VLESS простыми словами: что это, как работают Reality и Vision и при чём тут Xray

Что такое VLESS простыми словами

VLESS — протокол, по которому приложение на вашем телефоне общается с VPN-сервером. Он отвечает на два вопроса: кто подключается и куда отправить данные дальше. Больше он почти ничего не делает, и в этом его смысл: чем меньше лишней работы, тем быстрее.

Удобно представить курьерскую службу. Вы отправляете письмо в интернет-магазин, но не хотите, чтобы на почте у дома видели, кому оно адресовано. Поэтому письмо сначала едет на склад курьерской службы, то есть на VPN-сервер, а оттуда к магазину. VLESS в этой картине — накладная на посылке: в ней ваш личный пропуск и адрес получателя. Склад смотрит на пропуск и, если он настоящий, отправляет посылку дальше.

Сама накладная посылку не запечатывает. Чтобы по дороге никто не заглянул внутрь, посылку везут в закрытом фургоне. Этот фургон — TLS, та же технология, что защищает сайты с замком в адресной строке, или её разновидность Reality. Документация Xray требует такой внешний слой защиты везде, кроме доверенной локальной сети, если не включено новое встроенное шифрование (о нём ниже). Поэтому в интернете VLESS почти всегда работает в паре с TLS или Reality.

Для любопытных: что лежит в заголовке VLESS

Заголовок запроса VLESS очень короткий: номер версии протокола, 16-байтный идентификатор пользователя (UUID), команда (TCP, UDP или мультиплексирование), порт и адрес назначения. Сервер проверяет UUID при каждом подключении. Протокол не хранит состояние между соединениями и не зависит от системного времени. Его предшественнику VMess, наоборот, нужны часы, которые расходятся с точным временем не больше чем на две минуты.

В ссылках почти всегда стоит encryption=none. Это значит, что собственное шифрование VLESS выключено и работу делает TLS или Reality. В новых версиях Xray появилось необязательное встроенное шифрование VLESS Encryption с постквантовым обменом ключами (ML-KEM-768 в паре с X25519). Но если в вашей ссылке стоит none, это обычная настройка, и менять её не нужно.

Чем VLESS отличается от обычного VPN

Классические VPN-протоколы вроде WireGuard, OpenVPN и IPsec создавали, чтобы надёжно подключить компьютер к сети офиса или соединить две сети между собой. Они работают на уровне сетевых пакетов: устройство получает виртуальную сетевую карту, и весь трафик идёт через неё. Прятать сам факт VPN-соединения от них не требовалось, поэтому по первым пакетам их легко узнать.

VLESS устроен как прокси: он переносит отдельные соединения приложений, а не сырые сетевые пакеты. Чтобы телефон воспринимал это как VPN, приложение-клиент создаёт виртуальный сетевой интерфейс (его называют TUN) и направляет весь трафик в ядро Xray. Поэтому в строке состояния появляется значок VPN, а в настройках iPhone — VPN-профиль, хотя внутри работает прокси-протокол.

Для вас разница заметна в трёх местах.

• Подключение по VLESS с TLS или Reality со стороны похоже на обычный защищённый заход на сайт. Классические протоколы так не умеют, и в России их, по сообщениям СМИ, массово ограничивают с 2023 года. Подробнее об этом — в сравнении протоколов VPN.
• Параметров, которые должны совпасть на телефоне и на сервере, больше, поэтому их передают готовой ссылкой или подпиской, а не вводят руками. Как это устроено, разобрано в статье про ключ и подписку VLESS.
• Ядро Xray умеет разводить трафик по правилам: например, российские сайты и банки отправлять напрямую, а остальное через сервер. Это называется раздельное туннелирование.

Если хочется сначала понять, что вообще делает VPN и от чего он защищает, начните со статьи что такое VPN простыми словами.

Что такое VLESS Reality и зачем он нужен

Обычному TLS нужен собственный домен и сертификат к нему, как у любого сайта. Серверу, который существует ради VPN, приходится притворяться сайтом: держать страницу-заглушку, продлевать сертификат. И даже тогда в деталях его TLS-рукопожатия могут оставаться признаки, по которым его отличают от настоящих сайтов.

Reality (в документации пишут REALITY) решает задачу иначе. Сервер заимствует облик настоящего крупного сайта, который работает по TLS 1.3. Клиент при подключении называет имя этого сайта, а сервер проверяет, есть ли у клиента правильный ключ. Если есть, начинается обычная работа VLESS. Если нет (например, кто-то пришёл выяснить, что это за сервер), соединение прозрачно пересылается на тот самый настоящий сайт. Проверяющий видит его страницу и его подлинный сертификат.

Похоже на ресепшен бизнес-центра с табличкой известной компании на двери. Гостей с вашим пропуском провожают к вам в офис, всех остальных — в ту самую компанию, и она там действительно работает. Снаружи видно только людей, которые входят в известную дверь.

Собственный домен и сертификат серверу при этом не нужны. Клиент тоже подстраивается: приложение повторяет приветствие популярного браузера, обычно Chrome, с помощью библиотеки uTLS. В ссылке за это отвечает параметр fp (fingerprint).

Reality работает не со всеми транспортами, а только с TCP (в новых версиях Xray он называется RAW), XHTTP и gRPC. Исходный код и описание лежат в репозитории XTLS/REALITY на GitHub.

Для любопытных: параметры Reality в ссылке

• sni — имя сайта, облик которого заимствует сервер;
• pbk — публичный ключ сервера (в конфигурации новых версий Xray это поле называется password), по нему клиент и сервер узнают друг друга;
• sid — короткий идентификатор shortId, шестнадцатеричная строка длиной до 16 символов;
• fp — какой браузер изображает приложение при рукопожатии;
• spx — начальный адрес для режима, в котором клиент ведёт себя как обычный браузер, если вместо вашего сервера ему ответил настоящий сайт.

Что такое xtls-rprx-vision и зачем он в ссылке

В ссылках и настройках часто встречается flow=xtls-rprx-vision. Это режим передачи данных, его коротко называют Vision. Буквы rprx в названии — ник автора VLESS и Vision.

Чтобы понять, зачем он нужен, представьте конверт в конверте. Почти все сайты сегодня открываются по HTTPS, то есть браузер сам шифрует данные. Потом VPN-соединение шифрует их ещё раз. Получается TLS внутри TLS: двойная работа для процессора и узнаваемый рисунок. Пока браузер и сайт договариваются о шифровании, они обмениваются несколькими сообщениями характерного размера, и этот ритм просвечивает даже сквозь внешний конверт.

В 2024 году исследователи показали на конференции USENIX Security, как такие вложенные рукопожатия находят по размерам и времени пакетов, не расшифровывая трафик (описание работы). Документация Xray в разделе о протоколе Trojan тоже предупреждает, что «TLS внутри TLS» легко обнаружить.

Vision делает две вещи. Первые пакеты соединения, где идёт рукопожатие, он дополняет случайными байтами, чтобы их размеры не складывались в узнаваемую картину. А когда внутреннее рукопожатие по TLS 1.3 закончилось, Vision перестаёт шифровать уже зашифрованные данные второй раз и передаёт их как есть. На серверах с Linux такие данные могут идти прямо через ядро системы, минуя память Xray, и это экономит ресурсы.

Vision работает только поверх TCP с TLS или Reality, а также с новым шифрованием VLESS Encryption. Если в вашей ссылке транспорт XHTTP, gRPC или WebSocket, поле flow обычно пустое, и это нормально.

Иногда встречается вариант xtls-rprx-vision-udp443. Обычный Vision по умолчанию не пропускает UDP-трафик на порт 443, по которому работает QUIC, основа HTTP/3. Браузер в ответ переходит на обычный HTTPS поверх TCP. Вариант с udp443 этот трафик не трогает.

Что значат tcp, ws, grpc и xhttp в ссылке VLESS

Транспорт — способ, которым данные физически едут между приложением и сервером. Если вернуться к курьерам, накладная и фургон остаются теми же, а маршрут может быть разным: по трассе напрямую или через сортировочные пункты. В ссылке транспорт записан в параметре type.

• tcp, в новых версиях Xray raw, — прямое соединение без дополнительных обёрток. Только с ним работает Vision, и чаще всего он идёт в паре с Reality.
• ws (WebSocket) и httpupgrade — соединение начинается как обычный веб-запрос и затем превращается в постоянный канал. Такие варианты удобны, когда перед сервером стоит веб-сервер или CDN.
• grpc — данные идут внутри протокола gRPC поверх HTTP/2. Работает и с TLS, и с Reality.
• xhttp — собственный транспорт Xray. Данные передаются обычными HTTP-запросами, отправка и получение могут идти раздельно, а соединение проходит через большинство CDN и веб-серверов. Работает с TLS и с Reality, а в связке с TLS умеет ходить и по HTTP/3.
• kcp (mKCP) — работает поверх UDP и тратит больше трафика ради меньших задержек на плохих каналах. Встречается редко.

Какой транспорт стоит в ссылке, решает сервис, и вручную его менять не нужно: на сервере должен быть настроен ровно тот же вариант. Сервисы нередко дают для одной локации несколько вариантов с разными транспортами, потому что в разных сетях один работает стабильнее другого.

Что такое Xray-core и как связаны протокол, ядро и приложение

Слово Xray постоянно встречается рядом с VLESS, и их часто путают. Проще всего разделить всё на три уровня, как в машине: правила дорожного движения, двигатель и сам автомобиль с рулём и приборной панелью.

• Протокол (VLESS, VMess, Trojan, Shadowsocks) — правила: как оформлять данные и как узнавать своих.
• Ядро (Xray-core или sing-box) — двигатель: программа, которая знает эти правила, шифрует, выбирает маршрут и отправляет трафик.
• Приложение (Incy, Happ, Hiddify, v2rayNG, Streisand) — машина целиком: кнопка включения, список серверов, обновление подписки, разрешение системы на VPN.

Xray-core — открытое ядро проекта Project X, код опубликован на GitHub под лицензией MPL-2.0. Первая версия в 2020 году была ответвлением от V2Ray, и с тех пор именно в Xray появились Reality, Vision и транспорт XHTTP. Кроме VLESS ядро понимает VMess, Trojan, Shadowsocks, WireGuard, SOCKS и HTTP. Версии называются по дате выхода: например, 26.10.21 вышла 21 октября 2026 года.

Второе популярное ядро — sing-box, на нём построены Hiddify и NekoBox. Оно тоже поддерживает VLESS, Reality и Vision, поэтому одна и та же подписка обычно работает в обоих. Иногда новая настройка появляется в одном ядре раньше, чем в другом, и тогда приложение на старом или другом ядре не может подключиться к серверу. Сравнение клиентов — в обзоре приложений для VLESS.

Отдельно ставить Xray на телефон или компьютер не нужно: ядро уже встроено в приложение и обновляется вместе с ним. Отдельно его устанавливают только на сервер.

Что происходит, когда вы открываете сайт

1. Приложение заранее создало на телефоне виртуальный сетевой интерфейс, и браузер отправляет запрос в него.
2. Ядро сверяется с правилами маршрутизации: отправить этот адрес напрямую или через сервер.
3. Если через сервер, ядро упаковывает запрос по правилам VLESS, оборачивает в TLS или Reality и отправляет.
4. Xray на сервере проверяет UUID, достаёт адрес назначения и сам открывает сайт.
5. Ответ возвращается той же дорогой в обратную сторону.

Запросы к DNS, которые превращают имя сайта в IP-адрес, ядро тоже обрабатывает по своим правилам. Поэтому ошибка в настройках DNS иногда выглядит как поломка всего VPN, хотя соединение с сервером в порядке.

Для любопытных: из чего состоит конфигурация Xray

Если открыть конфигурацию Xray в формате JSON, в ней найдутся несколько основных блоков:

• inbounds — откуда ядро принимает трафик: от виртуального интерфейса, от локального SOCKS-порта или, на сервере, от клиентов VLESS;
• outbounds — куда отправляет: на удалённый сервер, напрямую или в «чёрную дыру», где ненужные запросы просто пропадают;
• routing — правила, по которым выбирается outbound: по домену, IP-адресу, порту;
• dns — какие DNS-серверы использовать и для каких доменов.

Руками это редактировать не придётся: приложение собирает конфигурацию само из ссылки или подписки.

Чем VLESS отличается от VMess и Trojan

Все три протокола живут в одной экосистеме и поддерживаются Xray, но придуманы в разное время и под разные задачи.

VLESS или VMess. VMess появился, когда шифрование внутри самого протокола считалось обязательным. Сейчас поверх него почти всегда стоит TLS, и данные шифруются дважды. VLESS убрал этот лишний слой и зависимость от времени, поэтому он легче. VMess по-прежнему работает, но новые возможности Xray вроде Vision сделаны для VLESS.

VLESS или Trojan. Идея похожая: оба прячутся внутри TLS. Trojan проще и проверяет клиента по паролю, а всех остальных отправляет на обычный сайт. Режима Vision у него нет, и документация Xray советует включать для Trojan мультиплексирование (Mux), иначе «TLS внутри TLS» легко заметить. Vision у VLESS создавался как раз для этой проблемы.

Обычному пользователю выбирать между ними не приходится: протокол уже зашит в ссылку или подписку от сервиса.

Насколько безопасен VLESS

Когда VLESS работает с TLS или Reality, ваш провайдер и соседи по Wi‑Fi в кафе видят только зашифрованное соединение с сервером. Какие сайты вы открываете и что туда отправляете, им не видно. По надёжности шифрования это тот же уровень, что у сайтов с HTTPS. Reality к тому же сохраняет прямую секретность: даже если ключ сервера когда-нибудь утечёт, записанный ранее трафик им не расшифровать.

Защищает протокол только дорогу до VPN-сервера. Сам сервер видит, на какие адреса вы ходите, поэтому важно, кто им управляет. По этой же причине не стоит подключаться по чужим бесплатным ключам: как зарабатывают такие сервисы, разобрано в статье о том, чем платят за бесплатный VPN.

От фишинга, вирусов и утечек через сами приложения VLESS не спасает: это задача внимательности, обновлений системы и антивируса. И если в ссылке и security, и encryption равны none, данные идут без шифрования вовсе. Для сервера в интернете такая настройка не годится.

Почему VLESS перестал работать и что проверить

Протокол не портится за ночь. Если вчера всё работало, а сегодня нет, причину почти всегда стоит искать в сети, на сервере или в приложении.

Частые причины

• Адрес сервера недоступен в вашей сети. Его могли заблокировать, или у хостинга начались проблемы. Признак: одна локация не подключается, а другие работают, или всё работает по Wi‑Fi, но не через мобильный интернет.
• Изменилась фильтрация у провайдера. По данным РБК, в конце 2025 года Роскомнадзор обновил оборудование ТСПУ и начал ограничивать протоколы SOCKS5, VLESS и L2TP. Работает это неравномерно и зависит от оператора, региона и настроек конкретного сервера. Сервисы обновляют конфигурацию серверов, и новые параметры приходят к вам через подписку.
• На мобильном интернете включены белые списки. В некоторых регионах во время ограничений открываются только одобренные сервисы, и тогда не подключается ни один VPN. Что это за режим, мы разбирали в статье про белые списки интернета.
• Устарели приложение или подписка. Старая версия клиента может не понимать новый транспорт вроде XHTTP или новые параметры Reality. Если подписку давно не обновляли, приложение подключается к серверам по прежним настройкам.
• Бытовые причины. Закончилась оплата, одновременно включён другой VPN, на устройстве сильно сбита дата, из-за чего не проходит проверка сертификатов.

Что сделать по порядку

1. Обновите подписку в приложении. Обычно это кнопка с круговой стрелкой рядом с профилем или пункт «Обновить» в его меню.
2. Обновите само приложение из App Store, Google Play или с официальной страницы разработчика.
3. Выберите другую локацию в списке серверов.
4. Переключитесь с мобильного интернета на Wi‑Fi или наоборот, чтобы понять, в сети ли дело.
5. Проверьте баланс или срок подписки в личном кабинете сервиса.
6. Напишите в поддержку: укажите приложение, его версию, сеть и текст ошибки. Саму ссылку и UUID пересылать не нужно.

Byte VPN, например, работает на VLESS с Reality и через XHTTP/TLS, а все доступные локации приходят одной подпиской, так что сменить сервер можно прямо в приложении. Подробный разбор ошибок вроде timeout — в статье VPN не подключается: что делать.