Как соединить мысли?

21

Тогда весь смысл Reality лишается.

www.google.com был приведён исключительно ради демонстрации логики, а не конкретный пример. Всем уже давно понятно, что маскироваться под ним смысла нет. Но та же маскировка, т. е. взять SNI соседа, не поможет, если они включат проверку на соответствие SNI к его IP-адресу по своим DNS-запросам. А маскироваться в качестве балансера у малоизвестного соседа выглядит даже более подозрительно, особенно если объём трафика к соседу не велик в обычное время (а в 99% случаев так и будет, никто не хостит крупные сайты на обычные пользовательские диапазоны).

22

Я думал что наоборот и нужно в той же подсети искать SNI. Я в этом не эксперт, Reality не я придумал. Но я просто знаю что процесс сверки DNS очень затратный и ненадежный. Много ложных срабатываний может быть по разным причинам.

Reality не подразумевает привязку домена. Он без домена работает. Я про это ещё из этой статьи разузнал.

Ну если включат, ок, но self-stealing тоже не очень надежен тогда, репутацию сервиса надо выращивать, иначе и заглушка не канает.

Пока-что всё равно об этом не стоит беспокоиться. Очевидно я предложил Reality именно потому что это де-факто стандарт сейчас, не нужно возиться с доменами и какими-то фейковыми сайтами.

23

А вы думаете, что текущие блокировки незатратные и надёжные? Если уж говорить про ложные срабатывания - вас не беспокоит тот факт, что РКН по факту заблокировал большую часть зарубежного интернета, подвергнув его 16КБ и динамическому блоку?

Он её подразумевает, только в отличие от VLESS+TCP+TLS необязательно привязать свой домен. Но привязка в какой-то форме существует. Когда вы маскируетесь под чужим доменом, для цензора это особо не отличается от привязки выбранного вами домена к вашему серверу.

Тогда и смысл говорить про Reality? Сейчас у многих прекрасно работает VMESS, Trojan, даже OpenVPN и WireGuard, если трафик от клиента до сервера идёт внутри РФ.

24

Как мне кажется, в идеале, есть есть возможность, не пользоваться никакими серверами-посредниками в обходах блокировок. Zapret пока эффективно пробивает ТСПУ, и самое главное самый крупный траффик в моей сети - он через себя пропускает. А в случае с Телеграмом, пускать трафик на единственный не замедленный IP.

Мне кажется это вполне логичным. В твоём трафике нет какого-то 1 конкретного IP, на который приходится 70-80% трафика, то и РКНу ты не будешь интересен.

25

Сам доступ напрямую к заблокированным ресурсам может, в теории, вызвать интерес от РКНа. Но пока что подобного я не видел. Да и обычный WARP до сих пор не заблокирован по IP-адресу, а там многие блокировки отсутствуют по сравнению с ШПД, хотя некоторые всё ещё есть.

26

Ответы даны для достижения цели, написанной в первом предложении:

  1. Как хотите.
  2. Не имеет значения.
  3. Правильно. По инструкции. (Но для цели этот шаг не нужен.)
  4. То, что вам комфортнее.
  5. Если посредством этого цель достигается, то почему бы и нет
  6. Дублирует п. 5.
  7. Не важно
  8. Когда вы достигаете цель
  9. Безопасно от чего? Если помимо достижения цели пользователи будут свершать преступления, то вас могут привлечь к ответственности как соучастника/организатора ОПГ.
  10. Не имеет значения.
  11. На достижение цели эти действия не оказывают влияния
  13. Нормально. Риск не меняется.
  14. Дублирует п. 5.
  15. Пока у цензоров нет такой задачи и проблему эту не решают. На достижение цели не влияет.
27

Лучше ли настраивать доступ через один зарубежный сервер или делать цепочку вида: Россия → зарубежный сервер (например, в Европе)? Чтобы выглядело как сервер — сервер.

Как лучше - никто не знает. Используете тот подход, который работает у вас. Если работает подключение напрямую к европейскому серверу - его и используйте.

Где лучше размещать основной сервер — у зарубежного провайдера или у российского? С одной стороны, зарубежный провайдер не подчиняется требованиям РКН. С другой — возможно, вероятность блокировки IP-адресов российских хостеров ниже.

Как повезет. Российские подсети тоже спокойно улетают в блок (см. вдсина)

Я слышал о схеме обратного подключения, это когда сервер за пределами России инициирует соединение с сервером внутри страны. Правильно ли я вообще понимаю принцип? Как это обычно настраивается?

Правильно. Настроить можно огромным количеством способов, самый примитивный - ovpn/wg/l2tp и прочие полноценные VPN (не прокси).

Что разумнее использовать для настройки: AmneziaVPN, 3X-UI, ручную конфигурацию протоколов? Amnezia кажется удобной, но при этом довольно ограниченной в плане гибкости настройки.

Зависит от ваших целей. Если вам не для коммерции, а чисто для ограниченного круга лиц - используйте то, что удобнее. Желательно еще что бы то, что вы используете активно обновлялось и следить за актуальностью версий на вашем сервере. Все же дыр в опенсорсных инструментах много.

Как вообще идея держать резервный сервер, например в Google Cloud, и маскировать трафик под Google-сервисы?

Плохая. Гугл доживает свои последние дни в РФ.

А основной сервер скрыть за Cloudflare?

Плохая. Cloudflare доживает свои последние дни в РФ.

Правильно ли я понимаю, что сейчас важна поддержка нескольких разных протоколов? Таких как VLESS, Shadowsocks, AmneziaWG, OpenVPN+Cloak.

Это уже вы решаете сами. Из плюсов - большее пространство для маневров, если какой-то протокол неожиданно отвалится. Из минусов - это все надо настраивать + сканеры и прочие актив проберы будут явно что-то подозревать, когда увидят кучу открытых портов.

Тут смешно, но всё же когда достаточно просто zapret?

Когда блокировка основана чисто на глубоком анализе пакетов и не смотрит на destination ip

Насколько безопасно выдавать доступ к своему серверу относительно большой группе людей (например, семье из 10–15 человек)?

Зависит от того, чем эти люди будут заниматься.

Если использовать сервер в России, лучше ли маскировать его под собственный настоящий сайт или, например, под инфраструктуру Яндекса (разместив его в Yandex Cloud)?

Ни разу не видел такого, что цензор каким-то образом смотрел контент сайта. По моему мнению - излишняя маскировка не нужна. Достаточно использовать протоколы, имеющие защиту от активного пробинга.

Правильно ли я понимаю, что если, например, бабушка случайно зайдёт в MAX с включённым VPN (даже если используется раздельное туннелирование), это может раскрыть всю схему? Есть ли способы с этим бороться (не оставляя бабушку без VPN)?

Всю схему раскрыть может. Способы бороться тоже есть - в соседней теме уже неоднократно они были расписаны, в т.ч. бесплатные, не требующие покупки дополнительных серверов.

Наверное, имеет смысл отдельно настроить MTProxy для Telegram, чтобы не приходилось постоянно включать VPN.

Смысла не вижу. Лучше настроить маршрутизацию на vpn и держать его включенным постоянно.

Может ли использование MTProxy каким-то образом скомпрометировать сервер?

В теории может.

Нормально ли направлять трафик YouTube через российский сервер, если на него напрямую нет таких блокировок? Или это тоже может повысить риск компрометации сервера?

Нормально.

Может быть, для YouTube вообще имеет смысл сделать максимально простую схему — например, настроить обычный WireGuard на российский сервер и использовать его только для этого трафика?

Максимально простая схема для YT - использовать запрет с готовыми стратегиями. Только если запрет не помог - уже думать с проксированием трафика через сервера.

Вспомнил ещё насчёт разных IP-адресов для входа и выхода у сервера, это ведь наверняка добавит проблем цензорам?

При условии, что цензор смотрит на IP - добавит. Но пока доказательств этого не было, а недавняя история с максом скорее показывает на плохие технические решения, чем на подсасование цензору.

28

он спрашивает про конечный сервер, а не про промежуточный. конечный сервер за бугром - даже у российского хостера IP-будет не российский, и Warp по anycast уйдет не в Россию.

а иметь конечный сервер в России - есть риск нарваться на ТСПУ у площадке где живет хостер или у магистралов.

нужно как раз на случай дальнейшего закручивания гаек и ТСПУ на площадке у хостера/магистрала. да и даже без ТСПУ до сих пор встречаются старые блокировки по IP.

балансеры Google Cloud разрешают domain fronting, там можно натурально коннектится к самому настоящему IP google.com, к которому подключаются еще миллионы других пользователей, и при этом проксироваться на свой serverless-контейнер.. ни одно Reality такого эффекта не даст и дать не может.

обычный “VLESS-XTLS-uTLS-REALITY, транспорт TCP” и слово “стабильность” в наше время не могут существовать в одном предложении. Тупо потому что этот вариант не имеет нормального мультиплекса и вследствии этого полностью умирает при т.н. “сибирской блокировке”.

29

однозначно цепочка

РКН блочит зарубежные ноды российских хостеров точно так же как и не-зарубежных. Поэтому если есть возожность - лучше именно зарубежный, причем малоизвестный и нераскрученный.
С российскими хостерами даже за бугром еще проблема в том, что если кто-то что-то накосячит (там другой вопрос у вас был про шаринг прокси с семьей и друзьями), то за задницу вплоть до уголовки возьмут вас. А зарубежные хостеры часто даже никаких данных не спрашивают и позволяют платить криптой.

да, правильно. как настраивается можно посмотреть тут (нужно сделать гугл транслейт с китайского): https://github.com/XTLS/Xray-core/pull/5101

в идеале руками, если есть время и терпение разбираться.

отличная идея, хоть и не дешевая. только надо использовать не Reality, а domain fronting: Давай разрушим эти стены, их здесь быть не должно… / Хабр

его уже давно блокируют (т.н. “16кб блокировка”)

на самом деле нет.
я бы взял комбинацию “что-то TLS-based по TCP”, “что-то типа QUIC по UDP”, “что-то типа неизвестное по TCP”, “что-то типа неизвестное по UDP”, и “что-то типа известное, но не TLS, а типа голого HTTP”. в идеале на разных адресах. чтобы собрать все комбо хватит обычного XRay.

В зависимости от того, насколько вы им доверяете.

Да. Способ бороться - цепочка серверов или хотя бы сервер с 2 разными IP на вход и выход.

Теоретически может.

Нормально, но лучше завернуть в Cloudflare Warp с сервера.

30

Мне кажется, что слать весь рф трафик в рф варп, это неплохой способ привлечь внимание к себе и к этой впс. А главное непонятно какая тут выгода, и зачем вообще рф трафик до этого сервера слать, а не выпускать его в директ на клиенте?

31

Зачем палить провайдеру вообще хоть что-то куда ты подключаешься? Все эти датацентры всё равно там рядом концентрируются в МСК, СПб, пинг минимальный. И потом, если разделять трафик ты как минимум железобетонно спалишь то что ты пользуешься прокси. А так все ресурсы будут думать что ты в условном МСК/СПб и ходишь через WARP, который используется резидентами по всему миру.

В директ с сервера пускать имеет смысл только доверенные сервисы, такие как YouTube / игры.

Я и Zapret пробовал, но меня взбесил хоп в ASN Ростелекома который полудохлый постоянно, поэтому я решил лучше проксировать трафик мимо этих дохлых хопов.

32

У меня была похожая идея с оптимизацией корреляции трафика с используемыми ресурсами.

YouTube фронтить через условный Rutube с характерным типом трафика. И по объему и при активном пробинге будут совпадать.
Real-time long-session игры - через реверс прокси к ним.
Мессенджеры - фронтинг через ВК/Макс, условно.
Любые HTTP(S) сайты - HTTPS прокси с фронтингом через потенциально высокозагруженный сайт.

Использовать те же протоколы что и они используют. Цель - приблизить энтропию общего трафика к правдоподобной при активном анализе.

Но это дорого, понатыкивать реверс-прокси с разными протоколами.

Очевидно не делать весь этот зоопарк протоколов на один и тот же адрес, будет очень странно. Один протокол вызовет подозрения - один пробинг и прокси раскрыт. Особенно если у сайта (какой-нибудь шоп) под который ты фронтишься потенциально не может быть всяких иногда QUIC, иногда UDP, иногда SSH, иногда что-то неизвестное.

33

если заворачивать ВЕСЬ трафик на прокси (пусть даже это первое звено внутри РФ) - это еще более железобетонный способ спалить то что ты ползуешься прокси. потому что при обычных юзкейсах, что на мобильниках, что на десктопах, никогда не бывает так, чтобы абсолютно весь трафик от абонента без исключения шел только на один и тот же IP-адрес. это не то что редфлаг, это натурально “смотрите все, смотрите, я использую прокси/vpn!!!1”.

34

А кто сказал что я иду на один и тот же IP-адрес? Сущесвтвуют всякие NAT, где куча пользователей с одного белого IP (который и видят опсосы) ходят на тысячи разных сайтов. Мой трафик к одному IP там просто в шуме растворяется.

На данный момент я не вижу никакого практического смысла в усложнении инфраструктуры балансировкой нагрузки на разные IP. Могут пост-анализом вынюхивать энтропию трафика и банить IP, но на практике это пока просто гипотеза. Не нужно лечить то что итак работает.

35

И конечный и промежуточный сервер можно в РФ поставить. Тут сразу и WARP, и потом апстрим какой-то с выбранной геолокацией (для сервисов с геоблоком) и ещё пинг чтобы игры всякие маршрутизовать будет меньше.

Ну ничего, Zapret настроите на сервере. Там хотя бы стабильно одну и ту же эвристику эксплуатировать можно будет.

VPS не VPS если он нормально связность с интернетом обеспечить не может без костылей.

Да, но внимание туда будет под микроскопом. Можно, разумеется.

А на что заменить предлагаете? Может у меня устаревшая информация уже, транспорт? Браузер обычно без мультиплексирования срёт TCP сессиями на каждый чих. Мультиплекс просто вам то-ли ускоряет, то-ли пропускную способность увеличивает.

XHTTP всякий пока sing-box не реализовал, видимо даже в Китае на это спроса нет. Всякие WS, gRCP каналы тоже это пока экзотика.

36

Вы реально считаете, что операторы не имеют доступа к своим NAT-роутерам? При необходимости (т.е. по запросу госорганов) они вполне смогут вычислить, кто подключился куда.

HTTP/2 и HTTP/3 работают с мультиплексированием.

37

По поводу sing-box.

Как прокси-движок он крут, да и в плане поддержки разных протоколов тоже. Но вот в контексте обхода блокировок я вижу Xray как более обкатанный и заточенный под обход цензуры инструмент. Оставил Xray как основное решение, но sing-box подкупает встроенным tun-функционалом, отличной работой с DNS, что достаточно удобно для схемы установки прокси на домашний роутер… но для любителей выжать максимум скорости tun не подойдет, схема tproxy+xray максимально эффективная.

Про выбор SNI: тут палка о двух концах. Искать в подсети хостера сайт и маскироваться под него - это генерация аномалии. Под известный ресурс - тоже аномалия: к ним пристальное внимание. Если уж заморачиваться (но, как будто бы, и не стоит), то лучше сделать несколько серверов с разными типами SNI (например, что-то для тяжёлого трафика, что-то - для мелочей).

Про self-steal. Мне это кажется сомнительным.
Сертификат, который вы получите, будет доступен в открытых базах. Что мешает РКН автоматически следить за этим и сопоставить всё: сайт, новый сертификат, аномальный трафик? Репутацию сайта тоже нужно наработать. Да и учитывая сколько сейчас вливают денег в ИИ для РКН, собственный сайт могут легко вычислить как ширму для прокси.

Сейчас блокировки идут не только по протоколам как таковым, но и по аномалиям в поведении. Один туннель на конкретный мелкий сайт (self-steal схема) + отсутствие легитимного зарубежного трафика - это ли не признак прокси-цепочки?

Думаю, что лучше взять несколько зарубежных малоизвестных серверов у хостеров, о которых никто никогда не слышал, и подключаться по уже обычному vless+reality (с разумным, подходящим под характер трафика, SNI). Это будет долговечнее, чем трёхэтажные схемы с мульти-IP серверами.

А для запаса можно держать сервера для всяких оккультных решений типа turn-proxy.

Вообще сложно об этом рассуждать, т.к. в каждом регионе свои приколы и настройки ТСПУ, и решения, соответственно, должны быть разными.

Советую все равно обзавестись своим сервером на Яндексе или ВК, аккуратно выбрав IP из белых списков - в Москве это вчера сработало :wink:

P.S. И не стоит забывать: чем меньше трафика уходит в прокси, тем меньше шансов попасть под внимание провайдера. Так что не забывайте делать сплит-роутинг там, где это возможно. В т.ч. и DNS сплит. Впрочем это работает только, если вы предприняли все остальные меры по маскировке))

38

Да, но мы сейчас не ищем абсолютной маскировки, его пока не существует. Даже в Китае и их мощностями там люди до сих пор всякими VMESS/Shadowsocks пользуются. sing-box на клиенте и на сервере - просто единообразие конфига. Я сначала сам поставил sing-box на клиенте, а Xray на сервере. Но потом запутался в DNS конфигурации на сервере и решил мигрировать на sing-box, чтобы одной простой документацией всё до винтиков настроить, чтобы мне самому было понятно как всё работает.

Поэтому для новичка будет проще простой TUN декларативно настроить, вместо всяких там прочих инструментов. Мне декларативность одного конфига в одном месте с одним (systemctl) способом запуске намного проще, как новичку тем более.

Я чёт не очень хочу, мне пофиг на сотовую связь, если что через чмакс-звонки по TURN сделаю, даже reverse-engineered реализация есть как инициировать всё это.

Если они белые списки на проводном интернете сделают - вот тут увольте, это станет последней для меня каплей.

В целом да, но мне важнее всё шифровать, пусть комар и носом не повертит, не видит куда и что я делаю. Приватность важнее.

39

Zapret никак не поможет при блоке по IP, особенно если блок без whitelist SNI.

и уж тем более не поможет при блоке “с той стороны”.

Ну значит в России все больше и больше VPS, которые не являются VPS. Рано или поздно они все станут такими.

лайтово - gRPC (там отличный мультиплекс), ну или XHTTP. заодно вместо reality-steal-from-yourself поставить на перед нормально веб-сервер.

ну здрасте. сейчас подавляющее большинство сайтов (особенно популярных, под один из которых вы вероятно маскируетесь через Reality, если там не селфстил) используют HTTP/2. В том же Хроме для HTTP/2 к одному домену по умолчанию мультиплекс до 100 параллельных запросов в 1 подключение. именно поэтому РКН и начал раскатывать “сибирскую блокировку” - потому что для большинства случаев обычные пользователи без прокси ее и не заметят.

дело не в этом, а в авторе sing-box - у него там NIH-синдром во все поля и огромный ангст на эту тему. Я даже более скажу, он в целом очень странный чел, не воспринимающий ни малейшего несогласия с его точкой зрения, и совершенно не понимающий, что если что-то не нужно ему, то это не значит что оно не нужно остальным, и сыпящий довольно сомнительными высказываниями. Был у меня уже опыт общения с ним, не советую.

40

Это не настолько сложно, как кажется. Одно дело - ставить file_browser от Caddy и под ним маскироваться - понятно, что ничего не выйдет. Но есть множество опенсурсных решений, которые как раз рассчитывают на многообъёмный трафик.

Как только РКН подключит блокировки по реверс-DNS запросам, это перестанет работать.

Не понимаю откуда у вас такие выводы, везде в интернете пишут, что VMESS и Shadowsocks уже давно заблокированы и легко палятся GFW.

Пока РКН не детектит TLS-in-TLS, можно пользоваться Reality без Vision с мультиплексированием. Но в долгосрочной перспективе лучше на другие решения перейти, это правда.