AmneziaWG конфиг: полное руководство по созданию, настройке и обходу DPI

Что такое AmneziaWG и зачем нужен конфиг

AmneziaWG — это форк WireGuard, разработанный для обхода систем глубокого анализа пакетов (DPI). В отличие от классического WireGuard, который легко детектируется по фиксированным заголовкам и размерам пакетов, AmneziaWG модифицирует трафик так, чтобы он был неотличим от обычного UDP-трафика, например QUIC или DNS.

Конфиг AmneziaWG — это текстовый файл с расширением .conf, который содержит все параметры подключения: адрес сервера, ключи, параметры обфускации, маршрутизацию и другие настройки. Без правильно составленного конфига невозможно установить защищённое соединение, поэтому понимание его структуры критически важно для всех, кто хочет использовать AmneziaWG в условиях интернет-цензуры.

Конфиг можно создать вручную, но чаще используют генераторы, которые автоматически подставляют нужные значения. Такие инструменты особенно полезны для новичков, так как позволяют избежать ошибок в параметрах, которые могут привести к неработоспособности туннеля.

Версии AmneziaWG: 1.5, 2.0 и 3.1 — ключевые отличия

AmneziaWG развивается, и каждая новая версия добавляет более совершенные механизмы маскировки трафика. Понимание различий между версиями помогает выбрать правильный конфиг и клиент.

AmneziaWG 1.5 (Legacy) — первая широко распространённая версия. Она использует статические параметры обфускации: фиксированные диапазоны заголовков (H1-H4), префиксы длин пакетов (S1-S4) и маскировочные пакеты (Jc). Основной недостаток — маскировка применяется только к началу соединения, а дальнейший трафик может быть проанализирован DPI по поведенческим признакам. Тем не менее, эта версия совместима со старыми клиентами и до сих пор используется.

AmneziaWG 2.0 — значительный шаг вперёд. Вместо статических заголовков используются динамические диапазоны, которые меняются для каждого пакета. Добавлена имитация QUIC и DNS на протяжении всей сессии, а не только при handshake. Это делает трафик гораздо менее предсказуемым для эвристического анализа. Для работы AWG 2.0 требуется клиент версии не ниже 4.8.12.9 (AmneziaVPN) и обновлённый модуль ядра на сервере, если используется собственный сервер.

AmneziaWG 3.1 — самая свежая версия, созданная в ответ на массовые блокировки в России в 2026 году. Она добавляет механизмы, которые скрывают не только отдельные заголовки, но и поведение соединения в целом: меняются размеры, последовательность и интервалы между пакетами, а также часть служебных данных. Это делает каждую сессию уникальной и значительно усложняет статистический анализ. Версия 3.1 также включает Header Protection, Content Padding, Random Trailers и другие продвинутые функции.

При выборе конфига важно учитывать, какую версию поддерживает ваш клиент и сервер. Использование конфига 2.0 с клиентом 1.5 приведёт к ошибке подключения.

Структура конфигурационного файла AmneziaWG

Конфиг AmneziaWG основан на формате WireGuard, но дополнен секциями для параметров обфускации. Рассмотрим основные секции и параметры.

Секция [Interface] — описывает локальный туннель:

• PrivateKey — закрытый ключ клиента (генерируется автоматически или вручную).
• Address — IP-адрес внутри туннеля (например, 10.0.0.2/32).
• DNS — DNS-серверы, которые будут использоваться внутри туннеля.
• MTU — максимальный размер пакета (обычно 1280 для мобильных, 1420 для десктопа).

Секция [Peer] — описывает удалённый сервер:

• PublicKey — публичный ключ сервера.
• PresharedKey — дополнительный ключ для усиления безопасности (опционально).
• Endpoint — адрес сервера: IP или hostname и порт (например, engage.cloudflareclient.com:4500).
• AllowedIPs — список подсетей, которые направляются через туннель. 0.0.0.0/0 и ::/0 означают полный туннель.
• PersistentKeepalive — интервал отправки keepalive-пакетов (например, 25 секунд).

Секция [Jc] и [Jmin]/[Jmax] — параметры junk-пакетов, которые отправляются перед handshake для размывания начала сессии. Jc — количество пакетов, Jmin и Jmax — минимальная и максимальная длина.

Секция [S1]-[S4] — префиксы, добавляемые к пакетам Init, Response, Cookie и Data соответственно. Они скрывают стандартные размеры WireGuard-сообщений.

Секция [H1]-[H4] — диапазоны значений для заголовков пакетов. В AWG 2.0 они динамические, в 1.5 — статические.

Секция [I1]-[I5] — маскировочные пакеты (CPS), которые имитируют реальные протоколы, например QUIC Initial handshake.

Секция [CPS] — параметры Custom Protocol Signature, включая теги **, `, , , ` для генерации байтов, временных меток и случайных данных.

Секция [HeaderProtection] — параметры для защиты заголовков (ключ, режим).

Секция [ContentPadding] — параметры для добавления случайного padding к транспортным пакетам.

Секция [Timing] — настройка таймингов (диапазоны для handshake, keepalive и т.д.).

Секция [RandomTrailers] — добавление случайных байтов в конец пакетов.

Секция [DisableCookies] — отключение Cookie Reply для снижения fingerprint.

Понимание этих параметров позволяет вручную редактировать конфиг под свои нужды, но для большинства пользователей достаточно генератора.

Генераторы конфигов: обзор популярных инструментов

Создание конфига вручную требует глубоких знаний, поэтому сообщество разработало удобные веб-генераторы. Они позволяют выбрать параметры через интерфейс и получить готовый .conf файл.

AmneziaWG Config Generator (hereiamgosu.github.io) — бесплатный инструмент, который поддерживает генерацию конфигов для Cloudflare WARP и собственных серверов. Он позволяет выбирать версию (Legacy 1.5 или AWG 2.0), настраивать AllowedIPs, DNS, endpoint (hostname или IP), порт, CPS-параметры, мобильный профиль и генерировать vpn:// ссылки для импорта в мобильный AmneziaVPN. Также есть диагностические функции и Windows Scheduler .bat для автозапуска.

Второй генератор (valokda-amnezia.vercel.app) — аналогичный инструмент, поддерживающий AWG 1.5 и 2.0, с пресетами маршрутов, DNS, CPS, мобильным профилем и vpn://. Он также предоставляет .bat планировщики для Windows и инструкции по установке.

Оба генератора бесплатны и имеют открытый исходный код. Они не гарантируют работу в любой сети, но предоставляют инструменты для диагностики. Важно помнить, что генераторы не являются официальными продуктами Amnezia, но активно используются сообществом.

При выборе генератора обращайте внимание на актуальность версий: если ваш клиент поддерживает AWG 2.0, используйте соответствующий режим. Для старых клиентов подойдёт Legacy.

Настройка AllowedIPs: полный туннель или выборочная маршрутизация

AllowedIPs — это параметр, определяющий, какие IP-адреса будут направляться через туннель. Многие ошибочно думают, что это список «разрешённых сайтов», но на самом деле это маршрутизация.

Полный туннель — AllowedIPs = 0.0.0.0/0, ::/0. Весь IPv4 и IPv6 трафик идёт через VPN. Это максимально безопасно, но может снижать скорость и вызывать проблемы с доступом к локальным ресурсам.

Выборочная маршрутизация — вместо полного диапазона указываются конкретные CIDR-подсети. Например, AllowedIPs = 1.1.1.0/24, 8.8.8.0/24 направит через туннель только трафик к этим подсетям. Это полезно, если нужно обойти блокировку только для определённых сервисов, оставив остальной трафик напрямую.

Генераторы предлагают route presets — готовые наборы CIDR для популярных сервисов (например, Cloudflare, Google, Telegram). Это удобно, но нужно следить за количеством маршрутов: слишком длинные таблицы могут обрезаться роутерами и мобильными клиентами. Безопасный лимит — около 1000 IPv4 CIDR.

При использовании полного туннеля пресеты не применяются. Для мобильных устройств рекомендуется отключать IPv6, так как это увеличивает число маршрутов в 2–3 раза и может вызывать сбои.

Endpoint: hostname или прямой IP — что выбрать

Endpoint — это адрес сервера, к которому подключается клиент. Он может быть задан как hostname (доменное имя) или как прямой IP-адрес. Выбор влияет на надёжность подключения.

Hostname endpoint — клиент резолвит домен через локальный DNS до установки туннеля. Если DNS блокирует домен или возвращает неверный ответ, туннель не поднимется. Однако hostname удобен, когда IP-адрес сервера может меняться (например, anycast Cloudflare).

Прямой IP endpoint — клиент обращается к IP без DNS-резолвинга. Это устраняет один потенциальный сбой, но если IP перестанет быть активным (например, изменится anycast-узел), соединение не установится.

В генераторах можно выбрать оба варианта. Для Cloudflare WARP часто используется hostname engage.cloudflareclient.com, но если DNS заблокирован, можно указать конкретный IP из списка доступных.

Также важен порт: Cloudflare WARP использует UDP-порт 4500 по умолчанию, но можно попробовать другие порты (например, 500, 1701, 2408), если стандартный заблокирован.

CPS-параметры: имитация протоколов для обхода DPI

Custom Protocol Signature (CPS) — это механизм, который позволяет маскировать трафик AmneziaWG под другие UDP-протоколы, такие как QUIC, DNS, SIP. Это достигается отправкой специальных пакетов перед handshake, которые имитируют реальные протоколы.

Основной параметр — I1, который содержит hex-снимок реального протокола (например, QUIC Initial handshake). Можно использовать готовые сигнатуры или сгенерировать случайную. Дополнительные пакеты I2-I5 добавляют энтропию за счёт счётчика, метки времени и случайных данных.

Формат CPS использует теги:

• ** — статические байты для имитации протокола.
• `` — Unix timestamp (32-bit).
• `` — криптостойкие случайные байты.
• `` — случайные ASCII-буквы.
• `` — случайные десятичные цифры.

Пример: ** создаст пакет, начинающийся с заданных байтов, затем временная метка и 20 случайных байт.

Важно: пакеты I1-I5 отправляются последовательно, каждый со своим содержимым. Если какой-то параметр не задан, соответствующий пакет не отправляется. Если не задан ни один, CPS-пакеты не используются.

CPS особенно эффективен в AWG 2.0, где имитация продолжается на протяжении всей сессии, а не только при подключении. Однако для работы CPS требуется, чтобы клиент и сервер поддерживали эту функцию.

Мобильный профиль и импорт через vpn://

Мобильные устройства имеют свои особенности: нестабильные сети, ограниченные таблицы маршрутов, энергопотребление. Для них генераторы предлагают специальный «мобильный профиль».

Мобильный профиль включает:

• Низкие значения Jc, Jmin, Jmax для уменьшения количества junk-пакетов.
• MTU 1280 (меньше стандартного), что снижает фрагментацию.
• Отключение IPv6, чтобы уменьшить число маршрутов.
• Консервативные настройки таймингов.

Это не гарантирует работу в любых условиях, но делает поведение туннеля более предсказуемым при плохом сигнале.

Для импорта конфига на телефон удобно использовать ссылку vpn://. Генератор формирует её после создания .conf. Ссылка содержит весь конфиг в сжатом base64-формате. Её можно скопировать и открыть на телефоне — AmneziaVPN распознает схему vpn:// и предложит импортировать конфиг автоматически. Это избавляет от необходимости передавать файл вручную.

Также можно импортировать конфиг через QR-код или файл, но vpn:// — самый быстрый способ.

Типичные проблемы и их диагностика

Даже правильно сгенерированный конфиг может не работать из-за особенностей сети. Рассмотрим частые симптомы и возможные причины.

Работает через LTE, но не через Wi-Fi — скорее всего, проблема в UDP-фильтрации, порте, NAT или captive portal в Wi-Fi сети. Попробуйте другой порт или endpoint.

IP работает, а hostname — нет — клиент не может зарезолвить домен из-за блокировки DNS. Используйте прямой IP.

Вчера работало, сегодня нет — у конфига нет срока действия, но могут измениться маршруты до anycast endpoint, доступность порта или поведение сети. Проверьте endpoint и порт.

Подключается, но сайты не открываются — проблема с DNS, AllowedIPs, IPv6 или MTU. Проверьте DNS-серверы, маршруты и MTU.

Импорт не проходит — проверьте, что версия конфига соответствует версии клиента (1.5 или 2.0), и что формат файла корректный.

Для диагностики генераторы предоставляют healthcheck API и endpoint-сценариев. Также полезно смотреть логи клиента AmneziaVPN.

Безопасность и ограничения AmneziaWG

AmneziaWG использует криптографическое ядро WireGuard, которое считается безопасным и производительным. Однако обфускация не является шифрованием — она лишь скрывает факт использования VPN. Поэтому не стоит полагаться на неё как на единственное средство защиты.

Важно понимать, что AmneziaWG не защищает от всех видов DPI. Некоторые провайдеры могут использовать активное зондирование, которое пытается определить VPN по поведению соединения. Версия 3.1 снижает этот риск, но не исключает его полностью.

Также стоит учитывать, что использование VPN может нарушать законы некоторых стран. В России VPN не запрещён, но существуют ограничения на пропаганду обхода блокировок. Пользователь несёт ответственность за соблюдение местного законодательства.

Наконец, AmneziaWG не является анонимной сетью. Он не скрывает ваш IP-адрес от сервера, к которому вы подключаетесь. Для полной анонимности нужно использовать дополнительные инструменты, такие как Tor.

Вопросы и ответы