Прокси, который работает в Китае, Иране и России

Прокси, который работает в Китае, Иране и России

Цифровой шелковый путь: преодоление цензуры с помощью прокси-серверов

Представьте себе мировой интернет как необузданный лес: некоторые пути свободны, другие забиты ежевикой и бдительными глазами. В Китае, Иране и России файрволы возвышаются, как древние городские стены, отбрасывая длинные тени на свободный проход. Чтобы проскользнуть мимо этих стражей, нужно обладать прокси-сервером, одновременно тонким и хитрым — плащом, который так хорошо сидит, что его принимают за обычную одежду.

---

Основные технические требования

Особенность	Китай (GFW)	Иран	Россия	Примечания
TLS-отпечатки пальцев	Да	Да	Да	Необходимо имитировать популярные браузеры/сервисы
Глубокая проверка пакетов (DPI)	Да	Да	Да	Обязательное запутывание
Фильтрация SNI	Да	Да	Да	Идеальная поддержка ESNI/ECH
Черный список IP-адресов	Да	Да	Да	Полезно использовать ротацию IP-адресов и доменное фронтирование
Белый список протоколов	Да	Да	Да	HTTP/HTTPS наиболее надежные
Активное зондирование	Да	Да	Да	Должен противостоять обнаружению и допросу

---

Proxy Technologies: История трех плащей

1. Shadowsocks (с запутыванием)

Рабочая лошадка китайского андеграунда, Shadowsocks — простая, быстрая и — в паре с плагинами — удивительно скрытная. Но сама по себе она так же очевидна, как лиса в курятнике.

Наилучшее использование: Китай, Иран
Слабость: Подвержен активному зондированию без плагинов.

Типичная установка:

# Server (install Shadowsocks + v2ray-plugin)
sudo apt-get install shadowsocks-libev
sudo apt-get install v2ray-plugin

# Run server
ss-server -s 0.0.0.0 -p 8388 -k <password> -m aes-256-gcm --plugin v2ray-plugin --plugin-opts="server;tls;host=www.bing.com"

Основные параметры плагина:
– v2ray-plugin (WebSocket+TLS): маскируется под обычный HTTPS.
– obfs-plugin: Проще говоря, трафик помещается в HTTP- или TLS-подобный слой.

Особенность	Теневые носки	С плагином v2ray
Уклонение от DPI	Умеренный	Высокий
Отпечаток пальца TLS	Никто	Да
Фронтинг домена	Нет	Да

---

2. V2Ray (VMess/Reality/XTLS)

Инструмент мастера, V2Ray, представляет собой модульную прокси-платформу. Протокол VMess, одетый в XTLS или Reality, танцует мимо цензоров, как бард на маскараде.

Наилучшее использование: Китай, Иран, Россия
Сильные стороны:
– Реальность: имитирует настоящие сеансы TLS (реальный сертификат не нужен).
– XTLS: Эффективный, устойчив к DPI.

Пример: Фрагмент настройки реальности

1. Получите открытый ключ популярного сервиса (например, Cloudflare).
2. Настройте сервер V2Ray:

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{"id": "<uuid>"}],
      "decryption": "none",
      "fallbacks": []
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "show": false,
        "dest": "www.cloudflare.com:443",
        "xver": 0,
        "serverNames": ["www.cloudflare.com"],
        "privateKey": "<private key>",
        "shortIds": ["<shortid>"]
      }
    }
  }]
}

Почему это работает:
Reality/XTLS делает ваш трафик неотличимым от законного HTTPS, что раздражает гончих цензоров.

---

3. Троянский

Троян — это волк в овечьей шкуре, облаченный в настоящий TLS, сливающийся со стадом безобидного HTTPS-трафика.

Наилучшее использование: Китай, Россия
Сила:
– Использует легитимные сертификаты TLS (например, от Let's Encrypt)
– Выглядит идентично стандартному HTTPS

Быстрая установка сервера:

sudo apt install trojan
sudo certbot certonly --standalone -d mydomain.com

Скелет конфигурации сервера:

{
  "run_type": "server",
  "local_addr": "0.0.0.0",
  "local_port": 443,
  "password": ["<password>"],
  "ssl": {
    "cert": "/etc/letsencrypt/live/mydomain.com/fullchain.pem",
    "key": "/etc/letsencrypt/live/mydomain.com/privkey.pem"
  }
}

---

4. Meek (Фронтирование домена через CDN)

Когда стены кажутся непреодолимыми, Мик прокладывает туннели сквозь фундаменты, скрывая внутри запросы на высокопоставленные домены.

Наилучшее использование: Иран, Россия
Сила:
– Фронтирование домена через основные CDN (например, Azure, Cloudfront)

Как это работает:
– Клиент подключается к fronted.domain.com (например, ajax.aspnetcdn.com)
– CDN пересылает скрытый запрос на ваш бэкэнд через незаблокированный домен.

Ограничения:
– Медленнее и менее надежно; некоторые CDN активно блокируют доменное фронтирование.

---

Сравнительная таблица: эффективность прокси

Прокси/Протокол	GFW (Китай)	Иран	Россия	Уклонение от DPI	Камуфляж TLS	Активное зондирующее сопротивление	Примечания
Shadowsocks (obfs)	✓	✓	✓	Середина	Слабый	Слабый	Для достижения наилучших результатов используйте v2ray-plugin
V2Ray (Реальность)	✓✓	✓✓	✓✓	Сильный	Сильный	Сильный	Самый устойчивый в 2024 году
Троянский	✓✓	✓	✓✓	Сильный	Сильный	Сильный	Требуется действительный сертификат TLS
Кроткий/Фронтирующий	✓	✓✓	✓	Очень сильный	Очень сильный	Сильный	Ограничено политикой CDN

---

Практические шаги по разблокировке

Выбор правильного инструмента

• Для Китая: Используйте V2Ray (Reality или XTLS) или троян с пользовательским доменом и действующим сертификатом.
• Для Ирана: V2Ray с Reality или Meek (если доменное фронтирование все еще доступно).
• Для России: Trojan и V2Ray; также рассмотрите возможность использования комбинации с плагинами обфускации.

Расположение сервера

• Размещайте серверы за пределами целевой страны.
• Выбирайте IP-адреса и домены, ранее не связанные с обходом цензуры.

Имитация отпечатков пальцев TLS

TLS-отпечатки пальцев — ищейка современных цензоров. V2Ray (Reality/XTLS) и Trojan превосходны, поскольку они имитируют походку и запах законных соединений, что делает обнаружение опасным для цензоров.

Пример: конфигурация клиента V2Ray

{
  "outbounds": [{
    "protocol": "vless",
    "settings": {
      "vnext": [{
        "address": "your.server.com",
        "port": 443,
        "users": [{
          "id": "<uuid>",
          "encryption": "none",
          "flow": "xtls-rprx-vision"
        }]
      }]
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "publicKey": "<server public key>",
        "shortId": "<shortid>",
        "serverName": "www.cloudflare.com"
      }
    }
  }]
}

---

Плагины обфускации и наслоения

Искусство уловок:
– Соедините Shadowsocks с плагином v2ray (WebSocket+TLS).
– Используйте несколько слоев: например, V2Ray через WebSocket через TLS.
– Периодически меняйте IP-адреса и домены серверов.

---

Последние советы: как оставаться невидимым

• По возможности используйте для фронтинга домены, поддерживаемые CDN.
• Регулярно проверяйте списки блокировки вашего IP-адреса/домена.
• Избегайте использования популярных публичных прокси-серверов, так как они быстро блокируются.

---

В этой цифровой сказке герой не самый сильный, но самый приспосабливающийся. Каждый прокси здесь — это умная маска — выбирайте ту, которая лучше всего подходит для маскарада, который вам нужно посетить.