Вы не обижайтесь, но статья - ерунда полная. Censys хуже nmapа. У меня типовый xray на нестандартном порту - censys пишет “TLS Handshake Version Selected UNKNOWN”. Mieru висит на целом диапазоне портов - censys их вообще не увидел. Дай бог чтобы РКН сканировал сервера как этот censys.
Censys не показывает TCP порты, которые ответили только SYN+ACK, но показывает где произошёл обмен payload well-known протоколов.
Да я то это понимаю. Я про то что это не инструмент ни для для нас ни для РКН. Как только что-то нетиповое, так сразу "Version UNKNOWN” - хотя это обычный TLS сокет с валидным сертификатом от Lets Encrypt.
Совершенно не согласен. 90% блокировок которые я видел из-за реалити и совсем недавно лично столкнулся с блоком из-за порта 2096 (3x-ui подписки), а они отлично видны на censys. Сокс, хттп прокси, какой-нибудь OpenVPN access server тоже видны. Больше тупо не нужно. Ркн сканят ещё медленнее и меньше чем censys, агрятся только на самые популярные конфигурации, а на meiru и т.п. им пофиг.
Про nmap попробую добавить в статью если сам разберусь
Для реалити согласен, хотя я к нему отношусь со скепсисом. У меня глупый вопрос: зачем 2096 светить наружу? Клиенты напрямую же через него не ходят. Он нужен только для nginx, у него в конфиге есть что-то типа “proxy_pass http://127.0.0.1:2096”. Вот 127.0.0.1 и оставьте в фаерволле.
его автоматически открывает 3x-ui после установки. т.к. я не пользуюсь подписками то узнал о нём только лишь после того как глянул свой ip в censys
Привет, 0ка. Спасибо за информацию. Немного деталей для тех, кто отстал от ситуации. Если VPS где-то в ЕУ, при этом на соседних адресах, например, 200.200.1.130 - мой сервер, а по соседству на 200.200.1.х или 200.200.2.х сидит какой-нибудь сервис ТыНдекса, соответственно у меня в сни указаны этот домен ТыНдекса, вроде АПИ.СТОРАДЖ.ТыНдекс.НЭТ, ВПС в опасности? Стоит поменять СНИ на что-то чисто ЕУ? Или в моей случае все будет выглядит более-менее ОК? Речь об ИксРэй Реалити ХТЛС.
соседи - пользователи реалити как и вы. малоизвестный sni поможет, но лучше всего уйти с реалити на tls со своим доменом, или хотя бы с nip.io сертификатом (или по айпи адресу)
На мой взгляд необязательно отказываться от реалити, достаточно лишь использовать selfsteal реалити. Он работает очень хорошо. Вот только под тебя могу начать маскировать твои соседи
ну тут грех не порекомендовать GitHub - pwnnex/ByeByeVPN: Full TSPU/DPI/VPN detectability scanner. Scan any IP as a censor sees it. · GitHub я не имею отношение к софтине если что)
у меня на сервере wg и awg2.0 с S1=138, в проге такого S1 нет как и выбора порта, пришлось изменить в коде, но даже после этого она не смогла найти wg и awg 2.0 сервер.
реалити под гугл прога нашла
однако мне в лс написал чел у которого забанили ip где был только ssh и awg
Разве можно получить серт на IP без домена?
acme.sh --issue -d YOUR_IP --server letsencrypt --cert-profile shortlived --standalone --days 3
Вот только под тебя могу начать маскировать твои соседи
Чтобы этого не было, можно на фаерволле VPS заблочить входящий tcp/443 с диапазонов твоего хостинга. Тогда соседи не смогут ходить к тебе за сертом
Ну, хз насколько это проблема. Лично у меня (лично у меня) ни одного VPS за всё время не забанили, хотя у меня везде почти дефолтный reality, разве что sni подбираю из случайных. Вернее, полтора года назад забанили один в NL, но он попал в забаненный диапазон, похоже. Пользюусь я+1.
В чём минусы?
Еще удобно панельку поднимать локально и например через https://try.cloudflare.com получать к ней доступ снаружи.
Проблема в основном в реалити под гугл, Яндекс, рутуб, эпл