Протокол VLESS

1. История создания: Избавление от наследия VMess

В конце 2010-х годов основным оружием против китайского "Золотого щита" (GFW) был протокол VMess из проекта V2Ray. VMess брал на себя всё: собственное шифрование заголовков, аутентификацию по времени (с требованием синхронизации часов до секунд) и упаковку данных. Однако со временем китайские исследователи и цензоры научились эксплуатировать внутренние сигнатуры VMess, проводя активное зондирование (Active Probing) и математический анализ энтропии заголовков.

В 2020 году разработчик под псевдонимом RPRX предложил революционную парадигму: прекратить изобретать собственную криптографию внутри протокола и доверить защиту тому, что уже защищает весь мировой интернет — протоколу TLS 1.3. Так появился VLESS (буквально VMess-less, облегчённый VMess без собственного шифрования), ставший флагманом независимого проекта Project X (Xray-core).

2. Как устроен VLESS: Принцип нулевого шифрования

Главная уязвимость классических протоколов — так называемое «двойное шифрование». Когда пользователь открывает защищенный сайт (HTTPS) через традиционный VPN, браузер шифрует трафик в TLS, а VPN шифрует его повторно. Это создает характерные паттерны распределения длин пакетов, которые DPI легко вычисляет.

VLESS работает как чистый легковесный диспетчер. Сам по себе VLESS не шифрует данные пользователя, а передает их в открытом для внешнего слоя виде. Безопасность полностью перекладывается на внешний транспорт: каноничный TLS 1.3 или механизм REALITY.

• Аутентификация по UUID: Вместо логинов и паролей клиент передает серверу фиксированный 16-байтный идентификатор (UUID).
• Отсутствие состояния (Stateless): Сервер не хранит таблицы сессий и не проверяет временные метки пакетов. Пришел запрос с валидным UUID — соединение немедленно проксируется к целевому ресурсу.
• Минимальный оверхед ЦП: Из-за отсутствия двойного шифрования процессор устройства тратит энергию только на обработку одного слоя TLS.

3. Структура заголовка запроса VLESS

Заголовок VLESS сжат до нескольких байт и упакован внутрь стандартной полезной нагрузки TLS-сессии:

4. Эволюция скрытности: XTLS, Vision и связка с REALITY

Сам по себе протокол VLESS — это лишь формат команды. Свою неуязвимость для цензуры он обретает благодаря технологическим надстройкам команды Project X:

1. Технология XTLS Direct & Splice: Инженерное открытие RPRX. Если внутри туннеля передается трафик, который уже зашифрован конечным сайтом (HTTPS), сервер на Linux может вызывать системный вызов ядра splice(). Данные копируются напрямую из одного сетевого сокета в другой прямо в ядре операционной системы, минуя память User-space, что дает гигантский прирост скорости.

2. Flow Vision (Защита от анализа длин пакетов): Системы фильтрации ТСПУ анализируют размеры первых нескольких пакетов TLS-сессии (TLS in TLS fingerprint). Модуль Vision на лету инспектирует внутренний трафик: в момент установки TLS-соединения внутри туннеля он динамически добавляет заполняющие байты (padding), маскируя handshake под обычный браузерный трафик Google Chrome.

5. Вердикт: роль VLESS сегодня