Словарь
VPN-терминов

§ 01

Технологии цензуры

24 термина

• Обфускация трафика

  Совокупность техник, маскирующих VPN-трафик под обычный веб-трафик: обфусцированные заголовки, фрагментация TLS, padding пакетов, имитация JA3-отпечатков.

  Технологии цензуры →

• РКН — Роскомнадзор

  Федеральная служба РФ, отвечающая за надзор в связи и СМИ. Оператор реестра запрещённых сайтов и заказчик инфраструктуры ТСПУ.

  Технологии цензуры →

• ТСПУ — Технические Средства Противодействия Угрозам

  Российская государственная DPI-инфраструктура, установленная у всех крупных операторов связи РФ и управляемая Роскомнадзором.

  Технологии цензуры →

• Active probing — активное зондирование DPI

  Техника GFW и ТСПУ, при которой DPI после подозрительного handshake сам инициирует соединение к серверу, маскируясь под клиента, и по ответу решает: блокировать IP или нет.

  Технологии цензуры →

• DAITA — Defense Against AI-guided Traffic Analysis

  Технология Mullvad (2024), которая выравнивает VPN-трафик до постоянной скорости и случайных размеров пакетов, чтобы лишить ML-классификаторы DPI признаков, по которым они вычисляют тип передаваемого содержимого.

  Технологии цензуры →

• Decoy Routing — обход цензуры на уровне магистрали

  Research-уровень техника обхода: ISP-партнёры за пределами цензурируемой страны перехватывают трафик к разрешённому сайту и тайно перенаправляют к запрещённому. Telex, Cirripede, TapDance — академические прототипы.

  Технологии цензуры →

• Deep Packet Replay — replay-атаки DPI на VPN-серверы

  Техника активного зондирования: DPI повторяет наблюдаемый clientHello в адрес VPN-сервера и по реакции определяет, прокси это или обычный сайт. Главный враг VLESS Reality.

  Технологии цензуры →

• Domain Fronting — фронтирование домена

  Техника обхода блокировок: SNI и Host-заголовок указывают на разные домены — внешний наблюдатель видит «фасад», реальный трафик идёт к другому сервису.

  Технологии цензуры →

• DPI — Deep Packet Inspection

  Углублённый анализ содержимого сетевых пакетов на уровне ISP или государственного оператора — основа современной интернет-цензуры.

  Технологии цензуры →

• ECH — Encrypted Client Hello

  Расширение TLS 1.3, шифрующее всё содержимое ClientHello, включая SNI. Закрывает главную дыру, по которой DPI определяет цель соединения.

  Технологии цензуры →

• ESNI — Encrypted SNI

  Предшественник ECH: первый стандарт TLS-расширения для шифрования SNI. Развёртывался Cloudflare в 2018–2020, заблокирован в Китае и России, заменён на ECH в 2021.

  Технологии цензуры →

• GFW — Great Firewall of China

  Многоуровневая система интернет-цензуры КНР: DNS-инжекшен, IP-блокировки, SNI-фильтрация, active probing, поведенческий анализ. Прямой архитектурный референс для российской ТСПУ.

  Технологии цензуры →

• GFW Bridges — Tor-мосты для обхода Великого Файрвола

  Сеть скрытых входных нод Tor, не опубликованных в основном списке релеев; используются для обхода GFW и других DPI-режимов через транспорты obfs4, meek, Snowflake и WebTunnel.

  Технологии цензуры →

• Iran Internet Protocol — фильтрующий стек Ирана

  Государственная инфраструктура цензуры Ирана: комбинация DPI на магистралях, протокольных whitelist'ов, halal-DNS и периодических полных шатдаунов; служит референсом для других режимов, включая ТСПУ.

  Технологии цензуры →

• JA3 / JA4 — TLS fingerprinting

  Метод идентификации TLS-клиента по характеристикам ClientHello. Один из основных инструментов DPI для классификации VPN и proxy-трафика.

  Технологии цензуры →

• Padding — выравнивание длин пакетов в VPN

  Добавление случайных байт к пакету, чтобы скрыть его реальный размер от DPI. Защищает от поведенческого анализа и fingerprinting'а по длинам, особенно на этапе handshake.

  Технологии цензуры →

• RST-injection — атака сбросом TCP-соединений

  Активная техника DPI: цензор подделывает и шлёт обеим сторонам TCP-пакет с флагом RST после детекта подозрительного трафика, что моментально рвёт сессию без участия конечных узлов.

  Технологии цензуры →

• shadow-tls

  Обёртка для Shadowsocks, маскирующая трафик под TLS-handshake к настоящему чужому сертификату (например, cloudflare.com или microsoft.com). Альтернатива Reality для Shadowsocks-2022.

  Технологии цензуры →

• SNI — Server Name Indication

  Расширение TLS, в котором браузер открыто передаёт имя домена в первом пакете handshake. Главная мишень DPI: даже зашифрованное соединение раскрывает, куда вы идёте.

  Технологии цензуры →

• SNI-блокировка — фильтрация TLS по Server Name Indication

  Самый распространённый механизм блокировки веб-сайтов через DPI: цензор читает домен из открытого TLS SNI-поля и сравнивает его с черным списком, без расшифровки самого трафика.

  Технологии цензуры →

• Snowflake — Tor pluggable transport через WebRTC

  Pluggable transport для Tor, маскирующий трафик под WebRTC видеозвонок. Использует временные прокси из браузерных расширений добровольцев. Один из трёх работающих способов попасть в Tor из РФ в 2026.

  Технологии цензуры →

• TLS-in-TLS — детекция вложенного TLS

  Атака GFW и Cisco против TLS-туннелей: внешний TLS открывается нормально, но внутри передаётся ещё один TLS-handshake. Эта аномалия детектируется по таймингам и размерам пакетов.

  Технологии цензуры →

• Traffic Shaping — управляемое замедление трафика

  Цензурная техника: вместо блокировки сервиса DPI душит его пропускную способность до 50-300 кбит/с. ТСПУ применяет shaping к YouTube с 2024, к ряду VPN-протоколов — точечно.

  Технологии цензуры →

• Wirefilter — DSL правил DPI от Cloudflare

  Open-source движок Cloudflare для описания правил фильтрации сетевого трафика декларативным языком похожим на Wireshark display-filter; используется в Firewall Rules и в OSS-проектах для DPI-правил.

  Технологии цензуры →

§ 02

Протоколы

28 терминов

• ALPN — Application-Layer Protocol Negotiation

  TLS-расширение для договорённости о вложенном протоколе (h2, h3, http/1.1) в рамках одного handshake. Главный сигнал для DPI: что внутри TLS-туннеля.

  Протоколы →

• AmneziaWG

  Форк WireGuard, разработанный в рамках проекта AmneziaVPN, с обфусцированными заголовками пакетов для обхода DPI и ТСПУ.

  Протоколы →

• DoQ — DNS over QUIC (RFC 9250)

  DNS-over-QUIC: транспорт DNS-запросов поверх QUIC. Аналог DoT по приватности, но быстрее за счёт 0-RTT и без head-of-line blocking. Поддерживается AdGuard, NextDNS, Quad9 с 2022.

  Протоколы →

• DTLS 1.3 — Datagram TLS поверх UDP (RFC 9147)

  Datagram TLS 1.3 — версия TLS, адаптированная для UDP. Основа OpenVPN-DTLS, AnyConnect, ряда P2P-сервисов. Стандартизована в RFC 9147 (2022).

  Протоколы →

• HTTP/3 — HTTP поверх QUIC (RFC 9114)

  Третья версия HTTP, работающая поверх QUIC вместо TCP. К началу 2026 — около 30% мирового веб-трафика. Влияет на VPN-обнаружение, шифрование SNI и поведение CDN.

  Протоколы →

• HTTPUpgrade — HTTP/1.1 Upgrade transport для VLESS

  Новый транспортный слой для VLESS и Trojan, добавленный в xray-core и sing-box в 2024 году: использует механизм HTTP/1.1 Upgrade для маскировки под обычный WebSocket-like трафик, но без overhead WS-фрейминга.

  Протоколы →

• Hysteria 2

  Высокопроизводительный UDP-протокол поверх QUIC, разработанный для обхода DPI и работы в сетях с потерями. Преемник Hysteria 1.

  Протоколы →

• IKEv2/IPsec — VPN-протокол

  Классический корпоративный VPN-протокол на UDP 500/4500. Быстро переподключается при смене сети, но в РФ-2026 заблокирован ТСПУ почти на всех операторах.

  Протоколы →

• IPSec ESP — Encapsulating Security Payload

  Часть IPSec-стека, отвечающая за шифрование и аутентификацию полезной нагрузки IP-пакета. Работает в режимах transport и tunnel. Использует IP protocol number 50, что делает её тривиально детектируемой современными DPI.

  Протоколы →

• MASQUE — Multiplexed Application Substrate over QUIC Encryption

  IETF-протокол туннелирования произвольного трафика через QUIC / HTTP/3. Перспективная замена OpenVPN-стиля туннелей для современного веба, базис iCloud Private Relay.

  Протоколы →

• MTProto Proxy — прокси-протокол для Telegram

  Специальный прокси-протокол, разработанный командой Telegram в 2018 году для обхода блокировок: шифрует трафик так, что он неотличим от случайных байтов и не использует TLS-сигнатуры.

  Протоколы →

• OpenVPN

  Открытый VPN-протокол с 2001 года, использующий OpenSSL и работающий поверх TCP или UDP. Стандарт корпоративного VPN, но в эру DPI постепенно вытесняется WireGuard и xray-протоколами.

  Протоколы →

• QUIC — транспортный протокол поверх UDP

  Современный транспортный протокол, заменяющий TCP+TLS на одну UDP-сессию. База для HTTP/3 и Hysteria 2. Быстрее, устойчивее к потерям, но уязвим перед UDP-фильтрами.

  Протоколы →

• REALITY — handshake-протокол маскировки VPN под HTTPS

  Ядро технологии маскировки трафика, при которой VPN-сервер проксирует TLS-handshake на whitelisted чужой сайт и подменяет ответ — для DPI трафик неотличим от обычного HTTPS к крупному легитимному ресурсу.

  Протоколы →

• Shadowsocks-2022 (AEAD-2022)

  Обновлённая версия протокола Shadowsocks с новой AEAD-схемой шифрования и защитой от replay-атак — устойчива к entropy-детектированию ТСПУ.

  Протоколы →

• SplitHTTP — split-HTTP transport для VLESS / Trojan

  Транспортный слой для VLESS / Trojan / Shadowsocks с разделением upload и download потоков на разные HTTP-запросы: upload через POST, download через долгий GET; усиленная маскировка под обычный веб-трафик.

  Протоколы →

• TLS 1.3 — Transport Layer Security 1.3

  Версия протокола шифрования трафика 2018 года: handshake за 1 RTT, никакого RSA, обязательное PFS. База для HTTPS, VLESS, Trojan и почти всех современных туннелей.

  Протоколы →

• Trojan-GFW

  Протокол VPN-маскировки, имитирующий легитимный HTTPS-сайт. Использует настоящий TLS-сертификат и реверс-проксирует probing-запросы на запасной веб-сервер.

  Протоколы →

• TUIC — UDP-протокол на базе QUIC

  Open-source VPN/прокси-протокол поверх QUIC v1 с авторизацией по UUID/password, нативной поддержкой UDP-форвардинга и low-latency 0-RTT соединениями; аналог Hysteria, конкурирующий за low-latency обход DPI.

  Протоколы →

• uTLS — TLS fingerprint mimicry

  Go-библиотека, позволяющая клиенту подделать TLS-fingerprint (JA3) под конкретный браузер: Chrome, Firefox, Safari, iOS. Используется почти всеми современными антицензурными протоколами.

  Протоколы →

• VLESS — VMess Lite without Encryption

  Базовый stateless-протокол V2Ray / Xray-core без собственного шифрования. Криптография делегирована TLS (или Reality). Низкий overhead, легко комбинируется с любым транспортом.

  Протоколы →

• VLESS Reality

  Протокол поверх TLS, маскирующий VPN-трафик под легитимный TLS-handshake к настоящему стороннему сайту. Основной способ обхода ТСПУ в 2026.

  Протоколы →

• VMess — протокол v2ray

  Оригинальный шифрованный туннельный протокол ядра v2ray. Предшественник VLESS. В РФ-2026 устарел: DPI распознаёт по handshake-эвристикам.

  Протоколы →

• WireGuard

  Современный UDP-протокол VPN с минималистичной криптографией, разработанный Джейсоном Доненфельдом. Стандарт де-факто для self-hosted VPN.

  Протоколы →

• WireGuard-obfs — обфускации WireGuard для обхода DPI

  Семейство модификаций WireGuard, скрывающих сигнатуру протокольного handshake'а: добавление случайного padding, junk-пакетов, рандомизация длин — реализованы в AmneziaWG, WireProxy, mlkem-wg и других форках.

  Протоколы →

• WireGuard-PQ — постквантовая защита WireGuard через PSK

  Расширение WireGuard опцией preshared key для постквантовой стойкости. Защищает от harvest-now-decrypt-later атак на Curve25519. Доступно с 2018, повсеместно в Mullvad/IVPN.

  Протоколы →

• XTLS — eXtended TLS (Vision, Reality)

  Расширение протокола VLESS для прозрачной передачи TLS-трафика без дополнительного шифрования и handshake'а внутри туннеля. Основа современного стека VLESS Reality + Vision.

  Протоколы →

• XTLS Vision — подпротокол flow=xtls-rprx-vision

  Текущий стабильный XTLS flow (с 2023): сплайсит пользовательский TLS-трафик через VPN-туннель без двойного шифрования, переписывает длины record'ов и paddings для маскировки от TLS-in-TLS DPI.

  Протоколы →

§ 03

Безопасность

32 термина

• Независимый аудит VPN

  Проверка инфраструктуры и no-logs-политики VPN-сервиса внешним аудитором. Единственный способ верифицировать маркетинговые обещания.

  Безопасность →

• AEAD — Authenticated Encryption with Associated Data

  Класс симметричных шифров, дающих одновременно конфиденциальность, целостность и аутентификацию. Основа всех современных VPN и TLS 1.3: AES-GCM, ChaCha20-Poly1305.

  Безопасность →

• AES-256-GCM — симметричный шифр

  Один из двух стандартных шифров современного VPN (рядом с ChaCha20-Poly1305). 256-битный ключ + GCM-режим аутентификации. Стандарт NIST с 2001 года.

  Безопасность →

• Anonymous VPN Account — аккаунт без email

  Модель регистрации VPN, при которой вместо email/телефона выдаётся уникальный число-идентификатор (account-number); провайдер не хранит никаких персональных данных кроме факта оплаты.

  Безопасность →

• Bridge Relay — непубличные мосты Tor для обхода блокировок

  Bridge — Tor-relay, не входящий в публичный directory. Используется в странах, где блокируются обычные entry-relay'и (РФ, Иран, Китай). Распространяется через BridgeDB, Telegram, email.

  Безопасность →

• Certificate Pinning — привязка к конкретному TLS-сертификату

  Техника проверки, при которой клиент сравнивает сертификат сервера не с CA-цепочкой, а с заранее зашитым отпечатком. Защищает от подмены через скомпрометированный CA. Используется в VPN-клиентах.

  Безопасность →

• ChaCha20-Poly1305 — потоковый AEAD-шифр

  Современный потоковый шифр + аутентификационный код в одной паре. Быстрый без аппаратной поддержки, идеален для мобильных устройств. Основа WireGuard.

  Безопасность →

• Curve25519

  Эллиптическая кривая, спроектированная Дэниелом Бернштейном в 2005. Основа Diffie-Hellman (X25519) в WireGuard, TLS 1.3, Signal, SSH. Стандарт де-факто для современной асимметричной криптографии.

  Безопасность →

• DNS leak — утечка DNS

  Когда VPN зашифровал трафик, но DNS-запросы продолжают идти через провайдера, который видит, какие сайты вы открываете.

  Безопасность →

• Exit Node — выходной узел Tor / VPN-сервера

  Последний узел в цепочке Tor (или endpoint VPN-сервера), с которого трафик уходит в открытый интернет. Видит контент, не видит источника. Главная точка деанонимизации.

  Безопасность →

• Five Eyes / 9 Eyes / 14 Eyes

  Альянсы разведсообществ западных стран, обменивающиеся surveillance-данными. Юрисдикция VPN в этих странах = риск раскрытия трафика.

  Безопасность →

• Forward Secrecy в VPN — практическое применение PFS

  PFS специфично для VPN: эфемерные ключи через регулярный re-key вместо долговременных PSK. WireGuard делает re-key каждые 2 минуты, OpenVPN — настраивается, IKEv2 — через PFS-группу в Phase 2.

  Безопасность →

• IP leak — утечка реального IP-адреса

  Раскрытие реального IP-адреса пользователя в момент, когда тот рассчитывает на анонимность через VPN. Главная причина — разрыв соединения без kill switch.

  Безопасность →

• Jurisdiction — юрисдикция VPN-сервиса

  Страна, в которой юридически зарегистрирована компания, владеющая VPN-сервисом. Определяет, под какие законы попадают данные пользователей.

  Безопасность →

• Kill Switch

  Механизм VPN-клиента, который полностью блокирует выход в интернет при разрыве VPN-туннеля. Предотвращает утечку реального IP и DNS-запросов.

  Безопасность →

• Lightning Network — Bitcoin L2 для VPN-платежей

  Layer-2 платёжная сеть поверх Bitcoin, позволяющая мгновенные и почти бесплатные платежи за VPN-подписки; не даёт on-chain приватность Monero, но решает скорость и комиссии.

  Безопасность →

• MAC Randomization — рандомизация MAC-адреса

  Замена реального MAC-адреса WiFi/Ethernet интерфейса на случайный для предотвращения tracking'а по MAC: реализовано в iOS 14+, Android 10+, Windows 10+, Linux через systemd-networkd/macchanger.

  Безопасность →

• Monero payments — анонимные платежи в Monero (XMR)

  Использование криптовалюты Monero для оплаты VPN-подписок без раскрытия личности: транзакции скрывают отправителя, получателя и сумму через Ring Signatures, RingCT и Stealth Addresses.

  Безопасность →

• Mullvad Account Number — анонимный идентификатор без email

  16-значный random account number вместо email/пароля для регистрации VPN. Модель Mullvad с 2009, перенята IVPN. Минимизирует данные, которые провайдер обязан хранить.

  Безопасность →

• No-logs policy — политика отсутствия логов

  Заявление VPN-сервиса о том, что он не сохраняет логи активности пользователей. Маркетинговая фраза без независимого аудита ничего не стоит.

  Безопасность →

• Noise Protocol Framework

  Криптографический фреймворк для построения handshake-протоколов: DH + симметричное шифрование + аутентификация. Основа WireGuard, Lightning Network, WhatsApp.

  Безопасность →

• PFS — Perfect Forward Secrecy

  Свойство криптопротокола: компрометация долговременного ключа не раскрывает прошлые сессии. Обязательная характеристика современного VPN.

  Безопасность →

• Poly1305

  Криптографический MAC (message authentication code), спроектированный Дэниелом Бернштейном. В паре с ChaCha20 образует AEAD-шифр ChaCha20-Poly1305 — стандарт TLS 1.3, WireGuard, Signal.

  Безопасность →

• Port Forwarding в VPN — проброс портов через VPN-туннель

  Опция VPN-сервиса, открывающая внешний порт на VPN-IP клиента и пробрасывающая входящие соединения с этого порта в VPN-туннель — нужно для P2P, torrent-сидеров, домашних серверов через VPN.

  Безопасность →

• Post-quantum VPN

  VPN-протоколы, устойчивые к атакам квантовых компьютеров. К 2026 году переход индустрии на гибридные key-exchange: ML-KEM (Kyber) + X25519 в TLS 1.3, WireGuard PQ-experiments, Mullvad/iVPN production rollout.

  Безопасность →

• Smart DNS — альтернатива VPN для разблокировки стриминга

  Сервис, проксирующий только DNS-запросы к определённым доменам и часть трафика через свой IP, давая иллюзию иной геолокации для стримингов; не шифрует трафик и не годится для обхода ТСПУ.

  Безопасность →

• Split Tunneling

  Режим VPN-клиента, при котором часть трафика идёт через VPN-туннель, а часть — напрямую через сеть оператора. Используется для производительности и доступа к локальным сервисам.

  Безопасность →

• Timing Attack — деаноним через корреляцию задержек

  Класс атак на анонимные сети (Tor, mixnet, VPN-цепочки), где злоумышленник наблюдает входящий и исходящий трафик и сопоставляет timing-паттерны. Основной угрозой для Tor-пользователей.

  Безопасность →

• Vouchers — voucher-карты для анонимной оплаты VPN

  Купленные физически или онлайн коды-карточки на оплату VPN-подписки: позволяют активировать аккаунт без email, карты или crypto-кошелька — самый простой способ полной анонимности оплаты.

  Безопасность →

• VPN Leak Test — комплексная проверка утечек VPN

  Методология тестирования VPN на пять типов утечек: IP (IPv4/IPv6), DNS, WebRTC, traffic-leak при разрыве и kill-switch fail; объединяет онлайн-тесты, локальные команды и анализ tcpdump.

  Безопасность →

• Warrant canary — сигнальный механизм

  Публичное заявление сервиса о том, что он НЕ получал секретных судебных запросов. Исчезновение текста сигнализирует пользователям, что запрос пришёл.

  Безопасность →

• WebRTC leak — утечка через WebRTC

  Браузерный API WebRTC может раскрыть реальный IP-адрес пользователя в обход VPN-туннеля через механизм STUN.

  Безопасность →

§ 04

Сеть

26 терминов

• BBR — Bottleneck Bandwidth and RTT congestion control

  Алгоритм управления загруженностью TCP/QUIC, разработанный Google в 2016 году: вместо реакции на потери пакетов моделирует bandwidth × RTT и поддерживает оптимальный fill-level; даёт 2-10× speedup на lossy-сетях типа VPN-трафика.

  Сеть →

• Bridge Mode — режим моста на роутере для VPN-сетапа

  Режим роутера, при котором он работает как L2-bridge (без NAT/маршрутизации). Используется для развёртывания VPN-роутера за провайдерским роутером без двойного NAT.

  Сеть →

• Clash Protocol — YAML-конфиг и правила Clash

  Семейство стандартов конфигурации для прокси-движков Clash / Mihomo / Sing-box: YAML с описанием прокси, групп, правил маршрутизации и DNS; стало де-факто стандартом для VPN-подписок в Китае и СНГ.

  Сеть →

• DoH — DNS over HTTPS

  Передача DNS-запросов внутри HTTPS-соединения к доверенному резолверу. Скрывает, какие домены вы открываете, от провайдера, но не от государства.

  Сеть →

• DoT — DNS over TLS

  Передача DNS-запросов через TLS на выделенном порту 853. Шифрует DNS, но из-за уникального порта легко блокируется на уровне DPI.

  Сеть →

• Double VPN / Multi-hop — двойной VPN

  Цепочка из двух или более VPN-серверов: трафик идёт через несколько узлов, обычно в разных странах. Усиление приватности ценой скорости.

  Сеть →

• Dynamic DNS — DDNS для self-host VPN с динамическим IP

  Сервис, автоматически обновляющий DNS-запись при смене IP. Критичен для self-host VPN-серверов на домашних роутерах. DuckDNS, No-IP, Cloudflare API, Yandex Cloud DNS.

  Сеть →

• gRPC transport — VLESS / Trojan over gRPC

  Транспорт V2Ray / Xray, оборачивающий VPN-трафик в gRPC-вызовы поверх HTTP/2 + TLS. Альтернатива WebSocket, лучше детектирует ТСПУ из-за нативного использования multiplexing.

  Сеть →

• Mihomo (Clash Meta) — fork Clash с расширенной поддержкой протоколов

  Go-based прокси-движок, форк Clash от китайского сообщества: добавляет поддержку VLESS, Hysteria-2, TUIC, ShadowTLS, Reality поверх классического Clash; основа для Clash Meta для Windows / Android / Verge.

  Сеть →

• MTProto — фирменный протокол Telegram

  Криптографический протокол клиент-сервер коммуникаций Telegram, разработанный братьями Дуровыми в 2013 году; основан на собственной криптографии (AES-256-IGE + RSA + DH), критикуется криптографами за нестандартные конструкции.

  Сеть →

• MTU / Path MTU Discovery

  MTU — максимальный размер кадра, который интерфейс отправляет без фрагментации. PMTUD — механизм автоматического определения наименьшего MTU по всему пути. Кривая настройка MTU — классическая причина «работает, но медленно» в VPN.

  Сеть →

• NaïveProxy — HTTPS tunnel via Chrome network stack

  Прокси-протокол на базе реального Chromium network stack: трафик идёт через настоящий HTTPS-handshake, неотличимый от Chrome. Эталон маскировки fingerprint.

  Сеть →

• NAT traversal — STUN, TURN, ICE

  Набор техник для установки P2P-соединения между устройствами за NAT. STUN определяет внешний endpoint, TURN ретранслирует трафик при failure, ICE выбирает лучший доступный путь. Основа Tailscale, ZeroTier, WebRTC и современных WireGuard mesh.

  Сеть →

• obfs4 — Tor pluggable transport

  Классический Tor pluggable transport: рандомизация байтового потока через ELligator2 + handshake без узнаваемых паттернов. Долгое время — основной обход GFW для Tor.

  Сеть →

• RDP over VPN — удалённый рабочий стол через VPN-туннель

  Use-case: запуск Microsoft RDP (Remote Desktop Protocol) через VPN-туннель для безопасного доступа к удалённому компьютеру; решает проблему публичного выставления порта 3389 и ботов-сканеров.

  Сеть →

• sing-box — универсальный proxy-движок

  Открытое ядро, поддерживающее VLESS, Trojan, Hysteria 2, TUIC, ShadowTLS, WireGuard. Альтернатива xray-core с более широким покрытием современных протоколов.

  Сеть →

• SOCKS5 — generic proxy protocol

  Базовый протокол прокси-сервера: пересылка TCP / UDP к произвольному target host:port. Используется почти всеми VPN-клиентами как локальный интерфейс между приложениями и движком.

  Сеть →

• STUN / TURN — NAT traversal для VPN и P2P

  STUN — определение public IP за NAT через rendezvous-сервер. TURN — relay-сервер для случаев, когда STUN не пробивает. Используются в WebRTC, Tailscale, ряде P2P-VPN.

  Сеть →

• Tailscale — overlay VPN на WireGuard

  Mesh-VPN на базе WireGuard с централизованным coordination server. Поднимает зашифрованную P2P-сеть между устройствами пользователя без проброса портов. Headscale — open-source клон control plane для self-hosting.

  Сеть →

• TCP Fast Open — TFO (RFC 7413)

  Расширение TCP, позволяющее слать payload вместе с SYN-пакетом при повторном соединении. Экономит 1 RTT на каждом handshake. Используется в Shadowsocks, OpenVPN-TCP, Mihomo для ускорения VPN.

  Сеть →

• TCP Multiplexing — несколько streams в одном TCP-connection

  Техника передачи нескольких логических потоков (streams) через один TCP-connection. Используется в smux/yamux/v2ray-mux для уменьшения handshake-overhead и обхода SYN-rate-limit DPI.

  Сеть →

• Tor — The Onion Router

  Анонимизирующая сеть на основе onion-routing через 3 случайных узла. Не VPN, но часто упоминается рядом. В РФ-2026 заблокирован прямой доступ, работает через мосты.

  Сеть →

• TUN / TAP — виртуальные сетевые интерфейсы

  Виртуальные L3 (TUN) и L2 (TAP) сетевые интерфейсы Linux / Windows / macOS. Основа большинства VPN-клиентов: ядро передаёт IP-пакеты в user-space процесс через файловый дескриптор.

  Сеть →

• WebSocket transport (ws) — VPN over WS+TLS:443

  Транспорт V2Ray / Xray, оборачивающий VPN-трафик в WebSocket-сессию поверх TLS на порту 443. Маскируется под обычное веб-приложение, проходит через CDN.

  Сеть →

• xray-core — движок VLESS/VMess/Trojan

  Форк v2ray-core от XTLS-проекта. Референс-реализация VLESS Reality, активно развивается. Сердце большинства современных anti-censorship VPN-клиентов.

  Сеть →

• ZeroTier — peer-to-peer overlay сеть

  P2P overlay-сеть с собственным криптопротоколом и виртуальным Ethernet-уровнем. Соединяет устройства в единый L2-сегмент через root-серверы и UDP hole punching. Альтернатива Tailscale для тех, кому нужен bridge/multicast.

  Сеть →