VLESS, WireGuard или Hysteria2: что выбрать в 2026

1. Туннель или прокси: половина ответа здесь

Первое различие не про блокировки, а про устройство, и оно отсекает половину вариантов ещё до вопроса «что сейчас проходит».

WireGuard — сетевой туннель. Устройство получает адрес во внутренней сети сервера, и в эту сеть уходит весь трафик системы: браузер, почтовая программа, обновления, любое приложение, которое ни у кого не спрашивает разрешения. Одновременно становится видна и вторая сторона: с ноутбука можно открыть домашний накопитель по его внутреннему адресу, а с телефона — панель управления сервером, который наружу вообще не смотрит.

VLESS и Hysteria2 — прокси. Сервер не выдаёт устройству адрес и не соединяет сети. Он принимает отдельные соединения от программы-клиента и передаёт их дальше. Завернуть в него весь трафик системы можно — клиент поднимает у себя виртуальный сетевой интерфейс, в приложениях этот режим называется TUN или «Режим VPN», — но доступа к устройствам на стороне сервера это не даёт.

2. Почему WireGuard узнаётся с первого пакета

Слабое место WireGuard — не шифрование, с ним всё в порядке. Дело в том, что начало соединения выглядит одинаково всегда. Спецификация протокола задаёт четыре вида сообщений, и у трёх из них размер задан жёстко — меняться ему негде:

Каждое сообщение начинается с одного байта — номера типа, — за которым идут три нулевых байта, зарезервированных спецификацией на будущее. То есть первые четыре байта самого первого пакета — это всегда 01 00 00 00, а длина этого пакета всегда 148 байт. Ответ сервера — всегда 02 00 00 00 и 92 байта.

Оборудованию фильтрации этого достаточно. Правило «пакет UDP длиной 148 байт, начинающийся с нужных четырёх байт, а в ответ пакет длиной 92 байта» не требует ни расшифровки, ни накопления статистики, ни разбора поведения. Соединение опознаётся раньше, чем по нему пройдёт первый байт полезных данных, и стоит это фильтру почти ничего.

3. AmneziaWG: тот же WireGuard без узнаваемых пакетов

AmneziaWG — не новый протокол, а тот же WireGuard с изменённым внешним видом пакетов. Криптографическая часть не тронута. Изменено ровно то, за что цепляется фильтрация:

• Мусорные пакеты в начале. Параметры Jc, Jmin и Jmax задают, сколько бессмысленных пакетов и какой длины отправить перед рукопожатием. Ровная последовательность «148, затем 92» перестаёт быть видна: в начале соединения летит пачка пакетов разной длины.
• Случайная набивка. Параметры S1—S4 дописывают случайный префикс к четырём видам пакетов — началу рукопожатия, ответу, метке и данным, — и фиксированные длины пропадают вовсе.
• Свои номера типов. Параметры H1—H4 заменяют номера 1, 2, 3 и 4 на числа из заданных диапазонов. Первые четыре байта перестают быть 01 00 00 00.
• Чужая подпись перед рукопожатием. Параметры I1—I5 описывают до пяти пакетов, которые клиент отправляет первыми: в них кладут начало настоящего чужого протокола — например, первый пакет QUIC. Появились они не в последней версии: маскировка под чужие протоколы UDP есть с 1.5, в 2.0 её расширили.
• Маскировка не только в начале. Версия 3.1 добавила защиту заголовков, добавочную набивку содержимого, случайные хвосты и настраиваемые интервалы служебных событий — то есть трафик меняет вид и в ходе передачи данных, а не только при подключении.

Совпадать на сервере и на клиенте обязаны набивка S1—S4, диапазоны заголовков H1—H4 и ключ защиты заголовков: без них сторона не разберёт пакет. Мусорные пакеты Jc, Jmin, Jmax и сигнатурные I1—I5 данных не несут, и документация советует задавать их только на клиенте. Пока маскировка выключена, конфигурация полностью совместима с обычным WireGuard. Как только включена, обычный клиент WireGuard подключиться уже не сможет: нужен клиент AmneziaWG.

С роутерами сложнее. Обычный WireGuard встроен в заводские прошивки распространённых моделей — Keenetic, MikroTik, ASUS, — и есть в OpenWrt. AmneziaWG в KeeneticOS поддерживается начиная с версии 5.1 Alpha 3 из канала разработчика, и только версии 1.5 и 2.0 — версию 3.1 роутер пока не понимает, о чём прямо сказано в документации Amnezia. На OpenWrt ставится всё, но руками.

Отдельную панель ради AmneziaWG поднимать не нужно. Панель 3X-UI начиная с версии 3.7, вышедшей 24 августа 2026, ведёт AmneziaWG собственными силами — без модуля ядра и без Docker, — то есть на том же сервере рядом с VLESS. Порядок действий в панели, разбор параметров маскировки и подбор MTU — в отдельной статье про AmneziaWG.

4. VLESS и Reality: чужой сертификат вместо своего

Reality — не шифрование и не транспорт, а способ начать соединение так, чтобы со стороны оно выглядело обращением к чужому настоящему сайту. Клиент начинает рукопожатие TLS с именем стороннего домена. Посторонний, который постучится на тот же порт, будет переслан на этот настоящий сайт и получит его подлинный сертификат и его страницу — ровно как при обычном заходе. Свой клиент узнаётся внутри рукопожатия по ключу.

Отсюда два практических свойства. Первое: ни своего домена, ни своего сертификата не нужно. Второе: признака, по которому такое соединение можно отличить в пакете, просто нет — заблокировать его по сигнатуре значит заблокировать сам сайт-маску.

Скрывает Reality не всё. Ритм и объём трафика, репутация подсети хостинга и число одновременных соединений к одному имени остаются на виду — именно по этим признакам его и ловят. Разбор механизма и установка — в нашей статье про VLESS с Xray и Reality. Для выбора важно другое: Reality работает поверх TCP, и ставят его на порт 443 — туда, где живёт обычный HTTPS. То есть по тому же протоколу и порту, что и обычные сайты. Это единственный из разобранных вариантов, который вообще не зависит от того, пропускает ли оператор UDP.

5. Hysteria2: ставка на UDP

Hysteria2 работает поверх QUIC — это транспорт на базе UDP, тот самый, на котором работает HTTP/3 в браузерах. Из этого следуют все его сильные и все слабые стороны.

Что он умеет

• Не сбавляет скорость при потерях. Обычные алгоритмы считают потерю пакета признаком перегрузки и снижают темп отправки. У Hysteria2 есть режим Brutal: скорость задаёте вы, и при потерях он не отступает, а добавляет отправку, чтобы вытянуть заданную. На канале, который теряет пакеты — мобильный интернет, дальняя линия, вечерняя нагрузка, — разница ощутима.
• Притворяется обычным веб-сервером. Сервер Hysteria2 обязан отвечать как настоящий сервер HTTP/3. Тот, кто не прошёл проверку, получает либо страницу-заглушку, либо содержимое чужого сайта, если настроено проксирование.
• Умеет менять порт. Если оператор режет конкретный порт UDP, сервер можно раздать диапазоном портов, и клиент будет их перебирать. На стороне сервера это делается правилами iptables или nftables.

Чего он стоит

• Нужен домен и сертификат. Reality обходится чужим сайтом, Hysteria2 — нет: в требованиях официальной инструкции прямо стоит доменное имя, указывающее на адрес сервера. Сертификат сервер получает сам. Самоподписанный тоже можно, но тогда клиенту придётся либо отключить проверку сертификата, либо сверять его отпечаток вручную.
• Маскировка и запутывание пакетов не работают вместе. У Hysteria2 есть режим Salamander: каждый пакет превращается в случайные байты. Документация проекта предупреждает, что при этом сервер перестаёт быть совместим с обычным QUIC и уже не работает как сервер HTTP/3. То есть либо посторонний видит нормальный веб-сервер, либо не видит ничего — а молчание на порту само по себе выглядит странно.
• Это UDP — и это главный риск. Часть операторов ограничивает UDP или режет QUIC целиком. Тогда Hysteria2 не спасают ни маскировка, ни перебор портов: вопрос решается не настройками, а сменой протокола. Единственная оговорка — режим mimic, который надевает на пакеты фальшивый заголовок TCP, но он работает только на Linux, требует прав root и должен быть включён на всех клиентах сразу, так что для телефона это не вариант. Проверять UDP надо на своём канале, и проверка описана в следующем разделе.
• Дороже по процессору. TCP обрабатывается ядром системы, QUIC — самой программой. В измерениях, опубликованных в журнале IEEE Transactions on Network and Service Management в 2022 году, при скачивании файла на 200 МБ QUIC занимал около 90 процентов процессора против примерно 50 у TLS поверх TCP при сопоставимой скорости. Реализация там другая, и переносить проценты на Hysteria2 буквально нельзя, но механизм тот же. На сервере это обычно неважно, на телефоне сказывается на нагреве и расходе заряда.

6. Сравнение по признакам, которые решают

В таблице только те признаки, которые действительно меняют решение. Скорости в мегабитах здесь нет намеренно: на ровном канале все четыре упираются в скорость линии, а разница появляется там, где канал перестаёт быть ровным.

Строка про расход на телефоне требует пояснения. WireGuard и AmneziaWG за клиентом, который сидит за преобразованием адресов — а это любой домашний роутер и любой мобильный оператор, — обязаны время от времени отправлять короткий пакет, иначе сопоставление в роутере протухнет и входящие пакеты перестанут доходить. Документация WireGuard рекомендует делать это раз в 25 секунд. У прокси такой обязанности нет: пока приложение молчит, в канал ничего не уходит.

7. Как выбрать: три сценария

И честная оговорка: одного правильного ответа нет, потому что решает не протокол сам по себе, а конкретный оператор и конкретная подсеть, в которой стоит сервер. У соседа по дому с другим оператором картина может быть другой, и это нормально. А если настроенное соединение вдруг перестало проходить, сначала стоит понять, что именно сломалось: разбор по шагам — в статье о том, почему VLESS перестал работать.

8. Проверка: проходит ли у вас UDP

Это единственная проверка, которую стоит сделать до всего остального: она отвечает на вопрос, имеет ли смысл рассматривать Hysteria2. Делать её нужно на том устройстве и в той сети, где потом будет работать соединение — дома и на мобильном интернете результат бывает разным.

Проверка из браузера: сервер для неё не нужен

Откройте https://cloudflare-quic.com/ и обновите страницу два-три раза: браузер переходит на HTTP/3 не с первой загрузки, о чём сама страница и предупреждает. Страница на английском, нужная строка — первая под заголовком: your browser used HTTP/2 или your browser used HTTP/3.

• Написано HTTP/3 — UDP на порт 443 у вас проходит, Hysteria2 имеет смысл пробовать.
• Написано HTTP/2 и после нескольких обновлений не меняется — QUIC не проходит. Повторите в другом браузере: в Chrome и Firefox HTTP/3 включён по умолчанию, но настройку могли изменить. Если и там HTTP/2, ставьте на протокол поверх TCP.

Проверка своего порта: если сервер уже есть

Браузерная проверка говорит только про порт 443. Бывает, что на нём QUIC режут, а произвольный порт UDP проходит. Проверяется это двумя командами. Сначала на сервере открываем порт и запускаем приёмник — он просто печатает всё, что придёт:

apt update && apt install -y netcat-openbsd

ufw allow 39000/udp
nc -u -l 39000

Если у провайдера есть свой межсетевой экран в панели управления, порт 39000 нужно открыть и там: иначе пакет не дойдёт до сервера и проверка обвинит оператора зря.

Терминал замолчит и будет ждать. Теперь на своём компьютере, с Linux или macOS, отправляем строку на этот порт. Вместо 203.0.113.10 подставьте адрес своего сервера:

echo proverka | nc -u -w1 203.0.113.10 39000

Если в окне сервера появилось слово proverka — UDP до сервера доходит. Если за несколько секунд не появилось ничего, попробуйте ещё раз: UDP не гарантирует доставку, и один потерянный пакет ещё ни о чём не говорит. Молчание после нескольких попыток означает, что UDP на этом порту не проходит. Закончив, остановите приёмник сочетанием Ctrl+C и закройте порт: ufw delete allow 39000/udp.

9. Запасной протокол и требования к серверу

Главный практический вывод статьи: выбирать один протокол не нужно. Настройте два сразу, вторым не пользуйтесь и держите его наготове. Когда основной перестанет проходить — а это происходит без предупреждения и обычно не вовремя, — переключение займёт минуту вместо вечера с переносом сервера.

Разумная пара — один вход поверх TCP и один поверх UDP: они отваливаются по разным причинам. Например, VLESS с Reality на порту 443 как основной и AmneziaWG как запасной. Панель 3X-UI версии 3.7 держит все три протокола на одном сервере как отдельные точки входа, каждую на своём порту. Порты нужно открыть в межсетевом экране — по одной строке на каждый:

ufw allow 22/tcp
ufw allow 443/tcp
ufw allow 47821/udp
ufw enable

На ufw enable система переспросит, что соединение по SSH может прерваться, — отвечайте y: правило для 22-го порта уже добавлено строкой выше.

Порт UDP здесь взят произвольно, и это осознанно: стандартный для WireGuard порт 51820 сам по себе подсказывает фильтрации, что за ним искать. Номер задаётся в настройках точки входа, и в правиле межсетевого экрана должен стоять тот же.

Требования к самому серверу у всех четырёх вариантов одинаковые и низкие: одно ядро, 1 ГБ памяти, 10 ГБ диска. Ни один из них не упирается в процессор при нагрузке одной семьи. Решают другие вещи — расположение сервера, ширина канала и репутация подсети, в которой он стоит. Виртуализация должна быть полной: на контейнерной модуль ядра для WireGuard не поднимется.

10. Частые проблемы

11. Частые вопросы