Как блокируют VPN и что мы с этим делаем
Большинство страниц 'как мы обходим цензуру' описывают одну технику и подразумевают, что она решает все. Это не так — цензоры используют несколько различных техник, и VPN, который отвечает на одну, может все еще пасть перед другой. Эта страница перечисляет их отдельно, указывает, какой из наших двух движков решает каждый, и прямо говорит, где ни один из них не помогает.
Два движка, а не один
Unblock Master использует два движка VPN, потому что ни один из них не отвечает на все техники ниже. Faster работает на AmneziaWG — WireGuard с удаленным фиксированным фингерпринтингом — и является стандартным для большинства сетей. Unblocker работает на Reality, который не столько маскирует VPN-соединение, сколько заменяет его на реальное TLS-соединение с реальным сайтом. Переключение между ними — это один клик в приложении, а не переустановка, что важно, потому что правильный движок зависит от того, какую технику использует сеть перед вами.
Чтобы узнать, что каждый протокол раскрывает по отдельности, см. сравнение протоколов. Эта страница организована иначе: сначала по технике цензуры, с нашим ответом на каждую.
| Техника блокировки | Faster (AmneziaWG) | Unblocker (Reality) |
|---|---|---|
| Идентификация протокола / рукопожатия | Прямо отвечено | Прямо отвечено |
| Фильтрация SNI | Не затронуто | Прямо отвечено |
| Идентификация TLS (JA3/JA4) | Не затронуто | Прямо отвечено |
| Активное зондирование | Частично отвечено | Прямо отвечено |
| Блокировка IP-адреса | Не затронуто | Не затронуто |
| Торможение | Не затронуто | Не затронуто |
«Прямо отвечает» означает, что дизайн движка специально направлен на эту технику. «Частично отвечает» означает, что он помогает, но остается остаточный сигнал — читайте запись, а не только значок. «Не отвечает» обозначено так же прямо, как и два других; страница, которая всегда говорит «да», ничего не измеряет.
Идентификация протокола / рукопожатия
Сопоставление фиксированного байтового шаблона в первых пакетах — тот же отпечаток, который делает обычный WireGuard легко блокируемым на месте.
Faster (AmneziaWG)
Прямо отвечено
Unblocker (Reality)
Прямо отвечено
Faster (AmneziaWG) создан специально для удаления этого отпечатка: мусорные пакеты перед рукопожатием, заполнение, изменяющее размеры пакетов, и четыре фиксированных байта типа сообщения заменены значениями, согласованными заранее обеими сторонами. Единственное правило DPI, которое ловит постоянное 148/92-байтовое рукопожатие WireGuard, здесь ничего не ловит. Unblocker (Reality) полностью обходит этот вопрос — это не UDP-рукопожатие, которое цензор может сопоставить по шаблону, это TLS-соединение, оформленное как любой другой HTTPS-запрос.
Защита AmneziaWG зависит от согласия обеих сторон на каждый параметр обфускации; неправильная конфигурация, а не отклоненная, все равно будет подключаться, но при этом тихо нести распознаваемый шаблон. Мы контролируем обе стороны, поэтому это операционный риск с нашей стороны, а не то, чем управляет пользователь.
Условия: deep-packet-inspection · amneziawg · junk-packets · header-magic
Фильтрация SNI
Блокировка HTTPS-соединения путем чтения открытого имени сайта, отправляемого в начале TLS-рукопожатия, до начала шифрования.
Faster (AmneziaWG)
Не затронуто
Unblocker (Reality)
Прямо отвечено
Faster вообще не использует TLS, поэтому поля SNI для чтения нет — но это важно только в сетях, которые проверяют трафик; сеть, которая вместо этого разрешает только трафик, похожий на обычное TCP/443 веб-серфинг, не пропустит UDP AmneziaWG в любом случае. Соединение Unblocker's Reality представляет TLS-рукопожатие, включая SNI, подлинного сайта, который он имитирует — так что SNI, который видит цензор, — это имя сайта-прикрытия, а не наше.
Это конкретный случай, для которого существует Unblocker: это наш ответ, когда сеть фильтрует метаданные TLS, а не форму протокола UDP.
Условия: sni-filtering · reality · vless
Идентификация TLS (JA3/JA4)
Определение программного обеспечения, стоящего за TLS-соединением, по точному порядку, в котором оно предлагает свои шифры, расширения и кривые — сигнатура библиотеки, отправляемая до начала шифрования.
Faster (AmneziaWG)
Не затронуто
Unblocker (Reality)
Прямо отвечено
Не применимо к Faster, поскольку у AmneziaWG нет TLS-рукопожатия для идентификации в первую очередь. Весь дизайн Reality направлен именно на эту технику: он заимствует подлинное TLS-рукопожатие реального сайта, а не приближает его, поэтому сигнатура JA3/JA4, которую собирает цензор, неотличима от сигнатуры реального посетителя.
Имитация рукопожатия правильно необходима, но недостаточна — см. ниже активное зондирование и анализ формы трафика для того, что правильное рукопожатие не охватывает само по себе.
Условия: tls-fingerprinting · reality
Активное зондирование
Цензор подключается к серверу, который вы только что использовали, и проверяет, отвечает ли он как прокси — идентифицируя сервер по его собственному поведению, а не по вашему трафику.
Faster (AmneziaWG)
Частично отвечено
Unblocker (Reality)
Прямо отвечено
Сервер Faster не дает зондеру без нужного ключа никакого отличительного ответа для распознавания — но сервер, который отвечает только на эту одну необычную схему, при осмотре все равно остается сервером, выполняющим одну необычную вещь. Unblocker построен именно на этом случае: зондер без правильного ключа передается прямо на реальный сайт, который имитируется, и получает реальный сертификат этого сайта. Зондирование подтверждает прикрытие, а не раскрывает что-либо.
Для самых сложных сетей — где активное зондирование является обычным делом — мы рекомендуем переключиться на Unblocker, и приложение делает это одним касанием, а не переустановкой.
Условия: active-probing · reality
Блокировка IP-адреса
Отбрасывание всего трафика на определенный адрес, независимо от того, какой протокол он несет — грубый метод, и это гонка вооружений между количеством адресов, которые работает провайдер, и скоростью, с которой цензор может их перечислять.
Faster (AmneziaWG)
Не затронуто
Unblocker (Reality)
Не затронуто
Ни один из движков не скрывает адрес сервера — мы не утверждаем обратного. Наш ответ на эту технику является операционным, а не на уровне протокола: серверы в разных странах, поэтому блокировка одного адреса обходится пользователю в одно касание для переключения страны, а не в то, что приложение перестает работать. Это устойчивость, а не уклонение, и эти два понятия не следует путать.
Цензор, который перечисляет и блокирует весь диапазон адресов, с которого работает провайдер — не только один сервер — не является чем-то, на что способны оба движка. Ни один VPN не может этого сделать.
Условия: ip-blocking · asn · datacenter-ip
Торможение
Намеренное замедление соединения вместо его полной блокировки, пока использование не станет слишком болезненным — сложнее измерить, чем блокировку, и именно поэтому всё чаще предпочитается цензорами, например, в России с её Великим файрволом и недавними запретами VPN в 2024 году.
Faster (AmneziaWG)
Не затронуто
Unblocker (Reality)
Не затронуто
Ни один из движков не может остановить сеть от ограничения скорости трафика, который уже идентифицирован как зашифрованный и нераспознанный, независимо от протокола. Что предлагает приложение, так это быстрый способ выяснить, помогает ли смена протокола: если сеть ограничивает скорость по форме протокола, переключение с Faster на Unblocker полностью меняет эту форму, что является единственным, что стоит попробовать, когда соединение медленное, а не мёртвое.
Если оба движка ограничены одинаково, сеть, скорее всего, регулирует скорость по объему или по месту назначения, а не по протоколу, и никакие изменения VPN-движка этого не изменят.
Условия: throttling · confirmed-vs-anomaly
Почему два движка вместо одного лучшего
В таблице выше нет строки, где один движок охватывает все, и это не пробел, который мы еще не закрыли — это структурная особенность. Сила Reality против фильтрации SNI, фингерпринтинга TLS и активного зондирования проистекает из оплаты стоимости реального TLS-подтверждения на каждом пакете; именно эта стоимость делает его резервным, а не стандартным. Faster легче и быстрее именно потому, что не платит эту цену, что также объясняет, почему он ничего не может противопоставить SNI или фингерпринтингу TLS. Ни один из движков не является незавершенной версией другого.
Ничто здесь не решает блокировку IP или ограничение скорости на уровне протокола, и ни один движок VPN не делает этого — эти проблемы решаются операционно (больше серверов, больше стран) или не решаются вовсе. Утверждать иное — это как раз то, от чего эта страница призвана уберечь.
Сравните базовые протоколы Популярные VPN-сервисы оценены и ранжированы Глоссарий используемых здесь терминов