AmneziaWG vs VLESS vs Hysteria2: три главных протокола современности. Что выбрать?

Сразу же нужно прояснить один момент. Здесь будет сравнение протоколов, не гайд на какие-либо обходы и прочее. VPN - в первую очередь Виртуальная Приватная Сеть, а не попытка миграции вашего IP, банальный доступ к рабочей среде.

Эти три названия постоянно суют в один ряд и сравнивают в лоб друг с другом. А зря: устроены они совершенно по-разному. Общее у них ровно одно: все трое умеют вести себя в сети так, чтобы их трафик было трудно отличить от обычного веб-сёрфинга. А вот как именно они этого добиваются - тут и расходятся три философии:

AmneziaWG - это VPN. Тот же WireGuard, но который прячет, что он WireGuard.
VLESS (+ Reality) - это прокси, который косплеит заход на обычный HTTPS-сайт.
Hysteria2 - это прокси поверх QUIC, заточенный не столько прятаться, сколько выживать и разгоняться на убитом канале.

Вот эта развилка: «стереть приметы», «переодеться под сайт» или «переть напролом на любом канале» - и есть ключ ко всему. Она объясняет, почему у каждого именно такие плюсы и именно такие неизбежные минусы(которые в любом случае есть у каждого из этих протоколов).

Кому пригодится: если вы арендовали VPS и не знаете, что на нём поднять; если один протокол «не взлетел» и хочется понять почему; или если просто задолбали эти три модных слова и хочется наконец разобраться, чем они реально отличаются, это для вас.

Дальше будет и по-простому на аналогиях, и технически с конфигами. Кому нужен только вывод, листайте в конец, там «короткий итог».

Вообще я микроразработчик, со мной можно связаться как угодно, я открыт ко всему

**Сторонний мой проект: Zapret2UI.

Содержание

Что это такое, и почему это главные протоколы современности
Коротко о каждом
Их главные отличия между друг другом
Скорость при одинаковых условиях
Безопасность при одинаковых условиях
Почему выбор клиента важен
Типичные ошибки: по каждому протоколу и общие
Какой протокол подойдёт именно мне?
Как развернуть?
Короткий итог

Источники и документация

Что это такое и почему это главные протоколы современности

Начнём с того, что их вообще роднит и почему именно эта тройка сейчас на слуху.

Обычные VPN (WireGuard, OpenVPN, IPsec) делались с одной задачей: шифровать. Запечатать письмо, чтобы по дороге его никто не прочитал. С этим они справляются отлично и по сей день. Но у них никогда не было второй задачи: быть незаметными. Они и не скрывают, что они VPN: по «повадкам» соединения сразу видно, какой это протокол.

Сейчас каждый старый протокол заметен по своим повадкам (размер пакетов, первые байты, характер рукопожатия). самая банальная вещь, но именно по этому они и устарели.

Так вот, вся тройка - это три разных ответа на вопрос «как перестать выглядеть как классический VPN». Отсюда и три философии:

AmneziaWG: «оставим быстрый WireGuard, но сотрём ему приметы». Не переодевается, просто перестаёт быть похожим на самого себя.
VLESS + Reality: «нарядим трафик так, чтобы его было не отличить от захода на обычный сайт». Переодевание под HTTPS.
Hysteria2: «пусть даже видят, мы всё равно будем быстрее и живучее на любом канале». Ставка на скорость и выживаемость, а не на маскировку.

Все три рабочие. Просто под разные задачи, и с разной ценой. Дальше по каждому: как устроен, чем платит за плюсы и ради чего стоит терпеть минусы.

Коротко о каждом

Сначала - общая табличка на один экран, потом по каждому «на пальцах» с плюсами и минусами. Конфиги и тюнинг вынесены в раздел «Как развернуть?», чтобы тут не мешалось.

	AmneziaWG	VLESS + Reality	Hysteria2
Тип	VPN (L3, весь трафик)	Прокси (Xray-core)	Прокси поверх QUIC
Транспорт	UDP	TCP / WS / gRPC / XHTTP / mKCP	QUIC (UDP)
Крипто	WireGuard (Noise, ChaCha20-Poly1305)	TLS 1.3 через Reality	TLS 1.3 внутри QUIC
Как прячется	Стирает приметы WireGuard + мусор-пакеты	Косплеит реальный HTTPS-сайт	Маскарад под HTTP/3 + Salamander
Сильная сторона	Скорость и простота полноценного VPN	Незаметность	Работа на потерях и высоком пинге
Ахиллесова пята	Живёт, только пока доступен UDP	Муторная настройка	Живёт, только пока доступен UDP/QUIC
Настройка	Простая	Сложная	Средняя
Лучший сценарий	Туннель «всё и сразу» на быстром канале	Тихий повседневный серфинг	Игры, звонки, стриминг, кривой канал

Если совсем лень читать: VLESS + Reality самый незаметный и универсальный, но возни больше всего. Дальше объясняю, почему так.

AmneziaWG - на пальцах

AmneziaWG - это форк WireGuard от команды Amnezia. И это важно: крипту он не трогает вообще. Тот же handshake на базе Noise, те же ключи Curve25519, то же шифрование ChaCha20-Poly1305. То есть вы получаете ровно ту же проверенную защиту и ту же скорость WireGuard, а в версии 2.x есть даже ядерный модуль под Linux. Это почти нативная производительность.

Вся соль в другом. У WireGuard слишком узнаваемая «походка»: пакеты фиксированного размера, а первый байт прямо говорит, что это за сообщение. AmneziaWG эту «походку» размывает четырьмя группами параметров:

Jc / Jmin / Jmax, мусорные пакеты. Перед рукопожатием AmneziaWG кидает Jc случайных пакетов случайного размера. По аналогии: вы запускаете вперёд курьера пачку случайных людей разного роста, чтобы нельзя было ткнуть пальцем «вот отсюда началась доставка».
S1 / S2, паддинг. Подмешивает случайный мусор в пакеты рукопожатия. Их фиксированный размер перестаёт быть уликой.
H1 / H2 / H3 / H4, магические заголовки. WireGuard пишет тип сообщения прямо в открытую; AmneziaWG заменяет его на случайные значения, у каждого сервера свои.

Суть: AmneziaWG не переодевается в другой протокол, он просто стирает свои приметы и подмешивает шум. Не «я - HTTPS», а «я - непонятно что, попробуй докажи».

Плюсы:

Скорость и копеечная нагрузка WireGuard; в 2.x ядерный модуль, почти нативная производительность.
Это настоящий VPN на L3: заворачивает весь трафик, все приложения, без возни «настрой каждое по отдельности». Поднял - и вся система за туннелем.
Проверенная крипта без самодельщины.
Огонь-роуминг: сеть сменилась, сессия не порвалась.
Простая модель: пара ключей, конфиг, готово.

Минусы:

Только UDP. TCP-режима нет. Там, где UDP ограничивают или задвигают в самый низ приоритета, туннель проседает или не встаёт вообще.
Обфускация, это шум, а не камуфляж. Он прячет, что он WireGuard, но не притворяется HTTPS.
Обе стороны обязаны быть AmneziaWG с одинаковыми параметрами; с ванильным WireGuard при включённой обфускации не подружится.

С чем жить, ради чего. Жить придётся с зависимостью от здорового UDP и с тем, что это стирание примет, а не переодевание. Терпеть стоит ради полноценного системного VPN со скоростью и криптой WireGuard почти даром. Если канал не воюет с UDP, это самый беспроблемный из трёх.

VLESS (+ Reality / Vision) - на пальцах

Полное имя связки: VLESS + Reality + Vision. Сам VLESS тонкий, вся магия в надстройках Reality и Vision.

VLESS - лёгкий прокси-протокол из экосистемы Xray-core, наследник VMess. Из него специально выкинули собственное шифрование: сам по себе VLESS почти ничего не весит и всю безопасность отдаёт транспорту (TLS / Reality). Это тонкая труба, а всю магию незаметности навешивают сверху.

Reality - вот главная магия. Обычно, чтобы спрятаться под HTTPS, нужен свой домен и сертификат. Reality идёт дальше: на этапе рукопожатия он надевает чужой костюм, TLS реального популярного сайта. Вы указываете «донора», и для наблюдателя ваше соединение выглядит как честный заход именно на этот большой сайт. А теперь киллер-момент: если кто-то решит проверить ваш сервер (постучаться и посмотреть, что ответит), он получит настоящий тот самый сайт, живой google/whatever, а не заглушку. Придраться не к чему, очень крутая вещь, много чего есть ещё обсудить по поводу Reality, но я думаю как-нибудь в другой раз.

Если реально есть вайб в обсуждении безопасностей, то могу потом как-нибудь отдельную статью сделать

XTLS-Vision (flow: xtls-rprx-vision) добивает последнюю улику. Когда вы гоните TLS внутри TLS, по толщине и ритму пакетов видно «о, тут конверт в конверте». Vision перетасовывает это так, чтобы «конверт в конверте» не выпирал.

Отдельная фишка VLESS: он разделяет «что передаём» (протокол) и «как несём» (транспорт: TCP/RAW, WebSocket, gRPC, XHTTP, mKCP). Транспорт выбираете под сеть, подробнее в разделе «Как развернуть?».

Плюсы:

Самый незаметный из трёх. Reality выдаёт трафик за настоящий заход на реальный сайт и переживает даже активную проверку.
Гибкость транспортов. Хочешь - спрячься за CDN, хочешь - выжми минимальную задержку, почти что угодно можно делать, в рамках разумного, конечно.
Работает там, где UDP недоступен. TCP-транспорты, его козырь против двух других, завязанных на UDP.
Зрелая экосистема, куча клиентов, с помощью которых можно TUN завернуть весь трафик(изначально-то он прокси).

Минусы:

Муторная настройка. Reality, выбор донора, флоу, паддинг: накосячить проще простого. Самый капризный из трёх, но при этом много решений от сообщества.
Это прокси, а не VPN «из коробки». Чтобы завернуть всю систему, нужен клиент с TUN-режимом. Это по сути-то и не минус, просто так устроен, но не упомянуть было бы глупо
TCP-over-TCP. TCP внутри TCP-транспорта на потерях даёт «пробку из-за одной машины» (head-of-line) и растит задержку, для игр не идеал.
Пиковая скорость обычно ниже, чем у WireGuard-базы, на толстом чистом канале.

С чем жить, ради чего. Жить придётся со сложностью и с тем, что это по природе прокси, а не цельный системный туннель. Терпеть стоит ради главной суперсилы, незаметности: именно VLESS + Reality труднее всего отличить от обычного захода на популярный сайт. Это выбор «тихо и всегда работает» для повседневки, самый банальный выбор, который подойдет большинству.

Hysteria2 - на пальцах

Hysteria2 - прокси-туннель поверх QUIC (то есть поверх UDP, тот же транспорт, что у HTTP/3). Его фишка не столько прятаться, сколько дружить с плохими каналами(плохой интернет крч). Из чего собран:

Brutal, congestion control, который не сдаётся. По-водительски: обычные алгоритмы (Cubic, BBR) - вежливый водитель, чуть тряхнуло (потерялся пакет), и он сбрасывает газ. Brutal так не делает: вы сами говорите ему свою полосу, и он прёт с этой скоростью, плевать на кочки. На разбитых, дальних маршрутах, где TCP скисает, это даёт кратный выигрыш. Обратная сторона: наврёте про скорость - сами себе устроите аварии (лишние потери) и соседям по каналу нахамите.
Salamander, обфускация. Перемешивает каждый пакет в кашу из случайных байт, чтобы не палилось даже, что это вообще QUIC.
Маскарад под HTTP/3. Постучится случайный прохожий на ваш сервер, а там обычный сайт-заглушка (отдаёт файлы, проксирует реальный сайт или возвращает заданную строку), а не «закрытая дверь», что важно.
Port hopping, прыгает по диапазону UDP-портов (интервал от 5 секунд), чтобы нельзя было заколотить одну конкретную дверь, через которую вы общаетесь.

Плюсы:

Лучший на потерях и высоком пинге. Киллер-фича. Кривой мобильный, дальний трансграничный маршрут с лоссами, тут он уносит TCP-решения.
Низкая задержка, UDP/QUIC нативно, никакого TCP-over-TCP. Огонь под игры, звонки, стриминг.
Встроенная обфускация (Salamander) и маскарад под HTTP/3.
Port hopping, прыжки по UDP-портам, чтобы нельзя было прибить одну дверь.

Минусы:

Живёт, только пока доступен UDP/QUIC, и это больнее, чем у AmneziaWG. Многие сети ограничивают именно UDP, а QUIC в первую очередь. Где UDP задавлен, Hysteria2 просядет или не поднимется вовсе.
Brutal требует настройки и ведёт себя эгоистично. Наврали с полосой, бьёт по вам же и по соседям, а всплески жирного UDP сами по себе привлекают внимание, на него точно посмотрят что с ним что-то не так.
QUIC к «неправильному» адресу некоторые системы фильтрации вычисляют эвристикой, если не прикрыться маскарадом как следует.

С чем жить, ради чего. Жить придётся с жёсткой зависимостью от UDP и с тем, что полосу надо честно затюнить. Терпеть стоит ради одной вещи, которую два других не умеют: Hysteria2 делает мертвый канал рабочим. Если ваша боль, потери и пинг, на лоссовом маршруте он разорвёт и VLESS-TCP, и обычный WireGuard по фактической скорости и отзывчивости.

Их главные отличия между друг другом

Одним взглядом, чтобы уложилось:

Критерий	AmneziaWG	VLESS + Reality	Hysteria2
Работает, если UDP недоступен	Нет	Да (TCP-транспорты)	Нет
Поведение на потерях	Среднее	Хуже (TCP backoff/HoL)	Лучшее (Brutal)
Сложность настройки	Низкая	Высокая	Средняя
Работа через CDN	Нет	Да	Ограниченно
Нагрузка на CPU	Низкая	Средняя	Средняя
Роуминг/смена сети	Отличный	Зависит от транспорта	Хороший (QUIC migration)

Если совсем коротко: AmneziaWG отличается тем, что он единственный настоящий VPN (весь трафик системы), а двое других - прокси. VLESS отличается тем, что единственный уверенно живёт без UDP. Hysteria2 отличается тем, что единственный реально ускоряется на битом канале.

Скорость при одинаковых условиях

Тут главный миф: «какой протокол самый быстрый». Ответ: зависит не от протокола, а от того, что не так с вашим каналом.

Чистый быстрый канал. Разница небольшая. AmneziaWG (ядро WireGuard) обычно впереди по «сырой» скорости и минимуму CPU; Hysteria2 с правильной полосой идёт вровень; VLESS + Reality + Vision тоже быстрый, но TCP-транспорты добавляют чуть-чуть оверхеда. На толстом линке комфортны все трое. Ну и конечно же всё зависит от настроек, тож не забывайте блин
Кривой канал, потери и высокий пинг. Явно выигрывает Hysteria2 (Brutal не сбрасывает скорость на лоссах). VLESS на TCP проседает сильнее всех (backoff + «пробка из-за одной машины»). AmneziaWG - середнячок, но довольно уверенный среднячок.
UDP недоступен или сильно ограничен. Выигрывает VLESS с TCP-транспортом, просто потому, что продолжает работать. AmneziaWG и Hysteria2 тут страдают.

Короче: хороший линк, берите за скорость AmneziaWG; лоссы и пинг: Hysteria2; UDP недоступен: VLESS.

Цифры из чужих таблиц и текстов - так себе аргумент. Реальную скорость проще всего проверить самому: поднять протокол на VPS и прогнать iperf3 через туннель на чистом и на плохом канале. Как это сделать, в разделе «Как развернуть?».

Безопасность при одинаковых условиях

Сразу главное, чтобы снять панику: по стойкости шифрования все трое на уровне. Никто из них не изобретал самопальную крипту, у всех современные проверенные алгоритмы и forward secrecy (перехватишь трафик сегодня, добудешь ключ завтра, задним числом уже не расшифруешь). Так что вопрос не «у кого крипта лучше», а «где легче накосячить и что видно снаружи».

AmneziaWG. Под капотом крипта WireGuard как есть: Noise, Curve25519,ChaCha20-Poly1305, BLAKE2s. Это, пожалуй, самый маленький и вылизанный из трёх «моторов», минимум кода, минимум мест, где можно накосячить. Аутентификация по паре ключей (как SSH-ключи): никаких паролей, которые можно подобрать. Параметры обфускации (Jc/S1/H1…) к безопасности отношения не имеют, это не секрет, а грим; их задача незаметность, а не защита данных.
VLESS + Reality. Всю защиту тащит TLS 1.3, тот же, на котором стоит весь современный веб (онлайн-банки в том числе, думаю в их-то безопасности вы не сомниваетесь). Своей крипты VLESS не несёт вообще, и это плюс: нечему ломаться. Аутентификация клиента по UUID (длинный неугадываемый идентификатор). Тонкость: безопасность Reality сильно зависит от правильной настройки, кривой донор или забытый флоу бьют не по шифрованию, а по незаметности, но именно за неё его и берут. Вроде нормально разъяснил по нему
Hysteria2. Шифрование, стандартный TLS 1.3 внутри QUIC (те же вылизанные библиотеки, что и у HTTP/3-браузеров). Аутентификация по паролю (или через внешний сервис), так что пароль реально должен быть нормальным, а не 12345. Salamander, это обфускация поверх, а не замена шифрованию; отдельный пароль обфускации не защищает данные, он только прячет сам факт QUIC.

Что из этого следует на практике:

Крипту ни у кого не «сломать» в лоб, ломается обычно не шифр, а настройка. У AmneziaWG меньше всего того, что можно испортить; у VLESS - больше всего.
Пароль, это у Hysteria2 (и у Salamander) реальная точка отказа. У AmneziaWG и VLESS вход по ключу/UUID, там подбирать нечего.
Утечки мимо туннеля (DNS, IPv6, WebRTC) одинаково опасны у всех троих и от протокола не зависят, это уже вопрос клиента и системы (см. следующий раздел и «типичные ошибки»).

Далее раздел, который более подробно раскажет что именно за утечки и для чего нужен клиент

Почему выбор клиента важен

Тонкий момент, который новички проскакивают: протокол, это только половина дела, вторая половина, клиент (приложение, которым вы подключаетесь). Один и тот же VLESS в двух разных клиентах может вести себя по-разному, вплоть до «у соседа работает, а у меня нет».

Почему клиент решает:

Отпечаток (fingerprint). Незаметность Reality или маскарад Hysteria2 держатся на том, как клиент воспроизводит «правильное» TLS-рукопожатие. Кривой или устаревший клиент делает это неаккуратно, и вся маскировка сыпется, хотя протокол и сервер настроены идеально. Хороший клиент подделывает отпечаток известного браузера (uTLS), плохой светит «самодельным».
Поддержка фич. Не каждый клиент умеет всё. Port hopping у Hysteria2, XHTTP или xtls-rprx-vision у VLESS, свежие параметры обфускации у AmneziaWG: если клиент их не поддерживает, оно либо молча не заведётся, либо отвалится в самый неподходящий момент. Клиент должен уметь ровно то, что включено на сервере.
Скорость. Реализация буферов, многопоточность, работа с GSO - всё это у клиентов разное. На одном и том же сервере и протоколе два клиента легко дают разную реальную скорость.
Системный режим (TUN). Превратить прокси (VLESS/Hysteria2) в полноценный системный VPN «на весь трафик» умеет только клиент с TUN-режимом. Нет TUN, гоняете трафик по приложениям вручную.

Думаю мало кто гоняет трафик через ядро, поэтому рассказов про запуск с ядра на своей машине - лишнее

Здесь должны были быть упоминания клиентов и какие можно использовать, их +-, но чет я не уверен в этом, решайте и выбирайте всё сами.

Типичные ошибки

По каждому протоколу:

AmneziaWG: разные параметры обфускации на клиенте и сервере (туннель молча не встаёт, самая частая боль); слишком «жирные» мусорные пакеты; попытка коннекта с ванильным WireGuard при включённой обфускации.
VLESS + Reality: неудачный донор dest (мелкий сайт, за Cloudflare, далёкий или нестабильный); забытый flow: xtls-rprx-vision; рассинхрон serverNames между клиентом и сервером; TCP там, где нужен CDN.
Hysteria2: завышенная скорость канала bandwidth (Brutal сам себе создаёт потери); включённый Salamander там, где UDP и так проходит (лишний оверхед); открытый сервер без маскарада, который отвечает «пустотой» на посторонние запросы.

Базовые, общие для всех троих (бьют чаще, чем те, что связанны с самим протоколом):

Утечка DNS. Туннель есть, а DNS-запросы всё равно идут мимо, в открытую, и весь смысл теряется. Проверяйте на профильных «DNS leak»-тестах.
Забытый IPv6. Клиент завернул IPv4, а IPv6 утёк напрямую. Либо тунелируйте IPv6, либо отключайте.
Тест на одном канале. «У меня быстро/медленно» ничего не значит без сравнения: проверяйте минимум на двух разных сетях.
Экономия на IP и доноре. Дешёвый «грязный» IP или мелкий донор для Reality сводят на нет любую аккуратную настройку.
Не обновляют клиент. Отпечатки TLS «стареют», старый клиент выделяется. Держите клиент и ядро свежими.

Какой протокол подойдёт именно мне

Определитесь по своей главной боли, и всё встанет на места:

Нужен простой быстрый туннель на весь трафик, канал нормальный → AmneziaWG.
Нужно «тихо и всегда работает» для браузинга, мессенджеров, почты → VLESS + Reality (+ Vision).
Игры, звонки, стриминг; канал с потерями и высоким пингом → Hysteria2.

Быстрые ответы на частые вопросы:

Что взять одним выбором, если лень разбираться? VLESS + Reality: самая универсальная незаметность. Минус, самая муторная настройка (спасают панели, рекламы панелей не будет).
Нужен именно системный VPN на весь трафик? AmneziaWG, он L3 и заворачивает всё сразу. Остальные два - прокси (системный режим через TUN в клиенте).
Для игр и звонков? Hysteria2: UDP/QUIC, никакого TCP-over-TCP.
Можно держать несколько сразу? Да, и это норма. Многие держат два профиля: VLESS + Reality как основной «тихий» и Hysteria2 как скоростной для реалтайма, и переключаются в одном клиенте, если он конечно поддерживает. AmneziaWG, когда нужен именно цельный системный VPN с минимумом возни.

Как развернуть

Всем трём нужен свой сервер с публичным IP, то есть отдельный VPS. Ниже - минимальные рабочие конфиги и тюнинг по каждому, потом пара слов про сам сервер и где его можно приобрести.

AmneziaWG

Обфускация задаётся в секции [Interface] поверх обычного WireGuard-конфига. Критично: параметры Jc/Jmin/Jmax/S1/S2/H1–H4 должны совпадать на клиенте и сервере, иначе туннель молча не встанет.

[Interface]
PrivateKey = <приватный ключ>
Address = 10.8.0.2/32
# --- параметры обфускации AmneziaWG ---
Jc = 4            # число мусорных пакетов (обычно 3–10)
Jmin = 40         # мин. размер мусорного пакета
Jmax = 70         # макс. размер мусорного пакета
S1 = 66           # паддинг перед Handshake Initiation
S2 = 88           # паддинг перед Handshake Response
H1 = 1234567      # магические заголовки, должны быть уникальны и > 4
H2 = 2345678
H3 = 3456789
H4 = 4567890

[Peer]
PublicKey = <публичный ключ сервера>
Endpoint = <IP сервера>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Тюнинг:

Jc: 3–10; больше = больше служебного шума на ровном месте.
Jmin/Jmax: мелкие пакеты (40/70) незаметнее, крупные сильнее размывают профиль, но заметнее по объёму.
S1/S2: известное правило: S1 + 56 не должно равняться S2.
H1–H4: разные, больше 4 (значения 1–4 заняты реальными типами) и не пересекаются диапазонами.

VLESS + Reality (серверный inbound)

{
  "listen": "0.0.0.0",
  "port": 443,
  "protocol": "vless",
  "settings": {
    "clients": [{ "id": "<UUID>", "flow": "xtls-rprx-vision" }],
    "decryption": "none"
  },
  "streamSettings": {
    "network": "tcp",
    "security": "reality",
    "realitySettings": {
      "dest": "www.example-donor.com:443",
      "serverNames": ["www.example-donor.com"],
      "privateKey": "<из команды xray x25519>",
      "shortIds": ["<случайный hex>"]
    }
  }
}

Ключи генерятся командой xray x25519 (публичный подставится на клиенте автоматически), shortIds: случайные hex-строки для различения клиентов.

Тюнинг:

Выбор донора (dest/serverNames): половина успеха. Берите сайт с TLS 1.3 и HTTP/2, желательно не за Cloudflare, географически близкий и стабильный именно к вам.
flow: xtls-rprx-vision включайте на TCP, именно он гасит отпечаток TLS-в-TLS.
Нужен CDN, уводите транспорт в WS/gRPC/XHTTP и настраивайте домен на CDN.

Транспорты вкратце: TCP/RAW - минимальная задержка (классика для Reality + Vision); WebSocket / gRPC / XHTTP умеют ходить через CDN (наблюдатель видит IP гиганта-CDN, а не ваш сервер), платите чуть большей задержкой; mKCP - поверх UDP, нишевый. Правило: нужна минимальная задержка: TCP/RAW; нужно спрятаться за CDN: WS/gRPC/XHTTP.

Hysteria2 (сервер, YAML)

Ну тут всё вообще просто

listen: :443

tls:
  cert: /etc/hysteria/cert.pem
  key: /etc/hysteria/key.pem

auth:
  type: password
  password: <пароль>

bandwidth:            # главный тюнинг Brutal, ставьте реальную полосу канала
  up: 200 mbps
  down: 200 mbps

obfs:                 # опционально, маскировка самого QUIC
  type: salamander
  salamander:
    password: <пароль-обфускации>

masquerade:           # что увидит случайный посетитель
  type: proxy
  proxy:
    url: https://www.example.com/
    rewriteHost: true

Тюнинг:

Полоса (bandwidth), сердце Brutal. Ставьте чуть ниже реального узкого места канала. Завысите: сами спровоцируете потери и выстрелите себе в ногу.
Salamander включайте, только если именно QUIC не проходит. Иначе лишний оверхед на ровном месте.
Port hopping + masquerade: proxy на живой сайт заметно усложняют пассивное обнаружение.

На чём поднимать

Все три заводятся на обычном VPS за считанные минуты, хватит и минимальной конфигурации. По практике: для VLESS + Reality важнее всего стабильный «чистый» IP (CPU почти не грузится); для Hysteria2 критичны хорошая полоса и качество маршрута до вас; для AmneziaWG - стабильный UDP и близкий по географии дата-центр ради низкого пинга.

Удобно разворачивать на serv.host: стабильный UDP, чистые IP и низкий пинг из нужных регионов - ровно то, что критично для AmneziaWG и Hysteria2, а для VLESS + Reality особенно важен стабильный «чистый» IP. Хостинг, который рекомендует автор статьи.

Проверить реальную скорость проще всего самому: поднять протокол на VPS и прогнать iperf3 через туннель на чистом и на плохом канале. Цифры из личного замера всегда честнее любых таблиц и слов.

Короткий итог

Три протокола, три философии, и «лучшего» среди них нет, есть подходящий под задачу:

AmneziaWG: «сотри приметы», это буквально пародист, который очень плохо играет. Единственный настоящий системный VPN из тройки: быстрый, простой, на проверенной крипте WireGuard. Берут, когда нужен цельный туннель на весь трафик и канал не воюет с UDP.
VLESS + Reality: «переоденься под сайт», косплеер, которого мы заслужили. Самый незаметный и единственный, кто уверенно живёт без UDP. Плата: самая муторная настройка. Берут для тихой повседневки «чтобы просто всегда работало».
Hysteria2: «пробей канал скоростью». Единственный, кто реально ускоряется на битом маршруте с потерями и пингом. Плата: жёсткая завязка на UDP. Берут под игры, звонки и стриминг.

Здравый практический вывод: не выбирать один навсегда, а держать два профиля: VLESS + Reality как основной «незаметный» и Hysteria2 как скоростной для реалтайма, и переключаться по ситуации. AmneziaWG отдельно, когда нужен именно системный VPN. А самый честный тест, поднять на своём VPS и прогнать под свои задачи: полчаса практики стоят десятка сравнительных таблиц.

Вообще я микроразработчик, со мной можно связаться как угодно, я открыт ко всему

**Сторонний мой проект: Zapret2UI.

Источники и документация

Ниже официальные документации протоколов и прочая инфа, которая может быть полезна