Reality
Reality — способ установить защищённое соединение, при котором рукопожатие выглядит как обращение к настоящему стороннему сайту. Отсюда необычные параметры в ключе: публичный ключ сервера и имя чужого домена.
Чем отличается от обычного TLS
| TLS | Reality | |
|---|---|---|
| Сертификат | Свой, выпущен на ваш домен | Не нужен: используется сертификат стороннего сайта |
| Что видно снаружи | Соединение с вашим доменом | Соединение с известным сайтом из параметра sni |
| Что нужно в ключе | sni | sni, pbk, часто sid и fp |
| Настройка сервера | Домен и продление сертификата | Пара ключей, домен не обязателен |
Роль каждого параметра
-
pbkобяз. Публичный ключ сервера. По нему клиент убеждается, что говорит с нужным сервером, а не с посредником -
sniобяз. Имя стороннего сайта, под который маскируется рукопожатие. Должно совпадать с настройкой сервера -
sidопц. Короткий идентификатор. Если сервер его требует, ключ без него не подключится -
fpопц. Отпечаток TLS-клиента: под какой браузер притворяется соединение -
spxопц. Путь, используемый при маскировке
Почему sni указывает на чужой домен
В этом и заключается идея: сервер при рукопожатии предъявляет сертификат стороннего сайта, а дальше соединение продолжается уже с ним. Поэтому подставлять в sni произвольный домен нельзя — он должен совпадать с тем, который настроен на сервере. Несовпадение даёт разрыв на рукопожатии, и в логе видно failed to handshake.
Типовые сбои
| Симптом | Причина |
|---|---|
| Соединение обрывается сразу | Неверный или отсутствующий pbk |
failed to handshake в логе | sni не совпадает с настройкой сервера |
| Работает у друга, не работает у вас | Сервер требует sid, а в вашей копии ключа его нет |
| Подключается через раз | Отпечаток fp не тот, которого ждёт сервер |
Все четыре случая ловятся парсером — он показывает, каких полей не хватает.
Проверьте, в строке дело или в самом доступе
Формат можно разобрать здесь, но живой ли сервер — показывает только подстановка. Подставьте в тот же клиент заведомо рабочую ссылку: подключилось — клиент и настройки исправны, вопрос к вашему ключу. Демо ТОК VPN на 3 дня выдаётся без карты.
- ссылка приходит сразу
- подходит Happ и другим клиентам
- карта не нужна
