VPN 차단 우회 도구의 성능 비교

네트워크의 다양한 리소스에 대한 액세스가 점점 거부됨에 따라 차단 우회 문제가 점점 더 시급해지고 있으며, 이는 "차단을 더 빠르게 우회하는 방법"에 대한 질문이 점점 더 중요해지고 있음을 의미합니다.

DPI 화이트리스트 우회 측면에서 효율성이라는 주제는 다른 경우로 남겨두고, 널리 사용되는 차단 우회 도구의 성능을 간단히 비교해 보겠습니다.

주의: 기사에는 스포일러가 포함된 사진이 많이 포함되어 있습니다.

면책 조항: 이 기사에서는 "이상적"에 가까운 조건에서 인기 있는 VPN 프록시 솔루션의 성능을 비교합니다. 여기에서 얻고 설명하는 결과가 해당 분야의 결과와 반드시 일치하는 것은 아닙니다. 속도 테스트의 수치는 우회 도구의 성능이 아니라 공급자가 우회 도구를 어떻게 조절하는지에 따라 달라지는 경우가 많기 때문입니다.

방법론

3개의 VPS는 전 세계 여러 국가의 클라우드 제공업체(DO)로부터 구매되었습니다. 네덜란드 2개, 독일 1개. 쿠폰 크레딧 제안에 따라 계정에 사용 가능한 VPS 중에서 가장 생산적인 VPS(코어 수 기준)가 선택되었습니다.

개인 iperf3 서버는 첫 번째 네덜란드 서버에 배포됩니다.

두 번째 네덜란드 서버에는 다양한 블록 우회 도구 서버가 하나씩 배포됩니다.

VNC와 가상 데스크톱이 포함된 데스크톱 Linux 이미지(xubuntu)가 독일 VPS에 배포됩니다. 이 VPN은 조건부 클라이언트이며 다양한 VPN 프록시 클라이언트가 차례로 설치되고 실행됩니다.

속도 측정은 세 번 수행되며 평균에 중점을 두고 세 가지 도구를 사용합니다. Chromium에서 웹 속도 테스트를 통해; fast.com을 통해 Chromium에서; iperf3을 통해 콘솔에서 Proxychains3를 통해(iperf4 트래픽을 프록시에 넣어야 함)

"클라이언트"-서버 iperf3 직접 연결은 iperf2에서 3Gbps의 속도를 제공하고 fastspeedtest에서는 약간 더 낮습니다.

호기심 많은 독자는 "왜 speedtest-cli를 선택하지 않았나요?"라고 물을 수 있습니다. 그리고 그는 옳을 것입니다.

Speedtest-cli는 제가 알지 못하는 이유로 인해 신뢰할 수 없고 처리량을 측정하는 데 부적절한 방법으로 판명되었습니다. 세 번의 연속 측정은 완전히 다른 세 가지 결과를 제공할 수 있습니다. 예를 들어 VPS의 포트 속도보다 훨씬 높은 처리량을 보여줄 수 있습니다. 아마도 문제는 곤봉이 있는 손일지도 모르지만, 그런 도구를 가지고 연구하는 것은 불가능해 보였습니다.

세 가지 측정 방법(speedtest fastiperf)에 대한 결과에 관해서는 iperf 지표가 가장 정확하고 신뢰할 수 있으며 fastspeedtest를 참고로 간주합니다. 그러나 일부 우회 도구는 iperf3를 통해 3가지 측정을 완료하는 것을 허용하지 않았으며 이러한 경우 speedtestfast를 사용할 수 있습니다.

속도 테스트는 다른 결과를 제공합니다

툴킷

총 24개의 다양한 우회 도구 또는 그 조합이 테스트되었으며 각 도구에 대해 간단한 설명과 작업에 대한 인상을 제공하겠습니다. 그러나 본질적으로 목표는 Shadowsock(및 이를 위한 다양한 난독 처리기) OpenVPN과 WireGuard의 속도를 비교하는 것이었습니다.

이 자료에서는 차단 우회가 대응적 조치이기 때문에 "연결이 끊어지지 않도록 트래픽을 숨기는 최선의 방법"에 대한 질문에 대해 자세히 논의하지 않을 것입니다. 우리는 검열관이 사용하는 것에 적응하고 이에 따라 행동합니다.

조사 결과

Strongswanipsec

내 인상으로는 설정이 매우 쉽고 매우 안정적으로 작동합니다. 장점 중 하나는 각 플랫폼마다 클라이언트를 찾을 필요 없이 진정한 크로스 플랫폼이라는 것입니다.

다운로드 - 993MB; 업로드 - 770MB

SSH 터널

아마도 게으른 사람들만이 SSH를 터널 도구로 사용하는 것에 대해 글을 쓰지 않았을 것입니다. 단점 중 하나는 솔루션의 "버팀목"입니다. 모든 플랫폼의 편리하고 아름다운 클라이언트에서 배포하는 것은 작동하지 않습니다. 장점은 성능이 좋다는 것이고, 서버에 아무것도 설치할 필요가 전혀 없다는 것입니다.

다운로드 - 1270MB; 업로드 - 1140MB

OpenVPN

OpenVPN은 tcp, tcp+sslh, tcp+stunnel, udp의 4가지 작동 모드에서 테스트되었습니다.

OpenVPN 서버는 streisand를 설치하여 자동으로 구성되었습니다.

판단할 수 있는 한, 현재는 Stunnel 모드만 고급 DPI에 저항합니다. openVPN-tcp를 stunnel로 래핑할 때 처리량이 비정상적으로 증가하는 이유는 명확하지 않습니다. 여러 번 실행하고 다른 시간과 날짜에 검사를 수행했지만 결과는 동일했습니다. 아마도 이는 Streisand를 배포할 때 설치된 네트워크 스택 설정 때문일 수 있습니다. 그 이유에 대한 아이디어가 있으면 적어주세요.

openvpntcp: 다운로드 - 760mbits; 업로드 - 659MB

openvpntcp+sslh: 다운로드 - 794MB; 업로드 - 693MB

openvpntcp+stunnel: 다운로드 - 619mbits; 업로드 - 943MB

openvpnudp: 다운로드 - 756mbits; 업로드 - 580MB

오픈커넥트

막힘을 우회하는 데 가장 널리 사용되는 도구는 아니지만 Streisand 패키지에 포함되어 있으므로 테스트해 보기로 결정했습니다.

다운로드 - 895MB; 715mbps 업로드

와이어 가드

서방 사용자들 사이에서 인기 있는 과장된 도구인 이 프로토콜 개발자는 국방 기금으로부터 개발 보조금을 받기도 했습니다. UDP를 통해 Linux 커널 모듈로 작동합니다. 최근에는 windowsios용 클라이언트가 등장했습니다.

이는 미국이 아닌 곳에서 Netflix를 시청할 수 있는 간단하고 빠른 방법으로 제작자가 고안한 것입니다.

따라서 장단점이 있습니다. 장점: 매우 빠른 프로토콜, 상대적으로 설치 및 구성이 용이합니다. 단점 - 개발자는 처음에 심각한 막힘을 우회하려는 목적으로 Wargard를 만들지 않았으므로 Wargard는 다음을 포함한 가장 간단한 도구로 쉽게 감지됩니다. 와이어샤크.

Wireshark의 Wireguard 프로토콜
다운로드 - 1681MB; 1638mbps 업로드

흥미롭게도 Warguard 프로토콜은 타사 tunsafe 클라이언트에서 사용되는데, 동일한 Warguard 서버와 함께 사용할 경우 훨씬 더 나쁜 결과를 제공합니다. Windows wargard 클라이언트도 동일한 결과를 표시할 가능성이 높습니다.

tunsafeclient: 다운로드 - 1007mbits; 업로드 - 1366MB

개요VPN

개요는 Google 퍼즐의 아름답고 편리한 사용자 인터페이스를 사용하여 Shadowox 서버 및 클라이언트를 구현한 것입니다. Windows에서 아웃라인 클라이언트는 단순히 Shadowsocks-local(shadowsocks-libev 클라이언트) 및 badvpn(모든 시스템 트래픽을 로컬 양말 프록시로 전달하는 tun2socks 바이너리) 바이너리에 대한 래퍼 세트입니다.

Shadowsox는 한때 중국의 만리 방화벽에 저항했지만 최근 리뷰에 따르면 더 이상 그렇지 않습니다. ShadowSox와 달리 기본적으로 플러그인을 통한 난독화 연결을 지원하지 않지만 서버와 클라이언트를 조작하여 수동으로 수행할 수 있습니다.

다운로드 - 939MB; 업로드 - 930MB

그림자 양말 R

ShadowsocksR은 Python으로 작성된 원본 Shadowsocks의 포크입니다. 본질적으로 이는 여러 가지 트래픽 난독화 방법이 단단히 고정되어 있는 섀도우박스입니다.

libev와 다른 것에 대한 ssR 포크가 있습니다. 낮은 처리량은 아마도 코드 언어 때문일 것입니다. Python의 원래 Shadowsox는 그다지 빠르지 않습니다.

ShadowsocksR: 582MB 다운로드; 541MB를 업로드하세요.

그림자 독

트래픽을 무작위로 지정하고 다른 놀라운 방법으로 자동 분석을 방해하는 중국식 블록 우회 도구입니다. 최근까지 GFW는 차단되지 않았으나 이제는 UDP 릴레이가 켜져 있어야만 차단된다고 합니다.

크로스 플랫폼(모든 플랫폼에 대한 클라이언트가 있음)은 Thor의 난독화 장치와 유사한 PT 작업을 지원하며 자체 난독화 장치가 여러 개 있거나 이에 맞게 빠르게 조정되었습니다.

Shadowox 클라이언트와 서버는 다양한 언어로 구현되어 있습니다. 테스트에서 Shadowsocks-libev는 서버, 다른 클라이언트 역할을 했습니다. 가장 빠른 Linux 클라이언트는 Streisand에서 기본 클라이언트로 배포되는 Shadowsocks2로 밝혀졌습니다. Shadowsocks-windows가 얼마나 더 생산적인지 말할 수 없습니다. 대부분의 추가 테스트에서는 Shadowsocks2가 클라이언트로 사용되었습니다. 이 구현의 명백한 지연으로 인해 순수 Shadowsocks-libev를 테스트하는 스크린샷은 작성되지 않았습니다.

Shadowsocks2: 다운로드 - 1876mbits; 업로드 - 1981MB.

Shadowsocks-rust: 다운로드 - 1605mbits; 업로드 - 1895MB.

Shadowsocks-libev: 다운로드 - 1584mbits; 업로드 - 1265MB

단순 obfs

Shadowsox용 플러그인은 현재 "감가 상각" 상태이지만 여전히 작동합니다(항상 잘 작동하는 것은 아니지만). 대부분 v2ray-plugin으로 대체되었습니다. HTTP 웹소켓(그리고 포르노허브를 보지 않을 것처럼 가장하여 대상 헤더를 스푸핑할 수 있지만 예를 들어 러시아 연방 헌법 웹사이트) 또는 의사 TLS(의사) 아래에서 트래픽을 난독화합니다. , 인증서를 사용하지 않기 때문에 무료 nDPI와 같은 가장 간단한 DPI는 "tls no cert"로 감지됩니다. tls 모드에서는 더 이상 헤더를 스푸핑할 수 없습니다.

매우 빠르고, 하나의 명령으로 저장소에서 설치되고, 매우 간단하게 구성되었으며, 장애 조치 기능이 내장되어 있습니다(단순-obfs가 아닌 클라이언트의 트래픽이 simple-obfs가 수신하는 포트로 오면 해당 주소로 전달함). 설정에서 지정하는 위치 - 이와 같이 이 방법을 사용하면 예를 들어 단순히 http를 사용하여 웹 사이트로 리디렉션하거나 연결 프로브를 통해 차단하는 등의 방식으로 포트 80을 수동으로 확인하는 것을 피할 수 있습니다.

Shadowsockss-obfs-tls: 다운로드 - 1618mbits; 1971MB를 업로드합니다.

Shadowsockss-obfs-http: 다운로드 - 1582mbits; 업로드 - 1965MB

HTTP 모드의 Simple-obfs는 CDN 역방향 프록시(예: cloudflare)를 통해서도 작동할 수 있으므로 공급자의 경우 트래픽이 cloudflare에 대한 HTTP-일반 텍스트 트래픽처럼 보일 것입니다. 이를 통해 터널을 좀 더 잘 숨길 수 있습니다. 동시에 진입점과 트래픽 종료를 분리합니다. 공급자는 귀하의 트래픽이 CDN IP 주소를 향해 가고 있음을 확인하고 사진의 극단주의 좋아요는 이 순간 VPS IP 주소에서 배치됩니다. 예를 들어 주기적으로 일부 HTTP 리소스를 열지 않는 등 모호하게 작동하는 것은 CF를 통한 s-obfs라고 해야 합니다. 그래서 Shadowsockss-obfs+CF를 통해 iperf를 이용한 업로드 테스트는 불가능했는데, 속도 테스트 결과로 보면 처리량이 Shadowsocksv2ray-plugin-tls+CF 수준인 것으로 보입니다. iperf3의 스크린샷을 첨부하지 않습니다. 왜냐하면... 당신은 그들에게 의존해서는 안됩니다.

다운로드(속도 테스트) - 887; 업로드(속도 테스트) - 1154.

다운로드(iperf3) - 1625; 업로드(iperf3) - NA.

v2ray 플러그인

V2ray-plugin은 ss libs의 주요 "공식" 난독처리기로서 간단한 obfs를 대체했습니다. 단순한 obf와 달리 아직 저장소에 없으므로 사전 조립된 바이너리를 다운로드하거나 직접 컴파일해야 합니다.

3가지 작동 모드 지원: 기본, HTTP 웹소켓(대상 호스트의 스푸핑 헤더 지원); tls-websocket(s-obfs와 달리 이는 모든 역방향 프록시 웹 서버에서 인식되는 본격적인 TLS 트래픽입니다. 예를 들어 cloudfler 서버 또는 nginx에서 tls 종료를 구성할 수 있습니다) quic - udp를 통해 작동하지만 불행하게도 v2rey의 quic 성능은 매우 낮습니다.

단순 obf에 비해 장점: v2ray 플러그인은 모든 트래픽이 포함된 HTTP-websocket 모드에서 CF를 통해 문제 없이 작동하고, TLS 모드에서는 본격적인 TLS 트래픽이며, 작동하려면 인증서가 필요합니다(예: Let's encrypt 또는 self -서명).

Shadowsocksv2ray-plugin-http: 다운로드 - 1404mbits; 1938MB를 업로드합니다.

Shadowsocksv2ray-plugin-tls: 다운로드 - 1214mbits; 1898MB를 업로드합니다.

Shadowsocksv2ray-plugin-quic: 다운로드 - 183MB; 384MB를 업로드하세요.

이미 말했듯이 v2ray는 헤더를 설정할 수 있으므로 역방향 프록시 CDN(예: cloudfler)을 통해 작업할 수 있습니다. 한편으로는 이로 인해 터널 감지가 복잡해지고, 반면에 지연이 약간 증가(때로는 감소)될 수 있습니다. 이는 모두 사용자와 서버의 위치에 따라 다릅니다. CF는 현재 quic 작업을 테스트하고 있지만 이 모드는 아직 사용할 수 없습니다(적어도 무료 계정의 경우).

Shadowsocksv2ray-plugin-http+CF: 다운로드 - 1284mbits; 1785MB를 업로드합니다.

Shadowsocksv2ray-plugin-tls+CF: 다운로드 - 1261mbits; 1881MB를 업로드합니다.

망토

이 조각은 GoQuiet 난독처리기의 추가 개발 결과입니다. TLS 트래픽을 시뮬레이션하고 TCP를 통해 작동합니다. 현재 저자는 원래 cloak와 크게 다른 플러그인 cloak-2의 두 번째 버전을 출시했습니다.

개발자에 따르면 플러그인의 첫 번째 버전은 tls 1.2 재개 세션 메커니즘을 사용하여 tls의 대상 주소를 스푸핑했습니다. 새 버전(clock-2)이 출시된 후 이 메커니즘을 설명하는 Github의 모든 위키 페이지가 삭제되었습니다. 현재 난독화 암호화 설명에는 이에 대한 언급이 없습니다. 작성자의 설명에 따르면, 첫 번째 버전의 파쇄물은 "암호화폐의 심각한 취약점"으로 인해 사용되지 않습니다. 테스트 당시에는 망토의 첫 번째 버전만 있었고 바이너리는 여전히 Github에 있으며 다른 모든 것 외에도 심각한 취약점은 그다지 중요하지 않습니다. Shadowsox는 클로킹을 사용하지 않은 것과 동일한 방식으로 트래픽을 암호화하며 클로크는 Shadowsox의 암호화폐에 아무런 영향을 미치지 않습니다.

Shadowsockscloak: 다운로드 - 1533; 업로드 - 1970MB

Kcptun

kcptun을 전송 수단으로 사용 KCP 프로토콜 일부 특별한 경우에는 처리량 증가를 달성할 수 있습니다. 불행하게도(또는 다행스럽게도) 이는 중국 사용자에게 주로 해당되며, 이들 중 일부 이동통신사는 TCP를 크게 제한하고 UDP를 건드리지 않습니다.

Kcptun은 전력 소모가 심하며 클라이언트 100개에서 테스트했을 때 4개의 Zion 코어를 1%로 쉽게 로드합니다. 게다가 플러그인이 "느리고", iperf3를 통해 작업할 때 테스트를 끝까지 완료하지 못합니다. 브라우저에서 속도 테스트를 살펴보겠습니다.

Shadowsockskcptun: 다운로드(속도 테스트) - 546mbits; 업로드(속도 테스트) 854MB

결론

전체 시스템에서 트래픽을 차단하려면 간단하고 빠른 VPN이 필요합니까? 그렇다면 당신의 선택은 워가드입니다. 프록시(선택적 터널링 또는 가상 개인 흐름 분리를 위해)를 원하십니까, 아니면 심각한 차단으로부터 트래픽을 난독화하는 것이 더 중요합니까? 그런 다음 tlshttp 난독화를 사용하여 섀도우박스를 살펴보세요. 인터넷이 작동하는 한 인터넷이 작동하는지 확인하고 싶습니까? 중요한 CDN을 통해 트래픽을 프록시하도록 선택하면 차단되어 국내 인터넷의 절반이 중단됩니다.

다운로드별로 정렬된 피벗 테이블

출처 : habr.com