sing-box 1.14.0-rc.1: Hysteria2 копирует рукопожатие Chrome, стабильной версии пока нет

Что именно вышло

Тег v1.14.0-rc.1 опубликован 24 августа 2026 года в 03:21 UTC и помечен как предварительный выпуск. Предыдущей точкой ветки была v1.14.0-beta.17 от 17 августа — то есть на переход от беты к кандидату ушла неделя.

Метку «последней» стабильной версии по-прежнему держит v1.13.19, опубликованная 17 августа. Иначе говоря, ветка 1.14 стабильной ещё не стала, и даты выхода стабильного выпуска разработчики не называли.

Заметки к самому кандидату короткие — «исправления и улучшения». Всё, о чём идёт речь ниже, накапливалось в бета-выпусках ветки на протяжении месяца, а не появилось 24 августа.

Главное изменение: рукопожатие как у браузера

Протокол Hysteria2 работает поверх QUIC, и его соединение начинается с рукопожатия. Форма этого рукопожатия у каждой реализации своя, поэтому по ней трафик можно опознать, не расшифровывая, — этот приём называют снятием отпечатка рукопожатия.

В ветке 1.14 клиент Hysteria2 по умолчанию повторяет рукопожатие Chrome. Формулировка разработчиков в журнале изменений прямая: так трафик становится труднее опознать по отпечатку рукопожатия.

Здесь же лежит подвох, о котором стоит знать до обновления. Chrome не заявляет поддержку подписи Ed25519, а значит, сервер с сертификатом на Ed25519 такое рукопожатие завершить не сможет — соединение просто не установится. Для этого случая предусмотрена отдельная настройка, отключающая подражание браузеру.

Второе изменение того же ряда: клиент AnyTLS перестал отправлять служебные сведения о себе. Разработчики объясняют это тем, что открытый сервер их всё равно не использует, а поступали сообщения, что по ним пользователей профилируют и ограничивают. Эта правка перенесена и в стабильную ветку — в 1.13.16.

Что ещё в ветке и стоит ли ставить прямо сейчас

Помимо маскировки, ветка 1.14 принесла схему конфигурации в формате JSON Schema и отдельную команду для её вывода, команду управления через API, поддержку передачи файлов для точек Tailscale, исправление семантики совпадений у наборов правил и параллельную гонку ответов DNS.

Практический вывод для пользователя простой: release candidate — это не стабильная версия. На устройстве, через которое вы работаете каждый день, разумнее оставаться на 1.13.x и дождаться стабильного выпуска ветки; изменение AnyTLS, важное с точки зрения приватности, туда уже перенесено.

Отдельно стоит оговорить то, чего в источнике нет. Разработчики нигде не связывают эти изменения с ограничениями в конкретных странах и не упоминают ни один регулятор: формулировки в журнале изменений нейтральные — «отпечаток рукопожатия», «профилирование пользователей поставщиками». Любая привязка к российским блокировкам была бы нашей интерпретацией, а не заявлением авторов.