Транспорт REALITY

1. История: Как упал TLS и родился REALITY

До 2023 года золотым стандартом маскировки было использование собственного домена. Вы покупали домен, настраивали Nginx, получали сертификат Let's Encrypt и прятали за ним прокси (XTLS / WebSocket).

Но цензоры (GFW в Китае и ТСПУ в РФ) обучили нейросети анализировать «отпечатки сервера» (TLS Server Fingerprint). Они поняли, что если IP-адрес принадлежит хостингу (DigitalOcean, Hetzner), а сертификат выдан вчера на никому не известный домен myvpn-test.site, и к нему идет непрерывный поток данных — это 100% прокси-сервер. В ответ ТСПУ начали массово применять Active Probing (Активное зондирование): робот РКН подключается к вашему IP-адресу, запрашивает сертификат и, если сайт кажется подозрительным или выдает ошибку, IP-адрес отправляется в бан.

Чтобы разорвать этот порочный круг, RPRX создал REALITY — технологию, которая навсегда избавляет пользователя от необходимости покупать домены и настраивать веб-сервер.

2. Архитектура: Паразитирование на чужом трасте

Вместо того чтобы доказывать цензору, что ваш крошечный личный сайт — легитимный ресурс, REALITY просто «крадет» личность крупного корпоративного портала.

Например, при настройке ноды в США, вы можете указать в конфигурации в качестве цели маскировки (SNI) домен Национальных институтов здравоохранения США — www.nih.gov (или сайт Apple, Microsoft, Samsung).

• Аутентификация клиента: Ваш клиент (sing-box, Xray) отправляет запрос к вашему VPS. Внутри TLS-рукопожатия (в полях, выглядящих как случайный шум) зашифрован уникальный открытый ключ (x25519) и короткий ID.
• Свой — пропускаем: Ядро Xray на вашем сервере ловит запрос. Если ключи сходятся, Xray берет сертификат реального www.nih.gov, подписывает его вашим приватным ключом на лету и открывает VLESS-туннель.
• Чужой (Цензор) — проксируем: Если робот ТСПУ сканирует ваш IP-адрес и просит показать сайт www.nih.gov (но у него нет вашего приватного ключа), ваш сервер делает гениальную вещь. Он не сбрасывает соединение. Он работает как прозрачный TCP-мост и перенаправляет запрос цензора на настоящий сервер www.nih.gov. Робот получает 100% подлинный сертификат от легитимного сервера и успокаивается, помечая ваш IP как чистый транзитный узел.

3. Схема обработки соединений (Active Probing Defense)

4. Имитация браузера: uTLS ClientHello

Цензоры анализируют не только серверы, но и то, как выглядит запрос от клиента. Обычный браузер (Chrome, Safari, Firefox) формирует заголовок TLS (ClientHello) определенным образом: выстраивает шифры и расширения в строгом порядке.

5. Выбор донора (SNI) и Вердикт

Главное правило REALITY: сайт-донор должен находиться в той же стране (или у того же хостинг-провайдера), что и ваш VPS. Если ваш сервер физически в Нидерландах, нельзя маскироваться под госуслуги Японии — DPI заметит аномалию задержек (пинга).