Подробнее о протоколе NaiveProxy
Идея NaiveProxy выросла из простого наблюдения: любая обфускация, пытающаяся «выглядеть как Chrome», рано или поздно отличается от настоящего Chrome — TLS-fingerprint, порядок расширений, тайминги пакетов, размеры handshake. klzgrad пошёл противоположным путём: взял исходники Chromium и оставил только сетевой стек (~0,3% оригинального кода). Получился клиент, который для DPI неотличим от обычного браузера, потому что это и есть код браузера. Репозиторий — github.com/klzgrad/naiveproxy (BSD-3-Clause, 145+ релизов, активная разработка).
Трафик идёт через HTTP/2 поверх TLS: клиент устанавливает одно TLS-соединение с сервером, отправляет HTTP CONNECT для каждого нового адреса назначения, а потоки мультиплексируются внутри одной сессии. Сервер — форк Caddy с плагином forwardproxy от того же автора (github.com/klzgrad/forwardproxy): Caddy сам получает TLS-сертификат от Let's Encrypt, и снаружи ваш VPS выглядит как обычный веб-сайт. Как альтернатива поддерживается HAProxy.
Защита от продвинутого DPI устроена на трёх уровнях:
- Padding 8 первых DATA-фреймов в каждом направлении — фрагментирует и удлиняет начало потока, ломая website-fingerprinting по размерам пакетов.
- Случайные заголовки в CONNECT-запросах — каждый запрос немного отличается, не оставляя стабильной сигнатуры.
- END_STREAM до RST_STREAM — корректная HTTP/2-семантика завершения потоков, неотличимая от поведения настоящего браузера.
В отличие от VLESS+Reality (где угоняется TLS-handshake чужого сайта) и Trojan (имитация HTTPS на 443 порту), NaiveProxy решает задачу на уровне самого браузерного TLS-клиента. Активный пробинг ТСПУ получает легитимный TLS-handshake Chrome, HTTP/2-сессию с правильными настройками padding и закрытия — повод что-то заподозрить не возникает. Также NaiveProxy свободен от уязвимости TLS-in-TLS, на которой ловится классический Trojan.
Поддержка на стороне клиентов: на Windows / Linux / macOS — родной бинарь naive из релизов klzgrad/naiveproxy; на Android — NekoBox, husi, Exclave с плагином Naive; на iOS / macOS — sing-box 1.13+ через Libbox (только sing-box даёт «настоящую» Chromium-маскировку, остальные клиенты говорят протоколом, но без браузерного fingerprint). На роутерах с OpenWrt тоже есть пакет.
В России 2026 NaiveProxy работает стабильно у всех провайдеров, включая мобильные ТСПУ. Главный минус один: протокол менее популярен, чем VLESS Reality — клиентов с поддержкой меньше, готовых публичных ключей у бренд-сервисов почти нет. Имеет смысл, если вы поднимаете свой VPS: установка сервера — буквально одна команда (xcaddy build --with github.com/klzgrad/forwardproxy@naive и базовый Caddyfile), и дальше — никаких ограничений по трафику и устройствам. Для self-hosted-сценария — один из лучших современных вариантов наравне с VLESS+Reality.