VLESS, Reality и Hysteria2: какие протоколы VPN работают в России в 2026 году и почему WireGuard больше нет

Ещё два года назад слово «протокол» интересовало только админов. В 2026-м запрос «vless» вводят в Яндекс 82 тысячи раз в месяц, «vless reality» — 13 тысяч, «протоколы VPN» — 5 тысяч. Причина проста: от протокола теперь зависит, работает ваш VPN сегодня или нет. Разбираем без жаргона.

Как ТСПУ распознаёт VPN: четыре слоя

У каждого российского оператора стоит оборудование ТСПУ (технические средства противодействия угрозам) — по данным Роскомнадзора за 2025 год, это 1207 узлов широкополосного доступа, 135 узлов мобильной сети и 86 трансграничных узлов общей пропускной способностью 132 Тбит/с. Оно смотрит на каждый пакет и решает, пропускать или нет, по четырём признакам:

1. Сигнатуры. Первые байты соединения сверяются с базой известных паттернов. У OpenVPN и WireGuard они характерные и не меняются.
2. TLS-отпечаток (JA3/JA4). Набор параметров в рукопожатии выдаёт, какая программа устанавливает соединение: браузер это или VPN-клиент.
3. Активное зондирование. Система сама стучится на подозрительный сервер: настоящий сайт отвечает как сайт, VPN-сервер отвечает иначе или молчит.
4. Поведение. С февраля 2026 года анализируется, как ведёт себя соединение после рукопожатия: сколько параллельных потоков, какие объёмы, с какими задержками.

Хороший протокол в 2026 году должен проходить все четыре проверки. Старые не проходят даже первую.

Почему OpenVPN, WireGuard и L2TP перестали работать

• OpenVPN имеет узнаваемое рукопожатие и по умолчанию сидит на порту 1194/UDP. Блокируется мгновенно; помогает только оборачивание в stunnel или обфускация — и то не везде.
• WireGuard — отличный быстрый протокол, но его первый пакет всегда ровно 148 байт с фиксированной структурой. Это подарок для сигнатурного анализа. С марта 2026 года блокируется большинством российских провайдеров.
• L2TP/IPsec и PPTP — встроены в Windows, iOS и роутеры, поэтому массовые. С декабря 2025 года в списке целенаправленно блокируемых вместе с SOCKS5.
• Shadowsocks в чистом виде обнаруживается активным зондированием и по энтропии трафика; живёт только с дополнительными плагинами.

Именно поэтому «настроил VPN в роутере по инструкции 2023 года — не работает» стало типичной историей.

VLESS: что это такое простыми словами

VLESS — это лёгкий транспортный протокол из проекта Xray. Сам по себе он ничего не шифрует и не маскирует — это просто способ сказать серверу «отправь мой трафик туда-то». Вся защита приходит от того, во что VLESS «завёрнут». В 2026 году важны три обёртки.

Reality: рукопожатие настоящего сайта

Обычный TLS-туннель требует свой домен и свой сертификат — и активное зондирование быстро выясняет, что за «сайтом» ничего нет. Reality поступает хитрее: сервер завершает TLS-рукопожатие от имени настоящего сайта (например, крупного сервиса Apple или Microsoft), используя его реальный сертификат. Для ТСПУ ваше подключение выглядит как обычный визит на этот сайт. Если проверяющий постучится на сервер сам, он получит ответ настоящего сайта — потому что сервер просто проксирует его. Ни домена, ни сертификата покупать не нужно.

Слабое место Reality — это только рукопожатие. Поведение трафика после него у активного VPN-туннеля отличается от реального просмотра сайта, и именно на это в 2026 году нацелен поведенческий модуль ТСПУ.

XTLS Vision: чтобы шифрование не было двойным

Внутри туннеля ходит уже зашифрованный HTTPS, и шифровать его второй раз бессмысленно и заметно. Vision «замечает» вложенный TLS и пропускает его как есть, убирая характерные признаки двойного шифрования. Плюс — выше скорость и ниже нагрузка на телефон.

XHTTP и gRPC: транспорт, похожий на браузер

Волна блокировок 17 февраля 2026 года у проводных операторов ударила именно по связке VLESS + Reality поверх «голого» TCP, а поведенческие блокировки июня — по соединениям с несколькими параллельными потоками. Транспорты XHTTP и gRPC режут трафик на отдельные HTTP-запросы с нормальными заголовками, и статистически это неотличимо от браузера, который догружает страницу. По наблюдениям, такие конфигурации пострадали заметно меньше.

Hysteria2: когда нужен UDP

Все варианты выше работают поверх TCP. Hysteria2 идёт другим путём: это протокол поверх QUIC (UDP), замаскированный под HTTP/3, с собственным управлением перегрузкой в духе BBR. Практические плюсы:

• На мобильных сетях с потерями пакетов он держит скорость там, где TCP-туннели «залипают».
• Он не попадает под TCP-ориентированные поведенческие схемы ТСПУ — как раз те, что ломают VLESS + TCP с июня 2026 года.
• Соединение восстанавливается быстрее при смене сети (Wi-Fi → LTE).

Минус один: некоторые операторы режут или ограничивают UDP целиком, и тогда нужен запасной TCP-протокол. Поэтому правильный ответ на вопрос «VLESS или Hysteria2» — оба, в одной подписке, с автоматическим переключением.

AmneziaWG: WireGuard, который не узнать

AmneziaWG — форк WireGuard, который добавляет к пакетам случайный «мусор» и меняет заголовки, чтобы сломать сигнатуру 148-байтного рукопожатия. Это рабочий вариант, если сервер и клиент — Amnezia. Но у него та же уязвимость к активному зондированию и поведению, что и у любого UDP-туннеля без маскировки под известный протокол, поэтому в 2026 году его чаще держат как запасной, а не основной.

Сводная таблица

Что это значит при выборе сервиса

Практический вывод для обычного пользователя — три вопроса к любому VPN:

1. Какие протоколы в подписке? Правильный ответ в 2026 году — VLESS + Reality и Hysteria2 вместе. «OpenVPN и WireGuard» — ответ неправильный.
2. Кто обновляет конфигурацию после очередной волны? В своём VPS — вы сами, вечером после работы. В готовом сервисе — команда, и вы узнаёте об этом только по тому, что ничего не сломалось.
3. Как быстро сервис переезжает? Даже идеальный протокол не спасёт, если сервер стоит в подсети, которую с 31 августа 2026 года блокируют целиком. Важно, за сколько часов у сервиса появляются новые адреса и подхватывает ли их приложение само.

У Welcome VPN в одном ключе — и VLESS + Reality, и Hysteria2; переключение между серверами и протоколами делается в один тап в приложении, серверы стоят в шести европейских странах, а после очередной волны блокировок адреса меняет команда, а не вы. Ничего из описанного выше настраивать не нужно — но теперь вы хотя бы знаете, что именно там работает.

Частые вопросы

Что такое VLESS простыми словами?

VLESS — лёгкий протокол передачи трафика из проекта Xray. Сам он не маскирует соединение; защиту дают обёртки: Reality (рукопожатие от имени настоящего сайта), XTLS Vision (без двойного шифрования) и транспорты XHTTP или gRPC, похожие на работу браузера.

Почему WireGuard перестал работать в России?

Первый пакет WireGuard всегда имеет длину 148 байт и фиксированную структуру — это простая сигнатура для ТСПУ. С марта 2026 года его блокирует большинство российских провайдеров. Работает только обфусцированный форк AmneziaWG.

VLESS или Hysteria2 — что лучше?

Оба, в одной подписке. VLESS + Reality работает поверх TCP и выглядит как обычный HTTPS; Hysteria2 идёт поверх UDP/QUIC и лучше держит скорость на мобильных сетях. Если оператор режет UDP — приложение переключается на VLESS, и наоборот.

Что такое Reality в VPN?

Reality — способ установить TLS-соединение так, чтобы для проверяющего оборудования оно выглядело как визит на реальный сайт с его настоящим сертификатом. Своего домена и сертификата серверу не нужно, а активное зондирование получает ответ настоящего сайта.