Shadowsocks — протокол зашифрованного прокси: он переносит трафик приложения от локального клиента к удалённому серверу, который пересылает его назначению. Протокол определяет защищённый участок прокси, но не направляет автоматически каждый пакет устройства и не включает все функции управляемого VPN-сервиса.［1］

Ключевые выводы:

Вход приложения, защищённый канал клиента и соединение с назначением — отдельные этапы.

Поддержка TCP и UDP требует реального использования нужного пути приложением и интеграцией.

У классического AEAD и Shadowsocks 2022 различаются ключи, формат, сеансы и правила повторов.

TUN расширяет захват трафика, но является способом интеграции, а не новым определением протокола.

Шифрование и устойчивость к зондированию не гарантируют незаметность или доступность в конкретной сети.

Как прокси Shadowsocks передаёт запрос приложения?

В распространённой схеме приложение передаёт запрос локальному прокси-интерфейсу клиента Shadowsocks. Клиент кодирует сведения о назначении и защищает трафик для передачи удалённому серверу. Сервер проверяет подлинность и расшифровывает запрос, затем устанавливает дальнейшее соединение; ответ возвращается по соответствующему обратному пути.［1］

Схема отделяет локальный вход приложения от удалённого зашифрованного канала. Она не означает, что участок после сервера тоже защищён шифрованием Shadowsocks. При правильном использовании HTTPS браузер и сайт имеют самостоятельный уровень защиты.

Локальный прокси не является удалённым протоколом

Локальный интерфейс SOCKS — один из возможных входов приложения. Shadowsocks между клиентом и сервером не сводится к отправке незашифрованного запроса SOCKS через Интернет: у него свой защищённый формат сообщения. Адресные сведения говорят серверу, куда переслать трафик; близкое расположение этих настроек в клиенте часто создаёт путаницу.［1］

Запуск клиента сам по себе не доказывает его использование приложением. Программа может игнорировать системный прокси, отправлять неподдерживаемый тип трафика либо устанавливать часть соединений напрямую. В обзоре основ VPN этот вопрос рассматривается вместе с различием туннелей и прокси.

Что шифруется и кому нужно доверять?

Shadowsocks защищает участок от клиента до сервера. Наблюдатель на этом участке не должен читать защищённую полезную нагрузку только благодаря перехвату пакетов. Но сервер обязан восстановить сведения о назначении для пересылки, поэтому удалённая сторона остаётся частью модели доверия.［1］［2］

У дальнейшего соединения собственные требования защиты. При корректном HTTPS сервер пересылает зашифрованный трафик сайта и не получает открытое содержимое браузерного сеанса только потому, что завершает Shadowsocks. Если приложение передаёт незашифрованные данные, защита прокси-участка не продлевается автоматически до конечного назначения.

Конфиденциальность не равна анонимности

Назначение обычно видит исходящий адрес удалённого сервера. Его изменение не убирает идентичность аккаунта, идентификаторы отслеживания, право оплаты или данные, которые приложение отправляет самостоятельно. Защищённый канал также не препятствует сохранению метаданных конечной стороной или наблюдению доступного ей незашифрованного содержимого.

Разбор протокола, транспорта и обфускации отделяет эти свойства. Шифрование прикладных данных не означает разделение ретрансляторов Tor и не определяет эксплуатационную политику приватности провайдера. Каждое утверждение нужно оценивать на уровне, способном его обосновать.

Чем отличаются TCP и UDP в этой модели?

Для TCP сервер устанавливает дальнейший поток и пересылает байты приложения. Shadowsocks шифрует и оформляет данные на участке клиента и сервера, не превращая назначение в участника протокола. Классический AEAD определяет зашифрованные блоки потока, а версия 2022 добавляет собственные заголовки и проверки.［1］［2］［3］

Для UDP стороны обмениваются защищёнными датаграммами со сведениями о назначении и оформлением соответствующей редакции. Потеря пакетов, перестановка и сетевые ограничения остаются значимыми. Поддержка в спецификации не доказывает правильную работу UDP в конкретном клиенте, локальном интерфейсе или интеграции приложения.［1］

Поддержка приложения и поддержка сети различаются

Программа, отправляющая TCP через локальный прокси, может выполнять DNS-запросы в другом месте. Другой программе нужен локальный интерфейс с датаграммами, а не только настройка TCP-прокси. Поэтому слова «поддерживается UDP» не доказывают охват игр, звонков или всех запросов DNS.

Удалённый канал и дальнейшее соединение также могут отказывать независимо. Доступность сервера не доказывает ответ назначения, а успешный TCP-запрос не подтверждает UDP-путь. Загрузка одной страницы не является тестом трафика всего устройства: наблюдение нужно связывать с конкретным приложением и типом соединения.

Чем Shadowsocks AEAD отличается от Shadowsocks 2022?

AEAD означает аутентифицированное шифрование с дополнительными данными: шифрование сочетается с проверкой целостности. Это криптографическая конструкция, а не один взаимозаменяемый формат Shadowsocks. Классическая редакция и версия 2022 по-разному строят сообщения и выводят ключи, поэтому клиенту и серверу нужен общий поддерживаемый метод.［2］［3］

В классическом AEAD предварительно общий мастер-ключ и соль используются для вывода подключа. TCP-поток начинается с соли и продолжается зашифрованными блоками длины и полезной нагрузки; UDP использует собственную конструкцию с солью. Уникальность соли — требование безопасности, но соль не является обменом открытыми ключами, а её смена не создаёт прямую секретность.［2］

Изменения редакции 2022

Shadowsocks 2022 требует случайные предварительно общие ключи подходящего для метода размера, а не классическое преобразование пароля в ключ. Изменяются вывод ключей и заголовки, добавляются явные требования времени и защиты от повторов. У UDP появляются идентификаторы сеансов и пакетов, а также окна защиты от повторной передачи; спецификация прямо говорит об отсутствии прямой секретности.［3］

Таблица описывает границы редакций, не рекомендуя конкретный метод развёртывания. Чтобы понимать документацию или существующую конфигурацию, всё равно нужны точное название метода и сведения о поддержке реализации.

Свойство	Классический AEAD	Shadowsocks 2022
Исходный ключ	Общий мастер-ключ, возможно полученный из пароля	Случайный общий ключ длины конкретного метода
Структура TCP	Соль и зашифрованные блоки длины и нагрузки	Обновлённые заголовки и защищённая блочная нагрузка
Организация UDP	Защищённые датаграммы на основе соли	Явные идентификаторы сеанса и пакета
Защита от повторов	Оценка классического формата и реализации	Явные требования, включая окна повторов UDP
Прямая секретность	Вывод из соли не является новым асимметричным обменом	Спецификация прямо указывает её отсутствие

Нельзя утверждать, что у старого формата совсем нет защиты от повторов, только потому, что 2022 усиливает требования. Нельзя и приписывать всем классическим клиентам сеансы и правила новой версии. Указание редакции полезнее универсальной наклейки «Shadowsocks безопасен».

Превращает ли TUN каждое приложение в прокси-клиент?

Интеграция TUN захватывает IP-пакеты через виртуальный интерфейс и может преобразовывать подходящий трафик в операции прокси. Она расширяет входной механизм, но протокол между клиентом и сервером продолжает пересылать прикладной трафик. Захват, преобразование, выбор маршрутов и защищённый удалённый канал — самостоятельные обязанности.

Широкий маршрут может быть полезен, не доказывая полного охвата. IPv4, IPv6, DNS, исключённые маршруты, неподдерживаемый трафик и поведение при отключении требуют проверки конкретного ПО. Опция TUN означает наличие интерфейсного механизма, а не сертификат правильной обработки каждого пакета и состояния отказа.

Организация входа	Что может попасть в прокси	Что проверить отдельно
Настройка прокси приложения	Запросы приложений, соблюдающих настройку	Другие программы, локальный DNS и UDP
Системная настройка прокси	Программы, использующие предпочтение ОС	Игнорирующие его приложения и непроксируемый трафик
Интеграция TUN	Захваченный и преобразованный клиентом IP-трафик	Маршруты, семейства адресов, DNS, исключения и политика отказа

Сначала сравните охват, затем названия продуктов

Сопоставляя настройку Shadowsocks с документированным глобальным режимом AethoVPN, начните с реальных правил захвата трафика. Настройка прикладного прокси и режим маршрутизации устройства описывают разный охват; сравнение WireGuard и Shadowsocks помогает определить подходящую модель, но не устанавливает протокол управляемого сервиса.

Разбор IP-туннеля WireGuard показывает другую исходную модель. Сопоставление VLESS/REALITY и Shadowsocks отдельно рассматривает уровни, не подменяя свойство протокола функцией прокси-ядра.

Можно ли распознать зашифрованный трафик Shadowsocks?

Даже у зашифрованных данных наблюдаемы размеры пакетов, время, адреса и поведение реализации. Активное зондирование добавляет вопрос о реакции подозреваемого сервера на специально сформированный трафик наблюдателя. Ни шифрование, ни изменение адреса не доказывают неуязвимость к этим двум способам обнаружения.

В измерительном исследовании китайской системы фильтрации 2020 года описана пассивная идентификация с последующим зондированием изученных развёртываний Shadowsocks. Результат относится к датам, сети, реализациям и форматам исследования. Оно предшествует Shadowsocks 2022 и не доказывает одинаковую реакцию всех современных развёртываний или одинаковые правила во всех сетях.［4］

Цель конструкции не является обещанием доступности

Спецификация 2022 задаёт требования против повторов и активного зондирования, включая обработку неверных запросов. Это требования к протоколу и реализации, а не гарантия всеобщей доступности. Адрес сервера можно заблокировать, а сеть способна ограничить соединение по сведениям, не требующим расшифровки полезной нагрузки.［3］

Обзор VPN-протоколов служит фоном для терминов и уровней. Здесь нет регионального эксперимента, инструкции развёртывания или рейтинга скорости. Используйте разрешённые программы и сети, соблюдая местные законы, правила организации и условия сервисов.

Итоги

Shadowsocks пересылает трафик приложений через защищённый канал клиента и сервера.
Локальный вход, зашифрованная передача и защита назначения имеют разные границы.
Ключи и правила повторов классического AEAD и 2022 описываются отдельно.
Интеграция TUN и устойчивость к обнаружению требуют доказательств конкретной реализации.

Часто задаваемые вопросы (FAQ)

Shadowsocks сам по себе является VPN для всего устройства?

Он определяет протокол зашифрованного прокси, а не автоматическую маршрутизацию всего устройства. Клиент может добавить TUN, но охват зависит от маршрутов, DNS, адресных семейств и отказов.

Это просто другое название SOCKS5?

Локальный SOCKS-интерфейс может подавать запросы клиенту, но удалённый защищённый протокол имеет собственный формат. Вход приложения и канал клиента с сервером — разные этапы.［1］

Shadowsocks передаёт UDP?

Протокол поддерживает UDP наряду с TCP. Реальный охват также зависит от клиента, входа приложения и сети, поэтому проверка TCP-страницы не подтверждает UDP.［1］

Ключи классического AEAD и 2022 взаимозаменяемы?

У редакций разные требования методов и форматы сообщений. Стороны должны согласовать поддерживаемый метод и правильный ключ; одно имя продукта не делает настройки взаимозаменяемыми.［2］［3］

Shadowsocks 2022 обеспечивает прямую секретность?

Спецификация явно говорит, что не обеспечивает. Случайные предварительно общие ключи и сеансовый вывод не заменяют свежий асимметричный обмен, предоставляющий это свойство.［3］

Сервер прокси читает HTTPS-содержимое?

Правильно используемый HTTPS защищает содержимое между браузером и сайтом при пересылке прокси. Сервер обрабатывает назначение и метаданные; незашифрованные данные приложения имеют другую границу раскрытия.

Устойчивость к зондированию гарантирует доступность сервера?

Она относится к отдельным методам идентификации, а не ко всем причинам отказа. Блокировка адресов, пассивные наблюдения, сетевые ограничения и различия реализаций остаются значимыми.

Отказ от ответственности: Это концептуальное объяснение, а не региональный тест доступа или разрешение нарушать местные законы, сетевые правила и условия сервисов.

Источники

Источники проверены 5 октября 2026 г.

Что такое Shadowsocks? Как устроен защищённый прокси