Мульти-протокольность

Зачем вообще нужно несколько протоколов

Единого «лучшего» протокола не существует. Разные протоколы решают разные задачи: одни быстрее, другие незаметнее для DPI, третьи лучше работают через CDN или на мобильных сетях. Исследования показывают, что, например, VLESS может давать более высокий throughput, Trojan — меньшую задержку и jitter, а WireGuard — простоту и производительность на уровне ядра [citation:1]. Поэтому 3x-ui позволяет держать несколько inbound'ов одновременно и переключать клиентов между ними по необходимости.

Ниже — разбор ключевых протоколов и транспортов, которые реально используются в 3x-ui.

🔹 VLESS — лёгкий и быстрый

VLESS — это безétat-протокол, разработанный в Xray. Он не выполняет собственного шифрования, а полагается на транспорт (TLS или REALITY). Структура запроса предельно простая: версия протокола, UUID, необязательные «addons» на ProtoBuf, команда, адрес и данные [citation:8][citation:15]. Благодаря отсутствию лишних криптографических операций VLESS показывает высокую скорость и низкую нагрузку на CPU.

Где применяется

• Стриминг и передача больших файлов — за счёт высокого throughput [citation:1].
• Мобильные клиенты — меньше расход батареи при интенсивном трафике.
• Пары с REALITY — маскировка под чужой TLS-сайт без собственного домена.

XTLS Vision

Режим xtls-rprx-vision — это flow-контроль, который добавляет внутренний handshake с рандомным паддингом. Он работает только в комбинации TCP + TLS/REALITY и позволяет избежать двойного шифрования, копируя зашифрованные данные на нижнем уровне [citation:9]. Включается в настройках клиента и inbound'а.

Пример streamSettings

{
  "network": "tcp",
  "security": "reality",
  "realitySettings": {
    "dest": "www.microsoft.com:443",
    "serverNames": ["www.microsoft.com"],
    "privateKey": "...",
    "shortIds": ["a1b2c3d4"]
  }
}

🔹 VMess — классика с балансом

VMess — более старый протокол Xray с встроенной аутентификацией и шифрованием. Он не такой лёгкий, как VLESS, но обеспечивает «из коробки» защиту полезной нагрузки без обязательного TLS. В сравнительных тестах VMess показывает сбалансированные результаты: не максимальная скорость, но стабильность и совместимость [citation:1].

Где применяется

• Сценарии, где не хочется настраивать TLS/REALITY отдельно.
• Старые клиенты, которые ещё не поддерживают VLESS+Vision.
• Резервный inbound на случай проблем с основным.

🔹 Trojan — маскировка под HTTPS

Trojan имитирует обычный HTTPS-трафик. С точки зрения внешнего наблюдателя соединение выглядит как стандартный TLS-сеанс к легитимному сайту. В тестах Trojan часто показывает наименьшую задержку и jitter, что делает его хорошим выбором для real-time приложений [citation:1].

Где применяется

• Игры, VoIP, видеоконференции — там, где важна стабильность задержки.
• Сети с агрессивным DPI, которые блокируют «непонятные» протоколы.
• Когда есть валидный домен и сертификат.

🔹 Shadowsocks — простота и совместимость

Shadowsocks — один из старейших прокси-протоколов, но до сих пор широко используется благодаря простоте и поддержке практически везде. Современные реализации (например, Outline) используют AEAD-шифры (ChaCha20-Poly1305, AES-GCM), которые обеспечивают и шифрование, и целостность [citation:13]. 3x-ui поддерживает Shadowsocks наряду с современными протоколами.

Где применяется

• Клиенты, где нет поддержки Xray-протоколов.
• Простые сценарии «поставил и работает».
• Резервный канал на случай блокировки основных портов.

🔹 WireGuard и AmneziaWG

WireGuard — современный VPN-протокол на уровне ядра, известный простотой и производительностью. В 3x-ui он поддерживается через Xray. AmneziaWG — это форк WireGuard с обфускацией: динамические заголовки, рандомизация размеров пакетов, маскировочные пакеты перед handshake, имитация QUIC/DNS/SIP [citation:5][citation:12]. Криптографическое ядро остаётся тем же, но DPI-системам гораздо сложнее распознать протокол.

Где применяется

• Мобильные устройства и роутеры — AmneziaWG энергоэффективен [citation:5].
• Сети с поведенческим анализом трафика — обфускация помогает снизить узнаваемость.
• Site-to-site туннели, где важна производительность WireGuard.

🔹 Hysteria2 — скорость на QUIC

Hysteria2 — прокси на базе QUIC, разработанный для скорости и устойчивости к потерям пакетов. Ключевая особенность: для стороннего наблюдателя без правильных учётных данных сервер ведёт себя как обычный HTTP/3-веб-сервер, а зашифрованный трафик неотличим от нормального HTTP/3 [citation:4][citation:11]. Это делает Hysteria2 особенно устойчивым к активному зондированию.

Где применяется

• Нестабильные сети с потерями пакетов (мобильный интернет, дальние маршруты).
• Сценарии, где важна максимальная скорость на QUIC.
• Маскировка под HTTP/3 для снижения вероятности блокировки.

Пример auth-запроса (фрагмент)

:method: POST
:path: /auth
Hysteria-Auth: [credentials]
Hysteria-CC-RX: [rate]

🔹 Транспорты: WebSocket, gRPC, XHTTP

Протокол (VLESS/VMess/Trojan) определяет, что передаётся, а транспорт — как. В 3x-ui доступны несколько вариантов [citation:3][citation:10]:

WebSocket

Работает через CDN и обратные прокси, маскируется под обычный веб-трафик. Ключевые поля: path (должен совпадать на сервере и клиенте), host (для CDN/domain fronting), heartbeatPeriod (keepalive через агрессивные прокси) [citation:10].

gRPC

Туннелирует трафик внутри gRPC-вызовов поверх HTTP/2. Хорошо мультиплексируется, чисто проксируется через Nginx. Поле serviceName играет роль «пути» и должно совпадать на обеих сторонах [citation:3].

XHTTP (SplitHTTP)

Современный мультиплексируемый HTTP-транспорт. Разделяет upstream и downstream на отдельные HTTP-запросы, что удобно для CDN и сред с лимитами длительности соединений. Режимы: auto, packet-up (наиболее CDN-совместимый), stream-up/stream-one (ниже задержка) [citation:3].

🔹 REALITY — маскировка без домена

REALITY — модификация TLS, которая «заимствует» внешний вид и handshake-характеристики целевого сайта. Вместо собственного сертификата сервер представляет себя как target-сайт. Не прошедший аутентификацию трафик пересылается на target, поэтому активное зондирование видит обычный сайт [citation:7][citation:14].

Где применяется

• Когда нет своего домена или не хочется выпускать сертификат.
• Максимальная маскировка: снаружи трафик неотличим от обычного HTTPS к популярному сайту.
• В связке с VLESS + XTLS Vision даёт высокую производительность [citation:7].

Важное ограничение

REALITY работает только с транспортами RAW (TCP), XHTTP и gRPC. Если target за Cloudflare, сервер может превратиться в «порт-форвардер» для CDN, поэтому иногда имеет смысл поставить前置 Nginx для фильтрации SNI [citation:7].