Prestandajämförelse av verktyg för att kringgå blockeringarVPN

I takt med att vi allt mer aktivt stängs ute från olika resurser på nätet blir frågan om att kringgå blockeringar allt mer aktuell, vilket leder till frågan: "Hur kan man snabbare kringgå blockeringar?"

Låt oss lämna temat effektivitet i fråga om att kringgå DPI-whitelist och blacklist till en annan gång och helt enkelt jämföra prestandan hos populära verktyg för att kringgå blockeringar.

Observera: I artikeln kommer det att finnas många bilder under spoilers.

Disclaimern: Denna artikel jämför prestandan hos populära VPN och proxy-lösningar under förhållanden som ligger nära "ideala". Resultaten som presenteras här kommer inte nödvändigtvis att överensstämma med dina resultat i praktiken. För siffrorna i hastighetstester påverkas ofta av hur din leverantör hanterar throttling, QoS och blockerar.

BasketConsumerPlusRent(New_York)) BasketConsumerPlusRent(Stad) =

En molnleverantör (DO) har köpt tre VPS-servrar i olika länder. Två i Nederländerna och en i Tyskland. De mest presterande VPS:erna (baserat på antal kärnor) valdes bland de tillgängliga för kontot via kupongkrediter.

På den första nederländska servern har en privat iperf3-server installerats.

På den andra nederländska servern installeras olika kringgå blockering-verktyg upprepade gånger.

På den tyska VPS:en har en desktop Linux-image (Xubuntu) med VNC och virtuellt skrivbord installerats. Denna VPS fungerar som en teoretisk klient, och olika proxy- och VPN-klienter installeras och körs omväxlande.

Hastighetsmått görs tre gånger, vi fokuserar på medelvärdet och använder tre verktyg: i Chromium via webb-hastighetstest; i Chromium via fast.com; från konsolen via iperf3 genom proxy-chain (där trafik från iperf3 måste matas in i proxyn).

Direktkopplingen "klient"-server iperf3 ger en hastighet på 2 Gbps i iperf3, och något lägre i hastighetstestet.

En nyfiken läsare kan fråga: "Varför valde du inte speedtest-cli?" och ha rätt.

Speedtest-kli visar sig vara en opålitlig metod för att mäta bandbredd av okända anledningar. Tre på varandra följande mätningar kunde ge tre helt olika resultat, eller till exempel visa en bandbredd mycket högre än hastigheten på portarna hos mina VPS. Kanske är problemet mitt eget klumpiga användande, men det kändes omöjligt att genomföra tester med ett sådant verktyg.

När det gäller resultaten från tre mätmetoder (speedtest, fast, iperf) anser jag att iperf ger de mest exakta, pålitliga resultaten, medan fast speedtest är mer av referensvärde. Men vissa bypass-verktyg tillät inte att genomföra tre mätningar via iperf3 och i sådana fall kan man förlita sig på speedtestfast.

Speedtest ger olika resultat.

Verktygslåda

Totalt har 24 olika bypass-verktyg och/eller deras kombinationer testats, och jag kommer att ge en liten förklaring och mina intryck av var och en av dem. Men i grunden var syftet att jämföra hastigheterna hos Shadowsocks (och massa olika obfuskatorer till det), OpenVPN och Wireguard.

I det här materialet kommer jag inte att gå in på frågan "hur man bäst gömmer trafik så att den inte stängs av", eftersom bypass av blockeringar är en reaktiv åtgärd - vi anpassar oss efter vad censorn använder och agerar utifrån det.

Resultat

Strongswan ipsec

Enligt mina intryck är det mycket enkelt att konfigurera och fungerar ganska stabilt. Fördelarna är att det verkligen är plattformsoberoende, utan behov av att leta efter klienter för varje plattform.

Nedladdning — 993 mbits; uppladdning — 770 mbits

SSH-tunnel

Om användningen av SSH som tunnelverktyg har antagligen bara den lataste inte skrivit. Nackdelarna är "lojala" lösningar, d.v.s. det går inte att konfigurera det från en bekväm, snygg klient på varje plattform. Fördelarna är bra prestanda, och det behövs överhuvudtaget ingen installation på servern.

Nedladdning — 1270 mbits; uppladdning — 1140 mbits

OpenVPN

OpenVPN testades i fyra driftsätt: tcp, tcp+sslh, tcp+stunnel, udp.

Serverarna för OpenVPN konfigurerades automatiskt via installation av Streisand.

Såvitt jag kan bedöma är det för närvarande endast driftläget genom stunnel som är motståndskraftigt mot avancerad DPI. Anledningen till den onormala ökningen av kapaciteten vid insvepning av OpenVPN-TCP i stunnel är otydlig för mig, tester har gjorts vid flera tillfällen, vid olika tider och dagar, och resultatet har varit detsamma. Det kan vara relaterat till inställningarna i nätverksstacken som ställs in vid distributionen av Streisand, hör gärna av er om ni har några idéer om varför det är så.

openvpntcp: nedladdning — 760 mbits; uppladdning — 659 mbits

openvpntcp+sslh: nedladdning — 794 mbits; uppladdning — 693 mbits

openvpntcp+stunnel: nedladdning — 619 mbits; uppladdning — 943 mbits

openvpnudp: nedladdning — 756 mbits; uppladdning — 580 mbits

Openconnect

Det är inte det mest populära verktyget för att kringgå blockerad åtkomst, det ingår i Streisand-paketet, så vi beslutade att testa det också.

nedladdning — 895 mbits; uppladdning 715 mbits

Wireguard

Ett populärt verktyg bland västerländska användare, och utvecklarna av protokollet har till och med fått vissa bidrag för att vidareutveckla det från skyddsfonder. Det fungerar som en kärnmodul i Linux via UDP. På senare tid har det dessutom kommit klienter för windows och ios.

Det skapades av utvecklaren som en enkel och snabb metod för att se Netflix utanför USA.

Här är för- och nackdelar. Fördelar — ett mycket snabbt protokoll, relativt enkelt att installera och konfigurera. Nackdelar — utvecklaren skapade det från början inte för att kringgå allvarliga blockeringsåtgärder, och därför identifieras V2Ray lätt av grundläggande verktyg, inklusive Wireshark.

wireguard-protokollet i Wireshark
nedladdning — 1681 mbits; uppladdning 1638 mbits

Intressant nog används V2Ray-protokollet i den externa klienten Tunsafe, som ger mycket sämre resultat när den används med samma V2Ray-server. Det är troligt att Windows-klienten för V2Ray också kommer att visa liknande resultat:

tunsafeclient: nedladdning — 1007 mbits; uppladdning — 1366 mbits

OutlineVPN

Outline är en implementation av Shadowsocks-server och klient med ett vackert och användarvänligt gränssnitt från Google Jigsaw. I Windows består Outline-klienten helt enkelt av en uppsättning omslag för binärerna shadowsocks-local (klient för shadowsocks-libev) och badvpn (tun2socks-binär som dirigerar all trafik från maskinen till en lokal SOCKS-proxy).

Tidigare var Shadowsocks motståndskraftig mot den stora kinesiska brandväggen, men enligt de senaste recensionerna är det inte längre så. Till skillnad från Shadowsocks stöder "ur lådan" inte obfuskering av anslutningar via plugins, men detta kan göras manuellt genom att laborera med servern och klienten.

nedladdning — 939 mbits; uppladdning — 930 mbits

ShadowsocksR

ShadowsocksR är en fork av den ursprungliga Shadowsocks, skriven i Python. Det är i princip en Shadowsocks med flera tysta metoder för att obfuskera trafiken.

Det finns forks av ssR på libev och något annat. Den låga bandbredden beror troligen på programmeringsspråket. Den ursprungliga Shadowsocks i Python är inte mycket snabbare.

shadowsocksR: nedladdning 582 mbits; uppladdning 541 mbits.

Shadowsocks

Ett kinesiskt verktyg för att kringgå blockeringar, som randomiserar trafiken och på andra fantastiska sätt försvårar automatisk analys. Fram till nyligen blockerades det inte av GFW, men det sägs nu blockeras om man aktiverar UDP-relä.

Korsplattform (det finns klienter för alla plattformar), stöder arbete med PT liknande Tor-obfuskatorer. Det finns några egna eller anpassade obfuskatorer, snabb.

Det finns många implementationer av Shadowsocks-klienter och servrar på olika språk. Vid testning användes shadowsocks-libev som server, med olika klienter. Den snabbaste Linux-klienten visade sig vara shadowsocks2 i Go, som distribueras som standardklient i Streisand, jag kan inte säga hur mycket snabbare den är än shadowsocks-windows. I de flesta vidare tester användes just shadowsocks2 som klient. Skärmdumpar från testning av den rena shadowsocks-libev gjorde inte, på grund av den uppenbara efterblivenheten hos denna implementation.

shadowsocks2: nedladdning — 1876 mbits; uppladdning — 1981 mbits.

shadowsocks-rust: nedladdning — 1605 mbits; uppladdning — 1895 mbits.

Shadowsocks-libev: nedladdning — 1584 mbits; uppladdning — 1265 mbits.

Simple-obfs

En plugin för shadowsocks, som nu är i status "depreciated" men fortfarande fungerar (även om det inte alltid gör det bra). På många sätt har det ersatts av v2ray-plugin. Obfuskera trafiken antingen som http-websocket (och låta sig spoofa destinationsheadern, så det verkar som att du kollar på inte Pornhub, utan exempelvis webbplatsen för Rysslands konstitution) eller som pseudo-TLS (pseudo, eftersom det inte använder några certifikat, de enklaste DPI-typerna som gratis nDPI upptäcker som "tls utan cert"). I tls-läget går det inte att spoofa headers längre.

Tillräckligt snabb, installeras från repot med ett enda kommando, konfigureras mycket enkelt, har en inbyggd failover-funktion (när trafik från en icke-Simple-Obfs-klient når porten som Simple-Obfs lyssnar på, vidarebefordrar den den till den angivna adressen i inställningarna — på så sätt kan man undvika att manuellt kontrollera 80-porten till exempel, helt enkelt genom att göra en omdirigering till en webbplats med http, och även blockeringar genom connection-probes).

shadowsockss-obfs-tls: nedladdning — 1618 mbits; uppladdning 1971 mbits.

shadowsockss-obfs-http: nedladdning — 1582 mbits; uppladdning — 1965 mbits.

Simple-Obfs i http-läge kan också fungera genom en reverse-proxy CDN (till exempel Cloudflare), så för vår leverantör kommer trafiken att se ut som http-plain-texttrafik fram till Cloudflare, vilket gör att vi kan dölja vår tunnel något bättre, samt separera in- och utgångspunkterna för trafiken — leverantören ser att din trafik går mot IP-adress CDN, medan extremistiska gillanden på bilder sätts i detta ögonblick från VPS:ens ip-adress. Det bör påpekas att s-obfs genom CF fungerar blandat, ibland kan vissa http-resurser inte öppnas till exempel. Så, det gick inte att testa uppladdning med iperf genom shadowsockss-obfs+CF, men baserat på hastighetstestresultaten är kapaciteten på nivå med shadowsocksv2ray-plugin-tls+CF. Jag bifogar inga skärmdumpar från iperf3, eftersom de inte är tillförlitliga.

nedladdning (speedtest) — 887; uppladdning (speedtest) — 1154.

Nedladdning (iperf3) — 1625; uppladdning (iperf3) — NA.

v2ray-plugin

V2ray-pluginen ersatte Simple-Obfs som den viktigaste "officiella" obfuskatorn för SS-bibliotek. Till skillnad från Simple-Obfs finns den ännu inte i reporna, och man behöver antingen ladda ner en förkompilerad binärfil eller kompilera själv.

Stöder 3 driftslägen: standardläge, http-websocket (med stöd för att spoofa målets hostheaders); tls-websocket (till skillnad från s-obfs är detta riktig tls-trafik, som kan kännas igen av vilken webbserver/omvänd proxy som helst och till exempel möjliggör att konfigurera tls-terminerings på Cloudflare-servrar eller i Nginx); quic — fungerar genom udp, men tyvärr är prestandan för quic i V2ray mycket låg.

Fördelar jämfört med Simple-Obfs: v2ray-plugin fungerar problemfritt genom CF i http-websocket-läget med all trafik, i tls-läget utgör det äkta tls-trafik, kräver certifikat (till exempel från Let’s Encrypt eller självsignerat).

shadowsocksv2ray-plugin-http: nedladdning — 1404 mbits; uppladdning 1938 mbits.

shadowsocksv2ray-plugin-tls: nedladdning — 1214 mbits; uppladdning 1898 mbits.

shadowsocksv2ray-plugin-quic: nedladdning — 183 mbits; uppladdning 384 mbits.

Som jag redan har sagt kan v2ray sätta headers, och på så sätt kan man använda det genom reverse proxy CDN (t.ex. Cloudflare). Å ena sidan komplicerar det upptäckten av tunneln, å andra sidan kan det öka (eller ibland minska) lagg — detta beror helt på ditt och servrarnas placering. Just nu testar CF att arbeta med quic, men denna läge är fortfarande inte tillgänglig (minst sagt för gratiskonton).

shadowsocksv2ray-plugin-http+CF: nedladdning — 1284 mbits; uppladdning 1785 mbits.

shadowsocksv2ray-plugin-tls+CF: nedladdning — 1261 mbits; uppladdning 1881 mbits.

Cloak

Cloak är resultatet av vidareutvecklingen av obfuscatorn GoQuiet. Det simulerar TLS-trafik och fungerar därmed genom TCP. För närvarande har författaren släppt den andra versionen av pluginen, cloak-2, som skiljer sig avsevärt från den ursprungliga cloak.

Enligt information från utvecklaren använde den första versionen av pluginen mekanismen tls 1.2 resume session för att förfalska destinationsadressen för tls. Efter att den nya versionen släpptes (cloak-2) raderades alla wikipediasidor på GitHub som beskrev denna mekanism, och i den aktuella beskrivningen av krypteringsobfuskation nämns detta inte. Enligt författarens beskrivning används inte den första versionen av cloak på grund av "kritiskt sårbarhet inom kryptografi". Vid testtillfället fanns det bara den första versionen av cloak, dess binärer ligger fortfarande på GitHub och dessutom är kritiska sårbarheter inte särskilt viktiga, eftersom shadowsocks krypterar trafiken på samma sätt, oavsett cloak, och cloak påverkar inte krypton av shadowsocks.

shadowsockscloak: nedladdning — 1533; uppladdning — 1970 mbits.

Kcptun

kcptun använder som transport protokollet KCP och i vissa speciella fall möjliggör att öka bandbredden. Tyvärr (eller kanske lyckligtvis) är detta i hög grad aktuellt för användare från Kina, där vissa mobiloperatörer intensivt throttlar TCP och inte rör UDP.

Kcptun är extremt ressurskrävande och kan lätt belasta 100 % av 4 kärnor vid testning med 1 klient. Dessutom är pluginet "långsamt", och vid arbete med iperf3 avslutas inte testerna helt. Vi orienterar oss enligt hastighetstest i webbläsaren.

shadowsockskcptun: nedladdning (speedtest) — 546 mbits; uppladdning (speedtest) 854 mbits.

Slutsats

Behöver du en enkel och snabb VPN för att skydda hela enhetens trafik? Då är ditt val Vaergard. Vill du ha en proxy (för selektiv tunneling eller split-tunneling av virtuella enheter) eller är det viktigare för dig att dölja trafiken från allvarliga blockeringar? Då bör du kolla på Shadowsocks med TLS HTTP-dölja. Vill du vara säker på att din internetanslutning fungerar, så länge internet fungerar? Välj att proxytraffiken genom viktiga CDN, vars blockering skulle leda till att hälften av internet går ner i landet.

översiktstabell, sortering efter nedladdning

Källa: habr.com