VPN
Virtual Private Network — технология, создающая зашифрованное соединение (туннель) между вашим устройством и интернетом, скрывая ваш IP-адрес и защищая данные.
PPTP
Point-to-Point Tunneling Protocol — первый массовый VPN-протокол, разработанный Microsoft в 1996 году. Сегодня считается устаревшим и небезопасным.
L2TP
Layer 2 Tunneling Protocol — протокол туннелирования, созданный на основе PPTP и L2F. Обычно используется вместе с IPSec для обеспечения шифрования.
IPSec
Internet Protocol Security — набор протоколов для обеспечения безопасности передачи данных в IP-сетях. Обеспечивает шифрование, аутентификацию и целостность. Включает в себя протоколы AH для аутентификации, ESP для шифрования и IKE для обмена ключами.
MS-CHAP
Microsoft Challenge Handshake Authentication Protocol — протокол аутентификации, созданный Microsoft для Windows-сетей. Версия v2 взломана и не рекомендуется к использованию.
WireGuard
Современный VPN-протокол, отличающийся высокой скоростью, простотой и надёжной криптографией. Считается одним из лучших решений для VPN.
OpenVPN
Популярный открытый VPN-протокол, использующий современную криптографию. Гибкий, безопасный и широко поддерживаемый.
GRE
Generic Routing Encapsulation — протокол инкапсуляции, используемый в PPTP для передачи данных через туннель. Работает поверх IP (протокол 47).
MPPE
Microsoft Point-to-Point Encryption — протокол шифрования, используемый в PPTP. Основан на устаревшем алгоритме RC4 и считается небезопасным.
IKE
Internet Key Exchange — протокол обмена ключами. Это «переговорщик» в IPsec, который автоматически договаривается между вашим устройством и сервером о том, каким алгоритмом шифровать данные и какие ключи использовать. Без IKE шифрование не начнется.
ESP
Encapsulating Security Payload — основной «рабочий» протокол в составе IPsec. Он берет ваши данные, полностью их шифрует (скрывает содержимое) и гарантирует, что никто по пути не сможет их прочитать. В аналогии из жизни — это бронированный сейф для письма.
AH
Authentication Header — протокол аутентификации в IPsec. Он не шифрует сами данные, а ставит на них «сургучную печать». С помощью AH получатель проверяет, что данные пришли именно от вас и что их содержимое не подменили в пути.
Туннельный режим
Режим работы IPsec, используемый в VPN. Он «упаковывает» весь исходный IP-пакет (вместе с адресом отправителя и получателя) в новый защищенный пакет, который идет через VPN-сервер. Благодаря этому скрываются реальные IP-адреса и маршрут трафика.
IKEv2
Internet Key Exchange version 2 — усовершенствованная версия протокола обмена ключами. Работает быстрее и стабильнее, умеет переживать смену сети (например, переключение с Wi-Fi на мобильный интернет) без разрыва туннеля. Практически всегда используется в паре с IPsec.
ChaCha20
Современный алгоритм шифрования, который используется в протоколе WireGuard. Отличается молниеносной скоростью даже на слабых устройствах (смартфонах, старых роутерах) и высокой криптостойкостью. Считается более быстрой заменой устаревающему алгоритму AES.
Kill Switch
«Аварийный выключатель». Важная функция безопасности, которая мгновенно блокирует доступ в интернет, если VPN-соединение внезапно обрывается. Это гарантирует, что ваш реальный IP-адрес не «утечет» в сеть в самый неподходящий момент.
Split Tunneling
«Раздельное туннелирование». Позволяет отправлять через VPN только часть трафика (например, заблокированные сайты или рабочие сервисы), а остальной трафик (игры, онлайн-кинотеатры) пускать напрямую через обычное подключение. Это экономит скорость и трафик.
Obfuscation
«Маскировка» трафика. Технология, которая прячет VPN-соединение под видом обычного защищенного HTTPS-трафика. Обфускация необходима для обхода DPI-фильтров провайдеров. Именно благодаря ей OpenVPN и AmneziaWG работают там, где обычные VPN жестко блокируются.
DPI
Deep Packet Inspection — «глубокая проверка пакетов». Технология, которую используют интернет-провайдеры для анализа содержимого трафика. DPI позволяет распознавать VPN-протоколы по их характерным признакам и блокировать их. Именно поэтому современным протоколам требуются методы маскировки (обфускации).
MOBIKE
IKEv2 Mobility and Multihoming — расширение протокола IKEv2 (используется в паре с IPsec). Позволяет туннелю автоматически переживать смену IP-адреса без разрыва соединения. Если вы едете в метро и ваше устройство переключается между Wi-Fi и мобильным интернетом, MOBIKE сохраняет VPN-подключение активным.
AmneziaWG
Модифицированная версия протокола WireGuard с усиленной маскировкой. В отличие от классического WireGuard, который легко вычисляется DPI-фильтрами, AmneziaWG маскирует свой трафик под обычный HTTPS. Это позволяет сохранять высокую скорость WireGuard и одновременно обходить жесткие блокировки провайдеров.
TCP Meltdown
«Расплавление TCP» — техническая проблема, которая возникает, когда VPN работает поверх протокола TCP (например, OpenVPN по порту 443). Происходит «вложение» TCP в TCP: протокол теряет контроль над пересылкой и начинает сильно замедляться (иногда скорость падает в 10 раз), особенно на больших расстояниях.
TUN/TAP
Виртуальные сетевые адаптеры, которые создает VPN-программа. TUN работает на сетевом уровне (уровень 3), обрабатывая IP-пакеты, а TAP — на канальном уровне (уровень 2), имитируя целую сетевую карту. Именно через TUN/TAP протоколы вроде OpenVPN и WireGuard передают зашифрованные данные операционной системе.
Trojan
Протокол туннелирования, который имитирует обычный HTTPS-трафик. Он маскирует свой заголовок под запрос к реальному сайту, поэтому для DPI-фильтров это выглядит как обычный веб-трафик. Использует обязательный TLS для шифрования и часто применяется для обхода строгих блокировок.
VLESS
Облегченная версия протокола VMess с отсутствием собственного шифрования. Он полагается на внешний слой безопасности (TLS или Reality), что дает ему максимальную производительность. Благодаря своей гибкости, VLESS в связке с Reality является одним из самых устойчивых к DPI-фильтрам решений.
VMess
Оригинальный протокол проекта V2Ray с собственной системой аутентификации и «маскировки». В отличие от VLESS, он сам шифрует данные, что делает его более тяжелым для процессора, но обеспечивает надежность в базовых сценариях без настройки дополнительных слоев безопасности.
Noise Protocol Framework
Современная криптографическая база, используемая в WireGuard. Вместо набора отдельных протоколов для обмена ключами, аутентификации и шифрования (как в IPsec), Noise объединяет их в один эффективный паттерн (Noise_IKpsk2). Это позволяет устанавливать VPN-соединение всего за один круговой цикл (1 RTT), обеспечивая мгновенное подключение даже при смене сети.
Cryptokey Routing
Модель маршрутизации, уникальная для протокола WireGuard. Вместо сложных таблиц маршрутов и правил файрвола, WireGuard просто сопоставляет публичные ключи с IP-адресами (параметр AllowedIPs). Если пакет пришел от авторизованного ключа и подходит под разрешенный диапазон — он принимается. Это радикально упрощает конфигурацию и снижает нагрузку на процессор.
Kernel Space vs Userspace
Ключевое архитектурное различие между VPN-протоколами. WireGuard работает в пространстве ядра (Kernel Space), обрабатывая пакеты напрямую в сетевом стеке без лишних копирований. Это обеспечивает максимальную скорость. OpenVPN работает в пользовательском пространстве (Userspace), что приводит к постоянным контекстным переключениям и создает «бутылочное горлышко» на слабых устройствах.
ChaCha20
Современный алгоритм симметричного шифрования, используемый в WireGuard. В отличие от AES, он основан на простых операциях сложения, циклического сдвига и XOR (ARX), что позволяет ему работать одинаково быстро на любых устройствах и быть устойчивым к атакам по времени (side-channel attacks). Обычно используется в паре с Poly1305.
Curve25519
Криптографический алгоритм на основе эллиптических кривых (ECC) для безопасного обмена ключами. Используется в WireGuard вместо громоздкого RSA. Ключ длиной всего 256 бит обеспечивает безопасность, эквивалентную 3072-битному ключу RSA, а вычисления происходят в разы быстрее.
AEAD
Authenticated Encryption with Associated Data — режим шифрования, который одновременно обеспечивает конфиденциальность (шифрование) и целостность (проверку подлинности) данных. В WireGuard эту роль выполняет связка ChaCha20-Poly1305. Если злоумышленник попытается изменить хоть один бит в пакете, получатель мгновенно это обнаружит и отбросит пакет.
Poly1305
Алгоритм аутентификации сообщений (MAC), который вычисляет короткую цифровую подпись (тег) для зашифрованных данных. В связке с ChaCha20 он гарантирует, что пакет не был подменён в пути. Работает невероятно быстро и требует минимальных вычислительных ресурсов.
Side-channel attack
«Атака по сторонним каналам» — метод взлома, при котором злоумышленник анализирует не сам алгоритм, а его физические проявления: время выполнения операций, потребление энергии, электромагнитное излучение или поведение кэша процессора. Алгоритмы, такие как ChaCha20 и Curve25519, специально спроектированы так, чтобы выполняться за константное время, делая подобные атаки бесполезными.
wg genkey / wg pubkey
Команды для генерации криптографических ключей WireGuard. wg genkey создаёт приватный ключ, а wg pubkey — публичный. Эти ключи используются для аутентификации сервера и клиентов. Приватный ключ никогда не должен покидать сервер. Подробнее в инструкции по установке.
MASQUERADE (NAT)
Правило iptables, которое превращает ваш VPS в шлюз. Оно заменяет внутренние IP-адреса клиентов VPN (например, 10.8.0.2) на IP-адрес самого сервера, когда они выходят в интернет. Без этого правила клиенты не смогут открывать сайты через туннель.
wg-quick
Утилита для быстрого запуска и остановки интерфейса WireGuard. Она читает файл конфигурации (например, wg0.conf), настраивает IP-адрес, маршруты и правила файрвола. Запускается как системная служба через команду systemctl start wg-quick@wg0. Как настроить автозапуск.
AllowedIPs
Ключевая настройка в конфигурации WireGuard, определяющая, какие IP-адреса могут передаваться через туннель. На клиенте AllowedIPs = 0.0.0.0/0 означает Full Tunnel (весь трафик идёт через VPN). На сервере для каждого клиента указывается его уникальный IP, например 10.8.0.2/32.
Handshake
Процесс установки безопасного соединения между клиентом и сервером. В WireGuard он происходит мгновенно. Проверить статус можно командой wg show. Если напротив клиента написано «latest handshake» — соединение активно. Если его нет — проверьте открытые порты и ключи. Диагностика соединения.
Full Tunnel vs Split Tunnel
Режимы маршрутизации трафика. Full Tunnel отправляет весь трафик устройства через VPN (максимальная конфиденциальность). Split Tunnel отправляет только трафик определённых сайтов или подсетей, оставляя остальное напрямую через обычное соединение (экономит скорость).
Peer
Узел (партнер) в сети WireGuard. Каждое устройство считается пиром: сервер видит клиентов как пиров, а клиент видит сервер как пира. В конфигурационном файле [Peer] описывает, кому разрешено подключаться и какие IP-адреса он может использовать. Как настроить своих пиров.
Kill Switch
Функция безопасности в VPN-клиентах (например, в приложениях для Windows, Android или iOS). Если VPN-соединение внезапно оборвется, Kill Switch мгновенно блокирует весь доступ к интернету, чтобы ваш реальный IP-адрес и трафик не "утекли" через обычное подключение провайдера.
MTU
Maximum Transmission Unit (Максимальный размер пакета). Ограничение на размер передаваемого пакета данных. Обязательная шифровка WireGuard добавляет "лишние" байты, поэтому стандартный MTU обычно снижают до 1420 байт (команда MTU = 1420). Это предотвращает фрагментацию пакетов и обеспечивает максимальную скорость соединения без потерь.
Брандмауэр (Firewall)
Программный или аппаратный барьер, фильтрующий входящий и исходящий сетевой трафик по заданным правилам. Защищает сервер или компьютер от несанкционированного доступа.
UFW (Uncomplicated Firewall)
Простой брандмауэр для Linux, «обёртка» над iptables. Позволяет управлять сетевыми правилами с помощью простых команд, например: sudo ufw allow 22.
MTU (Maximum Transmission Unit)
Максимальный размер пакета данных, передаваемого через сетевое соединение. Неправильный MTU может вызывать обрывы соединения. Для WireGuard рекомендуется 1420 байт.
Kill Switch
Функция безопасности, блокирующая интернет при обрыве VPN-соединения. Предотвращает утечку реального IP-адреса и данных в незащищённую сеть.
OpenVPN
Популярный протокол VPN с открытым исходным кодом. Использует AES-256, работает через UDP или TCP. Часто применяется в корпоративных сетях и для обхода блокировок.
IKEv2 (Internet Key Exchange version 2)
Протокол VPN от Microsoft и Cisco. Отличается высокой стабильностью и быстрым переподключением при смене сети. Идеален для мобильных устройств.
DNS (Domain Name System)
«Телефонная книга» интернета — преобразует доменные имена в IP-адреса. При использовании VPN важно, чтобы DNS-запросы тоже проходили через защищённый туннель.
AmneziaWG
Форк WireGuard для обхода DPI. Маскирует VPN-трафик под обычный HTTPS, что позволяет использовать VPN даже в странах с жёсткой цензурой.
MPPE (Microsoft Point-to-Point Encryption)
Устаревший протокол шифрования на базе RC4, использовавшийся в PPTP. Сегодня считается небезопасным и не рекомендуется к использованию.
PAP (Password Authentication Protocol)
Простейший протокол аутентификации, передающий пароль в открытом виде. Крайне небезопасен и практически не используется в современных системах.
CHAP (Challenge Handshake Authentication Protocol)
Протокол аутентификации, использующий хеширование для проверки подлинности без передачи пароля по сети. Более безопасен, чем PAP, но уступает современным методам.
Hiddify
Универсальный VPN-клиент с открытым исходным кодом для Android и iOS. Поддерживает VLESS Reality, Hysteria 2, AmneziaWG, WireGuard и другие протоколы. Позволяет импортировать подписки по ссылке или QR-коду.
V2RayNG
Популярный VPN-клиент для Android, разработанный для работы с протоколами VLESS и VMess. Поддерживает импорт конфигураций из подписок, QR-кодов и файлов. Часто используется для обхода блокировок.
Streisand
Бесплатный VPN-клиент для iOS, поддерживающий VLESS, Trojan, WireGuard и другие протоколы. Позволяет импортировать подписки по ссылке или QR-коду. Простая и интуитивно понятная альтернатива Hiddify.
V2Box
Клиент для iOS, работающий с протоколами VLESS, VMess и другими. Позволяет импортировать конфигурации из подписок, QR-кодов и буфера обмена. Отличается простым интерфейсом и стабильной работой.
VLESS
Современный транспортный протокол, улучшенная версия VMess. Отличается меньшим размером заголовка, лучшей производительностью и эффективным обходом DPI. Широко используется в клиентах V2Ray и Hiddify.
Hysteria 2
Современный протокол для обхода блокировок на основе QUIC. Обеспечивает высокую скорость и устойчивость к DPI даже в условиях жёсткой цензуры. Часто используется в Hiddify и других продвинутых клиентах.
Split Tunneling (Раздельное туннелирование)
Функция VPN-клиента, позволяющая выбрать, какой трафик направлять через VPN, а какой — напрямую в интернет. Полезна для банковских приложений, которые могут блокировать подключения из-за смены IP-адреса.
Keenetic
Популярный бренд роутеров с собственной прошивкой KeeneticOS. Отличается простым веб-интерфейсом и поддержкой всех основных VPN-протоколов (WireGuard, OpenVPN, L2TP, PPTP). Идеален для домашнего использования.
OpenWrt
Операционная система с открытым исходным кодом для роутеров. Предоставляет максимальную гибкость и контроль: можно установить любые VPN-протоколы, настроить сложную маршрутизацию и управлять через командную строку. Требует технических знаний.
VLESS+Reality
Современный транспортный протокол, маскирующий VPN-трафик под обычный TLS-трафик (HTTPS). Эффективно обходит DPI и не требует указания цели (не нужно писать адрес сайта, который маскируется). Часто используется в клиентах Xray и Hiddify.
Hysteria 2
Современный протокол для обхода DPI, основанный на QUIC. Обеспечивает высокую скорость и устойчивость к блокировкам даже в условиях жёсткой цензуры. Работает поверх UDP и маскирует VPN-трафик.
Policy-Based Routing (PBR)
Функция маршрутизации, позволяющая направлять трафик по разным маршрутам в зависимости от источника (IP-адрес, устройство) или назначения (сайт, порт). Например, можно направить YouTube через VPN, а банковские приложения — напрямую.
Entware
Менеджер пакетов для встраиваемых систем (маршрутизаторов). Позволяет устанавливать дополнительные программы и компоненты на роутеры Keenetic, расширяя их функциональность (например, Xray-клиент для VLESS+Reality).
PassWall
Пакет для OpenWrt, предоставляющий удобный веб-интерфейс для управления VPN-подключениями и сложными правилами маршрутизации. Поддерживает VLESS, Trojan, WireGuard, Shadowsocks и другие протоколы.
DPI (Deep Packet Inspection)
Технология глубокого анализа трафика, используемая провайдерами и государствами для обнаружения и блокировки VPN-соединений. Анализирует не только заголовки пакетов, но и их содержимое, выявляя характерные признаки VPN-протоколов.
LuCI
Веб-интерфейс для управления OpenWrt. Предоставляет удобный графический интерфейс для настройки роутера, включая VPN-подключения, без необходимости использовать командную строку.
Deep Link
Специальная ссылка, которая открывает приложение и автоматически выполняет в нём действие (например, добавляет подписку VPN). Используется в QR-кодах на странице подписки Marzban.
JWT (JSON Web Token)
Зашифрованный токен аутентификации, который содержит информацию о пользователе. Используется в ссылках-подписках Marzban для безопасной идентификации клиента без хранения пароля.
Subscription Link (Ссылка-подписка)
Уникальный URL, который Marzban выдаёт каждому пользователю. При добавлении в VPN-клиент он автоматически загружает конфигурации и обновляет их при изменениях на сервере. Работает только по HTTPS.
Subscription Page (Страница подписки)
Веб-страница, которую Marzban показывает пользователю по ссылке-подписке. Содержит QR-код, deep links для импорта в приложения, инструкции и статистику (трафик, оставшиеся дни).
Caddy
Веб-сервер с открытым исходным кодом, написанный на Go. Главная особенность — автоматическое получение и продление SSL-сертификатов Let's Encrypt. Используется как reverse proxy для Marzban.
Reverse Proxy
Сервер-посредник, который принимает запросы от клиентов и перенаправляет их на внутренние сервисы (например, на Marzban). Позволяет объединить несколько сервисов под одним доменом и добавить HTTPS.
Let's Encrypt
Бесплатный центр сертификации, который выдаёт SSL-сертификаты для сайтов. Caddy автоматически запрашивает и продлевает сертификаты Let's Encrypt без участия администратора.
HSTS (HTTP Strict Transport Security)
Заголовок безопасности, который заставляет браузер всегда использовать HTTPS для данного домена. Предотвращает атаки типа downgrade (понижение протокола до HTTP).
Path-Based Routing
Способ маршрутизации, при котором разные URL-пути (например, /sub/, /api/) направляются на разные бэкенды. Позволяет объединить панель, подписки и статический сайт под одним доменом.
Telegram-бот Marzban
Встроенный в Marzban бот для Telegram. Отправляет системные уведомления (нода отключилась, база данных упала), показывает статистику, позволяет управлять пользователями и подписками прямо из мессенджера.
mysqldump
Утилита командной строки для создания резервных копий баз данных MySQL и MariaDB. Используется для бэкапа Marzban, если он работает не на SQLite, а на MySQL. Создаёт SQL-файл со всеми данными и структурой таблиц.
systemd-таймер
Аналог cron в современных Linux-системах. Позволяет запускать задачи по расписанию (например, резервное копирование каждые 6 часов). В отличие от cron, интегрирован с systemd и даёт больше контроля над выполнением задач.
Marzban
Панель управления VPN-сервером с открытым исходным кодом. Управляет ядром Xray, пользователями, подписками и инбаундами. Работает через веб-интерфейс на FastAPI, поддерживает Telegram-бота и API.
Xray
Ядро для прокси-серверов, форк V2Ray. Поддерживает VLESS, VMess, Trojan, Shadowsocks и современные технологии обфускации (Reality, XTLS, XHTTP). Именно Xray работает «под капотом» Marzban.
Reality
Технология маскировки VLESS под реальный HTTPS-сайт (например, www.microsoft.com). Не требует собственного домена и сертификата: при подключении клиент проходит TLS-handshake с настоящим сайтом-«ширмой». Считается самым устойчивым к DPI решением.
SNI (Server Name Indication)
Расширение TLS, при котором клиент в открытом виде сообщает серверу, к какому домену он обращается. DPI анализирует SNI и может блокировать VPN по этому признаку. Именно поэтому в Reality SNI указывается как домен популярного сайта-«ширмы».
ТСПУ
Технические Средства Противодействия Угрозам — оборудование DPI, установленное в России на сетях операторов связи с 2019 года. Анализирует трафик, распознаёт VPN-протоколы и блокирует их. Управляется централизованно через Роскомнадзор.
uTLS
Библиотека Go, эмулирующая TLS-отпечатки (fingerprints) реальных браузеров — Chrome, Firefox, Safari. Используется в Xray для того, чтобы рукопожатие VPN-клиента было неотличимо от обычного браузера для DPI.
TLS Fingerprint
«Отпечаток» TLS-клиента — набор параметров ClientHello (версии шифров, расширения, порядок полей). Разные приложения имеют разный fingerprint. Если VPN-клиент использует нестандартный fingerprint — DPI может это заметить. Исправляется через uTLS.
FakeTLS
Техника маскировки не-TLS трафика под TLS-рукопожатие. Используется в MTProto Proxy, Trojan, VLESS Reality. Позволяет обходить DPI, который блокирует непонятный UDP-трафик.
XHTTP / SplitHTTP
Новый транспорт Xray, маскирующий VPN-трафик под обычный HTTP/2 или HTTP/3. Пришёл на смену WebSocket. Устойчив к DPI, потому что трафик неотличим от обычной загрузки сайта.
Shadowsocks
Лёгкий прокси-протокол с шифрованием, изначально созданный для обхода китайской цензуры. Работает как SOCKS5-прокси с шифрованием. Сейчас считается устаревшим — вытесняется VLESS+Reality. Современная версия — Shadowsocks-2022.
BBR
Bottleneck Bandwidth and RTT — алгоритм контроля перегрузки TCP от Google. Значительно ускоряет передачу данных на серверах с потерями пакетов (типично для России и Китая). Включается в ядре Linux через sysctl.
QUIC
Быстрый транспортный протокол от Google, работает поверх UDP. Основа HTTP/3. Используется в Hysteria 2 и некоторых режимах маскировки Reality. DPI сложнее распознать QUIC, потому что он уже шифрован изначально.
HTTP/3
Третья версия HTTP-протокола, работающая поверх QUIC (UDP). Быстрее HTTP/2 за счёт отсутствия «head-of-line blocking». Многие VPN-протоколы маскируются именно под HTTP/3, потому что это современный и «легальный» трафик.
TUIC
Протокол на базе QUIC, аналогичный Hysteria 2. Обеспечивает высокую скорость и обход DPI. Менее популярен, чем Hysteria, но используется в некоторых клиентах (Sing-box, NekoBox).
MTProto Proxy
Прокси-сервер для Telegram, использующий собственный протокол MTProto. Обычно не для VPN, а именно для доступа к Telegram в странах, где мессенджер замедляют или блокируют. Маскируется под обычный TLS.
AmneziaVPN
Открытый VPN-клиент для Windows, macOS, Linux, Android и iOS. Поддерживает AmneziaWG, OpenVPN, WireGuard, Xray (VLESS Reality). Особенность — удобный интерфейс для развёртывания собственного VPN на VPS в несколько кликов.
amnezia-wg-easy
Веб-интерфейс для управления сервером AmneziaWG. Позволяет создавать клиентов, генерировать конфигурации и QR-коды, смотреть статистику. Альтернатива для тех, кому не нужна панель Marzban.
Шумовые пакеты (Junk packets)
Случайные байты, которые AmneziaWG добавляет к началу сессии перед рукопожатием. Разрушают сигнатуру WireGuard (фиксированный размер 148 байт). Управляются параметрами Jc, Jmin, Jmax в конфиге.
Short IDs
Параметр Reality — короткие идентификаторы для аутентификации клиентов. Позволяют одному Reality-инбаунду обслуживать несколько клиентов с разными «пропусками». Без правильного Short ID рукопожатие не пройдёт.
XTLS Vision (Flow)
Режим VLESS, при котором TLS-трафик передаётся «напрямую» без двойного шифрования. Даёт до 30% прироста скорости. Указывается в ссылке как flow=xtls-rprx-vision. Должен совпадать в панели и в клиенте — иначе соединение не установится.
Whitelist / Blacklist Routing
Два подхода к маршрутизации. Whitelist — через VPN идёт только определённый трафик (например, заблокированные сайты). Blacklist — через VPN идёт весь трафик, кроме указанных сайтов (например, банков). Настраивается в клиенте или на роутере.
VPS
Virtual Private Server — виртуальный сервер, арендуемый у хостинг-провайдера. Используется для развёртывания собственного VPN-сервера (Marzban, AmneziaWG, WireGuard). Стоимость начинается от 1–3 $ в месяц.
Docker Compose
Инструмент для запуска многоконтейнерных приложений. В Marzban через docker-compose.yml описываются все сервисы: Marzban, MySQL, Redis. Запуск одной командой: docker compose up -d.
Fail2ban
Утилита защиты сервера: анализирует логи и банит IP-адреса после N неудачных попыток входа (по SSH, к панели и т.д.). Дополняет UFW — UFW фильтрует порты, Fail2ban отсекает злоумышленников.
Nginx
Популярный веб-сервер и reverse proxy. Часто используется для HTTPS-терминации в связке с Marzban. В отличие от Caddy, сертификаты Let's Encrypt нужно настраивать вручную через Certbot.
WebSocket
Протокол двунаправленной связи поверх TCP. Раньше использовался как транспорт для VLESS/VMess — VPN-трафик шёл внутри WebSocket-соединения. Сейчас вытесняется XHTTP, потому что WebSocket-трафик уже вызывает подозрения у DPI.
gRPC
Протокол удалённого вызова процедур от Google, работающий поверх HTTP/2. Используется как транспорт для VLESS/VMess. Часто применяется в связке с Cloudflare CDN для маскировки VPN-трафика.
mKCP
Модифицированная версия KCP — транспортного протокола поверх UDP. В Xray используется для VLESS/VMess в условиях плохой сети: даёт меньшую задержку, чем TCP, но ценой большего расхода трафика.
Certificate Pinning
Механизм, при котором клиент доверяет только конкретному сертификату, а не всей цепочке доверия. Используется в Reality: если DPI попытается подменить сертификат сайта-«ширмы» — соединение оборвётся.
Blackhole (Routing)
Правило маршрутизации в Xray, при котором трафик отбрасывается без ответа. Используется для блокировки рекламных доменов (geosite:category-ads-all) и приватных IP-диапазонов внутри VPN-туннеля.
Комментарии
Отправить комментарий