يمكن للشبكة أن تحظر VPN بمجرد أن تتعرّف على حركة مروره. توضح هذه الصفحة ما يكشف النفق، وكيف يغيّر وضع التخفي وحظر QUIC ذلك، وما لا يستطيعان إخفاءه.
كيف تكتشف الشبكة VPN
يخفي التشفير ما بداخل النفق، لا النفق نفسه. لا يستطيع نظام تصفية الشبكة الذي يعتمد على الفحص العميق للحزم (DPI) قراءة حركة مرور مستخدميك، لكنه يرى شكلها: فالحزم التي تذهب وتعود في اتصال واحد طويل لا تشبه أبداً طلبات المتصفح المنفصلة. وهذا يكفي للتعرّف على النفق وإسقاطه.
ويمكن للشبكة أيضاً أن تفحص خادماً تشتبه فيه: تتصل به وترى كيف يجيب.
وضع التخفي: خادمك يبدو كخادم ويب
تتصل التطبيقات بخادمك عبر TLS، كما تتصل المتصفحات بموقع ويب، وكل ما ليس تطبيق VpnHood يتلقى رفض خادم ويب. وفي وضع التخفي، يحصل كل اتصال يفتحه الجهاز أيضاً على اتصال خاص به إلى خادمك. لذلك تحتفظ حركة المرور، بالنسبة للشبكة التي تراقبها، بشكل ما يفعله مستخدموك كل يوم:
تصفح الويب. تفتح الصفحة بضعة اتصالات في وقت واحد. يرسل كل منها طلباً صغيراً ويعيد إجابة أكبر ثم ينتهي، ولا تتحرك أي بيانات بعد ذلك بينما يقرأ المستخدم.
التنزيلات. يصل الملف عبر اتصال واحد يبقى نشطاً حتى ينتهي، وتكون البيانات الواردة أكثر بكثير من الصادرة.
لا شيء من هذا مصطنع: إنه تصفح مستخدميك وتنزيلاتهم الحقيقية، تُنقل اتصالاً تلو الآخر. وبدون وضع التخفي، تمر حركة المرور نفسها عبر نفق واحد طويل.
حظر QUIC: كيف يجعل اكتشاف حركة مرور VPN أصعب
يحتاج وضع التخفي إلى اتصال TCP لإنهائه على الجهاز. لكن كثيراً من المواقع وتطبيقات الفيديو تستخدم QUIC بدلاً منه، وهو يعمل عبر UDP، لذا تظل حركة مرورها في وضع التخفي تمر كحزم عبر نفق واحد طويل يمكن لنظام تصفية الشبكة أن يتعرف عليه ويسقطه.
عند تفعيل حظر QUIC، يُسقط التطبيق هذه الحركة على الجهاز قبل دخولها النفق. وعندها تتحول معظم المتصفحات وتطبيقات البث إلى TCP الذي يستطيع وضع التخفي نقله، أما التطبيق الذي يعمل عبر QUIC فقط فلن يحصل على اتصال. هذا الإعداد معطّل افتراضياً، ولا يعرضه التطبيق إلا في وضع التخفي. والخادم الذي لا ينقل QUIC يفعّله لمستخدميه. والمقصود هنا QUIC الخاص بتطبيقات مستخدميك أنفسهم، لا الموجود في إعداد البروتوكول في التطبيق.
ما لا يستطيع وضع التخفي إخفاءه
وضع التخفي تشابه وليس ضماناً. فبروتوكول UDP لا يزال يُنقل كحزم بيانات، وكذلك QUIC ما لم يكن حظر QUIC مفعّلاً، والخادم الجديد يحمل شهادة موقعة ذاتياً بخلاف موقع الويب. يوضح احمِ عنوان IP الخاص بخادمك من الحظر كيفية سد هذه الثغرات. كما أن وضع التخفي يخفي ماهية حركة المرور، لا وجهتها: إذ لا تزال الشبكة قادرة على رؤية حركة مرور الجهاز وهي تتجه إلى عنوان واحد، وحظر ذلك العنوان.
