Протоколы VPN: чем отличаются VLESS, WireGuard, AmneziaWG, OpenVPN и другие

Почему протоколов так много и чем они различаются в принципе

Протокол VPN — договорённость между приложением и сервером: как упаковать данные, как их зашифровать и как проверить, что подключаетесь именно вы. Шифруют все современные протоколы надёжно, так что выбирают их по другим признакам.

Их удобно поделить на две семьи. Первая — классические VPN: WireGuard, OpenVPN, IPsec/IKEv2. Их создавали, чтобы сотрудник мог подключиться к сети офиса или два филиала соединились между собой. Скрывать, что это VPN, не требовалось, поэтому у каждого протокола узнаваемое начало разговора, как фирменный звонок в дверь.

Вторая семья — прокси-протоколы: Shadowsocks, VMess, VLESS, Trojan, Hysteria2. Они появились в сетях, где VPN-трафик распознают и ограничивают, и устроены так, чтобы соединение выглядело как обычный заход на сайт или как бессмысленный шум. Чтобы телефон считал такое подключение VPN, приложение создаёт виртуальный сетевой интерфейс. Для пользователя разницы почти нет: та же кнопка и тот же значок в строке состояния.

Между семьями стоит AmneziaWG: это WireGuard, у которого изменили узнаваемые признаки, но оставили шифрование и скорость.

С безопасностью у современных протоколов из обеих семей всё в порядке: шифрование у них надёжное, и ни провайдер, ни соседи по Wi‑Fi в кафе содержимое вашего трафика не увидят. Важнее, кто управляет сервером. Он видит, на какие адреса вы ходите, какой бы протокол ни стоял, поэтому выбирать стоит в первую очередь сервис, а потом уже протокол. Если хочется сначала освежить основы, загляните в статью что такое VPN простыми словами.

Чем отличаются протоколы: сравнительная таблица

Что известно об ограничении протоколов в России

Роскомнадзор не публикует, какие протоколы и как он ограничивает, поэтому картину собирают по сообщениям СМИ и отраслевых изданий.

• В августе 2023 года абоненты крупных мобильных операторов массово жаловались на сбои OpenVPN и WireGuard, и ComNews писал о массовой блокировке этих протоколов. С тех пор, по отзывам пользователей и сообщениям СМИ, классические VPN-протоколы в российских сетях, особенно мобильных, работают нестабильно.
• В ноябре 2023 года, по данным «Коммерсанта», в перечень протоколов для блокировки впервые попал Shadowsocks.
• В декабре 2025 года РБК сообщил, что Роскомнадзор обновил оборудование ТСПУ и начал ограничивать SOCKS5, VLESS и L2TP. Эксперты в пересказах этой новости говорили, что VLESS распознают по косвенным признакам.

Есть и ограничения другого рода. В ряде регионов при отключениях мобильного интернета действуют белые списки: открываются только одобренные сервисы, и тогда не подключается ни один протокол из этой статьи, как бы он ни был устроен.

Пользоваться VPN при этом не запрещено. Что именно регулирует закон и за что предусмотрены штрафы, разобрано в статье о том, законно ли пользоваться VPN в России.

Почему один и тот же протокол работает у друга и не работает у вас

Фильтрация в России неоднородна. Оборудование ТСПУ стоит у операторов связи, и, судя по жалобам пользователей, правила срабатывают по-разному в разных регионах и сетях. Мобильный интернет обычно ограничивают строже домашнего: в 2023 году сбои OpenVPN и WireGuard, по данным ComNews, затронули мобильных операторов, а крупных проводных провайдеров вроде «Ростелекома» не коснулись.

Второй фактор — настройки конкретного сервера: порт, транспорт, сайт, облик которого заимствует Reality, хостинг, где стоит сервер. Два сервиса на одном и том же VLESS могут вести себя по-разному, а у одного сервиса одна локация работает, а соседняя нет.

Третий фактор — время. Ограничения то усиливают, то ослабляют, и то, что работало в прошлом месяце, может перестать, и наоборот. Поэтому искать «тот самый» протокол раз и навсегда бесполезно. Практичнее пользоваться сервисом, который следит за этим сам и присылает новые настройки через подписку. Если подключение всё-таки пропало, начните с разбора почему VPN не подключается.

Как понять, какой протокол у вас сейчас

Протокол легко узнать по тому, что выдал сервис. Ссылки начинаются с названия протокола, а для классических VPN обычно дают файл конфигурации.

Если у вас подписка, протокол каждого сервера обычно видно в приложении: рядом с названием сервера или в его свойствах.

Коротко о каждом протоколе

VLESS

Лёгкий протокол из экосистемы Xray, появился в 2020 году. Сам VLESS отвечает за то, чтобы сервер узнал клиента и понял, куда отправить данные, а шифрование и внешний вид соединения даёт TLS или Reality. Reality заимствует облик настоящего крупного сайта, а режим Vision убирает характерный рисунок двойного шифрования. В подписках у одной локации нередко есть несколько вариантов VLESS с разными транспортами, например TCP с Reality и XHTTP с TLS. Подробно обо всём этом — в статье VLESS простыми словами.

WireGuard

Современный VPN-протокол с очень компактным кодом, с 2020 года встроен в ядро Linux. Использует проверенный набор криптографии (Noise, Curve25519, ChaCha20, Poly1305, BLAKE2) и работает только поверх UDP. Быстро подключается и спокойно переживает смену сети, например переход с Wi‑Fi на LTE. Слабое место для российских сетей — узнаваемость: первые пакеты соединения у WireGuard всегда одинаковы по размеру и устройству.

AmneziaWG

Ответвление WireGuard от команды Amnezia. Перед рукопожатием оно отправляет несколько пакетов случайной длины, добавляет к служебным сообщениям случайные байты и меняет заголовки, по которым узнают WireGuard. В версиях 1.5 и 2.0 появилась возможность выдавать трафик за другие популярные UDP-протоколы. Криптография осталась от WireGuard, поэтому скорость та же. Если параметры маскировки выключить, конфигурация совместима с обычным WireGuard. Подробности — в документации Amnezia.

OpenVPN

Ветеран, существует с начала 2000-х. Ключи согласует по TLS, работает и поверх UDP, и поверх TCP, его поддерживает огромное количество роутеров и корпоративных систем. За универсальность приходится платить нагрузкой на процессор, поэтому на слабых устройствах он медленнее. В режиме TCP при потере пакетов скорость проседает сильнее обычного: повторные отправки OpenVPN и самого TCP мешают друг другу. Для доступа к рабочей сети OpenVPN встречается до сих пор, но рукопожатие у него узнаваемое.

Shadowsocks и Outline

Shadowsocks появился в 2012 году как зашифрованный прокси. Узнаваемого рукопожатия у него нет: с первого байта идёт шифрованный поток. Но поток, в котором все байты выглядят случайными, сам выделяется на фоне обычного трафика. Исследователи описывали, как такой полностью зашифрованный трафик находят по статистике байтов (USENIX Security 2023).

Outline в 2018 году запустила Jigsaw, инкубатор внутри Google, сейчас проектом владеет некоммерческий фонд Outline Foundation. Внутри Outline работает Shadowsocks, а «ключ Outline» обычно выглядит как ссылка, которая начинается с ss://. Поэтому разница между VLESS и Outline сводится к разнице между VLESS и Shadowsocks: соединение VLESS с Reality похоже на обычный HTTPS, а Shadowsocks — на поток шума.

Trojan

Trojan прячет прокси внутри настоящего TLS-соединения: клиент проходит обычное рукопожатие, а потом передаёт хеш пароля. Если пароль неверный или пришёл посторонний, сервер передаёт соединение обычному веб-серверу, и снаружи он ведёт себя как сайт. Xray поддерживает Trojan, но без режима Vision, и документация советует включать для него мультиплексирование, иначе «TLS внутри TLS» легко заметить. Ссылки Trojan начинаются с trojan://, и их понимают те же приложения, что и ссылки VLESS.

Hysteria2

Работает поверх QUIC, на котором построен HTTP/3, и старается выглядеть как обычный HTTP/3-трафик. Собственный алгоритм управления скоростью Brutal помогает держать скорость на каналах с потерями, например на слабом мобильном интернете или до далёкого сервера. Минус в том, что всё идёт по UDP: если сеть плохо обращается с UDP, Hysteria2 работает хуже протоколов на TCP. Его поддерживают клиенты на ядре sing-box, например Hiddify.

IKEv2, L2TP и PPTP

Эти протоколы встроены в Windows, macOS и iPhone и настраиваются без отдельных приложений. PPTP давно считается небезопасным, Apple убрала его из iOS и macOS ещё в 2016 году. L2TP без IPsec не шифрует данные и, по данным РБК, тоже попал под ограничения в конце 2025 года. IKEv2/IPsec надёжен, но узнаётся так же легко, как другие классические VPN.

VLESS или WireGuard: что выбрать

На бумаге WireGuard быстрее: он проще, работает прямо в ядре Linux и почти не тратит ресурсов на служебные данные. VLESS с Vision тоже почти не добавляет нагрузки, так что на практике скорость обоих упирается в сервер, маршрут и загрузку сети.

Сильнее различается то, как протоколы выглядят со стороны. WireGuard не прячется, и в российских сетях, по сообщениям пользователей и СМИ, его подключение часто обрывается в первые секунды или не устанавливается вовсе. VLESS с Reality или TLS похож на обычный HTTPS-трафик, хотя и его, как сказано выше, научились ограничивать.

Есть разница и в мелочах. WireGuard почти незаметно переживает переход с Wi‑Fi на мобильную сеть: сервер просто начинает отвечать на новый адрес. У протоколов поверх TCP, к которым обычно относится VLESS, соединения в такой момент приходится открывать заново, и это бывает заметно короткой паузой.

Поэтому WireGuard хорош там, где сеть ему не мешает: для подключения к своему домашнему серверу, к рабочей сети, в поездках за границу. Для повседневного VPN на телефоне и компьютере в России практичнее VLESS от сервиса с подпиской: приложение само подтянет серверы и их новые настройки.

VLESS или AmneziaWG

Этот вопрос чаще возникает у тех, кто думает поднять собственный сервер. Приложение AmneziaVPN умеет само установить сервер на арендованный VPS по SSH, и AmneziaWG там один из вариантов наряду с Xray. VLESS обычно получают у сервиса или настраивают на сервере через панели управления Xray.

Технически разница в транспорте. AmneziaWG работает поверх UDP и даёт скорость WireGuard. VLESS обычно идёт поверх TCP и выглядит как HTTPS. Сети ограничивают UDP и TCP по-разному, поэтому одна и та же связка может отлично работать дома и плохо на мобильном интернете в другом городе.

Если вы пользуетесь готовым сервисом, выбирать не придётся: протокол уже зашит в подписку. Если ставите свой сервер, AmneziaWG проще в настройке, а VLESS с Reality дольше настраивать, зато он меньше похож на VPN.

VLESS или Hysteria2

Здесь та же развилка между TCP и UDP. Hysteria2 выигрывает на каналах с потерями, например на слабом мобильном интернете или до сервера на другом краю света. VLESS надёжнее там, где сеть режет UDP: в такой сети Hysteria2 так же тяжело, как AmneziaWG. Если сервис предлагает оба варианта, а клиент поддерживает Hysteria2, как Hiddify, можно сравнить их в своей сети.

Что выбрать для телефона, компьютера, роутера и телевизора

Для телефона и компьютера подробный разбор клиентов с плюсами и минусами — в обзоре приложений для VLESS. Как устроены ключи и подписки и как их добавлять, объясняем в статье про ключ и подписку VLESS.

С роутерами всё зависит от прошивки. Keenetic, например, поддерживает WireGuard штатно, а параметры AmneziaWG, по документации Amnezia, понимает начиная с KeeneticOS 4.2, сначала в тестовых сборках. С версии 4.3.4 они подтягиваются из файла конфигурации сами. Для VLESS на роутере обычно нужна OpenWrt или сторонние пакеты. Подробнее — в статье про VPN на роутере.

Если в подписке есть серверы с разными протоколами или транспортами, начните с того варианта, который сервис рекомендует, и переключайтесь, только если подключение работает плохо. Сравнивать варианты честнее в одной сети и примерно в одно время: скорость заметно меняется в течение дня, особенно вечером.

Одна оговорка для тех, у кого уже есть рабочий VPN. На телефоне одновременно работает только одно VPN-подключение: включили второе, и первое отключилось. На компьютере два VPN-клиента формально уживаются, но спорят за маршруты, и часть сайтов или рабочих систем может перестать открываться. Если работодатель выдал свой VPN, держите его и личный включёнными по очереди.

Для кафе, аэропортов и отелей подойдёт любой из протоколов, а что ещё стоит сделать в чужой сети, разобрано в статье о безопасности публичного Wi‑Fi.

Byte VPN работает на VLESS с Reality и через XHTTP/TLS: одна ссылка-подписка даёт все доступные локации, а в личном кабинете есть инструкции для Incy, Happ и Hiddify.