AmneziaWG 2.0: скачивание, установка и настройка протокола для защиты от DPI

Что такое AmneziaWG 2.0 и зачем он нужен

AmneziaWG 2.0 — это развитие протокола WireGuard, созданное командой Amnezia для обхода современных систем глубокого анализа трафика (DPI). Первая версия появилась в 2023 году и позволяла маскировать VPN-соединение за счёт мусорных пакетов и изменения размеров handshake-пакетов. Однако с тех пор DPI-системы научились распознавать такие признаки по статистическим паттернам, размерам пакетов и временным характеристикам.

Вторая версия делает шаг вперёд: вместо простой маскировки заголовков она позволяет полностью имитировать легитимные UDP-протоколы, такие как DNS, QUIC или SIP. Это значит, что ваш VPN-трафик выглядит как обычные DNS-запросы или QUIC-соединения, и DPI не может отличить его от обычного интернет-трафика.

Протокол доступен для пользователей self-hosted серверов через приложение AmneziaVPN версии 4.8.12.9 и выше. Для пользователей Free и Premium пока используется версия 1.5, поддержка 2.0 будет добавлена позже.

Как скачать AmneziaWG 2.0: официальные источники и зеркала

Скачать AmneziaWG 2.0 можно двумя способами: через официальный сайт AmneziaVPN или через сторонние APK-агрегаторы, такие как APKPure. На официальном сайте доступна страница загрузки, а также зеркало для пользователей, у которых основной сайт недоступен.

Для Android-устройств можно скачать APK-файл AmneziaWG с APKPure. Там представлена версия 2.0.1, размер файла — 6.2 MB. Приложение требует Android 7.0 или новее. На странице загрузки указаны SHA-256 хэш и информация о безопасности, что позволяет проверить целостность файла.

Важно: для работы с AmneziaWG 2.0 необходимо обновить приложение AmneziaVPN до версии 4.8.12.9 или выше. Только в этой версии добавлена поддержка нового протокола. Если у вас установлена более старая версия, протокол 2.0 не будет работать — под названием подключения появится надпись «Not installed».

Установка AmneziaWG 2.0 на сервер и клиент

Установка протокола на сервер происходит через приложение AmneziaVPN. После обновления приложения до версии 4.8.12.9 выполните следующие шаги:

1. Откройте AmneziaVPN и нажмите на название подключения.
2. Нажмите на иконку шестерёнки справа от подключения к вашему серверу — отобразится список доступных протоколов.
3. Нажмите на иконку загрузки рядом с протоколом AmneziaWG и выберите «Установить».

После завершения установки протокол AmneziaWG 2.0 станет доступен для выбора в параметрах подключения. Обратите внимание: по умолчанию протокол устанавливается со случайным портом, но некоторые провайдеры блокируют UDP-трафик на высоких портах. Рекомендуется сменить порт на значение до 9999, например, 585 или 1234.

На стороне клиента достаточно создать новое подключение через сгенерированный файл конфигурации или QR-код. Если вы используете AmneziaWG 2.0 на сервере, клиентские настройки будут автоматически подхвачены при создании конфигурации.

Ключевые нововведения AmneziaWG 2.0: от S3/S4 до диапазонов H1-H4

Вторая версия протокола добавляет несколько важных параметров, которые значительно повышают устойчивость к DPI.

S3 — Cookie Reply Padding. Cookie Reply — это пакет, который сервер отправляет клиенту при защите от DoS-атак. Стандартный размер такого пакета — ровно 64 байта, что является характерным признаком для DPI. Параметр S3 добавляет случайное количество байт к этому пакету, делая его размер непредсказуемым.

S4 — Transport Data Padding. Это самое важное нововведение. В версии 1.0 можно было менять размер только handshake-пакетов, но основной трафик (загрузка сайтов, видео) оставался с предсказуемыми размерами. S4 добавляет случайные байты к каждому транспортному пакету, что делает размеры всех пакетов разными. Это серьёзно затрудняет анализ трафика.

Диапазоны для H1-H4. В версии 1.0 заголовки пакетов заменялись на фиксированные значения, которые DPI мог запомнить. В версии 2.0 можно задать диапазон значений, из которого для каждого пакета случайно выбирается число. Например, H1 = 471800590-471800690 даёт 101 возможный вариант, а H4 = 1769581055-1869581055 — 100 миллионов вариантов. Важно, чтобы диапазоны H1, H2, H3 и H4 не пересекались, иначе невозможно будет определить тип пакета.

Signature Packets (i1-i5): имитация легитимных протоколов

Signature packets — это специальные пакеты, которые отправляются перед каждым handshake (раз в 2 минуты) и имитируют начало легитимного протокола. Например, ваш VPN-трафик может начинаться как DNS-запрос, QUIC-соединение или SIP-звонок.

Технически это реализовано через параметры i1-i5, каждый из которых описывается в формате CPS (Custom Protocol Signature). CPS — это язык для создания «поддельных» пакетов, состоящий из тегов:

• ** — вставляет точные байты (например, начало QUIC-пакета);
• `` — добавляет временную метку (Unix time);
• `` — добавляет N случайных байт;
• `` — добавляет N случайных букв/цифр;
• `` — добавляет N случайных цифр.

Пример сигнатуры для QUIC: i1 = **. Здесь ** — начало QUIC Initial packet, ` — 8 случайных символов для Connection ID, — временная метка, ` — 50 случайных байт payload. DPI видит первые байты, характерные для QUIC, и пропускает трафик.

Если параметр i1 не настроен, signature packets не отправляются — это обеспечивает обратную совместимость с версией 1.0.

Как самостоятельно создать сигнатуру протокола с помощью Wireshark

Если вы хотите использовать собственную сигнатуру для маскировки, можно извлечь её из реального трафика с помощью Wireshark. Это бесплатный анализатор сетевых пакетов, доступный на официальном сайте.

Процесс выглядит так:

1. Установите и запустите Wireshark.
2. Выберите сетевой интерфейс, через который идёт ваш интернет-трафик.
3. Начните захват пакетов.
4. Введите в фильтр название протокола, например quic или udp.
5. Выберите пакет, который хотите использовать для маскировки. Рекомендуется выбирать начальные или финальные пакеты сессии.
6. Кликните правой кнопкой мыши по пакету → Copy → …as Hex Stream.

Полученную hex-строку нужно преобразовать в формат CPS: добавьте префикс **. Например, если вы скопировали d10000000108c10f0131a077e7f01087..., итоговая сигнатура будет **.

Затем эту строку можно вставить в параметр I1 (или I2-I5) в настройках сервера или клиента AmneziaVPN.

Настройка AmneziaWG 2.0: серверные и клиентские параметры

В AmneziaWG 2.0 параметры I1-I5 можно настраивать как на сервере, так и на клиенте. Если вы используете версию 2.0, изменения на сервере автоматически применяются ко всем новым конфигурациям. Если у вас установлена версия 1.0 (Legacy), параметры можно менять только на стороне клиента — для каждого устройства отдельно.

Для настройки сервера:

1. Откройте AmneziaVPN и нажмите на название подключения.
2. Нажмите на иконку шестерёнки справа от подключения к серверу.
3. Выберите AmneziaWG в списке протоколов и перейдите в раздел «AmneziaWG настройки сервера».
4. В поле I1 вставьте подготовленную сигнатуру и сохраните.

Для настройки клиента:

1. Выберите нужный протокол (AmneziaWG или AmneziaWG Legacy).
2. Перейдите в раздел «AmneziaWG настройки подключения».
3. В поле I1 вставьте сигнатуру и сохраните.

Также можно настроить параметры S1-S4, H1-H4 и другие. Важно помнить, что диапазоны H1-H4 не должны пересекаться, иначе протокол не сможет корректно определять тип пакета.

Обновление с AmneziaWG 1.0 до 2.0: что нужно знать

Если у вас уже установлен AmneziaWG 1.0, обновление до версии 2.0 потребует некоторых действий. В приложении AmneziaVPN 4.8.12.9 и новее старый протокол будет отображаться как «AmneziaWG Legacy». Он продолжит работать со своими ключами и конфигурациями, но для использования новой версии необходимо:

1. Установить протокол AmneziaWG 2.0 на сервер (через иконку загрузки).
2. Сгенерировать новые гостевые конфигурации или ключи — старые не подойдут.
3. Обновить клиентские устройства до последней версии AmneziaVPN.

Важно: обновить существующее подключение с 1.0 до 2.0 нельзя — потребуется создать новое подключение. Также учтите, что если вы измените серверные настройки (порт, переустановите протокол), ранее выданные ключи перестанут работать, и нужно будет перевыпустить их.

Практические рекомендации по выбору порта и маскировки

При настройке AmneziaWG 2.0 важно правильно выбрать порт и сигнатуру. Некоторые провайдеры блокируют UDP-трафик на высоких портах, поэтому рекомендуется использовать порты до 9999, например, 585 или 1234. Убедитесь, что выбранный порт не занят другим сервисом на сервере.

Что касается маскировки, выбор протокола зависит от вашего региона и особенностей DPI. Например, DNS-запросы обычно не блокируются, поэтому сигнатура DNS может быть хорошим выбором. QUIC также часто пропускается, так как используется для HTTP/3. SIP-звонки могут быть менее распространены, но в некоторых сетях они не вызывают подозрений.

Экспериментируйте с разными сигнатурами и проверяйте работоспособность подключения. Если соединение не устанавливается, попробуйте другую сигнатуру или измените порт.

Частые проблемы при установке и их решение

При установке AmneziaWG 2.0 могут возникнуть типичные проблемы:

• Недостаточно памяти на устройстве. Размер APK-файла составляет 6.2 MB, но для установки, временных файлов и кеша потребуется дополнительное место. Освободите память и повторите попытку.
• Несовместимая версия Android. Для AmneziaWG требуется Android 7.0 или новее. Если у вас более старая версия, поищите совместимую старую версию приложения.
• Повреждённый файл. Проверьте SHA-256 хэш скачанного файла. Если он не совпадает с указанным на сайте, скачайте файл заново.
• Блокировка установки из неизвестных источников. Разрешите установку из неизвестных источников в настройках Android.
• Проблемы с подключением. Если VPN не работает, проверьте порт, сигнатуру и настройки DPI. Возможно, потребуется сменить порт на более низкий или использовать другую сигнатуру.

Если проблема не решается, обратитесь в чат поддержки Amnezia.

Вопросы и ответы