Shadowsocks: что это за протокол, чем он отличается от VPN и работает ли в России

Shadowsocks — бесплатный шифрованный прокси с открытым кодом, созданный в 2012 году в Китае. Своих серверов у него нет: это протокол и программы к нему. В России он с ноября 2023 года в перечне Роскомнадзора и работает с перебоями, особенно на мобильном.

На этой странице

Shadowsocks (сокращённо SS) — не приложение и не VPN-сервис, а открытый протокол и набор программ к нему. Официальная документация называет его «защищённым прокси, отдалённо основанным на SOCKS5». Программа на вашем устройстве шифрует соединения и отправляет их на сервер Shadowsocks, тот расшифровывает и идёт дальше в интернет. Своих серверов у Shadowsocks нет: сервер поднимают сами или получают ключ от того, кто его держит. Ниже — откуда он взялся, как устроен, как выглядит ключ ss://, где скачать клиент и что с Shadowsocks в России.

Shadowsocks — это VPN или прокси

Прокси. VPN создаёт сетевой туннель, в который система отправляет весь трафик целиком. Shadowsocks работает на уровне соединений: он пересылает через сервер TCP и UDP отдельных приложений, как продвинутый SOCKS5. На практике разница стёрлась: клиенты вроде Outline, sing-box или Happ создают на устройстве виртуальный сетевой адаптер и отправляют в Shadowsocks всё подряд — для человека это выглядит как обычный VPN с одной кнопкой.

Главное отличие от обычного SOCKS5 — шифрование. SOCKS5 сам ничего не шифрует, его видно и легко заблокировать. Shadowsocks шифрует всё, включая адрес, куда идёт соединение, и снаружи открытых заголовков у него нет.

Откуда взялся Shadowsocks

Shadowsocks создал китайский программист под ником clowwindy; первый выпуск, по данным Википедии, вышел 20 апреля 2012 года. Протокол быстро стал популярен в Китае как способ работать через «Великий файрвол». В августе 2015 года автор написал, что больше не может поддерживать проект после того, как с ним связалась полиция, и исходный репозиторий очистили — сейчас в нём одна фраза «Removed according to regulations».

Проект на этом не кончился: его продолжили другие разработчики. Сейчас основная реализация — shadowsocks-rust, она регулярно обновляется; есть клиенты для Android и Mac. Ответвление ShadowsocksR больше не развивается.

Как устроен Shadowsocks: шифры, версия 2022 и плагины

Шифры: AEAD и старые потоковые

Сервер и клиент знают общий секрет и метод шифрования. Современные методы — AEAD: chacha20-ietf-poly1305, aes-128-gcm и aes-256-gcm. Они не только шифруют, но и проверяют, что данные никто не подменил. Документация прямо пишет: пользоваться AEAD «всегда, когда возможно». Старые потоковые шифры (aes-256-cfb, rc4-md5, chacha20 и другие) разработчики называют «полностью сломанными» и собираются убрать. Если в инструкции из интернета стоит aes-256-cfb, инструкция устарела.

Shadowsocks 2022

Новая версия протокола (SIP022) с методами 2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm и 2022-blake3-chacha20-poly1305. Что изменилось:

Полная защита от повторов. В каждом сообщении — метка времени; если она расходится с часами сервера больше чем на 30 секунд, сообщение считается повтором. Перехваченный пакет нельзя прислать серверу ещё раз, чтобы проверить, как он ответит.
Ключ вместо пароля. Вместо придуманного пароля — случайный ключ нужной длины, записанный в base64.
Новые расчёты ключей на BLAKE3 вместо устаревшей схемы и сессии для UDP.

Одно ограничение документация называет честно: прямой секретности у Shadowsocks 2022 нет. Если общий ключ когда-нибудь утечёт, записанный раньше трафик можно будет расшифровать.

Плагины: v2ray-plugin, simple-obfs и другие

Shadowsocks можно обернуть плагином — отдельной программой, которая меняет вид трафика. Среди проверенных документация называет simple-obfs, v2ray-plugin, Cloak, GoQuiet и Kcptun. Например, v2ray-plugin заворачивает трафик в WebSocket, чтобы он выглядел как работа веб-сайта. Плагины пересылают только TCP, и цепочки «плагин в плагине» не поддерживаются. В sing-box из плагинов есть obfs-local и v2ray-plugin.

Как выглядит ключ Shadowsocks (ss://)

Ключ — одна строка по стандарту SIP002. Примерно так (вместо значений — их смысл):

ss://метод:пароль@адрес-сервера:порт/?plugin=плагин#название

Часть	Что значит
метод:пароль	Шифр и общий секрет. Для обычных шифров эту часть часто записывают в base64, поэтому ключ выглядит как набор букв; для шифров 2022 base64 не используют
адрес и порт	Куда подключаться
plugin	Плагин и его настройки, если есть
#название	Подпись, которую увидите в приложении

Ключи Outline — те же ссылки ss://, иногда с дополнительными параметрами; подробнее — Outline VPN: что это и работает ли сейчас.

Как распознают Shadowsocks

У Shadowsocks нет заголовков, по которым его можно узнать, и долгое время это считалось его силой. Но исследователи показали, что фильтры научились работать с другим — с самой «случайностью».

Первый пакет и активная проверка. Исследование GFW Report (IMC 2020) показало: китайский файрвол смотрит на длину и «случайность» первого пакета в соединении, а заподозрив Shadowsocks, отправляет на сервер семь типов проверочных пакетов. За время наблюдений исследователи насчитали больше 51 тысячи таких проверок. Уязвимы оказались старые реализации без защиты от повторов — их рекомендации потом вошли в Shadowsocks 2022.
«Полностью зашифрованный» трафик. По исследованию USENIX Security 2023, с ноября 2021 года китайский файрвол блокирует соединения, которые не похожи ни на один известный протокол: по доле единичных битов, печатным символам в начале и другим простым признакам. Блокировка вероятностная, около 26% соединений и только к адресам популярных дата-центров. Под неё попадают Shadowsocks, VMess и obfs4.

Вывод простой: то, что Shadowsocks выглядит как случайный шум, — уже примета. Поэтому современные протоколы для России, наоборот, стараются выглядеть как обычный веб-трафик.

Работает ли Shadowsocks в России

Ноябрь 2023. По данным «Коммерсанта», которые пересказал «Хакер», Роскомнадзор впервые включил Shadowsocks в перечень протоколов, подлежащих блокировке через ТСПУ. Перечень из 49 сервисов и протоколов разослали письмом Минтранса от 10 ноября 2023 года. Источник издания тогда же предупреждал, что блокировка через анализ трафика «будет очень непростой из-за обфускации».
2025 год. По итогам года, которые подвела команда Amnezia со ссылкой на мониторинг, в сентябре 2025 года на мобильном интернете «продолжал блокироваться Shadowsocks».
2026 год. Надёжных датированных данных именно о Shadowsocks мы не нашли.

Есть и общие для всех протоколов причины. Сервер с популярным адресом блокируют по IP, сколько ни меняй шифр. А при белых списках на мобильном интернете не подключается никакой VPN с зарубежным сервером: Работает ли VPN при белых списках.

Где скачать Shadowsocks

Программа	Платформа	Что важно
shadowsocks-android	Android	Официальный клиент проекта, обновляется
ShadowsocksX-NG	Mac	Официальный клиент для macOS
shadowsocks-windows	Windows	Официальный, но почти не обновляется с начала 2025 года
shadowsocks-rust	Компьютеры и серверы	Основная реализация, консольная
Outline Client	Все платформы	Подключается к любому серверу Shadowsocks
sing-box, Happ и другие универсальные клиенты	Все платформы	Понимают ss:// наряду с VLESS и другими протоколами

Официальные программы — на GitHub организации shadowsocks и сайте shadowsocks.org. Остерегайтесь сборок «Shadowsocks VPN» с непонятных сайтов и из магазинов приложений от неизвестных разработчиков: под знакомым названием может оказаться что угодно.

Бесплатные серверы и ключи Shadowsocks: стоит ли

Протокол бесплатный, а сервер — нет: кто-то за него платит. Бесплатные ключи из каналов и списков обычно перегружены, ими пользуются тысячи людей, и такие адреса блокируют первыми. Кроме того, шифрование Shadowsocks защищает от провайдера, но не от владельца сервера: он видит, на какие сайты вы ходите, а незашифрованный трафик — целиком. Почему бесплатные ключи быстро перестают работать — Ключи VLESS и v2ray: что это и где их берут, чем рискуете — Чем опасны бесплатные VPN и как выбрать.

Shadowsocks или VLESS

	Shadowsocks	VLESS с Reality
Шифрование	Своё, AEAD или 2022	Своего нет — TLS 1.3 внешнего слоя
Как выглядит снаружи	Случайные байты без заголовков	Заход на настоящий крупный сайт по HTTPS
Транспорт	TCP и UDP	TCP
Сложность сервера	Самый простой	Сложнее, нужен подходящий «чужой» сайт
В России	В перечне РКН с 2023 года, в 2025-м блокировался на мобильном	Держится лучше, но с конца 2025 года его выборочно ломают

С версии от января 2026 года ядро Xray предупреждает, что Shadowsocks, как и VMess и Trojan, у него устарел. Подробнее о соседях — VMess, VLESS и Trojan: чем отличаются, сравнение всех протоколов — Протоколы VPN: сравнение и что работает в России.

Если не хочется искать ключи

У Демьяныча — VLESS с Reality, в sing-box общий автовыбор между серверами. Ключи вручную искать не нужно: добавляете подписку в sing-box или Happ, и приложение само получает серверы и обновляет их. Серверы проверяются из обычных российских сетей каждые 2 минуты, а неответивший автоматика меняет на запасной. Российские сайты идут напрямую, зарубежные — через наши серверы в Европе. Как это устроено — Как это работает: включил и забыл; попробовать можно 3 дня бесплатно, без карты.

Частые вопросы

Shadowsocks — это VPN?

Строго говоря, нет: это шифрованный прокси, похожий на SOCKS5. Он пересылает соединения приложений через сервер, а не создаёт сетевой туннель, как VPN. Но приложения вроде Outline, sing-box или Happ включают его для всего устройства, и для человека это выглядит как обычный VPN с одной кнопкой.

Работает ли Shadowsocks в России?

С перебоями. С ноября 2023 года он в перечне протоколов, которые Роскомнадзор блокирует через ТСПУ, а в 2025 году его блокировали на мобильном интернете. Многое зависит от оператора, региона и того, заблокирован ли адрес сервера. Надёжных данных за 2026 год нет.

Что такое Shadowsocks 2022?

Новая версия протокола с шифрами, название которых начинается на 2022-blake3. В ней есть полная защита от повторной отправки перехваченных пакетов, метки времени и случайный ключ вместо пароля. Старые клиенты, которые не знают 2022, к такому серверу не подключатся.

Где скачать Shadowsocks на Android и компьютер?

Официальные программы — на GitHub проекта shadowsocks: shadowsocks-android, ShadowsocksX-NG для Mac и shadowsocks-rust. Клиент для Windows почти не обновляется. Ключи Shadowsocks понимают и универсальные приложения — sing-box, Happ и другие, а также Outline.

Безопасен ли Shadowsocks?

С современными шифрами AEAD или 2022 — да, перехватить и прочитать трафик нельзя. Старые потоковые шифры вроде aes-256-cfb разработчики называют полностью сломанными. Но прокси не прячет вас от владельца сервера: он видит, куда вы ходите, поэтому чужим бесплатным серверам доверять не стоит.

Чем Shadowsocks отличается от VLESS?

Shadowsocks шифрует всё сам, и снаружи его трафик похож на случайный шум — фильтры научились замечать именно это. VLESS сам не шифрует, а прячется в TLS или Reality и выглядит как заход на обычный сайт. В России сейчас VLESS с Reality держится лучше.