😳 Вы НЕ пользуетесь ВПН почти никогда (или прокси для самых маленьких)!

📱 Различие не в терминах, а в реализации. VPN (например Wireguard) работает на сетевом уровне: он берёт IP-пакет целиком, со всеми заголовками, и упаковывает как есть. Клиент получает собственный адрес внутри туннеля и фактически становится участником удалённой сети. Именно поэтому ему нужен виртуальный сетевой TUN адаптер — без него операционной системе просто некуда отдавать эти пакеты.

🤷‍♀️ Прокси устроен иначе. VLESS и Hysteria про IP-пакеты не знают вообще ничего: клиент открывает соединение к серверу и говорит «соедини меня с youtube.com, порт 443», а дальше гоняет туда-обратно поток байтов. Никакого адреса внутри туннеля, никакого членства в удалённой сети. Достаточно локального SOCKS5 на 127.0.0.1, который вы прописываете в браузере. Настоящий VPN среди популярных протоколов ровно один — WireGuard.

🏓 Отсюда растёт вопрос: почему ping через туннель не проходит. Ответ: прокси умеет только TCP и UDP, а ping — это ICMP, отдельный протокол, который никуда не заворачивается ни с TUN-режимом, ни без него. Проверять работоспособность туннеля пингом бессмысленно — так вы проверяете маршрут до сервера, а не сам туннель.

Тогда почему на телефоне всё-таки значок VPN? Потому что поверх прокси можно надстроить TUN-режим, и большинство клиентов так и делают: поднимают виртуальный интерфейс, забирают с него пакеты, сами собирают из них соединения и переупаковывают в прокси-протокол. Приложение запрашивает у Android разрешение VPN, иначе оно до пакетов не доберётся. Но по проводу всё равно уходит прокси.

🔐 Ключевое здесь: TUN (он же VPN) — свойство клиента, а не протокола. Технически TUN — это виртуальный интерфейс, а VPN — это сеть, но в обиходе и в интерфейсах клиентов они используются как синонимы.

У клиента Hysteria 2 такой режим встроен (официального графического клиента от разработчиков нет, но CLI-клиент существует и поддерживает встроенный TUN-режим на Windows, Linux и macOS)

💻 Умеют его все три ядра: у mihomo и sing-box давно, у Xray-core нативный TUN-инбаунд появился в январе 2026, а с весны он ещё и сам прописывает маршруты в системную таблицу. На Android и iOS правила другие — там интерфейс создаёт система и передаёт ядру готовый дескриптор, отсюда и запрос VPN-разрешения. Но по проводу при этом всё равно уходит прокси-протокол, а не VPN.

🚘 У прокси-модели есть и обратная сторона, приятная — маршрутизация. Раз клиент знает имя сайта до подключения, он может решать по домену: этот — напрямую, тот — через сервер. VPN на уровне IP-пакетов так не умеет, он видит только адреса. И можно пустить через прокси один браузер, оставив всё остальное как есть, — без TUN это не ограничение, а рычаг.

🍔 Второй источник путаницы живёт в самой строке подписки. VLESS + WebSocket + TLS — это не три названия одного и того же, а три разных слоя: протокол (как устроены данные), транспорт (во что упакованы) и защита (как выглядят со стороны). Разработчики Xray развели их явно: транспорт задаётся одним параметром, защита — отдельным, и TLS с REALITY это его значения. Клиент и сервер обязаны совпасть по всем трём.

VLESS + Reality + Vision, под эту схему не раскладывается вовсе. Транспорта в ней нет — он подразумевается прямым TCP и просто не пишется. REALITY отвечает за защиту и маскировку. А Vision вообще не маскировка: это четвёртая ось, управление потоком внутри уже защищённого канала — полезное дополняющее звено, но не замена маскировке.

📋 И самый практичный раздел — какое ядро что поддерживает. Это жёсткое ограничение, а не формальность: NaiveProxy есть только в sing-box, TUIC и ShadowTLS не поддерживает Xray-core вовсе, Hysteria 2 появилась в Xray лишь в январе 2026 и настраивается там иначе, чем у соседей. Сначала проверяете, что ваше ядро вообще умеет нужный протокол, — потом сравниваете удобство. И помните: свежий графический клиент со старым ядром внутри не умеет ничего нового.

👉 Полный разбор: https://publish.obsidian.md/zapret/protocols/00-overview

☺️ Скачать | ☺️ Premium (донаты) | ☺️ Android, MacOS и др. ссылки