Протоколы VPN: подробное сравнение VLESS, Reality, XHTTP, Hysteria2, AmneziaWG, WireGuard, OpenVPN, IKEv2 и L2TP — что работает в России

Протокол VPN — это правила, по которым приложение на телефоне разговаривает с сервером: как шифровать данные, как договориться о ключах и как пакеты выглядят со стороны. Вне России выбор протокола — вопрос скорости и удобства. В России — вопрос того, подключится ли VPN вообще: классические протоколы с 2023 года узнают и обрывают, а те, что прячутся под обычный веб-трафик, держатся дольше, хотя и их выборочно ломают. Ниже — одна большая таблица по 15 протоколам, разбор по группам, поддержка в приложениях и что выбрать.

Одна оговорка, чтобы не путаться в названиях. Современный «протокол» в ключе часто состоит из трёх частей: сам протокол (VLESS, VMess, Trojan), защита и маскировка (TLS или Reality) и транспорт — способ доставки (TCP, XHTTP, gRPC, WebSocket). Поэтому «VLESS с Reality» и «VLESS с XHTTP» — один протокол в разной упаковке, и ведут они себя по-разному.

Как в России распознают и блокируют VPN

Чтобы понять, почему одни протоколы работают, а другие нет, полезно знать, как устроены блокировки. Способов несколько, и они действуют вместе.

• По приметам протокола. Системы ТСПУ у операторов узнают протокол по характерным байтам, размерам и порядку пакетов. Так в августе 2023 года массово заблокировали OpenVPN, WireGuard и IKEv2.
• По поведению. Соединение не рвут сразу, а «замораживают». Летом 2025 года, по наблюдениям команды Amnezia, у части соединений обмен данными останавливался после первых 16 КБ. В феврале 2026 года, по данным статьи на Хабре, так же на проводном интернете стали ломать VLESS с Reality поверх обычного TCP.
• По адресам. Блокируют адрес сервера или целую подсеть хостера. Здесь протокол не спасает — нужен другой сервер.
• По имени сайта в QUIC. Исследователи из Падерборнского университета показали (FOCI 2026), что в России QUIC — транспорт HTTP/3 на UDP — к зарубежным серверам режут по имени сайта из списка блокировок, и началось это не позже июля 2023 года.
• Белыми списками. При ограничениях мобильного интернета пускают только разрешённые сайты и сервисы. Тогда не подключается никакой VPN с сервером за рубежом, какой бы ни был протокол: Белые списки интернета: что это, Работает ли VPN при белых списках.

Сравнение протоколов VPN: большая таблица

Колонка «Из России к зарубежному серверу» — только по датированным источникам; где их нет, так и написано. Скорость — в общих чертах: от сервера, его загрузки и вашей сети она зависит сильнее, чем от протокола. «Xray-клиенты» — приложения на ядре Xray: Happ, v2rayNG, v2rayN, v2RayTun и другие.

VLESS, Reality, XHTTP и Vision: протоколы Xray

VLESS — лёгкий протокол из проекта Xray. Он только сообщает серверу, кто вы и куда идёт трафик, а шифрование и маскировку отдаёт внешнему слою. С Reality соединение выглядит как заход на настоящий крупный зарубежный сайт: своего домена и сертификата у сервера нет, а тот, кто проверяет сервер без ключа, попадает на этот самый сайт. Vision (в ключе — flow xtls-rprx-vision) — режим для TCP: выравнивает размеры пакетов рукопожатия и не шифрует данные второй раз. XHTTP — новый транспорт Xray: данные идут обычными HTTP-запросами через HTTP/2 или HTTP/3, при желании — через CDN. Разработчики Xray советуют переходить на него с gRPC и WebSocket.

VLESS с Reality — основной выбор для России, но не неуязвимый. В ноябре 2025 года, по наблюдениям Amnezia, в нескольких городах ломали популярные конфигурации с Vision и Reality, хотя сам протокол заблокирован не был. В декабре 2025 года, по данным РБК, ТСПУ стали искать VLESS по косвенным признакам. В феврале 2026 года, по сообщениям СМИ, блокировки усилили: у одних сервисов «всё упало», у других продолжает работать. В мае 2026 года, по наблюдениям автора статьи на Хабре, под очередную волну попали и gRPC, и XHTTP с Reality, хотя XHTTP, по его словам, «пока проходит». Подробно о VLESS — VLESS и Reality: что это за протокол, о транспортах и Vision — XTLS Vision, XHTTP и gRPC: транспорты Xray.

VMess и Trojan — соседи VLESS. VMess шифрует сам и требует, чтобы часы на устройстве не расходились с точным временем больше чем на 120 секунд. Trojan прикидывается обычным HTTPS-сайтом на своём домене. С января 2026 года Xray предупреждает, что VMess, Trojan, Shadowsocks и VLESS без режима flow устарели. Чем они отличаются и что выбрать — VMess, VLESS и Trojan: чем отличаются.

Hysteria2 и TUIC: протоколы на QUIC

Hysteria2 и TUIC работают поверх QUIC — того же транспорта на UDP, что у HTTP/3. Hysteria2 без пароля отвечает как обычный HTTP/3-сайт, а алгоритм Brutal держит заданную скорость даже на сетях с потерями. TUIC проще: маскировки под сайт нет, зато подключение без лишних кругов. Слабое место у обоих — UDP: где его режут или душат, они не подключатся. А QUIC в России, по данным исследователей, фильтруют по имени сайта, причём в их замерах марта–апреля 2026 года в Санкт-Петербурге и Новосибирске — на любых портах, а не только на 443. Подробно — Hysteria2 и TUIC: что это за протоколы.

Наш опыт: в начале ноября 2026 года мы поставили Hysteria2 на все серверы Демьяныча и через день сняли с выдачи. Работал нестабильно: связь как будто есть, сервер отвечает на проверку, а страницы тормозят или не открываются. Поэтому сейчас у нас только VLESS с Reality.

Shadowsocks: шифрованный прокси

Shadowsocks — шифрованный прокси 2012 года из Китая. Снаружи его трафик — ровный поток случайных байтов без заголовков. Раньше это помогало, теперь выдаёт: такой «ни на что не похожий» трафик научились ловить именно по его случайности. В России Shadowsocks с ноября 2023 года в перечне протоколов, которые Роскомнадзор блокирует через ТСПУ, а в сентябре 2025 года, по данным мониторинга, на который ссылалась Amnezia, его блокировали на мобильном интернете. Подробно — Shadowsocks: что это и работает ли сейчас, о самом известном приложении на нём — Outline VPN: что это и работает ли сейчас.

WireGuard и AmneziaWG

WireGuard — быстрый и простой протокол, встроенный в ядро Linux. Маскироваться он не умеет намеренно, а у его пакетов постоянные приметы, поэтому в России его массово блокируют с августа 2023 года; в сентябре 2025-го, по данным мониторинга, он по-прежнему блокировался в большинстве регионов. AmneziaWG — ответвление WireGuard от команды Amnezia: то же шифрование, но пакеты изменены, а в новых версиях начало соединения ещё и подражает другим протоколам. По словам Amnezia, летом 2025 года научились распознавать первую версию, с тех пор вышли 1.5, 2.0 и 3.1. Подробно — WireGuard: что это и почему не работает в России и AmneziaWG: что это и чем отличается от WireGuard; чем WireGuard отличается от OpenVPN — WireGuard или OpenVPN: что лучше.

OpenVPN, IKEv2, L2TP, PPTP и SoftEther

Классические протоколы для корпоративных сетей. OpenVPN — старейший открытый VPN на TLS, гибкий, работает и по UDP, и по TCP, но его соединения распознают даже на нестандартном порту. IKEv2/IPsec и L2TP/IPsec встроены в iPhone, Mac, Windows и Android — настраиваются без отдельного приложения, но маскировки в них нет. PPTP устарел и небезопасен сам по себе: его защиту взломали ещё в 2012 году. SoftEther — программа, а не один протокол: умеет свой SSL-VPN поверх HTTPS, а ещё OpenVPN, L2TP/IPsec и SSTP.

В России OpenVPN и IKEv2 массово блокируют с августа 2023 года, а L2TP, по данным РБК, в первую очередь — с декабря 2025-го. Подробно — OpenVPN: что это и почему не подключается, L2TP, PPTP и IKEv2: что это и стоит ли (там же — почему не стоит брать бесплатные L2TP-серверы) и SoftEther VPN и VPN Gate: что это.

Какие протоколы поддерживают Happ и sing-box

Частый вопрос — «какой протокол выбрать в Happ». Вот что прямо написано в документации приложений. Happ и большинство других Xray-клиентов работают на ядре Xray, sing-box — на своём ядре.

Протокол в Happ и sing-box задаёт ключ или подписка, а не настройка приложения. «Сменить протокол» в Happ — значит выбрать другой сервер из подписки или добавить другой ключ; если у сервиса все серверы на одном протоколе, переключать нечего. Как добавить подписку — Как настроить Happ и добавить подписку, чем отличаются приложения — sing-box или Happ: что выбрать. Остальные клиенты: v2rayNG и v2rayN: что это и чем отличаются, Hiddify: что это, плюсы, минусы и аналоги, Karing: что это за приложение, NekoBox, Nekoray и Throne: что это, Clash Verge и FlClash: что это.

Какой протокол VPN выбрать

• Нужен VPN из России к зарубежным сайтам, без возни. Протокол выбирать почти не придётся: сервис выдаёт то, что у него сейчас работает. Важнее, как быстро он меняет заблокированные серверы и доставляет новые в приложение.
• Свой сервер для России. VLESS с Reality, запасным — VLESS с XHTTP. AmneziaWG — если готовы обновлять протокол после волн блокировок. Hysteria2 — если в ваших сетях проходит UDP. WireGuard и OpenVPN к зарубежному серверу из России, скорее всего, не подключатся.
• Плохая мобильная связь с потерями. Протоколы на QUIC вроде Hysteria2 тут сильнее, но только там, где не режут UDP.
• Доступ к рабочей сети или VPN за границей. Там, где протоколы не режут, хороши WireGuard, IKEv2 и OpenVPN: они встроены в роутеры и системы и проще в обслуживании.
• PPTP — ни для чего: он небезопасен независимо от блокировок. Бесплатные L2TP- и PPTP-серверы из списков — тоже нет.

Один протокол — не гарантия. Заблокировали адрес сервера — протокол не спасёт; включили белые списки — тоже. Устойчивость дают несколько вариантов подключения, быстрая замена серверов и подписка, по которой приложение само получает новые. Бесплатные ключи живут недолго по той же причине — Ключи VLESS и v2ray: что это и где их берут.

На каком протоколе работает Демьяныч

У Демьяныча — VLESS с Reality; в sing-box общий автовыбор между серверами, и приложение само держится за тот, что сейчас работает лучше. Hysteria2 мы пробовали и сняли — выше рассказали почему. Серверы проверяются из обычных российских сетей каждые 2 минуты; перестал отвечать — автоматика ставит запасной, а приложение получает его при обновлении подписки. Российские сайты идут напрямую, зарубежные — через наши серверы в Европе. При белых списках на мобильном интернете сейчас Демьяныч, как и другие VPN с зарубежными серверами, не работает; поддержку белых списков Демьяныч добавляет в ноябре — когда заработает, обновим эту статью. Как всё устроено — Как это работает: включил и забыл; попробовать можно 3 дня бесплатно, без карты.

Частые вопросы

Источники

• Хабр, блог Amnezia: итоги «заблокированного» 2025 года, 22.12.2025
• Anti-Malware: ТСПУ стали блокировать VLESS, SOCKS5 и L2TP, 04.12.2025
• Хабр: «Заморозка по fingerprint» — волны блокировок 2026 года, 15.06.2026
• FOCI 2026: On Russia's Early Introduction of QUIC SNI Censorship (Падерборнский университет)
• Happ — документация: поддерживаемые протоколы и ссылки