Протоколы ВПН: какие работают в России

Гарантированно работающего протокола в России нет: ни один источник из тех, что мы читали, не называет протокол, который пропускают все операторы. Документация описывает только устройство протокола, а решает сеть конкретного провайдера.

Ниже - как устроены OpenVPN, WireGuard, IKEv2, L2TP, Shadowsocks и VLESS, чем они различаются по транспорту и защите и что о них пишут издания и авторы с датами. Своих замеров скорости и списка проверенных сетей у нас нет, поэтому их в тексте нет.

Из чего состоит протокол ВПН

Протокол - это набор правил, по которому клиент и сервер договариваются о ключах и обмениваются пакетами. В нём три слоя. Транспорт отвечает за доставку: UDP или TCP. Обмен ключами подтверждает, что вы говорите с нужным сервером. Шифрование закрывает содержимое пакетов.

Разные протоколы по-разному делят эти обязанности. Одни берут все три слоя в одном пакете, другие отдают защиту внешнему слою, например TLS, а сами отвечают за адресацию. Об этом пойдёт речь в следующем разделе. Подробнее о том, что именно шифруется, - на странице про шифрование интернет-трафика.

Шесть протоколов по документации

Сравниваем только то, что написано в первоисточниках: справочниках, спецификациях и документации проектов. Скорость и задержки не сравниваем.

OpenVPN

По справочнику OpenVPN 2.4, протокол по умолчанию - UDP, но поддерживаются и режимы tcp-client с tcp-server. Порт 1194 справочник называет официальным назначением IANA для OpenVPN. Для защиты используется режим SSL/TLS с сертификатами клиента и сервера.

WireGuard

Страница протокола сообщает, что все пакеты идут по UDP. Для шифрования взят ChaCha20 с аутентификацией Poly1305, для обмена ключами - Curve25519, для хеширования - BLAKE2s. Рукопожатие повторяется каждые несколько минут. Сервер, по описанию на той же странице, не отвечает тем, кто не прошёл проверку.

IKEv2 и L2TP

IKEv2 описан в RFC 7296: он договаривается об алгоритмах и ключах, проверяет участников и создаёт защищённое соединение на базе ESP. Обычно использует UDP-порт 500, а при NAT - 4500. L2TP по RFC 3193 защиты туннеля сам не определяет: реализации должны подключать IPsec ESP, а стандартный порт - UDP 1701. Поэтому в клиентах его обычно встречают в связке L2TP/IPsec.

Shadowsocks

Проект называет его защищённым разделённым прокси, слабо основанным на SOCKS5: локальная часть ss-local шифрует трафик и передаёт удалённой ss-remote. Работает по TCP и UDP. Какое именно шифрование, зависит от выбранного шифра.

VLESS

По документации Xray, это лёгкий протокол без сохранения состояния, мост между клиентом и сервером. Пользователь определяется по UUID. Сам VLESS в обычной настройке не шифрует: ему нужен внешний слой, TLS либо REALITY. В отличие от VMess он не зависит от системного времени.

Что пишут о российских сетях

Проверенной таблицы допустимых протоколов у нас нет, а официального перечня разрешённых мы не нашли. Есть два источника с датами.

В интервью "Коммерсанта" от 11 апреля 2026 года эксперт Наталья Абрамова говорит, что блокируются домены, IP-адреса и в ряде случаев целые протоколы, а Роскомнадзор последовательно ограничивает OpenVPN, WireGuard и ряд других. Там же сказано, что сама технология ВПН в России не запрещена, а легальным считается сервис, зарегистрированный в Роскомнадзоре и подключённый к реестру запрещённых сайтов; оператору, по словам эксперта, нужна лицензия ФСБ.

Колонка на SecurityLab от 19 мая 2026 года - личное мнение автора, не позиция редакции. Автор пишет: с декабря 2025 года начата блокировка SOCKS5, VLESS и L2TP, в феврале 2026 года WireGuard и OpenVPN заблокированы полностью, при этом VLESS, по тексту, под ограничениями, но не заблокирован полностью. Оборудование ТСПУ, по той же колонке, работает на глубокой инспекции пакетов и смотрит на порты, типы шифрования и поведенческие шаблоны, а не только на адреса. Свежее мая 2026 года источников в наших заметках нет.

Почему устройство важнее названия

Дальше - наше рассуждение, а не факт из источника. Если сеть смотрит на порты и поведение, то заметнее те схемы, у которых они постоянны: у OpenVPN закреплён порт 1194, у L2TP и IKEv2 фиксированные UDP-порты, у WireGuard - единая последовательность рукопожатия поверх UDP. Схема, построенная на TLS, ближе к обычному веб-соединению.

Но доказать, что от этого зависит пропуск, мы не можем: ни справочники, ни колонка этого не утверждают. Автор REALITY заявляет, что сервер убирает отличительные признаки TLS-отпечатка, а SecurityLab пишет, что подобные надстройки работают с переменным успехом, потому что ТСПУ постепенно учится их распознавать. Оба утверждения - чужие заявления без независимой проверки.

Как выбрать протокол под свои условия

Nebula Link продаёт сервис на VLESS, поэтому оценка пристрастна: проверяйте критерии, а не наши слова. Рейтинга протоколов здесь нет, потому что нет измерений для него.

• Нужно ли шифрование в самом протоколе или его даёт внешний слой? У VLESS и Shadowsocks это зависит от настройки.
• На каком транспорте работает протокол и можно ли его сменить в вашем клиенте.
• Есть ли клиент под вашу систему: свободных клиентов много для VLESS, WireGuard и OpenVPN, а встроенные в систему L2TP и IKEv2 не требуют установки.
• Как протокол ведёт себя в вашей сети: единственный способ узнать - попробовать на своём провайдере и своём устройстве.

Как начать с VLESS через Telegram-бот

Nebula Link - пример сервиса на VLESS. Своего приложения у нас нет, ключ работает в любом свободном клиенте с поддержкой этого протокола. Гарантий подключения в любой сети мы не даём: см. выше, что пишет SecurityLab о VLESS. Страница подготовлена брендом Nebula Link с помощью ИИ по источникам внизу и не заменяет проверку на вашей сети.

• Откройте Telegram-бот @owlink_service_bot - получите персональный VLESS-ключ и Десять дней бесплатно.
• Скопируйте ключ и импортируйте его в клиент. Подробнее - в материале как подключить ВПН.
• Клиент под вашу систему выберите на странице скачать ВПН. Ключ работает на 5 устройствах одновременно.

Источники

• OpenVPN: справочник по версии 2.4
• WireGuard: описание протокола
• RFC 7296: Internet Key Exchange Protocol Version 2
• RFC 3193: Securing L2TP using IPsec
• Shadowsocks: что это такое
• Документация Xray: исходящее подключение VLESS
• README проекта REALITY (XTLS)
• Коммерсантъ: Блокировка VPN в России, правовые последствия и будущее рынка
• SecurityLab: VPN в России 2026, правовой статус, блокировки и штрафы