VLESS и Reality простыми словами: что внутри ссылки vless://

Siberian V · 23 октября 2026 · раздел «Роутеры»

Длинная строка, которая начинается с vless:// и заканчивается словами вроде security=reality, и есть ваше подключение целиком. В ней записано, куда стучаться, как представиться серверу и на какой сайт должно быть похоже соединение со стороны. Разберём, что значат два слова из названия, что происходит в момент подключения, какие параметры в строке нельзя трогать и чего от Reality ждать не стоит.

Два слова, две разные задачи

VLESS отвечает за доставку. Это протокол из проекта Xray: клиент сообщает серверу свой идентификатор, длинный UUID вида 1b9c2e40-…, сервер сверяет его со списком и начинает передавать данные. Своего шифрования у VLESS нет, он рассчитан на то, что его завернут в TLS, тот же механизм, которым защищены сайты с замком в адресной строке. За счёт этого протокол лёгкий: лишних проверок и служебных полей в нём почти нет.

Reality отвечает за то, как подключение выглядит со стороны. Обычному TLS нужен свой домен и сертификат, и любой, кто зайдёт на этот адрес, увидит, что там стоит неизвестный сервер. Reality устроен иначе: сервер заранее выбирает настоящий крупный сайт, и для постороннего наблюдателя ваше соединение похоже на заход именно туда. Своего домена не нужно, сертификат показывается настоящий, от выбранного сайта. Технологию добавили в Xray-core в 2023 году, и с тех пор связку VLESS + Reality часто встречают и на самодельных серверах, и у сервисов.

Если совсем коротко: VLESS решает, кто вы и что передать, Reality решает, на что это похоже.

Что происходит за секунду подключения

1. Клиент открывает соединение на адрес сервера, обычно на порт 443, как браузер к любому сайту. В первом сообщении он называет имя того самого крупного сайта (параметр sni) и подставляет отпечаток популярного браузера (параметр fp), чтобы начало разговора не отличалось от Chrome или Firefox.
2. В этом же сообщении клиент незаметно передаёт знак, который можно проверить только закрытым ключом сервера. Открытая половина ключа записана в вашей ссылке как pbk, к ней добавляется короткий номер sid.
3. Сервер проверяет знак. Если он сходится, сервер достраивает защищённое соединение сам, и дальше по нему идут данные VLESS с вашим UUID.
4. Если знака нет, например адрес проверяет сканер или любопытный человек из браузера, сервер просто пересылает разговор на настоящий сайт. Проверяющий получит обычную страницу и обычный сертификат и ничего необычного не увидит.

Четвёртый шаг и есть главное отличие от старых схем. Прежние прокси на чужой запрос отвечали ошибкой или молчанием, и по такому ответу их было легко вычислить.

Строка vless:// по частям

Ссылку можно вставить в блокнот и прочитать. Порядок параметров бывает разный, смысл тот же.

Менять безопасно только название после решётки. Если поправить sni или pbk, клиент перестанет проходить проверку и попадёт туда же, куда сканер: на настоящий сайт, без туннеля. Поэтому при ошибке «соединение есть, интернета нет» первым делом вставьте ссылку заново целиком, без ручных правок. Пересылать её в общие чаты и выкладывать скриншоты не стоит по той же причине, что и с паролем.

Где Reality не поможет

Reality меняет только то, как выглядит соединение. Адрес сервера при этом остаётся прежним. Если этот адрес попал под ограничения или сеть оператора пропускает только заранее разрешённые адреса, как в режиме списков разрешённых сервисов на мобильном интернете, внешний вид разговора ничего не решает. Насколько это касается вашей SIM-карты, зависит от оператора и региона, проверять приходится на месте.

Скорость и задержку тоже определяет не протокол, а сервер: в какой стране он стоит, сколько на нём людей и какой у него канал. Две ссылки VLESS + Reality от разных серверов могут вести себя совсем по-разному, хотя записаны одинаково.

Анонимности Reality не прибавляет. Владелец сервера видит, к каким адресам вы обращаетесь, ровно как у любого другого туннеля, так что выбор сервиса остаётся вопросом доверия. Многое зависит и от того, кто настраивал сервер: сайт для sni подбирают так, чтобы обращение к нему из вашей страны выглядело обычным делом.

Можно ли поднять VLESS на роутере

В штатных прошивках Keenetic, TP-Link и Xiaomi клиента VLESS нет. Его ставят отдельно: на OpenWrt пакетами Xray или sing-box, на Keenetic через Entware из командной строки. Производители такой способ не описывают и не поддерживают, подробности для Keenetic собраны в статье Туннель на роутере Keenetic. Клиенту на Xray нужно больше памяти, чем штатному WireGuard, поэтому до экспериментов проверьте модель по критериям из статьи какой роутер выбрать для туннеля.

Если роутер умеет только штатные протоколы, остаётся WireGuard по файлу, его устройство и типичные сбои описаны в материале WireGuard на роутере. Свой сервер с Reality можно собрать на арендованной машине за границей; что это значит по времени и обязанностям, разобрано в статье Сервер для роутера.

Как это устроено у Siberian V

Ссылок vless:// с Reality в подписке Siberian нет. В личном кабинете две ссылки под два приложения. Karing, основной клиент, ведёт трафик так, что со стороны он похож на обычное обращение к HTTPS-сайту. INCY, запасной, если в вашем кабинете есть его блок, работает по другому протоколу, и его трафик выглядит как обращение к видеосерверу. Если в вашей сети не подключается одно приложение, попробуйте второе.

Ссылки рассчитаны именно на эти два приложения, в Happ подписка Siberian не открывается. Роутер подписку не держит: Karing ставят на телефон, компьютер или телевизор на Android TV, а домашняя сеть работает как обычно. Российские сайты идут напрямую, мимо туннеля. Подключить можно несколько своих устройств, одновременно не больше чем из двух сетей, и всё за домашним роутером считается одной сетью. Что ещё входит в подписку, перечислено в статье что входит в подписку для роутера.

Личный кабинет

Частые вопросы