Outpost — Zero-Trust платформа сетевого доступа, которая целиком стоит на ваших серверах: панель, шлюзы, клиенты и собственный протокол Wave. Кого пускать, с какого устройства и куда — решает политика. А туннель сам ищет путь через DPI: TLS на 443-м порту, UDP с ротацией, MASQUE.
Цифры — наши замеры на реальных сетях, с датой и условиями. Пиковые «гигабиты на ядро» мы не публикуем, пока не померим их так же.
Туннель — только транспорт. Кого пускать, с какого устройства и куда, решает панель, а шлюзы исполняют это на лету, без перезапуска.
Вход через ваш IdP по OIDC, второй фактор, пользователи и группы из каталога по SCIM.
Клиент сообщает шифрование диска, блокировку экрана, антивирус, файрвол и версию ОС. Из этого считается trust score с вашими весами и историей.
ACL группы на сеть — полный или раздельный туннель, правила файрвола раздаются шлюзам. Для внутренних приложений — отдельные ZTNA-политики, в том числе с mTLS.
Отозвали устройство — живая сессия на шлюзе рвётся, и следующее рукопожатие не пройдёт. Каждое действие — в журнале с именами.
Три способа, которыми сегодня ломают VPN, и что на каждый отвечает Outpost.
Фиксированные размеры рукопожатия и байт типа в каждом пакете — DPI узнаёт протокол с первого пакета.
Ни одного постоянного поля на проводе: идентификатор сессии маскирован, всё остальное — шифротекст.
Случайные байты без структуры — ровно тот класс UDP, который мобильные операторы глушат после нескольких пакетов.
Первая ступень — одна TLS-сессия с белым SNI. На UDP клиент меняет 5-tuple раньше, чем сеть исчерпает бюджет пакетов.
L4-прокси проходят, но это конфиг, а не сеть: нет пользователей, групп, политик доступа, аудита и SSO.
Весь трафик устройства, а не одного приложения. Пользователи, группы, ACL, Zero-Trust и журнал — из коробки.
Wave — собственный протокол: рукопожатие Noise IK, AEAD на данных, маскированный идентификатор сессии. Снаружи его несут три транспорта, и клиент проходит их сам — без звонка в поддержку и без ручной смены конфига.
Выберите, что делает сеть, — и посмотрите, как ответит клиент:
outpost-wave-cli -dpi-calibrate. Шлюз слушает диапазон портов и отвечает туда, откуда пришли данные.STREAM → DIRECT → RELAY. Порядок и параметры приходят из панели для каждой сети.
Ступень принята, когда по ней прошёл трафик в обе стороны. Рукопожатие, которое сеть пропустила, а данные — нет, не считается.
Если на ходу ступень глохнет, клиент понижает её и переходит на следующую, не роняя туннель.
Панель и шлюзы — разные бинари. Панель масштабируется горизонтально, а шлюзы подключаются к ней сами: из любого региона, от любого хостера, даже из-за NAT.
Ядра за балансировщиком делят PostgreSQL и Redis. События расходятся через Redis Pub/Sub, фоновые задачи держит одно ядро по advisory lock — без etcd и ZooKeeper.
Шлюз открывает к панели двунаправленный gRPC-стрим — входящие порты для управления ему не нужны. Новый регион — одна роль Ansible.
Выдали или отозвали доступ, поменяли правило — все шлюзы получают это без перезапуска. Отключённый шлюз снимает свои пиры меньше чем за секунду.
Статус каждого шлюза — в консоли и на карте топологии, метрики сессий и рукопожатий — в Prometheus.
Идентификатор сессии Wave стоит первым в пакете, поэтому пул шлюзов можно поставить за L4-балансировщик (IPVS-DSR) без синхронизации между ними. В протокол заложено, развёртывание впереди.
В CLI-клиенте уже есть перебор шлюзов с проверкой данных. Следующий шаг — приложения.
Админ жмёт «Пригласить» на строке пользователя и отправляет ссылку в любой мессенджер. Человек тапает — приложение открывается, входит в его аккаунт и забирает туннели. Никаких конфигов, QR на мониторе и инструкций на три экрана. Для своего телефона — вход по QR-коду из консоли.
Выбираете, что идёт через VPN, а что напрямую. Правило доезжает до туннеля без переподключения.
Меряем, по какому признаку режет конкретная сеть, вместо того чтобы гадать.
Туннель упал — трафик мимо VPN не уходит. Сменилась сеть — клиент переподключается сам. Режимы настоящие: переключатель в настройках доходит до платформы, а не только красит экран.
Скорость и объём сессии на главном экране читаются из плоскости данных, а не рисуются. Диагностика в приложении меряет размер пакета на вашей сети и отдаёт отчёт без adb.
Организации, сети, шлюзы и устройства изолированы на уровне запросов к БД.
Кто, что и над чем — людьми и ресурсами, а не hex-строками. Выгрузка в CSV.
Шлюзы и все устройства на одной карте: зум, панорама, полный экран.
Офисы и площадки в одну частную сеть, плюс умные маршруты.
Для сетей без цензуры — netlink, без оверхеда userspace.
Встроена в бинарь, RU и EN, без трекеров.
Сессии, байты, рукопожатия и ошибки протокола — на /metrics.
Стенд одной командой, прод — одной ролью Ansible.
Каждая волна блокировок — это тикеты, ручная смена конфигов и клиенты, которые уходят к конкуренту.
Люди в разных странах и сетях, VPN то режут, то забывают отозвать у тех, кто ушёл.
Коммерческий VPN — это чужие логи, чужие серверы и блокировки по списку IP.
Сравниваем с тем, что обычно ставят сами: чистый WireGuard, AmneziaWG и VLESS+REALITY.
| Свойство | Outpost | VLESS+REALITY | AmneziaWG | WireGuard |
|---|---|---|---|---|
| Весь трафик устройства (L3-туннель) | ✓ | ✗L4-прокси | ✓ | ✓ |
| Проходит как TLS на 443 с белым SNI | ✓ | ✓ | ✗ | ✗ |
| Несколько транспортов с автопереключением | ✓с проверкой данных | ~в конфиге клиента | ✗ | ✗ |
| Ротация 5-tuple под бюджет сети | ✓ | ✗ | ✗ | ✗ |
| Пользователи, группы, ACL, аудит | ✓ | ~сторонние панели | ~ | ✗ |
| SSO (OIDC), SCIM, MFA | ✓ | ✗ | ✗ | ✗ |
| Маскировка active probing настоящим сайтом | ~в разработке | ✓ | ✗ | ✗ |
Оценки — по публичной документации проектов и нашему аудиту от 14.09.2026. Строку про active probing мы честно отдаём REALITY: нативная маскировка настоящим сайтом у нас пока в ветке, не в релизе.
Таблице можно не верить — проверьте на своих операторах. Через неделю у вас цифры рядом с тем, чем вы пользуетесь сейчас.
Поднимаем панель и шлюз в нужном регионе — на вашем сервере или на нашем.
Меряем ваших операторов: что режут, после скольких пакетов и по какому признаку. Под это настраиваем лестницу.
Подключаем устройства одной ссылкой и меряем скорость рядом с вашим текущим решением.
Цифры по каждой сети и понятный следующий шаг: Self-hosted, Managed или Enterprise.
Мы не продаём то, что не включено у пользователей. Вот граница на сегодня.
У живых пользователей на боевом стенде.
Код и тесты в репозитории, в продукте пока выключено.
Ведём открыто, с замерами до релиза.
Функции платформы по тарифам не режутся: self-hosted получает всё. Деньги — за хостинг, SLA, поддержку и право встраивать наш data plane в продукт, который вы продаёте.
Для Self-hosted — да: подойдёт обычный VPS с Docker. Стенд поднимается одной командой, прод — одной ролью Ansible. В Managed серверы держим мы.
Шлюз — отдельный сервер, который сам подключается к панели по gRPC, даже из-за NAT, поэтому новый поднимается одной ролью Ansible. А лестница снижает шанс, что до этого дойдёт: STREAM на 443 с белым SNI держится там, где режут UDP. Автопереход телефона на резервный шлюз — в работе.
Они дают туннель или прокси. Outpost — сеть целиком: L3-туннель, лестница из трёх транспортов с проверкой данных, пользователи, группы, SSO, ZTNA и аудит в одной панели. Где мы пока уступаем — честно написано в сравнении.
Android — Wave и WireGuard, у живых пользователей. Десктоп-клиенты — macOS, Windows, Linux. iOS — в разработке.
У вас: PostgreSQL на вашем сервере — единственный источник правды. Обязательной телеметрии наружу нет. Журнал аудита лежит у вас и выгружается в CSV.
Self-hosted — бесплатно и без лимита устройств. Managed и Enterprise считаем под вашу нагрузку: устройства, регионы, SLA. Обычно — после пилота, когда цифры уже на столе.
Да: white-label клиенты и коммерческая лицензия на data plane Wave входят в Enterprise.
Репозиторий откроем к release candidate. Раньше — по NDA: для аудита безопасности или проверки лицензионной чистоты.
Один бинарь: API, gRPC-хаб и веб-консоль.
Rust-реализация Wave на Tokio и AWS-LC.
PostgreSQL — единственный источник правды.
Android, macOS, Windows, Linux — один код.
Репозиторий откроем публично к release candidate. Ранний доступ, аудит кода или проверка лицензионной чистоты — по NDA, просто напишите.
Провайдер, компания или своя команда — напишите регион, операторов, число устройств и платформы. Ответим с планом пилота. NDA — по запросу. Пишите на русском или английском.