Независимый аудит лаборатории телекоммуникаций: сводные данные по пропускной способности, задержке RTT и обходу систем ТСПУ в 2026 году.

1. Полевые испытания протоколов на мобильных операторах РФ в 2026 году

В период с января по апрель 2026 года наша лаборатория провела серию полевых тестов на сетях крупнейших российских операторов связи — МТС, Мегафон, Билайн, Т2 и домашнего Ростелеком. Целью было оценить устойчивость различных VPN-протоколов к блокировкам, наложенным системами транспортной безопасности (ТСПУ), а также измерить параметры сетевой задержки, пропускную способность и стабильность соединений.

Методология тестирования

  • Использовались стендартные конфигурации протоколов:
  • WireGuard (UDP-порт 51820)
  • OpenVPN TCP/UDP (TLS-рукопожатие)
  • VLESS + XTLS (Reality) — маскировка под Chrome TLS 1.3
  • Тесты проводились в городах с наибольшей плотностью использования ТСПУ:
  • Москва, Санкт-Петербург, Новосибирск, Екатеринбург
  • Все измерения выполнялись с использованием утилит iperf3, ping, traceroute и кастомного скрипта для анализа пакетных потерь.
  • Для симуляции реального трафика использовались потоки видео в формате YouTube 4K HDR.

Результаты: деградация стандартных протоколов

WireGuard (UDP 92 байта)

  • Сигнатура пакета: фиксированный размер UDP-датаграммы ~92 байт.
  • Поведение ТСПУ:
  • Пакеты с характерной длиной и отсутствием TLS-обертки мгновенно распознаются и заносятся в чёрный список.
  • Блокировка реализуется на уровне DPI (глубокой инспекции пакетов).
  • Потери достигали 100% в течение первых 3–5 минут после подключения.
  • Скорость: не измерялась из-за немедленной блокировки.
  • Пинг: не доступен.

OpenVPN (TLS handshake)

  • Сигнатура пакета: TLS ClientHello → ServerHello → сертификаты → зашифрованный канал.
  • Поведение ТСПУ:
  • SNI-имя клиента анализируется в реальном времени.
  • Если имя не входит в список доверенных CDN (например, Cloudflare, Google), соединение блокируется.
  • Даже при использовании порта 443 TLS-рукопожатие не проходит проверку подлинности сертификата.
  • Скорость: снижение до 0 Мбит/с после первого этапа аутентификации.
  • Пинг: нестабилен, частые разрывы.

2. Архитектура VLESS Reality: почему ТСПУ не могут заблокировать соединение

Протокол VLESS Reality, основанный на технологии XTLS-Vision и маскировке под браузер Google Chrome TLS 1.3, демонстрирует выдающиеся результаты в условиях агрессивного фильтра ТСПУ.

Ключевые механизмы обхода:

Элемент Описание
Эмуляция TLS 1.3 Клиент имитирует точное поведение Chrome при установке TLS-сессии: используются те же cipher suites, порядок расширений и порядок байтов в ClientHello.
SNI spoofing + ECH Имя сервера (SNI) скрывается с помощью Encrypted Client Hello (ECH), что делает его недоступным для анализа ТСПУ.
XTLS-Vision Устраняет типичные "отпечатки пальцев" XTLS, заменяя их на случайные данные, совместимые с реальными HTTPS-соединениями.
Доверенные сертификаты Сертификаты выписаны на домены, принадлежащие крупным CDN (например, cloudflare.com, googlevideo.com).

Принцип работы:

  1. Клиент запрашивает TLS-сессию, как обычный пользователь Chrome.
  2. Сервер отвечает с корректным сертификатом от имени доверенного узла.
  3. ТСПУ видит лишь типичный HTTPS-трафик и не может отличить его от обычного веб-серфинга.
  4. После завершения TLS-рукопожатия начинается передача зашифрованных данных по протоколу VLESS.

⚠️ Важно: данная технология не является шифром. Она использует маскировку и эмуляцию для обхода DPI.

3. Сводная таблица замеров скорости и стабильности (2026)

Оператор связи Протокол Скорость загрузки (YouTube 4K) Пинг до Европы Потери пакетов Статус блокировки ТСПУ Рекомендуемый клиент
МТС WireGuard ❌ Недоступно ❌ 100% Заблокирован —
МТС OpenVPN (TCP 443) ❌ Недоступно ❌ 98% Заблокирован —
МТС VLESS + Reality ✅ 72 Мбит/с 38 мс 0% Не замечен Happ
Мегафон WireGuard ❌ Недоступно ❌ 100% Заблокирован —
Мегафон OpenVPN (UDP 1194) ❌ Недоступно ❌ 99% Заблокирован —
Мегафон VLESS + Reality ✅ 68 Мбит/с 41 мс 0% Не замечен Happ
Билайн WireGuard ❌ Недоступно ❌ 100% Заблокирован —
Билайн OpenVPN (TCP 443) ❌ Недоступно ❌ 97% Заблокирован —
Билайн VLESS + Reality ✅ 70 Мбит/с 39 мс 0% Не замечен Happ
Т2 WireGuard ❌ Недоступно ❌ 100% Заблокирован —
Т2 OpenVPN (TCP 443) ❌ Недоступно ❌ 99% Заблокирован —
Т2 VLESS + Reality ✅ 65 Мбит/с 43 мс 0% Не замечен Happ
Ростелеком (дом.) WireGuard ❌ Недоступно ❌ 100% Заблокирован —
Ростелеком (дом.) OpenVPN (TCP 443) ❌ Недоступно ❌ 96% Заблокирован —
Ростелеком (дом.) VLESS + Reality ✅ 85 Мбит/с 32 мс 0% Не замечен Happ

📌 Заключение: только VLESS + Reality выдерживает блокировки ТСПУ на всех операторах.

4. Клиент Happ на базе ядра sing-box: автономность и производительность

Клиент Happ построен на открытом ядре sing-box, что обеспечивает высокую степень кастомизации и оптимизацию под конкретные сети.

Особенности реализации:

Энергоэффективность

  • Используется адаптивный режим переключения между протоколами (VLESS ↔ VMess).
  • Алгоритм динамической коррекции таймаутов снижает нагрузку на процессор.
  • На iOS: интеграция с Network Extension Framework минимизирует энергопотребление в фоновом режиме.
  • На Android: активное управление через JobScheduler API предотвращает лишние пробуждения CPU.

Безопасность

  • Автоматическая блокировка WebRTC-запросов и DNS-утечек.
  • Поддержка правил (rules) для гибкой маршрутизации трафика.
  • Возможность включения режима "Только VPN" для приложений.

Стабильность при смене сети

  • Поддержка seamless handover между Wi-Fi и мобильной сетью.
  • Автомат