Как установить и пользоваться VPN/VLESS-клиентом на Linux в России — честное объяснение (Linux — самая свободная от магазина платформа: нет привязки к App Store, вы берёте бинарник/AppImage/.deb прямо с официального GitHub и запускаете; но главное отличие от Windows/Mac в том, что клиенты под Linux скорее командной строки/ручные — либо правите JSON-конфиг и запускаете sing-box/xray, либо берёте GUI/веб-интерфейс вроде v2rayA/nekoray; TUN на всю машину требует root или CAP_NET_ADMIN, иначе проксируете по приложениям через SOCKS, а не каждая программа уважает прокси; настоящее поле боя — выдержит ли ваш протокол TSPU от RKN) и более надёжный подход (VLESS+Reality + служба systemd)
Обновлено
Сначала вывод: Linux не привязан к магазину, но клиенты скорее командной строки
У выхода в сеть на Linux есть естественное преимущество: это самая свободная от магазина приложений платформа — здесь нет привязки как в App Store, и вы запускаете бинарник, AppImage или .deb/.rpm прямо с официального GitHub, поэтому удаление VPN-приложений Apple/Google из российского магазина на Linux попросту не проблема. Плата за это: клиенты под Linux скорее командной строки/ручные — здесь нет отполированного GUI в один клик, как на Windows/Mac. Два самых универсальных пути: ①запускать CLI sing-box или xray-core и самому править JSON-конфиг; ②взять графическую/веб-обёртку (сборки nekoray, v2rayA, Hiddify или семейства mihomo под Linux). Ниже — выбор клиента, компромисс «TUN против пер-приложенческого прокси» и как оформить всё это как службу systemd.
Какие клиенты есть под Linux: CLI sing-box / xray или v2rayA / nekoray
Основные способы поднять VLESS+Reality на Linux: ①sing-box (CLI) — один бинарник, один JSON-конфиг, самый полный и лучше всего подходит для постоянной службы; главный выбор для серверов/продвинутых пользователей; ②xray-core (CLI) — тоже CLI+JSON, эталонная реализация VLESS+Reality; ③v2rayA — демон с веб-интерфейсом, популярен среди пользователей десктопного Linux; подписку импортируете и узлы выбираете в браузере, а под капотом работает xray/sing-box; ④nekoray/nekobox — графический клиент на Qt, кроссплатформенный, со сборкой под Linux; ⑤Hiddify и семейство clash (mihomo / AppImage clash-verge-rev) тоже имеют сборки под Linux. Хотите попроще — берите v2rayA/nekoray; хотите самую стабильную постоянную работу — прямо CLI sing-box. Они используют ту же подписку, что и клиент на телефоне/Windows.
Ключевой компромисс: TUN на всю машину (нужен root) или пер-приложенческий SOCKS-прокси
Пропустить трафик через туннель на Linux можно на двух уровнях — обязательно поймите разницу: ①захват всей машины через TUN — у sing-box есть встроенный вход
tun (или используйте tun2socks), он создаёт виртуальный интерфейс и забирает трафик всей машины, ближе всего к «глобальному режиму» Windows/Mac; но ему нужны root или CAP_NET_ADMIN, чтобы создать интерфейс и изменить маршруты. ②пер-приложенческий SOCKS-прокси — клиент лишь открывает локальный порт SOCKS/HTTP, а вы направляете туда браузер или через proxychains / переменные окружения (http_proxy/https_proxy) конкретную программу; загвоздка в том, что не каждая программа уважает прокси (особенно инструменты командной строки и программы по UDP), и утёкший трафик всё равно идёт напрямую. Хотите «стабильно на всей машине» — берите TUN; хотите пустить через туннель только браузер/отдельные программы — SOCKS-прокси легче.Хотите держать постоянно / запускать при загрузке: оформите службу systemd
Если вы хотите, чтобы клиент запускался при загрузке, сам переподключался при обрыве и держался постоянно на сервере без графики (например, на маленькой домашней машине или VPS в роли шлюза для всей локальной сети), самый стабильный путь — оформить sing-box/xray как службу systemd: юнит
.service, указывающий на бинарник и конфиг, systemctl enable --now для постоянной работы и journalctl для логов. Во многих дистрибутивах официальные пакеты уже содержат файл службы. Учтите, что в режиме TUN службе нужны соответствующие права (запуск от root или выдача бинарнику CAP_NET_ADMIN), и настройте раздельную маршрутизацию, чтобы локальный/банковский трафик шёл напрямую, а через туннель — только зарубежный.Шаги настройки: установить клиент → импортировать подписку → выбрать TUN или SOCKS → проверить
- Установите клиент: продвинутым/на сервере — sing-box или xray-core (возьмите бинарник с официального GitHub или через пакетный менеджер дистрибутива); хотите интерфейс — v2rayA (поставьте демон + откройте браузер) или nekoray (скачайте AppImage).
- Импортируйте свою подписку VLESS+Reality: в CLI впишите узел в JSON-конфиг; в v2rayA/nekoray просто вставьте ссылку на подписку и выберите узлы (та же подписка, что на телефоне/Windows).
- Выберите способ захвата: для всей машины включите TUN (вход tun у sing-box или tun2socks, нужны root/CAP_NET_ADMIN); только для браузера/отдельных программ — локальный порт SOCKS + proxychains/настройки прокси в браузере.
- Настройте раздельную маршрутизацию: пустите российские локальные сайты, онлайн-банк и Госуслуги напрямую, а через туннель — только заблокированные/ограниченные зарубежные сайты: экономит ресурсы и не даёт локальным сервисам отклонять зарубежный IP.
- Хотите держать постоянно — оформите службу systemd: юнит .service + systemctl enable --now, логи через journalctl.
- Проверьте: откройте заблокированный сайт, чтобы убедиться, что работает; убедитесь, что локальный онлайн-банк по-прежнему идёт напрямую; в CLI отлаживайте через curl --interface или journalctl.
Честные границы и чек-лист
- Клиенты под Linux скорее командной строки — sing-box/xray означает правку JSON; для графики берите v2rayA/nekoray.
- TUN на всю машину требует root или CAP_NET_ADMIN; без TUN проксируете по приложениям через SOCKS, и не каждая программа его уважает.
- Выбирайте правильный протокол: и на Linux нужен грамотно настроенный VLESS+Reality — TSPU от RKN зондирует/режет подозрительный шифрованный трафик.
- Никаких гарантий: плохо настроенный VLESS тоже режется; во время учений «суверенного интернета» / широких отключений любой зарубежный туннель может упасть.
- Всегда раздельная маршрутизация: локальные сайты / банк / Госуслуги напрямую, через туннель — только зарубежное.
- Не берите бинарники из неофициальных источников — используйте официальные релизы на GitHub или официальные репозитории дистрибутива, чтобы не подсадить бэкдор; сверяйте контрольные суммы.
Итог: преимущество Linux в том, что его не касаются удаления из магазина — вы запускаете клиент прямо из официального источника и даже можете держать его как службу systemd на сервере; плата — в том, что он скорее командной строки/ручной, TUN на всю машину требует root, а пер-приложенческий прокси уважают не все программы. Хотите попроще — берите графику v2rayA/nekoray; хотите самую стабильную постоянную работу — CLI sing-box + systemd. А удастся ли вообще подключиться — всё так же зависит от борьбы протоколов: используйте грамотно настроенный VLESS+Reality, а подход для десктопа смотрите в статье про Windows.
Частые вопросы
- Обязательно ли уметь работать в командной строке, чтобы поставить VPN/VLESS на Linux?
- Не обязательно, но командная строка — самый универсальный путь. Если не хотите её касаться, возьмите клиент с GUI/веб-интерфейсом: v2rayA (демон, которым управляете из браузера, популярен на десктопном Linux), nekoray/nekobox (графический клиент на Qt, просто скачайте AppImage) или сборки Hiddify либо семейства clash (mihomo / clash-verge-rev) под Linux — подписку импортируете и узлы выбираете в интерфейсе. Если вы сервер/продвинутый пользователь, запуск CLI sing-box или xray-core с правкой одного JSON-конфига на деле самый стабильный и лучше всего подходит для постоянной службы. Оба пути используют одну и ту же подписку VLESS+Reality.
- Как сделать, чтобы на Linux через VPN шла «вся машина», а не только браузер?
- Используйте режим TUN. У sing-box есть встроенный вход tun (или используйте tun2socks), он создаёт виртуальный интерфейс и забирает трафик всей машины, ближе всего к глобальному режиму на Windows/Mac. Плата в том, что ему нужны root или CAP_NET_ADMIN, чтобы создать интерфейс и изменить таблицу маршрутизации. Если вы открыли только локальный порт SOCKS/HTTP-прокси, то через туннель идут лишь программы, которые вы явно на него направили (браузер с настроенным прокси или программы, запущенные через proxychains), а всё остальное — напрямую; и не каждая программа уважает SOCKS-прокси (многие инструменты командной строки и программы по UDP утекают). Хотите стабильно на всей машине — берите TUN; хотите пустить через туннель только браузер — SOCKS-прокси легче. Не забудьте про раздельную маршрутизацию, чтобы локальный трафик шёл напрямую.
- Как сделать, чтобы VPN запускался при загрузке и постоянно работал на сервере Linux?
- Оформите его как службу systemd. Сделайте юнит .service, указывающий на бинарник и конфиг sing-box/xray, затем systemctl enable --now — для запуска при загрузке и авто-переподключения, а логи смотрите через journalctl. Во многих дистрибутивах официальные пакеты уже содержат файл службы — установите, поправьте конфиг, включите. Это особенно удобно для маленькой всегда включённой домашней машины или VPS в роли шлюза для всей локальной сети. Учтите: в режиме TUN службе нужны соответствующие права (запуск от root или выдача бинарнику CAP_NET_ADMIN), и настройте раздельную маршрутизацию, чтобы локальный/банковский трафик шёл напрямую, а через туннель — только зарубежный: это экономит ресурсы и не даёт локальным сервисам отклонять вход с зарубежного IP.
- Использование VLESS на Linux означает, что его точно не заблокируют?
- Такой гарантии нет. Блокировка в России — на уровне протоколов: с декабря 2025 RKN перешёл от блокировки конкретных сервисов к блокировке самих протоколов, а глубокая инспекция пакетов TSPU зондирует и режет подозрительный шифрованный трафик, включая VLESS. VLESS+Reality держится лучше, потому что маскирует трафик под обычный HTTPS к реальному крупному сайту почти без уникального отпечатка; но устойчивость даёт конфигурация маскировки Reality, а не название протокола — плохо настроенный VLESS тоже режется, без всяких гарантий. А во время учений «суверенного интернета» или широких отключений любой зарубежный туннель может упасть разом, независимо от того, Linux у вас или другая ОС. Смена ОС борьбу протоколов не меняет.
Канал Univista в Telegram
В канале — свежие рабочие конфиги, статус узлов и разбор частых проблем.
Перейти в каналСервис, который вам нужен, заблокирован? Верните доступ — бесплатно.
Снова онлайн примерно за 2 минуты, без банковской карты. Рабочее подключение по VLESS + Reality на iOS, Android, Windows и macOS.
- Бесплатно 1 ГБ в день
- Банковская карта не нужна
- VLESS + Reality за 60 секунд
Когда друг начнёт пользоваться сервисом, вы оба получите по +30 бонусных дней и бонусный трафик.
Восстановить доступ — бесплатноПохожие руководства
Какой VPN ещё работает в России в 2026: почему OpenVPN/WireGuard блокируются, а VLESS+Reality живёт
Что такое VLESS Reality: назначение и отличия от VPN
Как установить и пользоваться VPN/VLESS-клиентом на Windows в России: честное объяснение (Windows — самая гибкая платформа: нет привязки к App Store, как у iPhone, и нет трения с сайдлоадом, как у Android — любой клиент просто скачивается и запускается; но RKN перешёл к блокировке на уровне протоколов и теперь зондирует даже VLESS) и более надёжный подход (VLESS+Reality, v2rayN + режим TUN)
Как установить и пользоваться VPN/VLESS-клиентом на Mac (macOS) в России: честное объяснение (главное отличие от iPhone: Mac не привязан к App Store — Apple убрала VPN-приложения из российского App Store, но на Mac необязательно ставить из App Store, можно запустить клиент прямо с официального GitHub, обойдя удаление; та же борьба на уровне протоколов — с декабря 2025 RKN перешёл от блокировки сервисов к блокировке протоколов, и TSPU зондирует даже VLESS) и более надёжный подход (VLESS+Reality, Hiddify/sing-box/v2rayU + режим TUN)
Как установить и пользоваться VPN/VLESS-клиентом на Android в России: честное объяснение (Google сопротивляется удалениям и большинство клиентов ещё в Play Маркете, но надёжный путь — сайдлоад APK sing-box; RKN перешёл к блокировке на уровне протоколов и теперь целится даже в VLESS) и более надёжный подход (VLESS+Reality)
Как в Иране установить и использовать VPN/VLESS-клиент на Android — честное объяснение (Android гибче iPhone: APK можно установить напрямую, «сайдлоадом», в обход замкнутого круга iPhone [нужен VPN, чтобы попасть в App Store, но App Store, чтобы получить VPN]; но главное поле боя — выдержит ли ваш протокол иранский DPI) и более надёжный подход (VLESS+Reality)
Поделиться этим руководством
Уже подписались? Помощь — импорт и устранение неполадок.
Готовы к стабильному доступу в интернет?
ТарифыМатериал носит технический характер. Соблюдайте местные законы при использовании сетевых инструментов. Univista не отвечает за ваш сценарий использования.