WireGuard и OpenVPN полностью заблокированы — что реально работает в России в 2026?

[heinrich48]

С февраля 2026 РКН заблокировал уже 469 VPN-сервисов, WireGuard и OpenVPN тупо не поднимаются на большинстве операторов. Пробовал на Билайне и МТС — оба протокола режутся на уровне ТСПУ, handshake не проходит вообще. Знакомый говорит, что VLESS+Reality ещё работает, но я слышал, что его тоже начали ловить в отдельных регионах. Кто сейчас реально пользуется своим сервером — какой стек используете? Xray? sing-box? Насколько стабильно?

[vaultwizard]

Сам сижу на VLESS + XTLS-Reality уже полгода, VPS в Финляндии. До ноября 2025 вообще не было проблем, потом пошли периодические просадки в Москве. Главное — порт строго 443, SNI берёте реальный живой домен (например, что-то на Cloudflare). Поток xtls-rprx-vision обязателен, без него паттерн TLS-in-TLS виден как на ладони. Скорость у меня ~40 Мбит/с против ~90 на чистом WireGuard, но зато работает.

[jpearce]

@heinrich48, У меня знакомый писал диссертацию по детектированию XTLS-Reality — говорит, что методы детекции уже есть, просто пока не развёрнуты везде. В Питере уже в некоторых подсетях ловят. Советую смотреть в сторону XHTTP или NaiveProxy через sing-box + Caddy. XHTTP мультиплексирует трафик под обычные HTTP-запросы, DPI вообще не отличает от браузера.

[hunter22]

Пробовал Hysteria2 — скорость отличная, ~200 Мбит/с на том же VPS где VLESS даёт 40. Но UDP режут в половине мобильных сетей, на домашнем Ростелекоме стабильно, а на МТС-симке — через раз. Для мобилы всё равно нужен TCP-based протокол.

[llamaguru]

@jpearce, Важный момент который многие забывают: даже если протокол работает, надо смотреть на утечки DNS. Поднял VLESS, а резолвинг всё равно идёт через провайдерский DNS — и привет, РКН видит к каким доменам обращаетесь. Обязательно настройте DoH или DoT на клиенте, либо пропускайте DNS тоже через туннель. В Xray/sing-box это делается через блок dns в конфиге.

[tommee]

Для тех кто не хочет возиться с конфигами вручную — есть 3x-ui панель на сервере, там через веб-интерфейс настраивается всё включая Reality. Поднял за 20 минут на VPS за 3 евро/месяц в Нидерландах. Клиент на Android — v2rayNG, на iOS — Streisand или Shadowrocket. Обычным пользователям вполне хватает.

[kingpaul]

@vaultwizard, про SNI согласен, это критично. Но ещё важно чтобы домен, который берёшь в SNI, реально отвечал на 443 — DPI на некоторых операторах делает side-channel проверку: отправляет независимый ClientHello к указанному SNI и сравнивает fingerprint. Если домен мёртвый или отвечает не так — паттерн виден. Cloudflare Workers как front-domain работают хорошо именно потому что реально живые и имеют правильный TLS-профиль.

[kingcnut]

Hysteria2 на домашнем провайдере летает, но как справедливо замечено — UDP режут активно. Практика показывает: держать два профиля на клиенте, VLESS+Reality для мобилы и нестабильных сетей, Hysteria2 для домашнего с нормальным каналом. В sing-box это удобно переключается через outbound selector, можно даже автоматически по latency. Не стоит делать ставку только на один протокол в 2026.

[svelteops]

@llamaguru, утечки DNS — это вещь которую большинство вообще не проверяет после настройки. Рекомендую после поднятия туннеля зайти на dnsleaktest.com и browserleaks.com — люди иногда удивляются увидев свой провайдерский DNS в результатах при казалось бы работающем VPN. В sing-box блок dns с strategy prefer_ipv4 и server 1.1.1.1 через сам туннель закрывает вопрос. Ещё стоит отключить системный DNS на уровне сетевого адаптера, иначе fallback может уходить мимо.