Zapret2: обсуждение

Ради теста перед моим блоком было поставлено (позже все остальное приведу в порядок):

$CMD -w -t mangle -A FORWARD -i $IFACE $CONN_CHECK -p tcp -m multiport --sports $TCP_PORTS $CB_REPLY --connbytes 1:$MAX_PKT_IN $JNFQ
$CMD -w -t mangle -A FORWARD -i $IFACE $CONN_CHECK -p tcp -m multiport --sports $TCP_PORTS --tcp-flags syn,ack syn,ack $JNFQ
$CMD -w -t mangle -A FORWARD -i $IFACE $CONN_CHECK -p tcp -m multiport --sports $TCP_PORTS --tcp-flags fin fin $JNFQ
$CMD -w -t mangle -A FORWARD -i $IFACE $CONN_CHECK -p tcp -m multiport --sports $TCP_PORTS --tcp-flags rst rst $JNFQ

И отработало четко, как вы и говорили:

desync profile search for tcp ip=212.192.127.40 port=443 icmp=255:255 l7proto=tls ssid='' hostname=''
discovered l7 protocol
reasm cancelled because server window size 1448 is smaller than expected reasm size 1962

Еще раз спасибо!

@bolvan, похоже, текущий метод записи в pcap файл не на всех ОС работает корректно. На linux fseek при mode = append выдает 0, и гугл говорит он смещается в конец только после первой записи. Починилось в этом месте так:

        file:seek('end') -- это
        local pos = file:seek()

Исправлено

Самое странное видео на свете сделанное через ИИ. Сколько ошибок в нём существует?

не знаю, сколько там ошибок, но некоторые аспекты отражены очень понятно, например, объяснение, почему quic-фейков посылается много. Может, это и не так на самом деле, но звучит очень убедительно.
И в этом видео тоже все объясняется очень неплохо

Очень неплохо рассказано. Есть некоторые шероховатости и неточности, но не принципиальные.
ИИ там разве что картинки сгенерированы (если). Может и текст тоже им написан, но читает человек. Видео из игрухи просто для фона
Я бы рекомендовал это видео для начального ознакомления что есть zapret.
Но так же добавил бы , что это не всегда надежно, методы могут отличаться, где-то требуется особая логика пробива, и решение точно не для чайников

Про то, что трафик зашифрован в tun и его не перехватить, это уже додумки автора, не относящиеся к реальности

у этого парня очень любопытная бизнес-модель, текст, читаемый с пулеметной скоростью, конечно, с трудом воспринимается обычным человеком, а за более подробными объяснениями он приглашает в свой тг-канал, где посты ранжируются в зависимости от сложности. Какие-то бесплатные, но большинство требуют оплаты. В общем, пару месяцев назад именно его визуализация помогла разобраться в том, как работает фейк с TTL .

Еще он не понял, что для quic badsum не особо нужен.
quic работает по session id. ему вообще пофиг на порты
а DPI наоборот - порты важны, session id не сечется
отсутствие badsum в этих условиях только вызовет лишние траты со стороны сервера на ответ, но никак не испортит канал с оригинальным session id
зато может убить обход за роутером, если он не пропускает badsum

Стоит NFQWS2 на кинтетике, дефолтная стратегия, TCL с андроид тв на борту прекрасно показывает ютуб.
На СберБоксе не пашет ютуб, заходит , грузит превью но видео не воспроизводит .
Поделитесь опытом.

Запрет тг не научился дурить еще?
У меня подсети тг не в блоке и судя по всему просто детектят MTproto, вероятно есть шансы надурить

Как вы это определили?

А какая версия zapret2?

@bolvan , почему может после обновления z2 до v0.9.4.5 перестать работать применение правил iptables?

Summary

Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
ipset v7.21: Kernel error received: set type not supported
Inserting iptables rule for nfqws postrouting (qnum 300) : -p tcp -m set --match-set zport_tcp dst -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:20
iptables v1.4.21: Set zport_tcp doesn’t exist.

руками.


web.telegram.org работает на тех же подсетях, что и приложения тг, только в веб - HTTPS ходит и блок обходится фейк сни, в прилках ходит голый MTproto на тех же IP без SNI и там блок.

А конкретней? О блокировке подсетей обсуждалось в соседнем топике.

И какой же это SNI тогда, если не секрет? TCP хендшейки проходят, но после него данные уже не ходят, не говоря уже про замедление UDP независимо от содержимого.

~# curl -4 -v --connect-to ::149.154.167.99 https://yandex.ru
* Connecting to hostname: 149.154.167.99
*   Trying 149.154.167.99:443...
* Connected to (nil) (149.154.167.99) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs
* TLSv1.0 (OUT), TLS header, Certificate Status (22):
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
^C

Модули ipset не все подгружены. Там начал использоваться bitmap port set
Вероятно в обертке insmod делается, но не на все.

Спасибо, загрузка ip_set_bitmap_port.ko убрала ошибки.

Да.

1.1.3

Решил еще раз попробовать настроить для ssh, и в этот раз как будто бы задурилось)

-–filter-tcp=22 --filter-l7=unknown ^
-–ipset-ip=###.###.###.### ^
-–out-range=-d10 ^
-–lua-desync=fake:blob=fake_default_tls:payload=unknown:tcp_md5:tls_mod=sni=2gis.ru

мне тут ии целый час утверждал, что нельзя в запрете сделать случайный блоб на выбор.
но по итогу я его доломал и навайбкодил ( я ваще не прогроммист прост) следующее
и оно даже работает: (cами блобы обозначены заранее)

Спойлер

–lua-desync=luaexec:code=“local names={‘blob1’,‘blob2’,‘blob3’} local pick=names[math.random(#names)] desync.val=blob(desync,pick)” ^
–lua-desync=fake:blob=val

Здравствуйте, уважаемые товарищи сообщества.

Так случилось, что пришлось зарегистрироваться. Сейчас, в наше время, когда иногда что-то не работает (особенно последнюю неделю), читаешь статьи, хочешь помочь, сидишь и рассуждаешь сам с собой — приходят интересные мысли.

Вот я хотел порассуждать об одной вещи — о смене тактики боя первых 16 кб. У меня появилась интересная мысль: можно поменять тактику боя. Я знаю, что на границе подмешивают кашу… А что, если играть на опережение и каким-то способом знать, что мы видим, что помешали, и делать перегруз до тех пор, пока не прилетит чистое рукопожатие? Ну, вы понимаете, о чём я?

Но сверять данные так: когда мы видим, что в листе, где мы напечатали текст, он не сошёлся — сразу самим обрывать рукопожатия и цикл делать бесконечным.

Лежу всё ещё и думаю: стоит ли вообще развивать эту тему идеи? Или тут есть “Курилка” где можно об этом поговорить?