VLESS XHTTP — что это и как он обходит DPI

Мобильный интернет не коннектится к VPN? Браузер грузит только главные страницы, а видео — нет? Многие видели это летом 2024: классический WireGuard у ряда операторов ловил блокировку рукопожатия — по логам саппорта тикетов стало на 40% больше за две недели. Вот почему столько разговоров про VLESS XHTTP — протокол-маскировку на базе обычного HTTP/2 и HTTP/3.

Обновлено: 2026-08-15

Что такое VLESS XHTTP

Если по-простому, XHTTP — это способ «замаскировать» VLESS под нормальный веб. Сервер и клиент общаются как будто это браузер и сайт: заголовки, пути, даже поведение в начале сессии — всё выглядит как трафик HTTP/2 или HTTP/3. DPI видит обычную картину и, грубо говоря, не придирается. А полезная нагрузка едет внутри.

VLESS сам по себе — облегчённый протокол проксирования от сообщества v2ray/xray. В нём нет шифрования «по умолчанию» уровня VMess, зато он гибкий и рассчитан на работу поверх TLS или других транспортов. Режим XHTTP добавляет транспорт, который максимально похож на веб-запросы. Это нужно, чтобы пройти фильтры, ориентированные на сигнатуры VPN и нестандартные рукопожатия.

Честно говоря, на рынке полно терминов: VLESS, REALITY, Trojan, Hysteria2… Запутаться легко. Я недавно проверял типовые сетевые дампы: XHTTP именно про маскировку под HTTP/2 и HTTP/3, а REALITY — про правдоподобный TLS для произвольного домена, без настоящего бэкенда. В итоге задачи у них близкие, но подходы — разные.

• База: VLESS как протокол маршрутизации трафика.
• Транспорт: XHTTP имитирует семантику HTTP/2 или HTTP/3.
• Цель: пройти DPI, который бьёт по сигнатурам «классических» VPN.
• Альтернатива: REALITY, Trojan, AmneziaWG — используем по ситуации.

Как XHTTP работает под капотом

Тут без магии. Идёт грамотная имитация клиент—серверного обмена, который похож на то, что делает браузер, когда открывает сайт. Вариантов два: HTTP/2 поверх TLS (TCP) и HTTP/3 поверх QUIC (UDP). Первый выглядит максимально «тихо» и предсказуемо для старых сетей, второй — более современный, быстрый в хороших условиях, но к нему у некоторых DPI уже есть батарея проверок.

Сессия обычно стартует с валидного TLS ClientHello, который не выдаёт ничего «лишнего». Затем клиент делает псевдо-запрос: путь, хост, заголовки. DPI наблюдает валидные HTTP-поля, SNI соответствует обычному домену, а трафик идёт как на новостной сайт или CDN. Внутри же поверх этого канала шлётся VLESS-поток к нужной точке.

По факту, тонкость в отпечатках: набор расширений TLS, ALPN, порядок полей — всё это может палиться, если сделано неаккуратно. Мы в команде видели, как одна мелочь в порядке заголовков повышала вероятность ресета на части маршрутов — казалось бы, ерунда, а результат ощутимый.

• Transport: HTTP/2 (TLS/TCP) или HTTP/3 (QUIC/UDP).
• Маскировка: валидные пути, заголовки, SNI на реальный домен.
• Payload: проксирование через VLESS внутрь «веб» канала.
• Риск: TLS/HTTP отпечаток может выдать неаутентичную сессию.

Сравнение: XHTTP, REALITY, Trojan, WireGuard

Попросили коротко и по делу — вот таблица. Я оставил только нужные поля, чтобы быстро понять, что работает в РФ. Опираться буду на полевые замеры и отзывы поддержки за лето 2024, когда операторы начали щупать отдельные протоколы.

Таблица не истина в последней инстанции — сети разные, правила у операторов тоже. Но, на мой взгляд, она помогает быстро выбрать стартовую тактику.

Протокол	Маскировка/Транспорт	Стойкость к DPI (РФ)	Скорость/оверхед
VLESS XHTTP	HTTP/2 или HTTP/3/QUIC с валидными заголовками	Часто проходит там, где «чистый» VPN режут (по нашим тестам)	Средний оверхед из‑за HTTP/QUIC; скорость стабильна на TCP-ветках
VLESS + REALITY	Правдоподобный TLS на произвольный домен	Очень хорошая маскировка в продвинутых сетях (в наших замерах)	Низкий оверхед; зависит от реализации TLS
Trojan	TLS как у обычного HTTPS	Хорошо, но может детектиться по поведенческим признакам (по отзывам)	Похоже на HTTPS; накладные минимальны
AmneziaWG	Модифицированный WireGuard c маскировкой	Отлично держится в РФ (по нашим тестам)	Быстрый, близок к «чистому» WG
WireGuard (классический)	UDP без маскировки	Режется у ряда операторов в РФ с 2024 (по кейсам поддержки)	Максимальная скорость, если пускают

• Для Windows/Android в Tunari доступны AmneziaWG и VLESS+Reality — это протоколы с обходом DPI по продуктовым данным.
• На iOS — WireGuard. При блокировке помогает смена сервера и MTU, о чём ниже.
• Если нужен «притвориться вебом», XHTTP — рабочий кандидат для self-host/лабораторных схем.

Практика в РФ: кейсы, операторы, DPI

Тем, кто сидит на мобильном, знакомо: то работает, то нет. Мы видели сетевые качели на Билайне, МТС, Tele2 и Yota — где-то режут UDP, где-то подкарауливают рукопожатия. Мы проверили все 4 протокола на мобильном Билайне в Москве — AmneziaWG прошёл, классический WireGuard напрямую — нет. В такие моменты XHTTP через HTTP/2 по TCP даёт шанс: DPI ждёт веб, получает веб и пропускает. Ну, почти всегда.

Ещё деталь: QUIC. По данным Cloudflare Radar, доля HTTP/3/QUIC в мировом трафике удерживается на уровне около 30–40% — это делает QUIC «нормальным» в глазах сетей. С другой стороны, ряд ТСПУ уже умеют прикладывать поведенческие фильтры к QUIC-потокам, так что нужна аккуратная имитация. Я считаю, для сложных сетей логичнее стартовать с HTTP/2.

Были и совсем приземлённые больные места — MTU/MSS. У части мобильных клиентов приложения через VPN подвисали — выяснилось, на ноде не был включён MSS-clamp. Починили в проде — жалобы и таймауты исчезли, а XHTTP поверх TCP стал заметно стабильнее на длинных маршрутах.

• Если блокируют UDP — пробуем XHTTP/HTTP2 (TCP).
• Если фильтруют рукопожатие WG — XHTTP или REALITY.
• Если «хромает» QUIC — переключаемся на HTTP/2.
• Если отваливаются крупные загрузки — проверяем MTU/MSS-clamp.

Настройка и типичные ошибки

Короче, план простой: нужен домен, валидный TLS, Xray/XTLS-сервер, корректные пути/заголовки и здравый preshared-ключ/идентификатор для VLESS. На клиенте — актуальная сборка, совпадающие параметры и режим XHTTP. Звучит тривиально, но в мелочах чаще всего и «ломается».

Я недавно столкнулся с кейсом, где всё было «правильно», но SNI указывал на домен без доступной A/AAAA записи в той локации. DPI пропускал TLS, а дальше CDN перенаправлял на странную подсеть — результатом были бестолковые ретраи. Исправили SNI — и всё поехало.

Укажу шаги без лишней теории — просто чеклист. Он закрывает процентов 80 бытовых проблем, по нашим наблюдениям.

• Домен и TLS: используйте настоящий домен с валидным сертификатом (Let’s Encrypt пойдёт; выпуск за минуту, по нашим тестам). SNI должен совпадать.
• HTTP-путь и заголовки: не перегружайте. 2–3 реалистичных заголовка User-Agent/Accept-Language/Cache-Control — и хватит.
• HTTP/2 vs HTTP/3: начните с HTTP/2. QUIC включайте только если сеть дружелюбная.
• MTU/MSS: на сервере включите MSS-clamp для TCP; без него крупные пакеты режутся и начинаются таймауты. Мы ловили это на мобильных трассах — фикс помог.
• ALPN: h2 для HTTP/2 или h3 для HTTP/3. Не мешайте всё сразу.
• Порты: 443 — обычно самый «серый» канал, по IANA это HTTPS; лишних цифр не придумываем.

И ещё момент. Если SNI ведёт на высоконагруженный CDN, путь старайтесь маскировать под статику, а не под API. Поведенческие эвристики в некоторых ТСПУ могут учитывать частоту коротких запросов. Это редкость, но мы такое видели на трассах с «умными» middlebox.

Производительность и безмомент когда стоит проверить настройки XHTTP

Любая маскировка — это компромисс. XHTTP добавляет оверхед из‑за HTTP‑семантики и, в случае QUIC, из‑за слоёв шифрования и контроля потерь. С другой стороны, когда прямые протоколы душат, съесть +5–15% издержек ради стабильной сессии — нормальная цена, если по‑честному. Ускорить помогает правильный выбор транспорта и MTU.

С пересечением с реальностью: медианная задержка по РФ у нас держится на около 60 мс — это заметно, когда стримишь 4K или играешь. Аптайм за 30 дней у публичной сети Tunari — около 99.9% (по нашим внутренним метрикам). Ответ поддержки — около 15 минут в рабочие часы; на сложных тикетах дольше. Эти числа не про XHTTP как таковой, но они показывают, что инфраструктура и процессы важнее «чудо-протокола».

Про безмомент когда стоит проверить настройки. VLESS в XHTTP не шифрует полезную нагрузку сам по себе — шифрование даёт TLS (в режиме HTTP/2) или QUIC (в режиме HTTP/3). Метаданные уровня SNI/ALPN видны наблюдателю, но их можно сделать правдоподобными. На мой взгляд, XHTTP хорош против сигнатурного DPI и простой блокировки протоколов. Против целевых атак или сложных поведенческих моделей — это работает, но не всегда.

• Скорость: HTTP/2 по TCP — стабильнее на «шумных» сетях; QUIC быстрее на хороших трассах.
• Оверхед: небольшой, но есть; оптимизируйте заголовки и пакеты.
• Метаданные: SNI/ALPN правдоподобны — риск ниже.
• MTU и BBR/CUBIC: подбирайте congestion control; помогает на дальних магистралях.

Минусы и контр-аргументы

Когда VPN не нужен? Если у вас открываются нужные сервисы без туннеля и нет рисков с публичным Wi‑Fi, дополнительная маскировка может быть лишней. Это честно. XHTTP конкретно не идеальное решение, потому что зависит от аккуратного TLS‑отпечатка и может давать просадку скорости на перегруженных маршрутах. Ещё один момент самокритики: Tunari проигрывает крупным брендам по количеству стран, но выигрывает в ориентации на обход DPI в РФ — а это ключевой сценарий для части аудитории.

FAQ

Что такое VLESS XHTTP простыми словами?

Это режим VLESS, который маскирует трафик под обычный веб — HTTP/2 или HTTP/3/QUIC. DPI видит будто браузер общается с сайтом, а внутри едет ваш трафик.

Чем XHTTP отличается от VLESS+REALITY?

XHTTP имитирует веб-протоколы, а REALITY делает «правдоподобный» TLS на произвольный домен, не требуя реального бэкенда. По ощущениям, REALITY даёт меньший оверхед, XHTTP — выше совместимость с простыми фильтрами.

Работает ли XHTTP в РФ лучше, чем классический WireGuard?

Часто — да. С лета 2024 классический WG местами режется на рукопожатии (по кейсам поддержки). XHTTP выглядит «как веб» и проходит. Но, если сеть дружелюбна, чистый WG быстрее.

Это безопасно? Что видит провайдер?

Провайдер видит TLS/QUIC-сессию к домену, который вы указали в SNI. Внутренний трафик шифруется TLS/QUIC. Не палится «VPN» по явной сигнатуре, если отпечатки правдоподобны.

Когда выбрать REALITY вместо XHTTP?

Если сеть принимает современный TLS и нет смысла тащить HTTP‑семантику, REALITY даёт хороший баланс незаметности и скорости. В «тяжёлых» сетях попробуйте XHTTP/HTTP2.

Почему у меня отваливаются большие загрузки в XHTTP?

Частая причина — MTU/MSS. На сервере включите MSS‑clamp: без него крупные сегменты рубятся, и соединение срывается. Если QUIC капризничает, переключитесь на HTTP/2.

Что с Tunari: поддерживается ли XHTTP в приложениях?

В приложениях Tunari с обходом DPI сейчас доступны AmneziaWG и VLESS+Reality на Windows и Android; на iOS — WireGuard (по продуктовым данным на дату публикации). Для self‑host/лабораторных задач мы исследуем XHTTP и сравниваем с другими подходами.

---

Пара организационных моментов и ссылки, если нужно быстро начать и не тратить вечер на ручные конфиги. Сеть Tunari — на август 2026: 19 серверов в 15 странах, из них 4 в Москве. Тарифы на дату публикации: в РФ — 199 ₽/мес или 1690 ₽/год через СБП; карта — $10/мес или $48/год. В приложениях для Windows и Android доступны протоколы с обходом DPI: AmneziaWG и VLESS+Reality; на iOS — WireGuard. У нас несколько тысяч активных пользователей в РФ и медианная задержка по стране — около 60 мс. Время первого ответа поддержки — около 15 минут в среднем по нашим метрикам. Если нужна ручная помощь — напишите в /support — реагируем быстро 🙂

• /pricing — актуальные тарифы и 3 дня теста.
• /download — клиенты для Windows, Android, iOS.
• /faq — короткие ответы на частые вопросы.
• /referral — программа рекомендаций.
• /support — техподдержка.
• /features/amneziawg — почему AmneziaWG выживает там, где режут WG.
• /features/dpi-bypass — как мы проектируем обход DPI.
• /blog/protokoly-dpi-v-rossii-2024 — соседний пост с практическими срезами.
• /blog/wireguard-blocked-fix — что делать, если WG не коннектится.

Попробовать Tunari 3 дня бесплатно 🔐

Об авторе

Орест Родькин, основатель Tunari VPN. 7 лет в индустрии. Email: orest@tunarivpn.com. X: @orestrodkin