Когда говорят «протокол Amnezia», чаще всего имеют в виду AmneziaWG. Amnezia VPN служит приложением и экосистемой для своего сервера, бесплатного доступа и коммерческих подписок, а AmneziaWG решает более узкую задачу. Протокол берет WireGuard и меняет внешний сетевой профиль UDP-пакетов, чтобы фильтрам было сложнее распознать VPN по форме соединения.
AmneziaWG не усиливает шифрование WireGuard и не делает трафик невидимым. Смысл протокола в другом: сохранить скорость и простоту WireGuard, но убрать часть устойчивых признаков, по которым глубокая проверка пакетов распознает обычный WireGuard. В AmneziaWG 2.0 разработчики перешли от грубой маскировки к попытке имитировать легитимные UDP-протоколы, например DNS, QUIC или SIP. Подробная механика описана в документации AmneziaWG, а реализация опубликована в исходном коде.
Материал предназначен для легального и ответственного использования. Читателю нужно соблюдать законы своей страны, особенно России. Инструкции нельзя применять для несанкционированного доступа, слежки, взлома, нарушения правил сервисов или незаконного обхода блокировок.
Как работает AmneziaWG
Обычный WireGuard удобен тем, что быстро поднимает туннель, использует современную криптографию и не тащит за собой тяжелую переговорную машину. Но у простоты есть обратная сторона. У WireGuard есть узнаваемые типы сообщений, характерные размеры стартовых пакетов и довольно чистый UDP-профиль. Фильтру не нужно расшифровывать содержимое, чтобы принять решение о блокировке. Достаточно увидеть устойчивую комбинацию признаков.
AmneziaWG добавляет поверх WireGuard слой маскировки. Криптографическое ядро остается прежним: Curve25519, ChaCha20-Poly1305, обмен ключами в логике WireGuard, ротация ключей. Меняется не смысл туннеля, а оболочка пакетов: заголовки, добавочные байты, стартовая последовательность и сигнатурные пакеты перед рукопожатием.
| Параметр | Что меняет | Зачем нужен |
|---|---|---|
H1-H4 |
Подменяет фиксированные идентификаторы типов пакетов WireGuard диапазонами значений | Мешает простым правилам, которые ищут WireGuard по первым байтам UDP-пакета |
S1-S4 |
Добавляет псевдослучайные байты к Init, Response, Cookie и Data-пакетам | Размывает сигнатуру по длине сообщений |
I1-I5 |
Отправляет до пяти специальных UDP-пакетов перед рукопожатием | Помогает придать началу соединения вид обычного UDP-обмена |
CPS |
Описывает сигнатурные пакеты через статические байты, случайные байты, цифры, буквы и время | Позволяет имитировать старт DNS, QUIC, SIP или другого UDP-протокола |
Jc, Jmin, Jmax |
Добавляет цепочку мусорных пакетов заданного размера | Скрывает момент настоящего рукопожатия и ломает простой профиль старта |
Главная идея AmneziaWG 2.0 проста. Фильтр видит не аккуратный WireGuard, а поток UDP-пакетов с меняющимися заголовками, плавающими размерами и несколькими вводными пакетами. Такой поток сложнее описать одним правилом. Но «сложнее» не равно «невозможно». Сильная система фильтрации может смотреть на интервалы, объемы, направление потока, реакцию сервера на нестандартные пакеты, IP-репутацию и поведение клиента через минуты после подключения.
Что изменилось в AmneziaWG 2.0
У AmneziaWG 1.0 и 1.5 уже были механизмы шума и изменения заголовков, но в 2026 году разработчики сделали ставку на мимикрию под обычные UDP-протоколы. Версия 2.0 добавила диапазоны для H1-H4, расширила добавки S1-S4 на разные типы пакетов и оформила CPS как язык описания сигнатурных пакетов. На практике администратор может взять фрагмент реального UDP-обмена, подготовить его в виде hex-строки и использовать как один из пакетов I1-I5.
Точная настройка зависит от клиента и серверной реализации. В актуальной документации AmneziaWG 2.0 диапазон Jc указан как 0-10, а README amneziawg-go дает рекомендованный диапазон 4-12. Для статьи и инструкции безопаснее не закреплять одно число как вечную норму, а отправлять читателя к актуальной документации выбранной сборки. Протокол меняется быстро, особенно после атак и новых правил фильтрации.
AmneziaVPN 4.8.12.9 и новее поддерживает AmneziaWG 2.0 для Self-hosted-сценария. Старый AmneziaWG 1.0 приложение показывает как AmneziaWG Legacy. Конфигурации и ключи старой версии несовместимы с AmneziaWG 2.0, поэтому переход требует новых гостевых конфигураций. После июньских сбоев и атак на инфраструктуру Amnezia команда также выпустила обязательное обновление 4.8.19.0 с правками безопасности, маршрутизации и устойчивости соединений.
Июнь 2026 года полезен как реальный стресс-тест. Проблемы затронули не только протоколы, но и IP-адреса, переключение серверов, инфраструктуру приложений и сервисные API. SecurityLab уже разбирал новую волну сбоев VPN и прокси в России. Вывод для пользователя неприятный, но честный: протокол важен, однако стабильность зависит еще от хостинга, подсетей, обновлений клиента, резервирования и реакции команды на новые правила фильтрации.
Как ставить и проверять
Базовый сценарий выглядит так: пользователь арендует VPS, ставит AmneziaVPN, подключает сервер по SSH, выбирает AmneziaWG 2.0, генерирует конфигурацию и подключает телефон или ноутбук. AmneziaVPN закрывает большую часть рутины, поэтому обычному пользователю редко приходится вручную собирать amneziawg-go или править параметры H, S, I и J.
Но после установки надо проверить не только надпись «подключено». Сетевой интерфейс должен подняться, маршрут по умолчанию должен уходить в туннель, внешний IP должен смениться, DNS не должен утекать к провайдеру, а UDP-пакеты должны идти на выбранный порт сервера.
ip addr
ip route
curl ifconfig.me
resolvectl status
sudo tcpdump -ni any udp port 585Если используется ручной запуск amneziawg-go, команды похожи на WireGuard-Go. Интерфейс можно поднять в фоне, запустить в переднем плане для диагностики или удалить через ip link.
amneziawg-go wg0
LOG_LEVEL=debug amneziawg-go -f wg0
sudo ip link del wg0Порт тоже нельзя выбирать механически. AmneziaWG ставит случайный порт по умолчанию, но часть провайдеров режет высокий UDP. Документация Amnezia советует при проблемах менять порт на число до 9999, например 585 или 1234, если порт свободен на сервере. Такой совет не универсален, но помогает отделить проблему порта от проблемы протокола.
Чаще всего ломается не «шифрование», а более скучные вещи. Старый клиент не понимает AmneziaWG 2.0. Гостевой конфиг создан для Legacy-версии. Диапазоны H1-H4 пересекаются, и принимающая сторона не может надежно распознать тип пакета. Jmax или CPS-пакет выходит за системный MTU, сеть фрагментирует UDP, а фрагментация сама выглядит подозрительно. DNS остается снаружи туннеля, поэтому пользователь получает рабочий VPN и одновременно прямые доменные запросы к провайдеру.
- Обновляйте клиент и серверные компоненты вместе, особенно после ветки 4.8.x.
- Не переносите конфиги AmneziaWG 1.0 в AmneziaWG 2.0 как будто это один протокол.
- Проверяйте UDP-порт, маршруты, DNS и IPv6 отдельно.
- Держите
Jmaxниже MTU с запасом. - Не используйте пример CPS из документации как готовую универсальную сигнатуру.
Где протокол полезен, а где обещания заканчиваются
AmneziaWG лучше всего подходит для сетей, где обычный WireGuard уже узнают по сигнатуре, но UDP еще не закрыт целиком. В таком случае протокол сохраняет сильные стороны WireGuard: быстрый старт, низкую задержку, простую конфигурацию и хорошую скорость. Маскировка добавляет шанс пережить фильтр, который режет стандартные пакеты WireGuard, OpenVPN или массовые VPN-серверы по сетевому отпечатку.
Собственный VPS добавляет контроль, но не дает анонимность. Хостер знает клиента или платежный след, сайты видят IP-адрес VPS, дата-центр видит сервер, а сетевой наблюдатель может сопоставлять время и объемы трафика. Один личный сервер иногда живет дольше массового VPN-IP, но при точечной блокировке такой адрес может стать даже более удобной мишенью.
AmneziaWG работает хуже, если оператор связи режет весь неизвестный UDP, пропускает только белый список направлений или активно блокирует IP-адреса после короткого периода наблюдения. В таких сетях иногда лучше держатся схемы, которые выглядят как обычный TLS-трафик на 443-м порту, но такие решения сложнее настраивать, сложнее поддерживать и тоже можно распознавать по поведению.
Маркетинговый миф про «невидимость для DPI» лучше отбросить. Документация Amnezia описывает сильную маскировку, но сама Amnezia признает, что фильтры анализируют статистику и поведение. Исследования VPN-фингерпринтинга тоже давно показывают, что блокировщик может комбинировать пассивные признаки и активное зондирование. Поэтому AmneziaWG надо рассматривать как инженерную меру в гонке фильтров и обходных протоколов, а не как вечную защиту.
Практический вывод такой. AmneziaWG имеет смысл ставить на свой сервер, если нужен быстрый WireGuard-подобный туннель с дополнительной маскировкой UDP-трафика. Перед публикацией конфигов надо обновить AmneziaVPN, создать новые ключи для версии 2.0, проверить порт, MTU, DNS, IPv6 и внешний IP. В оценке рисков надо помнить про границы подхода: протокол скрывает часть формы пакетов, но не отменяет зависимость от VPS, репутации IP, инфраструктуры приложения, законов, правил сервисов и качества сети.
