Три способа, которыми Россия ломает ваш сервер Xray, и только один из них — блокировка

Каждые несколько недель приходит один и тот же тикет. VPS клиента работал из России, потом в какой-то день перестал, и теперь адрес выглядит мёртвым из Москвы, хотя отовсюду ещё отвечает безупречно. Вывод напрашивается сам: DPI снял отпечаток VLESS, сервер попал в список, IP сожжён.

Иногда так и есть. Чаще это одна из двух других вещей, которые с клиентского кресла выглядят точно так же, а чинятся совершенно иначе.

Это важно, потому что привычный совет — «перейди на gRPC» — верен наполовину, причём так, что спорить с ним трудно. Он действительно помогает, и по причине, которую стоит понять точно. Просто он не помогает против того отказа, который реально стоит вам адреса, — а хватаются за него вместо того, что помогло бы.

Вот что происходит на самом деле, по порядку наносимого ущерба.

1. Сканирование: ваш сервер отвечает на пробу, и ответ его выдаёт

Именно это действительно стоит вам всего IP.

В мае 2026 года кто-то запустил сканер VPN российского образца против собственного сервера и опубликовал отчёт. Это самый полезный документ по теме, потому что в нём виден ход рассуждений, а не только вердикт. 7

Сканер не ограничивается портом 443. Он проходит весь диапазон, с 1 по 65535, в 500 потоков, и бросает в каждый откликнувшийся порт несколько разных проб: HTTP GET, CONNECT, TLS ClientHello с заведомо неверным SNI и сырые двоичные данные. Потом сравнивает ответы.

Настоящий веб-сервер реагирует на разный мусор по-разному. Прокси со статическим фолбэком — нет. На проверяемом сервере порт 2096 вернул одни и те же 41 байт, байт в байт, на каждую пробу, начиная со строки статуса HTTP/0.0 307 Temporary Redirect. Ни один настоящий nginx, Apache или Caddy версию HTTP/0.0 не отдаёт. Один такой ответ — почти чистосердечное признание.

Отчёт собирает и несколько более мягких признаков:

• Нет заголовка Server:. Его выставляет любой распространённый веб-сервер. Отсутствие говорит «самописный обработчик», а не «сайт».
• Сертификат со сроком жизни в шесть дней. Публичные удостоверяющие центры выдают на 30–90 дней. Всё короче примерно двух недель означает «сделано вручную», то есть «испытательный стенд», то есть «прокси».

Сканер оценил хост в 48 баллов из 100 и вынес вердикт OBVIOUSLY-VPN. Последствие, словами самого отчёта, таково: накопленные аномалии переходят порог ТСПУ, и «IP добавляется в репутационный список, а последующие потоки отбрасываются или замедляются, пока не изменится сигнатура».

Вот тот механизм, который имеют в виду, когда говорят, что IP заблокировали. Он настоящий, он работает на уровне адреса, и запускает его то, что ваш сервер отвечает, когда к нему обращаются, — а не протокол, который вы туннелируете.

2. Всплеск: три рукопожатия за пятьдесят миллисекунд

Второй механизм поведенческий и к пробам отношения не имеет.

В обсуждении, заведённом в Xray-core, описано, как ТСПУ читает TLS ClientHello и оценивает его по подсети и автономной системе сервера, по SNI и по отпечатку браузера. Отпечатки Chrome, Safari и iOS из подозрительного диапазона придерживают; Firefox, Android, OkHttp и Edge проходят. 3

Срабатывает же интенсивность. Три и более одновременных TLS-соединения к одному хосту в пределах примерно 20–50 миллисекунд замораживают их все секунд на 120. Если клиент в ответ начинает менять отпечаток прямо во время заморозки, это превращается в 600 секунд.

Поэтому браузер, открывающий страницу через туннель, гораздо хуже одиночной загрузки. Современные браузеры по замыслу веером открывают шесть соединений. Это ровно та форма, которую ищет детектор.

3. Счётчик: ваш пятнадцатый килобайт

Третий грубее и по-своему изящен. Цензор наблюдает за TLS-соединением к зарубежному серверу и замораживает его, как только объём возвращённых данных переходит примерно 15–20 КБ — позже это уточнили как около 25 пакетов в каждую сторону.

В обсуждении, открытом 27 июня 2025 года, прямо сказано, что это не сопоставление по протоколу: «Неважно, ‚легитимный' это HTTPS-трафик или кто-то под него мимикрирует». 2

Это и есть жалобы вида «работает несколько секунд, а потом умирает». Рукопожатие и пара маленьких запросов в бюджет укладываются. Страница с картинками — нет.

Как их различить одним тестом

Все три выглядят одинаково, потому что цензор замораживает соединения, а не сбрасывает их. Ни RST, ни ICMP — рукопожатие просто никогда не завершается, и клиент сидит до истечения таймаута, что неотличимо от маршрута, ушедшего в никуда.

Из затронутой сети заберите что-нибудь маленькое и простое по HTTP с того же адреса.

• Простой HTTP работает, TLS — нет — механизм 2 или 3. С адресом всё в порядке. В ноябрьском сообщении 2025 года о блокировке REALITY у российского провайдера автор проверил именно это и обнаружил, что сайт на том же IP по-прежнему открывается. 4
• Не отвечает вообще ничего — механизм 1. Вы в репутационном списке, и помогает только новый адрес.

Эти две минуты того стоят: замена сервера при механизме 2 или 3 покупает вам примерно пятнадцать килобайт облегчения, после чего новый адрес ведёт себя точно так же. Это читают как мгновенное сожжение нового IP. Ничего не сожгли. Просто бюджет израсходовали заново.

Где gRPC действительно помогает, а где нет

Операторы раз за разом сообщают, что gRPC держится неделями там, где чистый TCP вычисляли за дни. Это не фольклор и не везение. Это механизм 2, и причина чисто механическая.

gRPC работает поверх HTTP/2, и документация Xray прямо говорит, что это даёт: «В gRPC (HTTP/2) мультиплексирование встроено. Включать mux.cool при использовании gRPC и HTTP/2 не рекомендуется». 5

Мультиплексирование означает, что множество потоков делят одно TCP-соединение, а значит, и одно TLS-рукопожатие. Детектор всплесков ищет три и более рукопожатия к одному хосту за пятьдесят миллисекунд. Браузер поверх чистого TCP открывает шесть соединений и выдаёт ровно такую картину. Тот же браузер поверх gRPC выдаёт одно рукопожатие с шестью потоками HTTP/2 внутри. Всплеска, который можно обнаружить, попросту не остаётся.

Так что если вы перешли на gRPC и проблема ушла — вот почему, и не давайте себя переубедить обратно.

Чего это не делает — так это не отвечает на пробу. Та же страница предупреждает, что «сервисы gRPC подвержены активному зондированию», и рекомендует поставить впереди обратный прокси, разделяющий трафик по префиксу пути. Голый gRPC, слушающий 443, сканеру всё равно отвечает, а в репутационный список адрес отправляет именно механизм 1. Мультиплексирование с этим не делает ничего.

Полезно знать и то, куда всё движется. Транспорт gRPC объявлен устаревшим: документация теперь советует «перейти на XHTTP». 5 Это заметка о миграции, а не повод выдирать то, что работает. XHTTP, появившийся в декабре 2024 года, мультиплексирует так же — через XMUX — и добавляет то, чего у gRPC нет: набивку заголовков и разделение восходящего и нисходящего потоков, так что нисходящий едет на независимых GET-запросах, что заодно обходит ограничения на gRPC у некоторых CDN. В сравнении с WebSocket он избавляет от заметного ALPN http/1.1. 6

Переход планируйте. Торопиться не надо.

Складывайте их, это не альтернативы

Ошибка, лежащая в основе большинства таких споров, — считать это единственным выбором: REALITY или gRPC, этот транспорт или тот. Три механизма независимы, а значит, независимы и защиты, и они складываются:

Сервер с REALITY за nginx поверх мультиплексируемого транспорта отвечает всем трём. Сервер с чем-то одним отвечает одному.

Поставьте впереди настоящий nginx и направьте на него фолбэки. Это самое ценное изменение, и это же первая рекомендация самого отчёта: держите настоящий nginx с нормальной картой страниц ошибок и нацельте на него фолбэки Xray, чтобы всё, что не является корректным рукопожатием, получало настоящий HTTP от настоящего веб-серверного софта. 7 Это убирает строку статуса HTTP/0.0, возвращает заголовок Server: и заставляет ответы различаться от запроса к запросу — как у настоящего сайта. Поднимите на нём настоящий сайт. Стандартная страница приветствия nginx лучше статичного 307, а настоящий сайт лучше обоих.

Используйте настоящий сертификат. Let's Encrypt с автообновлением. Шестидневный самоподписанный сертификат — самостоятельный признак, и убрать его ничего не стоит.

Следите за SNI. Заимствование у Microsoft, Apple или Google привлекает внимание; про высоконагруженные внутренние хосты сообщают, что как цель для заимствования они куда стабильнее. Блокировка избирательная, а не по маске, и свежий поддомен на чистом адресе часто проходит. 8

Следите за отпечатком, но не только за ним. Сообщают, что переключение uTLS с Chrome на Firefox возвращает связь у операторов, где Chrome придерживают. 8 Но оценка учитывает ещё подсеть и автономную систему, так что идеальный отпечаток в плохо оценённом диапазоне — по-прежнему плохое соединение.

Возьмите мультиплексируемый транспорт и дайте ему мультиплексировать. gRPC или XHTTP, с выключенным mux.cool — документация прямо говорит, что включать его поверх HTTP/2 не рекомендуется. Если gRPC у вас за nginx, это grpc_pass с префиксом пути, и одним развёртыванием вы получаете защиту и от пробы, и от всплеска.

Не давайте ничему лишнему на машине отвечать. Сканер проходит все 65535 портов. Каждый откликающийся сервис — ещё один шанс набрать аномалию. Перенесите SSH с 22-го порта на высокий и закройте его фаерволом до известных адресов.

Держите вторую площадку. Не запасной адрес в том же диапазоне для ротации, а действительно другое место. Когда отказ региональный, помогает другой путь, а не другой номер на том же пути.

И ждите, что всё это будет меняться дальше

Роскомнадзор заблокировал VLESS в конце 2025 года средствами ТСПУ, и большинство разработчиков ответили новыми конфигурациями в считаные дни. 1 В таком ритме всё и идёт, а бюджет за этим растёт: мощность ТСПУ планируют увеличить в два с половиной раза к 2030 году — до 954 терабит в секунду, примерно за 186 млн $, чего, по расчётам самого министерства, хватит на анализ всего трафика Рунета с запасом.

Ничто из вышесказанного не вечно. Обобщаются две вещи.

Вас ловят не за то, что вы туннелируете. Вас ловят за то, что вы похожи на машину, которая существует ради туннелирования, — по тому, что она отвечает, как она соединяется и сколько отдаёт. Всё, что делает сервер похожим на обычный веб-сервер, который заодно несёт другой трафик, покупает вам время.

И ни одна отдельная настройка не является ответом. Обнаружение многослойное, значит, и защита должна быть такой. Если вам говорят, что один транспорт решает эту задачу, спросите, какой из трёх механизмов он решает.

Источники

1. Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max, Zona Media, 7 апреля 2026 года
2. [Russia] Censor has a new method of blocking, net4people/bbs, открыто 27 июня 2025 года
3. Russia blocks 2026, XTLS/Xray-core, 2026
4. TCP + Reality gets blocked, XTLS/Xray-core, 23 ноября 2025 года
5. gRPC transport, документация Project X
6. XHTTP, XTLS/Xray-core, декабрь 2024 года
7. How Bye Bye VPN Works in Russia, MHSanaei/3x-ui, 6 мая 2026 года
8. Bypassing Russian GFW, XTLS/Xray-core