До недавнего времени любой протокол обхода блокировок был либо маскировкой под HTTPS (тень отца Гамлета), либо откровенным признанием «я туннель». VLESS с TLS-заглушкой работал, пока DPI не начал смотреть, с кем именно рукопожатие совершается. Тут-то и выяснилось: если сервер говорит, что он — google.com, а сертификат реально от random-vps.ru, пазл не сходится. Провайдеру достаточно проверить цепочку сертификатов, и туннель становится виден.
Reality (XTLS) решает проблему радикально: он не предъявляет свой сертификат. Вообще. Вместо этого клиент и сервер проводят «слепое рукопожатие» через реальный сайт (например, microsoft.com). Клиент подключается к вашему серверу, сервер перенаправляет само TLS-рукопожатие к настоящему Microsoft. DPI видит, что соединение идёт с IP-адресом, который легитимно отвечает за Microsoft, получает от Microsoft сертификат — и успокаивается. Никакой подделки, никакой самоподписанной клюквы. Вся магия в том, что ваш сервер выступает прокси для первого пакета, а потом перехватывает управление.
Ключевой параметр — dest. Это реальный домен, под который маскируется сервер. Если DPI заподозрит неладное, он может сходить на dest напрямую — и убедиться, что там действительно живой Microsoft. Никакой «реальности» для DPI не существует, есть только честный HTTPS до легитимного ресурса. Потом, внутри этого честного канала, Reality уже ведёт свой разговор — шифрует и передаёт данные по XTLS.
Сильные стороны: не требует покупки домена и сертификата, не палится при анализе TLS-рукопожатия, легко адаптируется под любой сайт.
Слабые: если ваш VPS находится в дата-центре, который Microsoft не использует, DPI может заподозрить аномалию. Также Reality требует поддержки XTLS на клиенте — не все программы умеют.
Статус: активно развивается, но уже стабилен. Рекомендую смотреть в сторону Xray-core последних версий.
Вопрос в студию: если DPI начнёт анализировать не только сертификаты, но и задержки между отправкой запроса и ответом, не станет ли «слепое рукопожатие» уязвимым местом?
#Reality #XTLS #DPI #сетеваябезопасность #VPN
