XTLS-Reality — максимальная маскировка трафика

Проблема — почему обычный TLS недостаточен

Долгое время стандартный подход был такой: зашифровать трафик через TLS и направить на сервер. Провайдер видит зашифрованный поток — содержимое недоступно. Казалось бы, достаточно.

Но системы DPI научились анализировать не содержимое а паттерны трафика:

• TLS Certificate: сервер предъявляет сертификат. Если он самоподписанный или от неизвестного издателя — подозрительно.
• SNI (Server Name Indication): при TLS-соединении клиент в открытом виде сообщает к какому домену подключается. Если это неизвестный домен или IP без домена — подозрительно.
• TLS Fingerprint: каждый клиент оставляет уникальный «отпечаток» TLS-рукопожатия — набор поддерживаемых шифров, расширений, версий. Xray-клиенты имеют характерный fingerprint отличный от браузеров.
• Паттерны трафика: VPN-трафик имеет характерное распределение размеров пакетов и временны́х интервалов.

Итог: даже полностью зашифрованный VLESS+TLS-трафик DPI может идентифицировать как «туннель» и заблокировать. Именно эту проблему решает Reality.

Что такое XTLS-Reality

XTLS-Reality — технология маскировки разработанная командой XTLS в 2023 году. Принципиально новый подход: вместо «спрятать туннель» — «сделать туннель неотличимым от легитимного HTTPS».

Ключевая идея: сервер Happ не предъявляет собственный TLS-сертификат. Вместо этого он «заимствует» TLS-сессию у реального крупного сайта — например www.microsoft.com или www.apple.com.

Что видит DPI: клиент подключается к серверу, сервер предъявляет валидный сертификат от microsoft.com, TLS-рукопожатие выглядит как от браузера Chrome, трафик идёт на порт 443. Это обычный HTTPS к Microsoft. Блокировать нечего.

Как работает Reality — технически

Reality vs обычный TLS — в чём разница

Reality vs другие протоколы

Анатомия ключа Reality

Ключ VLESS+Reality содержит специфические параметры которых нет в других протоколах:

TLS Fingerprint — что это и зачем

Каждый браузер при TLS-соединении отправляет ClientHello — первое сообщение установки соединения. В нём содержится список поддерживаемых шифров, расширений, версий протокола, эллиптических кривых. Этот набор уникален для каждого браузера и его версии — это и есть TLS fingerprint или JA3-fingerprint.

DPI умеет распознавать fingerprint Xray-клиентов — они исторически отличались от браузеров. Reality с параметром fp=chrome заставляет Happ отправлять в точности такой же ClientHello как Chrome — DPI не может отличить Happ от реального браузера.

Доступные fingerprint в Happ:

• chrome — имитирует Google Chrome (рекомендуется — самый распространённый)
• firefox — Mozilla Firefox
• safari — Apple Safari
• edge — Microsoft Edge
• ios — Safari на iPhone/iPad
• android — Chrome на Android
• random — случайный fingerprint при каждом подключении

Ограничения Reality

Reality — лучший протокол маскировки, но не идеален для всех ситуаций:

• Только TCP. Reality работает поверх TCP. Для UDP-трафика (некоторые игры, VoIP) нужны другие решения.
• Нестабильные сети 4G. TCP плохо переносит частые потери пакетов в мобильных сетях. Для 4G/5G лучше подходит Crypt5 — оптимизирован для нестабильных соединений.
• Требует конкретного SNI. Если провайдер заблокирует microsoft.com или apple.com — Reality с этим SNI перестанет работать. Решение: сменить SNI на другой крупный сайт.
• Не обходит CDN-блокировки. VLESS+WebSocket через Cloudflare CDN устойчивее в случаях когда IP сервера заблокирован — Reality при этом не помогает.

Reality в Happ

Happ использует Xray-core с полной поддержкой XTLS-Reality. Когда вы получаете ключ через @AnonInetBot — вы автоматически получаете оптимально настроенный Reality-ключ.

Что настроено в ключах Happ:

• SNI — выбраны крупные домены которые никогда не заблокируют в России
• Fingerprint chrome — самый распространённый, минимальный шанс обнаружения
• Порт 443 — стандартный HTTPS, не блокируется
• Актуальные серверы — команда Happ регулярно ротирует серверы

Ключи Reality особенно эффективны на домашнем WiFi и офисных сетях. Для мобильных сетей рекомендуем иметь оба типа — Reality и Crypt5.

Частые вопросы

Может ли провайдер заблокировать Reality?

Теоретически — только заблокировав сам сайт который Reality имитирует (microsoft.com, apple.com). Практически это невозможно — эти сайты критически важны для работы Windows, Office, iPhone и других продуктов. Их блокировка вызовет масштабные сбои для миллионов пользователей.

Reality и обычный TLS — в чём риск для обычного TLS?

Обычный VLESS+TLS можно заблокировать анализом TLS-сертификата (неизвестный издатель) или fingerprint клиента (не похож на браузер). Reality устраняет оба этих вектора атаки — сертификат реальный, fingerprint браузерный.

Почему ключ Reality длиннее обычного VLESS?

Потому что содержит дополнительные параметры: pbk (публичный ключ), sid (Short ID), fp (fingerprint). Это нормально — просто скопируйте целиком и добавьте через «+» в Happ.

Reality работает на всех устройствах?

Да — Android, iPhone, Windows, macOS, Linux. Happ поддерживает Reality на всех платформах. Ключ один и тот же работает везде.

Можно ли использовать Reality без Happ?

Reality — открытый стандарт реализованный в Xray-core. Его поддерживают другие Xray-клиенты: v2rayN (Windows), NekoBox (Android), v2rayNG. Но Happ предоставляет более удобный интерфейс и готовые ключи.

Читайте также