Буква «E» в названии VLESS расшифровывается как Encryption, и долгое время это было единственным местом, где протокол упоминал шифрование: собственного у него не было вовсе. Безопасность обеспечивал внешний слой — TLS или REALITY, а сам VLESS занимался только тем, кому и куда доставить данные. Отсюда и правило из документации: использовать VLESS без внешнего слоя нельзя.
Теперь у протокола есть свой уровень шифрования. Изменение внёс автор Xray под ником RPRX, оно принято в ядро 28 августа 2025 года и с тех пор дошло до стабильных сборок и штатной документации.
Что изменилось. В конфигурации появилось поле encryption со строкой вида mlkem768x25519plus.native.0rtt.…. За ней стоит гибридный обмен ключами: постквантовый ML-KEM-768 вместе с классическим X25519, а поверх — обычный AEAD (AES-256-GCM или ChaCha20-Poly1305).
Гибрид здесь принципиален. Постквантовые алгоритмы моложе классических и проверены меньше, поэтому их не ставят вместо X25519, а складывают с ним: чтобы вскрыть сессию, придётся сломать оба.
Зачем протоколу постквантовость. Угроза называется «сохрани сейчас, расшифруй потом»: записанный сегодня трафик хранят в расчёте на будущий квантовый компьютер, способный вычислить ключ задним числом. Для переписки, которая останется чувствительной через десять лет, это реальный риск. ML-KEM-768 делает такую запись бесполезной — ключевой обмен нельзя пересчитать позже.
Про 0-RTT. Первое соединение проходит полный обмен и даёт прямую секретность: даже если долговременный ключ утечёт, ранее записанные сессии не раскроются. Последующие подключения переиспользуют выведенный ключ и обходятся без лишнего круга — экономия заметна на мобильной сети, где каждый круг стоит десятки миллисекунд. Повторное проигрывание перехваченного начала при этом отсекается проверкой билета.
Что это значит на практике. VLESS перестал зависеть от внешнего слоя: собственное шифрование работает поверх любого транспорта. Но появилось и новое требование к совместимости — режим должен совпадать у клиента и сервера. Приложение на старом ядре к серверу с включённым VLESS Encryption просто не подключится, и по той же причине формат конфигурации у новых сборок отличается от привычного.
Оговорка та же, что и всегда с Xray: изменения такого масштаба стоит принимать не в день выхода. Если у вас работает — торопиться некуда.
Как устроен стек VLESS вместе с XHTTP и Reality — в подробном разборе, а что вообще даёт шифрование в туннеле и от чего оно не защищает — в статье про шифрование в VPN.