Когда простого HTTPS-маскарада стало недостаточно, на сцену вышел Reality — протокол, который не притворяется, а подменяет сам сеанс установки соединения.
Проблема: Классические обфускаторы (вроде ранних версий V2Ray с WebSocket + TLS) имитируют HTTPS-запрос к легитимному сайту. DPI научились отличать «живой» TLS от поддельного — по таймингам, размеру пакетов и отсутствию реального сертификата. Reality пошёл дальше: он не маскируется под сайт, а буквально использует настоящий TLS-сеанс другого сервера.
Как работает: Клиент Reality инициирует TLS-рукопожатие не с прокси-сервером, а с реальным публичным сайтом (например, microsoft.com). DPI видит корректную цепочку сертификатов, правильные cipher suites и обычный HTTPS. Проблема в том, что внутри этого легитимного соединения Reality прячет свой транспорт — через механизм XTLS (eXtended Transport Layer Security). После установки «верхнего» TLS-туннеля с реальным сайтом клиент и сервер обмениваются ключами Reality, полностью заменяя сессионный ключ. DPI не может заглянуть внутрь зашифрованного сеанса и видит только то, что всё идёт к microsoft.com.
Ключевая инновация: Reality использует обнаруженную в 2022 году уязвимость/особенность протокола TLS — возможность переписать ключи после установки соединения (renegotiation). Никакого внешнего маскарада, никаких статических снимков сертификата. Каждый сеанс уникален.
Сильные стороны:
— Максимальная устойчивость к DPI — для анализатора трафик выглядит как обычный HTTPS к популярному CDN.
— Низкая вычислительная нагрузка на сервер (XTLS позволяет «протаскивать» трафик практически без шифрования на уровне приложения).
— Не требует фиксированного домена для маскировки — можно указать список публичных сайтов.
Слабые стороны:
— Требует стабильного доступа к реальному сайту-маскировщику. Если он заблокирован или недоступен, соединение не установится.
— Сложнее в настройке (параметры serverName, shortIds, publicKey).
— При активном MITM-перехвате (например, корпоративный прокси) может сломаться.
Статус: Активно развивается (поддержка в XRay-core, Sing-box, Hiddify). Не рекомендуется для старых версий V2Ray — нужен XRay-core версии 1.8.0+. Reality считается одним из самых перспективных протоколов для регионов с агрессивным DPI (Китай, Россия, Иран).
Вопрос на подумать: Если Reality использует реальный TLS-сеанс с публичным сайтом, то кто отвечает за приватность DNS-запросов внутри этого туннеля?
#Reality #XTLS #DPI #VPN #XRay
