До появления Reality любой протокол обхода DPI был, по сути, маскировкой. Shadowsocks прятал трафик в случайный шум, VMess имитировал TLS, Trojan притворялся HTTPS-соединением. Проблема одна: у всех этих масок есть fingerprint — уникальный почерк, по которому DPI учится отличать подделку от оригинала.
Reality (часть экосистемы XTLS/Xray) решает задачу радикально: он не маскируется под HTTPS, он становится его частью. Клиент подключается не к своему серверу, а к реальному HTTPS-сайту (например, microsoft.com или cloudflare.com). Но на этапе TLS-рукопожатия клиент и сервер договариваются: «мы оба знаем, что за этим handshake стоит Reality, а для внешнего наблюдателя — это обычный TLS 1.3». DPI видит валидный handshake с настоящим сертификатом настоящего сайта. Отличить от легитимного трафика невозможно.
Как это работает технически: клиент получает сертификат и сессионные ключи от публичного сайта, но использует их только для первого handshake. Реальный канал шифруется поверх — через собственный протокол XTLS. Пакет, который уходит от клиента к Reality-серверу, выглядит как обычный TLS-пакет до того самого публичного сайта. Разница в том, что сервер Reality перехватывает этот пакет и расшифровывает его, а не отправляет дальше в интернет.
Сильная сторона: DPI нечего анализировать. Нет характерного «стука» протокола, нет нестандартных расширений TLS, нет фиксированных размеров пакетов. Reality использует механизм uTLS (cборку Client Hello из реальных библиотек браузеров) — fingerprint становится неотличим от Chrome или Firefox.
Слабая сторона: если DPI начнёт блокировать трафик к определённым сайтам целиком (не анализируя содержимое, а просто по SNI), Reality не поможет. Также требует больше ресурсов CPU — каждый пакет нужно сопоставить с публичным сертификатом и выполнить криптографию поверх.
Текущий статус: активно развивается. XTLS/Xray-core версии 1.8+ стабильно поддерживают Reality. Это самый современный подход к обходу DPI среди протоколов на сегодняшний день.
Финальная мысль: Reality делает то, что раньше считалось невозможным — уничтожает сам признак того, что вы используете обфускацию. Вопрос не в том, «как его заблокировать», а в том, «как отличить Reality-сессию от обычного HTTPS, если обе валидны». Пока ответа нет.
#Reality #XTLS #DPI #обходблокировок #протоколы
