डीपीआई प्रतिरोधी सुरंगों और वीपीएन

हम एक दिलचस्प समय में रहते हैं। मैं भी आश्चर्यजनक तरीकों से कहूंगा। एक तरफ, हम कुछ लोगों को देखते हैं जो वास्तव में जानना चाहते हैं कि दूसरे लोग एक-दूसरे से क्या बात कर रहे हैं, और वास्तव में उन्हें बताना चाहते हैं कि क्या पढ़ा जा सकता है और क्या नहीं पढ़ा जा सकता है। दूसरी ओर, नागरिक जो व्यक्तिगत पत्राचार और मुक्त जानकारी के रहस्यों पर अपने अधिकार का दावा करना चाहते हैं, और इस पत्राचार के तथ्यों और इस जानकारी की रसीद को उनके खिलाफ इस्तेमाल नहीं करना चाहते हैं। तृतीय-पक्ष साइटों, सेवाओं और व्यवसायों की एक बड़ी संख्या जो "कालीन ताले" से प्रभावित होती हैं, बोनस के रूप में पीड़ित होती हैं।

लेकिन नहीं, यह लेख समाज के बारे में नहीं है, बल्कि तकनीक के बारे में है।



लोगों की तकनीकी साक्षरता, जो कुछ हो रहा है, उसके लिए भी धन्यवाद। यदि पहले शब्द "वीपीएन" और "प्रॉक्सी" केवल आईटी विशेषज्ञों के लिए परिचित थे, तो अब गृहिणियां भी उन्हें जानती हैं, और इसके अलावा, वे इन शब्दों का उपयोग करते हैं।

सामान्य तौर पर, खबर हाल ही में काफी मनोरंजक आई है। उदाहरण के लिए, वीपीएन सेवाओं और ट्रैफ़िक को एन्क्रिप्ट करने और ताले को दरकिनार करने के लिए प्रावधान अब दंडनीय है , और चीन में वे आम तौर पर इसके लिए उन्हें कैद करते हैं । और बहुत समय पहले, ILV ने MTProxy प्रोटोकॉल को अवरुद्ध करने के लिए पैकेट विश्लेषण का उपयोग शुरू नहीं किया था। आप साथी देशों के अनुभव का भी उल्लेख कर सकते हैं जो इस तरह के मामलों में सबसे सफल हैं: चीन, ईरान, कजाकिस्तान, वेनेजुएला। उदाहरण के लिए वेनेजुएला में, वे सीधे टोर से सीधे संपर्क को अवरुद्ध करते हैं और पुलों के लिए यातायात को बाधित करते हैं। इस सब के आधार पर, हम यह मान सकते हैं कि भविष्य हमारा इंतजार कर रहा है, यह भी बहुत दिलचस्प है, खासकर अगर "जिम्मेदार लोग" बार-बार बेवकूफ फेकपी बनाना बंद कर देते हैं, और होशियार और अधिक परिष्कृत कार्य करते हैं।

Habré बार-बार टिप्पणियों में पूर्वानुमान लगाते हैं कि आम नागरिकों के लिए एन्क्रिप्शन तकनीकों के साथ संघर्ष कैसे जारी रह सकता है। आवाज़ के विचारों का विश्लेषण और अन्य देशों के प्रशंसापत्रों को देखते हुए, मैंने सुझाव देने की कोशिश की कि संचार को सीमित करने के उपाय किस दिशा में आगे बढ़ सकते हैं। DistortNeo और shifttstas ने कुछ और दिलचस्प विचार फेंके, और अंत में मैंने इस लेख को जोड़ने के लिए el777 का वादा किया।

एसीएल फिल्टर के साथ, सब कुछ स्पष्ट है। वे अब अभिनय कर रहे हैं, और अलग-अलग सफलता के साथ वे सफल होते हैं और लड़ने में असफल होते हैं (हालांकि काफी निराशावादी पूर्वानुमान हैं )। डीपीआई अधिक दिलचस्प है।

डीपीआई के लिए यातायात के प्रकार को "निर्धारित" करने के तरीकों को दो समूहों में विभाजित किया जा सकता है:

• हस्ताक्षर विश्लेषण। अर्थात्, पैकेज "हड्डियों द्वारा" को अलग करना, हेडर और संरचना की नमूनों के साथ तुलना करना, और इस प्रकार इसका उद्देश्य निर्धारित करना। इस प्रकार, कई सुरंगों का पता लगाया जाता है, उदाहरण के लिए, OpenVPN, L2TP / IPSec, SOCKS, आदि।
• उदाहरण के लिए, ट्रैफ़िक विनिमय पैटर्न का प्रारंभिक विश्लेषण, आने वाले / बाहर जाने वाले प्रवाह के अनुपात, अनुरोध-प्रतिक्रिया और अन्य मानदंडों की आवृत्ति हमें एक प्रोटोकॉल के "वास्तविक ट्रैफ़िक" और सुरंग को अलग करने की अनुमति देगा जो केवल एक प्रोटोकॉल के रूप में मुखौटे करते हैं।

आप ट्रैफ़िक को कई समूहों में तोड़ सकते हैं और मान सकते हैं कि वे उनमें से प्रत्येक के साथ क्या करेंगे।

1. "स्पष्ट" वीपीएन, सुरंगों और समीपस्थियों (ओपनवीपीएन, एल 2टीपी / आईपीएससी, एसओकेकेएस, आदि) साधारण वीपीएन और सुरंगों को अच्छी तरह से स्वचालित रूप से अवरुद्ध किया जा सकता है, उदाहरण के लिए, यह चीन और वेनेजुएला में होता है। यदि कुछ संगठनों या कंपनियों को काम के लिए इसकी आवश्यकता होती है, तो उन्हें पंजीकृत करें और प्रमाणित करें, क्योंकि रूसी कानून ऊपर विशेष रूप से बोलता है। प्रॉक्सी के साथ, यह और भी आसान है - कि HTTP, कि SOCKS स्पष्ट पाठ में पते और सामग्री प्रेषित करता है, जो आम तौर पर अनुरोधों के "कटिंग" और प्रेषित जानकारी के वायरटैपिंग के लिए कोई समस्या पैदा नहीं करता है।
2. एसएसएच जैसी दोहरे उपयोग वाली प्रौद्योगिकियां । सत्र की स्थापना के कुछ समय बाद, गति कछुए को काट दी जाती है, ताकि आप अभी भी कम से कम किसी तरह कंसोल में काम कर सकें, लेकिन अधिक सर्फिंग और डाउनलोडिंग नहीं है। यह तथ्य कि यह सामान्य काम के दौरान समस्याएं पैदा करता है, किसी को परेशान नहीं करता है (जो हमें हाल के दिनों में एक से अधिक बार ILV द्वारा दिखाया गया है)।
3. अत्यधिक विशिष्ट प्रोटोकॉल, जैसे संदेशवाहक, गेम क्लाइंट, आदि।
4. यौगिक जिनका प्रकार निर्धारित नहीं किया जा सकता है ।

आइटम 3 और 4 के लिए, "श्वेत सूची" काफी संभव है (जिसमें, उदाहरण के लिए, आधिकारिक गेम सर्वर के उप-सेट या "सही" संदेशवाहक दर्ज किए जाते हैं, और सर्वर मालिक सभी को घोषित करना चाहते हैं और आवश्यक रूप से व्यवस्थित करना चाहते हैं ताकि वे स्पर्श न करें, साथ सादृश्य द्वारा उन है कि ILV पहले से ही डोमेन और आईपी पते के लिए है)। और जो इन सूचियों में नहीं हैं, वे पैरा 1 या पैराग्राफ 2 के समान भाग्य का सामना करेंगे, हालांकि यह संभव है कि गति को कुंद या ब्लॉक न करें, लेकिन ट्रैफ़िक "शुद्ध" होने का निर्धारण करने के लिए पहले बताए गए एक्सचेंज पैटर्न का विश्लेषण करें। "या" संदिग्ध।

यही है, यदि आप स्वयं को विशेष प्रोटोकॉल के रूप में प्रच्छन्न करना चाहते हैं, या कनेक्शनों को बाधित करना चाहते हैं ताकि उनके प्रकार को निर्धारित करना असंभव हो, तो आपको "शोर" बनाने का भी ध्यान रखना होगा जो वास्तविक विनिमय पैटर्न का पता लगाने से रोकता है। अब तक इस तरह के घटनाक्रम मेरी नजर में नहीं आए हैं।

आप अलग-अलग ICMP और DNS सुरंगों के बारे में भी याद नहीं रख सकते हैं - बड़ी मात्रा में ट्रैफ़िक "जहाँ उनकी आवश्यकता नहीं है", स्वचालित रूप से भी संदेह पैदा करता है।

5. टीएलएस और एसएसएल, एचटीटीपीएस । स्वच्छ कट करना असंभव है, क्योंकि इसका मतलब है कि पूरे इंटरनेट को अवरुद्ध करना। पैटर्न विश्लेषण का कोई मतलब नहीं है, क्योंकि वेब सर्फिंग HTTPS का उपयोग करने का सिर्फ मुख्य उद्देश्य है। उपरोक्त सभी से, एसएसएल / टीएलएस पोर्ट 443 पर सबसे "अप्रशिक्षित" और विश्वसनीय विकल्प की तरह दिखता है। इसलिए, चलो उसके रूप में खुद को छिपाने की कोशिश करें।

खुद को अलग कर लें

विचार के लिए, स्ट्रीसंड और सॉफ्टएथर समाधान चुनने का निर्णय लिया गया।

Streisand - विभिन्न सेवाओं का एक पूरा सेट: OpenConnect / AnyConnect, OpenVPN, stunnel, Shadowsocks, WireGuard। यह सब स्वचालित या अर्ध-स्वचालित "टर्नकी" मोड में सेट किया गया है, और आउटपुट पर उपयोगकर्ता को एक कॉन्फ़िगर सर्वर, साथ ही साथ क्लाइंट्स की स्थापना के लिए फाइलें और विस्तृत प्रलेखन प्राप्त होता है।

SoftEther एक वीपीएन सर्वर है जो L2TP / IPsec, OpenVPN, SSTP, और अन्य प्रोटोकॉल को उठा सकता है, और इसका अपना SSL-VPN प्रोटोकॉल भी है, जो लेखकों के अनुसार, सामान्य TTPS ट्रैफ़िक से अप्रभेद्य है।

इसलिए ...

OpenConnect / AnyConnect। Cisco AnyConnect SSL प्रोटोकॉल का ओपन सोर्स कार्यान्वयन। जब एक कनेक्शन स्थापित होता है, तो न केवल टीएलएस (टीसीपी) पैकेट, बल्कि डीटीएलएस (यूडीपी) पैकेट भी दिखाई देते हैं। डीटीएलएस, सिद्धांत रूप में, "शांतिपूर्ण उद्देश्यों के लिए" बहुत उपयोग किया जाता है, लेकिन यह "सामान्य HTTPS" की तरह नहीं है। हालाँकि, यदि आप फ़ायरवॉल पर यूडीपी ट्रैफ़िक काटते हैं, तो AnyConnect तुरंत टीसीपी पर वापस आ जाता है और बाहर से दिखता है, फिर से, पूरी तरह से और पूरी तरह से सामान्य टीएलएस की तरह, और एन्क्रिप्टेड सुरंग के अंदर प्रमाणीकरण भी लगभग HTTP में जैसा है।

छायावाद । एन्क्रिप्टेड सॉक्स प्रॉक्सी। जाहिर है, अगर वांछित है, तो इसका पता लगाया जा सकता है , हालांकि, ऐसे प्लगइन्स हैं जो इसे "शुद्ध HTTPS" के रूप में प्रच्छन्न करते हैं । वेबस्कैट के माध्यम से काम करने के लिए एक प्लगइन भी है, लेकिन बाद में उस पर अधिक।

WireGuard। विवरण को देखते हुए, इसमें अच्छी तरह से मुड़ एन्क्रिप्शन और एक सत्र सेटअप तंत्र है, लेकिन सभी संचार UDP पर होता है। विंडसरक पैकेज के प्रकार को पूरी तरह से अश्रव्य रूप में परिभाषित करता है, और तीसरे पक्ष के डीपीआई के साथ क्या हो रहा है, इस पर एक राय बहुत ही बड़ा सवाल है। अपडेट: नए संस्करण वायरगार्ड को विशिष्ट रूप से वायरगार्ड के रूप में परिभाषित करते हैं, इसलिए प्रश्न का उत्तर स्पष्ट है।

obfs3, obfs4 । पैकेट्स को बाधित किया जाएगा ताकि बाहर से वे मूल्यों के पूरी तरह यादृच्छिक सेट की तरह दिखें। यही है, वे ऊपर की सूची से आइटम 4 के तहत आते हैं।

SoftEther। यह HTTPS जैसा दिखता है, लेकिन एक कैच के साथ। टीसीपी पर सीधे टीएलएस के अलावा, यह सक्रिय रूप से यूडीपी के पैकेट भेजता है। जैसा कि दस्तावेज़ीकरण में पता चला था, यूडीपी का उपयोग उस मामले में डेटा हस्तांतरण को तेज करने के लिए किया जा सकता है जब यह फ़ायरवॉल पर नहीं मारा जाता है। यह कार्यक्षमता कॉन्फ़िगरेशन में अक्षम है, और इसे अक्षम करने के बाद, सब कुछ वैसा ही हो जाता है जैसा उसे चाहिए।

SSTP । Microsoft से वीपीएन प्रोकोल। जीएनयू / लिनक्स पर सॉफ्टवेयर का समर्थन करते हुए, विंडोज पर मूल रूप से समर्थित है। बाहर से यह HTTPS जैसा दिखता है, और Wireshark पूरी तरह से इसकी पुष्टि करता है।

लेकिन यह सब नहीं है

मान लीजिए कि आपने एक होस्ट पर एक वीपीएन सर्वर या एक सुरंग का अंत स्थापित किया है और इसे पोर्ट 443 पर सुनने के लिए कॉन्फ़िगर किया है। ऐसा लगता है कि सब कुछ ठीक है, लेकिन एक ही है: अगर हम अपने आप को HTTPS के रूप में प्रच्छन्न करते हैं, तो आप यह सत्यापित कर सकते हैं कि वास्तव में यह पोर्ट 443 पर लटका हुआ है, बस एक साधारण ब्राउज़र या CURL, या किसी अन्य तरीके से इस पोर्ट में खुद को दफनाने की कोशिश कर रहा है। कुछ लेखों में, इस तरह की विधि को "लीड कनेक्शन" कहा जाता है, और, जैसा कि उल्लेख किया गया है, चीन में पहले से ही काफी उपयोग किया जाता है।

इसलिए, हमें चाहिए कि 443 वें पोर्ट पर हमारे पास सबसे साधारण और सभ्य वेब सर्वर हो। और यहां एक दिलचस्प समस्या पैदा होती है।

मुख्य दस्तावेज में उपरोक्त सेवाओं में से कोई भी पोर्ट शेयरिंग के कार्य तंत्र का विवरण नहीं मिला। SSLH विकल्प उपयुक्त नहीं है, यदि केवल इसलिए कि sslh HTTPS और उपरोक्त सेवाओं के बीच यातायात साझा करने में सक्षम नहीं है। कम से कम, क्योंकि यदि पूर्ण डिक्रिप्शन के बिना ट्रैफ़िक का प्रकार sslh को अलग कर सकता है, तो DPI करने में सक्षम होगा।

अधिकांश पुरुष, इस तरह, सर्वर नाम संकेत (एसएनआई) का उपयोग करने का सुझाव देते हैं - एक टीएलएस एक्सटेंशन जो आपको एक होस्ट नाम निर्दिष्ट करने की अनुमति देता है, और फिर सेवाओं के लिए कनेक्शन को तितर बितर करने के लिए हैप्रॉक्सी, स्निप्रोसी और अन्य उपकरणों का उपयोग करता है। समस्या यह है कि आधुनिक टीएलएस कार्यान्वयन में, एसएनआई का उपयोग करते समय निर्दिष्ट होस्ट नाम को सादे पाठ में प्रेषित किया जाता है, अर्थात्, अनएन्क्रिप्टेड रूप में और, इसलिए, भविष्य में भी जासूसी और उपयोग किया जा सकता है।

इसलिए, हम सुधार करेंगे, और फिर मेरे दिमाग में दो विकल्प आए।

बंदरगाह की दस्तक

पोर्ट दस्तक बस सर्वर पर "छिपी सेवाओं" को सक्रिय करने के लिए डिज़ाइन किया गया है। उदाहरण के लिए, एक समान तरीके से, जिस पर एसएसएच डेमन लटका हुआ है, वह अक्सर क्रूर बल और 0-दिन की कमजोरियों के उपयोग से बचने के लिए "बाहर" बंद है। क्लासिक संस्करण में (देखें, उदाहरण के लिए, नॉकडॉन डेमॉन का कार्यान्वयन), खटखटाने को आमतौर पर एक निश्चित अनुक्रम में कुछ होस्ट पोर्ट पर एक कनेक्शन स्थापित करने या पैकेट भेजने के प्रयासों के रूप में समझा जाता है, जिसके परिणामस्वरूप डेमन "स्वयं के रूप में" पहचानता है और एक फ़ायरवॉल नियम को सक्रिय करता है जो एक विशिष्ट पोर्ट तक पहुंच की अनुमति देता है। केवल आपके आईपी से।

हमारे मामले में, यह विकल्प पूरी तरह से स्वीकार्य नहीं है। सबसे पहले, "गैर-मानक" पोर्ट खुद को रास्ते में कहीं भी अवरुद्ध किया जा सकता है, और दूसरी बात, खुद प्रक्रिया, जब बाहर से विश्लेषण किया जाता है, तो संदिग्ध लग सकता है। चूंकि हम HTTPS के रूप में बहकते हैं, हमें HTTPS पर "दस्तक" करने की आवश्यकता है।

हैरानी की बात है कि आवश्यक कार्यक्षमता के साथ कोई HTTP / HTTPS नॉकर्स नहीं थे, और इसलिए रोमांटिक नाम Labean (hussars, चुप रहो!) के साथ एक नोकर का जन्म हुआ।

यह देखते हुए: हमारा सर्वर, जिस पर Nginx सही ढंग से कॉन्फ़िगर किए गए प्रमाणपत्रों के साथ पोर्ट 443 पर चल रहा है और कुछ पूरी तरह से हानिरहित सामग्री प्रदर्शित करता है, उदाहरण के लिए, बिल्लियों के साथ GIF, GNU / Linux वितरण की ISO छवियां, या एक विकिपीडिया दर्पण और मोशकोव लाइब्रेरी।

इसी समय, प्रपत्र की पंक्तियाँ नेग्नेक्स कॉन्फ़िगरेशन में छिप गईं

 location ~ ^/somesecret/(.*) {
    auth_basic      "Administrator Login";
    auth_basic_user_file  /var/www/.htpasswd;
    proxy_set_header  X-Real-IP  $remote_addr;
    proxy_pass http://127.0.0.1:8080/$1;
  }

, CURL'
https://ourserver.org/somesecret/vpn/on
, , , IP-, -
iptables -t nat -A PREROUTING -p tcp -s {clientIP} --dport 443 -j REDIRECT --to-port 4443
.

N (, ) , , , IP .

, , URL , /off .

, IPv6 (v6- X-Real-IP ).

Go, , , . , nginx init- Gihub:
https://github.com/uprt/labean

Websockets

: HTTPS — . Web- TCP , Websocket (RFC 6455). HTTP-, , TCP-. , , HTTPS .

WS , - — , CDN, , Cloudflare . , : IP CDN/proxy CDN, VPN/proxy CDN, .

WS- ( Haskell), wstunnel, nodejs , .

. wss://-,

wstunnel -t 33 wss://server:443

, «» ws- «» . wstunnel, , URI - :

wstunnel -t 33 wss://ourserver.org:443/hiddenws/

:

, 443 Nginx c - .

proxy- Websockets-:

location /hiddenws {
    proxy_pass http://127.0.0.1:8081;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";
  }

websockets-. SOCKS- (, Dante), OpenVPN, , , .



— SOCKS- VPN- wstunnel, «» .

, v2ray shadowcocks, websockets shadowsocks. : https://github.com/shadowsocks/v2ray-plugin

— VPN- - MTU, 1400;
— VPN- 2 IP-. VPN/, ;
— «» IP- , ICMP ping;
— - reverse DNS , -, , gateway-001.somehomeisp.net;
— VPN/ DNS- OpenNIC;
( ).

- , — . , , — , , . , HTTPS — , , - « »/ /etc., , « », .

, , , , — , , , .
.