VLESS-ссылка: что значат pbk, sid, sni, fp и flow

Вы купили VPN или получили ключ от знакомого, а в руках строка вида vless://b831381d-…@203.0.113.10:443?type=tcp&security=reality&pbk=…. Её вставляют в Happ или v2RayTun, и всё работает. Но что в ней написано и почему иногда она не подключается? Разбираем ссылку по частям — от UUID до последнего параметра.

Как устроена ссылка целиком

VLESS-ссылка — это обычный URL, только вместо https:// в начале стоит vless://. Внутри упакованы все настройки подключения, которые иначе пришлось бы вбивать в клиент вручную.

Разбор ссылки vless:// по частям: UUID, адрес, порт, параметры и название

Общий шаблон:

vless://UUID@АДРЕС:ПОРТ?параметр=значение&параметр=значение#Название

до @ — ваш идентификатор;
между @ и ? — куда подключаться;
после ? — как подключаться;
после # — как сервер будет называться в списке.

UUID — ваш ключ

b831381d-6324-4d53-ad4f-8cda48b30811 — это UUID, случайный 128-битный идентификатор. В VLESS он работает как пароль: сервер пускает только тех, чей UUID есть в его списке. Угадать чужой UUID практически невозможно.

Отсюда первое правило: UUID нельзя никому показывать. Кто знает ваш UUID, тот может подключаться под вами.

Адрес и порт

203.0.113.10:443 — адрес сервера (IP или домен) и порт. Порт 443 выбран не случайно: это стандартный порт HTTPS, через него открываются все сайты с замочком. Соединение на 443-й порт выглядит максимально обычно.

Параметры после знака вопроса

Здесь самое интересное. Параметры идут парами ключ=значение через &, порядок не важен.

type — транспорт

Как данные физически передаются между вами и сервером.

Значение	Что это
`tcp` (или `raw`)	прямое TCP-соединение, самый быстрый вариант, стандарт для Reality
`xhttp`	данные упакованы в обычные HTTP-запросы, лучше маскирует поведение трафика
`grpc`	поток внутри gRPC — протокола, который используют многие приложения
`ws`	WebSocket, часто для работы через CDN

Подробнее о новом транспорте — в статье что такое XHTTP.

security — слой защиты

reality — маскировка под чужой популярный сайт. Самый устойчивый вариант, как он работает.
tls — обычный TLS со своим доменом и сертификатом.
none — без шифрования. Для подключения через интернет так делать нельзя.

encryption — собственное шифрование VLESS

Почти всегда encryption=none. Это не значит, что трафик не зашифрован: шифрует слой security. Сам VLESS намеренно не дублирует шифрование, чтобы не терять скорость.

pbk — публичный ключ сервера

Параметр Reality. Это публичная половина пары ключей сервера, в конфигурации Xray он называется password или publicKey. По нему клиент готовит «пропуск», который сервер сможет проверить своей приватной половиной. Если pbk в ссылке не совпадает с ключом сервера, подключения не будет.

sid — short ID

Короткая шестнадцатеричная метка от 0 до 16 символов, например 6ba85179. Сервер хранит список допустимых меток и с их помощью может различать группы клиентов. Метка передаётся в зашифрованном виде внутри рукопожатия, снаружи её не видно.

sni — имя сайта-маски

sni=www.microsoft.com — какой сайт ваше соединение изображает для внешнего наблюдателя. SNI передаётся в открытом виде в начале любого HTTPS-соединения, поэтому оборудование оператора видит именно этот адрес. Значение должно совпадать с одним из имён, разрешённых на сервере.

fp — отпечаток браузера

fp=chrome — под какой браузер клиент подделывает своё TLS-приветствие. Системы анализа трафика умеют отличать настоящий Chrome от программ с самописным TLS по отпечатку (JA3/JA4). Варианты: chrome, firefox, safari, ios, edge, random. Для большинства случаев лучший выбор — chrome, самый распространённый отпечаток в сети.

flow — режим XTLS

flow=xtls-rprx-vision включает режим Vision. Он маскирует характерный рисунок «TLS внутри TLS» и не шифрует повторно данные, которые уже зашифрованы. Итог — выше скорость и ниже заметность. Параметр должен совпадать с настройкой сервера: если сервер ждёт Vision, а в ссылке его нет, соединение не установится.

spx — путь для «прогулки»

spx=/ — стартовый путь, по которому клиент Reality ходит по сайту-маске, если вдруг оказался на настоящем сайте. Это имитация поведения обычного браузера. Параметр необязательный.

Параметры для других транспортов

path, host — путь и домен для ws и xhttp.
mode — режим xhttp: auto, packet-up, stream-up или stream-one.
serviceName — имя сервиса для grpc.
alpn — какие версии HTTP поддерживать, например h2,http/1.1.

Название после решётки

#Нидерланды — просто подпись в списке серверов. Кириллица и эмодзи в ссылке кодируются как %D0%9D… — это нормально, клиент покажет их правильно. На подключение название не влияет.

Ссылка и подписка — в чём разница

Ссылка описывает один сервер. Подписка — это адрес вида https://…/sub/…, по которому клиент сам скачивает актуальный список ссылок.

Подписка удобнее:

сервис может добавить новые серверы или сменить адреса, и клиент подтянет изменения сам;
в Happ и v2RayTun по подписке видно остаток трафика и дату окончания;
не нужно ничего перевставлять после продления.

Если сервис даёт подписку, пользуйтесь ей, а не отдельными ссылками. Как добавить подписку в Happ, мы показали на странице подписка Happ.

Почему ссылка не подключается: частые причины

Скопировалась не полностью. Мессенджеры обрезают длинные строки или добавляют пробелы. Копируйте ссылку целиком, от vless:// до конца.
Устаревшее приложение. Новые параметры (xhttp, свежие варианты fp) старые версии клиентов не понимают. Обновите клиент.
Истекла подписка. Проверьте срок в личном кабинете.
Сменились ключи сервера. Сервис обновил pbk или sid, а у вас старая ссылка. Решение — обновить подписку.
Ограничения сети. По Wi-Fi работает, по мобильному интернету нет? Скорее всего, у оператора включены белые списки. Что делать в таком случае, рассказано в статье не работает мобильный интернет.

Другие причины собраны на странице Happ не работает.

Безопасно ли делиться ссылкой

Нет. В ссылке ваш UUID, то есть ключ от доступа. Не публикуйте её в чатах, отзывах и на скриншотах. Если ссылка всё же утекла, напишите нам в Telegram-бот: перевыпустим ключ, и старая ссылка перестанет работать.

Частые вопросы

Можно ли вручную поменять sni в ссылке на другой сайт? Нет. Сервер принимает только те имена, которые прописаны в его настройках. С другим sni соединение просто уйдёт на настоящий сайт.

Что лучше: fp=chrome или random? chrome. Случайный отпечаток может оказаться редким, а значит, заметным.

Чем VLESS-ссылка отличается от VMess или Trojan? Схемой в начале (vmess://, trojan://) и набором параметров. VLESS легче и лучше всех работает с Reality — подробности в сравнении протоколов.

В какие приложения можно вставить VLESS-ссылку? Happ, v2RayTun, Hiddify, v2rayNG и другие клиенты на ядре Xray или sing-box.

Получить рабочую ссылку

В TSPU Xray VPN вы получаете готовую подписку на VLESS + Reality на 14 узлов: вставили в клиент — и готово. Новым пользователям — 3 дня бесплатно. Подробнее про ключи — на странице VLESS Reality.