Установка Amnezia VPN на свой сервер – AmneziaWG 3.1 и XRay

Amnezia VPN (в русском написании Амнезия ВПН) – это бесплатное приложение с открытым исходным кодом, которое само настраивает VPN на вашем сервере. Вы вводите адрес сервера и пароль, а всё остальное приложение делает за вас, без терминала и команд. В этой статье разберём, как устроена такая установка, какой протокол выбрать и почему, а затем пройдём все шаги от подключения сервера до раздачи доступа близким. Скриншоты сделаны в AmneziaVPN 5.0.3 на нашем тестовом сервере.

Как Amnezia настраивает сервер

Чтобы понять, почему для установки достаточно IP-адреса и пароля, полезно представить, что именно происходит после нажатия кнопки установки. Приложение подключается к серверу по SSH, то есть тем же способом, каким администратор заходит на сервер из терминала, и от имени пользователя root (или другого пользователя с правами sudo) выполняет все команды самостоятельно. Сначала оно устанавливает Docker, а затем запускает для каждого выбранного протокола отдельный контейнер, в котором работает VPN-сервер этого протокола. Для каждого контейнера генерируются собственные ключи и корневой сертификат, поэтому протоколы на одном сервере не зависят друг от друга, и любой из них можно удалить или переустановить, не затрагивая остальные.

Из этого устройства вытекают и требования к серверу. Docker и контейнеры Amnezia работают только в полноценной виртуальной машине, поэтому нужен сервер с виртуализацией KVM и процессором архитектуры x86-64, а система должна использовать systemd. Серверы F3 Cloud работают на KVM, так что при заказе достаточно выбрать подходящую систему.

Параметр	Минимум	Для 10 и более подключений
Система	Debian 12 или 13, Ubuntu 22.04 или 24.04	то же
Процессор	1 ядро x86-64	2 ядра
Память	1 ГБ	2 ГБ
Диск	10 ГБ	10 ГБ
Виртуализация	KVM	KVM

После установки приложение на вашем компьютере получает полный доступ к серверу. Через него вы управляете протоколами, создаёте подключения для других людей и отзываете их. Друзьям и родственникам этот полный доступ не нужен, им вы выдаёте гостевые подключения, о которых пойдёт речь в последнем шаге.

Какой протокол выбрать

Amnezia умеет устанавливать несколько протоколов, но для России имеют смысл в первую очередь два из них, AmneziaWG и XRay с REALITY. Чтобы выбор был осознанным, разберём, почему обычные VPN-протоколы блокируются и как эти два протокола обходят блокировку разными путями.

Возьмём WireGuard, на котором основан AmneziaWG. Сам по себе он надёжно шифрует данные, однако его пакеты устроены очень единообразно. Каждое сообщение начинается с фиксированного числа, обозначающего тип пакета, служебные пакеты рукопожатия всегда имеют одинаковый размер (148, 92 и 64 байта), а обмен ими происходит с предсказуемыми интервалами. Системе глубокого анализа трафика (DPI) не нужно расшифровывать содержимое, ей достаточно увидеть эти постоянные признаки, чтобы уверенно опознать WireGuard и оборвать соединение.

AmneziaWG сохраняет криптографию WireGuard без изменений и меняет только внешний вид и поведение пакетов. Удобнее всего проследить это по настройкам, которые приложение выбрало при установке на наш тестовый сервер. Значения ниже взяты из раздела AmneziaWG настройки сервера, у вас они могут отличаться.

ini

Порт = 1234

Jc = 5
Jmin = 10
Jmax = 50
S1 = S2 = S3 = S4 = 12
H1 = 1, H2 = 2, H3 = 3, H4 = 4
I1 = <пакет, похожий на DNS-ответ>
RekeyAfterTime = 100-120
KeepaliveTimeout = 5-15

HeaderProtectionKey = включён
RandomTrailers = включён
DisableCookies = включён

Перед каждым рукопожатием сервер и клиент отправляют серию из Jc «мусорных» пакетов случайной длины от Jmin до Jmax байт, и начало сессии перестаёт выглядеть как начало WireGuard. Параметр I1 добавляет ещё один пакет-приманку, который в нашей установке имитирует ответ DNS-сервера, то есть самый обычный UDP-трафик. Параметры S1–S4 дописывают к каждому типу пакетов по 12 случайных байт, поэтому привычные размеры 148, 92 и 64 байта исчезают. Номера типов пакетов H1–H4 здесь оставлены стандартными, потому что вместо их подмены работает HeaderProtectionKey, который шифрует служебные поля пакета целиком, а для этого ему как раз нужно не меньше 12 байт в S1–S4. Наконец, интервалы переподключения и проверки связи задаются диапазонами вроде 100-120 секунд, а не фиксированными числами, и ритм обмена тоже становится непредсказуемым. Флаг RandomTrailers дописывает случайные байты в конец служебных пакетов, а DisableCookies отключает служебные ответы, по которым сервер можно было бы распознать при активной проверке.

В результате у трафика не остаётся постоянной сигнатуры, по которой его можно было бы отличить одним правилом. Поскольку AmneziaWG работает поверх UDP и не тратит время на лишние обёртки, он обычно даёт наибольшую скорость и наименьшую задержку.

Параметры маскировки в настройках сервера AmneziaWG

XRay с REALITY действует иначе. Он работает поверх TCP и выдаёт соединение за обычное защищённое подключение (TLS) к реальному внешнему сайту, поэтому со стороны оно выглядит как посещение этого сайта. Такой подход полезен там, где ограничивают сам UDP-трафик к зарубежным серверам, ведь в этом случае никакая маскировка AmneziaWG не поможет. Платой за универсальность становится чуть большая задержка, свойственная TCP.

Протокол	Транспорт	Как прячется от DPI	Когда выбирать
AmneziaWG	UDP	шифрует служебные поля, меняет размеры и ритм пакетов, посылает пакеты-приманки	по умолчанию, самый быстрый
XRay с REALITY	TCP	выглядит как TLS-подключение к настоящему сайту	если AmneziaWG не подключается или режут UDP
WireGuard, OpenVPN, IPsec	UDP или TCP	никак	не использовать

Не ставьте протоколы без маскировки

Обычные WireGuard, OpenVPN и IPsec (IKEv2) легко распознаются DPI. Разработчики Amnezia не советуют использовать их в странах с жёсткой цензурой, потому что из-за них может быть заблокирован IP-адрес всего сервера.

Отсюда простое правило. Начните с AmneziaWG. Если в вашей сети он не подключается или работает нестабильно, добавьте на тот же сервер XRay, и тогда у вас будет два подключения, между которыми можно переключаться.

Что понадобится

Сервер с Debian 12 или Ubuntu 24.04. Debian 13 Amnezia тоже поддерживает, но на нём бывает ошибка 208 с доступом к домашнему каталогу, и разработчики сами советуют в этом случае Debian 12. Если сервера ещё нет, закажите его по инструкции или попробуйте бесплатный тестовый сервер. Для одного-двух человек хватит тарифа DE-Promo, для семьи или небольшой команды лучше подойдёт DE-RZ9-2, у которого два ядра и 4 ГБ памяти.
Данные для входа на сервер, это IP-адрес, имя пользователя и пароль. В личном кабинете отметьте сервер и нажмите кнопку Инструкция, данные будут в открывшемся окне.
Приложение AmneziaVPN версии 5.0.2.1 или новее для вашего компьютера или телефона.

IP-адрес, имя пользователя и пароль сервера

1. Установите AmneziaVPN

Скачайте приложение с официального сайта amnezia.org. Если сайт не открывается, все версии приложения выкладываются в официальном репозитории на GitHub.

Приложение есть для Windows, macOS, Linux, Android и iOS. Устанавливать VPN на сервер удобнее с компьютера, а на телефон потом можно передать готовое подключение.

Обновите приложение, если оно уже стоит

Если AmneziaVPN у вас уже установлен, сначала обновите его. Версии до 5.0.1.5 не видят подключения нового формата, а в новых версиях улучшена работа AmneziaWG и стабильность соединения.

2. Подключите сервер

Откройте AmneziaVPN и нажмите Приступим. Если в приложении уже есть подключения, нажмите + в нижней панели.

Выберите VPN на своём сервере.

Заполните форму Настроить ваш сервер:
- IP-адрес[:порт] сервера. Порт указывать не нужно, если вы не меняли стандартный порт SSH 22. Если меняли, введите адрес в виде IP:порт, например 203.0.113.10:2222.
- Имя пользователя SSH, это root.
- Пароль или закрытый ключ SSH, то есть пароль из инструкции к серверу.
Нажмите Продолжить.

Входите на сервер по ключу?

Вместо пароля можно вставить закрытый SSH-ключ. Приложение принимает ключи ED25519 и RSA в формате PEM, вставлять нужно весь ключ вместе со строками BEGIN и END.

3. Установите AmneziaWG на свой порт

Приложение предложит два типа установки.

Автоматическая сразу ставит AmneziaWG на случайный порт.
Ручная позволяет выбрать протокол и задать порт самому.

Порт здесь важнее, чем кажется. При автоматической установке AmneziaWG занимает случайный порт, и обычно это высокий номер, например 35581. Некоторые провайдеры блокируют UDP-трафик на высоких портах, и тогда VPN устанавливается без ошибок, но не подключается. Поэтому разработчики Amnezia советуют ставить порт не выше 9999, и проще всего сделать это сразу через ручную установку.

Выберите Ручная и нажмите Продолжить.
В списке протоколов выберите AmneziaWG.

Протоколы, доступные при ручной установке

В поле Порт замените случайное значение на свободный порт до 9999, например 585 или 1234.
Нажмите Установить.

Установка занимает до пяти минут, на нашем тестовом сервере она уложилась меньше чем в полминуты. Когда всё закончится, на главном экране появится Сервер 1 с подписью AmneziaWG (версия 3.1) и кнопкой Подключиться.

Первая установка может прерваться ошибкой 1200

У нас это случилось при самой первой попытке. Мы только что установили AmneziaVPN, ввели данные сервера, выбрали AmneziaWG и нажали Установить. Примерно через минуту внизу окна появилось сообщение ErrorCode: 1200. Ошибка QFile: не удалось открыть файл, и установка остановилась.

Ошибка 1200 возникает в самом приложении на компьютере, а не на сервере. Приложению не удалось открыть один из своих служебных файлов, и по данным разработчиков такое бывает именно сразу после установки AmneziaVPN, при первом подключении к серверу, настройке VPN или создании гостевых подключений. Сервер при этом не страдает, удалять с него ничего не нужно. Помогает полный перезапуск приложения.

Нажмите Закрыть в сообщении об ошибке.
Нажмите значок шестерёнки в нижней панели и выберите Закрыть приложение, так приложение завершится полностью.
Откройте AmneziaVPN снова.
Если сервер не сохранился и приложение снова показывает экран Приступим, повторите шаги 2 и 3 с теми же данными.

У нас после перезапуска приложение действительно открылось с приветственного экрана, сервер пришлось добавить заново, и вторая установка прошла без ошибок меньше чем за полминуты. Если ошибка повторяется и после перезапуска, разработчики советуют написать им на почту или в Telegram-группу Amnezia. Можно написать и нам в тикет, поможем разобраться.

Сервер уже настраивали раньше?

Кнопка Пропустить настройку нужна только тогда, когда Amnezia на сервере уже стоит, например если вы переустановили приложение на компьютере. Чтобы вернуть настройки такого сервера, откройте Настройки, затем Серверы, нажмите на сервер, перейдите на вкладку Управление и выберите Проверить сервер на наличие ранее установленных сервисов Amnezia.

4. Подключитесь к VPN

На главном экране нажмите большую кнопку Подключиться. Когда подключение установится, весь трафик устройства пойдёт через ваш сервер.

Проверить это проще всего на любом сайте, который показывает IP-адрес, например 2ip.ru. Там должен отображаться IP вашего сервера, а не адрес вашего провайдера. Если подключение не устанавливается, загляните в раздел Если что-то не работает в конце статьи.

5. Поделитесь доступом

Для близких Amnezia создаёт гостевые подключения. Каждое из них работает только с одним протоколом и только на одном устройстве, поэтому для телефона и ноутбука одного человека понадобятся два отдельных подключения. Зато любое из них можно отозвать, не затрагивая остальные.

Не передавайте своё подключение с полным доступом

Подключение на вашем компьютере даёт полный доступ к серверу. Человек с таким доступом может удалять протоколы и отзывать чужие подключения, то есть по сути управляет вашим VPN. Другим людям выдавайте только гостевые подключения.

Нажмите значок Поделиться в нижней панели, он второй слева.
На вкладке Соединение введите Имя пользователя, по которому вы потом узнаете это подключение, например «Мама, телефон».
Проверьте Сервер и Протокол и выберите Формат подключения:
- Для приложения AmneziaVPN, если человек будет пользоваться AmneziaVPN. Получится ключ, начинающийся с vpn://.
- Оригинальный формат AmneziaWG, если подключение нужно для приложения AmneziaWG или для роутера. Получится файл .conf.
Нажмите Поделиться.

Откроется окно Подключение к Сервер 1. Передайте подключение удобным способом. Можно отправить файл кнопкой Поделиться, скопировать ключ кнопкой Скопировать или показать QR-код, который человек отсканирует в AmneziaVPN на своём телефоне. QR-кода нет только у оригинального формата AmneziaWG.

QR-код и ключ это доступ к вашему VPN

По ним подключится любой, у кого они окажутся. Не публикуйте их и не пересылайте через открытые чаты.

Чтобы отозвать доступ, снова нажмите Поделиться, перейдите на вкладку Пользователи, выберите сервер и протокол и нажмите на нужного человека. В открывшемся окне нажмите Отозвать. Там же подключение можно переименовать.

Как добавить XRay на тот же сервер

Нажмите значок шестерёнки в нижней панели и откройте Серверы.
Нажмите на свой сервер. На вкладке Протоколы у установленного AmneziaWG стоит стрелка, а у остальных протоколов значок загрузки.
Нажмите значок загрузки рядом с XRay и затем Установить.

Протоколы сервера, XRay ставится значком загрузки

После установки переключитесь на XRay по официальной инструкции Amnezia и подключитесь.

Если что-то не работает

Что происходит	Что проверить в первую очередь
Ошибка 1200 «не удалось открыть файл»	закройте приложение через настройки и повторите
Приложение не может подключиться к серверу	IP-адрес, пароль, порт SSH и то, что сервер активен
AmneziaWG установлен, но VPN не подключается	порт протокола, он должен быть не выше 9999
Не помогла смена порта	установите на тот же сервер XRay
После обновления приложения подключения перестали работать	переустановите AmneziaWG и раздайте ключи заново
VPN работает медленно или обрывается	сравните AmneziaWG и XRay, сделайте трассировку

Коды ошибок при установке

Если приложение показывает код ошибки, найдите его в таблице. Здесь собраны коды, которые встречаются при установке VPN на свой сервер, по официальному списку Amnezia.

Код	Что означает	Что делать
200	проверка сервера не прошла	проверьте, что сервер подходит по требованиям
201	порт уже занят другой программой	выберите для протокола другой порт
202, 203	ошибка Docker или пропал контейнер	добавьте сервер заново и проверьте, что порты свободны
205, 207, 209, 210	у пользователя нет нужных прав sudo	подключайтесь как `root`
206	занят менеджер пакетов	подождите несколько минут или перезагрузите сервер
208	нет доступа к домашнему каталогу	подключайтесь как `root`, на Debian 13 обновите приложение или используйте Debian 12
211, 212	Docker не работает в этой виртуализации	нужен сервер на KVM, а не LXC или OpenVZ
213	Docker Hub временно ограничил загрузки	подождите и повторите установку
214	слишком старое ядро Linux	переустановите систему на Debian 12 или Ubuntu 24.04
300	сервер отклонил вход по SSH	проверьте пароль и что вход по паролю разрешён
302	внутренняя ошибка SSH	перезапустите приложение и попробуйте другую сеть
303, 304	неверный ключ или неподходящий формат	используйте ключ ED25519 или RSA в формате PEM
305	сервер не ответил по SSH	проверьте IP, порт SSH и что сервер активен
700	уже работает другой VPN	отключите другое VPN-приложение
1200–1205	приложение не смогло открыть или прочитать файл	закройте приложение через настройки и повторите

Ошибка 1200 «Ошибка QFile: не удалось открыть файл»

Это ошибка самого приложения на компьютере, а не сервера. По данным разработчиков, она бывает сразу после установки AmneziaVPN. Нажмите значок шестерёнки и выберите Закрыть приложение, затем откройте AmneziaVPN снова и повторите действие. Подробно, как это было у нас, описано в шаге 3.

Приложение не может подключиться к серверу при установке

Проверьте, что сервер в личном кабинете активен и что вы скопировали IP-адрес и пароль без лишних пробелов. Если вы меняли порт SSH, укажите его после двоеточия в поле адреса. Если вы запретили вход по паролю, используйте закрытый SSH-ключ.

Попробуйте зайти на сервер по SSH, например через Termius. Если вход не проходит и там, значит, дело в данных для входа, а не в Amnezia, и их можно сменить по этой инструкции.

AmneziaWG установлен, но VPN не подключается

Чаще всего причина в том, что провайдер блокирует UDP на высоком порту. Посмотрите порт в карточке сервера, в разделе AmneziaWG настройки сервера. Если он выше 9999, удалите AmneziaWG кнопкой Удалить в настройках протокола и установите заново на порт до 9999, как описано в шаге 3. Учтите, что при удалении пропадут и все гостевые подключения этого протокола.

Если это не помогло, добавьте на тот же сервер XRay.

После обновления приложения подключения перестали работать

Новые версии AmneziaWG несовместимы со старыми, а обе версии используют один и тот же контейнер, поэтому обновить протокол на месте нельзя. Обновите AmneziaVPN до версии 5.0.2.1 или новее, удалите AmneziaWG в настройках сервера и установите его заново на порт до 9999.

Все гостевые подключения после этого нужно создать и раздать заново, старые ключи работать не будут.

VPN подключается, но работает медленно или обрывается

Сравните скорость на AmneziaWG и XRay, у разных провайдеров лучше работает то один, то другой протокол. Если медленно на обоих, сделайте трассировку и замер скорости и пришлите результат нам в тикет, мы посмотрим, где теряется скорость.

Наши ресурсы

Telegram-канал: https://t.me/f3cloud_news
Официальный сайт: https://f3cloud.com

Установка Amnezia VPN на свой сервер – AmneziaWG 3.1 и XRay

Как Amnezia настраивает сервер ​

Какой протокол выбрать ​

Что понадобится ​

1. Установите AmneziaVPN ​

2. Подключите сервер ​

3. Установите AmneziaWG на свой порт ​

4. Подключитесь к VPN ​

5. Поделитесь доступом ​

Как добавить XRay на тот же сервер ​

Если что-то не работает ​

Коды ошибок при установке ​

Наши ресурсы ​