Якщо ви в країні із серйозною фільтрацією інтернету, ви напевно це бачили: ставите відомий VPN-застосунок, він підключається на пару секунд, а потім усе завмирає. Пробуєте інший — те саме. Перемикачі «stealth-режиму» не рятують. Річ не в тім, що зв'язок збоїть. Це працює глибока інспекція пакетів (DPI).
WireGuard і OpenVPN не створювалися, щоб ховатися. Їх робили заради швидкості й приватності в мережах, які не полюють на них цілеспрямовано. DPI в Ірані, Китаї та Росії розпізнає їхні рукостискання й рве тунель — часто ще до того, як з'єднання встановиться. Режими обфускації, прикручені до комерційних VPN, теж відловлюються за патерном. Ця сторінка — про єдиний підхід, який усе ще проходить, і про те, як запустити його самому на VPS, який ви контролюєте.
Чесний компроміс одразу
Власний сервер VLESS + Reality — не чарівна кнопка «завжди працює», і продавати його так ми не станемо. Ось як усе насправді:
- Що ви отримуєте: особисту точку без VPN-сигнатури, яку DPI міг би зіставити, на IP, що належить лише вам — тож вас ніколи не заблокують через чужий абʼюз на спільному сервері.
- Чого це коштує: трохи дорожче за найдешевший тариф (потрібен виділений IP) плюс пара хвилин на налаштування з проксі-клієнтом замість застосунку «в один дотик».
- Де напружує: у найагресивніших мережах один IP із важким трафіком може з часом потрапити в graylist. Самохостинг робить це виправним за хвилини, але це реальна межа, а не те, що ми замазуватимемо.
Якщо такий компроміс вам підходить — ось чому протокол працює.
Чому VLESS + Reality проходить там, де WireGuard ні
DPI блокує VPN, розпізнаючи, як вони виглядають на дроті. У рукостискання WireGuard характерна UDP-сигнатура. У OpenVPN — свій патерн. Щойно DPI знає сигнатуру, заблокувати її тривіально.
Reality йде іншим шляхом. Коли клієнт підключається, він виконує справжнє TLS-рукостискання, видаючи себе за реальний популярний сайт — зі справжнім сертифікатом цього сайту. Для всього, що спостерігає за з'єднанням, ви виглядаєте як людина, що відкриває звичайну HTTPS-сторінку великого сайту. Немає проксі-рукостискання, немає самопідписаного сертифіката, немає статистичної аномалії. Стаття USENIX 2024 року показала, що трафік VLESS із потоком Vision статистично невідрізнимий від прямого HTTPS-з'єднання до сайту, під який іде маскування, — навіть за аналізу розмірів пакетів і таймінгів.
У цьому весь фокус: замість того щоб шифрувати сильніше, Reality намагається виглядати нудно. А «нудний HTTPS до Microsoft» — саме те, що цензор не може дозволити собі блокувати цілком.
Чому потрібен виділений IP (і тариф за $3 не підійде)
Це єдина жорстка вимога, тому варто пояснити точно. Сервер VLESS слухає вхідні з'єднання на порту 443 — так до нього дотягується ваш телефон чи ноутбук. Щоб приймати вхідний трафік на реальному порту, серверу потрібна власна публічна IP-адреса.
У NAT-тарифів її немає. NAT-VPS ділить вихідний IP з іншими серверами і не має своєї вхідної точки — чудово для бота, який лише робить вихідні виклики, і марно для сервера, до якого треба достукатися. Тож NAT-тариф за $3 фізично не може тримати сервер VLESS.
Мінімум, що працює, — тариф із виділеним IP від $8/міс (Nano-IP). Це не підштовхування до дорогого тарифу — це поріг, нижче якого воно взагалі не запрацює. Якщо якийсь гайд каже, що це можна зробити на спільному IP, він помиляється в мережевій частині.
Де наші сервери і що це означає для затримки
Наші ноди — у Німеччині (Falkenstein) і Фінляндії (Helsinki): європейські виходи, поза юрисдикціями, що займаються фільтрацією. Сервер VLESS + Reality на європейському VPS — стандартна робоча конфігурація проти DPI в Ірані, Китаї та Росії.
Чесна ціна — затримка. Шлях туди-назад із Ірану чи Китаю до центральної Європи додає приблизно 100–150 мс. Для вебу, месенджерів, стрімінгу й більшості віддаленої роботи ви цього до пуття не помітите. Для змагальних ігор, де важлива кожна мілісекунда, ближче було б краще — але для обходу цензури європейські виходи роблять свою справу.
Скільки це коштує
| Тариф | Характеристики | Для чого |
|---|---|---|
| Nano-IP — $8/міс | 2 vCPU · 1 ГБ · 15 ГБ | Одна людина, щоденний обхід — правильна точка старту |
| Micro-IP — $10/міс | 2 vCPU · 2 ГБ · 25 ГБ | Пара пристроїв, більше запасу |
| Small-IP — $16/міс | 4 vCPU · 4 ГБ · 35 ГБ | Кілька людей або навантаження важче |
Сервер VLESS легкий — Nano-IP із запасом вистачає одному користувачу. Беріть тариф вище, лише якщо ділите точку з родиною чи ганяєте кілька пристроїв.
Оплата — у USDC або USDT (стейблкоїни, без картки), і без KYC: пошта й переказ стейблкоїна — уся реєстрація. Якщо платите криптою вперше — ось як це зробити.
Чесні обмеження
Нам важливіше, щоб у вас вийшло, ніж щоб ви купили на хибній обіцянці, тому прямо:
- Жоден VPS не гарантує 100% обхід назавжди. Reality працює сьогодні, бо невідрізнимий від звичайного HTTPS. Цензори продовжують розвиватися; це рухома ціль, а не розв'язана задача.
- Один IP може потрапити в graylist у найжорсткіших мережах. Важкий проксі-трафік на одному IP може привабити флаг (особливо в Ірані). Виділений IP, який ви контролюєте, швидко відтворити — перевстановлення, новий IP, знову онлайн, — але це реальна межа.
- Це не анонімність. Ваш IP лише ваш (натовпу, де сховатися, немає), а платежі стейблкоїнами — у публічному блокчейні. No-KYC ≠ анонімність. Це стійкість до цензури, а це інша мета.
- Лише CPU, без GPU — для проксі неважливо, але згадаємо, щоб без сюрпризів.
- Це особиста точка, а не публічний проксі. Розрахована на вас і, може, вашу родину. Перепродаж доступу чи відкритий релей порушують наші правила використання і зазвичай і так швидко призводять до флагу IP.
Готові підняти свій?
Покроковий гайд по VLESS + Xray проведе через встановлення Xray, налаштування Reality й підключення клієнта — з командами для копіпасту.
Почніть із тарифу Nano-IP ($8/міс) — виділений IP, root-доступ, запуск приблизно за хвилину. Оплата криптою, без KYC.
Читати далі
- Покроково: власний сервер VLESS/Xray — повний гайд із налаштування
- Власний WireGuard VPN — якщо ви в мережі без DPI, WireGuard простіший
- Анонімний VPS-хостинг — що no-KYC означає, а що ні
- Як платити криптою