У сочетания vless+tcp+reality обнаружилась фундаментальная проблема, благодаря которой его можно "задетектировать". На каждое tls соединение он создает отдельное tcp соединение. Ничего крамольного в этом нет, только вот _обычно_ браузеры так не делают. Обычно сначала происходит tcp соединение - браузер посылает специальный syn-syn tcp пакет, принимает syn-ack от сервера и возвращает ack-ack, благодаря чему клиент и сервер договариваются о базовых вещах, вроде занесения айпи и портов друг друга в специальную таблицу открытых соединений. Дальше между этими портами и айпи могут пересылаться пакеты TLS hello, да и собственно зашифрованные пакеты tls. И обычно в рамках одного tcp соединения может произойти несколько tls соединений.

Такое поведение можно сымитировать с помощью мультиплексирования, используя одно tcp соединение для нескольких tls. Беда в том, что мультиплексирование (mux) несовместимо с flow.

Flow в reality влияет на макроскопические временнЫе характеристики трафика. ВременнЫе характеристики трафика могут быть обусловлены протоколом или поведением, например, сколько файлов загружается при посещении главной страницы Google, в каком порядке и какого размера. Добавление еще одного уровня шифрования не может эффективно скрыть эту информацию.

Сейчас блокировки поотпустили, и в целом без flow и без mux всё прекрасно работает. Но детектирование трафика без-mux на dpi уже продемонстрировано, детектирование трафика с пустым flow: "" - вопрос времени, и те, кто не перейдёт на xhttp или другую альтернативу, рискуют остаться не у дел.