AmneziaWG

AmneziaWG сделан в 2023 году командой Amnezia — проекта, который занимается доступными средствами обхода блокировок. Задачу поставили узко: не изобретать новый протокол, а починить у существующего единственное, что мешает им пользоваться.

WireGuard выбрали не случайно. Он быстрее остальных и меньше расходует батарею, у него проверяемо небольшой объём кода, и переписывать всё это ради маскировки было бы расточительно. Достаточно оказалось изменить начало разговора — ту часть, по которой его узнают, — не трогая ни шифрование, ни схему ключей.

Плата за такое решение видна сразу: обычные клиенты WireGuard изменённое начало не понимают, и нужен свой. Зато всё остальное остаётся тем же самым, включая поведение при смене сети и скорость.

Исходный WireGuard создавался как быстрый и простой способ соединить свои устройства, а не как способ спрятаться. Его авторы сознательно не добавляли маскировку: она усложняет код, который должен быть проверяемым. Для домашней сети это правильное решение, для сети, где смотрят на каждый пакет, — приговор.

AmneziaWG добавляет в начало соединения случайные байты и меняет длину служебных пакетов, чтобы у них не осталось постоянного отпечатка. Дальше идёт тот же самый WireGuard: то же шифрование, та же схема ключей, та же скорость.

У маскировки есть граница. Прячется начало разговора, а не сам факт, что через ваш адрес идёт много трафика по UDP. От анализа отпечатка это защищает, от анализа поведения — нет. Для большинства систем фильтрации первого достаточно, потому что второе дорого считать.

В первой версии маскировка устроена из трёх приёмов. Перед рукопожатием клиент отправляет несколько пакетов со случайным содержимым (параметры Jc, Jmin, Jmax). К двум служебным пакетам рукопожатия добавляются случайные байты (S1, S2). Постоянные метки типов сообщений WireGuard заменены своими числами (H1–H4).

Версия 1.5 добавила пакеты-сигнатуры I1–I5: перед рукопожатием они повторяют начало других UDP-протоколов, например QUIC или DNS. Версия 2.0 распространила маскировку на всё соединение: случайные байты получили ещё и пакеты cookie и каждый пакет с данными (S3, S4), а метки H1–H4 задаются диапазонами и меняются от пакета к пакету. Конфигурации 2.0 с первой версией несовместимы.

Версия 3.1 меняет размеры пакетов, их порядок и интервалы между ними, а также часть служебных полей протокола. Задача — затруднить статистический анализ соединения, а не только узнавание по первому пакету.

toNet ставит AmneziaWG из официального репозитория проекта и настраивает параметрами первой версии: Jc, Jmin, Jmax, S1, S2 и постоянные H1–H4, подобранные случайно для каждого сервера. Параметры 2.0 и новее мы пока не включаем: они требуют свежего клиента на каждом устройстве, а конфигурацию первой версии понимают и старые, и новые клиенты.

Скорость — как у WireGuard, а он быстрее остальных протоколов на сервере. Шифрование подобрано так, чтобы как можно дольше не упираться в процессор.

Бережёт батарею. Соединение не поддерживается постоянным потоком служебных пакетов, телефон спокойно засыпает, и туннель это переживает. По времени работы от заряда разница с протоколами, живущими в приложении, ощутима.

Спокойно переживает смену сети. Соединение не привязано к адресу устройства: перешли с Wi-Fi на мобильный — туннель работает дальше, без переподключения.

Один клиент на все платформы, официальный и бесплатный, с одинаковым интерфейсом везде. Это редкость: у большинства способов подключения на каждой системе своё приложение со своими странностями.

Это по-прежнему UDP, и сети, где UDP закрыт, отсекают его вместе со всем остальным. На рабочем или гостиничном Wi-Fi это обычное дело, и там придётся переключиться на протокол поверх TCP.

Маскировка защищает от узнавания по отпечатку, но не делает трафик похожим на веб. Reality выглядит как заход на настоящий сайт, а AmneziaWG выглядит как неопознанный поток. Там, где фильтрация пропускает только опознанное и знакомое, этого не хватит.

Настройка приходит отдельным файлом, а не общей ссылкой со всеми способами подключения сразу. Разница небольшая, но переключиться на другой протокол в одно нажатие уже не получится: нужно открывать другое приложение.

Клиент нужен именно от Amnezia — обычные приложения WireGuard такое соединение не поднимут. Если вы привыкли к штатному клиенту, придётся ставить второй.

Берите, если важна скорость и время работы от батареи, а фильтрация в вашей сети умеренная: адреса и порты смотрит, отпечатки разбирает, но незнакомое не режет подряд.

Хороший вариант для роутера и для устройств, которые держат соединение постоянно: там экономичность важнее, чем умение притворяться веб-трафиком.

Если и он не проходит, дело не в отпечатке, а в отношении сети к UDP или к неопознанным потокам. Тогда берите Reality или другой протокол поверх TCP.

Обычный WireGuard стоит оставить для случаев, когда прятаться не от кого: он проще и работает со штатным клиентом.

От WireGuard AmneziaWG отличается только маскировкой рукопожатия: шифрование, ключи и скорость те же. Если WireGuard в вашей сети работает, разницы нет. Если соединение рвётся сразу после подключения, AmneziaWG обычно проходит.

VLESS + Reality и Hysteria2 решают задачу иначе: первый выглядит как HTTPS к известному сайту, второй — как HTTP/3. AmneziaWG быстрее обоих и экономнее к батарее, но выглядит как неопознанный UDP-поток и не пройдёт там, где UDP закрыт.

• AmneziaWG

  Транспорт

  UDP

  Как выглядит в сети

  неопознанный UDP-поток

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  очень высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

• WireGuard

  Транспорт

  UDP

  Как выглядит в сети

  узнаваемый WireGuard

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  самая высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

• VLESS + Reality

  Транспорт

  TCP

  Как выглядит в сети

  HTTPS к известному сайту

  Сертификат

  не нужен

  Если UDP закрыт

  проходит

  Скорость

  высокая

  Батарея

  средний расход

  Мобильная сеть

  средне

• Hysteria2

  Транспорт

  UDP

  Как выглядит в сети

  QUIC, как HTTP/3

  Сертификат

  выпускается сам

  Если UDP закрыт

  не проходит

  Скорость

  средняя, держится при потерях

  Батарея

  выше среднего

  Мобильная сеть

  лучше всех

Скорость и расход батареи — сравнительные оценки, а не замеры. Свой домен не нужен ни одному протоколу: где нужен сертификат, он выпускается на служебное имя сервера автоматически.

Подробнее: VLESS Reality vs Hysteria2 vs AmneziaWG, WireGuard vs AmneziaWG. Все протоколы в одной таблице — на странице о протоколах.

Приложения бесплатные, ссылки ведут в официальные магазины и на страницы релизов разработчиков.

• Android: AmneziaVPN
• iPhone и iPad: AmneziaVPN
• Windows: AmneziaVPN
• macOS: AmneziaVPN
• Linux: AmneziaVPN

Как добавить: скачайте файл awg0.conf в личном кабинете и импортируйте его в приложении («+» → «Импорт из файла»), на телефоне можно отсканировать QR-код.

Сертификат этому протоколу не нужен, поэтому нечему и истекать: одной причиной для внезапной поломки меньше.

Пошаговые инструкции по платформам: Android, iPhone и iPad, Windows, macOS, Linux; все вместе — в разделе инструкций.

Протокол прячет содержимое соединения от сети по дороге, но не делает вас анонимным: сайты по-прежнему узнают вас по учётным записям и cookie, хостинг видит трафик своего сервера, а объём и время соединений скрыть нельзя. Что при этом видит сам сервис, разобрано в разделе о безопасности.

Выбирать один протокол не нужно: на сервере поднимаются все сразу, каждый на своём порту, и переключение занимает пару нажатий. Разбор остальных — на странице о протоколах.