reality и tls: шифрование верхнего уровня
Параметр security отвечает на вопрос, во что завёрнуто соединение снаружи. Вариантов по сути три, и различить их нетрудно.
Нужна не строка, а рабочий список серверов? Одна ссылка-подписка обновляет его сама: 200 ₽ за месяц, 1 800 ₽ за год на 3 устройства. Первые 3 дня — без карты.
Посмотреть →security=none — обёртки нет. security=tls — соединение выглядит как обычный поход на защищённый сайт, у сервера для этого есть свой домен и сертификат. security=reality — то же самое, но сервер при приветствии представляется именем чужого известного сайта.
tls: обычная защита, та же, что у сайтов
Тот самый замок в адресной строке браузера. Сервер предъявляет сертификат, устройство его проверяет, дальше данные идут закрытыми. Для строки это означает два параметра: security=tls и sni с доменом сервера. Требование к серверу — иметь настоящее доменное имя и действующий сертификат.
vless://a1b2c3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d@node7.example-host.net:443?security=tls&sni=node7.example-host.net&type=ws&path=%2Fray#Амстердам-01sni совпадает с адресом — обычная картина для tls.
reality: приветствие от чужого имени
Здесь начинается самое непривычное. При reality сервер в момент приветствия называется именем какого-нибудь крупного известного сайта — и предъявляет его настоящий сертификат, полученный у самого этого сайта в реальном времени. Собственный домен серверу при этом не нужен вовсе, достаточно числового адреса.
vless://a1b2c3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d@203.0.113.45:443?security=reality&sni=www.example.org&fp=chrome&pbk=9Kd1sVxQ2mB7&sid=7ab3&type=tcp#Франкфурт-03Адрес числовой, а sni — чужой домен. Это не ошибка и не подмена вашей строки: так reality и устроен.
Что такое pbk, sid и fp
| Параметр | Что это | Что будет, если потерять |
|---|---|---|
pbk | Открытый ключ сервера — по нему устройство узнаёт «своего» | Приветствие не проходит, соединения нет |
sid | Короткий идентификатор ключа, обычно 2-8 символов | Сервер не понимает, какой ключ имеется в виду |
fp | Каким браузером притворяться при приветствии | Может работать, но менее стабильно |
spx | Путь для перенаправления неудачных подключений | Ни на что не влияет у клиента |
Эти значения длинные и стоят в самом хвосте строки — поэтому именно они чаще всего теряются при копировании: параметры. Если строка с reality не подключается, начните с того, чтобы взять её заново целиком.
Что выбрать, если есть обе строки
Попробуйте обе и оставьте ту, что стабильнее у вашего оператора. Общее правило: reality обычно устойчивее в сетях с жёстким разбором трафика, tls — проще и предсказуемее. На скорость ни то ни другое существенно не влияет: работает, но медленно.
Проверьте, в строке дело или в приложении
Разбор показывает, что со строкой всё в порядке, а подключения всё равно нет? Значит, вопрос не к синтаксису, а к серверу за адресом. Самый быстрый способ это увидеть — положить рядом ссылку, за которой точно есть живые серверы, и переключиться на неё. Пробные 3 дня выдаются без платёжных данных.
- карта не нужна
- ссылка приходит сразу
- 3 устройства
reality работает с vmess или trojan?
Нет, только с vless. Это одна из причин, по которой vless вытеснил остальные: про vless.
Настоящий сайт, чьим именем представляется сервер, об этом знает?
Нет, и ничего плохого с ним не происходит: сервер лишь использует его публичный сертификат при приветствии.
Что означает security=none?
Что внешнего слоя защиты нет. Для vless это плохо: данные идут без оболочки. Для vmess и shadowsocks терпимо — у них своё шифрование.
Почему появляется ошибка сертификата?
Чаще всего из-за неверной даты на устройстве — проверка подлинности опирается на время: подключилось, но интернета нет.
Когда разбор закончен, остаётся вопрос, на который страница ответить не может: жив ли сервер за вашей строкой. Быстрее всего это проверяется подстановкой — возьмите ссылку, за которой стоит обслуживаемый список серверов, и положите её в то же приложение рядом со своей. Заработало — дело было в строке. Первые 3 дня выдаются без платёжных данных, дальше 200 ₽ за месяц или 1 800 ₽ за год — это 4,9 ₽ в день на 3 устройства, разовым платежом и без автосписаний.
Получить ссылку →