Один контракт конфигурации
Клиенты используют общий native-парсер INI и qeli://. Панель проверяет изменения перед сохранением, обнаруживает устаревшую редакцию и сохраняет рабочие настройки при ошибке.
Открытый код · Rust
Один VPN — для устройств, сетей и серверов
Подключайте компьютеры, телефоны, роутеры, домашние и удалённые сети через единый защищённый туннель.
- 01L3 TUN — full-tunnel, split-tunnel и site-to-site
- 02Шесть режимов — транспорты поверх TCP и UDP
- 03IPv4 + IPv6 — маршруты, DNS и roaming
- 04X25519 + ML-KEM-768 — гибридный обмен ключами
self-hosted Сервер выбираете и администрируете вы; Qeli предоставляет протокол, службу и клиенты.
2,09
Гбит/с · TCP FakeTLS, один поток · Linux 0.8.2
6
Платформ со сборками
IPv4 + IPv6
Полноценный dual-stack внутри туннеля
Открытый код
Исходники и разработка на GitHub
0.8.2 · выпущена
Qeli 0.8.2: конфигурация, сеть и восстановление
Большое обновление надёжности: единая проверка INI и ссылок подключения, более предсказуемое восстановление сетевых настроек и доработанная панель управления. Для Linux добавлены ручной режим IPv6 и настройка очереди TUN.
Восстановление без ложного «подключено»
Маршруты, DNS и firewall устанавливаются и очищаются с учётом владельца. Незавершённая очистка остаётся видимой ошибкой; повторные попытки восстановления можно отменить.
IPv6 под вашим управлением
Режим manual оставляет IPv6 forwarding и firewall администратору. Qeli обслуживает туннель, адреса и, при необходимости, session-aware NDP proxy. ip6tables для этого режима не требуется.
Linux TUN и клиентские приложения
Очередь собственного TUN на Linux настраивается через tun.tx_queue_len. Исправлены обработка UDP, остановка соединений, хранение профилей и диагностика; новые приложения устанавливаются вместе с native core.
0.8.2 — выпущенная beta, не стабильная версия. В наборе 15 файлов поставки и SHA256SUMS. Подробный разбор содержит изменения, порядок обновления, отдельные измерения Linux и границы проверки. Сравнительные графики 0.8.0 ниже сохранены без изменений.
О продукте
Зачем нужен Qeli
Обычный коммерческий VPN отправляет ваш трафик через чужие серверы. Qeli создан для тех, кому важно держать приватность и всю инфраструктуру под собственным контролем — на своём сервере.
Проблема
Готовые коммерческие VPN пропускают весь ваш трафик через чужие серверы — вы не знаете, кто владеет инфраструктурой, ведёт ли логи и кому их передаёт. Учётные данные, история и метаданные оказываются у стороннего сервиса.
Ответ Qeli
Qeli работает на вашем собственном сервере: ключи, трафик и логи — только у вас, без посредников и подписок. Современная криптография (X25519, ChaCha20-Poly1305), приватность метаданных, а в режиме reality-tls — настоящее TLS 1.3.
IP-туннель и прокси: в чём разница
Qeli передаёт IP-пакеты через L3 TUN. VLESS и Shadowsocks передают потоки и датаграммы через прокси; клиенты на базе Xray и других ядер могут охватывать всё устройство через TUN или прозрачное перенаправление. Различие — в архитектуре и настройке маршрутов, а не в обязательной настройке каждого приложения.
Прокси-подключение
VLESS · V2Ray · Shadowsocks · Xray
- SOCKS/HTTP принимает трафик приложений, использующих этот прокси
- TUN и прозрачное перенаправление позволяют подключить всё устройство
- Поддержка TCP, UDP и ICMP зависит от протокола и реализации
- Маршруты и DNS настраиваются в клиенте или на шлюзе
- Защита от утечек зависит от маршрутов, DNS и правил блокировки
IP-туннель
Qeli
- Создаёт L3 TUN и передаёт IP-пакеты между узлами
- В full-tunnel направляет трафик устройства через сервер
- Приложениям не нужна поддержка SOCKS или HTTP-прокси
- Маршруты, DNS и fail-closed политика задают границы защиты
- Поддерживает full-tunnel, split-tunnel и маршруты между сетями
На практике: для доступа к домашней LAN или объединения площадок задайте прямые и обратные маршруты. Для выхода всего устройства через сервер включите full-tunnel и проверьте DNS и fail-closed политику. Само наличие VPN или TUN не заменяет эту проверку.
Возможности
Из чего состоит и что умеет Qeli
Сначала — архитектура: из каких частей собран Qeli и почему он самодостаточен. Затем — что он делает для вашей безопасности и стабильности связи.
Несколько транспортных режимов
Несколько транспортных режимов встроены в сам протокол, без сторонних программ. Флагманский — reality-tls (настоящий TLS 1.3), остальные переключаются одной настройкой.
Несколько профилей сразу
TCP, UDP и REALITY одновременно в одной службе — свой ключ, свои пользователи и раздельный доступ у каждого.
Постквантовое шифрование
Ключи туннеля выводятся из гибрида X25519 + ML-KEM-768 (постквант) — обмен ключами рассчитан на стойкость к будущему квантовому компьютеру при текущих криптографических допущениях. Применяется во всех режимах, кроме plain. Шифрование ChaCha20-Poly1305, открытого счётчика в пакетах нет.
Встроенная веб-панель
Полное управление через браузер: все настройки профилей, пользователи, маршруты и ротация ключей сервера — без SSH и правки файлов. Встроенный HTTPS и список разрешённых IP позволяют безопасно открыть панель наружу без nginx; ссылки и QR для подключения, интерфейс на русском и английском.
Маршрутизация и объединение сетей
L3-туннель переносит IP-пакеты: можно открыть доступ к локальной сети за сервером и связать подсети на разных площадках. Для связи нужны согласованные прямые и обратные маршруты и разрешающие правила firewall.
Сценарии объединения сетей →
Транспортные режимы
Один протокол — шесть транспортных режимов
Режим определяет форму трафика и задаётся согласованной парой параметров профиля и клиента. Установщик по умолчанию разворачивает reality-tls; встроенный дефолт конфига — fake-tls. Остальные режимы подходят для доверенных сетей, совместимости и резервных каналов.
флагманTCP · TLS 1.3
Настоящий TLS 1.3
reality-tls · браузерный TLS 1.3 (realtls)
Главный режим Qeli: клиент шлёт браузерное рукопожатие TLS 1.3 (отпечаток JA4 t13d1516h2_8daaf6152771), а сервер терминирует настоящий TLS 1.3 (realtls) и несёт туннель внутри. На проводе это настоящий TLS 1.3, а не имитация; внутри идёт туннель qeli, а доверие строится на закреплённом ключе сервера. Работает на Linux, Android, iOS, Windows и macOS через общий realtls-движок.
Сервер заимствует настоящий сертификат целевого сайта — даже активный пробер видит легитимный TLS, как у Xray-REALITY.
в трафике
ClientHello (Chrome JA4) → TLS 1.3 (realtls)
зашифрованный flight → туннель внутри настоящего TLS
- Настоящее рукопожатие TLS 1.3 с отпечатком JA4 браузера Chrome
- Сервер терминирует TLS (realtls), туннель идёт внутри
- Единый realtls-движок на всех клиентах (Linux, Android, iOS, Windows, macOS)
1212 ↑ / 1066 ↓ Мбит/с · TCP P=4, IPv4 · Recordizer
Отчёт 0.8.0 · 01.09.2026
Отчёт 0.8.0 · 01.09.2026
Qeli 0.8.2 · Linux · 19 октября 2026
Что показали замеры готовой сборки
Четыре транспортных профиля, IPv4 и IPv6, отдача и загрузка. На обоих концах — готовый Linux-бинарник 0.8.2, обязательный Recordizer и по 2 vCPU / 2 ГиБ памяти.
2,09 Гбит/с
Среднее четырёх направлений одного профиля
Для IPv4/IPv6 и отдачи/загрузки взята медиана трёх прогонов, затем рассчитано их среднее. Это результат TCP FakeTLS, а не средняя скорость всех режимов Qeli.
TCP P=1
IPv4 + IPv6
отдача + загрузка
Отдельная серия UDP
600 Мбит/с без потерь в проверенных окнах
Во всех 48 окнах с заданной UDP-нагрузкой 600 Мбит/с не было потерь на приёмнике и сбросов TUN. Проверены четыре профиля, обе семьи IP и оба направления.
Это проверка фиксированной нагрузки, не максимальной скорости. При неограниченном TCP сохранялись повторные передачи и сбросы TUN; в отдельных UDP-тестах на 900/950 Мбит/с — небольшие сквозные потери.
Recordizerактивен во всех профилях теста
IPv4 + IPv6обе семьи адресов проверены отдельно
3 × 4три повтора и четыре направления TCP
Сравнение с другими VPN выполнено отдельно на Qeli 0.8.0 и сохранено в «Технологиях». Результаты TCP P=1 и P=4 не используются для расчёта прироста между релизами.
Это лабораторная пропускная способность, а не обещание скорости на любом VPS. Результат конкретного подключения зависит от маршрута, CPU, провайдера, потерь и выбранного транспорта.
Замеры 0.8.2 и методика →
Практический выбор
Скорость — только одна из трёх характеристик
Режим транспорта выбирают не по самой длинной полосе в графике. Нужно одновременно учитывать пропускную способность, уровень маскировки и поведение конкретной сети.
Пропускная способность
Сравнивайте профили одного класса. TCP и UDP измеряются по-разному и рассчитаны на разные условия.
Маскировка трафика
Режимы без маскировки показывают предел стенда, но не являются прямыми конкурентами режимам, меняющим внешний профиль соединения.
Поведение сети
Потери, мобильный NAT, доступность UDP и смена Wi‑Fi/LTE могут быть важнее максимальной лабораторной скорости.
Под капотом
Как устроен Qeli →
Хотите проверить детали?
Полный технический разбор: рукопожатие, все шесть транспортных режимов, криптография, измеренные бенчмарки и матрица сравнения.
Клиенты
Шесть платформ со сборками, iOS — функционально готов, но не опубликован
Все клиенты совместимы с сервером по протоколу и шлют одинаковое настоящее TLS 1.3 (reality-tls) через общий realtls-движок. Ссылка и QR-код переносят параметры подключения (сервер, режим, ключ) одним нажатием; локальные настройки — маршруты, DNS, MTU, kill-switch — задаются в самом клиенте.
Linux — сервер и клиент
Rust
- Сетевой туннель встроен в программу
- Сервер и клиент — в одной программе
- Запуск как служба, пакет .deb или мультиарх Docker-образ
- Команды управления ключами и добавления клиентов
macOS
C# · Avalonia · .NET 10
- Туннель через utun (kernel-control), маршруты как у WireGuard
- Меню-бар и кросс-платформенный интерфейс на Avalonia
- Импорт по ссылке и QR, запуск как демон launchd
- Universal-сборка: Apple Silicon и Intel
Windows
C# · .NET
- Встроенный сетевой драйвер, отдельная установка не нужна
- Работает как служба Windows — ещё до входа в систему
- Значок в трее, уведомления, тема системы, русский и английский язык
- Один файл: 77 МБ со встроенным .NET или 11 МБ, если .NET уже установлен
Android
Kotlin
- Работа по TCP и UDP
- Импорт по ссылке и сканер QR-кодов
- Все транспортные режимы; весь трафик через VPN по умолчанию
- Индикатор скорости загрузки и отдачи
- Плавный реконнект при смене сети — Wi-Fi ↔ мобильный интернет
iOS не опубликован
Swift
- NetworkExtension (Packet Tunnel Provider)
- Импорт по ссылке и QR-коду
- Все транспортные режимы
- Собирается и проходит unit-тесты в CI; на устройстве ещё не проверен
Keenetic
Rust · KeeneticOS
- VPN на уровне роутера — весь дом без настройки на каждом устройстве
- Пакет для KeeneticOS, архитектуры mipsel и aarch64
- Все транспортные режимы
- Протестирован на реальном Keenetic и подтверждён как рабочий client-only вариант для VPN на уровне роутера
OpenWrt
Rust · procd / UCI / LuCI
- VPN на уровне роутера — весь дом через один шлюз
- Нативный пакет: procd-сервис, UCI-конфиг и страница LuCI
- Файрвол-зона (fw4) с NAT для домашней сети
- Сборки под aarch64, armv7, mipsel и x86_64
- Протестирован на реальном OpenWrt-устройстве и подтверждён как рабочий client-only вариант для VPN на уровне роутера
Открытый код
Проект на GitHub
Весь код открыт — протокол, сервер и клиенты для Linux, Windows, macOS, Android, iOS и роутеров. Изучайте, собирайте сами, сообщайте о проблемах и предлагайте улучшения.
litvinovtd / qeli
Public
Star
Полноценный self-host VPN с собственным сетевым протоколом и приватным транспортом — HTTPS, WebSocket, QUIC-shaped UDP и reality-tls.
vpnrustprivacyself-hostedtunreality
Rust
AGPL-3.0
$ git clone https://github.com/litvinovtd/qeli.git