مقارنة أدوات الالتفافية \ VPN

نظرًا لأننا نعمل بشكل متزايد على حظر الوصول إلى مختلف الموارد على الشبكة ، فإن مسألة تجاوز الأقفال تصبح أكثر وأكثر أهمية ، مما يعني أن السؤال "كيف يتم تجاوز الأقفال بشكل أسرع؟"

سنترك موضوع الكفاءة ، من حيث تجاوز DPI \ القائمة البيضاء \ القائمة السوداء لحالة أخرى ، وقم فقط بمقارنة أداء أدوات تجاوز القفل الشائعة.

ملاحظة: في المقال تحت المفسدين سيكون هناك العديد من الصور.

إخلاء المسئولية: تقارن هذه المقالة أداء حلول VPN / الوكيل الشائعة ، في ظروف قريبة من "مثالية". النتائج التي تم الحصول عليها والموضحة هنا لا تتطابق بالضرورة مع نتائجك في الحقول. نظرًا لأن الرقم في اختبار السرعة سيعتمد غالبًا ليس على مدى إنتاجية أداة الالتفافية ، ولكن على كيفية إعاقة مزود الخدمة الخاص بك \ QoSit \ block.

منهجية

اشترى مزود سحابة (DO) 3 VPS في بلدان مختلفة من العالم. 2 في هولندا ، 1 في ألمانيا. تم اختيار عناوين IPN الأكثر إنتاجية (حسب عدد النوى) من تلك المتاحة للحساب المعروض على قروض الكوبون.

يتم نشر خادم iperf3 خاص على أول خادم هولندي.

على الخادم الهولندي الثاني ، يتم نشر خوادم مختلفة لتأمين أدوات الالتفافية بدورها.

في UPU الألمانية نشر صورة سطح المكتب لينكس (xubuntu) مع VNC وسطح المكتب الافتراضي. يعد VPS عميلًا شرطيًا ، ويتم إطلاق / إطلاق العديد من عملاء proxy \ VPN عليه واحدًا تلو الآخر.

يتم إجراء قياسات السرعة من ثلاث مرات ، ونركز على المتوسط ​​، ونستخدم 3 أدوات: في chromium عبر اختبار سرعة الويب ؛ في الكروم عبر fast.com ؛ من وحدة التحكم عبر iperf3 حتى الوكيل 4 (حيث تحتاج إلى وضع حركة مرور iperf3 في الخادم الوكيل).

يوفر اتصال العميل / الخادم المباشر iperf3 سرعة 2 جيجابت في الثانية ، في iperf3 ، وأقل قليلاً في اختبار السرعة / السرعة.

قد يسأل القارئ الفضولي "لماذا لم تختر اختبار السرعة؟" وسيكون على صواب.

لقد تبين أن اختبار السرعة هو طريقة غير موثوقة / غير كافية لقياس الإنتاجية ، لأسباب غير معروفة بالنسبة لي. يمكن أن تعطي ثلاثة قياسات متتالية ثلاثة نتائج مختلفة تمامًا ، أو على سبيل المثال ، تظهر سرعة نقل أعلى بكثير من سرعة منفذ IPS الخاص بي. ربما كانت المشكلة هي حدقتي ، لكن بدا من المستحيل إجراء بحث باستخدام أداة كهذه.

بالنسبة للنتائج على طرق القياس الثلاثة (اختبار السرعة \ fast \ iperf) ، فأنا أعتبر أن مؤشرات iperf هي الأكثر دقة / موثوقية / موثوقة ، ومرجع اختبار \ speed. لكن بعض الأدوات الالتفافية لم تسمح بإكمال 3 قياسات من خلال iperf3 وفي مثل هذه الحالات ، يمكنك التركيز على اختبار السرعة / السرعة.

أدوات

في المجموع ، تم اختبار 24 أداة مختلفة للتغلب على المشاكل و / أو مجموعاتها ، ولكل منها ، سأقدم تفسيرات صغيرة وانطباعاتي عن العمل معهم. ولكن في الأساس ، كان الهدف هو مقارنة سرعات الظلال (وأكوام العفاسات المختلفة بها) openVPN و wireguard.

في هذه المقالة لن أناقش بالتفصيل السؤال "أفضل طريقة لإخفاء حركة المرور حتى لا يتم تعطيلها" ، لأن تجاوز الأقفال هو إجراء تفاعلي - نحن نتكيف مع ما يستخدمه الرقيب ويتصرف على هذا الأساس.

النتائج

Strongswan \ ipsec

وفقًا لمرات الظهور لدي - من السهل جدًا التهيئة ، إنه يعمل بثبات تام. من بين الفوائد - إنها منصة مشتركة بالفعل ، دون الحاجة إلى البحث عن عملاء لكل منصة.

نفق سه

ربما فقط كسول لم يكتب عن استخدام SSH كأداة النفق. من السلبيات - "عكازات" الحل ، أي سيفشل نشرها من عميل مريح وجميل على كل منصة. من إيجابيات الأداء الجيد ، ليست هناك حاجة لتثبيت أي شيء على الخادم.

المسنجر

تم اختبار OpenVPN في 4 أوضاع تشغيل: tcp ، tcp + sslh ، tcp + stunnel ، udp.

تم تكوين خوادم OpenVPN تلقائيًا عن طريق تثبيت streisand.

بقدر ما يمكن للمرء أن يحكم ، في الوقت الراهن فقط وضع التشغيل من خلال stunnel مقاوم لإدارة شؤون الإعلام المتقدمة. سبب الزيادة غير الطبيعية في الإنتاجية عند التفاف فتح VPN-tcp في الفانيلا غير واضح بالنسبة لي ، فقد تم إجراء الاختبارات في عدة زيارات ، في أوقات مختلفة وأيام مختلفة ، كانت النتيجة هي نفسها. ربما يكون هذا بسبب إعدادات مكدس الشبكة التي تم تعيينها عند نشر streysand ، اكتب إذا كان لديك أي أفكار لماذا.

Openconnect

ليست الأداة الأكثر شيوعًا لتجاوز الأقفال ، يتم تضمينها في حزمة Streisand ، لذلك تقرر اختبارها.

Wireguard

أداة مطورة ذات تقنية عالية تحظى بشعبية لدى المستخدمين الغربيين ، حتى أن مطوري البروتوكول تلقوا بعض منح التطوير من صناديق الحماية. يعمل كوحدة kernel Linux عبر UDP. في الآونة الأخيرة ، ظهر عملاء لنظام التشغيل windows \ ios.

تصورها المنشئ كطريقة سريعة بسيطة لمشاهدة netflix أثناء عدم وجوده في الولايات.

ومن هنا إيجابيات وسلبيات. الايجابيات - بروتوكول سريع جدا ، وسهولة التركيب / التكوين. سلبيات - لم يقم المطور بإنشائه في البداية لتجاوز الأقفال الخطيرة ، وبالتالي يمكن اكتشاف الحارس بسهولة بواسطة أبسط الأدوات ، بما في ذلك يريشارك.



ومن المثير للاهتمام ، أن بروتوكول wargard يستخدم في عميل tunsafe التابع لجهة خارجية ، والذي عند استخدامه مع نفس الخادم ، يعطي wargard نتائج أسوأ بكثير. من المحتمل أن يعرض windows-client of wargard نفس النتائج:

OutlineVPN

المخطط التفصيلي هو تنفيذ خادم الظل والعميل مع واجهة المستخدم الرسومية جميلة ومريحة من جوجل بانوراما. في نظام Windows ، يعد العميل غير المتصل بالإنترنت مجرد مجموعة من الأغطية للثنائيات المحلية من shadowsocks (عميل shadowsocks-libev) و badvpn (tun2socks الثنائية التي توجه كل حركة مرور الماكينة إلى وكيل الجوارب المحلي).

كان Shadoxox مقاومًا لجدار الحماية الصيني العظيم ، ولكن وفقًا لآخر التقييمات ، لم يعد الأمر كذلك الآن. على عكس shadowbox ، "خارج الصندوق" لا يدعم ربط التعتيم من خلال المكونات الإضافية ، ولكن يمكن القيام بذلك مع الأقلام من خلال العبث مع الخادم والعميل.

ShadowsocksR

ShadowsocksR هو شوكة من shadowbox الأصلي مكتوبة في بيثون. في الواقع ، إنه صندوق الظل الذي تم تثبيت العديد من طرق التعتيم المروري بحزم.

هناك ssR الشوك على libev وشيء آخر. قد يكون النطاق الترددي المنخفض بسبب الكود / اللغة. shadowox الأصلي على الثعبان ليس أسرع بكثير.

Shadowsocks

أداة تجاوز الحظر الصينية التي تعمل بشكل عشوائي على حركة المرور وتتداخل مع التحليل التلقائي بطرق رائعة أخرى. حتى وقت قريب ، لم يتم حظر GFW ، حيث يقولون أنه تم حظره الآن فقط في حالة تمكين ترحيل UDP.

عبر منصة (هناك عملاء لأي منصة) ، ويدعم العمل مع حزب العمال مثل obfuscators torus ، وهناك العديد من obfuscators الخاصة بهم أو تكييفها ، بسرعة.

هناك مجموعة من تطبيقات العميل والخادم بلغات مختلفة. في الاختبار ، تصرف shadowsocks-libev كخادم ، العملاء مختلفون. أسرع عميل Linux كان shadowsocks2 أثناء التنقل ، تم توزيعه كعميل افتراضي في streisand ، لا أستطيع أن أقول كم هو أكثر كفاءة shadowsocks-windows. في معظم الاختبارات الإضافية ، تم استخدام shadowsocks2 كعميل. لم تُصنع الشاشات المزودة باختبار shadowsocks-libev ، بسبب التأخر الواضح في هذا التطبيق.



Shadowsocks-libev: تنزيل - 1584 ميغابت \ ثانية ؛ تحميل - 1265 ميغابت \ ثانية.

بسيطة، obfs

المكوّن الإضافي لـ shadowbox ، الآن في حالة "الاستهلاك" ولكنه لا يزال يعمل (على الرغم من أنه ليس جيدًا دائمًا). يتم استبداله إلى حد كبير بواسطة البرنامج المساعد v2ray-plugin. إنه يحجب حركة المرور إما تحت مأخذ توصيل HTTP على الويب (ويسمح لك بانتحال مضيف الرؤوس / الوجهة ، متظاهرًا بأنك لا تنظر إلى pornhub ، ولكن ، على سبيل المثال ، موقع الدستور الروسي) أو تحت pseudo-tls (pseudo لأنه لا يستخدم أي شهادات ، أبسط أنواع DPI الكشف عن nDPI المجاني كـ "tls no cert". في وضع tls ، لا يمكن تزييف الرؤوس بعد الآن).

إنه سريع بما فيه الكفاية ، تم تثبيته من الريبو بأمر واحد ، تم تكوينه ببساطة شديدة ، ولديه وظيفة مدمجة في feylover (عندما تأتي حركة المرور من عميل غير بسيط - obfs إلى المنفذ الذي يستمع إلى obfs بسيط ، فإنه سيرسله إلى العنوان الذي تحدده في الإعدادات - مثل وبهذه الطريقة يمكنك تجنب التحقق يدويًا من المنفذ الثمانين ، على سبيل المثال ، ببساطة عن طريق إعادة توجيهه إلى موقع الويب باستخدام https ، وكذلك حظر دخول foreys الاتصال).



يمكن أن تعمل العناصر البسيطة البسيطة في وضع http من خلال CDN بالبروكسي العكسي (على سبيل المثال ، cloudflare) ، لذلك بالنسبة لمزودنا ستبدو حركة المرور وكأنها حركة مرور النص المتشعب إلى cloudflare ، وهذا يتيح لنا إخفاء النفق بشكل أفضل قليلاً ، وفي نفس الوقت تقسيم نقطة الدخول و إخراج حركة المرور - يرى المزود أن حركة المرور الخاصة بك تتجه نحو عنوان IP CDN ، ويتم وضع الإعجابات المتطرفة في الصور في هذه اللحظة من عنوان IP VPS. يجب أن أقول أن الأمر c-obfs عبر التليف الكيسي يعمل بشكل غامض ، بشكل دوري لا يفتح بعض موارد https على سبيل المثال. لذلك ، لم يكن من الممكن اختبار التحميل باستخدام iperf عبر shadowsocks \ s-obfs + CF ، ولكن استنادًا إلى نتائج اختبار السرعة ، يكون النطاق الترددي على مستوى shadowsocks \ v2ray-plugin-tls + CF. أنا لا أطبق الشاشات مع iperf3 ، لأنه لا ينبغي أن تسترشد.


تنزيل (iperf3) - 1625 ؛ تحميل (iperf3) - N \ A.

v2ray-المساعد

حل V2ray-plugin محل obfs البسيط باعتباره obfuscator "الرسمي" الرئيسي لـ ss lib. على عكس obfs البسيط ، فهو ليس في المستودعات بعد ، وتحتاج إما إلى تنزيل ثنائي تم إنشاؤه مسبقًا ، أو تجميعه بنفسك.

وهو يدعم 3 أوضاع تشغيل: مأخذ توصيل افتراضي على الويب http (مع دعم لتزوير رؤوس المضيف الوجهة) ؛ مقبس tls-web (على عكس c-obfs ، هذا عبارة عن حركة مرور tls كاملة ، والتي يتم التعرف عليها بواسطة أي خادم ويب / وكيل عكسي ، على سبيل المثال ، تتيح لك تكوين إنهاء tls على خوادم cloudfleur أو في nginx) ؛ quic - يعمل من خلال udp ، ولكن لسوء الحظ أداء سريع في v2 منخفض جدا.

من المزايا مقارنة بالعناصر البسيطة: يعمل المكون الإضافي v2ray دون مشاكل من خلال CF في وضع مأخذ توصيل الويب https مع أي حركة مرور ، في وضع tls ، يمثل حركة مرور tls كاملة ، ويتطلب شهادات (على سبيل المثال ، دعونا نتشفّر أو موقّع ذاتيًا).




كما قلت ، يمكن لـ v2rei تعيين الرؤوس ، وبالتالي يمكن التعامل معها من خلال proxy \ CDN العكسي (cloudfleur على سبيل المثال). من ناحية ، يؤدي هذا إلى تعقيد اكتشاف النفق ، من ناحية أخرى - يمكن أن يزيد قليلاً (وفي بعض الأحيان يقلل) الفارق - كل هذا يتوقف على موقعك والخوادم. في الوقت الحالي ، تعمل CF على اختبار العمل باستخدام quic ، لكن هذا الوضع غير متاح حتى الآن (على الأقل للحسابات المجانية).

عباءة

أجاد هو نتيجة لمزيد من التطوير من obfuscator GoQuiet. يحاكي حركة مرور TLS ، ويعمل وفقًا لبرنامج TCP. في الوقت الحالي ، أصدر المؤلف إصدارًا ثانيًا من البرنامج المساعد ، cloak-2 ، والذي يختلف اختلافًا كبيرًا عن الجهاز الأصلي.

وفقًا للمطور ، استخدم الإصدار الأول من البرنامج المساعد آلية جلسة استئناف tls 1.2 لتزوير عنوان الوجهة لـ tls. بعد إصدار الإصدار الجديد (clok-2) ، تم حذف جميع صفحات الويكي على جيثب التي تصف هذه الآلية ؛ ولا يوجد ذكر لهذا في الوصف الحالي للتشفير / التشويش. وفقًا لوصف المؤلف ، لا يتم استخدام الإصدار الأول من أجاد بسبب وجود "نقاط الضعف الحرجة في التشفير". في وقت الاختبارات ، لم يكن هناك سوى الإصدار الأول من البالوعة ، وما زالت ثنائياتها في متناول اليد ، ومن بين أمور أخرى ، فإن نقاط الضعف الحرجة ليست مهمة للغاية ، لأن يقوم shadousoks بتشفير حركة المرور بالطريقة نفسها كما لو كانت بدون أجاد ، ولا يؤثر تشفير shadowsoks على تشفير shadowsoksa.

Kcptun

يستخدم kcptun بروتوكول KCP كوسيلة نقل ، وفي بعض الحالات الخاصة ، يمكن أن يحقق زيادة في الإنتاجية. لسوء الحظ (أو لحسن الحظ) ، هذا مهم إلى حد كبير للمستخدمين من الصين ، حيث يقوم بعض مشغلي شبكات الهاتف المحمول بتعقب بروتوكول TCP بشكل كبير ولا يلمسون UDP.

Kcptun هو الشراهة الجهنمية ، ويمكن بسهولة تحميل 100 حبة صهيونية 100 ٪ عند اختبارها من قبل عميل واحد. بالإضافة إلى ذلك ، يكون المكوّن الإضافي "بطيئًا" ، وأيضًا عند العمل من خلال iperf3 ، لا ينهي الاختبارات حتى النهاية. نحن نسترشد باختبار السرعة في المتصفح.

استنتاج

هل تحتاج إلى شبكة VPN بسيطة وسريعة لإغلاق حركة مرور الجهاز بأكمله؟ ثم اختيارك هو حارس. هل تريد الوكلاء (للنفق الانتقائي أو فصل التدفقات \ الأشخاص الظاهريين) أم هل من المهم بالنسبة لك حجب حركة المرور عن الانسداد الخطير؟ ثم انظر إلى shadowbox مع تشويش tls \ http. هل تريد أن تتأكد من أن الإنترنت الخاص بك سيعمل بينما الإنترنت يعمل على الإطلاق؟ اختر بروكسي المرور عبر شبكات CDN المهمة ، التي سيؤدي حظرها إلى تفريغ نصف الإنترنت في البلد.