Очень избыточно, так можно и заблокированные сайты сломать. --fake 3+s тут совсем не нужен, т.к. на данной позиции будет заголовок tlsrec. Лучше проверить по отдельности, какие методы дают эффект для большинства сайтов. Например, если много где работает tlsrec, а где-то лишь fake, то использовать примерно вот такой конфиг:
ciadpi --auto --tlsrec 1+s --auto --fake -1
Можно еще попробовать такой вариант disorder
Да и фейки не везде работают
Да, можно сразу начать с 32-64, если прилетит ошибка(TLS Alert)/ServerHello, значит исходящий трафик мы можем так запутать. Затем можно перебирать бинарным способом: 16 - ошибка, понижаем; 8 - блокировка, повышаем; 12 - ошибка, понижаем; 10 - успех; 9 - блокировка, оставляем 10.
Да я fake быстро убрал, потом вернул из-за сайтов с TLS 1.2 и снова убрал. Пробовал и по отдельности, видимо, с виндой действительно проблемы. На телефоне на этом провайдере работает --fake с --ttl 3, на компе никак.
Дамп пока не делал, пока работают большинство нужных сайтов и ладно.
upd: TTL для фейков вообще ничего не меняет от 64 до 1, наверное, всё-таки не работает это.
Даже если фейк пакет дошел до сервера, то это не еще конец, главное не допустить выгрузки буфера в приложение. Данные в буфере ядра можно перезаписать, отправив еще один пакет, пересекающийся с предыдущим по SEQ. Надежный способ избежать выгрузки - сделать пробел в буфере. И тут полная ретрансмиссия в Windows превращается в преимущество.
ciadpi --disorder 1 --fake -1 --ttl 64
Первый байт не будет доставлен из-за disorder. Затем будет отправлен фейк, который будет принят сервером, но не доставлен приложению, из-за отсутствующего байта. После система выполнит полную ретрансмиссию с оригинальными данными и перезапишет фейк.
Не проверял как ведут себя разные ОС при частичной перезаписи данных in-window ? Переписывают или старое держат ? В сокет, как я понимаю, отправляют сразу же после появления законченного куска любой длины ?
Только на Linux проверял, перезаписывать лишь часть уже доставленного пакета не пробовал, это уже с raw нужно делать, но предполагаю, что это возможно.
Да. Отправлял пакеты без флага PSH - все равно, сразу попадают в сокет, хотя, прям маленькие кусочки не пробовал.
Никак не удается подружить ByeDPI с сайтом провайдера/локальными ресурсами. Ибо единственный нормально работающий у меня обход это --fake -1 --ttl 3, но с ним любой локальный ресурс провайдера выдает ERR_CONNECTION_CLOSED. Что не очень удобно, ибо, чтобы посмотреть баланс, приходится все отключать. Да и в локалке есть интересные ресурсы вроде Синемы с каким-то нереальным количеством сериалов/фильмов.
Пробовал ciadpi --auto --disorder 1 --fake -1 --ttl 3 вроде и работает, а вроде и нет. Где-то грузит картинки не с первого раза (например вместо аватарок на YouTube серые кружочки), напрягает, не сильно, ибо случается редко. А где-то картинки не грузит вообще (ERR_TIMED_OUT), пока не уберешь --auto чтобы все сразу в обход шло, что ломает сайт провайдера. Пробовал --auto со всеми возможными параметрами, и в конец ставить, в надежде что все будет работать через --fake, а что сломалось напрямую, но увы так не работает.
Очень нехватает функции вайтлиста. Старикам ставил форк GoodbyeDPI с впиленым вайтлистом, сильно удобней раз добавить сломанные локальные ресурсы, чем постоянно дополнять блеклист сломанными сайтами.
Как-то я его упустил совсем, с ним заработало! А какое значение лучше поставить? Поставил 5 вроде все грузит.
В общем я, как обычно, не разобрался до конца. У меня похожая ситуация с --fake была, пока не допер что --ttl тоже подбирать надо. Разбаловал меня GDPI своими прессетами, а DPI Tunnel своим автоподбором метода обхода.
При низких значениях сайт быстрее окажется в кеше, т.е. задержка при первом открытии будет меньше, однако могут быть ложные срабатывания, думаю 3-5 секунд будет оптимально.
Так-то это может быть непросто, ведь подробной документации я не оставил.
Здравствуйте! Позвольте внести небольшое предложение.
Ваш пример с гитхаба:
–late-conn --hosts ‘:one.one.one.one’ --dst 1.1.1.1 --disorder 3 --auto=none --auto=torst --timeout 3 --tlsrec 1+s
Для указанного домена применять disorder, подключаясь только на указанный IP и игнорируя адрес из запроса.
Для остальных ничего не делать, однако если обнаружится блокировка, то попробовать применить tlsrec.
А нельзя ли изменить такое поведение? Чтоб домены, перечисленные в --hosts, не обрабатывались даже при обнаружении блокировки. Т.е. сделать их “неприкасаемыми”, скажем так.
Пример: ./ciadpi --hosts ‘:example.com’ --auto=none --auto=torst,redirect --fake -1 --ttl 4
, где example.comне обрабатывается даже при обнаружении блокировки (в текущей реализации программы он обрабатывается).
Что-то не то…При такой комбинации перестают обрабатываться вообще все заблокированные сайты.
Загвоздка где-то в auto=none, оно словно обрезает последующую команду.
Можно, конечно, сделать так: ./ciadpi --hosts ‘:example.com’ --auto=none --fake -1
т.е. без первого auto, в этом случае example.com не обрабатывается (что и требуется), но при этом безусловно обрабатываются все хосты, включая незаблокированные - что в лучшем случае просто излишне, а в худшем может что-нибудь и поломать.
Интересно, а pbs.twimg.com (картинки в твиттере) на своей стороне блокирует российские айпи? Туда только через впн можно пробиться, byedpi не помогает. В реестре вроде нет даже этого домена
UPD: после того как поигрался с параметрами split position и TLS record split position — заработало. Интересно, учитывая что все остальные заблоченные сайты открывались даже на настройках по умолчанию.
