Комментарии 200
Также перескажу статью Immortale, известного в узких, пока ещё не разработанных зубилом РКН кругах: двойной хоп в каскаде решает. Это либо:
не-РФ + не-РФ;
РФ + РФ + не-РФ + не-РФ;
не-РФ (2xIP);
РФ (2xIP) + не-РФ (2xIP);
РФ (WARP) + не-РФ (WARP);
где 2xIP - это и два IPv4, и один IPv4 + один IPv6.
К сожалению, если не откатят настолько эффективновые блокировки, вынужден буду признать, что наступила эпоха 2-4 хопов или мультиайпишных сетапов.
---
Вопрос автору: а его тип обхода к какому из этого списка относится? Как будт ок последнему, но с финтом ушами (трафик идёт и в обратку тоже).
---
P. S. Умников, советующих фрагментацию (finalMask в XRay, например) как панацею, прошу сразу остужать свой пылкий энтузиазм - это не панацея, а поносея. Это точно не лечение проблемы блокировок, это временный костыль поверх заведомо провальной конфигурации, который вдобавок работает лишь с довольно тупой и ограниченной в пространстве манёвров стратегией. Этакий zapret на минималках у Go'шного XRay. Так что finalMask в идеале должен дополнять при необходимости, а не быть лекарством. Ну, и не все ядра его настолько гибко поддерживают. Смотрю на тебя, Mihomo...
Фрагментация это способ обхода, который живет потому-что у ТСПУ недостаточно вычислительных ресурсов. Но я уверен что это будет ими решено рано или поздно, либо наращиванием ресурсов и бюджетов, либо замедлением интернета у пользователей.
Всё так. В какой-то момент кэш у ТСПУ покроет максимальную длину по RFC у разбитых пакетов, и окажутся "мамкины фрагментовщики" у разбитого корыта.
В какой-то момент ТСПУ начнёт просто блокировать зарубежный трафик для массового пользователя, и окажутся "мамкины туннелестроители" у разбитого корыта.
Социально-политическую проблему техническими средствами не решить. Но пока эти технические средства работают, ими можно пользоваться - если понимать пределы применимости. Я бы вот не стал постоянно гонять ютуб через VLESS-туннель, особенно если фрагментации пока ещё достаточно.
Гораздо проще сделать выход для избранного пользователя, а остальным зарубежный трафик отключить на уровне кабеля.
Как раз и ТСПУ высвободятся для основной задачи, которая заключается в блокировании связи между людьми.
Не факт. "Избранным" же и мобильный интернет хочется. А строить вторую сеть сотовых вышек, когда первую поддерживать уже немного проблематично...
Вы не жили при СССР? Там все было построено на привилегиях. Избранных не будет много, для них создадут виртуального оператора связи (скорее всего, нечто подобное уже существует для чиновников высокого ранга).
А зачем отдельная сеть, если она делится на уровне APN?
А я тут обнаружил у МТС услугу ограничения доступа на заблокированные ресурсы. Т.е. хохмы ради - нет проблемы сделать избранных, если блокировка подключена как неотключаемая доп.услуга
Зачем вторую сеть?
Вы же знаете, что такое APN (Access Point Name)? Сотовые операторы создают дополнительную точку (APN), на точке разрешается выход в интернет, доступ к точке навешивается через доп услуги тарифа.
Ровно таким образом уже лет 15 работает услуга "VPN" для корпоративных клиентов - все мобильные устройства работают в выделенном для клиента APN, могут иметь как прямую связанность, так и связанность через шлюз клиента. Фактически клиент получает изолированную L3 сеть и может делать с ней всё что угодно.
Еще со времен блокировки рутрекера читаю подобные сообщения, о том, что вот вот все заблокируют и ничего не будет работать, больше 10 лет прошло, а все как сидели на запрещенных платформах, так и сидят. Были уже попытки отключить зарубежный трафик, такие, что половина рунета ложилась. Россия не Иран и не Северная Корея, у нас интернет изначально создавался завязанный на глобальную сеть, инфраструктура, бизнес, частный IT, да и сами чиновники и сторонники власти не очень охотно переходят в навязанные соц сети. Ну и ядро xray вроде как тоже обновляется, никто не забрасывает противостояние цензурным органам
А вы обратили внимание, что после того как "половина рунета легла" вышел закон о "приземлении персональных данных", и на следующей итерации половина рунета не легла. Лягушку варят медленно, на обратную связь реагируют. Можно много наковырять примеров, когда пощупали, откатились и подкорректировали настройки.
У него ватная телогрейка торчит из ушей, объяснять бесполезно. Такие и над блокировками телеги ржали, а потом большинству из них не смешно стало.
И зачем им раздраконивать народ, у которого итак рост цен и постоянное снижение уровня жизни тотальными блокировками интернета? Чтобы бункерный окончательно растерял весь свой рейтинг, еле наладом дышащий бизнес окончательно рухнул и еще больше людей уехали из страны? По моему люди готовы мириться со всем, пока есть волшебная кнопка, которая дает свободный интернет
Недостаточный уровень цензуры несёт бо́льшую угрозу власти, чем рост цен и снижение уровня жизни. Это как раз видно на деле: блокировки VPN только усиливаются, время жизни IP-адресов VPN заметно снизилось.
Рейтинг какой надо, такой и нарисуют. У них ключевая задача - не дать этому самому народу самоорганизоваться, когда обстановка ухудшится ещё сильнее. 1000 мелких стачек проще подавить, чем одну той же суммарной численностью. А для этого нужно 1) перекрыть доступ к любым хоть сколько-нибудь авторитетным "голосам" за рубежом и 2) убедиться, что внутри страны любое общение идёт через подконтрольные сервисы, которые позволят оперативно выхватывать проявляющихся низовых лидеров. С этой точки зрения, чем больше ограничений - тем лучше.
А интернет для многих заканчивается на вконтакте и дзене.
3. Воспитывать уважительное отношение народа к представителям власти. А то холопы обнаглели совсем, смеют вельмож осуждать.
Ну и в дальнейшем, я все же думаю, что они демонтируют предпринимательство. Чтобы некоторые в стаде не забывали, что они живут ради блага государства, а не собственного.
А интернет для многих заканчивается на вконтакте и дзене.
Ну не знаю, у меня из личных контактов никто кроме родни не сидят в вк и дзене, все сидят в тг
А у меня в тг сидят только дети. Взрослые им не пользуются. Я использую по работе, именно по работе, только на ПК. Родственник один листает тг-каналы, но вся общуха - через WA.
У всех своя выборка с околонулевой реперзентативностью, я бы на неё не равнялся для замера средней температуры по отделению.
"Они" не единый слаженный механизм, у всех свой интерес. Каждый тянет одеяло на себя. А учитывая приближенность к верхним эшелонам администрации страны - по головам ходить умеют, красиво, культурно, вежливо и как придётся. У кого-то бизнес. У кого-то амбиции. У кого-то ещё что-нибудь. А под шумок - милое дело себе плюшек заиметь.
А про деньги и малый бизнес, наверно не совсем безопасно говорить. Кто понят, тот понял. У нас на каждом шагу рекламные щиты.
О том как варят можно понять еще и по ФЗ-152 и другим законам. Если проверить сайт на все, то выяснится что проще полностью перейти на российских поставщиков услуг по всем профилям. Вот пример с трансграничкой
А вы знали, что мантра про лягушку, которую так теперь любят приводить в пример в РФ - это миф? В реальности уже давно доказано, что лягушка выпрыгивает, как только температура превышает комфортную. Не выпрыгивает только та, у которой провели какие либо хирургические вмешательства в мозговые функции
При этом cloudflare заблокирован и половина внешнего интернета не работает. Ни гитхаб, ни докер
Россия не Иран и не Северная Корея
вы уверены?
Я заметил постоянное ухудшение ситуации. Сначала все просто работало, потом помогали простые средства, потом пришлось поднимать свои сервера на VPS, последние дни все работало из рук вон, вчера я из дома не смог подключиться никуда, кроме RU сайтов, опять надо что-то придумывать...
Вряд ли будет полный лок внешнего инета, скорее будут резать конкретные протоколы на границе. HTTPS оставят, но будут душить нестандартные хендшейки
Почему вы так думаете? Зачем нужен внешний интернет, если вся политика нацелена на его "замещение".
Без него, например, не получится воровать там технологии и клеить свои шильдики, чем занимаются очень многие конторы по "замещению" иностранных технологий
через VLESS-туннель
зачем, когда есть прекрасно работающий awg?
У кого работающий, а у кого как.
Неопознанный UDP-трафик может вызывать больше подозрений, чем HTTPS, под который маскируется VLESS. Ещё у VLESS-клиентов правила маршрутизации более гибкие. Но AWG хорошо подходит для роутеров - я его в основном там использую.
Не очень он хорошо работает.
У меня сдох на прошлой неделе.
это будет ими решено рано или поздно, либо наращиванием ресурсов и бюджетов, либо замедлением интернета у пользователей
Либо блокировкой айпишников, из которых лезет подозрительно много фрагментированных пакетов, что гораздо проще. Я даже, честно говоря, не понимаю, почему еще не, так что на всякий случай стоит считать этот способ потенциально опасным.
пар выпускать нужно. нет необходимости блокировать всех, закон 80-20 работает и здесь. Если 80% ваших контактов в максе, вы либо поставите макс, либо поставите макс. 5% "андерграунда" не важны, наиграются и угомонятся.
Угу. Именно.
Коллега имеет большое разветвленное семейство, есть и it-шники. Общались сначала в каком-то корейском мессенджере, потом в армянском. Поднимали себе свой чат-сервер на Matrix, поднимали себе чат-сервер c NexcloudTalk, все работает, шикарно.
Через месяц спрашиваю:
- ну и где общаетесь сейчас?
- да в "Максе".
- ???
- Ну, понимаешь, старики, им тяжело объяснить...
Когда сдох "Телеграм", у меня, соответственно, сдох и весь костыльный мониторинг, пишущий в него. Точнее, мониторинг остался, но сообщения от ботов мне уже не приходили. Сделал себе сервер MatterMost, переделал оповещения на него. Заодно послал приглашения 5-6 людям, с которыми общаюсь. Приглашение приняли двое. Общаюсь в итоге в нем только с женой.
Так что да, именно наиграются и пойдут куда все стадо бросят, а самые упоротые будут общаться сами с собой, максимум с парой таких же.
Для увеличения буферов для склейки фрагментированных пакетов нужны огромные объемы оперативки на железяках, это дорого в масштабах всей страны
РФ (1xIP) + не-РФ (1xIP) + не-РФ (1xIP). Подключаться можно или к первому, или ко второму, в зависимости от задачи.
Методичка по построению VPN, осень 2026
Также перескажу статью Immortale, известного в узких, пока ещё не разработанных зубилом РКН кругах:
Фенкью, гайз! Бест регардс. Кип вем каминг. Ве РКН тим :D
p.s. кто это люди без чувства юмора, которые мне минусанули коммент и карму? Походу ркн-щики :D
А в чем смысл рф + рф + не рф + не рф?
Ну то есть я понимаю там подключаться к ipv4 не рф, а выходной адрес иметь ipv6 не рф, а такой двойной хоп зачем нужен? И какой трафик где выходит?
вообще отказался от маршрутизации клиентского трафика через VPN, только в исключительных случаях. для регулярной работы - явный http/socks proxy.
Отлетело 2 личных vps сервера в blacklist, ни пингуется ни доступа по ssh. Видимо если трафик обернут в vpn какой-то протокол и летит в Голландию то сразу бан. Принял для себя решение уже купить подписку на публичный, у них вроде как больше возможностей менять заблокированные ip-шки на не заблокированные. Но и это временно, ркн сильно как разогнался видимо их сигнатурный анализатор+ИИ неплохо мониторят и без угрызения кидают в черный лист((
Там (в РКН) тоже не дураки сидят. Но работают по команде, руководствуясь армейской мантрой: инициатива наказуема.
Когда начальничек отдаст приказ- придушат всё и всех, и никакие финты ушами не помогут. Пока ситуация такова, что иногда приоткрывают клапан скороварки, что-бы не "бумкнуло". Но если власть почуствует реальную угрозу от VPNщиков, клапан заварят наглухо.
Дальше строго по законам физики, вопрос лишь в радиусе, на который полетят осколки скороварки.
Тоже самое, -4 серва
А нет ли таких технологий, которые позволили бы при полной блокировке по ip иметь доступ к своему vps с использованием некой децентрализованной пиринговой сети? Типа торрентов, retroshare, i2p и т.п.. Я вполне готов предоставить и свой компьютер, и свой vps для транзита данных внутри сети (но не как конечный узел). Но при этом технология должна позволять мне, владельцу конкретного vps использовать его именно как конечный узел для выхода в интернет.
А чем вас не устраивают имеющиеся? Тем, что их уже тоже заметно фильтруют?
p2p-сети обречены быть забанены. Tor уже очень давно режут, хоть и не совсем эффективно. Как раз потому еще держится, что она не совсем p2p.
Торренты живы и кажется их никто не фильтрует.
Если исходить из концепции всей этой фильтрации, зачем им оставлять подобную лайзейку, позволяющую не только вырваться наружу, но и построить свой интернет поверх их чебурнета?
Мобильные операторы фильтруют
Торренты живут пока используются как один из клапанов для спуска лишнего давления.
Ну всякие белые и серые айпи, CGNAT и так далее, думаю попадают под пассивную фильтрацию, да и письма счастья от каких-то ВИАКОМ за то что скачал их сериал - такое себе.
Гуглите технологию по названию сильно напоминающую мифическое дерево.
Там без выхода, чисто оверлейная сеть поверх инета (т.е. как средство обхода и пропуска трафика не сильно подходит), но как средство достучаться до своего сервера даже при блокировке - вполне решение (недавно лично проверил, не пришлось даже консоль у провайдера запускать).
Для этого в гугл клауд создал бесплатную виртуалку. Там всего несколько гигабайт бесплатного трафика, поэтому использовать в качестве ноды не получится. Но он всегда работает и к нему есть доступ, т.к. направление не популярное (US) и под раздачу обычно не попадает. Там же можно поднять запасной выход, если все накроется, он будет работать, поскольку спалить невозможно, т.к. пользовательского трафика нет.
Yggdrasil или cjdns работают как оверлейные сети, но для входа в них все равно нужен публичный пир. Если все публичные пиры забанят, сеть изолируется. Для обхода блокировок они годятся слабо, у них другая цель
Я тоже сторонник децентрализованных сетей, поэтому написал свой p2p vpn много лет назад. Он работает именно так, как ожидаешь: есть разные протоколы связи между пирами, есть релеи трафика через другие ноды, DHT, есть дефолтные релеи, которых пока хватает, сейчас уже даже комьюнити начало поднимать свои.
Я делал это для selfhoster'ов, но как аналог обычных VPN тоже подходит. К слову, в РФ и Китае работает, хотя я ещё не начал заниматься обфускацией.
Если будет интересно попробовать:
Посмотри: https://github.com/Irviotech/Irvio
Немного про раздел "мастхэв для xray":
Я полагаю вы считаете что реалити с чужим доменом это лучшее? По мне - худшее: резолвинг "маскировочного" домена будет указывать на его реальный айпи адрес, а не на ваш, что сразу скажет о высоком шансе нахождения влесс реалити на сервере, особенно если домен выбран бездумно, например от какого-то очень популярного сайта, или сайта который находится на CDN (напр cloudflare или akamai), что будет палить вашу впску как CDN, чего просто быть не может при легальном использовании. К тому же "маскировочный" сайт может вас забанить за постоянные запросы к нему или упасть, что положит ваш реалити.
self steal вы без каких либо причин пишете что его палят. Как? Домен свой, сайт есть, резолвинг указывает на тот же айпи куда вы подключаетесь - идеально, особенно если использовать XHTTP с мультиплексом.
И ещё совершенно непонятно что написано в пункте с XHTTP, плохо понял к чему там ссылка на разбор, но у меня на него стоит минус т.к. это очень плохая копирка с элементами бреда и без источников, лучше прочитать их:
Статьи в моем профиле
Ещё советую прочитать коммент к соседней статье
https://habr.com/ru/articles/1104872/comments/#comment_30612814
На всякий случай - статья поменялась с момента комментария, или я что-то в ней не так понял? Потому что я её понял именно так, как вы описали: “работает только self-steal, всё остальное палится”.
self steal вы без каких либо причин пишете что его палят. Как?
Тоже считаю это наилучшей маскировкой. Свой сайт + обратный прокси на входе (Angie, Caddy, Nginx). Https терминируется на прокси, а дальше непонятные запросы (active probbing) перенаправляются на сайт с котиками, легитимные запросы на xray или в панель. Отлично работает с транспортом XHTTP. Еще важно, при active probbing намеренно отправляются невалидные запросы и анализируется ответ. XRAY их тупо отбросит, а прокси ответит как валидный web-сервер, что как бы дополнительный плюс.
Кажется, тут недопонимание. В статье прямо говорится : “Чужой SNI использовать нельзя, соединение быстро палят”. И наоборот рекомендация использовать self steal на своем домене с настоящим сайтом, прошедшая проверку временем. Критика про ссылку принимается. Тут я ничего не придумывал и пользовался существующими результатами исследований, просто упомянул как обстоят дела без углубления в эту область. Кто следит, тот знает. Кто не следит - прочитает хотя бы так и если заинтересуется, найдет. С аргументами про резолвинг и CDN согласен. За ссылку спасибо, не видел ранее.
Параллельных TLS-рукопожатий к одному SNI должно быть минимум. По реконструкции поведения ТСПУ, больше трех рукопожатий к одному SNI за короткий интервал вместе с другими признаками (подсеть хостинга, TLS отпечаток) замораживают трафик к узлу примерно на две минуты, а смена отпечатка во время заморозки продлевает ее до десяти.
Любой современный браузер при первом соединении с сайтом открывает 3-5 параллельных соединений. Это видно по логам. Вот долгоживущее TLS-соединение - признак туннеля.
Весь трафик клиента должен идти в туннель. Если его нужно делить, делать это лучше на сервере.
Поспорю. Web-трафик клиента лучше делить на уровне разных браузеров/профилей. Ошибиться при конфигурации сервера так же легко, как и при конфигурации клиента, а поправить ошибку дольше и сложнее. Кроме того, ситуация "весь трафик клиента идёт на один узел" - это очень яркий признак VPN. Тогда как при наличии трафика от нормального серфинга VPN туннель будет не так заметен. С приложениями сложнее, да, но тут или использовать прокси с авторизацией, или вообще отдельное устройство, если не можете отказаться от услуг отечественных стукачей.
И ведь дальше это спорное решение тащит за собой героическое преодоление самостоятельно созданных проблем, например, что делать с обращениями к российским ресурсам.
Телефон в режиме TUN присылает адрес назначения как IP, имя сайта есть только в SNI. Без sniffing в инбаунде доменные правила не срабатывают, и трафик уходит не в тот выход.
Режим TUN вообще лучше без нужды не использовать - в нём даже авторизации нет. Для особо тупых приложений на ПК есть socksify и т.п.
Надо блокировать весь ру трафик на зарубежном сервере
От запроса типа https://www.cloudflare.com/cdn-cgi/trace это и впрямь не поможет. Но зато поможет при обратной ситуации, когда на внешне не российском сайте висит яндекс-метрика. Заодно приучит пользователя смотреть, в каком профиле он работает.
Отличные посты для, РКН , уверен они подпишутся 👍
Давайте, прежде чем допускать очень сложные почти-параноидальные схемы, сначала переберем более простые варианты?
У меня тоже в это время один мой сервак вдруг оказался недоступен (сегодня уже доступен). Важные моменты:
1. Сервак был на аезе
2. Им могли пользовать всего несколько человек (но скорее всего - вообще я один, да и то редко)
3. Сервак был доступен из мира но недоступен из РФ
4. Я попингал (из дома и из мира) и свой и соседние (подозревал, что аеза всю сеть как-то потеряла) - так вот, часть IP была недоступна из дома (но доступна из мира). Но только часть - а другая часть была доступна!
Вот шаблон, когда тысяча человек ломится на один сервер - в моем случае никак не подходит. Если блочат по каким-то "слабым" признакам (и этого достаточно для блокировки) - тогда, выходит, что блочат вообще все подряд... тогда бы и обычные сайты полегли.
По крайней мере в моем случае у меня возникает гипотеза, что виновата репутация подсети? есть какой-то спорный слабый признак, вот по нему блокируют только "плохие" сети. Поэтому вопрос - а эта проблема касалась всех хостеров или только бюджетных, дешевых, популярных среди впн-юзеров?
Второй интересный момент - а почему сейчас разблокировали? Из соображений гуманности? Или очень слабая, нечеткая сигнатура, по которой мой сервак заблочили - оказалась такой же, по которой заблочились серваки, которые нельзя блочить (нужные там сберу, газпрому итд)?
Вчера тоже отлетела аеза. Сегодня утром нахожу нового хостера, покупаю ВМ и пытаюсь подключиться. Коннекта нет. Пишу в ТП про смену адреса. Весь день тишина от ТП нового хостера и тут к вечеру аеза вылезает из бана вместе с новой ВМ из новой локации. То есть как-то массово в эти дни было.
Я вообще хочу сейчас поискать какой-то хостинг не связанный с РФ и с оплатой только заграничной картой. Что-то типа хетцнера, но чтобы не такой известный и не из ЕС.
Да сделай каскад и все и юзай дальше свой впс.. Ну +400р. В мес к расходам
Мне смутно помнится (сейчас не могу перепроверить), но вроде у меня были серваки которые попадали в бан, и вот если они попали - то они и с других российских площадок уже не пингались.
Возможно, если каскадом делать - то они в бан и исходно не попадут, но если таки попадут - есть риск, что и каскад не поможет.
ну у меня с одного мск впс оба ходят, правда один только через tcp по xray
кстати что интересно, второй уже разблокировали, через 4 дня - видать зацепили когото)))
ну ради экспиримента я на Timeweb брал облака почасовые в спб и нск, без проблем поднимал каскад, т.к. юр лица уверенно смотрят во внешку в целом
У меня прямо сейчас каскад РФ-Нидерланды - какое-то время второй сервер был недоступен отовсюду в РФ, в том числе и с первого сервера; в итоге пустил трафик вывернутым методом (зашёл на нидерландский окольным путём, прокинул SSH-туннель до российского - в эту сторону доступ был - и пустил xray через него).
Ну не знаю где брать для этого вм еще. Доступа не было с Селектела, дома, некоторых других городов. Откуда достучаться?
Хм, посмотрел мой забаненный VPS еще первого числа (он даже не пинговался), а сейчас как минимум пингуется. Я в шоке)
Заход разок на mail.ru с включенным КВН через 6 часов IP сразу в бан. IP до этого работал около года, может больше.
Просто совпало. Бывал там с двух адресов и не раз, ни один в бан не улетел в те же недели. Мне кажется, тут нет "зайди туда, они спалят и настучат". Тут скорее всего всё таки трафик "слушают" и блочат по активности, порой целые сетки.
На днях был массовый какой-то бан с последующим разбаном. Сужу по чату одного хостера, чату клиентов в телеги. Меня пронесло, соседей зацепило, на пару дней/часов народ отпустило.
Да вот что-то не похоже было. За сутки был единственный заход с импортного IP впервые и именно на маил.ру и сразу в бан (хостер который в принципе попадал под блокировки РКН). Тот IP не использовался для ру сегмента, а пришлось потому как внезапно! скорость с майл клауд с внешнего IP была выше чем с российского локального - для своих же граждан режут скорость полка была 40 мбит стабильно, с импортного от 350 мбит. Такие дела.
Говорю же, совпадение. Ну или просто в бан веерно отправляли целой подсеткой. Через два КВНа ходил на майл и сейчас хожу всю неделю, ни один в бан не улетает. Что в браузере, что скриптами парсерами с одного из серваков с квном. При этом эти два сервака уже года 3 работают, второй месяца полтора назад банан ловил (без майла), неделю как отпустило. Первый месяц назад бан ловил и так же недели через 2-2.5 сам из банов выпал.
Там фиг поймёшь как палят, но уж точно не по "ты туда ходил, они настучали!". ВК вот тоже с КВН порой открываю, проблем нет, да и макс болтается на телефоне. Я больше поверю, что просто трафик как-то палят или сети/подсети.
У меня года три назад квн отвалился, банальный ванильный опенвпн был "из коробки". Я тогда по разным хостерам побегал, где-то не подымался, где-то подымался, но не работал на моих провайдерах (т2, йота, проводной). Где-то работал неделю-две и умирал (вечный дисконнект). Я тогда провайдеров с ВПСками штук 30 перепробовал в разных странах. Самое прикольное было с путешествиями по разным городам РФ. Где-то квн переставал работать в местной сети на том же сотовом операторе, а как из области выезжаешь, сразу начинал работать. Магия прям. Ощущение, что не централизовано блочили, а как-то полулокально или то просто регионы "бета тестеры" были.
Здравствуйте. Если у вас возникают трудности с использованием нашего сервиса, пожалуйста, расскажите о них как можно подробнее через нашу специальную форму: https://help.mail.ru/mail/forms/support/
Постараемся разобраться в ситуации и помочь вам.
Проблема решилась сменой ip
"Сначала переберем более простые варианты?"
"Сервак был на аезе".
А вот и проблема.
Мое имхо: те айпишники которые банят, вы же потом когда откажетесь от сервера - они уйдут кому-то другому. И если на таких хостингах оплата российскими картами доступна, значит это российский бизнес. Потому они просто бизнес не глушат, ибо у хостингов не бесконечный же пул ip, вот вам и разбан через неделю если больше на сервер никто не долбится. Либо же сам бизнес запросы присылает на разбан.
Я года два использую в основном один сервер. Есть еще резервный, но нужен на случай простых сбоев. Последние наблюдаемые проблемы привели к необходимости разделить dns трафик. Никаких специфичных протоколов не использую. Основной плюс моего подхода обфускация. В последнее время даже лучше работает чем раньше.
На слове нужно использовать метод маскировки например Hysteria2 статейку можно закрыть.
Обьясняю, всем кто использует Hysteria2 очень быстро банят айпишики. Этот протокол был в детекте у ркн с самого начала, и использование его для маскировки - глупо. Также обидно что автор почему то не упомянул обязательное наличие какой нибудь веб заглушки перед xraycore, что бы реальные люди(а в теории и цензор) видели не впн а ваш сайт.
Также хочу отметить что xhttp просто не достаточно, там он без долгой настройки под каждого провайдера без фрагментации скорее всего не заработает, можно попробовать grpc/websockets(хз как у вас но на ростелекоме чуваки не жалуются у меня).
Также обидно что автор почему то не упомянул обязательное наличие какой нибудь веб заглушки перед xraycore, что бы реальные люди(а в теории и цензор) видели не впн а ваш сайт.
Упомянул же:
Self steal SNI. Маскировка под собственный домен, настоящий сайт работает на том же сервере. Чужой SNI использовать нельзя, соединение быстро палят.
Ну значит мне повезло - у меня на домашнем прове (перепродаёт канал ростелекома) hysteria2 работает без проблем уже несколько месяцев, причём даже стабильнее чем VLESS. Вот на мобильном (yota) она не проходит от слова совсем, даже соединение не устанавливается. Там только VLESS, и только если доля трафика незначительная - держать телеграм живым хватает, но длительный сёрфинг уже может подкосить. DoH использую свой собственный.
Hysteria2 уже два года пашет на одном сервере, проблем нет. ВПН подключается на роутере стоит через mihomo.
Жесть конечно тут любители усложнять собрались когда до сих пор даже банальный openvpn не отлетает. Вас с вашими манипуляциями ТСПУ скорее как вредоносный трафик режет чем как то что целенаправленно блокировать пытаются
Не знаю, что у вас за провайдер, но у меня openvpn отлетел ещё в 2024 году вроде - и это, на минуточку, ещё пров не торопится новые методы блокировок вводить. У многих openvpn отлетел на годы раньше.
Всë меняется. В 2024 поднял в Нидерландах, проработал год с небольшим. Заблочили после того, как в командировке через него заметный трафик прошёл (видеосвязь), примерно через неделю после того.
В этом году поднимал тоже Нидерландах, но другой провайдер. Трафик не слишком большой, но продержался несколько дней - заблокировали.
В обоих случаях обычный openvpn по udp. После блокировки уже бесполезно менять как-то настройки - только адрес менять.
В обоих случаях обычный openvpn по udp. После блокировки уже бесполезно менять как-то настройки - только адрес менять.
И протокол VPN стоит поменять.
Имхо, идти через Нидерланды вообще дурная идея сейчас - у РКН если не пол-страны в бане по подсетям, то как минимум на трафик туда смотрят более внимательно. Я вот взял резервный ВПС в Италии: не очень далеко, своих ограничений у них минимум, в санкциями не очень торопятся. Авось продержится сколько-то.
Два федеральных в разных локациях города, еще периодически подрубался к местечковым в других городах. Плюс yota на мобильном. За несколько лет в отвале сервак был ровно один день когда цод горел.
Из цифровой гигиены разумеется все местные приложения снесены и используются только в браузере, все что можно обойти без использования впн обходится костылями без использования впн, используется в соло
Пров не вводит никаких новых методов блокировок, тем более по протоколам.
надо было подключиться к одному серверу openvpn, так пришлось городить подключение к нему по другому маршруту, провайдер на хэндшейке резал, причем в условно безопасном регионе сервер был
За одну неделю отлетело два сервера: первый с амнезией, а второй с naiveProxy. Амнезия была только на мобильном телефоне. А наив на ПК. Для него стоял отдельный Firefox.
> Еще два мне уже не принадлежат, поэтому их состояние ничего сказать не может.
А потом эти адреса достаются бэкенду мобильного приложения и домен улетает в бан, вероятно как управляющий домен VPN провайдера. Причём бан явно динамический и всё к чему прикасается домен - становится тоже "заразным"
Так что тут наверное 2 урока
- Проверяйте новые ресурсы.
- Меняйте всё что можно поменять одновременно и за раз.
Хз. После того как два моих перестали ходить напрямую я просто сделал каскад через ру впс где у меня и так часть инфраструктуры. До ру впс авг3 после авг3 или иксрей. Все как часы... И кстати один из моих вас вчера снова заработал видимо кого-то зацепили дебилы хах значит норм сервер .. Но все равно хожу по каскаду чтобы лишний паттерн не создавать
я могу отдать руку на отсечение, приложение озона сдает 100%. я не говорю что только они, но они 100%
Естественно, реальный хозяин Озона же кто? Вот и ответ.
Ничего они не сдают.
У них тупейший фильтр по ГеоIP.
Тоже думаю, что озон. Как начал заходить на него - ИП блокнули. А вообще надо удалять ВСЕ российские приложения. Только веб версиями пользоваться. Не зря эти ру приложения удаляют из app store и гуглплэй - шпионское ПО.
Реалити с чужим сни не отлетает уже больше года. Два сервера у разных хостеров, на одном обычный реалити, на другом xhttp.
Всё списываю на то, что российский трафик на серверах запрещён, а остальное перенаправляется в следующий хоп через варп.
Всегда есть люди, которые говорят, что у них OpenVPN или WG 1.0 работает. Быть может это и так, но в общей массе такое блокируется. Реалити с чужим SNI отлетали ранее, сам я на такое не натыкался, но по рекомендациям переехал на свой домен. Как сейчас обстоят дела с этим не знаю. Но маскировка Telemt под чужой домен у меня отлетела, после переезда на свой работает уже больше месяца.
Вижу много комментов на тему того, что часто айпишники менять приходится. А вас забанили только РФ - не РФ или еще и не-РФ - РФ. Если бан только РФ - не-РФ, настройте frp на wss или asport или Backhaul. У меня так все с кайфом живет бодренько и даже не через обоссаный WG и его форки
Чем автору так не понравился vless/tls на собственном домене, если он будет указывать на твой ip при проверке?
Кстати, чтобы не палить ip сервера, то на клиенте можно настроить маршрутизацию по приложениям, а не по geo'файлам.
И по моему мнению все эти блокировки в основном касаются в большей степени коммерческих впн серверов на 1000'и пользователей.
мне интересно, а сколько траффика проходит между серверами, пока их не заблочат?
Думаю WARP как выходная нода это временно, КФ рано или поздно закрутит гайки по лимитам для бесплатных аккаунтов
Этого конечно нельзя исключать, но он в таком виде уже 7 лет существует.
Я на днях пробовал схему с CF. Получается мой забаненый VPS был за CF. Входящий коннект в панели я увидел, но в РФ вообще ничего не открылось. Пару раз за все время теста открылась рандомная страничка. Как-то я и не понял вообще в чем причина.
Между тем, всё это напоминает даже не классическую битву "снаряда и брони", а что-то вроде битвы древнегреческого воина со щитом против рентгеновской установки: чем навороченнее и тяжелее щит, с поглощающим нано покрытием - тем он меньше в диаметре, и тем больше из-за него виднеется голое тело...
И главное, зачем, что, вернее кого, защищает этот воин?
“1 ноября собрал систему по этим правилам и выждал почти неделю, чтобы проверить работоспособность. Как говорится, ни единого разрыва.”
так а себе то что поставили?
Каскад через российский / Обратный каскад / Второй IP-адрес на том же сервере ?
а то перечислены все варианты, а что сами используете то?
Пока выбрал смешанную схему РФ -> не-РФ -> не-РФ. Подключаться можно или к первому, или ко второму, в зависимости как нужно обрабатывать ру трафик. На данный момент это не особо важно, главное не палить входной IP.
То есть каскад “РФ -> не-РФ”
Смысл “не-РФ -> не-РФ”? или там на 1 сервере, но разделен входной и выходной трафик? и опять же зачем…
Есть инструкция по настройке каскада? может пробегала на хабре…
можете подсказать недорогой хостинг в РФ? они почему то все дороже европейских
хостинг в РФ подбирали по принципу белых списков? на что ориентировались?
точка входа в РФ / Русский каскад со своим сайтом? рабочий сайт использовали или одностраничку / однодневку нарисовали?
Смысл “не-РФ -> не-РФ”
Смысл простой, в схеме РФ -> не-РФ, выход блочится, блоча при этом связь РФ -> не-РФ. Когда у тебя схема РФ -> не-РФ -> не-РФ выход будет отличаться от хоста к которому коннект из РФ, а значит блокировка выхода не повлияет на связь из РФ, так как на не-РФ -> не-РФ не действует блокировка внутри РФ.
Блокировка выхода не повлияет на связь из Рф.
А в итоге egress отвалится и выхода не будет никакого.
И будешь заново искать vps для 3 hop.
Итого поддерживаешь лишь дополнительную ноду, которая выгоды никакой не дает, и является такой же точкой отказа. как и предыдущая нода
Блокировка выхода не повлияет на связь из Рф.А в итоге egress отвалится и выхода не будет никакого.
Не понял связи между этими двумя предложениями. Вы имеете ввиду, что при блокировке egress-ноды отвалится трафик egress->РФ? Ну так и фиг бы с ним, через туннель вообще не стоит ходить на рф-ресурсы. А если надо будет сконфигурировать забаненную egress-ноду, то просто используем ingress-ноду как прокси для ssh, либо в лоб как socks, либо средствами самого ssh.
Статья снова ИИ написана? как в двух абзацах уживается "
Мастхэв для Xray сейчас:
VLESS поверх REALITY. Настоящее TLS рукопожатие с сертификатом сайта, соединение без ключа клиента уходит на этот сайт. Активное зондирование видит обычный веб-сервер.
Self steal SNI. Маскировка под собственный домен, настоящий сайт работает на том же сервере. Чужой SNI использовать нельзя, соединение быстро палят."
тьфу..
На прошлой неделе отвалилась выходная нода в de (shadowsocks от входного сервера в РФ)
Сначала сменил ip у de ноды - часов 10 проработало, затем сменил ip + перешел на trusttunnel - забанили где то через двое суток, добавил еще один хоп промежуточный в не РФ - полет нормальный.
на этом же сервере в РФ такой же shadowsocks туннель до сервера в Турции как работал так и работает
ipsec, ike2. чувствую себя хорошо больше 5 лет и вам советую.
Остается один вариант, приложения пользователя проверяют его IP адрес, отправляют куда надо и через какое-то время его блокируют.
Мой личный опыт это не подтверждает. Раньше у меня было прямое соединение до сервера в Европе. В начале сентября его заблокировали. Затем я перед европейским сервером поставил мост в России и адрес европейского сервера через месяц даже разблокировали и он напрямую доступен до сих пор. Хотя им пользуется немало людей с целым зоопарком российских приложений.
Но буквально на днях от российского хостера пришло письмо, что я нарушаю условия использования, проксируя трафик на своём VPS. Есть подозрение, что точку входа трафика внутри России вычислил РКН и настучал хостеру. Тем временем, IP выходного узла в Европе всё ещё доступен. Делайте выводы.
Интересно, с точки зрения закона рассмотреть - с какого х… неведомая нмкому, мутная шарага блочит что попало и как попало? Есть же ФАС, на лице все признаки…
Я давно себе установил exclave и как не странно после этого у меня VDS не блочат
Тоже сервер жил 4 года в NL на обычном WG. Отлетел на днях. Даже пинги не алё.
Что сделали. Взяли два новых IP. Один на вход, другой на выход. Заблочен выход на РУ прям на сервере. Поставлен AWG 3.1. Наблюдаем.
Второй вариант..в связке двух серверов. ру+нл. цепляемся к ру . там сортируем траф, если обращение в ру сегмент то и идём через ру IP если что то другое то перенаправляем на сервер в NL и уже оттуда выходим.
Я статью прочитал бегло, но хочу поделиться.
Обнаружил, что RKNHurdering находил IP моего VPN. Оказывается сплит тунелирование в клиенте singbox (и вполне вероятно в xray) - это не прям жесткое правило, потому что приложение может напрямую подключиться к интерфейсу:
https://github.com/SagerNet/sing-box/issues/4009
Добавил себе такое в route.rules (как на xray будет не знаю):
{
"type": "logical",
"mode": "and",
"rules": [
{
"inbound": [
"tun-in"
]
},
{
"package_name_regex": [
"^[A-Za-z][A-Za-z0-9_]*(\\.[A-Za-z][A-Za-z0-9_]*)+$"
],
"invert": true
}
],
"action": "reject",
"method": "drop"
},Это правило за блокирует подключение через вызов OS_BIND. Для того, что бы это полноценно работало, нужно скачивать не из Google Play, а с релизов илм F-Droid.
Удивительней для меня было то, что все это было на хваленой GraphenOS, а там это даже между отдельными пространствами пользователей сработало:
https://github.com/GrapheneOS/os-issue-tracker/issues/7655
То есть там не полноценная сетева я изоляция между профилями.
Будьте внимательны.
По моему опыту, блокировки личных VPN снимают в течение 1–5 недель. В итоге все мои заблокированные VPN рано или поздно снова начинали работать.
За fallbackTag в blackhole плюсую в полный рост, сам на этом палил ноду при рестарте демона, пока обсерватория тупила. но вот теория с приложениями-стукачами ломается об один упрямый факт из вашей же статьи: забаненные айпишники через неделю сами выходят из бана.
По прямому стуку от антифрода условного озона или метрики айпишник улетал бы в перманентный бан без всяких амнистий. эти качели с разбанами больше похожи на обкатку кривой эвристики ТСПУ по зашкваренным подсетям популярных лоукостеров типа Аезы. выкатили агрессивное правило на весь ASN, рубанули ваше самое активное плечо по объему трафика, попутно положили чей-то легитимный B2B-транзит, получили по шапке и откатили правило взад.
Разделять вход с выходом через WARP сейчас, конечно база, но вместо постройки космолетов из каскадов проще перестать брать серваки в трех заезженных голландских ДЦ, которые принимают крипту и карты Мир.
У кого-нибудь еще есть статистика по воскрешению айпишников после таких массовых банов?
На статистику не тянет, но личный опыт такой:
3 сервера, 4 раза попадали в полный бан по ip. Все разы выходили из бана в период от 2 недель до 2 месяцев и после раз ага продолжают работать с теми же настройками. Подозреваю, что попадают просто под ковровые баны по подсетям.
Я не понял. В панели для приложений HAPP и INCY включать маршрутизацию надо или нет? и прописывать там правило? или это будет лишний раз выдавать мой IP... сорян за вопрос и вдруг невнимательность)
Мой первый сервер 4.5 года работал, второй неделю.
Есть такое когнитивное искажение про ошибку выжившего. Думаю, тут только выбор разных провайдеров может помочь. Т.е. не сидеть на одном.
У меня патченный OpenVPN с XOR-обфускацией. И всем вот этим мракобесием из статьи не нужно заниматься. Но не исключаю, что что-нибудь тоже да отлетит. Проплатил 6000р за 5 лет. Из 100+ серверов в разных странах работают штук 30 точно. Где-то трафик из РФ блочат с той стороны, где-то с нашей стороны блочат. Но все равно не на что жаловаться.
Не так РКН крут, как кажется, видимо
Я живу за пределами РФ, но мне тоже приходится использовать посредников для обхода региональных ограничений. Мой выбор - публичные прокси (предпочитаю HTTPS).
С помощью вайб-кодинга я "нарисовал" GUI-приложения для сервисов с геоблоком, добавив в них функцию прокси-моста. Вот пара примеров моих проектов:
https://github.com/zloi-user/hdrezka-gui
https://github.com/zloi-user/limehd-efir
- VLESS поверх REALITY. Настоящее TLS рукопожатие с сертификатом сайта, соединение без ключа клиента уходит на этот сайт. Активное зондирование видит обычный веб-сервер. - Self steal SNI. Маскировка под собственный домен, настоящий сайт работает на том же сервере. Чужой SNI использовать нельзя, соединение быстро палят. - XHTTP. Данные идут обычными HTTP/2-запросами. C февраля 2026 года VLESS+REALITY поверх голого TCP массово режут - первые ~16 КБ проходят, дальше соединение замерзает (разбор), поэтому raw TCP использовать нельзя.
Господи, зачем здесь Reality? Ну серьезно, если у вас уже есть свой собственный домен и фейковый сайт и вы используете XHTTP - зачем вам тут Reality? Оно только добавляет ограничений и не дает никаких преимуществ в этой схеме. В этом случае разумно поменять части местами: веб-сервер (Nginx/Caddy) слушает на 443 порту и светит в интернет фейковым сайтом, настоящим TLS-сертификатом и правильным фингепринтом, а запросы на определенные URL передает на Xray слушающий на localhost. В итоге меньше точек отказа, можно подключаться не только через TLSv1.3, но и TLSv1.2 (полезно учитывая особую любовь РКН к TLSv1.3), можно подключаться не только по TCP, но и через QUIC (HTTP/3) как запасной вариант, можно подключаться не только напрямую, но и через CDN и API Gateway облачных провайдеров.
У меня на не большой выборке другая статистика, на протяжении 3х недель вылетают ip адреса, при том что блокируются они на уровне ТСПУ. В блоикровку уходят как правило стабильно в пятницу.
После блокировки подключение уводил на новый ip, и так до пятницы.
Начал тестировать схему как раз c хопом через РФ, где РФ трафик идет в РФ, а зарубежный через выходную ноду. За транспорт взята AWG 3.1, пока наблюдаю
Итого то, что есть:
1. RU-трафик идёт напрямую, остальное — через выходную ноду: сплит-маршрутизация по спискам RU-префиксов.
2. + C24Be
upd. А тем временем иностранные виртушки с просто AWG 3.1, в бан улетают и при отсутсвии активности с ними, примерно через неделю снимается блокировка, только что посмотрел, машины которые на той неделе были в бане, сейчас доступны.
sni: max ru на раскурочку просто ставишь и запыхтит твой впн снова 🤙🤙
Как уживается рядом
Мастхэв для Xray сейчас:
- VLESS поверх REALITY
.....-C февраля 2026 года VLESS+REALITY поверх голого TCP массово режут
Есть какая-нибудь инструкция по настройке vpn между 2-мя серверами? И какой протокол лучше использовать?
VPS есть (также ранее заблокировали несколько), но знаний и времени не хватает быстро настроить еще vpn между 2-мя серверами, чтобы была связка я - vps1 - vps2. Я - vps1 (есть AmneziaWG), vps1 - vps2 (нужно настроить).
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Методичка по построению VPN, осень 2026