השוואת ביצועים של כלי עקיפת חסימת VPN

ככל שנמנעת מאיתנו יותר ויותר גישה למשאבים שונים ברשת, נושא עקיפת החסימה הופך יותר ויותר דחוף, מה שאומר שהשאלה "איך לעקוף חסימה מהר יותר?" הופכת יותר ויותר רלוונטית.

נשאיר את נושא היעילות במונחים של עקיפת רשימות הלבנים של DPI למקרה אחר, ופשוט נשווה את הביצועים של כלי עקיפת בלוקים פופולריים.

שימו לב: בכתבה יהיו הרבה תמונות תחת ספויילרים.

כתב ויתור: מאמר זה משווה את הביצועים של פתרונות פרוקסי VPN פופולריים בתנאים קרובים ל"אידיאלי". התוצאות שהתקבלו ומתוארות כאן אינן בהכרח עולות בקנה אחד עם התוצאות שלך בשדות. מכיוון שהמספר במבחן המהירות יהיה תלוי לרוב לא בעוצמתו של כלי המעקף, אלא באופן שבו הספק שלך מצער אותו.

מתודולוגיה

3 VPS נרכשו מספק ענן (DO) במדינות שונות ברחבי העולם. 2 בהולנד, 1 בגרמניה. ה-VPS הפרודוקטיבי ביותר (לפי מספר הליבות) נבחר מבין אלו הזמינים לחשבון במסגרת ההצעה לזיכוי קופון.

שרת iperf3 פרטי פרוס בשרת ההולנדי הראשון.

בשרת ההולנדי השני, שרתים שונים של כלי מעקף חסימה נפרסים בזה אחר זה.

תמונת לינוקס שולחנית (xubuntu) עם VNC ושולחן עבודה וירטואלי נפרסת ב-VPS הגרמני. VPN זה הוא לקוח מותנה, ולקוחות פרוקסי VPN שונים מותקנים ומופעלים בו בתורם.

מדידות מהירות מתבצעות שלוש פעמים, אנו מתמקדים בממוצע, אנו משתמשים בשלושה כלים: ב-Chromium באמצעות בדיקת מהירות אינטרנט; ב-Chromium דרך fast.com; מהמסוף דרך iperf3 דרך proxychains3 (שם אתה צריך להכניס תעבורת iperf4 ל-proxy).

חיבור ישיר "לקוח"-שרת iperf3 נותן מהירות של 2 Gbps ב-iperf3, וקצת פחות ב-fastspeedtest.

קורא סקרן עשוי לשאול, "מדוע לא בחרת speedtest-cli?" והוא יהיה צודק.

Speedtest-cli התברר כלא אמין ודרך לא מספקת למדידת תפוקה, מסיבות שאינן ידועות לי. שלוש מדידות רצופות יכולות לתת שלוש תוצאות שונות לחלוטין, או, למשל, להראות תפוקה גבוהה בהרבה ממהירות היציאה של ה-VPS שלי. אולי הבעיה היא היד המנופחת שלי, אבל זה נראה בלתי אפשרי לבצע מחקר עם כלי כזה.

באשר לתוצאות עבור שלוש שיטות המדידה (speedtest fastiperf), אני מחשיב את מדדי ה-iperf כמדויקים והאמינים ביותר, ואת המבחן המהיר כנקודת התייחסות. אבל חלק מהכלים לעקוף לא אפשרו השלמת 3 מדידות דרך iperf3 ובמקרים כאלה, אתה יכול לסמוך על speedtestfast.

בדיקת מהירות נותנת תוצאות שונות

ערכת כלים

בסך הכל נבדקו 24 כלי מעקף שונים או שילוביהם, לכל אחד מהם אתן הסברים קטנים והתרשמותי מהעבודה איתם. אבל בעצם, המטרה הייתה להשוות את המהירויות של shadowsocks (וחבורה של ערפולים שונים עבור זה) openVPN ו-wireguard.

בחומר זה לא אדון בפירוט בשאלה "כיצד עדיף להסתיר תנועה כדי לא להתנתק", כי עקיפת חסימה היא אמצעי תגובתי - אנו מתאימים את עצמנו למה שהצנזור משתמש בו ופועלים על בסיס זה.

ממצאים

Strongswanipsec

בהתרשמות שלי, זה מאוד קל להגדיר ועובד די יציב. אחד היתרונות הוא שזה באמת חוצה פלטפורמות, ללא צורך לחפש לקוחות לכל פלטפורמה.

הורדה - 993 מגה-ביט; העלאה - 770 מגה-ביט

מנהרת SSH

כנראה שרק העצלנים לא כתבו על השימוש ב-SSH ככלי מנהרה. אחד החסרונות הוא ה"קב" של הפתרון, כלומר. פריסת זה מלקוח נוח ויפה בכל פלטפורמה לא תעבוד. היתרונות הם ביצועים טובים, אין צורך להתקין שום דבר על השרת בכלל.

הורדה - 1270 מגה-ביט; העלאה - 1140 מגה-ביט

OpenVPN

OpenVPN נבדק ב-4 מצבי פעולה: tcp, tcp+sslh, tcp+stunnel, udp.

שרתי OpenVPN הוגדרו אוטומטית על ידי התקנת streisand.

עד כמה שאפשר לשפוט, כרגע רק מצב המהמה עמיד בפני DPIs מתקדמים. הסיבה לעלייה החריגה בתפוקה בעת עטיפת openVPN-tcp ב-tunnel לא ברורה לי, בדיקות נעשו במספר ריצות, בזמנים שונים ובימים שונים, התוצאה הייתה זהה. אולי זה נובע מהגדרות מחסנית הרשת שהותקנו בעת פריסת סטרייסנד, כתוב אם יש לך רעיונות למה זה כך.

openvpntcp: הורדה - 760 מגה-ביט; העלאה - 659 מגה-ביט

openvpntcp+sslh: הורדה - 794 מגה-ביט; העלאה - 693 מגה-ביט

openvpntcp+stunnel: הורדה - 619 מגה-ביט; העלאה - 943 מגה-ביט

openvpnudp: הורדה - 756 מגה-ביט; העלאה - 580 מגה-ביט

Openconnect

לא הכלי הפופולרי ביותר לעקוף חסימות, הוא כלול בחבילת סטרייסנד, אז החלטנו לבדוק גם אותו.

הורדה - 895 מגה-ביט; העלה 715 מגהביט לשנייה

מגן

כלי הייפ פופולרי בקרב משתמשים מערביים, מפתחי הפרוטוקול אף קיבלו כמה מענקים לפיתוח מקרנות ביטחון. עובד כמודול ליבת לינוקס דרך UDP. לאחרונה הופיעו לקוחות עבור windowsios.

זה נתפס על ידי היוצר כדרך פשוטה ומהירה לצפות בנטפליקס בזמן שאינך בארצות הברית.

מכאן היתרונות והחסרונות. יתרונות: פרוטוקול מהיר מאוד, קלות יחסית של התקנה ותצורה. חסרונות - היזם לא יצר אותו בתחילה במטרה לעקוף חסימות חמורות, ולכן Wargard מזוהה בקלות על ידי הכלים הפשוטים ביותר, כולל. wireshark.

פרוטוקול wireguard ב-wireshark
הורדה - 1681 מגה-ביט; העלה 1638 מגהביט לשנייה

מעניין לציין כי פרוטוקול warguard משמש בלקוח tunsafe של צד שלישי, אשר, כאשר נעשה בו שימוש עם אותו שרת warguard, נותן תוצאות גרועות בהרבה. סביר להניח שלקוח Windows wargard יציג את אותן תוצאות:

tunsafeclient: הורדה - 1007 מגה-ביט; העלאה - 1366 מגה-ביט

OutlineVPN

Outline היא יישום של שרת ולקוח Shadowox עם ממשק משתמש יפה ונוח מהפאזל של גוגל. ב-Windows, לקוח המתאר הוא פשוט קבוצה של עטיפות עבור הקבצים הבינאריים של shadowsocks-local (shadowsocks-libev client) ו-badvpn (tun2socks בינארי שמפנה את כל תעבורת המכונה ל-proxy מקומי של socks).

Shadowsox הייתה פעם עמידה לחומת האש הגדולה של סין, אבל בהתבסס על ביקורות אחרונות, זה כבר לא המקרה. בניגוד ל-ShadowSox, מחוץ לקופסה הוא אינו תומך בחיבור ערפול באמצעות תוספים, אך ניתן לעשות זאת באופן ידני על ידי התעסקות עם השרת והלקוח.

הורדה - 939 מגה-ביט; העלאה - 930 מגה-ביט

ShadowsocksR

ShadowsocksR הוא מזלג של Shadowsocks המקורי, שנכתב בפייתון. במהותו, מדובר ב-shadowbox שאליה מוצמדות בחוזקה כמה שיטות של ערפול תנועה.

יש מזלגות של ssR ל-libev ומשהו אחר. התפוקה הנמוכה נובעת כנראה משפת הקוד. ה-Shadowsox המקורי על פיתון אינו מהיר בהרבה.

shadowsocksR: הורדה של 582 מגה-ביט; העלה 541 מגה-ביט.

צללים

כלי עוקף בלוק סיני שמחלק את התעבורה באקראי ומפריע לניתוח אוטומטי בדרכים נפלאות אחרות. עד לאחרונה, GFW לא היה חסום; הם אומרים שכעת הוא חסום רק אם ממסר UDP מופעל.

חוצה פלטפורמות (יש לקוחות לכל פלטפורמה), תומך בעבודה עם PT בדומה ל-Ofuscators של Thor, יש כמה מטשטשים משלו או מותאמים לו, מהר.

יש חבורה של יישומים של לקוחות ושרתים של Shadowox, בשפות שונות. בבדיקה, shadowsocks-libev פעל כשרת, לקוחות שונים. לקוח הלינוקס המהיר ביותר התברר כ-shadowsocks2 on go, המופץ כלקוח ברירת מחדל ב-streisand, אני לא יכול לומר כמה פרודוקטיביים יותר של shadowsocks-windows. ברוב הבדיקות הנוספות, Shadowsocks2 שימש כלקוח. צילומי מסך הבודקים את pure shadowsocks-libev לא נעשו עקב הפיגור הברור של יישום זה.

shadowsocks2: הורדה - 1876 מגה-ביט; העלאה - 1981 מגה-ביט.

shadowsocks-rust: הורדה - 1605 מגה-ביט; העלאה - 1895 מגה-ביט.

Shadowsocks-libev: הורדה - 1584 מגה-ביט; העלאה - 1265 מגה-ביט.

פשוט-obfs

התוסף עבור shadowsox נמצא כעת במצב "מופחת" אך עדיין עובד (אם כי לא תמיד טוב). הוחלף ברובו על ידי תוסף v2ray. מטשטש תעבורה תחת שקע HTTP (ומאפשר לך לזייף את כותרת היעד, להעמיד פנים שאתה לא מתכוון לצפות בפורנו-hub, אלא, למשל, באתר של החוקה של הפדרציה הרוסית) או תחת פסאודו-TLS (פסאודו). , מכיוון שהוא אינו משתמש באישורים כלשהם, ה-DPI הפשוט ביותר כגון nDPI חופשי מזוהה כ-"tls no cert." במצב tls, לא ניתן עוד לזייף כותרות).

די מהיר, מותקן מה-repo עם פקודה אחת, מוגדר בצורה פשוטה מאוד, בעל פונקציית failover מובנית (כאשר תעבורה מלקוח לא-simple-obfs מגיעה לפורט ש-simple-obfs מאזין לו, הוא מעביר אותו לכתובת איפה אתה מציין בהגדרות - ככה בדרך זו, אתה יכול להימנע מבדיקה ידנית של יציאה 80, למשל, פשוט על ידי הפנייה מחדש לאתר אינטרנט עם http, כמו גם חסימה באמצעות בדיקות חיבור).

shadowsockss-obfs-tls: הורדה - 1618 מגה-ביט; העלה 1971 מגה-ביט.

shadowsockss-obfs-http: הורדה - 1582 מגה-ביט; העלאה - 1965 מגה-ביט.

Simple-obfs במצב HTTP יכולים לעבוד גם דרך פרוקסי הפוך CDN (לדוגמה, cloudflare), כך שעבור הספק שלנו התעבורה תיראה כמו תעבורת HTTP-טקסט רגיל ל-cloudflare, זה מאפשר לנו להסתיר את המנהרה שלנו קצת יותר טוב, וב- באותו הזמן מפרידים בין נקודת הכניסה ליציאה מהתנועה - הספק רואה שהתנועה שלך הולכת לעבר כתובת ה-IP של CDN, ולייקים קיצוניים על תמונות ממוקמים ברגע זה מכתובת ה-IP של VPS. יש לומר ש-s-obfs דרך CF עובד בצורה מעורפלת, מדי פעם לא פותח כמה משאבי HTTP, למשל. לכן, לא ניתן היה לבדוק את ההעלאה באמצעות iperf דרך shadowsockss-obfs+CF, אך אם לשפוט לפי תוצאות בדיקת המהירות, התפוקה היא ברמה של shadowsocksv2ray-plugin-tls+CF. אני לא מצרף צילומי מסך מ-iperf3, כי... אתה לא צריך לסמוך עליהם.

הורדה (בדיקת מהירות) - 887; העלאה (בדיקת מהירות) - 1154.

הורדה (iperf3) - 1625; העלאה (iperf3) - NA.

תוסף v2ray

ה-V2ray-plugin החליף obfs פשוט כמעורפל ה"רשמי" הראשי עבור ss libs. בניגוד ל-obfs פשוט, הוא עדיין לא נמצא במאגרים, ואתה צריך להוריד קובץ בינארי מורכב מראש או להרכיב אותו בעצמך.

תומך ב-3 מצבי הפעלה: ברירת מחדל, HTTP websocket (עם תמיכה בזיוף כותרות של מארח היעד); tls-websocket (בניגוד ל-s-obfs, זוהי תעבורת tls מלאה, אשר מזוהה על ידי כל שרת פרוקסי הפוך, ולדוגמא, מאפשרת לך להגדיר סיום tls בשרתי cloudfler או ב-nginx); quic - עובד דרך udp, אך למרבה הצער הביצועים של quic ב-v2rey נמוכים מאוד.

בין היתרונות לעומת obfs פשוטים: התוסף v2ray עובד ללא בעיות דרך CF במצב HTTP-websocket עם כל תעבורה, במצב TLS מדובר בתעבורת TLS מלאה, הוא דורש אישורים לפעולה (למשל, מ-Let's encrypt או self -חתם).

shadowsocksv2ray-plugin-http: הורדה - 1404 מגה-ביט; העלה 1938 מגה-ביט.

shadowsocksv2ray-plugin-tls: הורדה - 1214 מגה-ביט; העלה 1898 מגה-ביט.

shadowsocksv2ray-plugin-quic: הורדה - 183 מגה-ביט; להעלות 384 מגה-ביט.

כפי שכבר אמרתי, v2ray יכול להגדיר כותרות, וכך ניתן לעבוד איתו דרך CDN פרוקסי הפוך (cloudfler למשל). מצד אחד זה מסבך את זיהוי המנהרה, מצד שני זה יכול להגדיל מעט (ולפעמים להפחית) את ההשהיה - הכל תלוי במיקום שלך ושל השרתים. CF בוחנת כעת עבודה עם quic, אך מצב זה עדיין אינו זמין (לפחות עבור חשבונות חינמיים).

shadowsocksv2ray-plugin-http+CF: הורדה - 1284 מגה-ביט; העלה 1785 מגה-ביט.

shadowsocksv2ray-plugin-tls+CF: הורדה - 1261 מגה-ביט; העלה 1881 מגה-ביט.

גְלִימָה

הגריסה היא תוצאה של פיתוח נוסף של ה-GoQuiet ערפול. מדמה תעבורת TLS ועובד באמצעות TCP. כרגע, המחבר הוציא את הגרסה השנייה של התוסף, cloak-2, השונה באופן משמעותי מהגלימה המקורית.

לטענת המפתח, הגרסה הראשונה של התוסף השתמשה במנגנון resume session של tls 1.2 כדי לזייף את כתובת היעד עבור tls. לאחר שחרורו של הגרסה החדשה (שעון-2), כל דפי הוויקי ב-Github המתארים מנגנון זה נמחקו; אין כל אזכור לכך בתיאור הנוכחי של הצפנת ערפול. על פי תיאור המחבר, הגרסה הראשונה של הגריסה אינה בשימוש עקב נוכחותן של "פגיעויות קריטיות בקריפטו". בזמן הבדיקות, הייתה רק הגרסה הראשונה של הגלימה, הקבצים הבינאריים שלו עדיין נמצאים ב-Github, וחוץ מכל השאר, נקודות תורפה קריטיות אינן חשובות במיוחד, כי shadowsox מצפין תעבורה באותו אופן כמו ללא גלימה, ולקלואק אין השפעה על הקריפטו של Shadowsox.

shadowsockscloak: הורדה - 1533; העלאה - 1970 מגה-ביט

Kcptun

משתמש ב-kcptun כתחבורה פרוטוקול KCP ובמקרים מיוחדים מסוימים מאפשר להשיג תפוקה מוגברת. לרוע המזל (או למרבה המזל), זה רלוונטי במידה רבה למשתמשים מסין, שחלק ממפעילי הסלולר שלהם מצערים בכבדות את TCP ואינם נוגעים ב-UDP.

Kcptun הוא רעבה לכוח, ומטעין בקלות 100 ליבות Zion ב-4% כאשר נבדק על ידי לקוח אחד. בנוסף, התוסף "איטי", ובעבודה דרך iperf1 הוא לא משלים בדיקות עד הסוף. בואו נסתכל על מבחן המהירות בדפדפן.

shadowsockskcptun: הורדה (בדיקת מהירות) - 546 מגה-ביט; העלאה (בדיקת מהירות) 854 מגה-ביט.

מסקנה

האם אתה צריך VPN פשוט ומהיר כדי לעצור את התנועה מכל המחשב שלך? אז הבחירה שלך היא שומר. האם אתה רוצה פרוקסי (למנהור סלקטיבי או הפרדה של זרימות אנשים וירטואליים) או שחשוב לך יותר לטשטש את התנועה מחסימה רצינית? אז תסתכל על Shadowbox עם ערפול tlshttp. האם אתה רוצה להיות בטוח שהאינטרנט שלך יעבוד כל עוד האינטרנט עובד בכלל? בחר לבצע פרוקסי תעבורה דרך CDNs חשובים, חסימה שתוביל לכשל של מחצית מהאינטרנט בארץ.

טבלת ציר, ממוינת לפי הורדה

מקור: www.habr.com