Два протокола в одном приложении: почему HamikVPN сложнее заблокировать
Один протокол — одна точка отказа: как только фильтр научится его распознавать, связь пропадёт. Приложения HamikVPN для Android и Windows умеют два разных протокола маскировки и переключаются между ними автоматически. Разбираем, как это работает и почему два независимых канала надёжнее одного.
Коротко
Приложения HamikVPN несут два протокола маскировки с разными принципами: AmneziaWG (обфусцированный WireGuard поверх UDP) и VLESS/REALITY (маскировка под обычный HTTPS на порту 443). Если сеть научится резать один, остаётся второй — а приложение переключается само. Проверить на своей сети можно за 3 бесплатных дня; установка — на странице загрузки.
Почему один протокол — это риск
Блокировки работают не так, что «запретили VPN вообще». Оборудование анализа трафика учится распознавать конкретную сигнатуру — характерную форму пакетов определённого протокола — и режет именно её. Поэтому сервис на единственном протоколе уязвим по принципу одной точки отказа: стоит стороне фильтрации настроить правило под этот протокол, и соединение перестаёт устанавливаться у всех сразу. Именно так периодически «ломается» обычный WireGuard в сетях с жёсткой фильтрацией.
Протокол первый: AmneziaWG — обфусцированный WireGuard
AmneziaWG берёт быстрый и современный WireGuard и убирает его узнаваемый «почерк»: добавляет мусорные пакеты случайного размера, делает длину пакетов переменной и подменяет предсказуемые заголовки. Для наблюдателя со стороны это выглядит как нейтральный UDP-шум, а не как опознаваемый VPN. При этом шифрование остаётся тем же, что у WireGuard, — меняется только то, как трафик выглядит снаружи. Подробно этот механизм разобран в статье WireGuard и AmneziaWG: в чём разница.
Протокол второй: VLESS/REALITY — маскировка под обычный сайт
Второй канал устроен совсем иначе. VLESS с технологией REALITY работает поверх TLS на порту 443 — том самом, по которому открываются все сайты по HTTPS. Снаружи такое соединение выглядит как обычный заход на настоящий популярный сайт: та же «обёртка» TLS, тот же порт, правдоподобный сертификат. Вычленить его из массы нормального веб-трафика и заблокировать, не задев обычные сайты, намного труднее. Это принципиально другой способ маскировки, чем у AmneziaWG: не «спрятать VPN в шуме», а «выдать его за обычный HTTPS».
Почему два разных протокола сильнее одного
Ключ — именно в разнородности. Два канала маскируются по разным принципам: один прячется в нейтральном UDP-трафике, другой притворяется обычным HTTPS. Чтобы лишить вас связи, фильтрующей стороне нужно надёжно заблокировать оба канала одновременно — и при этом не задеть обычный трафик пользователей, иначе пострадают легитимные сайты и сервисы. Это дороже, сложнее и рискованнее, чем отрезать один протокол.
| AmneziaWG | VLESS/REALITY | |
|---|---|---|
| Транспорт | UDP | TLS на порту 443 |
| Принцип маскировки | Прячется в нейтральном UDP-шуме (junk-пакеты, подменённые заголовки) | Притворяется обычным визитом на настоящий сайт по HTTPS |
| На что похож снаружи | Неопознаваемый UDP-трафик | Обычный веб-сёрфинг по HTTPS |
| Когда особенно полезен | Когда в сети не режут UDP | Когда UDP душат, но 443/HTTPS трогать нельзя |
Переключение — автоматическое
Самое важное для пользователя: выбирать протокол вручную не нужно. Приложения HamikVPN для Android и Windows пробуют доступные каналы и остаются на том, который работает именно в вашей сети. Если условия в сети меняются и один канал перестаёт проходить, приложение переключается на другой. Параметры подключения оно получает само — ничего настраивать не требуется.
Честная рамка: ни один VPN нельзя назвать «невозможным для блокировки» — это всегда соревнование. Но два независимых протокола с автопереключением поднимают планку: чтобы оставить вас без связи, нужно одновременно и надёжно закрыть сразу оба разных канала, не задев обычный интернет. Поэтому решение на двух протоколах устойчивее, чем на одном. А чтобы само приложение всегда оставалось у вас под контролем и вовремя обновлялось, его стоит ставить с сайта разработчика — почему именно так, разобрано в статье почему VPN лучше скачивать с сайта разработчика.