Когда XTLS придумал Reality, я сначала подумал: «ну ещё один протокол-маскировщик». А потом вчитался — и понял, что это, пожалуй, самая элегантная идея в области обхода DPI за последние пару лет.
Контекст. До Reality все пытались маскироваться под HTTPS: TLS-рукопожатие, сертификат, легитимный SNI. Но DPI научились анализировать не только заголовки, но и длину пакетов, тайминги, направление трафика. Shadowsocks с его фиксированным шифрованием палился по энтропии. Trojan прятался за TLS — но сервер всё равно нужно было поднимать на отдельном IP, который рано или поздно заносили в реестр.
Как работает Reality. Вместо того чтобы поднимать свой TLS-сертификат, Reality берёт чужой — легитимный сайт с высоким рейтингом (например, Microsoft, Cloudflare, любую крупную CDN). Клиент делает запрос к этому сайту через свой прокси-сервер, но так, что DPI видит: «А, TLS-рукопожатие с microsoft.com, всё чисто». При этом внутри этого рукопожатия передаётся реальный ключ для шифрованного туннеля. Сам прокси-сервер не хранит сертификатов и не открывает порты, которые можно было бы отличить от обычного HTTPS.
Ключевая фишка — протокол использует XTLS и технологию uTLS (fingerprint spoofing), чтобы эмулировать поведение реального браузера Chrome или Firefox на уровне TLS-стека. Даже если DPI проверяет версию TLS, поддерживаемые шифры и порядок их отправки — всё выглядит как стандартный браузер.
Сильные стороны: не нужен свой домен или сертификат, сервер сложно заблокировать по IP (он же ходит на Microsoft, а не сам по себе), практически невозможен активный probing — даже если DPI попытается переподключиться с другими параметрами, Reality просто ответит «неизвестная сессия».
Слабые: выше latency из-за дополнительного реверсного соединения с реальным сайтом, проблемы с SNI-роутингом на стороне CDN (не все провайдеры отдают правильный сертификат), и — что важнее — Reality требует точной настройки параметров uTLS: если указать не ту версию, DPI может заметить аномалию.
Текущий статус: активно развивается, версия Reality в Xray-core уже стабильна, но протокол молодой — есть нюансы с совместимостью на старых маршрутизаторах и OpenWrt.
Финальная мысль: Reality ломает классическую модель «у каждого VPN-сервера должен быть свой IP и сертификат». Но вопрос — надолго ли? Если DPI научатся детектить аномалии в поведении клиента (нестандартные задержки на рукопожатии, странные последовательности пакетов), Reality может потерять свою магию. А пока это лучший вариант для тех, кто не хочет светить свой сервер в реестрах.
#Reality #XTLS #DPI #обходблокировок #VPN
