Какой протокол выбрать, чтобы не блокировали

Оператор ловит VPN по трём приметам: по рукопожатию и SNI, по поведению трафика и по IP-адресу. Первые две закрывает транспорт, третью прячет CDN. Дальше таблица со сравнением и прямой ответ, что ставить сейчас. Готовые конфиги с конструктором ищите в отдельной статье по каждому протоколу, ссылки ниже.

📖 Встретили незнакомое слово? Все термины простыми словами собраны в Словаре терминов.

Сравнение протоколов

Протокол	Транспорт / порт	Маскировка под	Скорость	Стойкость к РФ-DPI	Когда брать
VLESS-TCP-Reality	raw TCP / 443	чужой реальный TLS 1.3 (донор)	🟢 высокая	🟢 высокая	основной для каждой ноды
VLESS-Selfsteal	raw TCP / 443	ваш реальный сайт на ноде	🟢 высокая	🟢🟢 максимальная	основной под жёсткий DPI
VLESS-gRPC-Reality	gRPC/H2 / 443	TLS 1.3 + мультиплекс	🟡 средняя	🟢 высокая	скрытый резерв (авто-своп)
VLESS-XHTTP	XHTTP / за CDN	CDN-домен	🟡 ниже (CDN +0.4с)	🟢 высокая (обход по IP)	когда блокируют по IP
VLESS-TCP-TLS	raw TCP / 443	честный TLS на вашем домене	🟢 высокая	🟡 средняя (домен «светится»)	CDN-совместимость, не РФ-стелс
Trojan	TLS / Reality	HTTPS-сайт (fallback)	🟢 высокая	🟡 средняя	резерв другого «вида»
Hysteria2	QUIC / UDP 443	TLS-over-QUIC	🟢🟢 на плохих сетях	🟡 UDP иногда режут	мобайл, потери, прайм-тайм
Shadowsocks-2022	TCP/UDP	нет (без TLS)	🟢 высокая	🔴 слабая (нет маскировки)	устаревший, только запасной

⚠️ xray 26: транспорт tcp теперь зовётся raw (оба варианта валидны), gRPC помечен deprecated (работает, но для CDN берут XHTTP), а Shadowsocks и Trojan без TLS под жёстким РФ-DPI заметны. Держите их резервом, а не основой.

Что делать сейчас (рекомендация)

Ставить всё подряд не нужно. Рабочая схема на 2026 год:

Основной канал: VLESS-Reality на 443/TCP. Заведёте свой домен на ноде, берите Selfsteal. Он маскирует соединение под ваш же реальный сайт и держится лучше всех. Возиться с доменом не хотите, ставьте Reality с донором: тогда соединение прячется под рукопожатие чужого популярного сайта.
Второй транспорт на той же ноде: Hysteria2 (UDP). Вечером и на мобильных операторах TCP душат первым, а Hysteria в это время часто ещё летит. Держите её кнопкой на крайний случай.
Скрытые резервы для авто-свопа: gRPC и XHTTP. Клиент видит один «Автовыбор» на TCP, gRPC и XHTTP лежат скрытыми. Режут именно TCP, переключаетесь на них. Как собрать такой умный «Автовыбор», разбираем в статье «Супер-автовыбор».
Блокируют по IP, поднимайте XHTTP за CDN. Это отдельный слой выживания, ему посвящена статья «Спрятать сервер за CDN».
Клиенту отдавайте подписку с несколькими хостами. Один канал лёг, второй подхватил, человек ничего не заметил.

Итог: Selfsteal или Reality плюс Hysteria2 на каждой ноде, gRPC и XHTTP в резерв, CDN подключаете, когда банят по IP. Такой набор закрывает потребности 95% сервисов.

Разбор по протоколам с готовыми конфигами

В каждой статье вас ждёт конструктор: вписываете свои данные (домен, ключи) и получаете готовый конфиг для панели. Все конфиги мы сняли с боевого сервиса и проверили.

VLESS-TCP-Reality (+ Selfsteal): базовый №1 для РФ, два готовых профиля.
VLESS-gRPC-Reality: мультиплекс по HTTP/2, скрытый резерв.
VLESS-XHTTP: работа за CDN, обход блокировки по IP.
VLESS-TCP-TLS: честный TLS на своём домене.
Trojan: маскировка под HTTPS-сайт (TLS или Reality).
Hysteria2: QUIC/UDP для мобильных и плохих каналов.

Детальный разбор всех профилей разом, включая Shadowsocks-2022 и WARP, с командами вы найдёте в статье «Профили подключений (inbounds)».

Гигиена протоколов

Не светите один SNI или донор на всех нодах, ротируйте их.
Держите на ноде два транспорта (Reality + Hysteria2): один режут, работает второй.
После волны блокировок меняйте порты и доноров.
Клиентам отдавайте подписку с несколькими конфигами, панель сама переключит на живой.

Дальше разбираем, что делать, когда IP или подсеть всё-таки заблокировали: статья «Заблокировали IP?».

Где размещать протоколы на ноде

Выбрать протокол это половина дела. Вторая половина в том, как разложить протоколы по портам. Отдельный порт на каждый виден при сканировании: обычный сайт не слушает 2096 и 2443. Вместо этого разделяют по SNI, оставляя всё на 443, либо собирают fallback-цепочки Xray.

Отдельно про UDP. Hysteria обычно вешают на свой порт, но QUIC передаёт SNI, поэтому Hysteria и HTTP/3-сайт спокойно делят один UDP 443. Снаружи нода выглядит обычным сайтом с HTTP/3.

Сравнение трёх схем размещения (скорость, пинг, стойкость к сканированию, сложность) и готовые конфиги ждут в статье Эталонные схемы размещения.