Сеть может заблокировать VPN, как только распознает его трафик. На этой странице показано, что выдает туннель, что меняют режим маскировки и «Блокировать QUIC» и чего они не могут скрыть.
Как сеть обнаруживает VPN
Шифрование скрывает то, что внутри туннеля, но не сам туннель. Сетевой фильтр с глубоким анализом пакетов (DPI) не может прочитать трафик ваших пользователей, но видит его форму: пакеты, идущие туда и обратно в одном длинном соединении, совсем не похожи на отдельные запросы браузера. Этого достаточно, чтобы распознать туннель и отбросить его.
Сеть может также проверить подозрительный сервер: она подключается к нему и смотрит, как он отвечает.
Режим маскировки: ваш сервер выглядит как веб-сервер
Приложения подключаются к вашему серверу по TLS, как браузеры к сайту, а все, что не является приложением VpnHood, получает отказ веб-сервера. В режиме маскировки каждое соединение, которое открывает устройство, к тому же получает собственное соединение с вашим сервером. Поэтому для сети, которая за ним наблюдает, трафик сохраняет форму того, что ваши пользователи делают каждый день:
Просмотр сайтов. Страница открывает сразу несколько соединений. Каждое отправляет небольшой запрос, получает ответ побольше и завершается, а потом ничего не передается, пока пользователь читает.
Загрузки. Файл приходит по одному соединению, которое остается активным до конца, и входящих данных намного больше, чем исходящих.
Здесь ничего не разыгрывается: это настоящий просмотр сайтов и настоящие загрузки ваших пользователей, переданные соединение за соединением. Без режима маскировки тот же трафик идет через один длинный туннель.
Блокировать QUIC: как это затрудняет обнаружение VPN-трафика
Режиму маскировки нужно TCP-соединение, которое можно замкнуть на устройстве. Многие сайты и видеоприложения вместо него используют QUIC, работающий поверх UDP, поэтому даже в режиме маскировки их трафик идёт пакетами через один длинный туннель, который сетевой фильтр может распознать и отбросить.
Когда включено «Блокировать QUIC», приложение отбрасывает этот трафик на устройстве, ещё до входа в туннель. Большинство браузеров и стриминговых приложений затем переходят на TCP, который режим маскировки может передавать, а приложение, работающее только через QUIC, останется без соединения. По умолчанию настройка выключена, и приложение показывает её только в режиме маскировки. Сервер, который не передаёт QUIC, включает её для своих пользователей. Речь идёт о QUIC в приложениях самих пользователей, а не о QUIC в настройке протокола приложения.
Что режим маскировки не может скрыть
Режим маскировки дает сходство, а не гарантию. UDP по-прежнему идет пакетами, как и QUIC, если не включено «Блокировать QUIC», а у нового сервера самоподписанный сертификат, в отличие от сайта. Как закрыть эти пробелы, показано в разделе Как защитить IP-адрес сервера от блокировки. Кроме того, режим маскировки скрывает, что это за трафик, но не куда он идет: сеть по-прежнему может видеть, что трафик устройства идет на один адрес, и заблокировать этот адрес.
