Що таке VLESS і чому одна конфігурація працює не в кожній мережі

VLESS — протокол, яким застосунок повідомляє серверу, хто підключається і куди має йти трафік. У типовій конфігурації VLESS сам нічого не шифрує. Це робить TLS або REALITY. Необов’язкове шифрування VLESS Encryption додали у 2025 році для особливих випадків. Нижче розберемо, чи VLESS — це VPN, яку інформацію провайдер усе ж бачить і чому одна й та сама конфігурація працює в одній мережі, а в іншій — ні.

VLESS — це VPN?

VLESS часто зараховують до VPN-протоколів, але за будовою він ближчий до проксі. Застосунок просить сервер з’єднати його з певною адресою й портом. Сервер сам відкриває це з’єднання й передає дані в обидва боки. Чим одне відрізняється від іншого, ми розповідали в статті «VPN чи проксі».

VPN-складову забезпечує застосунок. Застосунки на кшталт Bebra налаштовують на пристрої системний VPN, спрямовують через нього весь трафік і надсилають кожне з’єднання на сервер через VLESS або схожий протокол. Для вас це працює як будь-який VPN. Сам VLESS лише стежить, щоб сервер знав, кого обслуговує і куди йти далі.

Від застосунку до сайту

З’єднання VLESS проходить чотири зупинки.

1. Застосунок. Він ставить перед вашими даними короткий заголовок VLESS з ідентифікатором користувача (UUID), адресою призначення й портом.
2. Зовнішній шар. Заголовок і дані йдуть до сервера всередині TLS або REALITY. Ззовні це схоже на відвідування сайту через HTTPS.
3. Сервер. Він знімає зовнішній шар і перевіряє UUID. Якщо ідентифікатор незнайомий, з’єднання на цьому й закінчується. Якщо знайомий, сервер підключається до адреси із заголовка.
4. Сайт. Він отримує запит від сервера й відповідає на нього, а відповідь тим самим шляхом повертається до вас.

На цьому шляху у VLESS одне завдання: сказати серверу, хто ви і куди прямуєте. Усе інше, від шифрування до того, як з’єднання виглядає ззовні, бере на себе зовнішній шар. Тому «з’єднання VLESS» майже завжди означає пару на кшталт VLESS + REALITY.

Хто шифрує

У налаштуваннях Xray у VLESS є обов’язкове поле encryption, і в типовій конфігурації там стоїть none. Дані захищає зовнішній шар, TLS або REALITY.

Цим VLESS і відрізняється від VMess, старішого протоколу того самого проєкту V2Ray. VMess шифрує сам, за допомогою AES-128-GCM або ChaCha20-Poly1305, і потребує точного годинника на пристрої. VLESS з’явився у V2Ray у 2020 році як простіша альтернатива, якій годинник не важливий.

Тепер у VLESS є і власне шифрування. VLESS Encryption додали в Xray у 2025 році для особливих конфігурацій. У звичній парі з TLS або REALITY в полі encryption, як і раніше, стоїть none.

Що бачить провайдер

Провайдер і той, хто тримає Wi-Fi, не бачать заголовка VLESS, бо він лежить усередині зашифрованого каналу. Не бачать вони й того, який сайт ви відкриваєте і що на сторінці. Як це виглядає, ми показували на прикладі одного запиту в статті про те, що таке VPN. Проте дещо ззовні все-таки видно.

• Адреса сервера. IP-адресу, до якої підключається пристрій, видно завжди.
• Ім’я в рукостисканні. Перше повідомлення TLS іде відкрито й зазвичай містить назву сайту (SNI). Зі звичайним TLS це власний домен сервера. З REALITY це назва справжнього стороннього сайту, яким прикидається сервер.
• Розміри й ритм пакетів. Вміст зашифрований, а от скільки байтів іде туди й назад і в якому порядку, видно.

REALITY додає ще два рівні захисту. Клієнт починає рукостискання так, як це зробив би поширений браузер, і налаштування REALITY роблять цей відбиток обов’язковим. А якщо хтось підключиться до сервера, щоб подивитися, що там, сервер передасть це з’єднання справжньому сайту, і відвідувач отримає відповідь цього сайту. До VLESS проходять лише клієнти, які знають ключ.

Чому в одній мережі працює, а в іншій ні

Фільтри в різних провайдерів різні, і шукають вони саме ті сліди, що перелічені вище. Один провайдер блокує адреси серверів за списком, і тоді допомагає лише нова адреса. Інший аналізує рукостискання, третій шукає закономірності в розмірах пакетів. Тому конфігурація, яка підключається вдома, може не працювати в мобільному інтернеті чи готельному Wi-Fi.

Один із найпромовистіших слідів — рукостискання всередині рукостискання. Коли ви відкриваєте сайт з HTTPS через VLESS, власний TLS сайту працює всередині зовнішнього TLS, і його перші пакети короткі, з упізнаваною довжиною. Саме це шукали автори статті «Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes» (USENIX Security 2024) у мережі інтернет-провайдера приблизно з мільйоном користувачів. Вони виокремили замаскований проксі-трафік, майже не зачепивши звичайного. Дослідження також показало, що саме лише випадкове доповнення (padding) чи мультиплексування цього сліду не приховує, бо ні те, ні інше не змінює ні розміру сплесків трафіку, ні кількості обмінів туди й назад.

Відповідь Xray на цей слід — XTLS Vision. Він доповнює короткі пакети внутрішнього рукостискання, щоб їхня довжина його не видавала, а коли рукостискання завершене, просто передає дані далі. Автори Vision визнають, що часових характеристик рукостискання він не приховує.

Що з цим робить Bebra

У Bebra VLESS + REALITY — один зі способів підключення поряд з XHTTP, Hysteria2 і Shadowsocks. У мережі вони виглядають по-різному, тож фільтр, який заважає одному, може не помітити іншого. Застосунок сам вирішує, який протокол і маршрут використати, а якщо маршрут перестає працювати, перемикається на інший. Чим ці чотири протоколи відрізняються, пояснює наша стаття про протоколи VPN.

Налаштовувати вам нічого не доведеться. Вибору протоколу в застосунку немає, акаунт для пристрою він створює сам, а до країни ви підключаєтеся натисканням на її плитку. Якщо країна все одно не підключається, відкрийте «Акаунт» → «Налаштування» і натисніть «Знайти робочий сервер». Застосунок заново перевірить маршрути й отримає свіжі адреси серверів, на що йде до двох хвилин. Свіжа адреса — саме те, що допомагає, коли провайдер заблокував стару.

Щоб спробувати Bebra, почніть із пробного періоду за 10 ₽. 3 дні повного доступу, потім 500 ₽ на місяць. Підписка продовжується автоматично.