При использовании стандартного WireGuard в сетях с цензурой и фильтрацией DPI (Deep Packet Inspection) наблюдаются:

• Блокировка туннеля через 2-5 секунд после начала активной передачи трафика.
• Сброс соединения по характерной сигнатуре первого рукопожатия (Handshake Initiation packet signature).
• Полная блокировка порта провайдером при детекции статических заголовков WireGuard.
• Таймаут рукопожатия: Handshake for peer did not complete after 5 seconds, retrying.

1. Архитектура обфускации AmneziaWG

AmneziaWG модифицирует заголовки пакетов WireGuard и внедряет псевдослучайный мусор (junk data), делая протокол неотличимым от случайного UDP-трафика или WebRTC стриминга:

• Jc (Junk Packet Count): количество мусорных пакетов перед хэндшейком.
• Jmin / Jmax: минимальный и максимальный размер пакетов-мусора.
• H1 - H4: уникальные кастомные заголовки сообщений инициализации, ответа, cookie и данных.

2. Компиляция и установка модуля ядра на сервере (Debian/Ubuntu)

# Установка зависимостей сборки:
apt update && apt install -y build-essential linux-headers-$(uname -r) git dkms iptables

# Клонирование и установка модуля ядра AmneziaWG:
git clone https://github.com/amnezia-vpn/amneziawg-linux-kernel-module.git
cd amneziawg-linux-kernel-module
make && make install
modprobe amneziawg

# Установка модифицированных утилит amneziawg-tools:
git clone https://github.com/amnezia-vpn/amneziawg-tools.git
cd amneziawg-tools/src
make && make install

3. Конфигурация сервера (/etc/amnezia/amneziawg/awg0.conf)

[Interface]
Address = 10.8.0.1/24
ListenPort = 44344
PrivateKey = SERVER_PRIVATE_KEY

# Параметры обфускации AmneziaWG:
Jc = 4
Jmin = 40
Jmax = 70
H1 = 1
H2 = 2
H3 = 3
H4 = 4

PostUp = iptables -A FORWARD -i awg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i awg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32

4. Запуск и проверка службы

# Запуск интерфейса:
awg-quick up awg0
systemctl enable awg-quick@awg0

# Проверка рабочего статуса:
awg show