Как обойти DPI-цензуру с помощью собственного VPS

VPN, который вчера работал, а сегодня перестал, почти никогда не был взломан. Его распознали по отпечатку. Глубокая инспекция пакетов (DPI) — основной инструмент цензуры в Китае, Иране и России в 2026 году, и ей не нужно ничего расшифровывать, чтобы остановить вас — достаточно распознать форму вашего трафика или адрес, на который он отправляется.

Это различие определяет решение. Если цензор заблокировал ваш протокол, другой сервер ничего не изменит. Если он заблокировал IP, другой протокол ничего не изменит. На коммерческом VPN вы обычно попадаете под обе блокировки сразу, потому что тысячи клиентов делят один диапазон адресов и одну сигнатуру рукопожатия. Собственная конечная точка — единственная схема, где вы контролируете оба параметра. В этом гайде разобрано, что обнаруживает DPI, какой из пяти протоколов, всё ещё работающих в 2026 году, отвечает на какую блокировку, и как развернуть один из них.

Что на самом деле видит глубокая инспекция пакетов

Глубокая инспекция пакетов — не вполне точное название. Современный цензор не читает вашу зашифрованную сессию — он не может. Он классифицирует сессию по тому, что остаётся видимым, когда содержимое скрыто: размеры пакетов, тайминг между пакетами, байтовый паттерн начального рукопожатия, адрес и порт назначения, а также поведение соединения, когда его пытаются прощупать.

За этим стоят четыре метода, и для каждого — своё противодействие. Понять, какой из них сработал против вас, — это и есть вся диагностика:

• Фингерпринтинг протокола. У каждого VPN-протокола есть узнаваемое начальное рукопожатие. Первый пакет OpenVPN несёт фиксированный опкод; у WireGuard это 148-байтовое сообщение с постоянным полем типа в предсказуемой позиции. Классификатор распознаёт любой из них по одному пакету, ничего не расшифровывая.
• Активное зондирование. Фирменный приём Великого китайского файрвола. Заметив подозрительную сессию, цензор позже сам подключается к этому адресу и говорит с ним на языке протокола прокси. Если сервер отвечает как прокси — он блокируется, поэтому одной лишь маскировки под TLS недостаточно: сервер должен выдержать допрос.
• Блокировка по IP и диапазонам. Самый грубый и при этом самый распространённый метод. Диапазоны, известные как хостинг коммерческих VPN, блокируются оптом, вообще без инспекции. Именно это в одну ночь убивает потребительское VPN-приложение.
• Троттлинг вместо блокировки. Излюбленный метод Ирана. Соединение не разрывается, а деградирует до непригодности — искусственные потери и задержки, которые ломают управление перегрузкой TCP. Внешне ничего не выглядит заблокированным, поэтому пользователи винят собственное оборудование.

Почему собственная конечная точка на VPS переживает волну блокировок

Коммерческие VPN отказывают в странах с цензурой по структурной причине, которую никакая инженерия не исправит: они публичны. Их диапазоны адресов опубликованы, собраны и перечислены. Любой может купить подписку, зафиксировать выходные адреса и отправить их куда следует — и цензоры именно так и поступают. Одна запись в блок-листе разом лишает доступа тысячи пользователей.

Прокси на собственном VPS переворачивает эту логику. Ваша конечная точка — единственный неизвестный адрес, не значащийся ни в одном списке, пока кто-то его не найдёт, а найти его можно только распознав ваш протокол по отпечатку или заранее зная, где искать. Вдобавок вы получаете то, чего не даёт ни одна подписка: root. Вы сами выбираете протокол, порт, обфускацию и домен маскировки и можете запускать сразу несколько.

Честная цена вопроса — в том, что оператором становитесь вы сами. Никто не сменит за вас адрес, не установит патчи на сервер и не заметит в три часа ночи, что демон упал. Если вам нужны приложение и служба поддержки, это не та архитектура — страницы хостинга, устойчивого к цензуре, формулируют тот же компромисс со стороны продукта. Взамен вы получаете конечную точку, судьба которой не разделена с посторонними.

Почему обычные WireGuard и OpenVPN попадаются DPI

Оба — отличные протоколы, и оба по своей конструкции легко распознаются. WireGuard оптимизирован для криптографической простоты и скорости, а не для маскировки: инициация его рукопожатия — сообщение фиксированной длины с постоянным байтом типа. OpenVPN в конфигурации по умолчанию столь же характерен. Ни один из них не задумывался как неотличимый от прочего трафика — это просто не входило в цели разработки.

Это не делает их плохим выбором, как прямо говорится в нашем сравнении WireGuard и OpenVPN. Для приватности от вашего провайдера, для связи собственных машин, для VPN в стране, не применяющей DPI, WireGuard — правильный выбор, и наш гайд по настройке WireGuard остаётся в силе. Если прямо: WireGuard решает задачу приватности, а не цензуры.

Для обоих существуют слои обфускации — обёртки для OpenVPN, форки, рандомизирующие рукопожатие WireGuard. Они работают, и против цензора, который только снимает отпечатки, этого может быть достаточно. Они слабее там, где применяется активное зондирование, потому что перемешивание рукопожатия не научит сервер убедительно вести себя, когда цензор подключается и начинает задавать вопросы. Именно для этого созданы следующие пять протоколов.

Пять протоколов, которые всё ещё работают в 2026 году

Единого лучшего протокола не существует — есть только лучший вариант для конкретного метода блокировки и конкретной сети, в которой вы находитесь. Эти пять стоит развернуть уже сегодня, и у каждого — своя страница настройки.

VLESS+REALITY — это то, за что стоит браться в первую очередь. Его приём отличается от обычной маскировки под TLS: вместо предъявления собственного сертификата он ретранслирует настоящее TLS-рукопожатие реального, популярного сайта. Активный зонд видит подлинную цепочку сертификатов для настоящего домена — потому что именно её ему и показывают. Нет самоподписанного сертификата, который можно было бы пометить, нет малоизвестного домена, который можно было бы сопоставить.

Shadowsocks-2022 — самый лёгкий и наиболее проверенный в бою вариант; его набор шифров устранил уязвимости к replay-атакам и зондированию, из-за которых распознавались более ранние версии. Hysteria2 отвечает не на блокировку, а на троттлинг — его контроль перегрузки рассчитан на намеренно шумные каналы с потерями. V2Ray за CDN скрывает источник: цензор видит трафик к крупной CDN, а не к вам. Прокси MTProto решает ровно одну задачу, но решает доступ к Telegram настолько чисто, что его стоит запускать параллельно с чем угодно ещё.

Выбор юрисдикции и IP-адреса

Важны два свойства, и они тянут в разные стороны: насколько свеж диапазон адресов и насколько сервер далёк от вас. Обычно побеждает свежесть. Новый адрес в диапазоне, никогда не использовавшемся для обхода блокировок, проходит мимо той самой оптовой блокировки, которая останавливает большинство людей, и никакая изощрённость протокола не спасёт адрес, который уже занесён в список. Именно поэтому «анонимные VPN»-адреса, побывавшие в обороте, перестают работать — они были сожжены ещё до того, как вы их арендовали.

Задержка важна во вторую очередь. Из семи юрисдикций, где мы работаем, Нидерланды, Румыния и Молдова расположены ближе всего к пользователям в Иране, России и Центральной Азии, а Нидерланды вдобавок дают пиринг мирового уровня через AMS-IX. Исландия, Панама и Швейцария находятся дальше, но юридически надёжнее — у Панамы нет договора о взаимной правовой помощи с большинством западных стран и нет обязательного хранения данных, а в Исландии обязательного хранения данных нет вовсе.

Для конечной точки обхода блокировок совет не романтичен: сначала выбирайте по задержке и свежести диапазона, юрисдикция — на втором месте. Вы перемещаете собственный трафик, а не размещаете контент, который привлекает жалобы на удаление, поэтому юридический профиль имеет здесь меньшее значение, чем для публикации. Сравните семь площадок на странице локаций или разберите компромиссы с помощью селектора юрисдикций и нашего гайда по выбору юрисдикции. Каждый сервер получает выделенный IPv4, принадлежащий только вам, — общий адрес свёл бы весь смысл на нет.

Оплата сервера из страны с цензурой

Именно здесь большинство гайдов незаметно перестают быть полезными, потому что это тот самый шаг, на котором всё и ломается. В Иране или России платёжные процессоры отклоняют вас по санкционным основаниям ещё до того, как хостер вообще увидит заказ, а массовые провайдеры требуют документы, удостоверяющие личность, которые у вас могут быть все основания не передавать. Технический гайд бесполезен, если оформление заказа не проходит.

Крипта — тот рельс, который выживает, поэтому хостинг без KYC и обход цензуры в итоге оказываются одним и тем же продуктом: в цепочке нет банка, который мог бы отклонить транзакцию, и нет проверки личности, на которой можно споткнуться. Мы принимаем Bitcoin, Monero, Ethereum, Litecoin, TRON, Solana и Tether в сети ERC-20 или TRC-20. Monero не оставляет публичного графа транзакций, связывающего пополнение счёта с вашим сервером, и наш пошаговый гайд по Monero разбирает это подробно; USDT в сети TRC-20 — прагматичная альтернатива с низкими комиссиями и лёгкой региональной ликвидностью. Небольшой VPS начинается от $7.50 в месяц.

Пошаговое развёртывание конечной точки VLESS + REALITY на вашем VPS

Развёртывание занимает около пятнадцати минут на чистом сервере с Debian или Ubuntu. Ниже — его общая структура; сами команды приведены на странице VLESS+REALITY.

• Сначала защитите сервер. SSH только по ключу, аутентификация по паролю отключена, файрвол пропускает только то, что вы собираетесь открыть наружу. Сделайте это до запуска прокси — наш чек-лист первого часа даёт короткую версию, и здесь она важнее, чем на обычном сервере.
• Установите ядро Xray и панель. Панель 3x-ui оборачивает Xray в веб-интерфейс и устанавливается одной командой инсталлятора. Привяжите её к localhost и обращайтесь к ней через SSH-туннель, а не открывайте наружу — панель администрирования на открытом порту сама по себе является отпечатком.
• Создайте inbound. Добавьте inbound с протоколом VLESS и защитой REALITY на порту 443. Решение, от которого действительно многое зависит, — маскировочный SNI: выберите популярный HTTPS-сайт, доступный и не заблокированный внутри цензурируемой сети. Если ваш домен маскировки сам заблокирован, трафик к нему выглядит аномально, и вы только усугубите ситуацию.
• Импортируйте клиентскую ссылку. Панель выдаёт ссылку вида vless:// и QR-код с полной конфигурацией. Импортируйте её в v2rayN на Windows, v2rayNG на Android, Streisand или FoXray на iOS либо sing-box где угодно — без клиентского сертификата, без файла конфигурации, хранящего секрет, если устройство досмотрят.
• Проверьте снаружи. Из сети, отличной от самого сервера, убедитесь, что конечная точка отвечает нормальным TLS-рукопожатием для выбранного вами SNI — достаточно команды curl -sI к адресу с разрешением SNI на него. Если для вас это выглядит как обычный HTTPS-сайт, то так же это выглядит и для зонда.

Добавьте резервный вариант заранее, до того как он понадобится. Второй протокол на втором порту стоит десять минут, пока всё и так работает, и становится мучительным или невозможным, когда вы уже оказались за активной блокировкой. Hysteria2 на 443 UDP — естественный напарник для REALITY на 443 TCP: другой транспорт, порт и характер отказа. Держите обе ссылки для подключения на своих устройствах, чтобы восстановление сводилось к переключению на стороне клиента.

Укрепление сервера, чтобы утечкой не стал сам прокси

Работающий прокси и безопасный прокси — разные вещи. Теперь конечная точка знает каждый адрес, который вы посещаете, и она открыта на порту, о котором вы сообщили собственным устройствам.

• Открывайте только то, что обязано быть открытым. Порт прокси и SSH. Панелям, метрикам и базам данных место на localhost, доступном через туннель.
• Отключите логирование, которое вам не нужно. Xray и большинство прокси-демонов по умолчанию записывают на диск каждое соединение. На конечной точке для обхода блокировок этот файл — самый чувствительный объект на сервере.
• Не совмещайте сервисы на одном сервере. Удержитесь от соблазна запустить личный сайт или почтовый сервер на той же машине. Каждый дополнительный сервис — ещё один отпечаток, ещё один сертификат, ещё один способ связать конечную точку с вами.
• Администрируйте аккуратно. Подключение к серверу по SSH из той самой цензурируемой сети, которую вы пытаетесь обойти, привязывает ваш настоящий адрес к серверу на уровне сети. OpSec сервера подробно разбирает эту дисциплину — и именно её люди чаще всего пропускают.
• Держите его пропатченным и скучным. Автоматические обновления безопасности, никакого экзотического софта, никаких заброшенных тестовых конфигураций, продолжающих слушать порты.

Когда IP оказывается сожжён

Исходите из того, что рано или поздно это произойдёт. Конечная точка, которой пользуется один осторожный человек, может прожить долго; та, что расшарена на сорок человек в групповом чате, — нет. Реакция механическая: подтвердить, что блокировка на уровне адреса, протестировав тот же протокол с нового сервера, развернуться заново в другой юрисдикции, переимпортировать новую ссылку на своих устройствах.

Поскольку к первому серверу никогда не привязывалась личность, ничто не связывает новый адрес со старым — это практическая, а не только идеологическая выгода no-KYC, хотя её обычно описывают именно как идеологическую позицию. Заодно стоит пересмотреть дисциплину распространения, из-за которой адрес и был сожжён. Адреса расходятся через скриншоты и групповые чаты, а цензоры читают эти каналы тоже. Если вы поддерживаете других людей, выдавайте каждому собственные учётные данные, чтобы одного скомпрометированного пользователя можно было отключить, не перестраивая всё заново.

Восемь ошибок, из-за которых конечную точку заблокируют за неделю

• Использование переиспользованного диапазона адресов. Самые дешёвые серверы часто сидят на диапазонах, годами носивших трафик обхода блокировок. Свежесть — вот что вы на самом деле покупаете.
• Выбор маскировочного SNI, заблокированного локально. REALITY работает только в том случае, если сайт, который она имитирует, — это сайт, к которому ваша сеть видит обычный трафик. Имитировать уже зацензурированный ресурс хуже, чем не маскироваться вовсе.
• Запуск панели управления на публичном порту. Страница входа 3x-ui на открытом порту выдаёт сервер как прокси любому, кто его просканирует, а сканирование дёшево.
• Расшаривание одной конечной точки на большую группу. Объём трафика становится аномальным, а адрес утекает через тот самый канал, в котором вы его расшарили.
• Оставленное подробное логирование. Полезно для одного вечера отладки, обуза на все дни после.
• Повторное использование адреса после блокировки. Однажды занесённый в список адрес почти никогда не возвращается. Разверните новый, вместо того чтобы ждать.
• Использование только одного протокола. Единая точка отказа, которую можно исправить только уже находясь за блокировкой, от которой вы пытаетесь уйти.
• Смена сервера без смены учётных данных. Одни и те же ключи, порты и идентификаторы в разных развёртываниях восстанавливают ту самую связь, которую вы только что уничтожили.

Законно ли запускать собственный прокси и что мы логируем

С нашей стороны ответ прост. Аренда сервера и запуск на нём прокси законны во всех семи юрисдикциях, где мы работаем. Программы для обхода блокировок — обычный софт, которым ежедневно пользуются журналисты и исследователи. Мы не логируем трафик, соединения или DNS-запросы, не инспектируем содержимое пакетов и не троттлим протоколы. VPS — это голая Linux-машина с полным root-доступом; что на ней запущено и с чем она соединяется, видно вам, а не нам.

Часть, на которую мы не можем ответить, — как раз та, что важнее всего для вас. Некоторые страны, применяющие глубокую инспекцию пакетов, одновременно регулируют обход блокировок на стороне пользователя, и степень риска для подключающегося человека — вопрос местного законодательства, в котором ни один хостинг-провайдер не компетентен давать советы. Мы можем рассказать, что происходит на сервере; мы не можем сказать, что происходит там, где сидите вы.

Стоит так же ясно сказать, чего эта архитектура вам не даёт. Приватный прокси побеждает цензуру — но не делает вас анонимным перед противником, способным наблюдать оба конца соединения. Трафик, входящий в вашу конечную точку и выходящий из неё, можно сопоставить по одному лишь таймингу, а адрес сервера известен вашей сети. Если ваша модель угроз — это государство, целенаправленно расследующее именно вас, а не фильтр, блокирующий всех подряд, вам нужен Tor с его многоступенчатой (multi-hop) схемой, а не одноступенчатый прокси. Подбор инструмента под реальную угрозу — это и есть разница между приватностью и её видимостью.