AmneziaWG: какой это протокол и чем он отличается от WireGuard

Что такое AmneziaWG и зачем он нужен

AmneziaWG — это модифицированная версия популярного протокола WireGuard, разработанная командой Amnezia VPN. Основная цель — сохранить высокую скорость и простоту WireGuard, но добавить механизмы маскировки трафика, чтобы обходить системы глубокого анализа пакетов (DPI), которые используются для блокировки VPN в странах с жёсткой интернет-цензурой.

Обычный WireGuard легко обнаружить по характерным сигнатурам: фиксированные размеры пакетов, стандартные заголовки и предсказуемые паттерны handshake. DPI-системы провайдеров быстро учатся распознавать такие соединения и блокируют их. AmneziaWG решает эту проблему, добавляя обфускацию на уровне протокола: изменяет заголовки, добавляет случайные данные и имитирует легитимные протоколы.

Протокол впервые появился в 2023 году и с тех пор активно развивается. На момент написания статьи актуальной является версия 2.0, которая доступна для self-hosted пользователей в клиенте AmneziaVPN. Версии 1.5 и 1.0 продолжают использоваться в коммерческих продуктах Amnezia Free и Premium, но поддержка 2.0 для них планируется.

Чем AmneziaWG отличается от WireGuard

WireGuard — это современный VPN-протокол, известный своей простотой, высокой производительностью и минимальным количеством настроек. Однако его трафик легко идентифицируется DPI-системами из-за фиксированных размеров пакетов и стандартных заголовков. AmneziaWG берёт за основу WireGuard и добавляет несколько уровней обфускации.

Основные отличия:

• Изменяемые заголовки: в WireGuard каждый пакет начинается с 4-байтового идентификатора типа (1 — handshake initiation, 2 — handshake response, 3 — cookie reply, 4 — transport data). AmneziaWG позволяет заменить эти значения на произвольные, а в версии 2.0 — использовать диапазоны значений, чтобы каждый пакет имел уникальный заголовок.
• Padding (добавление случайных данных): AmneziaWG может добавлять случайные байты к handshake-пакетам (параметры S1, S2), cookie reply (S3) и транспортным данным (S4). Это делает размеры пакетов непредсказуемыми, что затрудняет статистический анализ.
• Junk-пакеты: перед handshake отправляются мусорные пакеты (параметры Jc, Jmin, Jmax), которые сбивают с толку DPI.
• Signature packets (только в 2.0): до реального handshake клиент отправляет до пяти специальных пакетов, имитирующих начало легитимного протокола (DNS, QUIC, SIP и т.д.). Это позволяет полностью мимикрировать под обычный трафик.

При этом AmneziaWG сохраняет архитектуру WireGuard: работает поверх UDP, использует те же криптографические примитивы (ChaCha20, Poly1305, Curve25519) и обеспечивает высокую скорость и низкое энергопотребление.

Как работает маскировка в AmneziaWG 1.0 и 1.5

Первая версия AmneziaWG (1.0) была выпущена в 2023 году и включала базовые механизмы обфускации:

• Junk-пакеты (Jc, Jmin, Jmax): клиент отправляет случайное количество мусорных пакетов перед handshake. Это затрудняет DPI определение начала соединения.
• Padding handshake (S1, S2): изменяет размеры handshake-пакетов, добавляя случайные байты. Стандартный handshake initiation в WireGuard имеет размер 148 байт, response — 92 байта. С padding они становятся непредсказуемыми.
• Замена заголовков (H1-H4): позволяет заменить стандартные 4-байтовые идентификаторы типов на произвольные значения. Например, можно задать H1 = 1234567890, и все handshake initiation пакеты будут начинаться с этого числа.

Версия 1.5, которая используется в Amnezia Free и Premium, добавила незначительные улучшения, но принципиально не отличалась от 1.0. Эти версии эффективны против простых DPI, которые ищут сигнатуры WireGuard по фиксированным заголовкам и размерам пакетов. Однако более продвинутые системы могут запомнить паттерны, если значения H1-H4 постоянны, и заблокировать трафик.

Что нового в AmneziaWG 2.0: мимикрия под легитимные протоколы

AmneziaWG 2.0 — это значительный шаг вперёд. Вместо простой маскировки заголовков протокол теперь умеет имитировать другие UDP-протоколы, такие как DNS, QUIC (HTTP/3) или SIP (VoIP). Это достигается за счёт нескольких нововведений.

Signature packets (i1-i5) — главная фишка версии 2.0. Перед каждым handshake (который происходит раз в 2 минуты) клиент отправляет до пяти специальных пакетов, которые выглядят как начало легитимного протокола. Например, можно настроить i1 так, чтобы он имитировал DNS-запрос: первые байты будут соответствовать заголовку DNS, затем идут случайные символы и временная метка. DPI видит "DNS-трафик" и пропускает его, а настоящий WireGuard handshake идёт следом, уже под прикрытием.

Расширенный padding (S3, S4): в версии 2.0 добавлена возможность изменять размеры cookie reply (S3) и, что важнее, транспортных данных (S4). Раньше data-пакеты имели предсказуемые размеры, что позволяло DPI идентифицировать WireGuard по статистике. Теперь к каждому data-пакету добавляется случайное количество байт, что делает размеры непредсказуемыми.

Диапазоны заголовков (H1-H4): вместо фиксированных значений теперь можно задавать диапазоны. Например, H1 = 471800590-471800690 означает, что каждый handshake initiation пакет будет иметь случайное значение из этого диапазона. Это делает невозможным запоминание паттерна DPI-системой. Важно, чтобы диапазоны H1-H4 не пересекались, иначе протокол не сможет определить тип пакета.

Язык CPS: как создаются сигнатуры для маскировки

CPS (Custom Protocol Signature) — это специальный формат для описания signature packets в AmneziaWG 2.0. Он позволяет "сконструировать" пакет, который будет выглядеть как начало легитимного протокола. CPS использует набор тегов:

• ** — вставляет точные байты, например, магические байты протокола (0xc700000001 для QUIC).
• `` — добавляет 4-байтовую временную метку Unix time.
• `` — добавляет N случайных байт.
• `` — добавляет N случайных букв/цифр (для текстовых протоколов).
• `` — добавляет N случайных цифр.

Пример сигнатуры для имитации QUIC:

i1 = **

Здесь ** — начало QUIC Initial packet (тип 0xc7, версия 1), ` — 8 случайных символов для Connection ID, — временная метка, ` — 50 случайных байт payload. DPI видит первые байты, характерные для QUIC, и пропускает трафик.

CPS позволяет создавать сигнатуры для любых UDP-протоколов, если вы знаете их структуру. В документации Amnezia приведены примеры для DNS, QUIC и SIP. Пользователь может настроить до пяти таких пакетов (i1-i5), которые будут отправляться перед каждым handshake.

Как настроить AmneziaWG 2.0 на своём сервере

Для использования AmneziaWG 2.0 на self-hosted сервере необходимо:

1. Скачать или обновить приложение AmneziaVPN до версии 4.8.12.9 или выше (доступно на официальном сайте или зеркалах).
2. Установить или обновить протокол AmneziaWG на сервере через интерфейс приложения. Дополнительная настройка не требуется — все параметры конфигурации генерируются автоматически.
3. Подключиться к серверу, выбрав протокол AmneziaWG.

Для продвинутых пользователей доступна ручная настройка параметров в конфигурационном файле. Основные параметры:

• Jc, Jmin, Jmax — количество и размеры junk-пакетов.
• S1, S2 — padding для handshake initiation и response.
• S3 — padding для cookie reply.
• S4 — padding для транспортных данных.
• H1-H4 — заголовки (можно задавать диапазоны).
• i1-i5 — сигнатуры для имитации протоколов.

Пример конфигурации с имитацией DNS:

i1 = **

Важно: если параметр i1 не задан, signature packets не отправляются, и протокол работает как версия 1.0. Для максимальной эффективности рекомендуется настроить хотя бы одну сигнатуру.

Сравнение AmneziaWG с другими протоколами в AmneziaVPN

AmneziaVPN поддерживает несколько протоколов, каждый из которых имеет свои особенности:

• OpenVPN — проверенный временем, но легко обнаруживается DPI. Рекомендуется только в связке с Cloak.
• OpenVPN over Cloak — маскирует трафик под обычный web-трафик, защищает от active probing. Работает через TCP, что снижает скорость.
• WireGuard — быстрый и простой, но легко блокируется.
• IKEv2 — стабильный, но также уязвим для DPI.
• ShadowSocks — прокси-протокол, сложно идентифицируется, но работает только через TCP.
• AmneziaWG — рекомендуется для стран с высоким уровнем цензуры. Работает через UDP, сохраняет скорость WireGuard и обеспечивает маскировку.
• XRay Reality — самый устойчивый к DPI, маскирует трафик под TLS-соединение с реальным сайтом. Работает через TCP, но скорость выше, чем у OpenVPN over Cloak.

Для пользователей в России и других странах с жёсткой цензурой AmneziaWG является оптимальным выбором, так как сочетает высокую скорость UDP и эффективную обфускацию. XRay Reality подходит для самых сложных условий, но требует более тщательной настройки.

Ограничения и риски использования AmneziaWG

Несмотря на все преимущества, AmneziaWG не является панацеей. Вот основные ограничения:

• Версия 2.0 доступна не всем: пользователи Amnezia Free и Premium пока используют версию 1.5, которая менее устойчива к современным DPI. Поддержка 2.0 для этих продуктов планируется позже.
• Скорость: добавление padding и signature packets увеличивает объём передаваемых данных, что может незначительно снизить скорость, особенно при большом S4.
• Сложность настройки: для создания собственных сигнатур требуется понимание структуры протоколов и языка CPS. Новичкам проще использовать готовые конфигурации.
• Не все DPI обманываются: даже с мимикрией, если DPI анализирует поведение (например, частоту handshake), возможны блокировки. Однако AmneziaWG постоянно развивается.
• Выбор сервера: IP-адрес VPS может быть заблокирован, если он уже известен цензорам. Рекомендуется использовать свежие серверы.

Также важно помнить, что использование VPN в некоторых странах может быть ограничено законодательством. Перед использованием AmneziaWG убедитесь, что вы не нарушаете местные законы.

Как выбрать протокол для своих задач

Выбор протокола зависит от ваших приоритетов:

• Если нужна максимальная скорость и простота — используйте WireGuard или AmneziaWG (если цензура не критична).
• Если вы находитесь в стране с умеренной цензурой — AmneziaWG 1.5 или OpenVPN over Cloak будет достаточно.
• Если цензура очень жёсткая (как в Китае или Иране) — выбирайте XRay Reality или AmneziaWG 2.0 с правильно настроенными сигнатурами.
• Для мобильных устройств — AmneziaWG и WireGuard обеспечивают низкое энергопотребление.
• Для игр — важен низкий пинг, поэтому лучше использовать AmneziaWG или WireGuard, так как они работают через UDP.

AmneziaWG 2.0 — это компромисс между скоростью и скрытностью. Он подходит большинству пользователей, которые хотят обходить блокировки без значительной потери производительности. Если вы готовы пожертвовать скоростью ради максимальной защиты, рассмотрите XRay Reality.

Будущее AmneziaWG и развитие проекта

AmneziaWG активно развивается. Версия 2.0 — это только начало. Разработчики планируют расширять библиотеку готовых сигнатур, улучшать алгоритмы маскировки и интегрировать поддержку 2.0 во все продукты Amnezia. Также ведётся работа над совместимостью с другими платформами, включая iOS.

Проект Amnezia VPN изначально создавался как ответ на государственное давление и цензуру. Он ориентирован на self-hosted решения, что даёт пользователям полный контроль над сервером и конфигурацией. Это делает AmneziaWG привлекательным для ИТ-специалистов и всех, кто ценит приватность.

В будущем можно ожидать появления новых методов обфускации, которые будут адаптироваться к evolving DPI-системам. Однако уже сейчас AmneziaWG 2.0 является одним из самых эффективных инструментов для обхода блокировок, сочетая скорость WireGuard и маскировку, недоступную другим протоколам.

Вопросы и ответы