Что такое Amnezia CFG и зачем он нужен
Amnezia CFG — это конфигурационный файл в формате .conf, который описывает параметры VPN-туннеля на базе протокола AmneziaWG. Формат развился из WireGuard, но добавляет механизмы обфускации, которые помогают обходить глубокий анализ трафика (DPI). Файл содержит ключи, endpoint, параметры маскировки и маршрутизацию.
Термин Amnezia CFG часто используют как общее название для любых конфигов AmneziaWG, включая те, что генерируются для Cloudflare WARP. В отличие от классического WireGuard, AmneziaWG позволяет настраивать параметры Jc, Jmin, Jmax, S1–S4, H1–H4, а в версии 2.0 — динамические заголовки и случайный padding. Эти параметры делают трафик похожим на обычный QUIC или DNS, что затрудняет его детектирование.
Генераторы конфигов, такие как AmneziaWG Config Generator, позволяют собрать .conf без ручного редактирования. Они полезны, когда нужно быстро получить рабочий профиль для Cloudflare WARP, проверить разные режимы маршрутизации или подготовить мобильный импорт через vpn://. Важно понимать: генератор не гарантирует одинаковую работу в любой сети — результат зависит от клиента, сети, endpoint, DNS и ограничений устройства.
Как работает генерация конфига AmneziaWG
Процесс генерации конфига обычно выглядит так: пользователь выбирает версию протокола (AWG 1.5, 2.0, 3.0 или 3.1), режим маршрутизации (полный туннель или выборочный), DNS-профиль, endpoint (hostname или прямой IP), порт и дополнительные параметры. Генератор создаёт пару ключей, отправляет публичный ключ в API Cloudflare WARP, получает внутренние адреса и собирает .conf файл.
В некоторых генераторах, например на vlesska.com, ключи создаются на сервере в момент нажатия кнопки, а готовая конфигурация хранится ограниченное время (например, 60 минут) и не записывается в базу. Это снижает риск утечки приватного ключа, но пользователю всё равно не стоит пересылать файл третьим лицам — тот, у кого есть .conf, может пользоваться туннелем.
Генераторы поддерживают разные форматы вывода: .conf для AmneziaVPN и AmneziaWG, .yaml для Clash/Mihomo, а также QR-код для мобильных клиентов. Некоторые инструменты формируют ссылку vpn://, которая содержит весь конфиг в сжатом base64 и позволяет импортировать профиль в один тап на телефоне.
Версии AmneziaWG: 1.5, 2.0, 3.0 и 3.1
AmneziaWG развивается, и каждая версия протокола добавляет новые возможности обфускации. AWG 1.5 (Legacy) использует статические параметры маскировки (Jc, S1–S4, H1–H4), которые маскируют только начало соединения. Эта версия совместима со старыми клиентами и работает с Cloudflare WARP без специального сервера.
AWG 2.0 вводит динамические заголовки и случайный padding во всех пакетах, имитируя QUIC/DNS на протяжении всей сессии. Это значительно усложняет эвристический DPI-анализ, но требует клиент AmneziaVPN версии не ниже 4.8.12.9. Для Cloudflare WARP серверная часть не нужна — конфиг работает с публичным сервером Cloudflare. Если же вы используете собственный сервер, потребуется обновлённый модуль ядра amneziawg-linux-kernel-module, а старые конфиги AWG 1.5 станут несовместимы.
AWG 3.0 и 3.1 — более новые версии, которые используют WARP-safe клиентские возможности для стандартного WireGuard peer Cloudflare. Генератор включает только те параметры AWG 3.x, которые не требуют поддержки со стороны Cloudflare, поэтому Cloudflare остаётся стандартным WireGuard peer. Важно: для AWG 3.0 ссылка vpn:// намеренно недоступна в некоторых генераторах, что стоит учитывать при мобильном импорте.
AllowedIPs: полный туннель или выборочная маршрутизация
AllowedIPs — это ключевой параметр, определяющий, какие IP-адреса направляются через туннель. Значение 0.0.0.0/0 означает, что весь IPv4-трафик идёт через VPN (full tunnel), а ::/0 добавляет IPv6. Такой режим используется по умолчанию в большинстве генераторов.
Выборочная маршрутизация (route presets) подставляет конкретные CIDR-диапазоны вместо полного маршрута. Это позволяет направлять через туннель только нужный трафик, например, для обхода блокировок отдельных сайтов. Генераторы часто показывают счётчик CIDR, чтобы пользователь не превысил консервативный порог совместимости — обычно около 1000 IPv4 CIDR. Превышение лимита может привести к тому, что роутеры или мобильные клиенты молча обрежут длинные таблицы маршрутов.
При включении IPv6 количество маршрутов увеличивается в 2–3 раза, что может вызывать сбои на некоторых устройствах. Поэтому в мобильных профилях IPv6 часто отключают автоматически. Актуальные списки IP-диапазонов можно найти на opencck.org и rockblack.pro, но генераторы позволяют заменить их вручную.
Endpoint: hostname или прямой IP
Endpoint — это адрес сервера, к которому подключается клиент. В конфигах для Cloudflare WARP обычно используется hostname engage.cloudflareclient.com, но можно указать и прямой IP-адрес. Выбор влияет на поведение при блокировках DNS.
При использовании hostname клиент резолвит домен через локальный DNS до установки туннеля. Если DNS блокирует домен или возвращает неверный ответ, туннель не поднимется. Hostname удобен тем, что Cloudflare использует anycast и может менять IP-адреса, поэтому домен всегда указывает на актуальный узел.
Прямой IP endpoint устраняет зависимость от DNS, но если конкретный IP перестаёт быть активным anycast-узлом, соединение не установится. Генераторы позволяют выбрать режим «WARP IP вместо hostname» для случаев, когда DNS заблокирован. Также можно менять UDP-порт WARP (по умолчанию 4500) — если туннель не поднимается, стоит попробовать другой порт.
DNS и UDP: типичные точки отказа
Многие проблемы с подключением связаны не с конфигом, а с сетью. Например, если VPN работает через LTE, но не работает через Wi-Fi, вероятно, дело в UDP-фильтрации, NAT, captive portal или локальном firewall. В таких случаях бесполезно менять параметры .conf — нужно диагностировать сеть.
Если IP работает, а hostname — нет, проблема скорее всего в DNS: клиент не может зарезолвить домен. Это может быть связано с блокировкой DNS или неверными настройками резолвера. Если «вчера работало, сегодня нет», у .conf нет срока действия — изменился маршрут до anycast endpoint, доступность порта или поведение сети.
Для диагностики генераторы предлагают healthcheck доступности API и endpoint-сценариев. Также стоит проверить DNS-профиль: некоторые генераторы предлагают несколько DNS presets, которые влияют на разрешение имён внутри туннеля. Неправильный DNS может привести к тому, что туннель подключается, но сайты не открываются.
CPS-протокол и усиленная маскировка
CPS (Connection Packet Spoofing) — это механизм, который отправляет дополнительные пакеты для имитации легитимного трафика. В генераторах доступен выбор режима CPS: Auto, QUIC, DNS, STUN, DTLS, SIP, Static. Режим Auto выбирает только стабильные варианты, экспериментальные доступны только при явном выборе.
Для AWG 2.0 доступна усиленная маскировка (I2–I5) — отправка четырёх случайных пакетов перед handshake. Это повышает устойчивость к DPI, но может увеличить задержку. Параметры I1 (основной CPS) и I2–I5 настраиваются в конфиге, и их комбинации влияют на совместимость с сетями.
Важно: для Cloudflare WARP не требуется специальный сервер для CPS — все параметры работают с публичным endpoint. Однако если вы используете собственный сервер, необходимо убедиться, что ядро поддерживает выбранную версию AWG.
Мобильные профили и импорт через vpn://
Мобильный профиль — это набор параметров Jc/Jmin/Jmax, подобранных для нестабильных сетей и смартфонов. Он снижает количество ретрансмиссий и делает поведение туннеля более предсказуемым при плохом сигнале. В мобильном профиле обычно устанавливается MTU 1280, отключается IPv6 и используются низкие значения Jc/Jmax.
Импорт конфига на телефон можно выполнить через ссылку vpn://. Генератор формирует её после создания .conf, и она содержит весь конфиг в сжатом base64. Ссылку можно скопировать, отправить в мессенджер или открыть на телефоне — AmneziaVPN на Android и iOS распознаёт схему vpn:// и предлагает импорт в один тап. Однако для AWG 3.0 vpn:// может быть недоступен, поэтому проверяйте совместимость.
Для мобильных клиентов также доступен QR-код, который можно отсканировать камерой. В российском регионе магазинов приложение AmneziaVPN может не находиться в поиске — помогает учётная запись с другим регионом. На Windows, macOS и Linux ограничений нет: установка идёт файлом с GitHub.
Клиенты для AmneziaWG и особенности установки
Файл .conf AmneziaWG открывается в любом клиенте с поддержкой этого протокола. Основной клиент — AmneziaVPN, доступный для Windows, macOS, Linux, Android и iOS. Также существует лёгкий клиент AmneziaWG (сборка RomikB) и реализация amneziawg-go для OpenWrt.
Для Windows также доступен WireSock Secure Connect, который сам маскирует трафик под QUIC-запрос браузера, поэтому в его конфиге не нужен параметр I1. Бесплатной версии WireSock хватает для одного туннеля.
Установка AmneziaWG на Windows стандартна: скачайте установочный файл и установите по пути "C:\Program Files\...". После импорта .conf включите туннель в клиенте. При установке на роутеры (MikroTik, GL.iNet, Keenetic, OpenWrt) используется режим роутера с малыми Jc/Jmin/Jmax.
Если импорт не проходит, проверьте версию parser клиента, формат файла и способ импорта. Некоторые генераторы предлагают скачать 1–3 варианта конфига с разными endpoint'ами, чтобы повысить шанс успешного подключения.
Диагностика проблем и практические советы
Когда VPN не работает, важно систематически проверять возможные причины. Если не подключается — проверьте endpoint, порт, доступность UDP, режим AWG и версию клиента. Если подключается, но сайты не открываются — проверьте DNS, AllowedIPs, IPv6 и MTU.
Если VPN работает в Wi-Fi, но не в мобильной сети, попробуйте другой порт, hostname вместо IP или другой endpoint-режим. Если импорт не проходит — проверьте режим AWG, версию parser клиента, формат и способ импорта.
Генераторы часто предоставляют Telegram-каналы с разборами реальных симптомов. Например, канал Amnezia Config публикует инженерные заметки по AmneziaWG, AllowedIPs, endpoint, DNS, UDP, mobile profile и vpn://. Там можно найти решения типовых проблем.
Наконец, помните о безопасности: приватный ключ в .conf даёт доступ к вашему туннелю. Не пересылайте файл никому, а если используете генератор, убедитесь, что он не хранит конфигурацию дольше необходимого. Некоторые сервисы удаляют конфиг через 60 минут, другие — сразу после скачивания.
Вопросы и ответы
Что такое Amnezia CFG и чем он отличается от обычного WireGuard конфига?
Amnezia CFG — это конфигурационный файл для протокола AmneziaWG, который является форком WireGuard с добавлением обфускации трафика. В отличие от стандартного WireGuard, AmneziaWG позволяет настраивать параметры маскировки (Jc, Jmin, Jmax, S1–S4, H1–H4), а в версии 2.0 — динамические заголовки и случайный padding. Это делает трафик похожим на QUIC или DNS, что затрудняет его детектирование DPI-системами. Файл .conf содержит те же базовые поля (PrivateKey, Address, DNS, Peer), но дополнен специфическими для AmneziaWG параметрами.
Какой генератор AmneziaWG лучше использовать для Cloudflare WARP?
Существует несколько бесплатных генераторов, например AmneziaWG Config Generator (доступен по ссылкам на hereiamgosu.github.io и valokda-amnezia.vercel.app) и генератор на vlesska.com. Они поддерживают разные версии AWG (1.5, 2.0, 3.0, 3.1), позволяют настраивать AllowedIPs, DNS, endpoint, порт и мобильный профиль. Выбор зависит от нужных функций: если важна поддержка AWG 3.x, выбирайте генератор с этой опцией; если нужен импорт через vpn://, проверьте, что он поддерживается для выбранной версии. Все генераторы не гарантируют работу в любой сети, поэтому используйте их как инструмент для сборки и диагностики.
Почему VPN работает через LTE, но не работает через Wi-Fi?
Чаще всего проблема не в конфиге, а в сети. Wi-Fi может иметь UDP-фильтрацию, ограничения NAT, captive portal или локальный firewall, которые блокируют VPN-трафик. LTE-сети обычно менее ограничены. Рекомендуется попробовать другой UDP-порт, сменить endpoint (hostname на IP или наоборот), а также проверить, не блокирует ли роутер протокол. Если проблема сохраняется, используйте мобильный профиль с пониженными Jc/Jmax и MTU 1280.
Что такое AllowedIPs и как настроить выборочную маршрутизацию?
AllowedIPs — это список CIDR-диапазонов, которые направляются через туннель. Значение 0.0.0.0/0 и ::/0 включает полный туннель (весь трафик через VPN). Для выборочной маршрутизации используйте route presets — готовые наборы CIDR для конкретных сайтов или подсетей. Генераторы позволяют выбрать пресеты и показывают счётчик CIDR, чтобы не превысить лимит (обычно 1000 IPv4 CIDR). Превышение может привести к обрезанию таблицы маршрутов на роутерах и мобильных клиентах. Актуальные списки можно взять на opencck.org или rockblack.pro.
Как импортировать конфиг AmneziaWG на телефон через vpn://?
Ссылка vpn:// содержит весь конфиг в сжатом base64 и позволяет импортировать профиль в один тап. После генерации .conf скопируйте ссылку vpn://, отправьте её себе в мессенджер или откройте на телефоне. AmneziaVPN на Android и iOS распознаёт схему vpn:// и предложит импорт. Обратите внимание: для AWG 3.0 vpn:// может быть недоступен в некоторых генераторах, тогда используйте QR-код или файл .conf. Также убедитесь, что клиент установлен из правильного региона магазина приложений.
Что делать, если VPN подключается, но сайты не открываются?
Если туннель установлен, но сайты не грузятся, проверьте DNS-настройки в конфиге. Возможно, DNS-сервер недоступен или возвращает неверные ответы. Попробуйте сменить DNS-профиль на другой (например, 1.1.1.1 или 8.8.8.8). Также проверьте AllowedIPs — если используется выборочная маршрутизация, нужный сайт может не попадать в список. Убедитесь, что IPv6 не вызывает проблем: отключите IPv6 в конфиге, если оно включено. Иногда помогает уменьшение MTU до 1280.
Нужен ли свой сервер для AmneziaWG 2.0?
Для Cloudflare WARP — нет. Конфиги AWG 2.0, сгенерированные для Cloudflare, работают с публичным сервером Cloudflare без каких-либо настроек на стороне сервера. Если вы хотите использовать собственный сервер, потребуется установить обновлённый модуль ядра amneziawg-linux-kernel-module и сгенерировать новые конфиги для клиентов. Старые конфиги AWG 1.5 станут несовместимы с сервером AWG 2.0. Подробности в официальной документации Amnezia.