Коротко по делу
Что хранится внутри QR-кода
VLESS QR-код может содержать полный URI с адресом, UUID, transport, security и другими параметрами. QR подписки содержит URL, по которому клиент получает конфигурации. Оба варианта дают доступ к секретным данным.
Сканер передаёт строку клиенту, который создаёт профиль. Он не проверяет добросовестность сервера. Код из публичного канала может вести на чужую инфраструктуру.
Не публикуйте QR рядом с инструкцией. Размытие части изображения не всегда защищает код: коррекция ошибок QR способна восстановить повреждённые области.
Когда QR удобнее ссылки
QR полезен, когда страница доступа открыта на компьютере, а подключить нужно телефон. Он исключает пересылку длинной строки и ручной ввод.
Если код находится на том же телефоне, используйте импорт из буфера или функцию распознавания изображения только в доверенном клиенте. Не загружайте скриншот на сторонний онлайн-декодер.
Подписочная ссылка удобнее для обновляемого набора серверов. Один QR с отдельным URI остаётся статическим, пока сервис не выдаст новый профиль.
Как подключить VPN по QR-коду
- Откройте страницу доступа на доверенном устройстве.
- Сверьте домен и срок подписки.
- Запустите сканер внутри совместимого VPN-клиента.
- Наведите камеру только на нужный код.
- Проверьте название и тип созданного профиля.
- Включите соединение и подтвердите системное VPN-разрешение.
- Откройте HTTPS-сайт и проверьте публичный IP.
Hiddify и Streisand описывают QR-импорт в своих инструкциях:
Передача профиля семье
Сначала проверьте лимит тарифа. Откройте код на своём экране и дайте члену семьи отсканировать его рядом с вами. Не отправляйте изображение в общий чат, облачный альбом или почту.
При наличии отдельных профилей выдавайте каждому устройству свой. Тогда потеря телефона не потребует менять доступ всей семье.
Удалите временный скриншот и очистите корзину галереи. Если устройство делает облачную копию фотографий, код мог попасть в синхронизацию. Безопаснее показывать QR из кабинета без сохранения.
Ошибки при импорте VPN-профиля
Импорт VPN-профиля может не начаться, если сканер не распознаёт код. Увеличьте яркость экрана, уберите блики и покажите весь квадрат. Не обрезайте служебную рамку. Попробуйте ссылку из буфера.
Если профиль импортирован, но не подключается, QR уже выполнил свою задачу. Проверяйте совместимость клиента, срок и параметры сервера. Повторное сканирование одного кода не исправит сетевой тайм-аут.
При пустом или неверном профиле обновите приложение и запросите новую страницу доступа. Не дописывайте поля вручную по изображению.
Что делать после утечки
Считайте опубликованный QR скомпрометированным. Удаление сообщения не отзывает копии. Запросите ротацию профиля или подписочной ссылки, затем обновите конфигурацию на доверенных устройствах.
Проверьте список активных ключей и устройств в кабинете. Если сервис показывает неизвестное подключение, передайте идентификатор поддержке.
QR-код не должен попадать в статью, тикет без ограниченного доступа или демонстрационное видео. Для документации используйте заведомо фиктивный пример.
Модель угроз для QR-кода
Код может утечь через фотографию, видеозапись экрана, облачную галерею, историю мессенджера или камеру наблюдения рядом с монитором. Оцените, кто имеет доступ к устройству, на котором вы показываете конфигурацию.
QR не подтверждает владельца сервера. Злоумышленник может заменить изображение на странице или отправить похожий код. Открывайте страницу доступа по сохранённому официальному домену и проверяйте HTTPS. После импорта сравните название профиля и ожидаемый протокол.
Для публичной инструкции генерируйте фиктивный URI с несуществующим доменом и UUID. Не замазывайте реальный код: алгоритм коррекции и сохранённые копии делают такой метод ненадёжным.
Передача без облачных копий
Откройте QR в кабинете на компьютере и отсканируйте его телефоном. После завершения закройте страницу и очистите историю только на общем устройстве, если это не помешает восстановлению доступа. Не делайте снимок.
Для второго телефона повторите показ с доверенного экрана. Если устройства находятся далеко, используйте защищённый менеджер секретов с ограниченным доступом и удалите запись после импорта. Обычная почта и общий чат оставляют долгоживущие копии.
Подписочная ссылка может позволить отозвать доступ централизованно. Проверьте эту функцию до удалённой передачи. Если ротации нет, отдельный профиль для каждого устройства снижает последствия утечки.
Проверка импортированного профиля
После сканирования откройте карточку профиля без раскрытия секретных полей. Проверьте тип VLESS, наличие REALITY или другого ожидаемого security и название, которое помогает отличить сервер. Не сверяйте UUID вслух или в чате.
Включите профиль и проверьте публичный IP. Затем обновите подписку, если код содержал subscription URL. Появление нескольких серверов ожидаемо только для такого формата.
Если клиент предлагает открыть неизвестный сайт или установить сертификат, остановите импорт и обратитесь к поддержке. Обычный VLESS QR-код не требует установки корневого сертификата на устройство.
Печатный QR и физический доступ
Печатная карточка удобна для офлайн-настройки, но копию нельзя отозвать без ротации ключа. Храните её в закрытом месте и не подписывайте рядом логин, домен и назначение.
Для временного доступа лучше создать отдельный профиль с ограниченным сроком, если система это поддерживает. После настройки уничтожьте распечатку и отзовите профиль.
Не размещайте QR на обратной стороне роутера рядом с паролем Wi-Fi. Гость, мастер или камера телефона получит оба секрета за один снимок.
В офисе не оставляйте распечатку у общего принтера. Очередь печати и память устройства могут сохранить документ. Используйте локальный принтер либо покажите код с доверенного экрана.
Зафиксируйте дату выпуска профиля. При плановой ротации вы сможете найти и уничтожить устаревшие физические копии.
Продолжить чтение