Как настроить AmneziaWG и включить скрытный режим VPN

AmneziaWG в двух словах: что это и что понадобится

AmneziaWG — это модификация протокола WireGuard от команды проекта Amnezia. Внутри те же ключи, то же шифрование и та же скорость, но пакеты рукопожатия дополнены случайным «мусором», а служебные заголовки заменены на нестандартные значения. В результате системы глубокого анализа трафика (DPI) не распознают соединение как WireGuard — у него нет характерной сигнатуры. Подробно о том, как это устроено, — в статье что такое AmneziaWG; исходный код и приложения открыты и опубликованы на amnezia.org.

На практике это означает одно: там, где обычный WireGuard-туннель не может установить соединение, AmneziaWG обычно подключается. Такое случается в сетях, оборудование которых распознаёт WireGuard по сигнатуре и не даёт завершить рукопожатие, — в корпоративных и гостиничных Wi-Fi, у некоторых мобильных операторов в поездках. В Muhomor VPN этот вариант называется «скрытный режим» и включается одной кнопкой на странице доступа.

Для настройки понадобятся три вещи.

• Устройство — iPhone или iPad, смартфон на Android 7 и новее, компьютер с Windows или macOS. Для Linux у Amnezia тоже есть клиент.
• Приложение — AmneziaVPN (универсальный клиент) или AmneziaWG (минималистичный, похожий на WireGuard). Оба бесплатны, ставятся из официальных магазинов или с сайта проекта.
• Конфиг скрытного режима — файл .conf с параметрами AmneziaWG или QR-код. В Muhomor VPN его выдаёт кнопка «Включить скрытный режим» на странице доступа. Общий порядок получения конфигов, пробный период на 3 дня и повторная отправка описаны в статье как получить конфиг.

Обычное приложение WireGuard для скрытного режима не подойдёт — почему, разобрано в разделе о совместимости. Зато приложения Amnezia, как правило, понимают и обычные WireGuard-конфиги, так что при желании можно держать оба туннеля в одном клиенте.

Шаг 1. Установите AmneziaVPN или AmneziaWG

У проекта два клиента, и конфиг скрытного режима работает в обоих.

AmneziaVPN — полноценный клиент: поддерживает несколько протоколов, умеет управлять собственным сервером, показывает расширенные настройки. AmneziaWG — практически копия приложения WireGuard с поддержкой дополнительных параметров: список туннелей, переключатель, импорт. Если нужен только скрытный режим и привычный интерфейс, берите AmneziaWG; если хотите один клиент под разные задачи — AmneziaVPN. Скачивайте приложения только из App Store, Google Play или с официального сайта проекта: VPN-клиент видит весь трафик устройства, и подделка здесь опаснее, чем в любой другой категории программ.

Роутеры: поддержка AmneziaWG есть в актуальных прошивках Keenetic и в виде пакета для OpenWrt, но набор параметров и порядок настройки зависят от модели — сверяйтесь с документацией производителя. Большинству пользователей проще включить скрытный режим на самом устройстве, а на роутере оставить обычный WireGuard.

Шаг 2. Получите конфиг скрытного режима

В Muhomor VPN скрытный режим не требует отдельной заявки — это часть того же доступа. Порядок такой:

1. Оформите доступ: пробный на 3 дня (нужен только e-mail) или платный — 30, 60 или 90 дней за 320, 610 или 899 ₽ разовым платежом, без подписки.
2. Откройте страницу доступа. Найти её можно через блок «Мой доступ» на главной: введите e-mail заявки.
3. Нажмите «Включить скрытный режим». Сервис подготовит конфиг в формате AmneziaWG — файл для импорта и QR-код.
4. Если устройств несколько, включите скрытный режим для каждого отдельно: как и у обычного WireGuard, один конфиг работает на одном устройстве, всего до пяти на доступ.

Сохраните файл там, откуда его удобно открыть на нужном устройстве, или откройте страницу доступа на компьютере и отсканируйте QR-код с экрана.

Шаг 3. Импортируйте конфиг по QR-коду или из файла

В AmneziaVPN импорт выглядит так (названия пунктов приведены по официальной документации Amnezia и могут немного отличаться в разных версиях приложения):

1. Откройте AmneziaVPN. При первом запуске нажмите кнопку начала работы, в дальнейшем — «+» для добавления нового подключения.
2. Выберите способ: «Файл с настройками подключения», чтобы указать сохранённый .conf, или «QR-код», чтобы отсканировать код с экрана другого устройства камерой. Есть и третий вариант — вставить текст ключа подключения, если сервис выдал его в таком виде.
3. Нажмите «Продолжить», проверьте, что протокол определился как AmneziaWG, и нажмите «Подключиться».
4. Система спросит разрешение на добавление VPN-конфигурации: на iPhone подтвердите код-паролем или Face ID, на Android нажмите «ОК» в диалоге запроса на подключение.

На Android сразу после установки снимите для AmneziaVPN ограничения экономии батареи в настройках системы — иначе туннель будет засыпать в фоне, как и любой другой VPN-клиент.

В приложении AmneziaWG всё ещё короче и полностью повторяет WireGuard: «+» → импорт из файла или архива либо сканирование QR-кода → переключатель напротив туннеля.

После подключения проверьте результат: откройте сервис определения IP-адреса — он должен показать адрес сервера, а не вашего оператора. Полный чек-лист, включая проверку DNS, — в статье как проверить, что VPN работает.

Чем AmneziaWG-конфиг отличается от обычного WireGuard

Откройте оба файла рядом, и разница будет видна сразу: секция [Peer] идентична, а в [Interface] у AmneziaWG добавлены несколько коротких строк. Именно они и описывают маскировку.

Выглядит это, например, так: Jc = 4, Jmin = 40, Jmax = 70, S1 = 30, S2 = 50 и четыре числа для H1–H4; конкретные значения у каждого сервера свои.

Значения этих параметров задаёт сервер, и у клиента они должны совпадать с серверными в точности — иначе рукопожатие не состоится. Поэтому редактировать их в готовом конфиге нельзя, а «подкрутить для надёжности» тем более. В новых версиях протокола список расширяется (появляются дополнительные размеры и режимы защиты заголовков), так что держите приложение обновлённым: старый клиент может не понять новый конфиг.

Остальные строки — PrivateKey, Address, DNS, PublicKey, Endpoint, AllowedIPs — те же, что и в обычном WireGuard. Что означает каждая из них, разобрано в статье WireGuard-конфиг: разбор параметров.

Когда включать скрытный режим VPN

AmneziaWG — не замена WireGuard по умолчанию, а запасной вариант для сложных сетей. Разумный порядок действий такой.

1. Сначала настройте обычный WireGuard: он проще, работает в любом клиенте, включая роутеры и телевизоры, и в большинстве сетей подключается без вопросов.
2. Если в конкретной сети туннель включается, но строка «последнее рукопожатие» остаётся пустой, а интернет без VPN при этом работает, — это типичный сигнал, что трафик WireGuard в этой сети не проходит. Пройдите короткую диагностику из статьи WireGuard не подключается, чтобы исключить банальные причины.
3. Если причина в сети, включите скрытный режим и используйте конфиг AmneziaWG на этом устройстве. Обычный туннель можно оставить в приложении на случай возвращения в «нормальную» сеть, но одновременно активным должен быть только один.

Пример: дома и в сети своего оператора у вас работает обычный WireGuard, а в командировке в гостиничном Wi-Fi рукопожатие не проходит. Переустанавливать ничего не нужно — включите скрытный режим, импортируйте конфиг в AmneziaVPN и пользуйтесь им, пока не вернётесь домой.

Типичные ситуации, где скрытный режим пригождается: публичный Wi-Fi в отелях и аэропортах, гостевые и корпоративные сети со строгими правилами, мобильный интернет у отдельных операторов в поездках. Скорость при этом не страдает: «мусор» добавляется только в момент рукопожатия, а данные внутри туннеля шифруются и передаются так же, как в WireGuard. Но и ускорения ждать не стоит — если WireGuard работает медленно, AmneziaWG сам по себе этого не исправит.

Совместимость: почему в обычном WireGuard такой конфиг не работает

Отличить один конфиг от другого просто: откройте файл в текстовом редакторе — если в секции [Interface] есть строки Jc и H1, перед вами AmneziaWG.

Приложение WireGuard проверяет каждую строку конфига по списку известных параметров. Встретив Jc или H1, оно остановит импорт с ошибкой о неизвестном ключе. Удалить лишние строки руками тоже не выход: сервер ждёт пакеты с изменёнными заголовками и добавленным «мусором», а стандартный клиент шлёт обычные — рукопожатие не состоится. Обратное верно лишь частично: клиенты Amnezia обычно принимают обычный WireGuard-конфиг, потому что AmneziaWG со «стандартными» значениями параметров ведёт себя как WireGuard.

• iPhone и Android — конфиг скрытного режима импортируется только в AmneziaVPN или AmneziaWG.
• Windows и macOS — то же самое; официальное приложение WireGuard для этих систем параметры AmneziaWG не поддерживает.
• Роутеры — только модели с явной поддержкой AmneziaWG в прошивке; в остальных случаях используйте на роутере обычный WireGuard.
• Одновременная работа — iOS и Android держат активным один VPN. Если включён туннель в WireGuard, AmneziaVPN не подключится, и наоборот; выключите один, прежде чем включать другой.

Типичные ошибки при настройке AmneziaWG

• «Неизвестный параметр» при импорте. Конфиг скрытного режима открыт в приложении WireGuard. Установите AmneziaVPN или AmneziaWG и импортируйте туда.
• Приложение принимает конфиг, но не подключается. Проверьте версию клиента и обновите его: старые сборки не знают новых параметров протокола. Убедитесь также, что другой VPN-туннель на устройстве выключен.
• Работает в одной сети и не работает в другой. Убедитесь, что интернет без VPN в этой сети есть — в гостиничном Wi-Fi сначала нужно пройти страницу входа. Затем попробуйте переключиться между Wi-Fi и мобильной сетью.
• Туннель отключается в фоне на Android. Снимите ограничения экономии батареи для AmneziaVPN и включите для него «Постоянную VPN» в системных настройках — так же, как для WireGuard.
• Конфиг с другого устройства. Один конфиг — одно устройство. Для второго телефона или ноутбука включите скрытный режим отдельно.
• Доступ истёк. Скрытный режим действует ровно столько, сколько сам доступ; срок проверяется в блоке «Мой доступ».