Почему VPN перестал работать в России и что ещё проходит

Если соединение развалилось где-то за последний год, у вас ничего не сломалось. Изменился способ обнаружения - и большинство VPN к нему не адаптировались.

Коротко

Обычный WireGuard и OpenVPN больше не нужно расшифровывать, чтобы заблокировать. Оборудование ТСПУ, установленное на стороне оператора, узнаёт их рукопожатие почти мгновенно - по размеру пакета, по структуре первых байт, по тому, как выглядит начало сессии. Трафик не читают. Его достаточно опознать.

Дальше - либо дроп, либо шейпинг до состояния, когда формально соединение есть, а пользоваться им невозможно. Второе злее: человек винит провайдера, роутер, погоду, и месяцами не понимает, что его просто душат.

Работает сейчас другое: протоколы, которые выглядят не как VPN, а как что-то скучное. Обычный HTTPS. Видеозвонок. Обновление игры.

Задача перестала звучать как «зашифровать трафик». Теперь она звучит как «сделать трафик неинтересным».

Как понять, что вас блокируют, а не «интернет барахлит»

Три признака, по которым отличают блокировку от обычных проблем:

Подключение устанавливается, но данные не идут. Хендшейк прошёл, статус «подключено», а страницы не грузятся. Классика фильтрации: соединение разрешили начать, а потом обрубили.

Работает первые 10-30 секунд, потом умирает. Оборудованию нужно немного трафика, чтобы вынести вердикт. Соединение живёт ровно до этого момента.

У мобильного оператора не работает, по домашнему кабелю работает. Или наоборот. Фильтрация раскатана неравномерно - по регионам и по операторам. Если на одной сети VPN живой, а на другой нет, дело почти наверняка не в сервере.

Если же не подключается вообще и мгновенно - скорее всего заблокирован IP сервера, а не протокол. Это лечится сменой локации, а не сменой протокола.

Чем заменили

Три подхода держатся в жёстко фильтруемых сетях.

AmneziaWG. Форк WireGuard, который добавляет в поток мусорные пакеты, меняет размеры служебных сообщений и подмешивает ложные рукопожатия. Сигнатура перестаёт совпадать с эталонной, и DPI не за что зацепиться. При этом внутри остаётся тот же WireGuard - та же скорость, то же шифрование, тот же расход батареи. Разворачивается легко, поддерживается активно. На сегодня это лучшее соотношение «работает / не надо страдать».

VLESS / Reality. Трафик заворачивается так, что для наблюдателя он неотличим от обычного TLS-соединения с настоящим сайтом. Не «похож на HTTPS», а буквально предъявляет чужой валидный сертификат. Самый устойчивый вариант из существующих - и самый нудный в настройке. Если AmneziaWG уже не проходит, идти надо сюда.

Shadowsocks и производные. Старше, проще, всё ещё полезны при мягкой фильтрации. Там, где фильтрация агрессивная, их научились ловить - по энтропии потока и активным пробингом: оборудование само стучится на подозрительный порт и смотрит, как тот отвечает.

Почему одного протокола мало

Даже идеально замаскированный протокол бесполезен, если IP-адрес сервера уже в списке.

И вот тут ломается вся индустрия. Провайдеры публикуют списки своих серверов - в приложении, в личном кабинете, в API. Цензор читает ровно те же списки. Никакого взлома не требуется, достаточно скачать.

Поэтому «у нас 3 000 серверов» почти ничего не значит, если все 3 000 перечислены в одном месте. Ротация адресов важна не меньше обфускации, а маленький непубличный пул часто живёт дольше, чем огромный и всем известный.

Отдельная деталь: чем крупнее провайдер, тем он интереснее как цель. Массовые VPN с миллионами пользователей блокируют в первую очередь, потому что эффект заметнее. Мелкие живут дольше просто потому, что до них не дошли руки.

Что ещё вас выдаёт, кроме протокола

Протокол - не единственный след.

DNS. Если VPN поднялся, а DNS-запросы уходят мимо туннеля к провайдеру, он видит имена всех сайтов, куда вы ходите. Шифрование трафика при этом бесполезно. Проверяется тестом на утечку DNS за минуту.

IPv6. Туннель поднят по IPv4, а часть трафика уходит по IPv6 напрямую. Старая, до сих пор массовая дыра.

Время и порт. Постоянное соединение на нестандартный порт, работающее сутками, само по себе выглядит подозрительно - даже если содержимое неразличимо.

Как выбрать, в одном абзаце

Если в вашей стране VPN не фильтруют - берите WireGuard и радуйтесь скорости, всё остальное будет только медленнее. Если фильтруют - начинайте с AmneziaWG. Если и его перестало пропускать - переходите на VLESS/Reality. И главное: если провайдер предлагает вам ровно один протокол без альтернатив, он просто не рассчитан на сети с цензурой. Не потому что плохой - потому что делался для другого.

Что сделать прямо сейчас

• Проверьте, блокировка ли это: включите VPN на мобильном интернете и на Wi-Fi. Разное поведение - почти наверняка фильтрация.
• Смените локацию внутри своего VPN. Если заработало - блокировали IP, не протокол.
• Смените протокол на обфусцированный. Если у провайдера его нет - это ответ про провайдера.
• Прогоните тест на утечки DNS и IPv6. Работающий туннель и текущий DNS - ситуация хуже, чем выключенный VPN, потому что создаёт ложное чувство безопасности.
• Сохраните запасной конфиг до того, как он понадобится. Скачать новый через заблокированный интернет - отдельный квест.

Честная оговорка

Ни один протокол не даёт гарантии навсегда. Это гонка: обфускацию изобретают, через полгода-год учатся ловить, изобретают следующую. Любой, кто обещает вам «работает всегда» - либо не разбирается, либо продаёт.

Разумная стратегия не в том, чтобы найти вечный протокол. Она в том, чтобы иметь под рукой второй вариант и возможность переключиться за минуту, не ожидая поддержку и не выходя в заблокированный интернет за новым конфигом.

Cypher VPN отдаёт и WireGuard, и AmneziaWG. Выбираете профиль под свою сеть. Без аккаунта, оплата криптой, подключение меньше чем за минуту.