Võrdlus blokeerimise vältimise tööriistade tulemuslikkuse osas VPN

Kuna meile suletakse üha enam juurdepääs erinevatele internetiressurssidele, muutub üha aktuaalsemaks küsimus blokeeringute ületamisest, ja seega muutub üha olulisemaks küsimus: «Kuidas blokeeringutest kiiremini mööda minna?»

Jätame tõhususe teema, mis puudutab DPI valge- ja musta nimekirju, teise korda ning lihtsalt võrdleme populaarsete blokeeringute ületamise tööriistade sooritust.

Tähelepanu: artiklis on spollerite all palju pilte.

Diskleimer: käesolev artikkel võrdleb populaarsete VPN ja proxy lahenduste sooritust tingimustes, mis on lähedased «ideaalsele» olukorrale. Siin saadud ja kirjeldatud tulemused ei pruugi teie tulemustega kattuda, kuna kiirusetestis saadud arvud sõltuvad sageli mitte ainult blokeeringute ületamise tööriista efektiivsusest, vaid ka sellest, kuidas teie teenusepakkuja seda piiratab QoS või blokeerib.

Metodoloogia

Pilveteenuse pakkujal (DO) on ostetud 3 VPS erinevates maailma riikides. 2 Hollandis, 1 Saksamaal. Valiti kõige võimekam VPS (protsessorite arvu alusel) konto jaoks, mille eest sai kasutada kupongikrediite.

Esimesel Hollandi serveril on käivitatud privaatne iperf3-server.

Teisel Hollandi serveril käivitatakse vaheldumisi erinevad blokeeringute ületamise tööriistade serverid.

Saksa VPS-il on käivitatud lauaarvuti Linuxi (xubuntu) pilt koos VNC ja virtuaalse töölauaga. See VPS on tinglik klient, ja sellele installitakse vaheldumisi erinevad proxy ja VPN kliendid.

Kiirusmõõtmised viiakse läbi kolm korda, lähtudes keskmisest tulemusest, kasutades 3 tööriista: Chromiumis läbi veebikiirusetesti; Chromiumis läbi fast.com; konsolist läbi iperf3 proxy chainiga (seal, kus on vajalik iperf3 liiklus proxy kaudu edastada).

Otsene ühendus “klient”-server iperf3 annab kiirusena 2 Gbit/s, iperf3-s, ja veidi vähem fast.com kiirusetestis.

Uudishimulik lugeja võib küsida: «Miks sa ei valinud speedtest-cli?» ja tal on õigus.

Speedtesti klient osutus ebausaldusväärseks ja mitteadekvaatseks meetodiks läbilaskevõime mõõtmiseks, mulle teadmata põhjustel. Kolm järjestikust mõõtmist võisid anda täiesti erinevaid tulemusi või näiteks näidata läbilaskevõimet, mis on palju kõrgem kui minu VPS-i portide kiirus. Võib-olla on probleem minu oskustes, kuid sellise tööriista abil uurimise tegemine tundus mulle võimatu.

Mis puudutab kolme mõõtmise meetodi tulemusi (speedtest, fast, iperf), siis pean iperfi näitajaid kõige täpsemateks, usaldusväärsemateks ning tõestatumateks, samas kui fast speedtest on suunanäitajad. Kuid mõned vältimisseadmestikud ei võimaldanud kolme mõõtmist iperf3 kaudu lõpetada, ja sellistes olukordades võib orientatsiooni omada fast speedtest'i alusel.

speedtest annab erinevaid tulemusi

Tööriistakomplekt

Kokku testisin 24 erinevat vältimisseadmestikku ja/või nende kombinatsiooni, millest igaühe kohta annan lühikese selgituse ja oma muljed. Kuid põhimõtteliselt oli eesmärk võrrelda shadowsocks'i (ja hulga erinevate obfuskaatoritega selle jaoks) openVPN-i ja wireguardi kiirus.

Selles materjalis ei puuduta ma põhjalikult küsimust „kuidas paremini liiklust varjata, et see ei lõppeks”, kuna blokeeringute ületamine on reaktsioonimeede — me kohandame end nende järgi, mida kasutab tsensor, ja tegutseme selle alusel.

tulemused näitasid ainult nelja ebaolulise koodibloki kattuvust, mis olid tingitud POSIX ja ANSI C nõuetest.

Strongswan ipsec

Minu muljete põhjal — väga lihtsalt seadistatav, töötab piisavalt stabiilselt. Plussideks on tõeliselt platvormidevaheline, ilma vajaduseta otsida igale platvormile kliente.

allalaadimine — 993 mbits; üleslaadimine — 770 mbits

SSH tunnel

SSH kasutamine tunnelina ei ole ilmselt ainult laiskade kirjutamine. Puudusteks on „puksiirimisvõime” lahendus, st selle rakendamine ei toimu mugava ja kauni kliendi kaudu igal platvormil. Plussideks on hea jõudlus, serverisse ei pea midagi installima.

allalaadimine — 1270 mbits; üleslaadimine — 1140 mbits

OpenVPN

OpenVPN testiti neljas töörežiimis: tcp, tcp+sslh, tcp+stunnel, udp.

OpenVPN serverid seadistati automaatselt, kasutades streisandi installi.

Arvestades, et praegu on stunneliga töötamise režiim ainus, mis on edasiste DPI-de suhtes stabiilne. Mul pole selge, miks avatud VPN-tcp stunneli kaudu edastusvõimekus anomaalselt suureneb, testid tehti mitmes osas, erinevatel aegadel ja päevadel, tulemus oli sama. Võib-olla on see seotud võrgustiku virna seadistustega, mis kehtestatakse Streisandi kasutuselevõtu ajal, kirjutage, kui teil on ideid, miks see nii on.

openvpntcp: allalaadimine — 760 mbits; üleslaadimine — 659 mbits

openvpntcp+sslh: allalaadimine — 794 mbits; üleslaadimine — 693 mbits

openvpntcp+stunnel: allalaadimine — 619 mbits; üleslaadimine — 943 mbits

openvpnudp: allalaadimine — 756 mbits; üleslaadimine — 580 mbits

Openconnect

See ei ole kõige populaarsem blokeeringute ümbersuunamise tööriist, see kuulub Streisandi paketti, seega otsustati ka seda testida.

allalaadimine — 895 mbits; üleslaadimine 715 mbits

Wireguard

Populaarne tööriist, mis on läänes populaarsust kogunud, protokolli arendajad on isegi saanud mingisuguseid toetusi arengu toetamiseks kaitsefondidelt. See töötab Linuxi tuuma moodulina läbi UDP. Hiljuti on ilmunud kliendid Windowsi ja iOS-i jaoks.

Loodud kui lihtne ja kiire viis Netflixi vaatamiseks, kui ei viibita Ameerikas.

Siit ka plussid ja miinused. Plussid — väga kiire protokoll, suhteliselt lihtne seadistamine. Miinused — arendaja ei loonud algselt seda tõsiste blokeeringute ümbersuunamiseks, ning seetõttu tuvastatakse vaerguard kergelt kõige lihtsamate tööriistadega, sealhulgas Wiresharkiga.

wireguardi protokoll Wiresharkis
allalaadimine — 1681 mbits; üleslaadimine 1638 mbits

Huvitav on see, et vaerguardi protokolli kasutatakse kolmanda osapoole kliendis tunsafe, mis sama serveriga kasutamisel toob palju halvemad tulemused. On täiesti võimalik, et vaerguardi Windowsi klient näitab sarnaseid tulemusi:

tunsafeclient: allalaadimine — 1007 mbits; üleslaadimine — 1366 mbits

OutlineVPN

Outline on Shadowsocksi serveri ja kliendi implementeerimine koos kauni ja mugava GUI-ga Google'i Jigsawilt. Windowsis on Outline'i klient lihtsalt hulk mähiseid Shadowsocks-local'i (Shadowsocks-libev klient) ja badvpn (tun2socks binaar, mis suunab kogu masina liikluse kohalikku SOCKS-proksisse).

Kunagi oli Shadowsocks Suure Hiina tulemüüri vastu vastupidav, kuid viimaste arvustuste põhjal ei ole see enam nii. Erinevalt Shadowsocks'ist ei toeta see "karbist välja" obfuskeerimise ühenduste loomist pluginate kaudu, kuid seda saab käsitsi seadistada, kui veidi serveri ja kliendiga vaeva näha.

allalaadimine — 939 mbits; üleslaadimine — 930 mbits

ShadowsocksR

ShadowsocksR on originaal-Sk shadowsocksist, mis on kirjutatud Pythoni keeles. Sisuliselt on see Shadowsocks, millele on kindlalt kinnitatud mitu meetodit liikluse obfuskeerimiseks.

Eksisteerivad ssR harud libev'ist ja veel millestki. Madal läbilaskevõime on tõenäoliselt tingitud koodikeelest. Originaal-Shadowsocks Pythoni keeles ei ole oluliselt kiirem.

shadowsocksR: allalaadimine 582 mbits; üleslaadimine 541 mbits.

Shadowsocks

Hiina blokeeringute ületamise tööriist, mis randomiseerib liiklust ja muude imeliste meetoditega takistab automaatset analüüsi. Veel hiljuti ei blokeerunud GFW, kuid öeldakse, et nüüd blokeeritakse see vaid UDP-releede sisselülitamisel.

Platvormideülese (kliendid igasugustele platvormidele) toega, toetab PT-d Tor'i obfuskaatorite tüüpi, on mitu oma või kohandatud obfuskaatorit, kiire.

Shadowsocks'e kliendi ja serveri jaoks on olemas hulga rakendusi erinevates keeltes. Testimisel osutus serveriks shadowsocks-libev ning kliendid olid erinevad. Kõige kiirem Linuxi klient oli shadowsocks2, mis jaotati vaikekliendina streisandis; kui palju tootlikum on shadowsocks-windows, ei oska öelda. Enamikes hilisemates testides kasutati just shadowsocks2 klientina. Puhtast shadowsocks-libevist ei tehtud ekraanipilte, kuna selle rakenduse tagasilöök on ilmne.

shadowsocks2: allalaadimine — 1876 mbits; üleslaadimine — 1981 mbits.

shadowsocks-rust: allalaadimine — 1605 mbits; üleslaadimine — 1895 mbits.

Shadowsocks-libev: allalaadimine — 1584 mbits; üleslaadimine — 1265 mbits.

Simple-obfs

Plugin Shadowsocks'i jaoks, on hetkel staatuse "depreciated" all, kuid töötab endiselt (kuigi mitte alati hästi). Suures osas on asendatud v2ray-pluginiga. Obfuskeerib liiklust kas http-veebisoketi kaudu (ning lubab spoof'ida sihtkoha päiseid, tehes näiliselt, nagu vaataksid mitte Pornhub'i, vaid näiteks Venemaa põhiseaduse veebisaiti) või pseudo-TLS-i kaudu (pseudo, kuna ei kasuta mingeid sertifikaate, lihtsad DPI-d nagu tasuta nDPI tuvastavad selle "tls no cert"-ina. TLS-režiimis ei saa päiseid enam spoof'ida).

Piisavalt kiire, installitakse ühe käsuga repost, seadistamine on väga lihtne, sisaldab sisseehitatud failiveri funktsiooni (kui lihtne obfs kuulab porti, kuhu voolab liiklus mitte lihtsast obfs kliendist, edastab ta selle aadressile, mille seadistustes näitad — nii saab vältida käsitsi 80. porta kontrolli, lihtsalt suunates selle HTTP veebisaidile ning vältides blokeerimisi ühenduse katkemise kaudu).

shadowsockss-obfs-tls: allalaadimine — 1618 mbits; üleslaadimine 1971 mbits.

shadowsockss-obfs-http: allalaadimine — 1582 mbits; üleslaadimine — 1965 mbits.

Lihtne obfs HTTP režiimis võib samuti töötada läbi CDN-i pöördpordiproksi (nt Cloudflare), seega näeb meie pakkuja liiklust nagu HTTP puhttekstine liiklus Cloudflarei suunas, see aitab natuke paremini varjata meie tunnelit ning eraldada sissetuleku ja väljamineku punkti — pakkuja näeb, et sinu liiklus suundub CDN-i ip-aadresside , samas kui äärmuslikud like'id piltide peal antakse sel hetkel VPS-i IP-aadressilt. Tuleb öelda, et just C-obfs Cloudflare'i kaudu töötab see mitmeti, perioodiliselt ei avane näiteks mõned HTTP ressursid. Niisiis, allalaadimise katse iperfi kaudu shadowsockss-obfs+CF abil ei õnnestunud, kuid koondtestimise tulemuste järgi on läbilaskevõime tasemel shadowsocksv2ray-plugin-tls+CF. Iperf3 skrinsid ei toeta, kuna neid ei maksa arvesse võtta.

allalaadimine (speedtest) — 887; üleslaadimine (speedtest) — 1154.

Allalaadimine (iperf3) — 1625; üleslaadimine (iperf3) — NA.

v2ray-plugin

V2ray-plugin tuli lihtse obfs asenduseks ametliku 'ametliku' obfuskatorina ss-libide jaoks. Erinevalt lihtsast obfs-ist ei ole seda veel repos, ja tuleb kas alla laadida eelnevalt koostatuna binäärfailina või ise kokku panna.

Toetab 3 töörežiimi: vaikimisi, HTTP-veebipesa (toetab sihtmärkide hostinime spookimist); tls-veebipesa (erinevalt C-obfs-ist on see täieõiguslik tls-liiklus, mida tunnustab ükskõik milline veebiserveri pöördpordiproksi ja võimaldab näiteks TLS-i lõpetamist Cloudflare'i serverites või Nginxis); QUIC — töötab UDP kaudu, kuid kahjuks on QUIC'i jõudlus V2Ray's väga madal.

Eeliste hulgas võrreldes lihtsa obfs-iga: v2ray-plugin töötab probleemideta läbi Cloudflare'i HTTP-veebipesa režiimis igasuguse liiklusega, TLS-režiimis on see täieõiguslik tls-liiklus, vajab sertifikaate (nt Let's Encrypt või iseeneslikult allkirjastatud).

shadowsocksv2ray-plugin-http: allalaadimine — 1404 mbits; üleslaadimine 1938 mbits.

shadowsocksv2ray-plugin-tls: allalaadimine — 1214 mbits; üleslaadimine 1898 mbits.

shadowsocksv2ray-plugin-quic: allalaadimine — 183 mbits; üleslaadimine 384 mbits.

Nagu juba ütlesin, suudab v2ray seada päiseid, võimaldades töötada risti-proxy CDN-iga (näiteks Cloudflare). Ühest küljest keerulisem tuvastamine, teisest küljest võib see veidi suurendada (mõnikord isegi vähendada) viivitust — kõik sõltub teie ja serverite asukohast. Praegu testib CF quic režiimi, kuid see ei ole veel saadaval (vähemalt tasuta kontode jaoks).

shadowsocksv2ray-plugin-http+CF: allalaadimine — 1284 mbits; üleslaadimine 1785 mbits.

shadowsocksv2ray-plugin-tls+CF: allalaadimine — 1261 mbits; üleslaadimine 1881 mbits.

Cloak

Klock on GoQuiet obfuskaatori edasise arenduse tulemus. See simuleerib TLS-i liiklust ja töötab vastavalt TCP kaudu. Praegu on autor välja lasknud teise versiooni plugina, cloak-2, mis erineb oluliselt algsest Klockist.

Arendaja teabe kohaselt kasutas plugina esimene versioon TLS 1.2 sessiooni jätkamise mehhanismi, et petta TLS-i sihtaadressi. Pärast uue versiooni (cloak-2) väljaandmist eemaldati kõik GitHubi wikilehed, mis kirjeldasid seda mehhanismi, hetkel puuduvad selle kohta viidatud krüpteerimise obfuskatsioonipunktid. Autori sõnul ei kasutata esimeses versioonis Klocki kriitiliste krüptovigade tõttu. Testimise hetkel oli saadaval vaid esimene Klocki versioon, selle binaarid asuvad endiselt GitHubis, lisaks sellele ei ole kriitilised haavatavused eriti olulised, kuna shadowsocks krüpteerib liiklust samuti, nagu ka ilma Klockita, ja Klockiga ei ole shadowsocks'i krüptole mingit mõju.

shadowsockscloak: allalaadimine — 1533; üleslaadimine — 1970 mbits

Kcptun

kcptun kasutab transpordina protokolli KCP ja mõnedes erijuhtudel võimaldab saavutada suuremat läbilaskevõimet. Kahjuks (või õnneks) on see suuresti aktuaalne KGV kasutajatele, kellel on osade mobiilsideoperaatorite TCP tugevalt piiratud ja UDP-d nad ei puutu.

Kcptun on uskumatult ressursikurnav ja suudab kergesti 100% 4-žiono tuumasid koormata ühe kliendi katsetamisel. Lisaks on plugin 'aeglane' ning iperf3 kaudu testides ei lõpeta katseid täielikult. Tugineme veebibrauseri kiiruskatsele.

shadowsockskcptun: allalaadimine (speedtest) — 546 mbits; üleslaadimine (speedtest) 854 mbits.

Kokkuvõte

Kas vajad on lihtne ja kiire VPN, et krüpteerida kogu masina liiklust? Siis on teie valik vaergard. Kas soovite proksit (valikuliste tunnelite või virtuaalsete isikute voogude eraldamiseks) või on teie jaoks tähtsam obfuskeerida liiklust tõsiste blokeeringute eest? Siis vaadake šedousox'i TLS HTTP obfuskeerimisega. Kas soovite olla kindel, et teie internet töötab seni, kuni internet üldse töötab? Valige liikluse proksimise lahendused oluliste CDN-ide kaudu, mille blokeerimine võib tuua kaasa poole interneti kokkuvarisemise riigis.

kokkuvõteta tabela, sortimine allalaadimise järgi

Allikas: habr.com