A blokkolások megkerülési eszközeinek teljesítmény-összehasonlítása

Ahogy egyre inkább korlátozzák a hozzáférést különböző online forrásokhoz, úgy egyre aktuálisabbá válik a blokkok megkerülésének kérdése, tehát egyre sürgetőbb a kérdés: „Hogyan lehet gyorsabban megkerülni a blokkokat?”.

Hagyjuk a hatékonyság témáját, a DPI-white listek és blacklistek megkerülésének szempontjából egy másik alkalomra, és egyszerűen hasonlítsuk össze a népszerű blokklekerülő eszközök teljesítményét.

Figyelem: A cikkben a spoilerek alatt sok kép található.

Kizáró nyilatkozat: ez a cikk a népszerű VPN és proxy megoldások teljesítményét hasonlítja össze, olyan körülmények között, amelyek közel állnak az „ideális” állapothoz. Az itt bemutatott eredmények nem feltétlenül egyeznek meg a terepi tapasztalataiddal. Mert a speedtest eredménye gyakran nem attól függ, hogy mennyire hatékony az eszköz, hanem attól, hogy a szolgáltatód hogyan korlátozza azt QoS-n és blokkolja.

Módszertan

Egy felhős szolgáltatónál (DO) három VPS-t vásároltak különböző országokban. Kettő Hollandiában, egy Németországban. A legnagyobb teljesítményű VPS-t (a magok száma alapján) választották a számlához elérhető, kuponos kreditek ajánlásából.

Az első holland szerveren egy privát iperf3 szerver került telepítésre.

A második holland szerveren fokozatosan különböző blokklekerülő eszközök szerverei kerülnek telepítésre.

A német VPS-en egy desktop Linux (xubuntu) képe került telepítésre VNC-vel és virtuális asztallal. Ez a VPS egy feltételes ügyfél, és folyamatosan különböző proxy VPN klienseket telepítenek és indítanak rajta.

A sebességmérések három alkalommal történnek, az átlagra orientálódva, három eszközt használva: chromiumon keresztül webspeedtesttel; chromiumon keresztül a fast.com-mal; a konzolból iperf3-on keresztül proxychains-en (ahol szükséges az iperf3 forgalmát a proxyn keresztül átirányítani).

A közvetlen „ügyfél”-szerver iperf3 kapcsolat 2 Gbit/s sebességet ad, az iperf3-ban, és egy kicsit kevesebbet a fast speedtesten.

A kíváncsi olvasó megkérdezheti: „Miért nem választottad a speedtest-cli-t?”, és igaza van.

A sebességteszt-kliens megbízhatatlan és nem adekvát módja a sávszélesség mérésének, számomra ismeretlen okok miatt. Három egymás utáni mérés három teljesen különböző eredményt adhatott, vagy például a VPS-eim portjainál jóval magasabb sávszélességet mutathatott. Lehetséges, hogy a hiba az én ügyetlenségemben rejlik, de számomra lehetetlennek tűnt ilyen eszközzel kutatásokat végezni.

A három mérési módszer (sebességteszt/fasiperf) eredményeit illetően szerintem az iperf mutatói a legpontosabbak, legmegbízhatóbbak, míg a faszsebességteszt csak tájékoztató jellegű. De egyes elkerülő eszközök nem engedték befejezni a 3 mérést az iperf3-on, így ilyen esetekben lehet orientálódni a sebességteszt/fasznál.

A sebességteszt eltérő eredményeket ad.

Eszköztár

Összesen 24 különböző elkerülő eszközt és/vagy azok kombinációit teszteltem, mindegyikről adok egy rövid magyarázatot és az érzéseimet a használatukkal kapcsolatban. De lényegében az volt a cél, hogy összehasonlítsuk a Shadowsocks sebességeit (különféle obfuskátorokkal) az OpenVPN-nel és a WireGuard-dal.

Ebben az anyagban nem részletezem, hogyan lehet a legjobban elrejteni a forgalmat, hogy ne kapcsoljanak le, mert a blokkolások megkerülése egy reaktív intézkedés — alkalmazkodunk ahhoz, amit a cenzor használ, és ennek megfelelően cselekszünk.

Eredmények

Strongswanipsec

Az élményeim szerint nagyon egyszerű a beállítása, elég stabilan működik. Az előnyök között említendő, hogy valóban keresztplatformos, nem szükséges külön klienseket keresni minden platformhoz.

letöltés — 993 mbits; feltöltés — 770 mbits

SSH-tunnel

Az SSH használatáról, mint tunneling eszközről valószínűleg csak a lusták nem írtak. Hátrányai között említhetjük a megoldás "konstruktív" jellegét, vagyis, hogy nem lehet egy kényelmes, szép kliensből telepíteni minden platformra. Előnyei közé tartozik a jó teljesítmény, és nem szükséges semmit telepíteni a szerverre.

letöltés — 1270 mbits; feltöltés — 1140 mbits

OpenVPN

Az OpenVPN négy üzemmódban lett tesztelve: tcp, tcp+sslh, tcp+stunnel, udp.

Az OpenVPN szerverek automatikusan be lettek állítva a streisand telepítésével.

A jelenlegi helyzet szerint a stunnel üzemmódban való munkavégzés tűnik a legstabilabbnak a fejlett DPI-vel szemben. Nem világos számomra az opennvpn-tcp stunnelbe való becsomagolása során tapasztalt anomális sávszélességnövekedés oka, különböző időpontokban és napokon végeztünk méréseket, de az eredmények ugyanazok voltak. Lehetséges, hogy ez a Streisand telepítésekor beállított hálózati verem konfigurációjával kapcsolatos, ha van bármilyen ötletetek, miért történhetett ez, írjatok.

openvpntcp: letöltés — 760 mbits; feltöltés — 659 mbits

openvpntcp+sslh: letöltés — 794 mbits; feltöltés — 693 mbits

openvpntcp+stunnel: letöltés — 619 mbits; feltöltés — 943 mbits

openvpnudp: letöltés — 756 mbits; feltöltés — 580 mbits

Openconnect

Nem a legnépszerűbb blokkoláselhárító eszköz, a Streisand csomag része, ezért úgy döntöttünk, hogy ezt is teszteljük.

letöltés — 895 mbits; feltöltés 715 mbits

Wireguard

Hype-eszköz, amely népszerű a nyugati felhasználók körében, a protokoll fejlesztői még valamilyen támogatást is kaptak a védelmet szolgáló alapítványoktól. Kernelmódulag működik Linux alatt, UDP-n keresztül. Nemrégiben megjelentek a Windows és iOS kliensek.

A készítője eredetileg egyszerű, gyors megoldásként képzelte el a Netflix nézésére, ha az Egyesült Államokon kívül tartózkodsz.

Itt vannak az előnyök és hátrányok. Az előnyök — nagyon gyors protokoll, viszonylag egyszerű telepítés és beállítás. A hátrányok — a fejlesztő kezdetben nem blokkolások megkerülésére tervezte, ezért a WireGuard könnyen észlelhető egyszerű eszközökkel, például a Wiresharkkal.

wireguard protokoll a wiresharkban
letöltés — 1681 mbits; feltöltés 1638 mbits

Érdekes módon a WireGuard protokoll a Tunsafe harmadik fél által készített kliensén keresztül használható, amely ugyanazzal a WireGuard szerverrel sokkal rosszabb eredményeket mutat. Valószínű, hogy a WireGuard Windows kliense is hasonló eredményeket mutat majd.

tunsafeclient: letöltés — 1007 mbits; feltöltés — 1366 mbits

OutlineVPN

Az Outline a Shadowsocks szerver és kliens megvalósítása, szép és felhasználóbarát felülettel a Google Jigsaw-tól. Windows alatt az Outline kliens csupán a shadowsocks-local (shadowsocks-libev kliens) és a badvpn (tun2socks bináris, amely az összes gépi forgalmat egy helyi socks-proxira irányít) binárisok wrappersorozataként működik.

Valaha a Shadowsocks ellenállt a nagy kínai tűzfalnak, de a legfrissebb vélemények szerint ez már nem így van. A Shadowsocks-szal ellentétben a "dobozból" nem támogatja az elhomályosító csatlakozást pluginokkal, de ezt manuálisan is meg lehet oldani a szerver és az ügyfél konfigurálásával.

letöltés — 939 mbits; feltöltés — 930 mbits

ShadowsocksR

A ShadowsocksR a klasszikus Shadowsocks egy fork-ja, amelyet Python nyelven írtak. Lényegében a Shadowsocks, amelyhez több forgalomelhomályosító módszert rögzítettek.

A ssR forkok léteznek libev-en és más platformokon is. Az alacsony átvitel valószínűleg a programozási nyelv miatt van. Az eredeti Shadowsocks Pythonban nem sokkal gyorsabb.

shadowsocksR: letöltés 582 mbits; feltöltés 541 mbits.

Shadowsocks

Egy kínai blokkok megkerülésére szolgáló eszköz, amely véletlenszerűsíti a forgalmat és más nagyszerű módokon megnehezíti az automatikus elemzést. Nem rég még nem volt blokkolva a GFW, most azt mondják, hogy csak UDP relé aktiválásakor blokkolják.

Keresztplatformos (bárhol elérhetők kliensek), támogatja a PT-t úgy, mint a Tor-hoz hasonló elhomályosítókat, van néhány saját vagy ahhoz alkalmazott elhomályosítója, gyors.

Számos Shadowsocks kliens és szerver implementáció létezik különböző nyelveken. A tesztelés során a szerverként a shadowsocks-libev működött, a kliensek — különbözőek. A leggyorsabb Linux kliens a shadowsocks2 volt, amelyet alapértelmezett kliensként terjesztenek a Streisand-ban, a shadowsocks-windows teljesítményéről nem tudok nyilatkozni. A legtöbb további teszt során a kliensként valóban a shadowsocks2-t használták. Képek a tiszta shadowsocks-libev teszteléséről nem készültek, a nyilvánvalóan elavult teljesítmény miatt.

shadowsocks2: letöltés — 1876 mbits; feltöltés — 1981 mbits.

shadowsocks-rust: letöltés — 1605 mbits; feltöltés — 1895 mbits.

Shadowsocks-libev: letöltés — 1584 mbits; feltöltés — 1265 mbits.

Simple-obfs

Egy plug-in a Shadowsocks számára, jelenleg "elavult" állapotban van, de még mindig működik (bár nem mindig jól). Nagyrészt kiszorította a v2ray-plugin. Elhomályosítja a forgalmat vagy http websocket alatt (és lehetővé teszi a célhost fejlécének hamisítását, úgy téve, mintha nem pornográfiát néznél, hanem például az orosz alkotmány weboldalát), vagy álcázott tls alatt (álarccal, mert nem használ tanúsítványokat, a legegyszerűbb DPI, mint a ingyenes nDPI “tls no cert”-ként érzékeli. TLS módban a fejléc hamisítása már nem lehetséges).

Elég gyors, egy parancssal telepíthető a repóból, nagyon egyszerűen beállítható, beépített failover funkcióval rendelkezik (amikor a simpli-obfs-t hallgató portra érkezik a nem-simpli-obfs kliens forgalma, azt a megadott címre irányítja, így elkerülhető a 80-as port manuális ellenőrzése, például egyszerűen átirányítva egy HTTP weboldalra, és blokkolásokat is kivédhetünk a connection-probákon keresztül).

shadowsockss-obfs-tls: letöltés — 1618 mbits; feltöltés 1971 mbits.

shadowsockss-obfs-http: letöltés — 1582 mbits; feltöltés — 1965 mbits.

A simpli-obfs HTTP módban szintén működhet CDN visszaverő proxy-n keresztül (például Cloudflare), így a mi szolgáltatónk számára a forgalom HTTP tiszta szövegként jelenik meg a Cloudflare-ig, ez lehetővé teszi, hogy jobban elrejtsük az alagútunkat, és szétválasszuk a forgalom belépési és kilépési pontját — a szolgáltató látja, hogy a forgalmad a CDN felé halad, míg a szélsőséges lájkok a képeken az VPS IP-címéről érkeznek. Meg kell említeni, hogy a s-obfs Cloudflare-en keresztül vegyesen működik, időnként nem nyit meg bizonyos HTTP forrásokat például. Tehát, az iperf használatával történő feltöltés tesztelés a shadowsockss-obfs+CF segítségével nem sikerült, de a sebességteszt eredményei alapján a sávszélesség a shadowsocksv2ray-plugin-tls+CF szintjén áll. IP-címnek Képernyőképeket az iperf3-ról nem csatolok, mert azokra támaszkodni nem érdemes.

letöltés (speedtest) — 887; feltöltés (speedtest) — 1154.

Letöltés (iperf3) — 1625; feltöltés (iperf3) — N/A.

v2ray-plugin

A V2ray-plugin a simpli-obfs helyére lépett mint az “officiális” obfuszkátor a ss-lib közben. A simpli-obfs-szal ellentétben még nem található a repókban, és előre le kell tölteni a már elkészített binárist, vagy saját magunknak kell kompilálni.

3 üzemmódot támogat: alapértelmezett, HTTP-websocket (célzott host header spoofing támogatással); TLS-websocket (a s-obfs-szal ellentétben ez egy teljes értékű TLS forgalom, amelyet bármely webkiszolgáló visszaverő proxy és például lehetővé teszi a TLS terminálásának beállítását a Cloudflare vagy az Nginx szervereken); QUIC — UDP-n keresztül működik, de sajnos a QUIC teljesítménye a V2Ray-ben nagyon alacsony.

Jóval a simpli-obfs-hez képest: a V2Ray-plugin problémamentesen működik a CF-en HTTP-websocket módban bármilyen forgalommal, TLS módban teljes értékű TLS forgalomnak számít, működéséhez szükségesek a tanúsítványok (például a Let’s Encrypt-től vagy önaláírt).

shadowsocksv2ray-plugin-http: letöltés — 1404 mbits; feltöltés 1938 mbits.

shadowsocksv2ray-plugin-tls: letöltés — 1214 mbits; feltöltés 1898 mbits.

shadowsocksv2ray-plugin-quic: letöltés — 183 mbits; feltöltés 384 mbits.

Ahogy már mondtam, a v2ray képes fejléceket beállítani, így használható visszafelé proxy CDN-nel (például Cloudflare). Egyfelől ez megnehezíti a alagút észlelését, másfelől kicsit növelheti (vagy néha csökkentheti) a késleltetést — itt minden attól függ, hogy Ön hol és a kiszolgálók hol helyezkednek el. Jelenleg a CF teszteli a quic működését, de ez a mód egyelőre nem elérhető (legalábbis ingyenes fiókokhoz).

shadowsocksv2ray-plugin-http+CF: letöltés — 1284 mbits; feltöltés 1785 mbits.

shadowsocksv2ray-plugin-tls+CF: letöltés — 1261 mbits; feltöltés 1881 mbits.

Cloak

A Cloak a GoQuiet obfuszkátor további fejlesztésének eredménye. TLS forgalmat szimulál, a TCP-n keresztül működik. Jelenleg a szerző kiadta a plugin második változatát, a cloak-2-t, amely jelentősen eltér az eredeti cloaktól.

A fejlesztő információi szerint az első verzió a tls 1.2 resume session mechanizmust használta, hogy kijátssza a TLS címzett címét. A legújabb verzió (cloak-2) megjelenése után minden wiki oldal a GitHubon, amely ezt a mechanizmust leírta, törlésre került, a jelenlegi titkosítási- és obfuszkálási leírásban már nincs említés róla. A szerző leírása szerint az első verziót nem használják a "kritikus sebezhetőségek" miatt. A tesztelés időpontjában csak az első verzió állt rendelkezésre, amelynek binárisai még mindig elérhetők a GitHubon, és a kritikus sebezhetőségek nem számítanak komoly problémának, mivel a shadowsocks ugyanúgy titkosítja a forgalmat, mint nélküle, és a cloak nem befolyásolja a shadowsocks titkosítását.

shadowsockscloak: letöltés — 1533; feltöltés — 1970 mbits.

Kcptun

A kcptun transportként használja a KCP protokollt és bizonyos különleges esetekben lehetővé teszi a sávszélesség növelését. Sajnos (vagy szerencsére) ez nagyrészt a Kínai Népköztársaság felhasználóira vonatkozik, ahol egyes mobil szolgáltatók intenzíven throttlingolják a TCP-t, míg az UDP-t nem.

A kcptun rendkívül erőforrás-igényes, és könnyedén 100%-ra terheli a 4 zion-jádékot egy kliens tesztelésekor. Ezen kívül a plugin "lassú", és Iperf3 alkalmazásával nem fejezi be a teszteket. A böngészőben végzett sebességteszt alapján orientálódunk.

shadowsockskcptun: letöltés (sebességteszt) — 546 mbits; feltöltés (sebességteszt) 854 mbits.

Zárás

Szüksége van egy egyszerű és gyors VPN-re, hogy az egész gép forgalmát eltakarja? Akkor a legjobb választás a Vaergard. Szeretne proxykat (az igény szerint történő alagútépítéshez vagy virtuális személyek forgalmának szegmentálásához), vagy a legfontosabb az forgalom elrejtése a komoly blokkok elől? Akkor nézze meg a Shadowsocks-t TLS http obfuszkációval. Biztos akar lenni abban, hogy az internet megszakítás nélkül működik? Válassza a forgalom proxyzását fontos CDN-eken keresztül, akik blokkolása a fél internet leállását okozhatja az országban.

összesítő táblázat, letöltés szerinti rendezés

Forrás: habr.com