VPN'lerin nasıl engellendiği ve bizim her bir yola karşı ne yaptığımız
Çoğu 'sansürü nasıl aştığımız' sayfaları tek bir tekniği açıklar ve her şeyi hallettiğini ima eder. Öyle değil — sansürcüler birkaç farklı tekniğe başvurur ve birine cevap veren bir VPN, diğerine yenik düşebilir. Bu sayfa onları ayrı ayrı listeler, iki motorumuzdan hangisinin her birine cevap verdiğini belirtir ve hiçbiri cevap vermediğinde bunu açıkça söyler.
İki motor, bir değil
Unblock Master, aşağıdakilerin hiçbirine tek bir motor cevap veremediği için iki VPN motoru sunar. Faster AmneziaWG çalıştırır — sabit parmak izi kaldırılmış WireGuard — ve çoğu ağ için varsayılandır. Unblocker Reality çalıştırır, ki bu bir VPN bağlantısını gizlemekten çok gerçek bir TLS bağlantısı ile gerçek bir web sitesine dönüştürür. Bunlar arasında geçiş yapmak uygulamadaki bir dokunuşla, yeniden yükleme yapmak yerine yapılır, ki bu önemlidir çünkü doğru motor, önünüzdeki ağın hangi tekniği kullandığına bağlıdır.
Her bir protokolün ayrı ayrı ne açığa çıkardığı için bakınız protokol karşılaştırması. Bu sayfa tam tersi şekilde düzenlenmiştir: sansür tekniği ile başlayarak, her birine verdiğimiz cevapla devam eder.
| Engelleme tekniği | Faster (AmneziaWG) | Unblocker (Reality) |
|---|---|---|
| Protokol / el sıkışma parmak izi analizi | Doğrudan cevaplandı | Doğrudan cevaplandı |
| SNI filtreleme | Ele alınmadı | Doğrudan cevaplandı |
| TLS parmak izi analizi (JA3/JA4) | Ele alınmadı | Doğrudan cevaplandı |
| Aktif yoklama | Kısmen cevaplandı | Doğrudan cevaplandı |
| IP adresi engelleme | Ele alınmadı | Ele alınmadı |
| Yavaşlatma | Ele alınmadı | Ele alınmadı |
"Doğrudan cevaplandırıldı" demek, motorun tasarımı bu tekniğe özellikle yöneliktir. "Kısmen cevaplandırıldı" demek, yardımcı olur ancak kalan bir sinyal kalır — sadece rozeti değil, girdiyi de okuyun. "Adreslenmedi" diğer ikisi kadar açık bir şekilde belirtilir; sadece evet diyen bir sayfa hiçbir şeyi ölçmüyor.
Protokol / el sıkışma parmak izi analizi
İlk bir veya iki pakette sabit bir bayt deseni eşleştirilmesi — bu parmak izi, sıradan WireGuard'ın görünürde kolayca engellenmesine neden olan şeydir.
Faster (AmneziaWG)
Doğrudan cevaplandı
Unblocker (Reality)
Doğrudan cevaplandı
Faster (AmneziaWG), tam olarak bu parmak izinin kaldırılması için tasarlanmıştır: el sıkışmadan önceki gereksiz paketler, paket boyutlarını değiştiren dolgu ve her iki tarafın önceden anlaştığı değerlerle değiştirilen dört sabit mesaj türü baytı. WireGuard'ın sabit 148/92 baytlık el sıkışmasını yakalayan tek DPI kuralı, burada hiçbir şey yakalamaz. Unblocker (Reality), soruyu tamamen geçiştirir — bu, bir sansürcünün desen eşleştirebileceği bir UDP el sıkışması değil, herhangi bir HTTPS isteği gibi şekillendirilmiş bir TLS bağlantısıdır.
AmneziaWG'nin koruması, her iki ucun her bir karartma parametresinde anlaşmasına bağlıdır; yanlış yapılandırma reddedilmek yerine bağlanırken sessizce eşleşebilen bir desen taşır. Her iki ucu da kontrol ettiğimiz için bu bizim tarafımızda operasyonel bir risktir, kullanıcının yönettiği bir şey değildir.
Şartlar: deep-packet-inspection · amneziawg · junk-packets · header-magic
SNI filtreleme
TLS el sıkışmasının başında, şifrelemenin başlamadan önce gönderilen düz metin site adını okuyarak bir HTTPS bağlantısını engelleme.
Faster (AmneziaWG)
Ele alınmadı
Unblocker (Reality)
Doğrudan cevaplandı
Faster hiçbir şekilde TLS kullanmaz, bu nedenle okunacak bir SNI alanı yoktur — ancak bu, yalnızca trafiği inceleyen ağlar için önemlidir; bunun yerine yalnızca sıradan TCP/443 web tarama görünümündeki trafiğe izin veren bir ağ, AmneziaWG'nin UDP'sini geçirmeyecektir. Unblocker'ın Reality bağlantısı, taklit ettiği gerçek web sitesinin TLS el sıkışmasını, SNI dahil sunar — bu nedenle sansürcünün okuduğu SNI, bizimki değil, kapak sitesinin adıdır.
Bu, Unblocker'ın var olma nedeni olan spesifik durumdur: bu, bir ağın TLS meta verilerine göre filtreleme yaptığı durumlara verdiğimiz cevaptır, UDP protokol şekline göre değil.
Şartlar: sni-filtering · reality · vless
TLS parmak izi analizi (JA3/JA4)
Bir TLS bağlantısının arkasındaki yazılımı, şifrelemeye başlamadan önce sunduğu sıralama sırasından tanımlama — şifreleme başlamadan önce gönderilen bir kütüphane imzası.
Faster (AmneziaWG)
Ele alınmadı
Unblocker (Reality)
Doğrudan cevaplandı
Faster için uygulanamaz, çünkü AmneziaWG'nin zaten bir TLS el sıkışması yoktur. Reality'nin tüm tasarımı, bu tekniğe özellikle yöneliktir: gerçek bir sitesinin gerçek TLS el sıkışmasını ödünç alır, bir benzetme yapmaz, bu nedenle sansürcünün topladığı JA3/JA4 imzası, gerçek bir ziyaretçinin imzasından ayırt edilemez.
El sıkışmayı doğru taklit etmek gerekli, yeterli değildir — aşağıda aktif sondaj ve trafik şekil analizi için doğru bir el sıkışmanın tek başına kapsamadığı şeyler için bakın.
Şartlar: tls-fingerprinting · reality
Aktif yoklama
Sansürcü, az önce kullandığınız bir sunucuya bağlanır ve proxy gibi cevap verip vermediğini kontrol eder — kendi davranışından, trafiğinizden sunucuyu tanımlar.
Faster (AmneziaWG)
Kısmen cevaplandı
Unblocker (Reality)
Doğrudan cevaplandı
Daha hızlı bir sunucu, doğru anahtarı olmayan bir keşif aracına tanınmaz bir yanıt vermez — ancak yalnızca bu alışılmadık desene yanıt veren bir sunucu, incelendiğinde, yine de alışılmadık bir şey yapan bir sunucudur. Unblocker doğrudan bu duruma karşı tasarlanmıştır: doğru anahtarı olmayan bir keşif aracı, taklit edilen gerçek siteye doğrudan geçirilir ve o sitenin gerçek sertifikasını geri alır. Keşif, kapsama hikayesini doğrular ve hiçbir şeyi açığa çıkarmaz.
En zorlu ağlar için — aktif keşif rutin hale geldiğinde — Unblocker'ı devreye sokmamızı önerdiğimiz motor ve uygulama, bunu yeniden yükleme yerine tek dokunuşla değiştirmenizi sağlar.
Şartlar: active-probing · reality
IP adresi engelleme
Belirli bir adrese giden tüm trafiği, taşıdığı protokolden bağımsız olarak düşürmek — kaba, ve bir sağlayıcının kaç adres çalıştırdığı ile bir sansürörün bunları ne kadar hızlı sayabileceği arasında saf aritmetik bir yarış.
Faster (AmneziaWG)
Ele alınmadı
Unblocker (Reality)
Ele alınmadı
Her iki motor da bir sunucunun adresini gizlemez — bunun aksini iddia etmiyoruz. Bu tekniğe verdiğimiz yanıt operasyonel, protokol seviyesinde değil: birçok ülkede sunucular, böylece bir adrese karşı bir blok, kullanıcının ülke değiştirmek için bir dokunuş yapmasına mal olur ve uygulama çalışmayı durdurmaz. Bu dayanıklılıktır, kaçış değil, ve ikisi birbirine karıştırılmamalıdır.
Bir sansürör, bir sağlayıcının çalıştırdığı tüm adres aralığını sayıp engellemek — sadece bir sunucuyu değil — her iki motorun da yanıt veremediği bir şeydir. Hiçbir VPN'nin yapamadığı bir şeydir.
Şartlar: ip-blocking · asn · datacenter-ip
Yavaşlatma
Bir bağlantıyı doğrudan engellemek yerine kasıtlı olarak yavaşlatmak, kullanılmaya acı verici hale gelene kadar — bir engellemeden daha zor ölçülür ve tam da bu nedenle sansürörler tarafından giderek tercih edilir.
Faster (AmneziaWG)
Ele alınmadı
Unblocker (Reality)
Ele alınmadı
Her iki motor da, zaten şifreli ve tanınmaz olarak tanımlanmış trafiği hız sınırlamaktan bir ağı alıkoyamaz, protokol ne olursa olsun. Uygulamanın sunduğu şey, değiştirmenin yardımcı olup olmadığını hızlı bir şekilde öğrenmek için bir yoldur: eğer ağ protokol şekli ile hız sınırlamaya çalışıyorsa, Faster'dan Unblocker'a geçmek bu şekli tamamen değiştirir, ki bu da bir bağlantı yavaş olduğunda değer denemeye değer tek şeydir.
Eğer her iki motor da eşit şekilde daraltılırsa, ağ neredeyse kesinlikle hacim veya hedef ile hız sınırlamaya çalışıyordur, protokol ile değil, ve hiçbir VPN motoru bunu değiştiremez.
Şartlar: throttling · confirmed-vs-anomaly
Neden iki motor yerine bir tane daha iyi motor değil
Yukarıdaki tabloda, tek bir motorun her şeyi kapsadığı bir satır yok ve bu, henüz kapatamadığımız bir eksiklik değil - bu yapısal. Reality'nin SNI filtrelemesine, TLS parmak izine ve aktif sondajlara karşı gücü, her pakette gerçek bir TLS el sıkışmasının maliyetini ödemesinden gelir; bu maliyet, tam olarak onun varsayılan değil de alternatif olmasının nedenidir. Daha hızlı olan daha hafiftir ve tam olarak bu maliyeti ödemediği için daha hızlıdır, bu da aynı zamanda SNI veya TLS parmak izine karşı hiçbir şey söyleyememesinin nedenidir. İki motor da birbirinin eksik versiyonu değildir.
Burada IP engelleme veya protokol düzeyinde azaltma konusunda hiçbir şey ele alınmamaktadır ve hiçbir VPN motoru bunu yapmaz — bunlar operasyonel olarak (daha fazla sunucu, daha fazla ülke) veya hiç ele alınmaz. Aksi iddia etmek, bu sayfanın var olma nedenini ortadan kaldırmak olur.
Temel protokolleri karşılaştırın Popüler VPN'lerin puanları ve sıralaması Burada kullanılan terimlerin sözlüğü