Клиенты: sing-box, NekoBox, Hiddify, v2rayN, Karing

Сервер — это полдела. Хороший клиент с правильными routing rules экономит трафик (российские сайты идут мимо туннеля), делает DNS-resolution внутри туннеля (нет утечек), переключает конфиги автоматически при отвале сервера. Разберём 5 главных клиентов 2026 и их sub-link форматы.

1. Какой клиент на какую платформу

2. Форматы sub-link

Sub-link — это URL, по которому клиент скачивает конфигурацию сервера(ов). Когда сервер обновляется (новые ноды, смена ключей), клиент автоматически подтянет.

2.1. V2Ray format (классический)

Plain text, в котором каждая строка — отдельный URI:

vless://uuid@vps-de.com:443?security=reality&flow=xtls-rprx-vision&sni=microsoft.com&fp=chrome&pbk=PUBLIC_KEY&sid=01ab&type=tcp#Reality-DE
vless://uuid@vps-nl.com:443?security=reality&flow=xtls-rprx-vision&sni=apple.com&fp=chrome&pbk=PUBLIC_KEY&sid=02cd&type=tcp#Reality-NL
hysteria2://password@vps-de.com:8443?sni=hysteria-fallback.com&insecure=0#Hysteria-DE
trojan://password@vps-fi.com:443?type=ws&path=%2Fws&sni=trojan.com#Trojan-FI
  

Это всё кодируется в base64 на сервере и отдаётся одной длинной строкой по URL. Клиент её base64-decode'ит и парсит каждую строку.

2.2. Clash format (YAML)

Более структурированный формат, поддерживает routing rules «из коробки»:

proxies:
  - name: "Reality-DE"
    type: vless
    server: vps-de.com
    port: 443
    uuid: UUID
    flow: xtls-rprx-vision
    network: tcp
    tls: true
    reality-opts:
      public-key: PUB_KEY
      short-id: 01ab
    client-fingerprint: chrome
    servername: microsoft.com

proxy-groups:
  - name: "Auto"
    type: url-test                # ← автоматически выбирает самый быстрый
    proxies: [Reality-DE, Reality-NL, Hysteria-DE]
    url: https://www.gstatic.com/generate_204
    interval: 300

rules:
  - GEOIP,RU,DIRECT               # РФ-трафик мимо туннеля
  - GEOSITE,openai,Auto           # ChatGPT через туннель
  - MATCH,Auto                    # всё остальное — через туннель
  

2.3. sing-box format (JSON)

Современный, поддерживает все новые протоколы (Hysteria 2, TUIC, Reality):

{
  "outbounds": [
    {
      "type": "vless",
      "tag": "Reality-DE",
      "server": "vps-de.com",
      "server_port": 443,
      "uuid": "UUID",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "microsoft.com",
        "utls": { "enabled": true, "fingerprint": "chrome" },
        "reality": {
          "enabled": true,
          "public_key": "PUB_KEY",
          "short_id": "01ab"
        }
      }
    },
    {
      "type": "selector",
      "tag": "auto",
      "outbounds": ["Reality-DE", "Reality-NL", "Hysteria-DE"],
      "default": "Reality-DE",
      "interrupt_exist_connections": false
    }
  ],
  "route": {
    "rules": [
      { "geoip": ["ru"], "outbound": "direct" },
      { "geosite": ["openai"], "outbound": "auto" }
    ]
  }
}
  

3. Routing rules — важнее, чем сам туннель

«Всё через VPN» — плохая идея. Российские сайты замедлятся, банк-приложения могут отказаться работать (видят иностранный IP). Грамотный routing:

• geoip:ru → direct — все IP, географически в России, идут напрямую
• geosite:category-ru → direct — российские сайты по доменам (yandex, mail.ru, vk, sberbank)
• geosite:openai → proxy — ChatGPT, OpenAI через VPN
• geosite:youtube → proxy — YouTube через VPN (если заблокирован)
• domain:netflix.com → proxy_us — Netflix через US-узел (для разблокировки)
• final → direct — всё остальное напрямую (защита от тормозов)

3.1. geosite/geoip — что это

geosite — база доменов по категориям (поддерживается v2ray-rules-dat). Например, в категории category-ru — все RU-домены (.ru, .рф, известные русские сайты на .com).

geoip — база IP-диапазонов по странам. Используется когда домен не известен, но IP-адрес определяется по MaxMind.

Эти базы обновляются раз в неделю — клиент тянет их автоматически с GitHub.

4. TUN-mode vs SOCKS-mode

TUN требует root/admin прав (создаёт системный интерфейс). На мобильных платформах это стандартный «VPN service» Android/iOS, который запрашивает разрешение. На десктопе — клиент попросит права.

5. DNS — не забыть про утечку

Если ты в туннеле, но DNS-запросы идут к провайдеру — провайдер всё равно видит, на какие домены ты ходишь. Это DNS leak.

"dns": {
  "servers": [
    { "tag": "google",    "address": "https://8.8.8.8/dns-query",       "detour": "auto"   },
    { "tag": "local",     "address": "https://77.88.8.8/dns-query",      "detour": "direct" }
  ],
  "rules": [
    { "geosite": "category-ru", "server": "local" }
  ]
}
    

6. Авто-переключение между серверами

Когда один сервер падает — клиент должен сам переключиться на запасной. В sing-box/Clash для этого url-test selector:

• Каждые 5 минут (или при ошибках) клиент пингует www.gstatic.com/generate_204 через каждый сервер
• Выбирает с наименьшим latency и без ошибок
• При падении — автоматически переключается на следующий по списку

7. Рекомендуемые конфиги

Для домашнего пользователя (РФ)

• Клиент: Hiddify-Next или NekoBox
• Sub-link с 3 серверами: Reality-DE, Reality-NL, Hysteria-DE
• Routing: geoip:ru direct + geosite:category-ru direct + остальное через urltest selector
• DNS: РФ → Yandex DNS direct, остальное → 1.1.1.1 через прокси
• TUN-mode enabled

Для путешественника (в чужих странах)

• Клиент: Hiddify-Next (для лаптопа) + Streisand/Karing (iOS) или NekoBox (Android)
• Hysteria 2 как основной (хорошо работает на отельном Wi-Fi)
• Reality как backup на случай блока UDP
• Routing: всё через VPN (находясь за границей)

Для семьи / друзей

• Отдельный sub-link для каждого члена семьи (контроль трафика)
• QR-код через 3x-ui — сканируешь в NekoBox/Streisand за 30 секунд
• Установи Hiddify на роутере (OpenWRT) — все домашние устройства идут через VPN автоматически

8. Мини-лаба: попробуй прямо сейчас

Проверь главную угрозу клиента — DNS leak — и посмотри, как выглядит routing-логика:

# 1. Куда УТЕКАЮТ твои DNS-запросы прямо сейчас (без VPN — к провайдеру)
# открой https://dnsleaktest.com → «Standard test». Увидишь резолверы своего ISP.

# 2. Какой резолвер система использует
resolvectl status 2>/dev/null | grep -i "DNS Server" || cat /etc/resolv.conf

# 3. Смоделируй routing-решение: RU-домен vs заблокированный — куда бы поехал каждый
dig +short sberbank.ru     # geosite:category-ru → direct (мимо туннеля)
dig +short openai.com      # geosite:openai → proxy (в туннель)

# 4. Загляни в базы, по которым клиент принимает решения
# geosite/geoip — это .dat-файлы v2ray-rules-dat, клиент тянет их с GitHub раз в неделю
# https://github.com/Loyalsoldier/v2ray-rules-dat — категории category-ru, openai, youtube...

9. Задачи самопроверки — реши, потом раскрой ответ

10. Словарик урока

11. Дальше

Технология и инструменты теперь понятны, и весь стек ты видел не как набор рецептов, а как систему, где каждый слой отвечает на конкретную угрозу. Последние два урока переводят это понимание в решения: рейтинг протоколов 2026 с честной матрицей плюсов и минусов под сценарии (какой протокол под какую страну, сеть и уровень паранойи), и будущее (post-quantum, ECH, MASQUE) — куда движется индустрия к 2027–2030 и что стоит закладывать уже сейчас, чтобы не переделывать через год.