Il proxy che funziona in Cina, Iran e Russia

Il proxy che funziona in Cina, Iran e Russia

La Via della Seta Digitale: come gestire la censura con i proxy

Immaginate l'internet mondiale come una foresta selvaggia e indomita: alcuni sentieri sono liberi, altri soffocati da rovi e occhi vigili. In Cina, Iran e Russia, i firewall si ergono come antiche mura cittadine, proiettando lunghe ombre sul libero passaggio. Per aggirare queste sentinelle, bisogna usare un sostituto tanto sottile quanto astuto: un mantello che calza a pennello, tanto da essere scambiato per un abito ordinario.

---

Requisiti tecnici chiave

Caratteristica	Cina (GFW)	L'Iran	Russia	Note
Impronta digitale TLS	SÌ	SÌ	SÌ	Deve imitare i browser/servizi più diffusi
Ispezione approfondita dei pacchetti (DPI)	SÌ	SÌ	SÌ	Offuscamento obbligatorio
Filtraggio SNI	SÌ	SÌ	SÌ	Supporto ESNI/ECH ideale
Inserimento nella blacklist degli IP	SÌ	SÌ	SÌ	La rotazione degli IP e il domain fronting sono utili
Elenco consentito dei protocolli	SÌ	SÌ	SÌ	HTTP/HTTPS più affidabile
Sondaggio attivo	SÌ	SÌ	SÌ	Deve resistere al rilevamento e all'interrogatorio

---

Proxy Technologies: Il racconto dei tre mantelli

1. Shadowsocks (con offuscamento)

Il cavallo di battaglia dell'underground cinese, Shadowsocks è semplice, veloce e, se abbinato a plugin, straordinariamente discreto. Eppure, da solo, è ovvio come una volpe in un pollaio.

Miglior utilizzo: Cina, Iran
Debolezza: Suscettibile di sondaggio attivo senza plugin.

Configurazione tipica:

# Server (install Shadowsocks + v2ray-plugin)
sudo apt-get install shadowsocks-libev
sudo apt-get install v2ray-plugin

# Run server
ss-server -s 0.0.0.0 -p 8388 -k <password> -m aes-256-gcm --plugin v2ray-plugin --plugin-opts="server;tls;host=www.bing.com"

Opzioni principali del plugin:
– v2ray-plugin (WebSocket+TLS): si mimetizza come il normale HTTPS.
– obfs-plugin: Più semplice, racchiude il traffico in un livello di tipo HTTP o TLS.

Caratteristica	Calzini ombra	Con il plugin v2ray
Evasione DPI	Moderare	Alto
Impronta digitale TLS	Nessuno	SÌ
Fronting del dominio	NO	SÌ

---

2. V2Ray (VMess/Reality/XTLS)

Lo strumento dell'artigiano, V2Ray, è una piattaforma proxy modulare. Il protocollo VMess, mascherato da XTLS o Realtà, aggira la censura come un bardo a un ballo in maschera.

Miglior utilizzo: Cina, Iran, Russia
Punti di forza:
– Realtà: riproduce sessioni TLS autentiche (non è necessario un certificato reale).
– XTLS: efficiente, resiste ai DPI.

Esempio: frammento di configurazione della realtà

1. Ottieni la chiave pubblica di un servizio popolare (ad esempio Cloudflare).
2. Configurare il server V2Ray:

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{"id": "<uuid>"}],
      "decryption": "none",
      "fallbacks": []
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "show": false,
        "dest": "www.cloudflare.com:443",
        "xver": 0,
        "serverNames": ["www.cloudflare.com"],
        "privateKey": "<private key>",
        "shortIds": ["<shortid>"]
      }
    }
  }]
}

Perché funziona:
Reality/XTLS rende il tuo traffico indistinguibile dal legittimo HTTPS, frustrando i segugi della censura.

---

3. Troiano

Il Trojan è un lupo travestito da pecora, che si nasconde dietro il vero TLS e si confonde con il branco di innocuo traffico HTTPS.

Miglior utilizzo: Cina, Russia
Forza:
– Utilizza certificati TLS legittimi (ad esempio, da Let's Encrypt)
– Sembra identico allo standard HTTPS

Installazione rapida del server:

sudo apt install trojan
sudo certbot certonly --standalone -d mydomain.com

Scheletro di configurazione del server:

{
  "run_type": "server",
  "local_addr": "0.0.0.0",
  "local_port": 443,
  "password": ["<password>"],
  "ssl": {
    "cert": "/etc/letsencrypt/live/mydomain.com/fullchain.pem",
    "key": "/etc/letsencrypt/live/mydomain.com/privkey.pem"
  }
}

---

4. Meek (fronting del dominio tramite CDN)

Quando i muri sembrano insormontabili, Meek scava dei tunnel nelle fondamenta, nascondendosi dietro richieste indirizzate a domini di alto profilo.

Miglior utilizzo: Iran, Russia
Forza:
– Fronteggiare il dominio tramite i principali CDN (ad esempio, Azure, Cloudfront)

Come funziona:
– Il client si connette a fronted.domain.com (per esempio, ajax.aspnetcdn.com)
– La CDN inoltra la richiesta nascosta al tuo backend tramite un dominio sbloccato.

Limitazioni:
– Più lento e meno affidabile; il domain fronting è attivamente bloccato da alcuni CDN.

---

Tabella comparativa: efficacia proxy

Proxy/Protocollo	GFW (Cina)	L'Iran	Russia	Evasione DPI	Mimetica TLS	Resistenza al sondaggio attivo	Note
Calzini ombra (obfs)	✓	✓	✓	Medio	Debole	Debole	Usa v2ray-plugin per risultati migliori
V2Ray (Realtà)	✓✓	✓✓	✓✓	Forte	Forte	Forte	I più resilienti nel 2024
Troiano	✓✓	✓	✓✓	Forte	Forte	Forte	Richiede un certificato TLS valido
Mansueto/Fronting	✓	✓✓	✓	Molto forte	Molto forte	Forte	Limitato dalla politica CDN

---

Passaggi pratici per lo sblocco

Scegliere lo strumento giusto

• Per la Cina: Utilizzare V2Ray (Reality o XTLS) oppure Trojan con dominio personalizzato e certificato valido.
• Per l'Iran: V2Ray con Reality o Meek (se il domain fronting è ancora disponibile).
• Per la Russia: Trojan e V2Ray; si consiglia inoltre di utilizzare una combinazione con plugin di offuscamento.

Posizione del server

• Server host al di fuori del paese di destinazione.
• Scegli IP e domini non precedentemente associati a tentativi di elusione.

Imitazione dell'impronta digitale TLS

Il fingerprinting TLS è il segugio dei censori moderni. V2Ray (Reality/XTLS) e Trojan eccellono perché imitano l'andatura e l'odore delle connessioni legittime, rendendo il rilevamento rischioso per i censori.

Esempio: configurazione del client V2Ray

{
  "outbounds": [{
    "protocol": "vless",
    "settings": {
      "vnext": [{
        "address": "your.server.com",
        "port": 443,
        "users": [{
          "id": "<uuid>",
          "encryption": "none",
          "flow": "xtls-rprx-vision"
        }]
      }]
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "publicKey": "<server public key>",
        "shortId": "<shortid>",
        "serverName": "www.cloudflare.com"
      }
    }
  }]
}

---

Plugin di offuscamento e stratificazione

L'arte del sotterfugio:
– Abbina Shadowsocks al plugin v2ray (WebSocket+TLS).
– Utilizzare più livelli: ad esempio, V2Ray su WebSocket su TLS.
– Ruotare periodicamente gli IP e i domini dei server.

---

Suggerimenti finali: rimanere invisibili

• Ove possibile, utilizzare domini supportati da CDN come front-end.
• Monitora regolarmente le liste di blocco del tuo IP/dominio.
• Evita di usare i proxy pubblici più diffusi, perché vengono rapidamente bloccati.

---

In questo racconto digitale, l'eroe non è il più forte, ma il più adattabile. Ogni proxy qui è una maschera intelligente: scegli quella più adatta al ballo in maschera a cui devi partecipare.