Когда-то, чтобы обмануть систему глубокого анализа трафика (DPI), было достаточно завернуть всё в HTTPS — мол, я просто сайт, ничего необычного. Потом DPI научились заглядывать внутрь TLS-рукопожатия и вычислять аномалии: нестандартные cipher suites, подозрительные сертификаты, кривые реализации протокола. Маскировка перестала работать. XTLS придумал Reality — способ не просто имитировать настоящий TLS, а буквально прикрепляться к реальному сайту, как к живому щиту.
Суть Reality в том, что клиент не использует свой сертификат — он берёт существующий HTTPS-сервер (например, сайт крупного банка или CDN). Клиент и сервер Reality договариваются о ключах через публичные данные этого сайта: они вычисляют общий секрет на основе сертификата и рукопожатия. DPI видит обычное TLS-соединение с легитимным ресурсом — никаких подозрительных пакетов. Отличие от старых прокси вроде Trojan: те тоже маскировались под TLS, но использовали самоподписанные сертификаты или свои домены, что со временем стало палево. Reality же не генерирует свой TLS — он крадёт рукопожатие у настоящего сайта.
Ключевая фишка — механизм uTLS (fork библиотеки криптографии Go), который эмулирует поведение реальных браузеров: порядок cipher suites, расширения TLS, даже версии протокола. DPI видит ровно то, что увидел бы при заходе на Amazon. Дополнительно Reality использует XTLS — оптимизацию прямого копирования трафика (XTLS Direct), что снижает нагрузку на CPU и уменьшает задержки. Это не шифрование поверх шифрования — это один слой, который внешне неотличим от обычного HTTPS.
Сильные стороны: не требует фиксированного IP, работает за симметричными NAT, устойчив к активному зондированию (если DPI попробует подключиться к серверу как к настоящему сайту — он получит реальный ответ). Слабые: сложность настройки — нужно подобрать подходящий публичный сайт с правильными параметрами. Если сайт сменит сертификат или ляжет — соединение упадёт. Кроме того, Reality не скрывает факт использования VPN от провайдера — только маскирует тип трафика.
Актуальный статус: активно развивается, используется в Xray-core и Sing-box. Конкуренты (Hysteria 2, ShadowTLS) решают другие задачи — Reality остаётся лучшим вариантом для регионов с агрессивным DPI, где HTTPS-трафик не блокируют, но анализируют.
Любопытный момент: Reality может использовать в качестве «прикрытия» сайты с HSTS или даже ресурсы, которые сами блокируются в регионе — тогда трафик маскируется под попытку доступа к запрещённому контенту. Работает, но выглядит как извращение.
#Reality #XTLS #VPN #DPI #обходблокировок
