, сам не шифрует и полагается на внешний TLS; в паре с XTLS Vision или Reality это сейчас основная связка поверх TCP.
• Trojan: прячет прокси-трафик внутри настоящего TLS-соединения — снаружи это выглядит как заход на HTTPS-сайт; настраивается просто, работает через TCP 443.
• Hysteria2: на базе QUIC, поверх UDP, сам управляет скоростью отправки и на линиях с большими потерями пакетов намного быстрее протоколов поверх TCP.
• TUIC: тоже на базе QUIC и поверх UDP, идея близка к Hysteria2, но использует стандартное управление перегрузкой, поэтому скорость ровнее; клиентов с его поддержкой чуть меньше, чем у Hysteria2.
• NaiveProxy: напрямую использует сетевой стек Chrome и ходит по HTTP/2, по признакам трафика больше всех похож на настоящий браузер; скорость средняя, клиентов мало.
• WireGuard: строго говоря, VPN-протокол; некоторые провайдеры делают на нём или на Cloudflare WARP узлы; работает поверх UDP, быстрый, но без всякой маскировки, его легко опознать.

Shadowsocks — первый массово популярный протокол обхода блокировок, и цель у него одна: превратить трафик в поток байтов без видимых закономерностей. У него нет маскировки рукопожатия, накладные расходы минимальны, на телефоне он экономнее всех, и даже слабые устройства вроде роутеров его тянут. Сейчас SS-узлы у провайдеров обычно используют шифрование AEAD (aes-128-gcm, chacha20-ietf-poly1305) или более новые методы версии 2022; узлы со старым шифрованием вроде rc4-md5 или aes-256-cfb лучше не использовать.

SSR — ответвление SS, в котором добавили два вида плагинов: протокол и обфускацию. Исходный проект перестали поддерживать много лет назад, а новые ядра вроде Clash Meta и sing-box поддерживают его ограниченно или уже убрали. Если провайдер делает ставку на SSR, значит, его серверная часть давно не обновлялась.

Слабое место SS — то же «отсутствие маскировки»: он не похож ни на какой обычный трафик, а в строго контролируемых сетях трафик совсем непонятного типа сам по себе может привлечь особое внимание. Поэтому многие провайдеры ставят SS-узлы на линии с переадресацией или выделенные линии, чтобы трансграничный участок не был виден напрямую, — это заслуга линии, а не протокола.

V2Ray (и его более поздняя ветка Xray) — это прокси-платформа, а VMess и VLESS — её собственные протоколы. Устроена она слоями: внутри прокси-протокол, снаружи можно надеть разные виды транспорта — чистый TCP, WebSocket, gRPC, HTTP/2 — и добавить TLS. Отсюда длинные названия узлов вроде «VMess + WS + TLS» или «VLESS + gRPC».

VMess сам шифрует трафик и сверяет время устройства: если часы на телефоне или компьютере сильно расходятся с точным временем, узел просто не подключится — это одна из самых частых причин, когда все VMess-узлы показывают «таймаут». VLESS убрал и это шифрование, и проверку времени, полностью доверив безопасность внешнему TLS, поэтому он легче; но VLESS без TLS небезопасен.

XTLS Vision и Reality — две технологии, которые Xray добавил к VLESS. Vision убирает характерные признаки и лишние расходы от «TLS внутри TLS»; Reality избавляет узел от необходимости иметь свой домен и сертификат: при рукопожатии он заимствует признаки сертификата настоящего крупного сайта, и снаружи это выглядит как заход на тот сайт. Связка «VLESS + Reality + Vision» сейчас основная для прямых узлов у многих провайдеров.

Узлы с WebSocket можно спрятать за CDN: настоящий адрес узла не виден, а если вход заблокируют, достаточно сменить его на другой; цена — лишний крюк, и задержка со скоростью страдают.

Trojan действует прямолинейно: устанавливает с узлом стандартное TLS-соединение — ровно такое же, как при открытии HTTPS-сайта, — и передаёт прокси-данные внутри него. Тот, кто не знает пароля и прощупывает этот порт, увидит обычную веб-страницу.

Настроек у него мало, ошибиться трудно, клиентов много. От «VLESS + TLS» он отличается мало: оба маскируются под TLS на TCP 443; Trojan требует, чтобы у узла были свой домен и сертификат.

У протоколов поверх TCP общий недостаток: стоит линии начать терять пакеты, TCP сам снижает скорость, и вечером, когда потери на трансграничных линиях велики, видео заметно тормозит. Семейство QUIC, о котором дальше, создано как раз против этого.

Hysteria2 и TUIC построены на QUIC и работают поверх UDP. QUIC — транспорт, на котором работает HTTP/3, поэтому снаружи трафик этих протоколов похож на посещение сайта по HTTP/3.

Главная особенность Hysteria2 — она сама управляет скоростью отправки: при потерях пакетов не сбрасывает скорость, как TCP, а продолжает отправлять с заданной вами пропускной способностью. На трансграничных линиях с большими потерями она нередко в разы быстрее протоколов поверх TCP; на изначально чистых линиях преимущество незаметно.

TUIC устроен похоже, но использует обычный стандартный алгоритм управления перегрузкой: он «вежливее» к другим пользователям линии, скорость ровнее, а с потерями пакетов он борется не так агрессивно, как Hysteria2.

Слабое место этого семейства — UDP: в некоторых сетях компаний, университетов и отелей UDP ограничивают по скорости или полностью блокируют, и тогда Hysteria2 и TUIC не подключаются или работают очень медленно — придётся вернуться к Trojan или VLESS поверх TCP. Кроме того, при долгой скоростной передаче на телефоне они расходуют батарею немного больше, чем SS.

• NaiveProxy: устанавливает HTTP/2-соединения сетевым кодом самого Chrome, поэтому рукопожатие ничем не отличается от настоящего браузера. Клиентов с его поддержкой немного (семейство sing-box и некоторые десктопные клиенты), у провайдеров встречается редко.
• WireGuard / WARP: WireGuard — VPN-протокол, его пакеты рукопожатия имеют фиксированные признаки, маскировки нет. Некоторые провайдеры используют Cloudflare WARP как точку выхода, чтобы открыть стриминг или ChatGPT, — но это вопрос «с какого адреса выходить», а не того, по какому протоколу вы подключаетесь к узлу.
• Snell: протокол автора Surge, лёгкий, используется в основном в Surge и Stash, другие клиенты его практически не поддерживают.
• ShadowTLS: оборачивает SS в настоящее TLS-рукопожатие, чтобы трафик SS выглядел как заход на какой-то сайт; поддержка нужна и в клиенте, и на узле.
• HTTP / HTTPS / SOCKS5-прокси: самый базовый вариант; нешифрованные HTTP и SOCKS5 годятся только внутри своего компьютера или локальной сети, а для трансграничного трафика нужен HTTPS-прокси с TLS.

• По началу ссылки: ss:// — Shadowsocks, ssr:// — SSR, vmess:// — VMess, vless:// — VLESS, trojan:// — Trojan, hysteria2:// или hy2:// — Hysteria2, tuic:// — TUIC.
• По списку узлов в клиенте: клиенты семейства Clash и Shadowrocket пишут тип рядом с именем узла (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• По содержимому подписки Clash: у каждого узла есть строка type с названием протокола; соседние network (ws, grpc), tls и reality-opts описывают внешний транспорт.
• Провайдеры обычно выдают несколько видов подписки: для Clash, для sing-box и универсальную (по одной ссылке на строку, часто в Base64). Узлы в них одни и те же, отличается только формат — берите тот, что подходит вашему клиенту; не отдавайте ссылку подписки с учётными данными сторонним сайтам-«конвертерам подписок».

• Клиенты на ядре Clash Meta (mihomo) — Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash: поддерживают SS, VMess, VLESS (включая Reality), Trojan, Hysteria2, TUIC и WireGuard.
• Оригинальный Clash и Clash for Windows: ядро давно не обновляется, понимает только старые протоколы SS, VMess и Trojan — без VLESS, Hysteria2 и TUIC. Если вы ещё на нём, переходите на клиент с ядром mihomo из пункта выше.
• Клиенты на ядре sing-box — официальное приложение sing-box, Hiddify, Karing, NekoBox: самая полная поддержка новых протоколов, включая Hysteria2, TUIC, NaiveProxy и ShadowTLS.
• Shadowrocket (iOS, платный): поддерживает почти все основные протоколы, импортирует и ссылки, и подписки Clash.
• v2rayN (Windows), v2rayNG (Android): в основе ядро Xray, сильные стороны — VMess, VLESS, Trojan, SS; новые версии поддерживают и Hysteria2 и другие протоколы.
• Stash (iOS / macOS): принимает подписки в формате Clash, поддерживает Hysteria2, TUIC, Snell и другие.
• Surge, Quantumult X, Loon: у каждого свой формат конфигурации, список протоколов смотрите в их описаниях обновлений; провайдеры обычно выдают для них отдельные подписки.

• Домашний интернет без ограничений UDP, вечером тормозит видео: в первую очередь Hysteria2, во вторую — TUIC.
• Сеть компании, университета или отеля, где UDP ограничен или Hysteria2 не подключается: переходите на Trojan или VLESS (Reality / TLS) поверх TCP 443.
• Мобильный интернет, хочется сэкономить батарею, или нужны только сайты и мессенджеры: хватит лёгких SS или VLESS.
• Все узлы показывают «таймаут»: сначала проверьте, точное ли время на устройстве (VMess к нему чувствителен), потом обновите подписку, затем попробуйте узел на другом протоколе.
• Низкая скорость — не обязательно вина протокола: при одном и том же протоколе разница между прямой линией, линией с переадресацией и выделенной линией намного больше, чем между протоколами. Сначала смените узел и регион, а уже потом протокол.
• Не хочется во всём этом разбираться: берите VPN-сервис «под ключ», где клиент и линии уже настроены за вас.

LeoTun — не провайдер прокси-линий, а VPN-сервис с шестью способами подключения на одном аккаунте, но один из них, Hiddify, выдаёт как раз такую ссылку на подписку, как у провайдеров линий, с протоколом Hysteria2. Войдите на сайт и на странице Hiddify нажмите флаг региона: во всплывающем окне три вида подписки — для sing-box (Hiddify, sing-box, Karing), для Clash (Clash Meta, Clash Verge, FlClash, Stash и др.) и ссылка hysteria2 (NekoBox, Shadowrocket, v2rayN и др.); нажмите кнопку под свой клиент, конвертировать ничего не нужно. Шаги импорта — в статье Как импортировать ссылку на подписку.

Если сеть жёстко режет UDP и Hysteria2 не подключается, на том же аккаунте можно перейти на Cisco (AnyConnect) поверх TLS или на «Веб Прокси», который берёт на себя только браузер; OpenVPN — это OpenVPN, а «Приватная» построена на WireGuard. Какой протокол у какого способа — в статье Сравнение VPN-протоколов, как выбрать — в статье Какой способ подключения для какой ситуации.