Qeli — полноценный VPN для своего сервера: весь трафик устройства идёт по зашифрованному каналу через ваш сервер, без посредников и подписок. Современная криптография и приватность метаданных.
Выпущенная beta 0.8.1 закрепляет сетевую архитектуру 0.8: снимает измеренное ограничение UDP, улучшает восстановление на мобильных сетях, добавляет безопасный NDP proxy и делает desktop-маршруты строже.
Linux и Android принимают и отправляют готовые датаграммы пачками до 32. На двухъядерном стенде same-window A/B показал 694,7 Мбит/с upload и 697,5 Мбит/с download; это результат конкретного теста, не обещание для любого устройства.
Android и iOS не расходуют reconnect backoff без Wi‑Fi/LTE и продолжают сразу после восстановления carrier. Android сохраняет fail-closed TUN при неизменном плане, а multipath больше не переназначает здоровые потоки.
В routed-режиме Qeli может отвечать на upstream Neighbor Solicitation только за IPv6-адреса и подсети, принадлежащие живым сессиям. По умолчанию функция выключена; auto/required нужны только для on-link схем провайдера.
Windows/macOS принимают повторяемые CIDR и OpenVPN route-строки с лимитом 250 000 и останавливают подключение при ошибке. Усилены per-app, очистка macOS, firewall-транзакции и проверка резервных копий.
Статус: 0.8.1 выпущена как beta 10 сентября 2026 года. Набор содержит 17 payload-файлов плюс SHA256SUMS для Linux, Windows, macOS, Android, OpenWrt и Keenetic. Пройдены 1041 Rust-тест и 20 обязательных автоматических IPv6/roaming-сценариев. Стабильной версии Qeli пока нет; первая стабильная линия запланирована как 1.0.
Обычный коммерческий VPN отправляет ваш трафик через чужие серверы. Qeli создан для тех, кому важно держать приватность и всю инфраструктуру под собственным контролем — на своём сервере.
Готовые коммерческие VPN пропускают весь ваш трафик через чужие серверы — вы не знаете, кто владеет инфраструктурой, ведёт ли логи и кому их передаёт. Учётные данные, история и метаданные оказываются у стороннего сервиса.
Qeli работает на вашем собственном сервере: ключи, трафик и логи — только у вас, без посредников и подписок. Современная криптография (X25519, ChaCha20-Poly1305), приватность метаданных, а в режиме reality-tls — настоящее TLS 1.3.
VLESS, V2Ray, Shadowsocks и большинство популярных сетевых туннелей — это прокси: они перенаправляют трафик только тех приложений, которые специально настроены. Qeli создаёт настоящий сетевой туннель и защищает всё устройство целиком.
Сначала — архитектура: из каких частей собран Qeli и почему он самодостаточен. Затем — что он делает для вашей безопасности и стабильности связи.
Несколько транспортных режимов встроены в сам протокол, без сторонних программ. Флагманский — reality-tls (настоящий TLS 1.3), остальные переключаются одной настройкой.
TCP, UDP и REALITY одновременно в одной службе — свой ключ, свои пользователи и раздельный доступ у каждого.
Ключи туннеля выводятся из гибрида X25519 + ML-KEM-768 (постквант) — обмен ключами рассчитан на стойкость к будущему квантовому компьютеру при текущих криптографических допущениях. Применяется во всех режимах, кроме plain. Шифрование ChaCha20-Poly1305, открытого счётчика в пакетах нет.
Полное управление через браузер: все настройки профилей, пользователи, маршруты и ротация ключей сервера — без SSH и правки файлов. Встроенный HTTPS и список разрешённых IP позволяют безопасно открыть панель наружу без nginx; ссылки и QR для подключения, интерфейс на русском и английском.
Настоящий VPN на уровне L3: доступ к локальной сети за сервером и объединение целых подсетей и площадок в один контур. Прокси так не умеет — он гоняет лишь трафик отдельных приложений.
Сценарии объединения сетей →Режим определяет форму трафика и задаётся согласованной парой параметров профиля и клиента. Установщик по умолчанию разворачивает reality-tls; встроенный дефолт конфига — fake-tls. Остальные режимы подходят для доверенных сетей, совместимости и резервных каналов.
Главный режим Qeli: клиент шлёт браузерное рукопожатие TLS 1.3 (отпечаток JA4 t13d1516h2_8daaf6152771), а сервер терминирует настоящий TLS 1.3 (realtls) и несёт туннель внутри. На проводе это настоящий TLS 1.3, а не имитация; внутри идёт туннель qeli, а доверие строится на закреплённом ключе сервера. Работает на Linux, Android, iOS, Windows и macOS через общий realtls-движок.
ClientHello (Chrome JA4) → TLS 1.3 (realtls)
зашифрованный flight → туннель внутри настоящего TLS
У Qeli нет одной скорости «на все случаи»: быстрые TCP, более ресурсоёмкие TCP и нативные UDP решают разные задачи. Поэтому ниже отдельно показан практический ориентир и состав общего результата.
Такую цифру стоит использовать, когда вы оцениваете пропускную способность быстрой TCP-линейки Qeli. В неё входят отдача и загрузка по IPv4 и IPv6.
Они отвечают на разные вопросы. 1,77 Гбит/с описывает только быструю TCP-группу, а 1,22 Гбит/с — среднее всех двенадцати неоднородных профилей.
(5 × 1767 + 3 × 1274 + 4 × 496) ÷ 12
Сводные 1220 Мбит/с полезны для характеристики всей линейки, но не являются ожидаемой скоростью одного выбранного профиля.
Это лабораторная пропускная способность, а не обещание скорости на любом VPS. Результат конкретного подключения зависит от маршрута, CPU, провайдера, потерь и выбранного транспорта.
Все 12 профилей и методика →Режим транспорта выбирают не по самой длинной полосе в графике. Нужно одновременно учитывать пропускную способность, уровень маскировки и поведение конкретной сети.
Сравнивайте профили одного класса. TCP и UDP измеряются по-разному и рассчитаны на разные условия.
Режимы без маскировки показывают предел стенда, но не являются прямыми конкурентами режимам, меняющим внешний профиль соединения.
Потери, мобильный NAT, доступность UDP и смена Wi‑Fi/LTE могут быть важнее максимальной лабораторной скорости.
Полный технический разбор: рукопожатие, все шесть транспортных режимов, криптография, измеренные бенчмарки и матрица сравнения.
Все клиенты совместимы с сервером по протоколу и шлют одинаковое настоящее TLS 1.3 (reality-tls) через общий realtls-движок. Ссылка и QR-код переносят параметры подключения (сервер, режим, ключ) одним нажатием; локальные настройки — маршруты, DNS, MTU, kill-switch — задаются в самом клиенте.
Rust
C# · Avalonia · .NET 10
C# · .NET
Kotlin
Swift
Rust · KeeneticOS
Rust · procd / UCI / LuCI
Весь код открыт — протокол, сервер и клиенты для Linux, Windows, macOS, Android, iOS и роутеров. Изучайте, собирайте сами, сообщайте о проблемах и предлагайте улучшения.
Полноценный self-host VPN с собственным сетевым протоколом и приватным транспортом — HTTPS, WebSocket, QUIC-shaped UDP и reality-tls.
$ git clone https://github.com/litvinovtd/qeli.git