Комментарии 94
Про DNS запросы - кажется, вы описываете DNS IP leak. Тут ещё нужно генерировать какой-то рандомный поддомен (чтобы точно ничего нигде не кешировалось), и убедиться, что ваш сервер якобы его резольвит. DNS клиент (как минимум в Windows) по умолчанию отправляет DNS запросы сразу по всем интерфейсам, поэтому и палится оригинальный IP, несмотря на подключенный VPN. Точнее, видно только DNS сервер, от которого приходит запрос, но владелец этого DNS сервера знает, куда вы ходите, несмотря на VPN.
В нормальных VPN клиентах эта уязвимость исправляется, чаще всего на уровне WFP.
Проверяйте свои VPN клиенты :)
На уровне ОС это тоже настраивается включением опций DisableParallelAandAAA и DisableSmartNameResolution.
Действительно, через групповые политики. Но надёжнее в любом случае заблочить DNS пакеты на всех интерфейсах, кроме VPN.
Правильнее грамотно настроить маршруты, чтобы любой трафик не мог идти в обход VPN, а не блокировать один вид трафика на всех интерфейсах.
Любой трафик от нативного приложения по определению может общаться с любого интерфейса, что Windows 10+ и делает? Если же их DNS-клиент шлет @interface-nameserver с source IP 0.0.0.0, при этом перебирая все интерфейсы - было бы странно.
Правильнее грамотно настроить маршруты,
Тут я еще не уверен, что сетевой стек Windows правильно обрабатывает fail-over (подморгнем Wireguard), но это как-нибудь в другой раз.
dnsleak палит точку выхода (vpn) - если у тебя random-location-dns то всё равно по задержке до dns понятно откуда выполз
VLESS применяет транспортные протоколы, такие как WebSocket и HTTP/2
Не так. VLESS может использовать WS и HTTP/2 как транспорт, но в 99% случаях (самые популярные варианты настройки из статей, от продавцов прокси, т.д.) он их не использует - там происходит обычный TLS-хендшейк, после чего сразу начинает работать чистый VLESS (который вообще очень примитивный протокол). То есть никакого HTTP там нет, единственное что его объединяет с HTTPS - это то, что в ALPN при установке TLS-соединения там может быть h2, и что сервер слушает на 443 порту, и фоллбэкается на настоящий веб-сервер если клиент не прошел проверку "свой-чужой".
Как выявить, что на твой сайт заходит пользователь через прокси или VPN?
Вы забыли самые простые и популярные способы.
IP-адрес клиента из диапазона дата-центров, а не residential.
На IP-адресе клиента что0то слушает 443 порт (очень актуально в эпоху расцвета VLESS и подобных).
Разница в таймзонах. Если по GeoIP клиент из Амстердама (потому что там прокси-сервер), а на клиентской машине таймзона Moscow или Yekaterinburg (это можно определить скриптом в браузере), то это тоже красный флаг.
Разница в пинге, грубо говоря от клиента до целевого сервера задержка 120 мс, а вот сервера до IP-адреса клиента всего 20 мс (потому что сервер у вас в Стокгольме, клиент пингует Стокгольм из Москвы, а Стокгольмский сервер в ответ пингует IP-адрес прокси в Амстердаме). Из браузера такой тест с хорошей точностью сделать сложно, но возможно.
Ну и самое тупое, некоторые сайты тупо банят клиентов, если у них в браузере в списке предпочтительных языков есть русский язык :)
На IP-адресе клиента что0то слушает 443 порт (очень актуально в эпоху расцвета VLESS и подобных).
Разве? Многие пользователи сидят за NAT, а их внешний IP - это IP роутера, и на 443-м и 80-м портах висит веб-интерфейс администрирования этим самым роутером.
Многие пользователи сидят за NAT, а их внешний IP - это IP роутера, и на 443-м и 80-м портах висит веб-интерфейс администрирования этим самым роутером
Пользователей с белыми IPv4 в мире все меньше и меньше, люди действительно массово сидят за NAT'ом, но не только за домашним, а еще и за провайдерским (CGNAT), и поэтому их устройства просто так не доступны снаружи.
Ни один приличный роутер при настройках по умолчанию не откроет свою веб-морду на внешний сетевой интерфейс.
Доступ к админке снаружи нужно специально и осознанно включать ручками.
Пользователей с белыми IPv4 в мире все меньше и меньше
Возможно и так, но в России у очень многих провайдеров пользователям выдаётся динамический белый IP
Пользователей с белыми IPv4 в мире все меньше и меньше
Не факт. Но даже если и так - пользователь может включить доступ снаружи и его роутер будет отвечать на 443 порту.
но в России у очень многих провайдеров пользователям выдаётся динамический белый IP
У вас есть достоверная точная статистика по всем российским провайдерам?
Мои наблюдения показывают, что в России таких провайдеров становится все меньше и меньше по естественным причинам.
Но даже если и так - пользователь может включить доступ снаружи и его роутер будет отвечать на 443 порту.
С дуру можно и х.. сломать, и ногу прострелить. Во-первых, нет смысла ориентироваться на единичные пограничные случаи, а во-вторых, никто в здравом уме не будет принимать решение в подобных эвристиках только по одному фактору, они всегда принимаются по совокупности.
>Возможно и так, но в России у очень многих провайдеров пользователям выдаётся динамический белый IP
выдавался
например у билайна (один из крупных)
А что подразумевается под IP-адресом клиента? Если прокси в датацентре в Германии, то незакрытый от всего мира VLESS будет слушать 443 порт. IP-адрес клиента за компом в РФ ничего слушать и не должен.
Провайдерские роутеры настаиваются через порт 58000 (TR-069).
на 443-м ... портах висит веб-интерфейс
У большинства роутеров веб-интерфейс в WAN не торчит.
У большинства роутеров веб-интерфейс на 443 порту не доступен, потому что это HTTPS, а, значит, нужен домен, потому что на обычный IP-адрес никто сертификат вам не выпишет.
Во-первых, роутер сам может резолвить router.asus.com на 192.168.1.1.
Во-вторых, производитель роутера вполне может договориться с поставщиком сертификатов и выпустить для своего роутера соответствующий. Либо в инструкции написать "чтобы зайти в интерфейс нужно открыть https://router.asus.com, а если появится вот такой вот экран, то нажать на "Advanced" и далее на "Proceed to router.asus.com"". И 99% пользователей, которые диктуют телефонным мошенникам коды из SMS "1234 ваш пароль от банка, никому его не говорите!", как пить дать так и сделают.
Да резолвить дело-то не хитрое, но сертификата не дадут, потому что доменное имя общее для всех роутеров.
Вот, скажем, Keenetic даёт, но там доменное имя 3 уровня уникальное для каждого роутера. И даже там наружу по умолчанию всё это не торчит, и надо явным образом включать руками. А, как известно, если что-то по умолчанию не включено, то у большинства пользователей оно так и будет.
На внешних адресах, по умолчанию, админка запрещена. Только в локалке работает. Можно, конечно сделать при желании, но зачем? С работы домашний роутер настраивать?
А для чего вообще сайту знать, использует пользователь прокси/VPN или нет?
Например, некоторые сервисы очень не любят, когда пользователь регистрируется выдавая себя за жителя одной локации, а на самом деле живет в другой (например, там где подписка будет стоить дороже или санкции что-то запрещают)
А причём тут прокси/VPN? Если нужно знать расположение клиента - запросите эту информацию (и, при желании/необходимости, верифицируйте) ровно так же, как и любую другую (вроде email). Нет никакой проблемы сделать сервис, который будет верифицировать пользователей разными способами (включая традиционный сбор коммунальных квитанций), и предоставлять другим сервисам информацию о стране расположения юзера, освобождая их самих от необходимости запрашивать у юзера подтверждения.
Реальная же проблема не в этом, а том, что хочется "и на ёлку влезть и не ободраться" - увеличить прибыль (или защититься от штрафов за нарушение закона) с минимальными расходами. Проверять у юзеров документы - дорого. Даже использовать сторонний сервис для такой проверки - есть риск что немало юзеров предпочтут отказаться от использования вашего сервиса если он начнёт требовать чтобы они прошли верификацию на стороннем сервисе и даже чтобы они просто подключили этот самый сторонний сервис если они его уже используют (потому что необходимость разглашать личные данные всем подряд - в принципе бесит). Поэтому принимается решение блокировать вполне легальное использование прокси/VPN, в надежде что это позволит решить проблему максимально дешёво.
И тут ровно два варианта изменить эту ситуацию: либо за такое люди начнут массово судиться и штрафовать компании (что маловероятно, потому что скорее всего такие решения компаний не нарушают законов тех стран, где они зарегистрированы), либо текущие тенденции приведут к тому, что через прокси/VPN будет сидеть настолько большой процент юзеров, что отказываться от них станет не выгодно (а вот это вполне вероятно).
Например, Википедию запрещено править через средства анонимизации, поскольку при этом соотношение вандальных правок к полезным очень велико и выгоднее пожертвовать толикой полезных правок, чем потратить уйму усилий на устранение вандализма (в русскоязычном разделе несколько лет назад с большим трудом удалось вычислить и изгнать администратора-клоновода, который маскировал это, пуская клона через VPN - без анонимизации его спалили бы гораздо раньше и он бы попил сообществу куда меньше крови).
У Википедии ж насколько помню можно попросить исключение если внятно обоснуешь почему. И был момент когда (вроде из за Чараса) вообще рассматривали идею выдать это исключение вообщем всем из России кто попросил если таки заблочат.
Но Википедия - особый случай - на чтение спокойно работает хоть через Tor, блокировок в России нет - и смысл лезть править под средствами анонимизации нет.
Ну и насколько помню - это запрет именно про средства анонимизации а через личный прокси/VPN - оно особо не мешает.
Чаще всего - защита от ботов, например от парсинга. Например, сильно ограничивается частота обращения к какому-то АПИ для IP датацетров
Респект, спасибо за дополнение!
Тоже добавлю несколько:
Дыра в WebRTC
WebRTC может раскрыть реальный IP-адрес пользователя, даже если он использует прокси или VPN.К прослушиванию открытых портов клиента помимо 443 можно ещё добавить 1080( SOCKS-прокси), 8080, 3128 (HTTP/HTTPS-прокси) - их должно быть больше - нужно погуглить стандартные.
К IP адресам дата центров можно еще проверять на использование Tor - точки выхода в открытом доступе и регулярно обновляются (надо гуглануть)
Это не совсем по теме, но вдруг кому понадобится. Для проверки утечек(если быть точнее это проверка на бота, но одно другому не мешает 🤣) мне очень нравится пользоваться этим сайтом, там много всего, очень выручал раньше:)
Пс: статья вышла занимательная, спасибо
Ну и самое тупое, некоторые сайты тупо банят клиентов, если у них в браузере в списке предпочтительных языков есть русский язык :)
А что за сайты такие?
а по 5 есть примеры чего-то, что так делает, хоть сколь нибудь значимого?
А можете 4й пункт объяснить подробнее как это реализовать если впн весь трафик от клиента заворачивает через сервер?
Так там метод как раз и основан на том, что через впн весь трафик от клиента заворачивает через сервер.
Сначала проверяется задержка от клиентского устройства до конечного сервера.
Потом со стороны сервера пингуется уже IP-адрес клиента, который видит сервер, и сравнивается задержка.
В случае без VPN/прокси, сначала трафик в обоих случаях идет по одинаковому пути:
клиент->сервер->клиент
сервер->клиент->сервер
То есть расстояние и задержки в примерно одинаковы.
Если используется прокси/VPN, то сервер видит только адрес прокси/впна, а не настоящий адрес клиента, и соответственно в обратную сторону пингует только прокси/впн, а не самого клиента, и получается как-то так:
клиент->проксик->сервер->проксик->клиент
сервер->проксик->сервер
То есть обратный пинг будет гораздо короче, чем от клиента к серверу, что и является показателем того, что что-то тут не чисто.
Тут новости еще круче. Что же делать, ведь удалят сейчас все...
https://www.rbc.ru/technology_and_media/29/11/2024/674969a09a7947dc7ef1f085
YouTube разослал части своих пользователей уведомления, что Роскомнадзор внес их ролики с методами обхода блокировок в реестр запрещенной информации на основании ч. 7 ст. 15.1 закона «Об информации, информационных технологиях и о защите информации». Как следует из уведомления (копия есть у РБК), в связи с этим YouTube предупредил, что, если пользователь не удалит такой ролик самостоятельно, компания может быть вынуждена заблокировать контент.
Представитель Роскомнадзора подтвердил, что они направили требования об удалении материалов, популяризующих использование VPN (Virtual Private Network — технология, которая позволяет создать защищенное соединение между устройством пользователя и сервером, за счет чего пользователи могут скрыть свой IP-адрес и сохранить конфиденциальность в Сети) и других способов обхода блокировок. «К настоящему моменту со стороны администрации YouTube не исполнены требования по удалению более 300 материалов, популяризующих использование VPN-сервисов и других программ для обхода блокировок доступа к противоправному в России контенту», — рассказал представитель Роскомнадзора.
VPN: последний выпуск. Завтра об этом писать нельзя
Настоятельно рекомендую всем ознакомиться с правоприменительной практикой, руководствующейся понятием "длящегося нарушения", когда, например, за пост про ФБК, сделанный в 2011, могут притянуть сегодня, потому что позже ФБК был объявлен экстремистской организацией. Так что завтра о ВПН не только писать станет нельзя, но и этот сегодняшний пост будет представлять угрозу для автора. Такие грустные дела.
Успевайте скринить, пока не удалили)
До принятия закона №406-ФЗ не было явного запрета на распространение информации о VPN. Основное регулирование касалось работы VPN-сервисов, а не частных лиц, которые их рекомендовали или обсуждали. Новый закон вводит жёсткие ограничения на распространение информации о способах обхода блокировок, включая использование VPN.
Да? Ссылку можете дать на то - кто что ввел и кто что подписал?
Так и не понял, в чем проблема писать статьи про VPN не для обхода блокировок, а для построения защищенной сети. Формально ничего не нарушается, а аббревиатура уже у всех на слуху - кому надо, те поймут.
Проблемы нет. Есть риски. Риски того, что "служитель в погонах" поймёт статью по-своему. И доказывайте ему потом что "ты не жираф". Тупо-сила на их стороне. Придумать аббревиатуру вроде "ЧВС" (частная виртуальная сеть или "частная сеть виртуального уровня" ) - конечно можно. Но когда аббревиатура сделается популярной - могут постучаться в дверь. Физически, а не виртуально (
паранойя 80 lvl
Ок, описывай реально правильный сценарий применения VPN.
Лично я использую VPN уже более 15 лет для того, чтобы из любой точки сети мог подключиться своим ноутбуком к домашнему серверу, расположенному в моей квартире. И чтобы посмотреть на уличную камеру, стоящую в квартире.
Долгое время использовал OpenVPN, но когда начались ковровые бомбардировки - пришлось выбирать более стабильные протоколы. Всё с одной целью - я действительно хочу обеспечить надёжное и безопасное подключение к моей домашней сети.
То, что у кого-то "домашней сетью" может оказаться какая-то другая сеть - меня не волнует (и я промолчу, что каждая первая компания, разрешающая удалёнку для сотрудников, использует VPN для тех же целей - надёжное и безопасное подключение).
И при этом - автор статье именно это и делает. Только использует существующий (и обозначающий чуть другое) "VLESS" как замену "VPN". И если VPN бывают разные и для разных целей используется то вот случаев использования решений на базе VLESS НЕ для обхода цензуры - мне неизвестно (да - это может быть китайская цензура или там украинская). Смысл пробовать выиграть по правилам за счет терминологии - если одна из сторон может произвольно менять правила а потом говорить что все так было (при этом правила не все сообщаются и факты корректировки тоже).
то вот случаев использования решений на базе VLESS НЕ для обхода цензуры - мне неизвестно (да - это может быть китайская цензура или там украинская)
Справедливости ради, XRay умеет в reverse-подключения, так что VLESS тоже можно использовать, например, для доступа к ресурсам внутри частных сетей спрятанных за NAT'ом, например.
Проблема в том, что надзорный орган такие эвфемизмы и экивоки не обманут. Это не компьютер, с которым формальные трюки проходят.
Вы, конечно, можете пободаться и оспорить в суде (но на скрытие надзорный орган даёт буквально пару дней, так что сначала всё равно придётся скрыть, а только потом бодаться). Вот только судья тоже не формальный компьютер, а живой человек, который "оценивает доказательства в соответствии со своими внутренними убеждениями" (это не я придумал, это в ГПК РФ так написано). Проще говоря, будет ваше слово против слова эксперта Роскомнадзора, а в чью пользу повернётся внутреннее убеждение судьи? В "нет оснований не доверять гражданину Пупкину" или в "нет оснований не доверять эксперту Роскомнадзора"?
А если в начале роликов говорить (или в начале статей писать), что информация в ролике не предназначена для жителей России? Дисклеймер такой вставлять.
Если информация предоставляется на русском языке - могут сделать вывод, что она нацелена на жителей РФ (в частности, такой позиции придерживается ЦБ РФ в отношении одного уважаемого зарубежного участника финансовых рынков, которого из-за отсутствия российских лицензий, но наличия на сайте инфы на русском языке, включили в один список с финансовыми пирамидами и прочей мерзостью)
А вот интересно - могут ли такой вывод делать если в начале ролика прямо русским языком говорить что это про - обход нелегитимной цензуры. Украинской цензуры. Как бы - у как минимум части населения Украины потребность есть иметь доступ к российским ресурсам есть же а русский для многих из них - родной (что не раз подтверждалось властями России). Хотя конечно может хватить дури допустить появление документа где будет написана что украинская цензура российских ресурсов - вполне себе полезная а помогать ее обходить - плохо.
Нелигитимная цензура ресурсов, пропагандирующих убивать и грабить.
Ну скажем так - вспоминается мне некое стихотворение Убе́й его́! . А теперь вспоминаем кем и в какой ситуации написано.
И...а с каких пор в (например) https://vk.com/exgad https://vk.com/viktorargonovproject https://vk.com/rockoperaikar https://vk.com/glory_to_arztozka https://vk.com/the_lof https://vk.com/ecringe00 https://vk.com/author_today , пропагандируют убивать и грабить(ладно - тут с определенной точки зрения можно понять - в том же https://vk.com/ecringe00 например графические описания как надо убивать есть кого именно - вопрос отдельный) ? но каким способом может пропагандировать убивать и грабить например https://appmetrica.yandex.ru/ ?
каким способом может пропагандировать убивать и грабить например https://appmetrica.yandex.ru/ ?
Ну, допустим, грабить она пропагандирует самим своим наличием. Или что, агрессивная рекламная компания - не грабёж?
(sarcasm)
ну ладно тогда я сделаю клич помощи т.к. последний день можно )
есть обычный роутер asus , с обычной прошивкой, как на нем запустить скрипт чтобы он продолжал работать после завершении ssh сессии?
nohup & - всё равно закрывает
disown - отсутствует
Возможно мой скрипт можно куда то в авторан засунуть, но я так и не нашёл где этот авторан
screen можете поставить на него?
нету такого, поставить нельзя т.к. тут нету менеджера пакетов )
тут нужен эксперт кто шарит в роутерских прошивках и знает что там за система используется
Несмотря на то что вы просите другое - так почему бы не поставить вместо "обычной прошивки" на этот самый скорее всего поддерживаемый "обычный роутер asus" - "необычную" OpenWRT? И будет вам и disown, и screen, и менеджер пакетов.
На асусы зачастую можно поставить "прошивку от Мерлина", а там уже и до Entware с менеджером пакетов рукой подать, и нормальный доступ к автозапуску есть, так что и screen не понадобится.
nohup & - всё равно закрывает
Пробовали перенаправить stdout и stderr в /dev/null или куда-нибудь в файл? По идее, это должно отвязать процесс от терминала.
# типа того:
./command.sh >/dev/null 2>&1 &Возможно мой скрипт можно куда то в авторан засунуть, но я так и не нашёл где этот авторан
AsusWRT tries to execute file /jffs/.asusrouter on successful boot and /jffs/.autostop on shutdown/reboot.
File must be valid executable and have executable permissions.
Newer versions of AsusWRT disable these scripts,
ИМХО, основная сложность будет не чем подключаться, а как купить VPS за границей. И потом не словить на него блок по IP по всем протоколам вместе со всей подсетью хостера.
а как купить VPS за границей
многие российские и не только российские (например, молдавские) хостеры предлагают сервера в иностранных дата-центрах и позволяют платить за них рублями с российских банковских карт
очень многие недорогие иностранные хостеры позволяют оплачивать услуги криптой
И потом не словить на него блок по IP по всем протоколам вместе со всей подсетью хостера.
а это уже отдельный вопрос, добро пожаловать в Таджикистан
IT мир меняется так же как и остальной мир.
Раньше VPN решения ( отдельная программа\сервер , физическое устройство ) использовались IT-продвинутыми пользователя и сетевыми администраторами чтобы попасть в "локальную" сеть домашней или служебной сети. Или связать несколько физически разнесенных производственных сетей в единое целое.
А сейчас в связи с воздействием на Трафик VPN решениями стал пользоваться практически каждый, чтобы у него был доступ к сайтам, которые дружелюбны России.
Можно простую инструкцию, где наиболее беспроблемно поднимать машину для выхода, какое ПО ставить по обе стороны туннеля, как его настроить, чтобы разделить хождение туда и сюда? Вот чтобы можно было бы сохранить на одной страничке А4
Вот чтобы можно было бы сохранить на одной страничке А4
На одной страничке вы такую инструкцию при всем желании не уместите.
Вот есть хорошая инструкция, например: Личный прокси для чайников: универсальный обход цензуры с помощью VPS, 3X-UI, Reality/CDN и Warp / Хабр
"Скорее всего не будет нарушением". Вы как Грым из романа Пелевина ) захотят - будет
Народ, я стесняюсь спросить, но тут хоть кто-то пошел смотреть, что это за такой 406-ФЗ?
Это никому не нужно. Автор сам не знает об чем речь. Я выше уже просил это уточнить, какой закон, какой подзаконный акт, кто и что подписал и т.д.
Статья рекламного характера.
Я пошел ;)
406-ФЗ этого года вносит изменения в уголовный кодекс, отметаем ;)
Есть 405-ФЗ от 31 июля 2023 года, он уже хотя бы по теме. В нем (п.5) вносится поправка в статью 15 149-ФЗ, а именно перечень оснований для включения в реестр блокировок дополняется наличием информации об их обходе (пункт "м"). Правда эта поправка вступила в силу 1 сентября 2024 года, а не завтра (30 ноября) как в статье. Так что что конкретно имел ввиду автор данного топика остается непонятным.
Теперь вместо "VPN" будем писать: "То чего нельзя называть"?
Довольно иронично, что 30 ноября отмечается международный день защиты информации, кстати.
А почему у вас такая низкая стоимость и тем более за год?)
Ладно, уболтали. Зашёл на https://en.nekoray.org и у меня пустое поле) Сайт без VPN не работает что ли?) Вы бы хоть сказали, если так.
Интересно как без vpn западные санкции по ip теперь обходить? То есть я так , правильно понимаю, что ркн нам запрещает обходить незаконные санкции?
Немного не в тему, чем РКНу помешал сайт с информацией по разработке ОС?
а у вас работают TLS подключения к https://play.google.com и https://postfix.org?
Оба домена не числятся в списках блокировок, но они недоступны по России.
Автор думает, что успев в последний день, он избежит закона? Думаете, закон не имеет обратной силы? Очень даже имеет.
Публикации
VPN: последний выпуск. Завтра об этом писать нельзя