VLESS: что это такое и что значат security, sni, flow и encryption в ключе

VLESS попадается людям в виде длинной строки vless://…: её присылают как «ключ» и просят вставить в приложение. Ниже — что такое VLESS, что значит каждое поле ключа и как с ним обращаться. Всё сказанное — на 10 октября 2026 года, по документации проекта Xray.

Что такое VLESS

VLESS — протокол из проекта Xray, открытой программы для серверов и приложений. Документация Xray называет его «лёгким протоколом без состояния»: он передаёт ваш трафик от приложения к серверу и обратно и проверяет, кто подключается, по идентификатору — длинному числу вида 8f3c…-…-…, его называют UUID.

У VLESS нет своего приложения и своих серверов. Это язык, на котором говорят сервер одного поставщика и приложение, которое вы поставили, — например, Happ. Поэтому «VLESS VPN» — не отдельный сервис, а способ подключения, который используют многие сервисы.

Чем VLESS отличается от привычного VPN-протокола. Протоколы вроде WireGuard сами шифруют и сами себя описывают. VLESS делит работу на два слоя: внутри — VLESS, который знает, кто вы и куда идёт трафик, снаружи — защитный слой, который шифрует и отвечает за то, как соединение выглядит в сети. Как этот слой устроен, и записано в большей части ключа.

encryption=none: почему это не «без шифрования»

Самый частый испуг при взгляде на ключ — строка encryption=none. Она значит только то, что не включено шифрование на уровне самого VLESS. По документации Xray поле нельзя оставить пустым, и none — обычное значение, а сам VLESS полагается использовать поверх внешнего защитного слоя — TLS или REALITY. Именно этот слой и шифрует ваш трафик; в ключе он записан в поле security.

С 2025 года у VLESS появилось и собственное шифрование — VLESS Encryption (сейчас один вариант, mlkem768x25519plus). Если ключ его использует, в поле encryption будет длинная строка вместо none. Ключи с encryption=none и security=reality шифруются слоем REALITY.

Одно исключение, о котором стоит знать: ключ с security=none (и без VLESS Encryption) не шифрует ничего. Документация Xray допускает такое только для адресов внутри частной сети.

Что значат поля ключа vless://

Ключ выглядит так (значения условные):

vless://UUID@server.example.com:PORT?encryption=none
  &flow=xtls-rprx-vision&fp=chrome&pbk=…&security=reality
  &sid=…&sni=…&type=tcp#Название

Главное из таблицы: почти все поля должны совпадать с тем, что настроено на сервере. Ключ — не набор настроек «под себя», а пропуск, выписанный под конкретный сервер. Поправили в нём что-то кроме названия — и приложение, скорее всего, просто не подключится.

VLESS Reality: что это значит

REALITY — защитный слой из того же проекта Xray. Документация описывает его так: это изменённый TLS, который берёт внешний вид и рукопожатие у настоящего сайта, и снаружи такое соединение выглядит как обычное обращение к сайту. Отсюда и поля sni (имя этого сайта), fp (под какой браузер оформлено приветствие) и пара pbk/sid, по которой приложение и сервер узнают друг друга.

Для вас как пользователя это значит две вещи. Первая: своего сертификата и домена под сайт у такого сервера может не быть, и это нормально. Вторая: sni в ключе указывает на чужой сайт, но трафик идёт на сервер из адреса после @, а не на этот сайт.

VLESS TCP Reality — самая частая связка в ключах: способ передачи tcp, защитный слой REALITY, часто с flow=xtls-rprx-vision. Именно такие ключи выдаём и мы.

Как добавить ключ VLESS в приложение

Ключ — одна строка, поэтому способ везде похожий: скопировать её целиком и в приложении выбрать «добавить из буфера обмена» (в Happ это «+» → «Импорт из буфера обмена»). Чаще, чем голый ключ, поставщик выдаёт ссылку подписки: по ней приложение само загружает ключи на все серверы и обновляет их. Как это выглядит в Happ на компьютере — «Happ VPN на ПК», где взять подписку и чем она лучше разовых ключей — «Ключи и подписка для Happ».

Если ключ добавился, а подключения нет, сначала проверьте, целиком ли он скопирован: обрезанный хвост (sid, sni или pbk) ломает подключение молча. Дальше — порядок поиска обрыва в статье «Happ не работает».

Ключ — это пароль: как не отдать доступ

• UUID в ключе — ваш пропуск. Кто получил ключ, подключается от вашего имени и занимает ваше место у поставщика.
• Не вставляйте ключ в «онлайн-проверки» и незнакомые программы. Им достаточно один раз увидеть строку.
• Не публикуйте снимок экрана с ключом, даже когда просите помощи: ключ читается с картинки так же, как с текста.
• Бесплатные «ключи VLESS» из чатов — это чужой сервер, через который пойдёт ваш трафик. Кто его держит и что он видит, вы не знаете. Чем бесплатный ключ отличается от подписки — в разборе про ключи для Happ.
• Ключ утёк — перевыпустите. У нормального поставщика это делается в кабинете: старый ключ перестаёт работать сразу.

VLESS у Маяка

• Где он у нас. Ключи VLESS с REALITY приходят по ссылке подписки из личного кабинета: для Happ на iPhone, Windows и Mac и для INCY на iPhone. На Android у нас своё приложение, и там основной протокол другой — AmneziaWG.
• Как выглядят наши ключи. encryption=none, security=reality, type=tcp, заполнены sni, fp, pbk и sid; flow — xtls-rprx-vision или пусто. Адрес сервера в ключе — всегда доменное имя, не IP.
• У каждого устройства свой UUID. Перевыпустили ссылку устройства в кабинете — старый ключ этого устройства перестал работать, остальные живут.
• Чего в Happ нет. Автоматического перебора путей, как в нашем приложении для Android: ключ подключается одним способом.

Что мы проверили

• Документацию Xray про VLESS, транспорт и REALITY — 10 октября 2026 года: смысл полей encryption, flow, sni, fp, pbk, sid, слово «RAW» вместо «tcp» и правило про внешний защитный слой.
• Формат наших ключей — по коду сервера, который собирает ссылку vless://: набор полей, доменное имя вместо IP, свой UUID у устройства.
• Happ с нашей ссылкой на Windows 11 и Mac — живым подключением 25 сентября 2026 года, INCY на iPhone — 22 сентября.

Чего мы не знаем

• Как устроены чужие ключи. Мы описали поля по документации; что именно настроил на своём сервере другой поставщик, видно только ему.
• VLESS Encryption на практике. Ключи с ним мы не выдаём и живьём не проверяли.
• Как поведут себя приложения, кроме Happ и INCY. Формат ключа общий, но разбирает его каждое приложение по-своему.
• Как подключение поведёт себя в вашей сети. Это видно только у вас.

Короткие ответы

VLESS — это VPN? Это протокол, способ подключения. VPN в привычном смысле получается, когда приложение пускает через VLESS весь трафик устройства.

encryption=none — значит, трафик не шифруется? Нет, если security=reality или tls: шифрует внешний слой. Без шифрования только ключ с security=none.

Что такое security в VLESS? Поле, которое называет внешний защитный слой: reality, tls или none.

Что такое sni в ключе VLESS? Имя сайта, которое приложение называет в начале соединения. У REALITY оно должно быть из списка сервера; трафик при этом идёт на сервер из ключа, а не на этот сайт.

Что значит flow=xtls-rprx-vision? Режим XTLS Vision, который работает поверх TLS или REALITY. Если поле пустое, приложение подключается без него.

Почему в ключе порт 443? Это порт обычных защищённых сайтов. Ключ на другом порту тоже может быть рабочим — важно, чтобы порт совпадал с настройкой сервера.

Где взять ключи VLESS? У поставщика, которому вы доверяете трафик, лучше ссылкой подписки, а не разовым ключом. Бесплатные ключи из чатов — чужой сервер с неизвестным владельцем.

VLESS или AmneziaWG — что лучше? Это разные подходы: AmneziaWG шифрует сам и меняет вид пакетов WireGuard, VLESS опирается на внешний слой REALITY или TLS. У нас на Android основной — AmneziaWG, по ссылке подписки — VLESS с REALITY.