Протоколы VPN
Чем AmneziaWG отличается от WireGuard
AmneziaWG — это WireGuard с обфусцированным рукопожатием. Перед соединением он отправляет мусорные пакеты, добавляет случайные байты к служебным сообщениям и меняет их заголовки. Благодаря этому исчезает стандартная сигнатура WireGuard, которую DPI легко распознаёт. Шифрование и скорость остаются почти такими же, а платой становится несовместимость с обычными клиентами WireGuard.
Главное
- Шифрование и криптография у AmneziaWG те же, что у WireGuard.
- Jc, Jmin и Jmax задают мусорные пакеты, S1 и S2 — случайные добавки, H1–H4 — заголовки.
- Обычный клиент WireGuard к серверу AmneziaWG не подключится.
- В сети без DPI обычного WireGuard хватает, но DXVPN его не предлагает.
Коротко о разнице
AmneziaWG — это WireGuard, у которого изменён внешний вид служебных сообщений. Криптография, ключи и основной механизм остались прежними, а узнаваемая сигнатура исчезла.
WireGuard ценят за простоту, небольшой код и высокую скорость. Но у него есть слабость в сетях с DPI: протокол изначально не пытался скрываться. Его рукопожатие легко узнать, и на сайте DXVPN устойчивость обычного WireGuard к DPI оценена в 1 из 5. AmneziaWG появился именно для того, чтобы исправить это, не теряя преимуществ WireGuard. У него та же оценка, что у Trojan, — 4 из 5.
Почему обычный WireGuard легко распознать
У WireGuard фиксированная структура пакетов рукопожатия: известные размеры и известный тип сообщения в первых байтах. Для DPI это готовая сигнатура.
Когда клиент WireGuard начинает соединение, он отправляет сообщение инициации рукопожатия. Его размер всегда один и тот же, а первые байты содержат номер типа сообщения. Ответ сервера тоже имеет фиксированный размер и свой тип. Системе DPI достаточно простого правила: «UDP-пакет такого-то размера с таким-то первым байтом». Чтобы понять, что это WireGuard, ничего расшифровывать не нужно.
Это не недостаток безопасности. Содержимое трафика по-прежнему зашифровано ChaCha20-Poly1305. Но распознанное соединение можно замедлить или разорвать. Подробнее о приёмах DPI — в гайде что такое DPI.
Параметры AmneziaWG: Jc, Jmin, Jmax, S1, S2, H1–H4
Обфускация в AmneziaWG управляется тремя группами параметров. Вместе они убирают фиксированные размеры и известные заголовки, по которым узнают WireGuard.
| Параметр | Что делает | Какой признак убирает |
|---|---|---|
| Jc | Количество мусорных пакетов, которые отправляются перед рукопожатием | Узнаваемое начало сессии |
| Jmin, Jmax | Минимальный и максимальный размер мусорных пакетов | Одинаковые размеры первых пакетов |
| S1, S2 | Количество случайных байтов, добавляемых к сообщениям инициации и ответа рукопожатия | Фиксированный размер рукопожатия |
| H1–H4 | Собственные значения заголовков для четырёх типов сообщений WireGuard | Известные номера типов в первых байтах |
Мусорные пакеты заполнены случайными данными и сервером игнорируются. Их задача — сбить с толку правило, которое смотрит на первые пакеты сессии. Случайные добавки S1 и S2 меняют размер рукопожатия, так что проверка по длине перестаёт работать. Заголовки H1–H4 заменяют стандартные номера типов сообщений на произвольные значения.
Инициация рукопожатия фиксированного размера со стандартным типом сообщения → ответ фиксированного размера → зашифрованные данные.
Несколько мусорных пакетов случайного размера → инициация с добавкой S1 и заголовком H1 → ответ с добавкой S2 и заголовком H2 → зашифрованные данные.
Важная деталь: всё это меняет только внешний вид служебных сообщений. Ключи, алгоритмы шифрования и проверка подлинности остаются такими же, как в WireGuard. Поэтому криптографическая защита у AmneziaWG та же, что у оригинала. Меняется лишь то, как соединение выглядит со стороны.
Чего стоит обфускация
Цена обфускации небольшая, но она есть: совместимость, немного лишнего трафика при подключении и по-прежнему UDP в качестве транспорта.
- Несовместимость. Обычный клиент WireGuard не подключится к серверу AmneziaWG. Нужно приложение с поддержкой AmneziaWG или роутер, где его можно запустить.
- Лишние байты. Мусорные пакеты и добавки к рукопожатию немного увеличивают трафик при установке соединения. На скорость передачи данных это почти не влияет, поэтому в DXVPN AmneziaWG обычно самый быстрый протокол.
- Только UDP. Как и WireGuard, AmneziaWG работает по UDP. Если сеть ограничивает весь UDP-трафик, обфускация вряд ли поможет. Тогда нужен протокол на TCP, например VLESS + Reality или Trojan.
- Не маскировка под сайт. AmneziaWG убирает сигнатуру WireGuard, но не притворяется HTTPS. Статистический анализ трафика теоретически может выделить его как «неизвестный UDP». Поэтому в самых жёстких сетях надёжнее VLESS + Reality.
Сравнение WireGuard и AmneziaWG
По безопасности протоколы равны, по устойчивости к DPI AmneziaWG заметно сильнее, по совместимости — слабее.
| WireGuard | AmneziaWG | |
|---|---|---|
| Шифрование | ChaCha20-Poly1305 | ChaCha20-Poly1305 |
| Транспорт | UDP | UDP |
| Устойчивость к DPI (оценка DXVPN) | 1/5 | 4/5 |
| Скорость | Высокая | Почти такая же |
| Совместимость | Встроен во многие системы и роутеры | Нужен клиент или роутер с поддержкой AmneziaWG |
| Есть в DXVPN | Нет | Да, в тарифах «Бесплатный», «Про» и «Семейный» |
Когда хватит обычного WireGuard
Обычного WireGuard достаточно в сетях, где никто не анализирует и не ограничивает VPN-трафик. Например, для доступа к домашнему серверу или для связи офисов через надёжных провайдеров.
Если ваш провайдер не применяет DPI к VPN-протоколам, WireGuard работает отлично и не требует специальных клиентов. Но для DXVPN это не основной сценарий. Сервис рассчитан на сети, где DPI замедляет или обрывает VPN-протоколы, поэтому обычный WireGuard в тарифы не входит, а вместо него предлагается AmneziaWG.
Если вы часто переключаетесь между домашним Wi-Fi, мобильным интернетом и общественными сетями, обфусцированный вариант надёжнее: заранее не известно, как поведёт себя очередная сеть. В некоторых общественных сетях Wi-Fi известные VPN-протоколы ограничивают, и обычный WireGuard там может не подключиться. AmneziaWG в таких сетях имеет больше шансов. Если не справится и он, в подписке DXVPN есть протоколы на TCP. Как выбрать протокол под ситуацию, описано в гайде какой протокол VPN выбрать.
AmneziaWG в DXVPN
В DXVPN AmneziaWG работает на открытом движке AmneziaWG и входит в тарифы со всеми 7 протоколами. Для России сайт рекомендует его вторым после VLESS + Reality.
- На телефоне и компьютере — через клиент с поддержкой AmneziaWG. Список приложений — на странице загрузки.
- На роутере MikroTik — в контейнере на RouterOS 7.x. Тогда через VPN идёт трафик всей домашней сети. Для этого нужен тариф «Семейный». Подробно — в гайде VPN на роутере MikroTik.
AmneziaWG доступен в тарифах «Бесплатный» (10 ГБ в месяц, до 50 Мбит/с), «Про» за 299 ₽ в месяц и «Семейный» за 449 ₽. В «Базовый» он не входит. Подробности — в разделе тарифов, обзор всех протоколов — в разделе протоколов.
Частые вопросы
AmneziaWG медленнее WireGuard?
Почти нет. Основной трафик идёт так же, как в WireGuard, а дополнительные данные добавляются в основном при установке соединения. В DXVPN AmneziaWG обычно самый быстрый протокол.
Можно ли подключиться к AmneziaWG обычным приложением WireGuard?
Как правило, нет. Параметры обфускации должны совпадать на клиенте и сервере, а стандартный WireGuard о них не знает. Нужен клиент с поддержкой AmneziaWG.
Насколько AmneziaWG устойчив к DPI?
На сайте DXVPN его устойчивость оценена в 4 из 5, у обычного WireGuard — в 1 из 5. Для самых жёстких сетей рекомендуется VLESS + Reality.
Где AmneziaWG удобнее всего?
Там, где важна скорость и работа на роутере. В DXVPN он работает в контейнере на MikroTik с RouterOS 7.x и защищает всю домашнюю сеть.
Источники
Справочный материал, не юридическая консультация. Правила использования VPN различаются в разных странах — соблюдайте закон там, где вы находитесь.
Посмотрите сами
Запустите проверку «что видит DPI» на главной или начните с бесплатного тарифа — карта не нужна.