Сравнение на производителността на инструментите за заобикаляне на блокировки VPN

С нарастанием ограничений доступа к различным интернет-ресурсам все более актуальным становится вопрос обхода блокировок, а значит, вопрос «Как обойти блокировки быстрее?».

Оставим на отдельный случай тему эффективности обхода DPI, вайтлистов и черных списков и просто сравним производительность популярных инструментов для обхода блокировок.

Внимание: в статье под спойлерами будет много изображений.

Дисклеймер: данная статья сравнивает производительность популярных VPN и прокси решений в условиях, приближенных к «идеальным». Результаты, полученные и описанные здесь, не обязательно совпадут с вашими итогами в реальных условиях. Параметр Speedtest часто зависит не столько от производительности инструмента, сколько от того, как ваш провайдер его ограничивает или блокирует.

Методология

У облачного провайдера (DO) куплены 3 VPS в разных странах мира: 2 в Нидерландах и 1 в Германии. Выбирались самые производительные VPS (по количеству ядер) из доступных для аккаунта по предложению с купонными кредитами.

На первом нидерландском сервере развернут приватный iperf3-сервер.

На втором нидерландском сервере поочередно разворачиваются различные инструменты для обхода блокировок.

На германском VPS развернут образ десктопного Linux (Xubuntu) с VNC и виртуальным рабочим столом. Этот VPS выступает в роли клиента, на который поочередно устанавливаются и запускаются различные клиенты прокси и VPN.

Измерения скорости проводятся трижды, ориентируемся на среднее значение, и используем три инструмента: в Chromium через веб-спидтест; в Chromium через fast.com; из консоли через iperf3 через прокси chains (где необходимо проксировать трафик iperf3).

Прямое соединение «клиент»-сервер iperf3 показывает скорость 2 Гбит/с в iperf3 и немного меньше в fasteSpeedtest.

Любопытный читатель может спросить: «Почему не был выбран speedtest-cli?» и окажется прав.

Спидтест-клиент се оказал ненадежен и неадекватен за измерване на капацитета по неизвестни причини. Три последователни измервания можеха да дадат три напълно различни резултата или например да покажат капацитет много по-висок от скоростта на портовете на моите VPS. Може би проблемът е в моята непохватност, но за мен беше невъзможно да проведа изследвания с такъв инструмент.

Що се отнася до резултатите от трите метода за измерване (speedtest fast и iperf), смятам, че показателите на iperf са най-точни, надеждни и достоверни, а fast speedtest е индикативен. Но някои инструменти за обход не позволяваха да завърша три измервания с iperf3 и в такива случаи може да се ориентираме на speedtest fast.

speedtest дава различни резултати

Инструментарий

Общо бяха тествани 24 различни инструмента за обход и или техните комбинации, на всеки от тях ще дам малки пояснения и впечатления от работата с тях. Но по същество, целта беше да сравня скоростите на shadowsocks (и различни негови обфускатори) openVPN и wireguard.

В този материал няма да засягам детайлно въпроса "как да скрием трафика, за да не ни блокират", защото обходът на блокади е реактивна мярка — адаптираме се към това, което използва цензора, и действаме на базата на това.

Резултати

Strongswan ipsec

По моите впечатления — много лесен за настройка, работи доста стабилно. От плюсовете — наистина кроссплатформен, без нужда от търсене на клиенти за всяка платформа.

download — 993 mbits; upload — 770 mbits

SSH тунел

За използването на SSH като инструмент за тунел не е писал само ленивият. От минусите — "костилестото" решение, т.е. не можете да го разгърнете от удобен красив клиент на всяка платформа. От плюсовете — добра производителност, няма необходимост изобщо да инсталирате нещо на сървера.

download — 1270 mbits; upload — 1140 mbits

OpenVPN

OpenVPN беше тестван в 4 режима на работа: tcp, tcp+sslh, tcp+stunnel, udp.

Сървърите на OpenVPN бяха настроени автоматично, чрез инсталацията на streisand.

Съдя по всичко, в момента само режимът на работа чрез Stunnel е устойчив на усъвършенстван DPI. Причината за необичайното увеличение на пропускната способност при маршрутизиране на OpenVPN-TCP в Stunnel не ми е ясна, тестовете бяха проведени в няколко подхода, по различно време и в различни дни, резултатът беше същият. Може би това е свързано с настройките на мрежовия стек, задавани при разгръщане на Streisand, пишете, ако имате идеи за причината.

openvpntcp: download — 760 mbits; upload — 659 mbits

openvpntcp+sslh: download — 794 mbits; upload — 693 mbits

openvpntcp+stunnel: download — 619 mbits; upload — 943 mbits

openvpnudp: download — 756 mbits; upload — 580 mbits

Openconnect

Не е най-популярният инструмент за заобикаляне на блокировки, включен в пакета Streisand, затова решихме да го тестваме и него.

download — 895 mbits; upload 715 mbits

Wireguard

Хайпов инструмент, популярен сред западните потребители, разработчиците на протокола дори получиха грантове за развитие от фондове за защита. Работи като модул на ядрото на Linux чрез UDP. Напоследък се появиха клиенти за Windows и iOS.

Създаден от разработчика като прост и бърз начин за гледане на Netflix извън САЩ.

Следователно, плюсове и минуси. Плюсовете — много бърз протокол, относителна простота на инсталацията и настройката. Минусите — разработчикът първоначално не го създава с цел заобикаляне на сериозни блокировки, и затова WireGuard лесно се засича от най-простите инструменти, включително Wireshark.

протокол WireGuard в Wireshark
download — 1681 mbits; upload 1638 mbits

Интересно е, че протоколът WireGuard се използва в третия клиент Tunsafe, който, когато се използва със същия WireGuard сървър, дава много по-лоши резултати. Възможно е, че и Windows клиентът на WireGuard ще показва същите резултати:

tunsafeclient: download — 1007 mbits; upload — 1366 mbits

OutlineVPN

Outline е имплементация на Shadowsocks сървър и клиент с красив и удобен интерфейс от Google Jigsaw. В Windows клиентът на Outline представлява просто набор от обвивки за бинарниците shadowsocks-local (клиент shadowsocks-libev) и badvpn (tun2socks бинарник, пренасочващ целия трафик на машината в локален socks-прокси).

Преди време Shadowsocks беше устойчив на великия китайски фаервол, но според последните отзиви, сега това вече не е така. За разлика от Shadowsocks, той не поддържа обфускация чрез плъгини, но това може да се направи ръчно, с малко усилия за сървъра и клиента.

изтегляне — 939 Mbps; качване — 930 Mbps

ShadowsocksR

ShadowsocksR е форк на оригиналния Shadowsocks, написан на Python. По същество представлява Shadowsocks, към който са прикрепени няколко метода за обфускация на трафика.

Съществуват форкове на ssR на libev и на нещо друго. Ниската пропускна способност вероятно е свързана с езика на кода. Оригиналният Shadowsocks на Python не е много по-бърз.

ShadowsocksR: изтегляне 582 Mbps; качване 541 Mbps.

Shadowsocks

Китайски инструмент за заобикаляне на блокировки, рандомизиращ трафика и използващ различни методи за затрудняване на автоматичния анализ. Досега GFW не го блокираше, но се твърди, че в момента блокира, само ако се включи UDP реле.

Кросплатформен (има клиенти за всяка платформа), поддържа работа с PT с помощта на торовски обфускатори, има няколко свои или адаптирани към него обфускатори, бърз.

Има много реализации на клиенти и сървъри на Shadowsocks на различни езици. В тестовете като сървър се използваше shadowsocks-libev, клиентите бяха различни. Най-бързият Linux клиент се оказа shadowsocks2 на Go, разпространяван като подразбиращ се клиент в Streisand. Не мога да кажа колко по-продуктивен е shadowsocks-windows. В повечето последващи тестове се използваше именно shadowsocks2. Нямаше снимки от тестове на чистия shadowsocks-libev поради очевидното изоставане на тази реализация.

shadowsocks2: изтегляне — 1876 Mbps; качване — 1981 Mbps.

shadowsocks-rust: изтегляне — 1605 Mbps; качване — 1895 Mbps.

Shadowsocks-libev: изтегляне — 1584 Mbps; качване — 1265 Mbps.

Simple-obfs

Плъгин за Shadowsocks, в момента в статус "достарял", но все още работи (макар и не винаги добре). Силно е заменен от плъгина v2ray-plugin. Обфускира трафика или под HTTP-WebSocket (и позволява манипулиране на заглавките на целевия хост, като симулира, че отивате да гледате не Pornhub, а например, сайта на Конституцията на Руската федерация) или под псевдо-TLS (псевдо, защото не използва сертификати; простите DPI, като безплатният nDPI, ги детектират като “TLS без сертификат”. В режима TLS не е възможно да се манипулират заглавките).

Достатъчно бърз, инсталира се от репо с една команда, настройва се много лесно, има вградена функция за фейловер (когато на порта, който слуша симпл-обфс идва трафик от не-симпл-обфс клиент, той го пренасочва по адрес, който посочите в настройките — така можете да избегнете ръчна проверка на 80-ти порт например, просто направя пренасочване към уебсайт с http, а също и блокирания чрез connection-problems).

shadowsockss-obfs-tls: изтегляне — 1618 mbits; качване 1971 mbits.

shadowsockss-obfs-http: изтегляне — 1582 mbits; качване — 1965 mbits.

Симпл-обфс в http режим също може да работи през реверс-прокси CDN (например, Cloudflare), по този начин за нашия доставчик трафикът ще изглежда като http-plaintext трафик до Cloudflare, което позволява да скрием малко по-добре нашия тунел, а също така да разделим точката на вход и изход на трафика — доставчикът вижда, че трафикът ви отива към IP адресите CDN, а екстремистките лайкове на снимките се дават в този момент с ip-адреса на VPS. Трябва да се каже, че именно с-обфс през CF работи недвусмислено, периодично неотваряйки някои http ресурси например. По този начин, не успях да тествам качването, използвайки iperf през shadowsockss-obfs+CF, но съдейки по резултатите от спидтеста, пропускната способност е на нивото на shadowsocksv2ray-plugin-tls+CF. Не прикрепям скрийншоти с iperf3, тъй като не си струва да се разчита на тях.

изтегляне (speedtest) — 887; качване (speedtest) — 1154.

Изтегляне (iperf3) — 1625; качване (iperf3) — NA.

v2ray-plugin

V2ray-plugin дойде да замени симпл-обфс като основния “официален” обфускатор за ss-libev. За разлика от симпл-обфс, той все още не е в репозиториите, и трябва или да изтеглите предварително събран бинарен файл, или да компилирате сами.

Поддържа 3 режима на работа: по подразбиране, http-websocket (с поддръжка на спуфинг на заглавките на назначената цел); tls-websocket (за разлика от с-обфс, това е пълноценен tls трафик, който се разпознава от всеки уебсървър/реверс-прокси и например позволява настройки за терминализация на tls на Cloudflare или на nginx); quic — работи чрез udp, но за съжаление производителността на quic в v2ray е много ниска.

От предимствата в сравнение с симпл-обфс: v2ray-плагинът без проблеми работи с CF в режим http-websocket с всякакъв трафик, в tls режим представлява пълноценен tls трафик, изисква за работа сертификати (например от let’s encrypt или самоподписан).

shadowsocksv2ray-plugin-http: изтегляне — 1404 mbits; качене 1938 mbits.

shadowsocksv2ray-plugin-tls: изтегляне — 1214 mbits; качене 1898 mbits.

shadowsocksv2ray-plugin-quic: изтегляне — 183 mbits; качене 384 mbits.

Както вече казах, v2ray може да добавя заглавия и по този начин може да се работи с него чрез реверс-прокси CDN (например Cloudflare). От една страна, това усложнява откритията на тунела, от друга — може да увеличи (а понякога и да намали) закъснението — всичко зависи от вашето местоположение и сървърите. В момента Cloudflare тества работата с quic, но засега този режим не е достъпен (поне за безплатни акаунти).

shadowsocksv2ray-plugin-http+CF: изтегляне — 1284 mbits; качене 1785 mbits.

shadowsocksv2ray-plugin-tls+CF: изтегляне — 1261 mbits; качене 1881 mbits.

Cloak

Cloak е резултат от по-нататъшното развитие на обфускатора GoQuiet. Симулира TLS трафик, функционира съвместно чрез TCP. В момента авторът е издал втора версия на плъгина, cloak-2, която се различава съществено от оригиналния cloak.

Според информация от разработчика, първата версия на плъгина използваше механизма tls 1.2 resume session, за да маскира адреса на целта за tls. След издаването на новата версия (cloak-2) всички страници на Wikipedia в GitHub, описващи този механизъм, бяха изтрити, като в текущото описание на шифроването/обфускацията това не се споменава. Според описанието на автора, първата версия на cloak не се използва поради наличието на "критични уязвимости в криптографията". Към момента на провеждане на тестовете имаше само първата версия на cloak, бинарните файлове на която все още са налични в GitHub и, освен всичко друго, критичните уязвимости не са особено важни, тъй като shadowsocks криптира трафика по същия начин, както и без cloak, а влиянието на cloak върху криптографията на shadowsocks е минимално.

shadowsockscloak: изтегляне — 1533; качене — 1970 mbits

Kcptun

kcptun използва като транспорт протокол KCP и в някои специфични случаи позволява увеличение на скоростта на предаване. За съжаление (или за радост) това е особено актуално за потребителите в КНР, където част от мобилните оператори активно ограничават TCP и не засягат UDP.

Kcptun е изключително ненаситен и спокойно натоварва 100% от 4 ядра при тестване с 1 клиент. Освен това, плъгинът е "бавен" и при работа през iperf3 не завършва тестовете до край. Насочваме се по спидтест в браузера.

shadowsockskcptun: изтегляне (speedtest) — 546 mbits; качене (speedtest) 854 mbits.

Заключение

Нужен ли ви прост и бърз VPN, за да защитите трафика на цялата си машина? Тогава вашият избор е ваергард. Искате ли прокси (за селективно тунелиране или разделяне на потоците на виртуални потребители) или е по-важно за вас да прикриете трафика от сериозни блокировки? В такъв случай, разгледайте шадоусокси с tlshttp обфускация. Искате ли да сте сигурни, че интернетът ви ще работи, докато работи интернетът изобщо? Изберете прокси за трафик през важни CDN, блокирането на които би довело до срив на половината интернет в страната.

обобщаваща таблица, сортиране по изтегляне

Източник: habr.com