То есть сам по себе этот способ не рабочий? Просто у меня есть как пример хостер впна, сидят на влеске со своим доменом, есть в том числе авто подмена на РФ хостинг, который видимо является мостом, ну типа резерва. И всё в них работало, пока мои ноды откисали (как раз то что я описывал в теме).
То что у кого-то что-то работает или не работает не значит, что способ рабочий или не рабочий. У меня например классический Vless+Reality без своего домена работает больше года, и без всяких ухищрений в виде промежуточных хопов. И скорее всего со своим доменом тоже работал бы. Но это не значит, что эта связка будет работать у кого-то другого на другом хостере и с другими клиентами. Думаю там есть комплекс причин который влияет на заблокируют ли конкретный IP или нет, а не просто какая-то конкретная технология. А сам по себе Vless+Reality достаточно устойчив, чтобы его могли определять автоматически, такой вот у меня эмпирический вывод.
я бы не сказал что прям не рабочий, просто нужен очередной костыль (а где он сейчас не нужен?) да и запрет можно и на сервере настроить тогда клиентам не нужно самим спуфить сни таким серверам
ну тут два стула, либо ты сидишь на заведомо 16кб хостинге и воруешь SNI для его пробития и надеешься что это будет работать еще долго, либо ты сидишь на хостинге без 16кб и тогда тебе подойдет любой SNI, и в таком случае логичнее использовать селф стил просто чтобы не привлекать внимание (плохо настроенное воровство у каких-то CDN легко палится, а искать сайт в своем диапазоне это почти всегда будут другие реалити серваки)
В любом случае буду пробовать вариант vless+xhttp+tls или подобное, со своим доменом, т.к. вариантов особо нет.
Я так и сидел год почти, только щас вот началось, после какого то времени уже решил сюда обратиться за помощью.
На сколько я знаю, проблема vless+reality с таргетом на чей то сайт в том, что как бы хорошо он не прятался за видом обычного веб трафика, если начнут руками смотреть, отличия всегда могут быть в сравнении с браузерным, и не только.
Вы лучше меня знаете что тут только пальцем в небо тыкать, от региона к региону меняются принципы обнаружения и блокировки, если даже не к направлению ветра, и кто знает куда моча ударит в голову завтра, тем бедолагам, кто этим занимается.
Так что я как раз и спрашивал, какие реально живые варианты на попробовать есть.
Чем проще тем лучше. Я юзаю vless+xhttp+tls, vless+grpc+tls, vless+ws+tls и другие, менее популярные на этом форуме решения, по настроению так сказать. Все они работают по схеме, описанной мной выше. Я никогда не рассматривал reality ни в каком виде, хотя признаю его достоинства, именно потому что для меня его достоинства, являются недостатками. У меня нет задачи пробивать белые списки или 16к блок, но они тоже обходятся, нестандартными средствами. Ну и про вторую ноду на выход не забывать. Связать их друг с другом можно хоть через wireguard, если обе за рубежом.
это какой-то бред, уже не первый раз от этого издания. я им писал по другой статье но ответов не получил
Характерный паттерн такой:
- ТСПУ пропускает стартовый хендшейк, чтобы прочитать открытые метаданные (SNI), и следующие ~16 килобайт трафика для статистического анализа.
- ТСПУ проверяет эти данные на «случайность».
- Если трафик выглядит как абсолютный нечитаемый шум и не похож на профиль обычного браузинга (например, на передачу данных по стандарту HTTP/2), ТСПУ принимает решение прервать сессию.
Пытаются натянуть сову на глобус в попытке объяснить 16 кб. После client hello трафик уже зашифрован и там нечего анализировать. Причем совершенно легитимные сайты (даже без https) от 16кб блокировок не спасают.
16кб блока никогда и не существовало. Там лимит не по КБ, а по количеству пакетов (12 или 20)
25
При MTU 1500 это получается 37.5 кб, что в 2 раза больше от значений при которых мороз активируется.
https://49.13.77.36/publicDocs/GenresmanSunum2020_v2.pdf
26 пакета с данными получилось (те которые >1514 вручную разделил на 2)
curl показал 16кб
При MTU 1500 это будет 20 КБ в curl
А его возможно реально не существует. Что характерно, у меня открываются отдельные сайты типа buyvm.net, но фейки от buyvm не работают для других сайтов на хостинге: zerochan.net под непробиваемой 16 кб блокировкой. Аналогичное поведение будет и на reality. Скорее всего там основанный на БС IP, не на доменах.
Мёртвый хостинг с жёстким баном всего неизвестного.
К слову, в копилку этой гипотезы: если зарезолвить все домены из списков разрешённого в Cheburcheck, там не будет ни одного домена, который по их тестеру входит в глобальный пул разрешённых, и при этом также относится по IP к AS FranTech.
Так что:
- Некоторые хостинги грузятся, если ТСПУ увидел SNI просто из глобального пула разрешённых.
- А другие - только если SNI не только входит в этот пул, но и в оригинале относится именно к конкретному AS
Кстати, на сайте-заглушке что-то для вида делали? В плане визуального отображения, индексациии, что сайт есть и он жив, какая то инфа там есть, типа подборки мемов с котами. Одностраничник простой, чтоб трафик на 443 порт был какой то, смешанный с трафиком для vpn подключений на другой порт.
Есть ли в этом смысл?
Или лучше не палить никак?
Да, делал, без фанатизма. Сайт иногда браузером щупаю, так как на нем сервисы другие имеются или когда файлик напрямую скачать надо тупо по HTTPS для проверки скорости.
По опыту двухразового бана и разбана впс-ки с сайтом живым итд - им плевать на ваши селфстилы и сайты, вот совсем плевать, тригером бана будет или порт на сканере - или кривой сертификат, или просто в случае с амнезией - пробинг по количеству трафика, а вот причины разбана я бы и сам хотел узнать )
могу это тоже подтвердить, у меня наооборот был полный фанатизм. Я сделал сайт который выглядил как приватный репозиторий с логинами и апи ключами, потом это интегрировал в apt update с генерацией случайных байтов чтобы казалось что моя впс это просто зеркало что-то качает отдновременно с другими репами, автомацию сделал даже, и при этом умудрился не спалить ssh при настройке ни разу.
От 16кб блока это не спасло. Я от того и говорю что все эти селфстилы до одного места теперь, ваш сайт никто в бс никогда не добавит, он doa каким бы он не был
16к блок накладывается на подсеть хостера, который не понравился РКН, например, на нем были размещены сервера какого-то массового VPN сервиса, а не потому что РКН явно выявил наличие прокси по определенному IP. Речь об обходе БС и занесения домена в white лист здесь вообще не идёт. Обсуждается точечный бан частного сервиса, и каким образом его избежать. Вот и всё, собсна.
Что касается непосредственного доступа к своему серверу по SSH то тут я вообще криминала не вижу, или реальные сайты как то по другому админятся в 21 веке?