Comments 55
О чем статья? Тема пятикратно пережевано уже нейросетями во всех статьях.
Я лично на Хабре не увидел подобного туториала (актуального) и решил опубликовать для таких как я
Потому, что - 451
У меня есть vps, зарубежный, на нём установлен WireGuard и есть 4 клиента. Телефон, два компьютера, и сервер debian с виртуальной машиной с HAOS. Пользуюсь только я один. Всё работает уже 5 месяцев. Трафика я генерирую мало. Может в этом причина, что меня не блокируют? А vpn который на продажу, те ркн и блокирует.
Чем больше подобных статей, тем быстрее блочат.
А про то о чем нет никаких статей - живёт себе и работает как часики )
Во-первых, технология VPN - это вообще не про обход блокировок, это придумка отечественных запретителей.
VPN - это про организацию частной сети поверх публичной. И в том числе возможно применение для обхода злонамеренных запретителей.
Во-вторых, предложенный вариант страдает от нескольких недостатков по существу (но указывать на них не буду, потому что вот сотрудник РКН уже приготовился записывать)
В третьих, сам по себе вариант так себе: вот зачем там нужна база данных, если это не публичный сервис с кучей аккаунтов, а для себя любимого?
Извините конечно, но про то, что впн это частная сеть поверх публичного интернета я написал в статье и так.
По второму нечего мне сказать, так как вы сами не назвали эти недостатки, чтобы их как-то парировать. Ну и я нигде не писал, что это лучшая связка. Я написал, что это быстро и возможно скоро мой VPN упадёт как и при предыдущей связке.
Про базу данных. Я не писал, что это VPN только для себя любимого. Я написал лишь то, что при выборе SQLITE он не подходит под большие охваты и коммерческие цели (что показано на скриншоте).
Поэтому выходит, что вы сами придумали недостатки моей статьи и сами на них ответили
По второму нечего мне сказать, так как вы сами не назвали эти недостатки, чтобы их как-то парировать. Ну и я нигде не писал, что это лучшая связка. Я написал, что это быстро и возможно скоро мой VPN упадёт как и при предыдущей связке
Потому и упадёт.
Но пояснить не могу - к сожалению, сейчас это та тема, детальное обсуждение которой приводит только к более лучшим блокировкам.
Могу только посоветовать обратиться к опыту китайских товарищей, у них есть хорошие конфигурации.
не писал, что это VPN только для себя любимого
По тексту статьи это и подразумевается. Потому что, зная минусы прямых ссылок:
и вставляете туда ссылку начинающуюся с vless://
— вы бы вряд ли советовали вставлять именно их. Для поддержки гибкости для этого придуманы подписки. Вдобавок не увидел в стате работу с доменом, TLS и self-steal SNI (кто-то ещё использует чужие домены для маскировки в REALITY?). Всё это подразумевает развертывание решения исключительно для себя.
Вдобавок, решение годится разве что для уровня 2022 года (не считая нового xHTTP). С тех пор гонка щита и меча ушла далеко вперёд... Ковровые бомбардировки хостеров, 16-20, "сибирская блокировка", БС... Такие простые сетапы уже давно не актуальны на масштабе. Но для себя пойдёт! Если, конечно, заработает.
(но указывать на них не буду, потому что вот сотрудник РКН уже приготовился записывать)
Вот прям сидят с открытыми ртами жадно ловя каждое ваше слово и все скрупулезно за вами конспектируют. Ага.
Лучше бы написали как проанализировать проблему) Например как выяснили что соединение рвётся при рукопожатии)
У меня например NAIVE по HTTPS иногда блокировался на 5 минут, а при смене на QUIC пока нормально
Кому-то уже об этом писал, но повторюсь - поднимая панель на голом http сразу отправляйте логин и пароль на почту rsoc_in@rkn.gov.ru, сэкономите всем время.
И простите за прямоту, но за реалити на google.com Вам должно быть стыдно. Только ленивый на хабре не оттоптался, почему это хреновая идея в 2к26
Этот VPN только для показа, очевидно, что я не буду показывать свой SNI
Это еще не самый плохой вариант, запустите https://github.com/xtls/RealiTLScanner у меня в подсетях они максы и яндексы сидят :)
Автор только забыл упомянуть, что панель сама по себе глючная и если у вас вдруг никак не может система заработать, сносите панель и делайте без нее. С ИИ оно даже ставится проще чем с панелью, если на ИИ навесить часть создания конфига.
У меня ушло больше 5 часов, чтобы понять, что панель прекрасно отображает в интерфейсе все параметры, только вот приваткей в конфиг почему то записать забывает. Это был стандартный глюк в марте. В мае, когда у меня возникла другая проблемка, у меня уже ИИ по собственной инициативе спросил, не стоит ли случайно у меня панелька, потому что в мае был другой какой-то стандартный глюк (не вникал).
Включите SOCKS5 авторизацию, чтобы другие приложения не обнаружили туннель.
А разверните поподробнее, о чем речь. Где подразумевается авторизация? Куда/где вводить ее Логин/Пароль? Заранее спасибо. Из-за поломанной кармы не могу спрашивать чаще, чем раз в сутки(дебилы бл@) Так что не обессудьте, если вопрос покажется странным и не кидайтесь тапочками, я не настоящий сварщик. Просто подробнее разжуйте, как построена цепочка. Я вообще не понимаю этот финт с двумя хопами(чем прямое обращение клиента за кордон к VPS с VPN отличается от прямого обращения за кордон промежуточного хопа-туннеля, с точки зрения блокираторов? И там и там зашифрованные пакеты со странным поведением и странными паттернами).
Напишите мне в телеграмм, там сможете задать вопросы без лимитов. @pxi_ru
Напишите мне в телеграмм, там сможете задать вопросы без лимитов.
Здравствуйте. Пишу тут, а не в Telegram, потому что Telegram для меня не существует. Он ярый рассадник жульничества и пособник киберпреступности. По поводу Вашей статьи: извините и не обижайтесь, но буду резок. Либо Вы писали ее на от’е@ись и сами даже не пробовали того что написали, а просто передрали без редактирования и проверки высер ИИ(искусственного Идиота), либо шифруетесь от РКН(эта уважительная причина), но практической пользы от такой статьи тогда никакой. Но скорее всего, первая причина. Почему я в этом уверен. Вы даете общие, неконкретные ответы на вопросы в комментариях. Так и не ответили конкретно на мой вопрос про SOCKS5 авторизацию. Какой нафиг SOCKS5, если Вы его нигде не используете? В промежуточном хопе Вы используете Gost как прямой проброс портов, не туннель. И Ваш совет искать поле авторизации для SOCKS5 в клиентах VLESS тоже от незнания, каким боком в Вашей схеме SOCKS5. Если бы Вы сами все это строили бы, то ответили бы конкретно(со скриншотами), где в клиенте HAPP или V2Raytune(Вы же их типа советуете) искать эти поля в их VLESS настройках. Но нет, Вы туманно говорите
В VPN-клиентах в настройках трафика или маршрутизации обычно есть возможность включить SOCKS5 авторизацию.
Далее, Вы похоже сами не понимаете зачем нужен этот промежуточный хоп и отвечаете соответственно:
но это считается слишком открыто и небезопасно.
В чем открытость и небезопасность VPNa? Ответьте без воды и общих фраз.
Далее Вы пишете:
Для решения этой проблемы делают цепочки: сначала вы отправляете на VPS внутри вашей страны, а этот VPS отправляет зарубежному VPN серверу
Я и сам знаю, как это делается. Вопрос нафига? Какую проблему решает создание двух хопов? Повторю свой вопрос из комментов выше:
Я вообще не понимаю этот финт с двумя хопами(чем, с точки зрения блокираторов, прямое обращение клиента VLESS за кордон к VPS с VPN отличается от прямого обращения за кордон промежуточного хопа-туннеля? И там и там зашифрованные пакеты со странным поведением и странными паттернами стучатся за кордон к VPS-у). Если вы предполагаете, что ваш трафик к зарубежному VPS серверу(если напрямую) могут заблокировать, то почему точно также они не будут блокировать трафик от хопа-туннеля к зарубежному VPS, а как результат, у вас не будет сквозной связности. Что в лоб, что по лбу. В чем профит цепочки из двух хопов?
Короче, вся манера статьи и Ваших ответов в комментариях не бьется с Вашими утверждениями, что эта конкретная, описанная Вами система, построена, налажена и используется лично Вами.
Сначала мне не хотелось Вам это все писать и тратить время. Бесполезно. Но засилие пустой многословной ИИшницы на Хабре бесит.
Я вам в личном диалоге на Хабре уже ответил, что не показывал скриншоты в конкретном VPN-клиенте, так как люди уже выбрали для себя те, которые им удобны (а также, чтобы не переходили все именно на тот, который использую я). Поэтому объяснил общими словами, подходящими для всех VPN-клиентов.
Про цепочку я тоже вам дал ответ с примером. Повторюсь снова, если вы отправляете напрямую, то трафик виден тспу на большей части пути, а если через промежуточный VPS сервер в той же стране, что и вы, то VPS сервера обычно имеют свои проложенные линии связи и там ТСПУ уже не смотрит
Я вам в личном диалоге на Хабре уже ответил
То что Вы ответили мне в личке, это ответы типа “Вася ты не прав. Верь мне. Мамой клянусь, бла бла бла”. Ни на один мой конкретный вопрос Вы не ответили конкретно, без воды, ни там ни тут.
Отмазки, что Вы опасаетесь, что РКН узнает Ваши подробности и использует эту информацию в блокировках, просто смешны, учитывая базовые решения Вашей статьи(Вам в комментах неоднократно на это указывали. Не я).
Про цепочку я тоже вам дал ответ с примером. Повторюсь снова, если вы отправляете напрямую, то трафик виден тспу на большей части пути, а если через промежуточный VPS сервер в той же стране, что и вы, то VPS сервера обычно имеют свои проложенные линии связи и там ТСПУ уже не смотрит.
Гениально(facepalm). Если там ТСПУ уже не смотрит, то зачем тогда вообще нужен VPS за бугром? Оставьте один VPS в РФ, посадите на него прокси сервер(тот же SOCKS5/http/VLESS/VPN/туннель) подключитесь к нему соответствующим клиентом из дома и наслаждайтесь Телеграмами, Ютубами, Инстаграмами. Еще и с’экономите деньги на зарубежном VPS и время, потраченное на решение вопросов, как оплатить весь этот зарубежный актив из РФ. Пургу то не гоните. Этот Ваш аргумент только еще более доказывает Вашу профнепригодность в этом вопросе и подтверждает, что вся статья шлак и высосана из пальца/ИИ. Жаль потраченного времени на чтение бесполезной статьи и переписки с Вами. Мне вообще кажется, что эту идею с промежуточным сервером в РФ, придумали продавцы VPS-ов, а другие бездумно подхватили и транслируют ахинею. Короче, более Вас не досаждаю. Мне все ясно, кроме таки технических вопросов которые я задавал тут в комментах. Может кто другой раз’яснит. Всех благ.
В VPN-клиентах в настройках трафика или маршрутизации обычно есть возможность включить SOCKS5 авторизацию, логин и пароль вводятся там же или можно оставить то, что сгенерировало приложение.
Про цепочки. Можно напрямую отправлять пакеты на VPN сервер, а он уже на нужные ресурс обращается (функция проксирования больше), но это считается слишком открыто и небезопасно.
Для решения этой проблемы делают цепочки: сначала вы отправляете на VPS внутри вашей страны, а этот VPS отправляет зарубежному VPN серверу
Это если максимальное упростить
Про цепочки. Можно напрямую отправлять пакеты на VPN сервер, а он уже на нужные ресурс обращается (функция проксирования больше), но это считается слишком открыто и небезопасно.
Поясните, пожалуйста, почему "считается слишком открыто и небезопасно"?
Цепочку можно построить как угодно и на каких угодно протоколах. Иногда, чтобы повысить скорость внутри РФ, на чистом WG, но лучше всего на том же стеке, что и Xray/sing-box предлагают: TLS-Reality/xHTTP. Итого: между каждым сервером в цепочке реализуется максимально замаскированное bleeding-edge решение. В чем открытость и, тем более, небезопасность? Кроме теоретической возможности задетектить "зеркальный" трафик на одном из промежуточных хопов в цепочке, проблем я не вижу.
Знаете, вот по вашим комментариям мне всё больше кажется, будто вы берете советы из рубрики "вредных". Либо что-то не то с матчастью, либо вы имеете в виду какие-то технические условия, далёкие от обобщенных.
UPD: увидел последний абзац, и ваш совет внезапно стал правильным. Да, тут вы правы, беру слова назад.
Можно напрямую отправлять пакеты на VPN сервер, <...> но это считается слишком открыто и небезопасно.
Скорее не "небезопасно", скорее "менее удобно". Вот начнут после осени зарубежный трафик считать, и тут только цепочка через РФ хоп поможет не упереться в 15 ГБ лимит.
Пишите подробней! Вас внимательно читают!
Дописать еще клиент на фингерпринт яндекс браузера я в популярных клиентах не нашел яндекса
Чем читать статью, максимально поверхостную, советую тем, кому интересно просто почитать ntc
Вот также думаю. В статье буквально практикуется самый наивный из сетапов - без TLS, без self-steal, просто для себя. Даже в 2022-м это было пусть и ещё рабочим, но уже слишком простым вариантом. Такие сетапы мало того, что цензор щёлкает на раз-два, так ещё и палят всю подсетку хостеру со стороны РФ. Вот с такими соседями мне и приходится жить...
Вариант с бд pg не нужен для себя даже если добавить ноду, проблема была не в самом tcp транспорте, а внезапно в отпечатке chrome и множестве соединений к серверу. Mux решал одну задачу смена отпечатка другую.
В итоге эту проблему решил, и придумал как сделать классический https прокси вместе с сайтом на одном домене... это транспорт на самый плохой исход,.
Связка reality хороша правда, но зачем вам reality вместе с xhttp, когда лучше повесить какой нибудь свой сервис, поставить обратный прокси, и на основе пути решать /xhttp пошёл в панель, а / перешёл на сайт, схема самое главное рабочая в контексте можно откатить tls1.3 на сервере до max 1.2 тем самым исключить вмешательства в tls 1.3 по сибирской схеме. Да reality отвалится там обязательно 1.3 но xhttp, ws, grpc, классический connect останется жив.
не разобрались в чём именно была проблема но уже сделали статью... (скорее всего https://habr.com/ru/articles/1044396/)
то что вы настроили это прокси а не vpn. на устройстве создаётся виртуальный сетевой адаптер, однако он поддерживает только исходящие соединения (просто так пробросить порт с сервера или другого на ваш клиент не выйдет) и только TCP и UDP протоколы (ping работать не будет, могут быть фейковые ответы с localhost или трафик пойдёт напрямую)
С моей точки зрения"свой ВПН" - это полностью своя разработка : протоколы, подходы, обходы. А так это просто временное решение - конфигурация из существующего. Ничего особо интересного. Надо свое писать. Загрузите в ИИ грамотное тех задание, несколько дней покрутить, можете загрузить статьи с хабра - аналитику блокировок, и получите нормальный рабочий вариант. В дальнейшем, если самому разбираться лень,а вас заблокируют, подождите очередное исследование с хабра, снова загрузите его в ИИ и обновите свои протоколы. Вариант рабочий. Только желательно не делиться ни с кем, кроме родных. Увы, таковы реалии… Ваша статья даже в этом плане не годится (для анализа)
сни гугл, http к панели (АВТОР ЭТО РЕКОМЕНДУЕТ!!!), последняя версия 3x ui. наверное ещё все порты открыты, про трафик гуард не знаем ничего, ну короче это просто пипец (хотя тут должно быть более крепкое слово). уж лучше никакой статьи, чем такая. и ведь кто-то пойдёт и сделает так же плохо.
Вы бы хоть почитали комментарии, про sni я уже ответил, что это для демонстрации. Аналогично про http, я не рекомендую, я сказал так проще. Про порты я вам вообще ничего не сказал.
Ну и зачем ssl сертификат ставить, если можно тогда уж по ssh
да какая нахрен разница, отвечал ты в комментах по поводу сни или не отвечал? в статье где-то дан совет, какой сни надо использовать, а какой не надо? люди, чтобы получить необходимую дозу информации, должны комментарии читать? что касается http, то это просто пипец. нихрена так не проще. то что трафик в открытом виде летит - это не норм. когда такие как ты начнут это понимать, у вас, возможно, перестанет отваливаться vless через неделю.
Такие как я) у меня vless не отваливается уже несколько месяцев, не беспокойся за меня
А про дозу информации, я зачем давал теоретические основы что такое REALITY? Наверное, чтобы человек понял, что можно не только у Гугла брать
теоретические основы это определение из интернета? ну круто, а что оно пользователю говорит, который статью читает? да ничего оно не говорит. ну берётся чей-то сертификат, и чё. а какой сайт указывать-то для маскировки? люди не понимают, ставят макс ру на иностранном сервере, а потом у них айпишник в бане откисает. потому что никто им не объяснил. ты типа не думай, что я какой-то злой агрессор, но просто братан. когда ты ставишь сни гугла и говоришь, что http - это норм темка, то ты себя не с самой лучшей стороны показываешь. ты пренебрегаешь базовой безопасностью и имеешь смелость писать статью. я понимаю, конечно, что раскурить свой внпчик это прикольно, но только в интернете уже есть куча хороших гайдов. а чтобы сделать гайд лучше, тебе надо покрутиться в этом хотя бы месяцок, почитать, что другие люди пишут, посмотреть на платные решения. ну ты хотя бы через чат гпт бы прогнал этот гайд, он бы тебе сказал, мол, браток, оставлять http это говно идея, давай завязывай с гайдом. но ты почему-то думал, что офигеть какой умный и твой гайд чего-то стоит. это не так, привет.
я себя не позиционирую как какого-то мега гения крутого программиста сетевика. я вообще школьник вчерашний. но просто есть настолько базовые вещи, что о них даже пятиклассник в курсе.
Господа критикующие. Поделитесь инструкцией по актуальному сетапу)
Я прошел аналогичный путь автора, правда vless tcp отработал около полугода. На самом наивном сетапе.
Переключился на xhttp. Около двух недель отработал, теперь на trojan. И с ним сейчас какие-то проблемы начались.
Не совсем понял к чему претензия про http — ведь все пакеты идут в зашифрованном туннеле. Объясните, пожалуйста.
Как быстро реализовать современный работающий VPN в эпоху блокировок: теория и практика