Настройка VLESS-клиента: v2rayNG, Hiddify, Streisand, Shadowrocket

Настройка VLESS-клиента занимает около двух минут на любой платформе, потому что все распространённые клиенты принимают одно и то же: единственную ссылку vless://. Вы копируете ссылку, которую выдал сервер, открываете клиент, добавляете профиль из буфера обмена (или сканируете его как QR-код), выбираете его и подключаетесь. На Android это v2rayNG или Hiddify; на iPhone и iPad - Streisand, Shadowrocket или Hiddify; на Mac - Hiddify; на Windows - Hiddify, v2rayN или, на RE:NODE, приложение Renode VPN. Затем, прежде чем доверять подключению, вы проверяете три вещи - публичный адрес, DNS и настоящую загрузку страницы.

Сами шаги короткие. Большая часть этого руководства - о том, что не так просто: что содержит ссылка, что делает каждое поле, когда оно неверно, чем режим прокси отличается от режима VPN и по каким немногим причинам профиль Reality отказывается подключаться.

Что внутри ссылки VLESS#

Ссылка - это вся конфигурация клиента, сжатая в один URL. Зная поля, вы превращаете «не подключается» в то, что можно диагностировать.

vless://3f2a9c1e-7b4d-4e21-9a6f-0c5d8e2b1a47@203.0.113.10:443?encryption=none&flow=xtls-rprx-vision&security=reality&sni=www.example.com&fp=chrome&pbk=Q9x...&sid=6ba85179&type=tcp#home

Если хоть в одном из pbk, sid, sni или в UUID ошибка в один символ, сервер считает вас чужим и молча пропускает к настоящему сайту. Со стороны клиента это выглядит как соединение, которое открывается, а потом ничего не передаёт. Почему сервер ведёт себя именно так, объясняет статья VLESS и Reality простыми словами.

Перед началом: ссылка и сеть#

На RE:NODE сервер выдаёт ссылку после настройки; скопируйте её целиком. Ссылки длинные, и самая частая проблема из всех - ссылка, обрезанная мессенджером или текстовым редактором, который её перенёс. Отправьте её себе через то, что не портит длинные URL, или покажите как QR-код на одном экране и отсканируйте телефоном.

Ещё две вещи стоит проверить, прежде чем винить клиент:

1. Captive-порталы. В wifi отелей и аэропортов сначала откройте браузер и примите страницу с условиями. Пока вы этого не сделали, сеть отправляет каждое соединение на свою страницу входа, и ни один VPN не подключится.
2. Один VPN за раз. Android и iOS допускают только один активный VPN. Если включено другое VPN-приложение, файрвол, работающий как локальный VPN, или блокировщик рекламы такого же типа, новое подключение либо заменит его, либо не сработает.

Здесь же уместна юридическая оговорка: в некоторых странах использование VPN ограничено или регулируется. Прежде чем что-либо устанавливать, узнайте, что действует там, где вы находитесь.

Android: v2rayNG#

v2rayNG - давний клиент для Android, с открытым исходным кодом и на ядре Xray. Он есть в Google Play и в виде APK в релизах проекта на GitHub; если ставите с GitHub, берите сборку под CPU вашего телефона (почти у всех современных телефонов это arm64-v8a).

1. Скопируйте ссылку vless://.
2. Откройте v2rayNG и нажмите + вверху.
3. Выберите импорт из буфера обмена (или из QR-кода, чтобы отсканировать его камерой).
4. В списке появится новый профиль. Нажмите на него, чтобы он стал выбранным.
5. Нажмите круглую кнопку подключения справа внизу. В первый раз Android попросит разрешить запрос на VPN-подключение; согласитесь.
6. Значок ключа в строке состояния показывает, что VPN поднят.

Строка состояния внизу экрана по нажатию может запустить проверку соединения: она делает настоящий запрос через туннель и сообщает, сколько он занял. Это число куда полезнее любой цифры «пинга», которая в прокси-клиентах часто измеряет лишь то, как быстро открывается TCP-соединение с сервером.

Из настроек v2rayNG стоит знать про прокси для отдельных приложений (выбор, какие приложения идут через туннель или какие исключены) и про настройки маршрутизации, где локальные адреса можно отправлять напрямую. Обе темы разобраны в статье раздельное туннелирование простыми словами. Остальное не трогайте, пока не появится причина.

Hiddify на Android, iOS, Windows, macOS и Linux#

Hiddify - клиент, к которому стоит обратиться, если вы хотите одно и то же приложение на всех устройствах. Он с открытым исходным кодом, построен на ядре sing-box и выпускается для Android, iOS, Windows, macOS и Linux.

1. Скопируйте ссылку.
2. Откройте Hiddify и нажмите +, чтобы добавить профиль.
3. Выберите добавление из буфера обмена. В зависимости от платформы и версии вы также увидите варианты добавить по ссылке или сканированием QR-кода.
4. Выберите профиль и нажмите большую кнопку подключения на главном экране.

На десктопе обратите внимание на режим. Hiddify может работать как системный прокси или как VPN-сервис (TUN). Системный прокси охватывает только приложения, которые учитывают настройку прокси операционной системы, - браузеры учитывают, а многие игры, консольные утилиты и некоторые десктопные приложения нет. Если хотите, чтобы всё шло через сервер, используйте режим VPN; на Windows для создания виртуального адаптера его нужно запускать с правами администратора.

У Hiddify есть и параметры маршрутизации, включая правила, которые отправляют трафик для выбранной страны напрямую, а не через туннель. Они полезны, когда местные банковские или государственные сайты отказываются принимать иностранные адреса, и они же источник путаницы, когда вы забыли, что такое правило задали.

iPhone и iPad: Streisand и Shadowrocket#

Streisand бесплатен в App Store и поддерживает VLESS с Reality наряду с другими протоколами.

1. Скопируйте ссылку.
2. Откройте Streisand и нажмите + в правом верхнем углу.
3. Выберите импорт из буфера обмена или отсканируйте QR-код.
4. Нажмите на новый профиль, чтобы выбрать его, затем включите подключение.
5. iOS спросит, разрешить ли приложению добавлять конфигурации VPN. Разрешите и подтвердите через Face ID, Touch ID или код-пароль.

Shadowrocket - платное приложение, и оно продаётся не в каждой стране App Store. Его ценят за маршрутизацию на основе правил. Добавьте сервер кнопкой +, вставив ссылку или заполнив поля вручную: тип VLESS, адрес, порт, UUID, TLS включён, security - Reality, затем SNI, публичный ключ и короткий ID, и поток Vision. Со ссылкой ошибиться сложнее, чем при ручном вводе; используйте её, когда можно.

В обоих приложениях iOS при подключении показывает значок VPN в строке состояния, а само подключение появляется в разделе Настройки, Основные, VPN и управление устройством, где можно и удалить устаревшие профили.

Windows: приложение Renode VPN и альтернативы#

На RE:NODE у Windows есть собственный клиент: приложение Renode VPN берёт ссылку, выданную сервером, и подключается. Вставьте ссылку, подключитесь - и готово; для стандартной схемы с полным туннелем больше ничего настраивать не нужно.

Если вы предпочитаете клиент общего назначения, Hiddify для Windows и v2rayN импортируют ту же ссылку. v2rayN - давний клиент для Windows из того же семейства, что и v2rayNG; по умолчанию он работает как системный прокси, поэтому проверьте его режим TUN или VPN, если туннелем должны пользоваться приложения, игнорирующие настройки прокси. Запустить на Windows два VPN-клиента одновременно можно, и это надёжный способ получить запутанные маршруты; выберите один.

Проверка, что всё действительно работает#

Зелёная кнопка означает, что клиент запустился. Она не означает, что трафик идёт туда, куда вы думаете. Потратьте на это две минуты при первом подключении каждого устройства.

Проверки DNS и IPv6 ловят самые важные утечки. Если видны резолверы вашего провайдера или появляется ваш домашний IPv6-адрес, в то время как IPv4 - адрес сервера, часть трафика идёт в обход туннеля. Каждый случай и способ исправления разобраны в статье утечки DNS в VPN и как их проверить.

# On a laptop, the same check from a terminal$ curl -4 https://ifconfig.me$ curl -6 https://ifconfig.me

Первая команда должна вывести адрес сервера. Вторая должна завершиться ошибкой или вывести адрес, который не принадлежит вашей домашней сети.

Обновление клиентов и управление профилями#

VLESS-клиенты - проекты сообщества, которые быстро развиваются. Такие функции, как Reality и поток Vision, появились в определённых версиях ядра, а исправления обнаружения и стабильности продолжают выходить, поэтому приложение, не обновлявшееся год, с большей вероятностью откажет, чем актуальное. По возможности ставьте из магазина приложений, чтобы обновления приходили сами; если вы поставили v2rayNG с GitHub, время от времени заглядывайте на страницу релизов, потому что APK сам не обновится.

Профили накапливаются. Каждый импорт ссылки создаёт новую запись, и через несколько месяцев на телефоне может оказаться несколько копий под разными именами, из которых актуальна только одна. Прежде чем импортировать новую ссылку, удалите старый профиль или хотя бы переименуйте новый, чтобы понимать, где какой. Выбранный устаревший профиль со старым ключом - частая причина ситуации «вчера же работало».

Некоторые провайдеры выдают не отдельный профиль, а ссылку на подписку: URL, который клиент загружает, чтобы получить список серверов, и периодически обновляет. Приватному серверу с одной ссылкой это не нужно; единственная ссылка vless:// - это вся конфигурация.

Храните копию ссылки в надёжном месте офлайн - идеально подходит менеджер паролей, - чтобы после замены телефона или переустановки ноутбука импортировать её заново, не разыскивая. На Mac простой выбор - Hiddify; любой клиент, который вы выберете, примет ту же ссылку.

Когда профиль Reality не подключается#

Проверяйте по порядку; пункты отсортированы по тому, как часто именно они оказываются ответом.

Ссылка неполная. Сравните конец вставленной ссылки с оригиналом. Без pbk или sid получается профиль, который «подключается» и ничего не загружает. Импортируйте заново из чистой копии.

Клиент слишком старый. Reality и потоку Vision нужно достаточно свежее ядро. Старые v2rayNG или v2rayN, вышедшие до Reality, либо отвергают ссылку, либо импортируют её без полей Reality. Обновите приложение.

Профиль импортирован, но в режиме прокси. Браузеры работают, а игра, почтовое приложение или терминал - нет. Переключитесь в режим VPN или TUN либо проверьте список приложений.

Активен другой VPN. Выключите другой VPN, блокировщик рекламы или файрвол, включая настройки постоянного подключения, которые снова его запустят. Как настройка постоянного VPN в Android может удерживать на месте другое приложение, объясняет статья kill switch и постоянный VPN.

Сеть напрямую блокирует адрес сервера. Некоторые сети блокируют по адресу назначения, а не по протоколу. Если та же ссылка работает через мобильный интернет и не работает в одной конкретной сети wifi, проблема в этой сети, а не в конфигурации.

Всё остальное работает, но медленно. Это другая проблема с другими причинами - расстояние, путь между вами и сервером, CPU на маленьком тарифе. См. статью почему VPN тормозит.

FAQ#

Можно ли использовать одну ссылку на нескольких устройствах?

Да. Одна и та же ссылка импортируется в любой клиент, и на RE:NODE именно так и подключаются телефоны и Mac. Ограничивает вас то, сколько устройств пользуется сервером одновременно, - по этому и рассчитаны тарифы.

Почему приложение показывает пинг в несколько миллисекунд, а страницы грузятся медленно?

Многие клиенты измеряют, как быстро открывается TCP-соединение с сервером, а это мало говорит о настоящем запросе через туннель. Чтобы получить осмысленное число, используйте настоящую проверку соединения в клиенте или засеките загрузку страницы.

Нужно ли устанавливать на телефон сертификат?

Нет. Reality не использует сертификат, который вы устанавливаете или которому доверяете. Клиент проверяет сервер по публичному ключу из ссылки, поэтому в хранилище сертификатов устройства ничего добавлять не нужно.

Стоит ли платить за Shadowrocket вместо Streisand?

Только если вам нужны его маршрутизация на основе правил и параметры конфигурации. Для одного сервера и полного туннеля бесплатный клиент делает то же самое. Оба импортируют одну и ту же ссылку.

Что будет, если мою ссылку получит кто-то другой?

Он сможет подключаться к вашему серверу и расходовать его ресурсы, а его трафик будет уходить с вашего адреса. Относитесь к ссылке как к паролю и не допускайте её в чаты и на скриншоты. Если считаете, что она утекла, откройте тикет в панели.