AmneziaWG 3.1 в стабильном mihomo 1.19.30: что делают random-trailers и disable-cookies

Что именно вышло 16 августа

mihomo — это ядро для прокси-клиентов: сам по себе оно не приложение с кнопкой, а движок, на котором работают сторонние клиенты. Релиз 1.19.30 опубликован 16 августа в 10:11 UTC и помечен на GitHub как последний стабильный; предыдущий стабильный релиз ветки, 1.19.29, вышел 18 июля. То есть это месячный функциональный выпуск, а не патч внутри уже вышедшей версии — разница существенная, потому что заметная часть «новостей о релизах» на деле описывает точечные исправления.

Помимо AmneziaWG в тот же релиз вошли поддержка нового исходящего соединения через ZeroTier, распознавание протоколов H2C и QUICv2, ограничение скорости для слушателя restls и правка crypto/tls под CVE-2026-56862 — уязвимость в стандартной библиотеке Go, исправленную апстримом 13 августа. Мы перечисляем это, чтобы не создавать впечатления, будто релиз посвящён одному протоколу: он обычный по составу, необычна в нём именно строчка про 3.1.

Что добавляет версия 3.1 по коду

AmneziaWG — надстройка над WireGuard, которая занимается не шифрованием, а маскировкой: цель в том, чтобы трафик не опознавался по характерным признакам служебных пакетов. Ветка 3.1 добавляет к этому два механизма, и в конфигурации mihomo они видны как два параметра — random-trailers и disable-cookies.

Первый дописывает к каждому пакету случайное количество байтов. Смысл в том, что у служебных сообщений WireGuard фиксированные длины, и по одному только размеру пакета соединение опознаётся без всякой расшифровки; переменный хвост эту опору убирает. Второй запрещает отвечать на cookie-сообщения — то есть на запрос, которым сторона наблюдения может попытаться вызвать у сервера предсказуемый отклик. Обе возможности пришли из апстрима: в репозитории amneziawg-go коммит с описанием «awg 3.1 features» датирован 12 августа, автор — ygurov, затронуто шесть файлов; там же появились константа окна UDP со значением по умолчанию 500 и отдельное поле окна для каждого узла. На следующий день, 13 августа, туда же приехало исправление неверной длины хвоста у cookie-сообщения — признак того, что механизм ещё дорабатывается на ходу.

В самом mihomo правка компактная: четыре файла, тринадцать добавленных строк, обновление зависимости от amneziawg-go и два новых поля конфигурации с пометкой «AmneziaWG v3.1+». Никаких скрытых настроек в правке нет — оба параметра выключены по умолчанию и включаются вручную.

Чего из этого не следует

Первое и главное: обе опции работают только тогда, когда их понимают обе стороны соединения. Клиент с включёнными случайными хвостами и сервер, который о них не знает, договориться не смогут — это не переключатель «сделать лучше», а согласованное изменение формата. У самой Amnezia ветка 3.1 на момент публикации доступна в предрелизной сборке Android-клиента от 14 августа, помеченной как pre-release; последний стабильный релиз того репозитория датирован июнем и относится к более старой ветке. Иными словами, в стороннем ядре 3.1 оказался в стабильном выпуске раньше, чем в приложении самих авторов протокола.

Второе: измерений эффективности нет ни у кого. Ни разработчики, ни независимые исследователи не публиковали данных о том, меняет ли переменная длина пакета вероятность распознавания на реальных сетях. Предыдущая ветка, 3.0, сопровождалась сообщениями о несовместимости со старыми конфигурациями, и как поведёт себя 3.1 в этом отношении, пока неизвестно. Значение окна UDP по умолчанию мы приводим как факт из кода и намеренно не объясняем, потому что из самого кода его практический смысл не следует.

Третье, самое неудобное для любых громких выводов: маскировка транспорта решает одну узкую задачу — сделать соединение менее опознаваемым по форме пакетов. Она не влияет ни на доступность конкретного адреса сервера, ни на то, что о пользователе знает сам сервис по учётной записи. Новая версия протокола — это изменение в инструменте, а не смена ситуации, и оценивать её стоит по коду и по срокам, а не по ожиданиям.