Шифрование в VLESS: чем на самом деле закрыт трафик

Короткий ответ

Самый частый испуг звучит так: «пишут, что VLESS ничего не шифрует, — значит, мой трафик идёт открытым». Открытым он не идёт, и вот почему.

• Своё шифрование у протокола есть. В его описании под это отведено отдельное поле, и пустым его оставлять нельзя: чтобы шифрования не было, туда пишут прямое слово «нет».
• Обычно там и стоит это «нет». Именно поэтому про VLESS так часто пишут, будто механизма у него не существует вовсе. Существует — просто выключен.
• Тогда закрывает внешний слой. Это либо обычный защищённый слой, каким закрыты сайты, либо режим Reality — что это и чем отличается.
• Без слоя разработчики работать не велят. В их же описании требование прямое, и снимается оно только для двух особых случаев — оба к обычному читателю отношения не имеют.
• Оценивать надо связку целиком. Вопрос «насколько защищён VLESS» без указания слоя рядом ответа не имеет.

Своё шифрование у протокола есть — просто выключено

Это самая распространённая ошибка в текстах про VLESS, и мы её тоже раньше повторяли.

В описании протокола у его создателей есть поле, отвечающее ровно за собственное шифрование.

Оставить его пустым нельзя: там должно стоять либо настроенное шифрование, либо явное слово об отказе от него.

Разница между «механизма нет» и «механизм выключен вручную» кажется придиркой. Ровно до того, как спросишь: а что будет, если его включить.

Что там появилось за последнее время

У ядра появилось собственное шифрование VLESS с современным обменом ключами — рассчитанным выдержать и вычисления будущего поколения.

Настраивают его на сервере, а не в приложении: оно приходит к вам уже решённым.

Читателю из этого важно одно: фраза «протокол не умеет шифровать» неверна.

Верная фраза — «в вашей строке эта его способность, скорее всего, не задействована, и работает внешний слой».

Когда внешний слой всё-таки не обязателен

Создатели ядра называют два случая, и оба узкие.

Первый: соединение идёт внутри доверенной домашней или служебной сети, где посторонних на пути нет.

Второй: включено то самое собственное шифрование протокола.

Во всех остальных случаях требование однозначное: внешний слой обязан быть.

Поэтому «строка без защитного слоя» — не изящная находка, а либо особая внутренняя схема, либо чья-то небрежность.

Что стоит в поле security

Имя того самого внешнего слоя. Это и есть ответ на вопрос «чем закрыто».

Значение назначает сервер, и оно должно совпадать с его настройкой.

Поменять слово в строке и получить другую защиту нельзя: сервер ждёт ровно того разговора, на который настроен.

Не путайте его с полем про своё шифрование

Это два разных поля, и стоят они рядом. Первое отвечает за внешний слой, второе — за собственное шифрование самого протокола.

Слово «нет» во втором из них видят чаще всего, и именно оно породило легенду, будто шифровать протокол не умеет вовсе.

Тревожно не второе поле, а первое: если слоя нет и там, содержимое действительно ничем не закрыто.

А если написано, что слоя нет

Такое сочетание встречается в запросах чаще, чем в жизни.

В рабочих связках голый вариант практически не используют: закрывать содержимое всё равно чем-то надо, и создатели ядра прямо этого требуют.

Если такая строка попала к вам из открытого списка, это лишний повод не подключаться к ней вовсе.

Почему слой иногда стоит не на сервере

Так тоже делают: защищённое соединение обрывается раньше, на стороне сети доставки содержимого, а дальше до сервера идёт своя связка.

Мы описываем здесь только сам принцип.

Как ведёт себя приложение в такой схеме, не описано ни у разработчика, ни в открытых источниках. Придумывать не будем.

Главный вопрос вообще не про шифрование

Туннель — это труба, а не защитный купол. Данные обязательно распаковываются на выходе, иначе они никуда не дойдут.

Значит, вопрос не «какой шифр внутри», а «чья это точка выхода». Ответа на него в строке подключения нет — там только адрес.

• Туннель не делает анонимным и не отменяет ваши учётные записи: после входа в почту адрес уже ничего не решает.
• Туннель не защищает от вредных файлов — заражённый файл придёт по нему так же, как без него.
• Обещание «мы ничего не видим» проверить нельзя. Это единственный риск, который не закрывается настройками, — и он же главный довод в пользу того, чтобы знать, чей сервер вы используете.