Транспортные режимы и параметры

Шесть режимов без смешения терминов

Несущий транспорт задаётся отдельно от wire-режима. Поэтому fake-tls и obfs работают как поверх TCP, так и поверх UDP, а reality — это профиль fake-tls с включённым распознаванием клиента и проксированием чужих подключений.

Новый Reality/H2 carrier и PACKET_MUX_V1

В 0.8.0 изменяется не название режима, а его внутренний carrier: reality-tls после REALITY TLS 1.3 открывает настоящий HTTP/2 stream. Общий recordizer согласуется отдельно после AUTH и может работать поверх любого TCP/UDP carrier.

obf.mode = reality-tls
obf.recordizer.policy = prefer

Параметры, которые сервер ещё не может запушить

Wire-настройки нужны для самого рукопожатия, поэтому они должны быть известны клиенту заранее — из qeli:// или client.conf. Серверный push приходит только после успешного AUTH.

Готовые настройки сервера и клиента

Показаны только transport-ключи. Адреса TUN, пул, пользователи, NAT и DNS добавляются как обычно и от выбранного режима не зависят. Замените демонстрационные short ID, ключ сервера и PSK своими значениями.

bind.transport = tcp
obf.mode = reality-tls
obf.tls.server_name = www.microsoft.com
obf.tls.reality_proxy.enabled = true
obf.tls.reality_proxy.target = www.microsoft.com
obf.tls.reality_proxy.target_port = 443
obf.tls.reality_proxy.real_tls = true
obf.tls.reality_proxy.short_ids = 0123456789abcdef
obf.padding.enabled = false

proto = tcp
mode = reality-tls
key = <64-hex-server-key>
sni = www.microsoft.com
reality_sid = 0123456789abcdef

[profile:reality]
bind.transport = tcp
obf.mode = fake-tls
obf.tls.server_name = www.microsoft.com
obf.tls.reality_proxy.enabled = true
obf.tls.reality_proxy.target = www.microsoft.com
obf.tls.reality_proxy.real_tls = false
obf.tls.reality_proxy.short_ids = fedcba9876543210

[qeli]
proto = tcp
mode = fake-tls
key = <64-hex-server-key>
sni = www.microsoft.com
reality_sid = fedcba9876543210

[profile:obfs]
bind.transport = tcp
obf.mode = obfs
obf.obfs_key = <strong-shared-secret>
obf.obfs_fronting = websocket

[qeli]
proto = tcp
mode = obfs
obfs_key = <strong-shared-secret>
front = websocket

[profile:udp-quic]
bind.transport = udp
obf.mode = fake-tls
obf.quic.enabled = true

[qeli]
mode = udp-quic
mtu = 0

Распознавание клиента и настоящий TLS

REALITY-параметры принадлежат профилю. Неопознанный ClientHello перенаправляется на target; распознанный клиент получает либо обычный Qeli data plane, либо настоящий TLS 1.3 при real_tls=true.

Obfs, QUIC-shaped framing и AWG junk

Padding, fragmentation, heartbeat и multipath

Это надстройки над базовым режимом. Они меняют размеры и тайминг записей либо число потоков, но не заменяют правильный transport/mode.

Клиентские transport-ключи

Проверка пары конфигов

Сначала проверьте серверный и клиентский INI отдельно, затем сравните выданную ссылку с выбранным профилем.

$ sudo qeli check-config --config /etc/qeli/server.conf
$ qeli check-config --client --config /etc/qeli/client.conf
$ sudo qeli show-identity --config /etc/qeli/server.conf
$ sudo qeli add-client <user> --password '<strong-password>' --link --host vpn.example.com:443 \
    --link-profile <profile> --config /etc/qeli/server.conf

Полная диагностика по стадиям →

Полные параметры и готовые профили

Ссылки закреплены на теге v0.8.1. Для практического старта удобнее multiprofile-пример, а CONFIG.md и отдельная страница recordizer содержат ограничения и значения по умолчанию.