Добавление поддержки обфускации WireGuard LWO (Lightweight WireGuard Obfuscation)

Автор: t***********************@g***.com

Продукт: Приложение INCY

Создан: 02.11.2026, 07:39:05

Предлагаю реализовать поддержку легковесной обфускации LWO (Lightweight WireGuard Obfuscation) на базе уже существующего в INCY модуля WireGuard.
​
В текущих реалиях обхода блокировок возникла опасная монокультура: практически все публичные клиенты, панели и коммерческие сервисы перешли на VLESS с Reality. Из-за гигантской доли этого протокола в общем объеме трансграничного трафика ТСПУ и операторские DPI ведут его круглосуточный эвристический анализ, нарабатывают поведенческие модели и активно совершенствуют методы активного зондирования (active probing). Вторая распространенная альтернатива, AmneziaWG (AWG), также стремительно теряет надежность: шаблонные настройки с фиксированными диапазонами мусора (Jc/Jmin/Jmax) и повторяющимися заголовками инициализации (H1–H4) уже разобраны цензорами и занесены в базы сигнатур, что приводит к периодическим сбросам сессий или жесткому шейпингу скорости до 128 кбит/с.
​
Классический WireGuard блокируется моментально из-за элементарной сигнатуры: пакет Handshake Initiation всегда имеет фиксированную длину ровно 148 байт, а первые 4 байта содержат жестко заданный тип сообщения (0x01000000). Ответ сервера Handshake Response точно так же вычисляется по длине в 92 байта и типу 0x02. Технология LWO, разработанная инженерами шведского сервиса Mullvad VPN, устраняет эту проблему в корне. Она на лету рандомизирует и модифицирует структуру служебных пакетов и заголовков рукопожатия, стирая фиксированные байты протокола. При этом, в отличие от AmneziaWG, LWO не забивает сетевой канал постоянными всплесками мусорного шума, благодаря чему соединение не триггерит эвристические анализаторы аномального UDP-трафика.
​
По сравнению с VLESS и Hysteria 2, обфусцированный WireGuard обладает критическими преимуществами на мобильных устройствах. VLESS работает поверх TCP/TLS, создавая существенный оверхед на шифрование веб-оболочки, дополнительную задержку при установке сессии и страдает от проблемы Head-of-Line blocking при потерях пакетов. Протокол Hysteria 2, хоть и базируется на UDP/QUIC, на многих мобильных операторах попадает под агрессивный общий шейпинг QUIC-трафика. LWO же сохраняет нативную производительность ядра WireGuard: трафик идет легкими UDP-дейтаграммами, не нагревает процессор смартфона, бережет аккумулятор и обеспечивает минимально возможный пинг для онлайн-звонков и игр.
​
Об этой технологии за пределами экосистемы Mullvad практически никто не знает, она отсутствует в аналитических базах ТСПУ и сейчас проходит любые фильтры абсолютно незамеченной. При этом решение юридически и технически полностью открыто. Весь исходный код LWO опубликован в официальном репозитории mullvad/mullvad-vpn. Сетевой движок gotatun написан на Rust и распространяется под свободной лицензией MPL 2.0 (Mozilla Public License), а сопутствующий стек talpid-core — под GPL. Это снимает любые вопросы авторских прав: код можно легально использовать, портировать и адаптировать внутри сторонних клиентов.
​
Для интеграции в INCY разработчикам не требуется проектировать сетевой интерфейс и криптографию заново, так как базовый WireGuard уже отлажен. Задача сводится к реализации легковесной прослойки на сокете, перехватывающей пакеты перед отправкой и распаковывающей ответы. В конфигах INCY это можно реализовать простым дополнительным полем (например, параметром obfuscation: "lwo" с сопутствующим ключом), сохранив обратную совместимость с обычными конфигурациями. На стороне сервера пользователи смогут использовать открытые серверные наработки Mullvad либо минимальные UDP-прокси перед стандартным wg-quick.

​Внедрение LWO даст INCY статус первого мультипротокольного клиента с поддержкой передовой, легкой и действительно невидимой альтернативы перегруженным протоколам.