AmneziaWG или VLESS Reality: что выбрать для мобильного интернета в России в 2026

На домашнем Wi-Fi почти любой современный VPN-протокол ведёт себя прилично, а на мобильном интернете различия между ними становятся заметны сразу. Два самых популярных варианта в России — AmneziaWG и VLESS с Reality — маскируются совершенно по-разному. Ниже разобрано, как устроен каждый, где он ломается и что из этого следует для выбора на телефоне.

Почему для мобильного интернета выбор протокола острее

Мобильная сеть отличается от домашней сразу в нескольких отношениях, и все они касаются VPN.

Во-первых, фильтрация. Мобильный трафик проходит через ТСПУ так же, как домашний, но ограничения на мобильных сетях вводят чаще и жёстче — вплоть до белых списков в отдельных регионах, которые действуют только в мобильных сетях.

Во-вторых, NAT. Абоненты мобильных операторов почти всегда сидят за операторским NAT, который делит один внешний адрес между многими пользователями. Записи о UDP-сессиях в такой трансляции живут недолго, и если по туннелю какое-то время ничего не передаётся, обратный путь к телефону может пропасть.

В-третьих, нестабильность канала. Телефон переключается между вышками, между 4G и 3G, между мобильной сетью и Wi-Fi. Его внешний адрес меняется, пакеты теряются чаще, чем на кабеле.

Протокол, который хорошо переживает одно из этих условий, может плохо переживать другое. Поэтому вопрос «что лучше» имеет смысл только в привязке к конкретной сети.

AmneziaWG: как он прячет WireGuard

AmneziaWG — форк WireGuard, созданный проектом Amnezia для защиты от обнаружения через DPI. Криптография и логика туннеля остались прежними, изменился внешний вид пакетов.

Обычный WireGuard легко узнать: его рукопожатие состоит из сообщений фиксированного размера с фиксированным типом в первом байте. DPI достаточно увидеть такой пакет, чтобы опознать протокол, и в России обычный WireGuard вместе с OpenVPN массово блокируют с 2023 года. AmneziaWG ломает эти признаки:

• перед рукопожатием отправляет несколько мусорных пакетов случайной длины (параметры Jc, Jmin, Jmax);
• добавляет к сообщениям рукопожатия случайные байты, чтобы их размер перестал быть фиксированным (S1, S2);
• заменяет стандартные заголовки типов сообщений собственными значениями (H1–H4).

Параметры должны совпадать на клиенте и сервере, иначе сервер не распознает рукопожатие и промолчит. Если обфускацию не задавать, AmneziaWG ведёт себя как обычный WireGuard и совместим с ним.

Все эти параметры записываются в секцию [Interface] обычного конфигурационного файла, поэтому конфигурация AmneziaWG выглядит почти как привычный файл WireGuard с несколькими дополнительными строками. Сервер при этом тоже должен быть AmneziaWG: обычный сервер WireGuard изменённые пакеты не поймёт.

Главное ограничение остаётся от предка: протокол работает только поверх UDP. Маскировка скрывает, что это WireGuard, но не скрывает, что это UDP-поток к зарубежному адресу.

VLESS Reality: как он маскируется под обычный HTTPS

VLESS — лёгкий протокол передачи данных экосистемы V2Ray/Xray: его предложили в 2020 году в V2Ray, а сейчас развивают в основном в проекте Xray. В стандартной настройке собственного шифрования у него нет, защищённость обеспечивает транспорт, и в связке с Reality этим транспортом служит TLS 1.3. С сентября 2025 года в Xray-core появилось и собственное шифрование VLESS Encryption, но оно остаётся необязательной опцией.

Reality решает главную проблему прокси поверх TLS — необходимость собственного домена и сертификата, которые можно вычислить и заблокировать. Клиент указывает в ClientHello имя реального популярного сайта и использует отпечаток, похожий на браузерный. Сервер проверяет, что в рукопожатии спрятан ключ легитимного клиента, и только тогда устанавливает туннель.

Если ключа нет, сервер пересылает соединение на настоящий сайт, имя которого указано в запросе. Система активного зондирования, которая подключится к серверу проверить, что за ним, увидит подлинный сертификат чужого сайта и обычную веб-страницу.

Дополнительный режим XTLS Vision снижает характерный эффект «TLS внутри TLS», когда по размерам и таймингу пакетов видно, что внутри зашифрованного соединения идёт ещё одно.

UDP против TCP в мобильных сетях

Для мобильного интернета различие транспортов, пожалуй, важнее различий в маскировке.

UDP проще и быстрее: нет подтверждений и повторных отправок на уровне транспорта, потерянный пакет просто теряется, а восстановление берёт на себя туннелируемый трафик. Но UDP легко ограничить целиком. Оператору не нужно распознавать протокол, достаточно урезать или отсечь UDP к зарубежным адресам — и AmneziaWG перестаёт работать вместе со всем остальным UDP. Короткие таймауты UDP в операторском NAT тоже требуют регулярных служебных пакетов, иначе связь замирает. В конфигурации за это отвечает параметр PersistentKeepalive: клиент периодически отправляет пустой пакет, чтобы запись в NAT не устарела. Без него туннель на мобильной сети может выглядеть подключённым, но входящие данные перестают доходить до телефона.

TCP на порту 443 — самый массовый трафик в интернете. Отсечь его целиком невозможно без того, чтобы сломать весь веб, поэтому VLESS Reality проходит там, где UDP уже не пускают. Обратная сторона — поведение при потерях: TCP ждёт повторной отправки потерянного пакета и задерживает всё, что идёт следом. На слабом сигнале это ощущается как подвисания.

Классической проблемы «TCP поверх TCP» у VLESS при этом нет. Он передаёт потоки данных, а не IP-пакеты целиком, поэтому повторные отправки не накладываются друг на друга.

Устойчивость к DPI и активному зондированию

Против пассивного DPI оба протокола работают за счёт разных идей. AmneziaWG делает трафик непохожим ни на что известное, VLESS Reality — похожим на самое обычное.

У первого подхода есть уязвимость: поток, который не похож ни на один известный протокол, тоже признак. Фильтр, настроенный ограничивать неизвестный UDP-трафик, не обязан понимать, что это AmneziaWG. В последующих версиях проект расширял механизмы маскировки, но базовое ограничение UDP никуда не делось.

У второго подхода свои слабости. Сервер Reality обычно стоит у хостинг-провайдера, а в ClientHello указано имя крупного сайта, который на таком хостинге не размещается. Несоответствие адреса и имени сайта можно заметить, а адреса популярных хостингов — блокировать целыми диапазонами.

К активному зондированию лучше подготовлен Reality: он показывает настоящий сайт. AmneziaWG, как и WireGuard, просто молчит на чужие пакеты, что тоже не выдаёт сервер, но и не создаёт правдоподобной легенды.

Поведение при белых списках и блокировке IP

Здесь протоколы равны: маскировка не помогает ни одному из них. В режиме белых списков фильтр сверяет адрес назначения с перечнем разрешённых. Зарубежного сервера там нет, и соединение отбрасывается до того, как дело дойдёт до рукопожатия.

Подставить в SNI имя разрешённого сайта тоже не выйдет: IP-адрес сервера всё равно не из разрешённого диапазона. Обойти белые списки можно только маршрутом, в котором первый узел находится внутри разрешённых адресов, а уже он передаёт трафик за границу. Это свойство инфраструктуры сервиса, а не протокола.

С обычной блокировкой по IP похожая история. Если адрес сервера попал в список, не поможет никакая обфускация: спасает только переход на другой сервер, поэтому важно, насколько быстро сервис обновляет адреса в подписке.

Переподключение при смене сети и нагрузка на телефон

WireGuard, а значит и AmneziaWG, спроектирован без постоянного соединения. Когда у телефона меняется внешний адрес, сервер просто начинает отвечать на новый, как только получит от клиента очередной пакет. Переход с Wi-Fi на мобильную сеть обычно проходит незаметно.

VLESS работает поверх TCP-соединений, а они привязаны к адресам. При смене сети открытые соединения рвутся, клиент устанавливает новые, а приложения видят короткий разрыв. Современные клиенты делают это быстро, но мессенджеры и звонки иногда успевают это заметить.

По расходу ресурсов AmneziaWG легче: протокол компактный, а клиент простой. Клиенты на ядре Xray тяжелее по памяти, и на iPhone это особенно важно: сетевое расширение iOS работает с жёстким лимитом памяти, и громоздкая конфигурация может приводить к вылетам туннеля.

Сравнительная таблица AmneziaWG и VLESS Reality

Сервисы и клиенты для каждого протокола

AmneziaWG предлагают Amnezia Premium и Amnezia Free, Fiery VPN (вместе с WireGuard и VLESS в одном тарифе), Red Shield VPN (протоколы RedLink на основе VLESS, AmneziaWG и AmneziaWG 2). У HideMy.name AmneziaWG доступен при ручной настройке, а Windscribe включает его переключателем Circumvent Censorship. Клиенты: AmneziaWG для iOS, macOS и Android, полноценный AmneziaVPN, а также INCY. Обычный клиент WireGuard параметры обфускации не понимает.

VLESS Reality входит в Amnezia Premium как XRay VLESS Reality. На VLESS работают также Liberty VPN и VPNTYPE, хотя вариант транспорта они публично не уточняют. Например, Project V работает на VLESS + Reality и AmneziaWG, поддерживает обход белых списков у МТС, МегаФона, Билайна и Т2 через маршрут с российскими промежуточными серверами; подписка стоит 180 ₽ за 30 дней, до 3 устройств. Ограничения: обход расходует квоту ×10, а оплата и управление — только в Telegram. Клиенты для VLESS Reality: INCY и Karing есть в российском App Store, Happ и Hiddify в нём недоступны, а под именем Happ там встречаются клоны других разработчиков. На Android есть v2rayNG с открытым кодом, который распространяется через GitHub.

Как выбрать протокол под свой сценарий

Опирайтесь на то, как ведёт себя ваша сеть, а не на общие рейтинги.

Если вы большую часть времени на мобильном интернете в крупном городе и UDP к зарубежным адресам работает, AmneziaWG даст лёгкий туннель с почти незаметным переключением между сетями. Если же замечаете, что WireGuard-подобные протоколы то подключаются, то нет, а VLESS работает ровно, — выбор очевиден в пользу VLESS Reality.

Для регионов, где вводят белые списки, протокол вторичен. Важнее, есть ли у сервиса маршрут через узлы на разрешённых адресах. Там, где сервисы раскрывают протокол таких маршрутов, это чаще VLESS: так устроен маршрут у Project V, а локация «Гренландия» у Amnezia Premium доступна в том числе через VLESS.

Оптимальный вариант для телефона — иметь под рукой оба протокола: либо подписку, где есть и тот и другой, как у Amnezia Premium или Fiery VPN, либо два разных источника.

Коротко по сценариям:

• город, UDP работает, много переходов между Wi-Fi и мобильной сетью — AmneziaWG;
• UDP режут или туннель периодически замирает — VLESS Reality;
• регион с белыми списками — сервис с маршрутом через разрешённые адреса, протокол по его выбору;
• старый или слабый iPhone — более лёгкий клиент и компактная конфигурация, что чаще говорит в пользу AmneziaWG.

Как проверить выбранный протокол в своей сети

Проверка занимает десять минут и даёт больше, чем любые обзоры:

1. Подготовьте два профиля: AmneziaWG и VLESS Reality, желательно серверы в одной стране.
2. Отключите Wi-Fi и подключитесь к первому профилю через мобильную сеть.
3. Убедитесь, что счётчики трафика в клиенте растут в обе стороны: если входящих данных нет, сервер не отвечает или UDP отсекается.
4. Откройте тяжёлую страницу и запустите видео, оцените, насколько быстро начинается воспроизведение.
5. Пройдитесь с телефоном или переключитесь на Wi-Fi и обратно, наблюдая, как быстро восстанавливается связь.
6. Повторите то же для второго профиля и сравните впечатления в разное время суток.

Если один из протоколов на вашей SIM-карте не подключается вовсе, это уже ответ. Если работают оба, выбирайте по стабильности при перемещениях и по тому, как ведёт себя батарея.