AmneziaWG (Амнезия ВГ): что это такое и чем отличается от WireGuard

AmneziaWG и WireGuard постоянно ставят рядом и сравнивают, как два соперничающих протокола, и спорят, какой лучше. Вопрос поставлен неверно: это не два протокола.

Что такое AmneziaWG простыми словами

Под словом AmneziaWG прячутся две вещи, и от этого путаница.

• Протокол. Правила, по которым телефон или компьютер договаривается с сервером и шифрует трафик. Это WireGuard с добавленным слоем маскировки: о нём — разделы ниже.
• Программы, которые этот протокол понимают. Их выпускает команда Amnezia, код открыт на GitHub, сами программы бесплатные. На 10 октября 2026 года это клиент AmneziaVPN (версия 5.0.3.0; умеет ещё и настроить ваш собственный сервер), отдельное приложение AmneziaWG (на Android — v3.1.20260814, на Windows — 3.1.0) и утилиты amneziawg-tools с командой awg для Linux и роутеров (v3.1.20260812).

Серверов у AmneziaWG своих нет. Программа подключается к тому серверу, который описан в файле настроек: его либо поднимаете вы сами, либо выдаёт сервис. Где скачать каждую программу и как не поставить подделку, — в статье «Где скачать Amnezia VPN»; как настроить свой сервер или готовый конфиг — «Amnezia VPN: как настроить».

Почему WireGuard узнаётся с первого пакета

WireGuard устроен экономно: у него всего четыре типа сообщений, и тип написан в первом байте каждого пакета — 1, 2, 3 или 4. Размеры служебных пакетов тоже постоянные: у пакета, которым начинается соединение, длина всегда одна и та же. Этой пары признаков достаточно, чтобы опознать протокол, не расшифровывая ни байта содержимого: первый байт равен единице, длина совпадает — значит, это WireGuard.

Для оборудования, которое разбирает трафик в сети оператора, это подарок. Ему не нужно ломать шифрование — достаточно посмотреть на форму пакета. Дальше решение принимается по политике: пропустить, замедлить или уронить. Именно поэтому «у меня VPN просто перестал работать в этой сети» звучит так часто: перестало работать не шифрование, а узнаваемость.

Что меняет AmneziaWG

AmneziaWG — форк WireGuard от команды Amnezia. Он оставляет протокол как есть и добавляет к нему слой маскировки. Что происходит при подключении:

• Мусорные пакеты перед рукопожатием. Клиент отправляет несколько датаграмм случайной длины со случайным содержимым. Полезных данных в них нет вовсе — их задача в том, чтобы новый поток не начинался с узнаваемого пакета.
• Случайные типы вместо 1, 2, 3, 4. Числа, обозначающие тип сообщения, заменяются значениями из заранее согласованных диапазонов — свой диапазон на каждый тип. Проверка «первый байт равен единице» перестаёт что-либо значить.
• Переменная длина. К служебным пакетам добавляется случайный паддинг, поэтому «всегда одинаковый размер рукопожатия» тоже перестаёт быть признаком.
• Сигнатурные пакеты. Первое, что видит сеть, можно сделать похожим на начало другого, повседневного протокола — например, на первый пакет QUIC, которым браузер открывает обычный сайт.

Всё это — параметры соединения, а не отдельный протокол: их согласуют обе стороны, и менять их можно, не переписывая ни клиент, ни сервер.

Что при этом НЕ меняется

Это место чаще всего понимают неправильно, поэтому скажем прямо: обфускация не трогает криптографию. Остаются те же ключи X25519, то же рукопожатие Noise IK, тот же шифр ChaCha20-Poly1305 — всё, за что WireGuard уважают. Маскировка работает снаружи конверта, а не внутри письма.

Отсюда следствие, которое стоит держать в голове: обфускация не делает соединение «безопаснее». Она делает его менее заметным. Это разные свойства, и путать их не стоит — в том числе когда сервис обещает «двойное шифрование» там, где на деле просто изменена форма пакета.

Чем приходится платить

• Несовместимость со стандартным клиентом. Обычное приложение WireGuard к серверу AmneziaWG не подключится: оно не знает параметров маскировки и сочтёт такие пакеты неверными. Нужен клиент с поддержкой AmneziaWG — и наоборот.
• Немного лишнего трафика. На установленном соединении это несколько десятков байт на пакет; основная часть накладных расходов приходится на начало соединения — мусорные датаграммы уходят один раз. ⚠️ Эти лишние байты надо вычитать из MTU туннеля, иначе полноразмерный пакет перестаёт помещаться в канал: как считается MTU для WireGuard и AmneziaWG.
• Параметры должны совпадать. Разошлись значения на клиенте и сервере — соединение не поднимется вовсе. Поэтому их раздаёт сервер, а не человек вписывает руками. Совпадать обязаны не все: мы проверили замером, какие именно — разбор всех полей конфига AmneziaWG.
• Это не «навсегда». Маскировка — соревнование, а не разовая настройка: набор признаков, по которым узнают протокол, со временем меняется.

Версии AmneziaWG: 1.5, 2.0 и 3.x

Протокол менялся, и версии не взаимозаменяемы: набор строк в файле настроек у них разный.

• 1.5 — в конфиге были строки J1–J3 и Itime, а S3 и S4 ещё не было.
• 2.0 — J1–J3 и Itime убраны, добавлены S3, S4 (паддинг ещё для двух видов пакетов) и сигнатурные пакеты I1–I5.
• 3.x (сейчас 3.1) — добавлены защита заголовка и таймеры. Конфиг для 3.1 старый клиент не откроет вовсе, а не «частично».

Если приложение пишет, что версия устарела или конфиг не читается, дело не в сети: файл и программа собраны под разные версии. Обновите программу и попросите у того, кто выдал конфиг, новый. Какие поля появились в какой версии и какие обязаны совпадать с сервером — мы проверили замером: разбор версий в статье про конфиг.

Где работает AmneziaWG 3.x. На Android и Windows — в приложениях команды Amnezia; на Linux — с amneziawg-tools; на роутерах — на OpenWrt со свежим пакетом (штатные прошивки Keenetic на конец сентября знали только 2.0): «ВПН на роутер». Про компьютеры — «Amnezia VPN на ПК».

Как это устроено у Маяка

Мы используем AmneziaWG 3.1 на всех выходах. Параметры маскировки приложение не придумывает и человек не вписывает: их выдаёт сервер вместе с настройками подключения, каждой линии — свои. Это позволяет менять рисунок соединения централизованно, когда в какой-то сети он перестаёт проходить, и не просить людей ничего перенастраивать.

Одной маскировки, впрочем, мало. Бывают сети, где не проходит и она — тогда приложение само переключается на другой путь к серверу: через промежуточный вход или через обычное защищённое веб-соединение. Как устроен этот перебор, мы разобрали в статье «Одна кнопка, три пути».

Короткие ответы

Amnezia WG — что это за программа? Бесплатное приложение команды Amnezia для протокола AmneziaWG: оно подключается к серверу из файла настроек. Своих серверов у него нет.

AmneziaVPN и AmneziaWG — одно и то же? Нет. AmneziaVPN — большой клиент, который умеет ещё и поднять ваш собственный сервер; AmneziaWG — название протокола и отдельного лёгкого приложения для него. Оба от одной команды.

AmneziaWG бесплатный? Программы и код — да, код открыт на GitHub. Платят за сервер: свой или сервиса, который выдаёт конфиг.

Какая версия AmneziaWG последняя? На 10 октября 2026 года — 3.1: приложение для Android v3.1.20260814, для Windows 3.1.0, утилиты amneziawg-tools v3.1.20260812.

Чем Амнезия ВГ лучше обычного WireGuard? Не «лучше», а менее заметна в сети. Шифрование то же самое; выигрыш только в том, что соединение не узнаётся по форме пакета.

AmneziaWG — это то же самое, что WireGuard? Криптографически — да: те же ключи X25519, то же рукопожатие Noise IK, то же шифрование ChaCha20-Poly1305. Отличается только внешний вид пакетов в сети.

Обфускация ослабляет шифрование? Нет. Она меняет форму пакета снаружи и не трогает криптографию внутри; в мусорных пакетах полезных данных нет вовсе.

Можно ли подключиться обычным клиентом WireGuard? Нет: обе стороны должны применять одинаковые параметры обфускации, а стандартный клиент о них не знает.

AmneziaWG медленнее? На установленном соединении разница невелика — несколько десятков байт паддинга на пакет. Заметная часть расходов приходится на начало соединения.

Зачем это нужно, если WireGuard и так шифрует трафик? Шифрование прячет содержимое, но не сам факт, что соединение — WireGuard. Обфускация убирает опознавательные признаки, по которым протокол определяют, не читая содержимого.

WireGuard — зарегистрированный товарный знак Jason A. Donenfeld. Mayak Networks не аффилирован с WireGuard LLC и не одобрен ею. AmneziaWG — проект команды Amnezia, распространяется на условиях открытой лицензии.