Свой VPN на VPS: какой протокол выбрать в 2026 году

Какой протокол ставить на свой VPN в 2026 году: WireGuard, AmneziaWG, VLESS Reality, Hysteria2, Outline или MTProto — как их находит ТСПУ и что выбрать.

Шифруют трафик все современные протоколы одинаково надёжно, поэтому выбирают их по другому признаку — по тому, как соединение выглядит со стороны. Между пользователем в России и сервером стоит ТСПУ, система глубокой инспекции трафика на сетях операторов. Выживает протокол, который она не может отличить от обычного трафика или не решается заблокировать. Ниже — как ТСПУ находит VPN, что из этого следует для каждого протокола и какую схему собрать под свою задачу. Каждый раздел ведёт на подробную инструкцию.

Коротко: что выбрать

Личный VPN для себя и семьи — AmneziaWG. Приложение AmneziaVPN само ставит сервер по IP и паролю root, клиенты есть для всех платформ.
Мобильный интернет и строгие провайдеры — VLESS + Reality поверх TCP 443 на своём домене: для DPI это TLS 1.3 к обычному сайту.
Десятки и сотни пользователей, подписки, несколько локаций — панель Remnawave с нодами. Marzban оставьте для уже работающих установок.
Канал с потерями и большой задержкой — Hysteria2 вторым профилем, если сеть пропускает UDP.
Только Telegram — MTProto-прокси: человеку не нужно ничего ставить, прокси подключается ссылкой.
Быстро раздать ключи без панели — Outline, но в России он работает нестабильно.
Чистые WireGuard и OpenVPN из России не подключаются: ТСПУ узнаёт их по первым пакетам. Для связи своих серверов и доступа из стран без такой фильтрации они по-прежнему хороши.

Как ТСПУ находит VPN

Блокировка устроена в несколько слоёв, и от каждого защищает своё:

Сигнатуры протокола. У WireGuard и OpenVPN первые пакеты соединения имеют фиксированные размеры и служебные поля, протокол узнаётся по одному-двум пакетам. Массовые блокировки обоих у российских провайдеров фиксируют с августа 2023 года.
Поведение внутри туннеля. Протоколы, поток которых с первого байта похож на случайный шум, — Shadowsocks, VMess — с весны 2024 года распознают по размерам и порядку пакетов: сквозь туннель просвечивает TLS-рукопожатие сайта, который открывает пользователь.
Имя сайта. SNI из TLS ClientHello и из первого пакета QUIC сверяется с реестром запрещённых доменов. Первый пакет QUIC ТСПУ расшифровывает: ключи к нему выводятся из открытых полей.
Ограничения к подсетям хостингов. С июня 2025 года у многих провайдеров TCP-соединения к подсетям крупных хостеров и CDN замирают после 15–20 КБ данных, какой бы протокол внутри ни был. С ноября 2025 года у части операторов серия почти одновременных TLS-рукопожатий к одному серверу замораживает новые соединения на пару минут.
Баны адресов. IP-адреса VPN-серверов блокируют волнами — в 2026 году, например, 4 августа и 21 сентября. Помогает только смена адреса.
Белые списки. С осени 2025 года в части регионов, а с марта 2026 года и в Москве мобильный интернет периодически переводят в режим, когда открыты только разрешённые адреса. Зарубежный сервер в это время недоступен любым протоколом.

Совет: IP-адреса ForestsNet Cloud каждый день проверяются из России на блокировки ТСПУ по TCP и TLS, заблокированные в выдачу не попадают. От блокировки по протоколу это не спасает: чистый WireGuard из России не подключается и к нашим серверам, поэтому ставьте протоколы с маскировкой.

Важно: на серверах ForestsNet Cloud нельзя выдавать себя за чужой сайт — указывать домен, который вам не принадлежит, в SNI, в параметрах переадресации (dest, fallback) или в TLS-сертификате. Свой домен и свой веб-сервер, в том числе на этом же сервере, — можно. Такие настройки проверяются автоматически, а при нарушении поддержка попросит их исправить. Подробности — в разделе «Сторонние домены» Условий использования.

WireGuard и OpenVPN: узнаются по рукопожатию

WireGuard открывает соединение пакетом ровно в 148 байт: первый байт — тип сообщения 1, следом три нулевых. Ответ сервера — 92 байта с типом 2. DPI достаточно увидеть такую пару, и шифрование тут ни при чём: заметна форма пакетов, а не их содержимое. У OpenVPN узнаваемы код операции в начале пакета и размеры служебного обмена. Режим поверх TCP 443 его не прячет: это собственный протокол OpenVPN, а не TLS, каким его ожидают увидеть на этом порту.

Оба протокола хороши там, где DPI нет: туннель между своими серверами, доступ к домашней или офисной сети, сотрудники в Европе. Для подключения из России ставьте AmneziaWG — скорость и принцип работы те же, а форма пакетов другая.

Инструкции: «WireGuard VPN: сервер и клиенты» и «OpenVPN».

AmneziaWG: WireGuard с маскировкой

AmneziaWG — форк WireGuard, который меняет ровно то, по чему WireGuard узнают:

Мусор перед рукопожатием. Клиент отправляет серию UDP-пакетов случайного размера (параметры Jc, Jmin, Jmax), и DPI видит начало потока не там, где ждёт.
Другие размеры и заголовки. К служебным сообщениям добавляется случайное заполнение (S1–S4), а номера типов сообщений заменяются (H1–H4), так что 148 байт с типом 1 больше не встречаются.
Пакеты-имитации. В новых версиях протокола перед рукопожатием можно отправить пакеты заданного вида (I1–I5), например похожие на ответ DNS-сервера.
Защита заголовков. С версии 3 служебные поля заголовка шифруются ключом сервера, а интервалы повторных рукопожатий и keepalive выбираются из диапазонов — пропала и временная сигнатура WireGuard.

Мусорные пакеты и имитации нужны только клиенту, а заполнение, заголовки и ключ защиты заголовков должны совпадать на сервере и клиенте. Поэтому обычный WireGuard-клиент не подойдёт: нужны приложения AmneziaVPN, AmneziaWG или другой клиент с поддержкой той же версии протокола.

Проще всего поставить сервер из приложения AmneziaVPN. Вы вводите IP и пароль root, а приложение по SSH ставит Docker, поднимает контейнер с AmneziaWG на случайном UDP-порту от 30000 до 49999 и само подбирает параметры маскировки. Заодно оно запрещает серверу отвечать на ping и меняет несколько параметров ядра — это не сбой, так задумано.

Слабое место — UDP. Некоторые мобильные операторы режут UDP к зарубежным адресам или QUIC целиком, и тогда не поможет никакая маскировка. Держите рядом профиль поверх TCP.

Инструкция: «Amnezia VPN на своём сервере».

VLESS + Reality: туннель под видом сайта

VLESS — лёгкий протокол ядра Xray, а Reality прячет его в TLS 1.3. На рукопожатие сервер отвечает от имени сайта-цели, а своих клиентов узнаёт по ключу, спрятанному в том же рукопожатии. Остальных, включая системы активного зондирования, он пересылает на цель, и они видят обычный сайт. Режим XTLS Vision убирает ещё один признак VPN — вложенное TLS-рукопожатие внутри туннеля.

По наблюдениям на ntc.party и разборам на Хабре, сам протокол ТСПУ в 2025–2026 годах не распознаёт, поэтому Reality — основной вариант для мобильного интернета. Блокируют его косвенно: по адресу сервера, по неправдоподобной паре «IP хостинга + SNI популярного сайта», по объёму и числу соединений. Отсюда главное правило настройки: цель — ваш собственный сайт на этом же сервере. Домен с A-записью на IP сервера, веб-сервер на 127.0.0.1 с сертификатом Let's Encrypt, в SNI — этот домен: имя честно указывает на адрес, где работает сайт. Чужой сайт в роли цели на наших серверах запрещён Условиями использования: популярные SNI вроде www.microsoft.com на адресах хостинга ведут к банам IP, а бан бьёт по всем клиентам сети. От заморозки при всплеске соединений помогает второй инбаунд на транспорте XHTTP: он укладывает соединения приложений в несколько TLS-соединений.

Важно: с Xray v26.9.8 Reality не пускает клиентов без обмена ключами X25519MLKEM768. На конец сентября 2026 года из-за этого не подключаются приложения на ядре sing-box (Hiddify, Karing, NekoBox) и Shadowrocket. Перед обновлением ядра на сервере или в панели проверьте, какими приложениями пользуются ваши клиенты.

Инструкция: «3x-ui: установка и настройка VLESS + Reality».

Hysteria2: скорость поверх QUIC

Hysteria2 работает на QUIC — транспорте HTTP/3 — и постороннему отвечает как обычный сайт. Его сила — скорость на плохих каналах: в режиме Brutal он держит заданную скорость и досылает потерянные пакеты, а не сбрасывает темп при потерях, как TCP. На мобильном интернете, перегруженных стыках и дальних маршрутах он заметно обгоняет протоколы поверх TCP, зато сильнее нагружает процессор.

Слабость — та же зависимость от UDP. По замерам, опубликованным на FOCI 2026, ТСПУ читает имя домена из первого пакета QUIC и отбрасывает соединения к доменам из реестра. А с марта по июнь 2022 года QUIC к зарубежным адресам на порту 443 резали целиком. На мобильных сетях результат зависит от оператора. Обфускация Salamander убирает признаки QUIC, port hopping переключает соединение между портами, но гарантий нет.

Поэтому Hysteria2 — хороший второй профиль рядом с VLESS Reality, но не единственный.

Инструкция: «Hysteria2: установка и настройка сервера».

Shadowsocks и Outline: простота без гарантий

Outline — самый простой способ раздать доступ: сервер ставится одной командой, ключ передаётся ссылкой, лимиты трафика задаются в приложении-менеджере. Внутри — Shadowsocks, поток которого с первого байта выглядит случайным шумом.

Это его и выдаёт. В России Shadowsocks с весны 2024 года распознают по косвенным признакам, а летом 2025 года Outline перестал работать у многих абонентов крупных операторов. Префиксы маскировки меняют только первые байты соединения и помогают не везде. Outline уместен в поездках, в странах с мягкой фильтрацией и как запасной канал.

Инструкция: «Outline VPN: свой сервер и ключи доступа».

MTProto-прокси: только для Telegram

MTProto-прокси пропускает трафик одного приложения — Telegram, зато человеку ничего не нужно ставить: прокси подключается ссылкой tg://proxy в официальных приложениях. В режиме fake-TLS соединение выглядит как TLS к сайту, имя которого зашито в секрет. Это должен быть ваш домен, направленный на сервер, и настоящий сайт за прокси: так советует автор mtg, и только так можно на наших серверах.

2026 год для MTProto выдался тяжёлым. С 1 апреля ТСПУ научился отличать TLS-рукопожатие приложений Telegram — это исправили обновлением приложений. С июня прокси временно блокируют, когда клиент открывает сразу несколько соединений. Автор mtg, одной из популярных реализаций, в июне прямо посоветовал пользователям из России VPN. Прокси по-прежнему удобен, чтобы дать Telegram людям, которые не станут ставить VPN, но себе держите полноценный VPN.

Инструкция: «MTProto-прокси для Telegram на своём сервере».

Панель: 3x-ui, Remnawave или Marzban

Ядро Xray можно настроить одним JSON-файлом, но пользователей, лимиты и подписки удобнее вести в панели:

3x-ui — один сервер и веб-интерфейс: клиенты с лимитами трафика и сроками, подписки, несколько инбаундов. Для личного VPN и небольшой команды этого хватает.
Remnawave — панель и отдельные ноды, подписки с автообновлением, API и интеграции. Её выбирают, когда пользователей много и локаций несколько, в том числе для платного VPN.
Marzban — долго был стандартом для нескольких нод, но последний релиз вышел 9 января 2025 года, а marzban-node с августа 2025 года не поддерживается. Для новых проектов берите Remnawave; для работающего Marzban есть инструкции по миграции.

Инструкции: «3x-ui», «Remnawave» и «Marzban».

Какой нужен сервер

Ресурсы. Для личного VPN на несколько устройств хватает 1 vCPU и 1 ГБ памяти. Панели с базой данных нужно от 2 ГБ, а Hysteria2 при высоких скоростях упирается в процессор раньше, чем протоколы поверх TCP.
Трафик. В пакет ForestsNet Cloud идёт только исходящий трафик. У VPN-сервера исходящим оказывается почти всё: скачанное пользователем уходит к нему, отправленное им — в интернет. Считайте пакет по суммарному трафику всех пользователей в обе стороны.
Отдельный адрес. Бан IP задевает всё, что на нём работает. Сайт или бот держите на другом сервере, чем VPN для многих пользователей.
Две локации. Второй сервер в другой стране — готовый запасной вход: если один адрес заблокируют, пользователи переключатся на другой.

Держите запасной профиль

Ни один протокол не работает везде и всегда: проходящее у одного оператора режет другой, а меры меняются каждые несколько месяцев. Надёжнее держать у пользователей два профиля с разными признаками:

Основной — VLESS + Reality на TCP 443.
Запасной — на UDP: AmneziaWG или Hysteria2.

Если есть второй сервер, запасной профиль лучше вести на другой адрес: бан одного IP не оставит пользователей без связи. Раздавать оба профиля удобнее подпиской — приложение само подтянет изменения.

Как понять, что именно блокируют

Не работает ниоткуда, даже из-за границы, — дело в сервере: проверьте службу, порт и журнал.
Через Wi-Fi работает, через мобильный интернет — нет. Оператор режет UDP или включил белые списки. Переключитесь на профиль поверх TCP.
Подключается, но страницы не грузятся. Это заморозка после нескольких килобайт или бан адреса. Проверить своего провайдера можно веб-тестом «TCP 16-20» из набора hyperion-cs.
Работает, а через пару минут отваливается — лимит на число соединений. Для Reality помогает XHTTP, для MTProto — меньше параллельных соединений.

Важно: ping ничего не доказывает. При части банов он проходит, а данные — нет, а сервер, поставленный из AmneziaVPN, на ping не отвечает вовсе.