AmneziaWG 2.0: Полное руководство по маскировке VPN-трафика под легитимные протоколы

Почему простой маскировки больше недостаточно

Современные системы глубокого анализа трафика (DPI) научились распознавать не только стандартный WireGuard, но и многие обфусцированные протоколы. Провайдеры анализируют статистические паттерны, размеры пакетов и временные характеристики соединений. Простая замена заголовков, которую предлагала первая версия AmneziaWG, перестала быть эффективной — DPI запоминает фиксированные значения и блокирует трафик по сигнатуре.

AmneziaWG 2.0 — это ответ на эти вызовы. Вместо маскировки отдельных элементов протокол предлагает полную мимикрию: ваше VPN-соединение может выглядеть как обычный DNS-запрос, QUIC-соединение (HTTP/3) или SIP-звонок. Выбор протокола для имитации остаётся за пользователем.

Ключевые нововведения AmneziaWG 2.0

Версия 2.0 сохранила все возможности первой версии (мусорные пакеты Jc/Jmin/Jmax, padding handshake S1/S2, замена заголовков H1-H4) и добавила принципиально новые механизмы:

• Signature Packets (i1–i5): до пяти специальных пакетов, отправляемых перед каждым handshake. Они имитируют начало легитимного протокола — DPI видит, например, DNS-запрос, и пропускает трафик.
• Расширенный padding S3 и S4: S3 добавляет случайные байты к Cookie Reply (редкий пакет, но с фиксированным размером 64 байта), а S4 — к каждому транспортному data-пакету. Это делает размеры всех пакетов непредсказуемыми.
• Range-based заголовки H1–H4: вместо фиксированного числа теперь можно задать диапазон значений. Каждый пакет получает уникальный заголовок, что делает статистический анализ бесполезным.

Все эти механизмы работают вместе, создавая многоуровневую защиту от DPI.

Signature Packets: как работают i1–i5

Signature packets — это самое значительное нововведение. Перед каждым WireGuard handshake (который происходит раз в две минуты) клиент отправляет серверу до пяти специальных пакетов, которые выглядят как начало обычного DNS-запроса, QUIC-соединения или любого другого протокола.

Схема работы:

1. Клиент → [Пакет, похожий на DNS] → Сервер
2. Клиент → [Ещё данные DNS] → Сервер
3. Клиент → [WireGuard Handshake с обфускацией] → Сервер
4. DPI видит: «DNS трафик, всё нормально» → ПРОПУСК

Технические детали:

• Можно настроить до 5 signature packets (i1, i2, i3, i4, i5).
• Каждый пакет описывается в формате CPS (Custom Protocol Signature).
• Если i1 не настроен — signature packets не отправляются, обеспечивая обратную совместимость с версией 1.0.
• Пакеты отправляются перед каждым handshake, то есть примерно раз в 2 минуты.

Пример простой конфигурации для имитации DNS:

i1 = **

Расширенный padding: S3 и S4

В версии 1.0 padding применялся только к handshake-пакетам (S1 и S2). Но handshake происходит редко, а основной объём трафика — это data-пакеты (загрузка сайтов, видео, файлы), которые оставались с предсказуемыми размерами.

S3 — Cookie Reply Padding Cookie Reply — это пакет, который сервер отправляет клиенту при высокой нагрузке (защита от DoS). Его стандартный размер — ровно 64 байта, что является отличным индикатором для DPI. S3 добавляет случайные байты к этому пакету.

• Когда работает: только когда сервер под нагрузкой.
• Пример: S3 = 32 — к 64 байтам добавится 32 случайных байта.

S4 — Transport Data Padding Самый важный новый параметр. S4 добавляет случайные байты к каждому зашифрованному транспортному пакету, несущему фактический интернет-трафик.

• Когда работает: постоянно, для всех data-пакетов.
• Компромисс: чем больше padding, тем выше маскировка, но ниже скорость.

Пример конфигурации:

S1 = 68
S2 = 149
S3 = 32
S4 = 16

Range-based заголовки H1–H4

В WireGuard каждый пакет начинается с 4-байтового идентификатора типа (Type=1 — Handshake Initiation, Type=2 — Handshake Response, Type=3 — Cookie Reply, Type=4 — Transport Data). AmneziaWG 1.0 позволял заменить их на фиксированные значения через параметры H1–H4. Проблема: DPI запоминал эти значения и блокировал трафик.

Решение в версии 2.0 — диапазоны:

H1 = 471800590-471800690  # 101 возможный вариант
H4 = 1769581055-1869581055  # 100 миллионов вариантов

Как это работает:

• При отправке: для каждого пакета случайно выбирается значение из указанного диапазона.
• При приёме: принимается любое значение из настроенного диапазона.
• Результат: каждый пакет имеет уникальный заголовок.

Важное ограничение: диапазоны H1, H2, H3 и H4 не должны пересекаться. Иначе невозможно будет понять, какой тип пакета пришёл.

Пример корректной настройки:

H1 = 471800590-471800690
H2 = 1246894907-1246895000
H3 = 923637689-923637690
H4 = 1769581055-1869581055

Язык CPS: конструктор поддельных пакетов

CPS (Custom Protocol Signature) — это специальный формат для описания signature packets. Это «конструктор», который позволяет собрать пакет, неотличимый от легитимного трафика.

Доступные теги CPS:

• ** — вставляет точные байты (магические байты протокола).
• `` — вставляет timestamp (4 байта Unix time).
• `` — N случайных байт.
• `` — N случайных букв/цифр [A-Za-z0-9].
• `` — N случайных цифр [0-9].

Пример сигнатуры QUIC:

i1 = **

Разбор:

• ** — начало QUIC Initial packet (0xc7 — тип пакета, 0x00000001 — версия QUIC v1).
• `` — 8 случайных символов для Connection ID (например, «aB3dEf9H»).
• `` — временная метка (разная для каждого handshake).
• `` — 50 случайных байт payload.

Результат: DPI видит начало QUIC-соединения и пропускает трафик.

Практическая настройка self-hosted сервера

Чтобы развернуть VPN с AmneziaWG 2.0 на собственном сервере, выполните следующие шаги:

1. Обновите приложение AmneziaVPN до версии 4.8.12.9 или выше. Скачать можно с официальной страницы или зеркала.
2. Откройте приложение и нажмите на название подключения.
3. Нажмите на иконку шестерёнки справа от подключения к вашему серверу — отобразится список всех протоколов.
4. Нажмите на иконку загрузки справа от протокола AmneziaWG, затем «Установить».
5. После установки протокол станет доступным для выбора. По умолчанию устанавливается со случайным портом. Рекомендуется сменить порт на значение до 9999 (например, 585 или 1234), так как некоторые провайдеры блокируют UDP на высоких портах.

Важно:

• При установке AmneziaWG 2.0 потребуется сгенерировать новые гостевые конфигурации — старые ключи от версии 1.0 не подойдут.
• Если у вас уже установлен AmneziaWG 1.0, он будет отображаться как «AmneziaWG Legacy» и продолжит работать.
• Изменять параметры I1–I5 можно как на стороне сервера (для всех клиентов), так и на стороне клиента (для конкретного устройства).

Как самостоятельно найти сигнатуру протокола

Вы можете создать собственную сигнатуру для маскировки под любой UDP-протокол. Для этого понадобится Wireshark.

Пошаговая инструкция:

1. Установите и запустите Wireshark.
2. Выберите сетевой интерфейс, через который идёт ваш интернет-трафик.
3. Нажмите «Start capturing packets».
4. Введите в поле фильтра название нужного протокола (например, quic или dns).
5. Выберите пакет из списка (рекомендуется начальный или финальный пакет сессии).
6. Кликните правой кнопкой мыши → Copy → …as Hex Stream.

Подготовка hex-строки для AmneziaVPN:

• Добавьте префикс **.
• Пример: d10000000108c10f0131a077e7f01087... → **

Настройка в AmneziaVPN:

• Для сервера: откройте настройки сервера → AmneziaWG → настройки сервера → поле I1.
• Для клиента: откройте настройки подключения → AmneziaWG → настройки подключения → поле I1.
• Вставьте подготовленную строку и сохраните.

Ограничения и рекомендации

Несмотря на мощные возможности, AmneziaWG 2.0 имеет ряд ограничений:

• Совместимость: протокол поддерживается только в AmneziaVPN версии 4.8.12.9 и выше. Старые версии приложения не смогут подключиться к серверу с AWG 2.0.
• Производительность: использование padding (особенно S4) увеличивает объём передаваемых данных, что может снизить скорость соединения. Рекомендуется начинать с небольших значений (например, S4 = 16) и увеличивать при необходимости.
• Пересечение диапазонов H1–H4: обязательно проверяйте, что диапазоны не пересекаются, иначе сервер не сможет корректно определить тип пакета.
• Генерация новых ключей: при переходе с AWG 1.0 на 2.0 или при изменении серверных настроек (порт, протокол) необходимо заново создавать конфигурации для всех пользователей.
• Выбор порта: некоторые провайдеры блокируют UDP на высоких портах. Рекомендуется использовать порты до 9999.

Рекомендации по маскировке:

• Для регионов с жёсткой цензурой используйте комбинацию signature packets (i1–i5) и range-based заголовков.
• Экспериментируйте с разными протоколами для имитации: DNS, QUIC, SIP, STUN.
• Регулярно обновляйте приложение AmneziaVPN — разработчики постоянно улучшают протокол.

Вопросы и ответы