VPN - обфускация трафика - что это такое
Материал из Все о VPN, прокси и свободном интернете
VPN - обфускация трафика - что это такое
Обфускация трафика VPN - это дополнительное скрытие трафика VPN, характер которого не сможет определить оборудование интернет-провайдера DPI (Deep Packet Inspection) и соответственно помогает получить доступ к запрещенным ресурсам.
Deep Packet Inspection (DPI) может обнаружить уникальную подпись OpenVPN, поэтому этот протокол не подходит если провайдер решил фильтровать VPN трафик.
Примеры обфускации VPN трафика:
- плагин Cloak (https://github.com/cbeuw/Cloak) - маскировка трафика под обычный просмотр веб-страниц (по-умолчанию 443 https порт). Достигается за счет крипто-стенографических методов: https://github.com/cbeuw/Cloak/wiki/Steganography-and-encryption Работает в связке с Shadowsocks, OpenVPN или TOR (на выбор) Пример установки на KVM VPS: https://checkvpn.net/wiki/Shadowsocks_cloak_-_установка_vpn_сервера_с_обфускацией_трафика_за_3_минуты - Obfsproxy (проект Tor) - Stunnel (маскировка под обычный https трафик, VPN-трафик маршрутизируется через туннель TLS / SSL) - openvpn_xorpatch (https://tunnelblick.net/cOpenvpn_xorpatch.html) - XOR-шифр для маскировки трафика OpenVPN, заменяет значения каждого бита данных другим значением, что частично позволяет скрыть openvpn трафик от DPI блокировки.\ - wireguard (завернуть UDP в TCP обычно помогает) - V2Ray (c uTLS) + VLESS (VLESS более новый протокол чем VMess ) Пример установки V2RAY+VMESS: https://youtu.be/2xpAJjXGVJI - XRay (с XTLS) + VLESS (VLESS более новый протокол чем VMess ) - Sing-Box - SSTP (Secure Socket Tunneling Protocol) - shadowsocks-rust + v2ray + simple-tls - amnezia vpn - openvpn + cloak: https://checkvpn.net/wiki/Amnezia_VPN_-_установка_openvpn_%2B_cloak_плагин (недостаток - плохая скорость) - vless reality - https://github.com/MHSanaei/3x-ui Видео пример установки vless reality: https://www.youtube.com/watch?v=VBIYyXEawiY Пример установки 3X-UI - vless-reality: https://checkvpn.net/wiki/VLESS_-_reality_-_установка_на_Ubuntu_20.04_-_полный_гайд_по_обходу_блокировок - Outline VPN (протокол shadowsocks): https://checkvpn.net/wiki/OUTLINEVPN - если заблокирован WG и openvpn. Хорошая скорость! Outline не работает с приложением Команды на iOS (нельзя настроить автоконнект, при включении определенного приложения) - Outline VPN (протокол shadowsocks) - пример установки https://youtu.be/d703IfSs4-M - wireguard + Dante proxy + клиент на windows WireSock c UI - wireguard + 3proxy socks5 (завернуть handshake wireguard на прокси) + WireSock c UI (опции SOCKS5 for WireGuard handshake) - пример установки https://checkvpn.net/wiki/WireGuard_-_wireguard_и_3proxy_socks5_(завернуть_handshake_wireguard_на_прокси)_через_клиент_WireSock_c_UI_-_Ubuntu_20.04 - OBFS4 - https://github.com/OperatorFoundation/shapeshifter-dispatcher https://sigvids.gitlab.io/windows-obfs4.html - obfs4 - пример установки моста https://checkvpn.net/wiki/Obfs4_-_установка_моста_через_docker_контейнер_-_fphammerle/tor-obfs4-bridge - lokinet - Lokinet is the reference implementation of LLARP (low latency anonymous routing protocol), a layer 3 onion routing protocol. https://github.com/oxen-io/lokinet/blob/dev/readme.md - Orbot - https://play.google.com/store/apps/details?id=org.torproject.android - Obfs4-openvpn: https://github.com/dopch/Obfs4-openvpn - Marzban - Unified GUI Censorship Resistant Solution Powered by Xray - веб-интерфейс для Vmess/Vless/Trojan/Shadowsocks https://github.com/Gozargah/Marzban Пример установки https://checkvpn.net/wiki/Marzban_-_универсальный_GUI_интерфейс_управления_прокси_серверами_для_обхода_блокировки_цензуры_в_интернете_-_Vmess-VLESS-Trojan-Shadowsocks Видео установки MARZBAN: https://www.youtube.com/watch?v=RVHdj2aBlXA - Lantern - https://github.com/getlantern - Phiphon - https://psiphon.ca/ - Conjure - X-UI GUI based on X-ray: https://seakfind.github.io/2021/10/10/X-UI/ - Libertea GUI based on X-ray (vless, ss, vmess, trojan) : https://github.com/VZiChoushaDui/Libertea Пример установки на ubuntu 20.04 https://checkvpn.net/wiki/Libertea_для_обфускации_трафика_-_vless-trojan_-_установка_на_Ubuntu_20.04 - Hiddify GUI based on X-ray: https://github.com/hiddify/hiddify-config Пример установки https://checkvpn.net/wiki/Hiddify-Manager_для_обфускации_трафика_-_установка_на_Ubuntu_20.04 - Hysteria: https://hysteria.network/ https://github.com/apernet/hysteria - VPN using CDN + VMESS/Vless + FakeWebsite: https://github.com/pouyaSamie/FreeInternet - 3proxy server https://checkvpn.net/wiki/3proxy_-_установка_через_скрипт_3proxyinstall.sh_на_Ubuntu/Debian - dumbproxy - https proxy server: https://habr.com/ru/articles/687512/ - https://github.com/infinet/xt_wgobfs - Решение только под Linux - Iptables WireGuard obfuscation extension Tested working on Alpine linux kernel 5.15, CentOS 7, Debian 10/11/12 and openSUSE 15.5. - AmneziaWG - форк протокола wireguard https://t.me/amnezia_vpn/111839 *перед установкой соединения отправляет мусорные пакеты с рандомными данными *сам пакет установки соединения тоже содержит некоторое кол-во мусорных байтов *заголовки пакетов изменены. Гайд по установке https://checkvpn.net/wiki/Amnezia_-_новый_метод_обхода_блокировок_через_протокол_AmneziaWG_-_2023 - ipsec/ikev2: https://checkvpn.net/wiki/Установка_IPsec_и_IKEv2_VPN_сервера_на_все_ОС_-_vpn.sh - squid прокси сервер: https://checkvpn.net/wiki/Squid/wireguard_-_установка_прокси_сервера_и_wireguard_с_веб-админками_squid-easy_и_wg-easy_на_Ubuntu_20.04_-_docker - naiveproxy https://github.com/klzgrad/naiveproxy - https://github.com/hrostami/aio-proxy - скрипт автоматизирует настройку TUIC, hysteria и других инструментов, связанных с прокси, в Linux. - Trojan/Trojan-Go (Trojan (в отличии от VLESS-XTLS) легко детектируется: https://github.com/XTLS/Trojan-killer)
Как блокируют трафик в Китае через их фаервол: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic https://gfw.report/publications/usenixsecurity23/en/
Действия провайдера:
- запалив vpn трафик - вносят IP VPN в черный список на сетевых роутерах. Решение - не разворачивать vpn без обфускации иначе придется сразу менять IP.
Некоторые заметки с просторов сети:
это когда сетевое оборудование видит в вашем траффике знакомые последовательности(блоки) которые позволяют по короткому куску точно сказать что за приложение его шлет, так же как в антивирусах есть вирусные сигнатуры. ну вот и точечно, только для вас на мин 5 вырубается доставка возвратных пакетов, еще раз пропробуете - на 10-20-40 итд минут, пока либо вы не позвоните в тп с вопросом а акакого? либо не перестанете юзать не "одобренное"
01 авг 2023, 21:44:03 Добрый! Стал разбираться с блокировками протоколов wireguard через российских провайдеров, выяснил, что идентифицируют wireguard по его handshake. Настроил здесь Dante proxy, клиент на Windows - WireSock c UI, и снова все работает. Если нужно, составлю инструкцию. Предварительные исследования показали, что по всей видимости DPI нацелен на WireGuard Handshake Initiate пакеты, которые имеют фиксированный размер (148 байт) и узнаваемую структуру (первые четыре байта UDP пакета [0x01, 0x00, 0x00, 0x00]). Таким образом, кажется, что для блокировки WireGuard DPI достаточно отслеживать UDP пакеты размером в 148 байт и проверять в них первые четыре байта на соответствие сигнатуре [0x01, 0x00, 0x00, 0x00]. Однако, стоит упомянуть, что корпоративные реализации WireGuard могут использовать зарезервированные три байта (поле Reserved) для собственных нужд (например, в Jamf Private Access они используются как идентификатор сессии). К тому же не исключено, что рано или поздно им найдется применение и в официальном клиенте. Так что для большей точности имеет смысл ограничиться только первым байтом UDP пакета. С другой стороны блокировка всех UDP пакетов размером в 148 байт с первым байтом 0x01 выглядит довольно рискованно. То же самое можно сказать и о Handshake Response пакете, который так же имеет фиксированный размер (92 байта) и схожую сигнатуру с тремя зарезервированными байтами [0x02, 0x00, 0x00, 0x00].
В России еще и IKEv2 блокируют..
У меня работает пока стабильно. https://www.wiresock.net/ https://github.com/wiresock/WireSockUI https://avleonov.com/2019/09/23/dante-socks5-server-with-authentication/ для centos7 То есть весь смысл, перенаправить хендшейки через прокси на том же сервер, где и сервер wireguard. https://habr.com/ru/articles/649629/
shapeshift dispatcher. Он представляет собой написанный на go скрипт, универсальный для клиента и сервера. На сервере он перенаправляет получаемый обфусцируемый трафик, деобфусцирует его, и уже "чистый" трафик перенаправляет по указанному адресу.
Настроил ShadowSocks+Cloak на Андроиде, все работает, но некоторые шаги инструкции из закрепа оказались для меня не совсем очевидными, пришлось помучиться. Возможно, не очень продвинутым юзерам (типа меня) будет полезен более детальный гайданс: 1. Устанавливаем на Андроид официальный клиент ShadowSocks от "Max Lv" из гуглплей 2. Устанавливаем на Андроид плагин Clock отсюда - https://github.com/cbeuw/Cloak-android/releases/download/v2.5.4/ck-client-2.5.4.apk 3. Придется разрешить установку APK из неизвестных источников, чтобы его установить. 4. Открываем на Виндоус Amnezia - Выбираем протокол OpenVpn over Clock - Share connection for Shadowsocks 5. Открываем на мобильном клиент ShadowSocks - Добавить профиль - Сканировать QR-код с клиента Виндоус 7. Открываем на мобильном клиент ShadowSocks - Заходим в созданный профиль - Меняем Удаленный порт на 443 6. Открываем на Виндоус Amnezia - Выбираем протокол OpenVpn over Clock - Share connection for Cloak 7. Открываем на мобильном клиент ShadowSocks - Заходим в созданный профиль - Выбираем плагин Cloack - Настроить - Копипастим туда параметры: UID, Public Key и Server Name из Amnezia на Виндоус
https://habr.com/ru/amp/publications/709108/ Если подробнее, то ситуация следующая. Я бы разбил VPN протоколы на несколько групп: Первая группа – самые уязвимые к блокировкам – это протоколы Wireguard, OpenVPN в режиме UDP, а также IKEv2, и всякие старые протоколы типа L2TP. Такие протоколы блокируются по простым сигнатурам, или вообще номеру порта. Вторая группа – протоколы, которые более сложно заблокировать. Они работают на основе протокола TLS (на котором и работает web), и казалось бы, должны хорошо противостоять блокировкам. Но на деле, оказывается что они всё-таки имеют сигнатуры, по которым их можно различать, и поэтому тоже блокируются. Это OpenVPN в режиме TCP, а также обычный socks proxy. Третья группа – это протоколы или связки протоколов, которые хорошо маскируются под web трафик, вследствие чего их сложно затедектировать, и заблокировать. Это OpenConnect/AnyConnect, OpenVPN с патчем XOR, а так же я бы включил в эту группу протокол ShadowSocks и тунель через SoftEther. Основной отличительной особенностью этой группы я бы назвал то, что эти протоколы сложно отличить от обычного web трафика, но всё ещё можно. К примеру, существует такой возможный способ блокировки - путём анализа энтропии заголовков. ShadowSocks полностью рандомизирует передаваемые заголовки, от чего он становится не похожим на настоящий web трафик. Или ещё более хитрая проверка - если VPN протокол маскируется под web трафик, то система анализа сама пытается открыть тот же самый веб адрес, который указан в заголовке пакета - так работает Великий Китайский Фаервол. И четвертая группа – это протоколы или связки протоколов, которые крайне сложно или абсолютно невозможно отличить от настоящего web трафика. Сюда можно отнести специальные плагины для маскировки VPN, которые разрабатываются специально для этой цели мимикрии под web трафик, в частности такие плагины как v2ray, vless, wstunnel, cloak и другие. Так вот, эти плагины начали появляться в большом количестве по одной причине – потому что в какой-то момент придумали, что задачу маскировки можно вынести в отдельный модуль, в плагин. И появился даже целый стандарт - называется Pluggable Transport. Изначально его сделали для TOR ещё в 2012 году, а позже добавили поддержку Pluggable Transport и в клиент ShadowSocks. А ещё позже, буквально пару лет назад появилась неофициальная поддержка Pluggable Transport для OpenVPN.
Туркменистан: Сейчас сам пользуюсь Тор через мост obfs4 но мост только работает по WI-FI . Может кто подскажет сторонние сервисы чтобы не только по WI-FI.
https://habr.com/ru/amp/publications/727868/
07.08.2023 В России массовая блокировка VPN протоколов OpenVPN и WireGuard по протоколу. ☝️ Не знаю, что сказать. Таков путь. UPDATE: С мест сообщают фильтруются все каналы "вовне" с мобильных. Режутся и L2TP и PPTP
Кстати, для мобильных устройств есть хорошая, и рабочая штука как "Orbot". Он на основе тора работает, те же мосты для подключения туда вводишь. Но фишка его, что он работает как впн. Причём, можно настроить для конкретных приложений. Вот он как работал, так и работает, кстати Нет. Сейчас и тор у меня летает. Как и его впн. Там важно мост не встроенный подключать, потому и тормозит — его в России официально заблочили. А вот естли мост у официального бота в телеграм запросить, то всё летает, уверяю Вобщем, если андроид, то в плэймаркете ищите приложение "Orbot". Ставите, в настройках рабочий мост от тор вводите и ставите галочку "использовать как впн" https://t.me/GetBridgesBot
https://habr.com/ru/articles/735536/ - 3X-UI: Shadowsocks-2022 & XRay (XTLS) сервер с простой настройкой и приятным интерфейсом
https://habr.com/ru/news/753424/ - Спустя двое суток в РФ частично прекратился массовый сбой в работе VPN-протоколов OpenVPN и WireGuard - 8 августа 2023 года
https://github.com/ValdikSS/GoodbyeDPI - GoodbyeDPI — утилита обхода Deep Packet Inspection
https://torscan-ru.ntc.party/ https://github.com/ValdikSS/tor-relay-scanner Ранее здесь размещался сканер доступных релеев Tor, который более не работает в браузере: изменился метод блокировки, препятствующий тестированию работоспособности релеев браузером. Продолжает работать отдельная программа для той же цели: Tor Relay Scanner. На этой странице теперь публикуются релеи, работающие в России через всех провайдеров (в т.ч. с системой ТСПУ).
https://www.reddit.com/r/AmneziaVPN/comments/15mgc11/blocking_of_openvpn_and_wireguard_in_russia/ 6 августа начались проблемы с протоколами r/OpenVPN и r/WireGuard VPN в r/russia . Блокировка разных протоколов VPN происходит так: L2TP (UDP 1701, без IPsec): пакеты управляющих сообщений L2TP (самые первые пакеты сеанса) не доходят до сервера через порт 1701 IPsec (UDP 500/4500): пакеты UDP блокируются после нескольких переданных пакетов во время установления сеанса. PPTP (TCP 1723): TCP-соединение разрывается после того, как сервер отправляет ответ Start-Control-Connection-Reply на первый пакет в сеансе Start-Control-Connection-Request, не достигает установления туннеля GRE. OpenVPN UDP: пакеты UDP блокируются после нескольких переданных пакетов DATA после настройки сеанса OpenVPN TCP: TCP-соединение прерывается после передачи нескольких пакетов DATA после настройки сеанса. WireGuard: пакеты UDP блокируются после получения 5 пакетов транспортных данных с сервера.
Протокол WireGuard блокируется очень легко. OpenVPN немного сложней, но в целом оба варианта поддаются блокировке без особого труда. На сегодняшний лидеры блокировок VPN это Россия, Китай, Узбекистан, Иран, Египет и Туркменистан. Последний выделяется особо: они просто заблокировали всё и ввели вайтлисты — тут мы пока проиграли, за остальные рынки можно побороться. Но и к вопросу Туркменистана мы ещё вернёмся. Для успешного старта мы решили взять как можно больше доступных и проверенных протоколов (Shadowsocks, VLESS, VMess и Trojan). Следующий рубеж, который мы себе поставили — это открыть интернет пользователям из Туркмении. Туркменистан — это endgame в плане интернет-цензуры, в стране по сути действуют вайтлисты. Это ситуация тяжелее, чем в Китае, чем в России, чем в арабских странах — чем везде на планете, за исключением КНДР, где вместо интернета действует интранет. Какое-то время у нас в Туркмении рабтали stealth proxies, но потом довольно малоизвестный провайдер попал в бан со всей своей ASN — и сейчас мы ищем способы возобновить работу и помочь людям обходить блокировки. Всё, что можем сказать — что способы будут нестандартные, out of the box, мы будем выходить за наши границы. И также мы будем работать и бороться с цензурой в РФ.
WireSock c UI - опции для проксирования handshake wireguard WireGuard handshake over SOCKS5 proxy parameters: Socks5Proxy – specifies SOCKS5 proxy endpoint Socks5Proxy = X.X.X.X:1080 Socks5ProxyUsername – specifies SOCKS5 username (optional) Socks5ProxyPassword – specifies SOCKS5 password (optional)
Про отслеживание OUTLINE за пользователями:
Outline собирает ip серверов — всегда. Outline может собирать логи — если вы настроите. https://support.getoutline.org/s/article/Data-collection Outline имеет только один протокол на борту. https://habr.com/ru/companies/amnezia/articles/531720/
кто про роутер с впн интересовался. завернул wg в ss по этой инструкции на кинетике, все работает https://habr.com/ru/articles/754926/ Как завернуть трафик Wireguard через shadowsocks на роутере
Открою инсайд жителям РФ. SSH-Proxy через CDN будет довольно долго жить
Как блочат shadowsocks: Для провайдера вы обычный HTTPS трафик, с помощью DPI он может узнать, что на сервере стоит Shadowsocks Так как SS подвержен Active Probing Cloak помогает ему защитится от Active Probing, ну и некоторые другие аспекты поднять
Сложно - решается просто. Ставите marzban на сервер и настраиваете все в гуе. Сам использую marzban (серверный гуй для настройки v2ray) + sagernet (андроид гуй) / v2rayA (linux гуй) через vmess tcp.
shadowsocks - outline: ss не попал в бан потому что используется в бизнесе и экономической сфере Тесты блокировок направлены на то, чтобы исключить фактор отваливания банков и всего остального, чтобы блокировался только VPN у народа WG + OpenVPN, условно, 90%, а носков 3%, остальные 7% еще на каких-то протоколах тем не менее, они его блокировали по websoket, со всем остальным а чистый и по https нет
про outline: 25 октября 2022 года разработчики Outline внедрили гибко настраиваемое решение для своего клиента [56]. https://github.com/Jigsaw-Code/outline-client/pull/1454 В январе 2023 года разработчики Outline сообщили, что количество серверов Outline (которые включили анонимные метрики) удвоилось с тех пор, как они приняли описанное выше средство защиты
Кстати блокировка WG все еще обходится простым добавлением мусора перед хенд шейком, может стоит в клиент добавить эту фичу? Не на всех провайдерах, но работает, да Касательно фич для WG - ждите анонсов и новостей ;)
https://github.com/bol-van/zapret Подробнее про DPI : https://habr.com/ru/post/335436 https://geneva.cs.umd.edu/papers/geneva_ccs19.pdf
https://github.com/database64128/swgp-go Simple WireGuard proxy with minimal overhead for WireGuard traffic.
Для увеличения скорости можно немного настроить сервер дополнительно (если умеете) и тогда скорость может вырасти: https://habr.com/ru/articles/731608/comments/#comment_25497378 Для увеличения производительности можно настроить на сервере Bottleneck Bandwidth и Round-trip propagation time (BBR) congestion control algorithm: echo "net.core.default_qdisc=fq" >> /etc/sysctl.confecho "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.confsysctl -p как насчет более глубокого тюнинга? net.core.rmem_max = 67108864 net.core.wmem_max = 67108864 net.core.netdev_max_backlog = 10000 net.core.somaxconn = 4096 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_fin_timeout = 30 net.ipv4.tcp_keepalive_time = 1200 net.ipv4.tcp_keepalive_probes = 5 net.ipv4.tcp_keepalive_intvl = 30 net.ipv4.tcp_max_syn_backlog = 8192 net.ipv4.tcp_max_tw_buckets = 5000 net.ipv4.tcp_fastopen = 3 net.ipv4.tcp_mem = 25600 51200 102400 net.ipv4.udp_mem = 25600 51200 102400 net.ipv4.tcp_rmem = 4096 87380 67108864 net.ipv4.tcp_wmem = 4096 65536 67108864 net.ipv4.tcp_mtu_probing = 1 net.ipv4.tcp_slow_start_after_idle=0
https://shadowsocks.org/doc/advanced.html Advanced configurations https://romantelychko.com/blog/1300/
Hysteria/naïve/tuic/pingtunnel/vtun на своём сервере
Проксируем OpenVPN через Shadowsocks или чиним OpenVPN во время блокировок - OpenWRT https://habr.com/ru/articles/760066/
Если вы живете в стране, где ничего не блокируется, то ставьте WG, если бликируют, то ставьте пока OpenVPN over SS, он быстрее по скорости, чем Cloak
VLESS с Reality на Xray сервере не режет скорость. В этом его преимущество перед Cloak от Amnezia.
Скорость падает по многим причинам - могут резать скорость по заголовку, указанному в настройках Cloak, может локация не лучшая для Cloak или мощности сервера не хватает, но вообще низкая скорость именно OpenVPN + Cloak, это стандартная история
"Китайские комбайны вроде v2ray, xray, sing-box сотоварищи это, конечно, здорово в плане инновационных протоколов и широких возможностей в инкапсуляции трафика и функциональности по маршрутизации, но коммерческую VPN-инфраструктуру на них не построишь, они рассчитаны на домашнее использование, максимум на любительский сервис для пары десятков друзей. И это не столько из-за отсутствия унифицированных кросс-платформенных утилит с графическим интерфейсом, скудной документации, кучи протоколов со своими нюансами и недостатками, а из-за отсутствия понятия сессии, нормальной аутентификации, и непосредственно самого VPN — все эти программы являются либо туннелями с socks/http-прокси фронт/бэкендом (shadowsocks, v2ray), либо вовсе туннелируют один порт (cloak). Они не туннелируют протоколы, отличные от TCP и UDP (и то не все), не позволяют принимать входящие соединения, часто нарушают работу VoIP/WebRTC/NAT Punching (т.к. не сохраняют порт UDP), требуют настройки каждой программы на использование прокси отдельно, либо реализуют userspace IP-стек с псевдо-сетевым интерфейсом, что только увеличивает костыльность решения. Сделаны они так из-за того, что программировать прокси, т.е. работать с потоками данных гораздо проще, чем обрабатывать отдельные пакеты, как того требует VPN."
Всмысле не туннелируют. Vless например поддерживает TCP, KCP, WS, H2, QUIC, gRPC
Масштабная блокировка инструментов обхода цензуры на основе TLS в Китае #129 https://github.com/net4people/bbs/issues/129 Начиная с 3 октября 2022 года (по пекинскому времени) более 100 пользователей сообщили, что по крайней мере один из их серверов обхода цензуры на основе TLS был заблокирован. Сообщается, что заблокированные протоколы обхода на основе TLS включают Trojan , Xray , V2Ray TLS+Websocket , VLESS и gRPC . Однако мы не получили ни одного сообщения о блокировке naiveproxy . Ниже приведены краткие сведения об этом блокирующем событии и нашей конъюнктуре. Блокировка осуществляется путем блокировки определенного порта, который прослушивают службы обхода. Когда пользователь меняет заблокированный порт на незаблокированный и продолжает использовать инструменты обхода, все IP-адреса могут быть заблокированы. Стоит отметить, что их доменные имена не добавляются в черные списки DNS или SNI GFW. Хотя большинство пользователей сообщают, что их порт 443 был заблокирован, некоторые пользователи сообщили, что их порт, отличный от 443 , который прослушивают службы обхода, также был заблокирован. Хотя большинство заблокированных серверов находятся в дата-центрах некоторых популярных провайдеров VPS, по крайней мере один пользователь сообщил о блокировке сервера в жилой сети в Европе. В некоторых случаях (не во всех случаях) блокировка кажется динамической, поскольку веб-браузер все еще может получить доступ к портам обхода, но инструменты обхода не работают. Все приведенные выше наблюдения убедительно указывают на то, что GFW действительно может точно идентифицировать и блокировать службы обхода, а не просто блокировать порт 443 или блокировать популярных провайдеров VPS. Основываясь на информации, собранной выше, мы подозреваем (без эмпирических исследований), что блокировка, возможно, связана с отпечатками TLS этих инструментов обхода. Возможно, разработчики захотят изучить uTLS . Полезными также могут оказаться эта группа для чтения статей , это резюме и этот пост об отпечатках пальцев TLS. Мы выясним, действительно ли GFW использует отпечатки TLS, отправленные этими клиентами, для идентификации протоколов обхода. В то же время, если у вас заблокирован какой-либо сервер или у вас есть какие-либо доказательства, которые могут подтвердить или опровергнуть нашу гипотезу, мы призываем вас поделиться своими комментариями публично или конфиденциально. Нашу личную контактную информацию можно найти в нижнем колонтитуле отчета GFW .
26.09.2023 теле2, работают: овпн овпн овер клоак ipsec не работает: wg остальные протоколы (которые не относятся к амнезии), тоже функционируют штатно так что пальму первенства по блокировкам держат пока пчелайн и мегафен
https://habr.com/ru/articles/479146/ - Сравнение производительности инструментов обхода блокировок\VPN
27 сентября 2023 На моем VPS поднят VPN сервер по протоколу IPSec IKEv2. С недавнего времени перестал работать VPN через мобильных операторов России (Мегафон, MTS) На других провайдерах связи работает.
Сегодня во второй половине дня все операторы мобильной связи накрыли Ikev2 точно, наглухо и даже с коннектами на российские IP, даже в датацентр, точно расположенный в России. Причем коннект есть, трафик не идет. В жэти же точки со стационарзной связи все работает отлично. Я знал конечно, что будут 2-ой и 3-ий и 4-ый этапы внедрения, но чтобы тааак быстро... Тепреь очередь за частным стационаром, а последний этап коорпы с разрешением через какое-нить министерство.. пипец... ведь не зря они заплатили китайцам... так быстро так грамотноо капец. Я в курсе. Но ты не понял главного. Раньше в фильтрации участвовала пара: протокол + IP и все ВПН внутри России с мобильного инета бегали прекрасно, всегда, даже русские AS-ки но находящиеся за рубежом работали. Теперь они убрали IP и оставили только протокол. Те ikev2 не работает сегодня вообще как сущность, не важно куда ты коннектишься с мобильного. Это просто шах и мат. Еще раз, в последний говорю. ikev2 работал прекрасно со всех мобильных сетей через все росийские серверы, чушь не неси, у мен 100 человек круглосуточно онлайн до сегодня работали прекрасно. Это вообще то уже касается корпоративных дел внутри страны. Сегодня это перекрыли.
вопрос по скорости взят случайный сервер в испании как конечный пункт тестирования. чистая скорость от хостера = 200 (d) / 200 (up) чистая скорость от меня без впн = 70 / 50 скорость с впн+клок = 16 / 40 16 - слишком печально... особенно учитывая, что 40 на апе есть... что-то можно подкрутить? bbr включить Включение производится добавлением двух параметров ядра в файл /etc/sysctl.conf sudo nano /etc/sysctl.conf Необходимо добавить эти два параметра в самый конец файла. net.core.default_qdisc=fq net.ipv4.tcp_congestion_control=bbr После чего включить добавленные параметры ядра командой: sysctl -p к сожалению.. не помогло. .даже стало хуже.. DL=12мбитс вот только делать это надо на обоих концах, иначе толку будет не особо ну и работать это будет только на линуксе на клиенте (линуксе) это тоже надо делать, иначе смысл стремится к нулю В этом и суть TCP Congestion Control как такового
Для iOS Shadowrocket шикарен и работает как часы. То есть для Mac пока им не удалось такого результата добиться, может поправят. Так как на SR, конечно, можно очень тонко настроить маршруты.
Вопрос@предложение: планируется ли поддержка т.н. тайлов для андроида? https://developer.android.com/develop/ui/views/quicksettings-tiles Быстро включать-выключать ВПН, когда пользовался серфшарком, было удобно! Спасибо
Друзья, а почему все смотрим активно в сторону китайских Xray и тд... Но уже очень давно существует и очень круто в данный момент работает даже на блокировках история OpenVPN + XOR обфускация?? Есть сложности конечно в клиенте. Но работает вообще без всяких проблем Потому что во многих случаях, если заблокируют IP - то никакой XOR не поможет И сейчас многие инструменты создаются как раз с учетом того, что надо бы и IP как-то защитить От блока
29.09.2023 Роскомнадзор заблокировал все VPN по протоколу WireGuard. О прекращении работы протокола WireGuard сообщили абоненты МТС, «Билайн», «Мегафон», «Теле2», Yota, Skynet, «Акадо», «Трайтек» и «Эр-Телеком». Кроме того, блокировку ведут и региональные провайдеры. Несколько источников подтвердило, что в течение нескольких дней Роскомнадзор мобилизует свою работу на блокировку VPN. “Поставлена задача максимально блокировать VPN сервисы к декабрю. После чего блокировке будут подвергнуты отдельные сегменты Youtube и Telegram”. Источник также не исключил блокировку WhatsApp.
socks (и 4, и 5) не использует шифрование и провайдеру через него будет прекрасно видно куда ты там коннектишься
Как заблокировать трекеры и торренты для VPN: можно реализовать через 3X-UI: https://github.com/MHSanaei/3x-ui https://github.com/MasterKia/PersianBlocker
Друзья! Мы залили бета-релизы AmneziaVPN 4.0.8 в Google PlayMarket и Apple TestFlight! И в этих релизах мы добавили поддержку нового протокола AmneziaWG!!! Что такое AmneziaWG? Это наш форк протокола WireGuard, в котором добавлено несколько степеней защиты от детектирования и блокировок. То есть AmneziaWG такой же быстрый как обычный WireGuard, имеет такое же супер низкое энергопотребление, но его намного сложнее заблокировать. Если в кратце, то мы использовали следующие техники в AWG: - перед установкой соединения отправляет мусорные пакеты с рандомными данными - сам пакет установки соединения тоже содержит некоторое кол-во мусорных байтов - заголовки пакетов изменены. А теперь, самая изюминка - всё это настраивается в конфиге! Этот протокол будет ооочень сложно заблокировать, так как у всех будут разные параметры, разные заголовки пакетов, разное кол-во мусорных пакетов. Мы уже успели немного потестить наш AWG, и есть первые подтверждения, что он работает даже в Китае! Многие в последнее время столкнулись с проблемами подключения к openvpn/wireguard, - это скоре всего связано с попытками ограничить доступ к сети интернет, наша команда исследовала данный вопрос и готовы предложить решения данного вопроса. Инструкция по решению данной проблемы очень проста! Как попробовать эти бета версии: 1. На Android - нужно подписаться на бета-версии в PlayMarket и обновиться до 4.0.8 - https://play.google.com/store/apps/details?id=org.amnezia.vpn 2. На iOS - приложение версии 4.0.8 доступно в TestFlight - https://testflight.apple.com/join/cQ1ndT9p
outline для игр: стандартный shadowsocks клиент работал только в режиме системного прокси и онлайн игры запускались в обход настроек системного прокси и просто их игнорили. Скачал норм клиент nekoray, включил режим TUN, теперь все работает как положено))
Я читал доки и форумы по VLESS на китайском (с переводчиком:) - это тот же cloak только сбоку - и про маскировочный сайт могу сказать следующее: 1) сайт должен быть в той стране где VPS: —а) во-первых это не вызывает подозрения у DPI: ходите на сайт янекса через голландский IP? непорядок. Ходите типа на голландский новостной сайт? нуок. —b) во-вторых, нужен такой маскировочный сайт, чтобы пинг до него от vps быть минимальным, в идеале меньше 3мс — это существенно ускоряет первый коннект и убирает фризы. 2) желательно, чтобы маскировочный сайт не имел серверов в вашей стране (РФ), иначе DPI вычислит расхождение (чего это вы ходите на гугл через германский IP если он из российского IP доступен). Нам до такой умной DPI ещё далеко, а китайцы на этом уже палятся. Как убедиться? Пропинговать маскировочный сайт из дома и из VPS — ip должен быть одинаковым.
Есть ещё лайфхак) Для vless подтверждено, для Cloak надо проверить. Если в сервер для Cloak, под который маскируемся вписать telegram.org и подключить у оператора связи безлимит на Телегу (или мессенджеры), то трафик в тот момент, когда VPN активен, не будет тарифицироваться)) Таким не хитрым способом можно получить безлимит)) Инфа не 100%, надо проверять. Но с обфускацией для vless это работает))
Проверил - маскировка под телегу превращает тинькофф-мобайл с безлимитными мессенджерами в полный безлимит. Проверил на vless, на cloak пока нет возможности
Желательно что бы: один ключ - одно устройство. Всегда сможете отозвать ненужных. А так же есть ограничения протокола. Например у WG, один ключ может использоваться только на одном устройстве в реальном времени.
У меня xray + vless с xtls-vision дают 200 мегабит и шифруют не хуже. Дело в том, что мне нужно знакомым настроить впн "чтоб работало и в твиттер пускало". И вроде по началу работало, но 2 мегабита - это нежизнеспособное решения.
Cloak не резал бы так сильно скорость, если бы не использовался в связке с OpenVPN, тут просто так сложилось, что и OpenVPN TCP медленный, так его еще и в Cloak заворачивают, которые еще сильнее режет скорость В целом, если использовать SS + Cloak, то должно быть приятнее
Если прятаться не надо, то WireGuard с конфигом Warp+ работает и позволяет открывать что угодно, твитеры-фесбуки Тока warp давно уже по сигнатурке блокают. Хотя умельцы на 4pda регулярно его пересобирают. Я же сказал: warp+ через конфиг WireGuard.
Кстати статью на хабре читал, когда узнавал про блокировку по сигнатурам хендшейков вайргарда и там парень рассказывал как раз о том, что есть вариант добавлять мусорных пакетов или увеличивать первые блоки, чтобы их не задетектили. И вот он там что-то говорил про меньший размер MTU, чтобы влезть с этим всем. Тогда непонятно было, но теперь чуть яснее о чем речь была.
Добрый день. Подскажите при помощи amnezia можно построить локальную сеть как на WireGuard? Zerotier. Tailscale.
Привет, я думал в Пекине сильные блокировки(psiphon работал сносно), но сейчас в Шанхае полная шляпа, amnezia, psiphon, lantern, не работают совсем, outline что то еле еле грузит, сообщения в тг отправляются чепез минут 5. Мобильный интернет китайская сим. Причем я заметил, поналачу когда поставил outline или psiphon все летало, но чнрез какое то время убивается в ноль. Ощущение что там стоит уже не dpi а ai, который видит что то, обучается, а потом рубит нахрен... если такое будет в рф это ад...
SS это прокси. OpenVPN это VPN OpenVPN, завёрнутый в SS, работает как VPN
Всем привет! Увы не смог побороть низкие скорости через amnezia vpn. В итоге установил VLESSсXTLS-Reality и ни о чем больше не жалею, китайцы данный протокол не научились детектить, а мы и подавно не сможем), спасибо данной группе за помощь, многое подчерпнул для себя в процессе изучения матчасти. Всем удачи!
и кстати провайдеры видят SNI в начале TLS рукопожатия в https через DOH не видят ДоХ - одно, проксирование - другое, SNI - третье ECH (ex. eSNI) провайдер, да, не видит, но DoH для него рекомендуется не потому что DoH как-то защищает заголовки самого запроса к сайту, а потому что для того чтобы проверить поддержку ECH на сайте браузер делает DNS-запросы, которые без DoH провайдер может подделать
Особенности проксирования через CDN/Websocket/gRPC для обхода блокировок https://habr.com/ru/articles/761798/
на хабре можно задать, там mircleptr все знает:) под его статейками или в директ: https://habr.com/ru/users/MiraclePtr/publications/articles/
Ну я сделал vless. Он маскируется под ресурс. Если я на свой впн лезу браузером, он сразу же ругается, что "да чел, я вижу серт, но он же не от твоего dns имени, хоть и валидный." И если соглашаешься, то да, он редиректит на верный сайт меня, на маскировочный. Но вот факт того, что бразуер же норм видит, что этот серт не принадлежит этому моему " сайту" (впн) этож ппц по моему, разве DPI это не так же легко определит? Вот в чем вопрос =) DPI также на сайт полезет - опа да есть серт, но серт не от этого ресурса а от того, на который редирект по сути дальше идет. Это проблема. И ее никак не пофиксить. =( Работает не так Dpi не как браузер будет смотреть. Для проверки vless надо в hosts файле указать маскируемый домен и ip твоего сервера. Зайти на маскируемый сайт. Ошибок быть не должно
Господа! Новости из будущего, пока не проснулись. Со стороны теле2 и некоторых местных проводных провайдеров наблюдается блокировка ip, где раньше были классические ВПН (опенВПН, вг). Блочится именно ip. На мегафоне, мтс, билайне всё пока работает в штатном режиме. Проблема наблюдается на двух серверах, которые были засвечены на классических протоколах. Vless на незасвеченных работает нормально..
Хз. У меня Ростелеком. Вообще никаких проблем. Даже мой старый древний OpenVPN работает, на котором еще человек 30 болтается
Аутлайн уже по сути можно хоронить как и wg, amnezia wg и vless имеют перспективу хоть какую-то
Класс, на форуме кинетика от этого автора оказалось и более легковесное решение с shadowsocks + simple-obfs описано. А то с КВАСом непонятно с DNS, по мануалу похоже что без отказа от встроенного DoH в кинетике не обойтись
VLESS - это протокол, разработанный авторами XRay (а не наоборот, как вы говорите).
VLESS появился в 2020. А Reality (расширение VLESS и XTLS аналогичное Cloak'у) - в 2023. А Shadowsocks по сравнению и с Cloak, и с VLESS/XTLS это вообще игрушка. Ну и у VLESS вариантов использования гораздо больше, например, Cloak вы не пропустите через CDN, а VLESS легко заворачивается в gRPC или websockets. И да, Project V (V2ray) и Project X (XRay) - это тоже разные проекты. Первый по сути дела загнулся, второй активно развивается.
если VLESS+Reality, то там время отклика может сильно зависить от пинга между вашим сервером и сайтом, под который маскируетесь. а так, по скорости VLESS без проблем выдает 100-150 мегабит даже на дохлом сервере
Нет, reality не будет работать с CDN by design, потому что CDN'ы сами терминируют и перешифровывают TLS-трафик - вы теряете данные ClientHello, на которых основан сам принцип Reality.
Создаем свой VPN с защищенным от блокировок протоколом AmneziaWG, или WireGuard на максималках https://habr.com/ru/companies/amnezia/articles/769992/
Мне вот эта реализация интересна, почему-то нигде не нашел её упоминания https://gitlab.torproject.org/tpo/anti-censorship/pluggable-transports/webtunnel это банальный туннель через вебсокеты. всякие китайские прокси поддерживают такое очень давно и уже не считают надёжным вариантом
VLESS Reality сейчас самый "технологичный" и cloak не плох
На юге РФ блокируют Shadowsocks https://habr.com/ru/news/770840/
В чем проблема с безопасностью XTLS? Он же простой как топор, там просто нечего сделать "не так" :) Ну и да, Reality может работать и без XTLS, с этим никаких проблем. Но с XTLS лучше - просто потому что XTLS это на сегодняшний день единственная возможность защита от детектирования TLS-in-TLS. какие гарантии, что при ручном анализе трафика нельзя будет определить ресурсы, которые посещал человек под VPN? какие гарантии, что в один прекрасный момент, XTLS не сбойнет и не снимет шифрование с HTTP трафика или любого другого, что приведет к раскрытию персональных данных это протокол, который делали китайцы, которые даже не думали над его безопасностью, и это не мои слова. я общался с ними, и мне ясно дали понять, что их протоколы не стоит использовать, если цель стоит, передать конфиденциальные данные.
это миф, что "VLESS отсутствует шифрование".VLESS практически всегда использует в качестве транспорта TLS, то есть передаваемый трафик зашифрован. если VLESS используется вместе с XTLS-Vision, то когда прокси определяет, что трафик уже зашифрован (коннект к точке назначения через TLSv1.3), то он просто не будет шифровать его повторно ещё раз. А так, как уже выше написали - обычный Shadowsocks (в том числе 2022) Роскомнадзор при необходимости грохает вместе со всеми другими "неопознанными" протоколами. Протоколы с маскировкой под HTTPS в этих условиях гораздо надёжнее.
Удалось весьма (от 3 раз, упёрлся в свой домашний канал) ускорить OVPN over Cloak через данную инструкцию: https://shadowsocks.org/doc/advanced.html#optimize-the-shadowsocks-server-on-linux Но hybla надо поменять на bbr и добавить net.core.default_qdisc = fq в блок с net.core Ещё обнаружил, что Amnezia как-то работает не замечая ufw, скорее всего сама порты открывает и слушает, не знаю. На входящие открыт только ssh, но VPN работает нормально. Но с докером Amnezia работает только через root, иначе ошибка. Это я про установку протоколов/контейнеров при настройке сервера с приложения. Я тоже этот момент с портами не могу понять. Вроде ufw включён. Вроде разрешены только некоторые порты. Но впн везде проходит
Всем привет. Разрабы, вы планируете добавлять в приложение поддержку vless протокола? Во время событий в аэропорту Махачкалы, телегу и ВПНы заблокировали в Дагестане и соседних гоородах, ваш ВПН не справлялся с задачей, хотя я настроил его на максимальную цензуру со стороны власти. Только vless протокол помог
по микроту моя конфигурация /interface bridge add name=containers /interface veth add address=172.17.0.2/24 gateway=172.17.0.1 gateway6="" name=veth1 /interface bridge port add bridge=containers interface=veth1 /ip address add address=172.17.0.1/24 interface=containers network=172.17.0.0 /ip firewall nat add action=masquerade chain=srcnat comment="Outgoing NAT for containers" src-address=172.17.0.0/24 /container mounts add dst=/etc/wireguard/ name=wg_config src=/wg /ip firewall nat add action=dst-nat chain=dstnat comment=amnezia-wg dst-port=51820 protocol=udp to-addresses=172.17.0.2 to-ports=51820 /container/add cmd=/sbin/init hostname=amnezia interface=veth1 logging=yes mounts=wg_config file=microtic-awg-arm7.tar там еще awg-arm7: cd amnezia-wg; GOOS=linux GOARCH=arm GOARM=7 make; cd .. на awg-x86: cd amnezia-wg; make; cd .. поменять надо. Ну и Go поставить
AWG быстрее SS-2022 с 2022-blake3-aes-256-gcm? Должен быть, да
Всем привет. Кто-нибудь настраивал Split Tunneling по приложениям? Нужно на винде пустить через впн траффик только из одного из браузеров, весь http/https через впн гнать не вариант. Есть идеи как такое провернуть? подними squid или 3proxy и используй в браузере SwitchyOmega. там можно как полностью пустить через прокси так и нужные сайты чтобы открывались через прокси Использую Shadowsocks -> Shadowsocks и в ярлыке для хрома дописал --proxy-server=socks5://127.0.0.1:1080. Теперь хром идёт в прокси а остальные браузеры нет Proxifier
awg: Ну вообще протокол как бы не их, они просто взяли и прикрутили обфускацию хендшейк пакетов в стандартный wireguard.
VLESS поддерживает множество режимов передачи: TCP, gPRC, H2, quic, WebSocket, mKCP. Но так как XTLS, о котором мы поговорим немногим позже, в настоящее время поддерживает только TCP, то для нас,TCP, является единственно рекомендуемым, в настоящее время, режимом передачи
https://rozetked.me/news/31344-v-perechen-blokirovki-vpn-protokolov-roskomnadzora-vpervye-voshel-shadowsocks В перечень блокировки VPN-протоколов Роскомнадзора впервые вошёл Shadowsocks Shadowsocks отличается от OpenVPN и WireGuard наличием механизма обфускации: протокол Shadowsocks имитирует обычное подключение по HTTPS к удалённому серверу. Это затрудняет обнаружение и блокировку VPN-сервисов системами глубокой фильтрации трафика, которые в том числе использует Роскомнадзор. На базе ShadowSocks работает, например, инструмент для создания собственного VPN-сервера Outline от Google. Блокировка Shadowsocks через анализ трафика будет очень непростой из-за обфускации — высоки риски затронуть другие, вполне легальные сервисы», — источник «Коммерсантъ»
Роскомнадзор будет блокировать протокол Shadowsocks — его создали в Китае для обхода блокировок Минтранс направил письма в адрес 381 организации транспортной отрасли от 10 ноября. Согласно им, РКН будет блокировать VPN-сервисы, использующие протокол Shadowsocks. Чтобы не нарушить работу компаний, использующих VPN, ведомство запрашивает у них информацию об используемом софте и IP-адресах. Из них составят «белый список», разрешенный к работе.
Привет патриархи. Прочитал статью на хабр. Напишу как понял, а вы поправьте. Клиент умен, и сам ставит на удалённом сервере контейнеры, реализуются к примеру OpenVpn сервер и тд. Сам, отправляя команды по ssh в е настраивает в плане сетки, запускает нужные службы и тд. В итоге на vps поднимается openvpn в контейнере. Далее клиент сам строит туннель с ключами к серверу и на локалхосте заворачивает весь трафик в этот тунель? ага, в точку
Но он уже показывал себя хорошо и во время блокировок обычного wg – AWG продолжал работать В любом случае до блокировки VLESS Reality/Cloak ещё далеко
Мегафон Сибирь. Вчера ночью не работал ни оутлайн ни амнезия через любые протоколы. При этом интернет без ВПН был. Походу блокировку тестируют.
Подскажите, а чем вместе с Reality grpc лучше, чем просто tcp? Почему не выбрать что-то еще из транспортных? А то я не особо понимаю gRPC самый быстрый в плане задержек WS средние задержки, высокая скорость, менее безопасный mKCP - быстрый, маленькие задержки, памяти много требует на телефоне
Сам ковыряю панели сейчас. Не очень понял из сообщения выше, что там x-ui вешает сам на 443, если каждое подключение надо руками делать и если 443 порт занят, он не даст на него повесить ещё раз. То есть tcp, WS и gprc на один порт не сделает, нужна прокладка из nginx. Hiddify создаёт все возможные подключения сам, как я понял на 443 порт, но тут надо проверить. Их можно поднастроить, какие-то отключить. Разные домены вписать для разных случаев. Да, в приложении hiddify можно подпиской или ссылкой всю пачку подключений сразу кинуть, потом выбирать, через что подключаться. Но и в другие приложения можно тоже загрузить, просто не пачкой, быть может. Есть типа личного кабинета пользователя. То есть у юзера один ID и на нём куча вариантов подключения, а не так, что надо в каждом подключении заново юзера делать. В целом, Hiddify наиболее подходит для массового удобного распространения в плане конечного пользователя. Марзбан не смотрел пока.
Ну марзбан минималистичен, но его надо допиливать. В плане GUI так точно. Через 443 nginx по умолчанию не проксирует. Да, прикольно что разные сервера можно подключать дополнительно.
Это надо делать форк и под себя пилить сразу сборку.
Hiddify пока единственный, кто пускает всё только через 443 сразу из-под коробки.
https://roskomsvoboda.org/post/nov-poln-rkn-block-vpn/
https://habr.com/ru/articles/710980/ https://habr.com/ru/articles/727868/ https://habr.com/ru/articles/728696/ https://habr.com/ru/articles/728836/ https://habr.com/ru/articles/731608/ https://habr.com/ru/articles/735536/ (пожалуй, самая полезная статья) https://habr.com/ru/articles/757694/ https://habr.com/ru/articles/761798/ (может пригодиться во вторую очередь) https://habr.com/ru/articles/770400/
Trojan детектируется изи: https://github.com/XTLS/Trojan-killer
Китайская статья на тему поднятия сервера на Trojan/Trojan-Go https://iyideng.fun/black-technology/cgfw/trojan-server-building-and-using-tutorial.html
На сколько я вижу сейчас картина такая: Shadowsocks - рандомный поток данных (подвержен блокировке) VLESS - маскируется под HTTPS, имеет проблемы со стабильностью работы, предлагает расширенный функционал в виде XTLS Trojan - стабильная версия VLESS без излишних функций Cloak - если надо просто обойти ограничения и плевать на скорость работы
Large scale blocking of TLS-based censorship circumvention tools in China #129 https://github.com/net4people/bbs/issues/129
https://habr.com/ru/articles/778134/ - Domain fronting для чайников, и как его использовать для обхода блокировок
https://github.com/hiddify/Hiddify-Reality-Scanner - This is a TLS scanner that helps you scan across different networks and find the best Reality SNI for you based on a list of SNIs
https://github.com/TheyCallMeSecond/config-examples - Hysteria2, TUIC, Reality, ShadowTLS, WebSocket, gRPC, Naive and Warp installer script + client side config examples Есть ещё этот прикольный аналог панелями Но там через ssh настройка, без веб морды
Совершенно не разделяю Вашего оптимизма. Совершенно точно умеют блокировать WG и OpenVPN. По поводу SS из некоторых регионов уже писали, что есть трудности. То что в данный момент "всё работает" совершенно не говорит о том, что все будет работать в дальнейшем. То что сейчас развязали руки — значит просто что-то еще допиливают. SS блокировать не умеют. Или "пока не умеют". Но это не говорит о том что не научатся. Удаление приложений опять же довольно эффективный шаг. Как минимум для яблок, которых просто дохренища... В общем, причины для опасений явно есть
Я по этому вопросу не парюсь пользуюсь то что есть из самых продвинутых которые точно будут работать типо vless + xtls reality. Самый разумный подход. Решать проблемы по мере поступления. Прикрутите домен через CF, делайте бэкапы и поставьте свечку. Дай бог, если банхаммер догонит — сможете бесшовно перетащить клиентов)
