Vergleich der Leistung von Tools zum Umgehen von VPN-Sperren

Während der Zugang zu verschiedenen Ressourcen im Internet immer stärker eingeschränkt wird, wird die Frage des Umgehens von Sperren immer relevanter. Das bedeutet auch, dass die Frage "Wie kann man Sperren schneller umgehen?" immer aktueller wird.

Lassen wir das Thema Effizienz in Bezug auf das Umgehen von DPI, Whitelists und Blacklists für einen anderen Fall und vergleichen einfach die Leistung beliebter Tools zum Umgehen von Sperren.

Achtung: In diesem Artikel wird es unter den Spoilern viele Bilder geben.

Haftungsausschluss: Dieser Artikel vergleicht die Leistung beliebter VPN-Proxy-Lösungen unter nahezu "idealen" Bedingungen. Die hier beschriebenen und erzielten Ergebnisse stimmen möglicherweise nicht mit deinen Ergebnissen im Feld überein. Denn die Zahl im Speedtest hängt oft nicht davon ab, wie leistungsfähig das Umgehungstool ist, sondern davon, wie dein Anbieter es drosselt, QoS und blockiert.

Methodologie

Bei einem Cloud-Anbieter (DO) wurden 3 VPS in verschiedenen Ländern der Welt gekauft. 2 in den Niederlanden, 1 in Deutschland. Es wurde der leistungsfähigste VPS (basierend auf der Anzahl der Kerne) aus den verfügbaren Angeboten für den Account mit Gutschein-Credits ausgewählt.

Auf dem ersten niederländischen Server wurde ein privater iperf3-Server eingerichtet.

Auf dem zweiten niederländischen Server werden nacheinander verschiedene Server von Umgehungswerkzeugen eingerichtet.

Auf dem deutschen VPS wurde ein Image von Desktop-Linux (Xubuntu) mit VNC und virtuellem Desktop installiert. Dieser VPS dient als bedingter Client, auf den nacheinander verschiedene Proxy- und VPN-Clients installiert und ausgeführt werden.

Die Geschwindigkeit wird über drei Tests gemessen, wobei wir uns auf den Durchschnitt konzentrieren und 3 Tools verwenden: im Chromium über einen Web-Speedtest; im Chromium über fast.com; aus der Konsole über iperf3 über die Proxy-Ketten (dort, wo der iperf3-Verkehr durch einen Proxy geleitet werden muss).

Die direkte Verbindung "Client"-Server iperf3 ergibt eine Geschwindigkeit von 2 Gbit/s in iperf3 und etwas weniger im Fast-Speedtest.

Der neugierige Leser könnte fragen: "Warum hast du nicht speedtest-cli gewählt?" und hätte damit recht.

Der Speedtest-Klient erwies sich aus mir unbekannten Gründen als unzuverlässiges und unangemessenes Mittel zur Messung der Bandbreite. Drei aufeinanderfolgende Messungen konnten drei völlig unterschiedliche Ergebnisse liefern oder beispielsweise eine Bandbreite anzeigen, die viel höher war als die Geschwindigkeit der Ports meiner VPS. Vielleicht liegt es an meiner Ungeschicklichkeit, aber es erschien mir unmöglich, mit diesem Werkzeug Untersuchungen durchzuführen.

Was die Ergebnisse der drei Messmethoden (Speedtest, Fast, iperf) betrifft, halte ich die Werte von iperf für die genauesten, zuverlässigsten und validesten, während der Fast-Speedtest als Referenzwert dient. Allerdings erlaubten einige Umgehungswerkzeuge nicht, die drei Messungen über iperf3 abzuschließen, und in solchen Fällen kann man sich am Speedtest Fast orientieren.

Speedtest liefert unterschiedliche Ergebnisse

Werkzeug

Insgesamt wurden 24 verschiedene Umgehungswerkzeuge und ihre Kombinationen getestet; zu jedem werde ich kurze Erklärungen und meine Eindrücke von der Arbeit mit ihnen geben. Letztendlich bestand das Ziel darin, die Geschwindigkeiten von Shadowsocks (und diversen verschiedenen Obfuskatoren dafür), OpenVPN und WireGuard zu vergleichen.

In diesem Material werde ich nicht detailliert auf die Frage eingehen, "wie man den Verkehr am besten versteckt, um nicht abgeschaltet zu werden", da Umgehungen von Blockaden eine reaktive Maßnahme sind – wir passen uns an das an, was der Zensor verwendet, und handeln entsprechend.

Ergebnisse

Strongswan IPsec

Nach meinen Eindrücken – sehr einfach einzurichten, funktioniert relativ stabil. Positiv hervorzuheben ist, dass es wirklich plattformübergreifend ist, ohne die Notwendigkeit, Clients für jede Plattform zu suchen.

Download – 993 Mbit/s; Upload – 770 Mbit/s

SSH-Tunnel

Über die Nutzung von SSH als Tunnelinstrument hat vermutlich nur derjenige nicht geschrieben, der es nicht wollte. Nachteile – "Pfuschen“ als Lösung, d.h. man kann es nicht von einem bequemen, hübschen Client auf jeder Plattform aus bereitstellen. Vorteile – gute Leistung, es ist überhaupt nicht notwendig, etwas auf dem Server zu installieren.

Download – 1270 Mbit/s; Upload – 1140 Mbit/s

OpenVPN

OpenVPN wurde in 4 Betriebsmodi getestet: TCP, TCP+SSHLH, TCP+Stunnel, UDP.

Die Server von OpenVPN wurden automatisch mit der Streisand-Installation eingerichtet.

Soweit ich beurteilen kann, ist derzeit nur der Betrieb über Stunnel gegenüber fortschrittlichem DPI stabil. Der Grund für die anomal hohe Bandbreite beim Verpacken von OpenVPN-TCP in Stunnel ist mir unklar; die Tests wurden in mehreren Durchgängen, zu verschiedenen Zeiten und an unterschiedlichen Tagen durchgeführt, das Ergebnis war dasselbe. Möglicherweise hängt es mit den Netzwerkkonfigurationen zusammen, die beim Deployen von Streisand festgelegt werden. Schreiben Sie mir, wenn Sie Ideen haben, warum das so ist.

openvpntcp: download — 760 mbits; upload — 659 mbits

openvpntcp+sslh: download — 794 mbits; upload — 693 mbits

openvpntcp+stunnel: download — 619 mbits; upload — 943 mbits

openvpnudp: download — 756 mbits; upload — 580 mbits

Openconnect

Ein nicht sehr populäres Tool zur Umgehung von Sperren, das Teil des Streisand-Pakets ist, weshalb beschlossen wurde, es ebenfalls zu testen.

download — 895 mbits; upload 715 mbits

Wireguard

Ein trendiges Tool, das bei westlichen Benutzern beliebt ist. Die Entwickler des Protokolls haben sogar einige Fördergelder zur Weiterentwicklung von Schutzfonds erhalten. Es arbeitet als Kernel-Modul unter Linux über UDP. Seit kurzem gibt es auch Clients für Windows und iOS.

Es wurde vom Ersteller als einfacher und schneller Weg gedacht, um Netflix außerhalb der USA zu sehen.

Hieraus ergeben sich Vor- und Nachteile. Vorteile — ein sehr schnelles Protokoll und relative Einfachheit bei der Installation/Einrichtung. Nachteile — der Entwickler hat es ursprünglich nicht mit dem Ziel entwickelt, ernsthafte Sperren zu umgehen, und daher wird Wireguard problemlos von den einfachsten Tools, einschließlich Wireshark, erkannt.

Das Wireguard-Protokoll in Wireshark
download — 1681 mbits; upload 1638 mbits

Interessanterweise wird das Wireguard-Protokoll in dem Drittanbieter-Client Tunsafe verwendet, der bei Verwendung mit demselben Wireguard-Server viel schlechtere Ergebnisse liefert. Es ist sehr wahrscheinlich, dass der Windows-Client von Wireguard ähnliche Ergebnisse zeigen wird:

tunsafeclient: download — 1007 mbits; upload — 1366 mbits

OutlineVPN

Outline ist eine Implementierung eines Shadowsocks-Servers und -Clients mit einer schönen und benutzerfreundlichen GUI von Googles Jigsaw. In Windows besteht der Outline-Client einfach aus einer Sammlung von Wrappern für die Binaries shadowsocks-local (Client shadowsocks-libev) und badvpn (tun2socks-Binary, das den gesamten Maschinenverkehr in einen lokalen Socks-Proxy leitet).

Früher war Shadowsocks resistent gegen die große chinesische Firewall, aber nach den neuesten Berichten ist das nicht mehr der Fall. Im Gegensatz zu Shadowsocks unterstützt es von Haus aus keine Obfuskation über Plugins, aber das kann man händisch erreichen, wenn man sich mit dem Server und dem Client beschäftigt.

Download — 939 Mbit; Upload — 930 Mbit

ShadowsocksR

ShadowsocksR ist ein Fork des ursprünglichen Shadowsocks, der in Python geschrieben wurde. Es ist im Wesentlichen ein Shadowsocks, dem mehrere Methoden zur Obfuskation des Traffics fest angeheftet wurden.

Es gibt Forks von ssR auf libev und noch einigen anderen. Die niedrige Bandbreite ist wahrscheinlich durch die Programmiersprache bedingt. Das ursprüngliche Shadowsocks in Python ist nicht viel schneller.

shadowsocksR: Download 582 Mbit; Upload 541 Mbit.

Shadowsocks

Ein chinesisches Werkzeug zum Umgehen von Blockaden, das den Traffic zufällig macht und auf andere großartige Weise die automatische Analyse stört. Bis vor kurzem wurde es von der GFW nicht blockiert, es wird jedoch gesagt, dass es jetzt blockiert wird, wenn man UDP-Relaisezusatz aktiviert.

Plattformübergreifend (es gibt Clients für jede Plattform), unterstützt die Arbeit mit PT wie die Obfuskatoren von Tor, es gibt mehrere eigene oder angepasste Obfuskatoren, schnell.

Es gibt eine Vielzahl von Implementierungen von Shadowsocks-Clients und -Servern in verschiedenen Programmiersprachen. Als Server wurde shadowsocks-libev getestet, die Clients waren unterschiedlich. Der schnellste Linux-Client war shadowsocks2 in Go, der als Standardclient in Streisand angeboten wird. Über die Leistungsfähigkeit von shadowsocks-windows kann ich nichts sagen. In den meisten weiteren Tests wurde tatsächlich shadowsocks2 als Client verwendet. Die Screenshots von den Tests mit dem reinen shadowsocks-libev wurden nicht gemacht, aufgrund des offensichtlichen Rückstands dieser Implementierung.

shadowsocks2: Download — 1876 Mbit; Upload — 1981 Mbit.

shadowsocks-rust: Download — 1605 Mbit; Upload — 1895 Mbit.

Shadowsocks-libev: Download — 1584 Mbit; Upload — 1265 Mbit.

Simple-obfs

Ein Plugin zu Shadowsocks, derzeit im Status "depreciated", funktioniert aber immer noch (obwohl nicht immer gut). Es wurde größtenteils durch das Plugin v2ray-plugin ersetzt. Es obfuskiert den Traffic entweder unter HTTP-WebSocket (und erlaubt das Spoofen der Zielhost-Header, sodass es aussieht, als würde man nicht Pornhub besuchen, sondern beispielsweise die Verfassung der RF), oder unter pseudo-TLS (pseudo, weil es keine Zertifikate verwendet; einfach DPI-Typen wie das kostenlose nDPI erkennen es als "tls no cert". Im TLS-Modus ist das Spoofen der Header nicht mehr möglich.)

Ziemlich schnell, lässt sich mit einem einzigen Befehl aus dem Repository installieren, ist sehr einfach einzurichten und verfügt über eine eingebaute Failover-Funktion (wenn der Port, den Simple-Obfs lauscht, Traffic von einem Nicht-Simple-Obfs-Client erhält, wird dieser an die Adresse weitergeleitet, die du in den Einstellungen angibst — so kann man manuelle Überprüfungen des Ports 80 beispielsweise vermeiden, indem man einfach eine Weiterleitung auf eine HTTP-Website macht, sowie Blockaden durch Verbindungsausfälle umgehen).

shadowsockss-obfs-tls: Download — 1618 Mbit; Upload 1971 Mbit.

shadowsockss-obfs-http: Download — 1582 Mbit; Upload — 1965 Mbit.

Simple-Obfs im HTTP-Modus kann ebenfalls über einen Reverse-Proxy CDN (z. B. Cloudflare) betrieben werden, sodass der Traffic für unseren Anbieter wie HTTP-Plaintext-Traffic bis Cloudflare aussieht. Dadurch kann unser Tunnel etwas besser verborgen werden und gleichzeitig die Eingangs- und Ausgangspunkte des Traffics getrennt werden — der Anbieter sieht, dass dein Traffic in Richtung IP-Adresse CDN geht, während extremistische Likes in diesem Moment von der VPS-IP-Adresse gesetzt werden. Es ist zu sagen, dass Simple-Obfs über CF nicht eindeutig funktioniert, manchmal werden beispielsweise einige HTTP-Ressourcen nicht geöffnet. So konnte die Upload-Geschwindigkeit unter Verwendung von iperf über shadowsockss-obfs+CF nicht getestet werden, aber laut den Ergebnissen des Speedtests ist die Bandbreite auf dem Niveau von shadowsocksv2ray-plugin-tls+CF. Screenshots von iperf3 füge ich nicht bei, da man sich nicht darauf verlassen sollte.

Download (Speedtest) — 887; Upload (Speedtest) — 1154.

Download (iperf3) — 1625; Upload (iperf3) — NA.

v2ray-plugin

Das V2ray-Plugin kam als Ersatz für Simple-Obfs als Haupt-

offiziellen

Obfuscator für SS-Libs. Im Gegensatz zu Simple-Obfs ist es derzeit nicht in den Repositories verfügbar und man muss entweder eine vorab gebaute Binärdatei herunterladen oder sie selbst kompilieren. Es unterstützt 3 Betriebsmodi: Standard, HTTP-WebSocket (mit Unterstützung zum Spoofing von Host-Headern); TLS-WebSocket (im Gegensatz zu Simple-Obfs handelt es sich um echten TLS-Traffic, der von jedem Webserver/Reverse-Proxy erkannt wird und beispielsweise die TLS-Terminierung auf Cloudflare- oder Nginx-Servern ermöglicht); QUIC — arbeitet über UDP, aber leider ist die Leistung von QUIC in V2Ray sehr gering. Zu den Vorteilen im Vergleich zu Simple-Obfs: Das V2Ray-Plugin funktioniert problemlos über CF im HTTP-WebSocket-Modus mit jedem Traffic, im TLS-Modus handelt es sich um echten TLS-Traffic, der für den Betrieb Zertifikate benötigt (z. B. von Let's Encrypt oder selbstsigniert).

shadowsocksv2ray-plugin-http: Download — 1404 Mbit/s; Upload 1938 Mbit/s.

shadowsocksv2ray-plugin-tls: Download — 1214 Mbit/s; Upload 1898 Mbit/s.

shadowsocksv2ray-plugin-quic: Download — 183 Mbit/s; Upload 384 Mbit/s.

Wie bereits erwähnt, kann v2ray Header setzen, und entsprechend kann man damit über Reverse-Proxy-CDN (zum Beispiel Cloudflare) arbeiten. Einerseits erschwert das die Entdeckung des Tunnels, andererseits kann es das Lag etwas erhöhen (manchmal sogar verringern) – das hängt ganz von deinem Standort und dem der Server ab. Momentan testet CF die Funktionalität mit quic, aber dieses Protokoll ist derzeit noch nicht verfügbar (zumindest nicht für kostenlose Konten).

shadowsocksv2ray-plugin-http+CF: Download — 1284 Mbit/s; Upload 1785 Mbit/s.

shadowsocksv2ray-plugin-tls+CF: Download — 1261 Mbit/s; Upload 1881 Mbit/s.

Cloak

Cloak ist das Ergebnis der Weiterentwicklung des Obfuscators GoQuiet. Er simuliert TLS-Traffic und arbeitet entsprechend über TCP. Derzeit hat der Autor die zweite Version des Plugins, cloak-2, veröffentlicht, die sich erheblich vom Original-Cloak unterscheidet.

Laut Informationen des Entwicklers verwendete die erste Version des Plugins den Mechanismus tls 1.2 Resume Session, um die Zieladresse für tls zu spoofen. Nach der Veröffentlichung der neuen Version (cloak-2) wurden alle Wiki-Seiten auf GitHub, die diesen Mechanismus beschrieben, entfernt, und im aktuellen Beschreibungstext zur Verschlüsselung/Obfuskation fehlen entsprechende Hinweise. Laut dem Autor wird die erste Cloak-Version aufgrund von "kritischen Sicherheitslücken im Crypto" nicht mehr verwendet. Zum Zeitpunkt der Tests gab es nur die erste Version von Cloak, die Binärdateien sind immer noch auf GitHub verfügbar, und zudem sind kritische Sicherheitslücken nicht von großer Bedeutung, da Shadowsocks den Traffic genau so verschlüsselt, wie ohne Cloak, und Cloak keinen Einfluss auf die Cryptografie von Shadowsocks hat.

shadowsockscloak: Download — 1533; Upload — 1970 Mbit/s

Kcptun

kcptun verwendet als Transportlayer das KCP-Protokoll und ermöglicht in bestimmten besonderen Fällen, die Bandbreite zu erhöhen. Leider (oder zum Glück) ist dies vor allem für Nutzer aus der VR China relevant, da einige Mobilfunkanbieter dort TCP stark drosseln und UDP unbeeinträchtigt lassen.

Kcptun ist extrem ressourcenhungrig und kann problemlos 100% von 4 Kernen bei Tests mit 1 Client auslasten. Darüber hinaus ist das Plugin "langsam" und beendet bei der Arbeit mit iperf3 die Tests nicht vollständig. Wir orientieren uns daher an den Speedtests im Browser.

shadowsockskcptun: Download (Speedtest) — 546 Mbit/s; Upload (Speedtest) 854 Mbit/s.

Fazit

Brauchen Sie ein einfaches, schnelles VPN, um den gesamten Datenverkehr Ihres Geräts zu tunneln? Dann ist Ihre Wahl — Vaergard. Möchten Sie ein Proxy für selektives Tunneling oder die Aufteilung von Streams für virtuelle Personen, oder ist es Ihnen wichtiger, den Datenverkehr vor strengen Blockaden zu verschleiern? Dann schauen Sie sich Shadowsocks mit TLS-HTTP-Verschlüsselung an. Möchten Sie sicherstellen, dass Ihr Internet funktioniert, solange das Internet überhaupt funktioniert? Wählen Sie das Tunneln des Datenverkehrs über wichtige CDNs, deren Blockierung dazu führen würde, dass in Ihrem Land die Hälfte des Internets nicht mehr funktioniert.

Übersichtstabelle, sortiert nach Downloads

Quelle: habr.com