Открою маленький секрет. Ни один ТСПУ/DPI не определяет протокол PPTP. Почему? Не скажу. Кому критически важно подключаться к не заблокированому IP, юзайте этот метод.
1🤔2👍1👎1
С маленькой оговорочкой, я таки спалил этот секрет. По этому может и будет больше внимания
👎1😁1
Почему vless/vmess/trojan- не протоколы и почему их нельзя заблокировать?
Во первых их нельзя заблокировать, потому что это не протоколы (рекурсия). В отличии от типичных OpenVPN, Wireguard и т.д. и т.п.
Это просто тип прокси. Да, их можно детектить по типичному отпечатку, НО в отличии от того же OpenVPN эти типы прокси имеют разные, отличные друг от друга типы транспорта. Вы можете использовать тот же vless в стандартном TCP режиме и подключаться напрямую, что уже даёт не мало риска для блокировки, но вам ничего не мешает подключить Reality, либо же использовать проксирование через CDN, не используя стандартный TCP, либо Reality.
Если есть вопросы, добро пожаловать в комменты, либо в наш основной чат https://t.me/DPITunnelOFFICIAL
Во первых их нельзя заблокировать, потому что это не протоколы (рекурсия). В отличии от типичных OpenVPN, Wireguard и т.д. и т.п.
Это просто тип прокси. Да, их можно детектить по типичному отпечатку, НО в отличии от того же OpenVPN эти типы прокси имеют разные, отличные друг от друга типы транспорта. Вы можете использовать тот же vless в стандартном TCP режиме и подключаться напрямую, что уже даёт не мало риска для блокировки, но вам ничего не мешает подключить Reality, либо же использовать проксирование через CDN, не используя стандартный TCP, либо Reality.
Если есть вопросы, добро пожаловать в комменты, либо в наш основной чат https://t.me/DPITunnelOFFICIAL
🤔3👎1
Следующий пост планирую написать об Openconnect/Cisco Anyconnect. Точнее о том, как их поднимать своими ручками и почему этот метод обхода очень устойчив к блокировкам.
❤7👍2👎1🔥1
Ребята, заболел я. Плохо очень. Берегите себя. Я скоро вернусь. Если не умру, конечно.
😢8👎1🥴1
Настройка сервера OpenConnect VPN (ocserv) на Ubuntu с сертификатом Let’s Encrypt
В этом руководстве мы установим собственный VPN-сервер с использованием OpenConnect VPN Server (ocserv) . ocserv — это свободная реализация протокола Cisco AnyConnect, который широко используется в компаниях и университетах. AnyConnect — это SSL-VPN, позволяющий отдельным пользователям подключаться к удалённой сети.
### Преимущества ocserv
- Лёгкий и быстрый (в тестах спокойно тянет YouTube в 4K)
- Работает на Linux и большинстве BSD
- Совместим с официальным клиентом Cisco AnyConnect
- Есть клиенты для Linux, macOS, Windows, Android, iOS, OpenWRT
- Поддерживает парольную и сертификатную аутентификацию
- Устойчив к DPI (глубокой проверке пакетов)
### Требования
- VPS с Ubuntu (на debian не поднимал, не знаю)
- Свой домен (рекомендую NameCheap с бесплатной whois-защитой)
Шаг 1: Установка ocserv
sudo apt update
sudo apt install ocserv
После установки сервер автоматически запустится. Проверяем статус:
systemctl status ocserv
Если не запущен — стартуем:
sudo systemctl start ocserv
По умолчанию ocserv слушает TCP/443 и **UDP/443. Если 443 занят веб-сервером — потом поменяем порт.
Открываем порты в firewall (если используете UFW):
sudo ufw allow 22,80,443/tcp
Шаг 2: Установка Certbot (Let’s Encrypt)
sudo apt install certbot
Шаг 3: Получаем бесплатный TLS-сертификат Let’s Encrypt
Вариант 1 — Standalone (если нет веб-сервера на 80/443 порту)
sudo certbot certonly --standalone --preferred-challenges http --agree-tos --email ваш@email.com -d vpn.example.com
Вариант 2 — Webroot (если уже стоит Apache/Nginx)
Для Apache:
Создаём виртуальный хост:
sudo nano /etc/apache2/sites-available/vpn.example.com.conf
apache
<VirtualHost *:80>
ServerName vpn.example.com
DocumentRoot /var/www/ocserv
</VirtualHost>
bash
sudo mkdir /var/www/ocserv
sudo chown www-data:www-data /var/www/ocserv -R
sudo a2ensite vpn.example.com
sudo systemctl reload apache2
Получаем сертификат:
sudo certbot certonly --webroot --agree-tos --email ваш@email.com -d наш домен -w /var/www/ocserv
Для Nginx — аналогично, создаём конфиг с location /.well-known/acme-challenge/
Шаг 4: Настройка ocserv.conf
sudo nano /etc/ocserv/ocserv.conf
Основные изменения:
1. Аутентификация (выберите один вариант):
- Использовать системные пользователи:
auth = "pam[gid-min=1000]
- Отдельные VPN-пользователи (рекомендую):
auth = "plain[passwd=/etc/ocserv/ocpasswd]"
2. Порты (рекомендую отключить UDP и использовать только TCP + BBR, так как UDP подвержен блокировкам)
tcp-port = 443
#udp-port = 443
3. Путь к сертификатам Let’s Encrypt:
server-cert = /etc/letsencrypt/live/vpn.example.com/fullchain.pem
server-key = /etc/letsencrypt/live/vpn.example.com/privkey.pem
4. Полезные настройки:
max-clients = 128 # 0 = без лимита
max-same-clients = 2 # 0 = без лимита
keepalive = 30
try-mtu-discovery = true
#idle-timeout=1200
#mobile-idle-timeout=1800
default-domain = vpn.example.com
5. Сеть VPN (меняем на 10.10.10.0/24, чтобы не пересекалась с домашними роутерами):
ipv4-network = 10.10.10.0
ipv4-netmask = 255.255.255.0
6. Включаем IPv6 (если нужно):
ipv6-network = fda9:4efe:7e3b:03ea::/48
ipv6-subnet-prefix = 64
7. Туннелируем все DNS-запросы и указываем публичные DNS:
tunnel-all-dns = true
dns = 8.8.8.8
dns = 1.1.1.1
(или свой локальный DNS →
Сохраняем и перезапускаем:
sudo systemctl restart ocserv
Шаг 5: Создание пользователей (если выбрали plain passwd)
sudo ocpasswd -c /etc/ocserv/ocpasswd username
Введите пароль два раза. Готово.
🚀
Клиент используем Cisco AnyConnect, доступен для ios и android.
В этом руководстве мы установим собственный VPN-сервер с использованием OpenConnect VPN Server (ocserv) . ocserv — это свободная реализация протокола Cisco AnyConnect, который широко используется в компаниях и университетах. AnyConnect — это SSL-VPN, позволяющий отдельным пользователям подключаться к удалённой сети.
### Преимущества ocserv
- Лёгкий и быстрый (в тестах спокойно тянет YouTube в 4K)
- Работает на Linux и большинстве BSD
- Совместим с официальным клиентом Cisco AnyConnect
- Есть клиенты для Linux, macOS, Windows, Android, iOS, OpenWRT
- Поддерживает парольную и сертификатную аутентификацию
- Устойчив к DPI (глубокой проверке пакетов)
### Требования
- VPS с Ubuntu (на debian не поднимал, не знаю)
- Свой домен (рекомендую NameCheap с бесплатной whois-защитой)
Шаг 1: Установка ocserv
sudo apt update
sudo apt install ocserv
После установки сервер автоматически запустится. Проверяем статус:
systemctl status ocserv
Если не запущен — стартуем:
sudo systemctl start ocserv
По умолчанию ocserv слушает TCP/443 и **UDP/443. Если 443 занят веб-сервером — потом поменяем порт.
Открываем порты в firewall (если используете UFW):
sudo ufw allow 22,80,443/tcp
Шаг 2: Установка Certbot (Let’s Encrypt)
sudo apt install certbot
Шаг 3: Получаем бесплатный TLS-сертификат Let’s Encrypt
Вариант 1 — Standalone (если нет веб-сервера на 80/443 порту)
sudo certbot certonly --standalone --preferred-challenges http --agree-tos --email ваш@email.com -d vpn.example.com
Вариант 2 — Webroot (если уже стоит Apache/Nginx)
Для Apache:
Создаём виртуальный хост:
sudo nano /etc/apache2/sites-available/vpn.example.com.conf
apache
<VirtualHost *:80>
ServerName vpn.example.com
DocumentRoot /var/www/ocserv
</VirtualHost>
bash
sudo mkdir /var/www/ocserv
sudo chown www-data:www-data /var/www/ocserv -R
sudo a2ensite vpn.example.com
sudo systemctl reload apache2
Получаем сертификат:
sudo certbot certonly --webroot --agree-tos --email ваш@email.com -d наш домен -w /var/www/ocserv
Для Nginx — аналогично, создаём конфиг с location /.well-known/acme-challenge/
Шаг 4: Настройка ocserv.conf
sudo nano /etc/ocserv/ocserv.conf
Основные изменения:
1. Аутентификация (выберите один вариант):
- Использовать системные пользователи:
auth = "pam[gid-min=1000]
- Отдельные VPN-пользователи (рекомендую):
auth = "plain[passwd=/etc/ocserv/ocpasswd]"
2. Порты (рекомендую отключить UDP и использовать только TCP + BBR, так как UDP подвержен блокировкам)
tcp-port = 443
#udp-port = 443
3. Путь к сертификатам Let’s Encrypt:
server-cert = /etc/letsencrypt/live/vpn.example.com/fullchain.pem
server-key = /etc/letsencrypt/live/vpn.example.com/privkey.pem
4. Полезные настройки:
max-clients = 128 # 0 = без лимита
max-same-clients = 2 # 0 = без лимита
keepalive = 30
try-mtu-discovery = true
#idle-timeout=1200
#mobile-idle-timeout=1800
default-domain = vpn.example.com
5. Сеть VPN (меняем на 10.10.10.0/24, чтобы не пересекалась с домашними роутерами):
ipv4-network = 10.10.10.0
ipv4-netmask = 255.255.255.0
6. Включаем IPv6 (если нужно):
ipv6-network = fda9:4efe:7e3b:03ea::/48
ipv6-subnet-prefix = 64
7. Туннелируем все DNS-запросы и указываем публичные DNS:
tunnel-all-dns = true
dns = 8.8.8.8
dns = 1.1.1.1
(или свой локальный DNS →
dns = 10.10.10.1)Сохраняем и перезапускаем:
sudo systemctl restart ocserv
Шаг 5: Создание пользователей (если выбрали plain passwd)
sudo ocpasswd -c /etc/ocserv/ocpasswd username
Введите пароль два раза. Готово.
🚀
Клиент используем Cisco AnyConnect, доступен для ios и android.
👍7🔥3👎1👏1
Пробуйте. Если что то не получается пишите в комменты, либо в наш основной чат
@DPITunnelOFFICIAL
Помогу если возникнут траблы
@DPITunnelOFFICIAL
Помогу если возникнут траблы
👎1
MAX передал в ФСБ первый «чёрный список» пользователей, которых спецслужбе стоит проверить. По словам моих источников, в перечень, подготовленный мессенджером, попали около сотни россиян, которых алгоритмы мессенджера посчитали подозрительными.
В выгрузку попали люди, у которых система заметила частое использование зарубежных VPN, ночную активность, регулярное общение с пользователями за рубежом, а также поиск экстремистского контента в мессенджере или Яндекс.Браузере. Всё это MAX собирал с памяти телефонов пользователей автоматически в фоновом режиме, а алгоритмы делали промежуточные выводы из собранной информации.
Источники подчёркивают, что это наверняка только тестовая партия, сделанная, чтобы показать силовикам, как инфраструктура слежения работает и может выдавать списки на потоковой основе. По словам собеседников, силовики начнут отрабатывать часть фигурантов, которых специалисты сочтут подозрительными. У «наследивших в интернете россиян» пробьют личные дела, связи, частоту поездок, историю переводов и даже комментарии в соцсетях и на российских сайтах.
Для каждого, попавшего в список, как говорят инсайдеры, составят цифровой профиль, после чего решат — ставить человека на негласный контроль или пока лишь фиксировать его активность в отдельных внутренних базах. Инсайдеры говорят, что критерии очень размыты: любой, кто использует VPN чаще среднего, имеет нестандартное расписание или регулярно оказывается в «непривычных» сетях Wi-Fi, автоматически попадает в зону интереса.
В выгрузку попали люди, у которых система заметила частое использование зарубежных VPN, ночную активность, регулярное общение с пользователями за рубежом, а также поиск экстремистского контента в мессенджере или Яндекс.Браузере. Всё это MAX собирал с памяти телефонов пользователей автоматически в фоновом режиме, а алгоритмы делали промежуточные выводы из собранной информации.
Источники подчёркивают, что это наверняка только тестовая партия, сделанная, чтобы показать силовикам, как инфраструктура слежения работает и может выдавать списки на потоковой основе. По словам собеседников, силовики начнут отрабатывать часть фигурантов, которых специалисты сочтут подозрительными. У «наследивших в интернете россиян» пробьют личные дела, связи, частоту поездок, историю переводов и даже комментарии в соцсетях и на российских сайтах.
Для каждого, попавшего в список, как говорят инсайдеры, составят цифровой профиль, после чего решат — ставить человека на негласный контроль или пока лишь фиксировать его активность в отдельных внутренних базах. Инсайдеры говорят, что критерии очень размыты: любой, кто использует VPN чаще среднего, имеет нестандартное расписание или регулярно оказывается в «непривычных» сетях Wi-Fi, автоматически попадает в зону интереса.
🤬10❤1👎1
РКН начал тестировать «белые списки» не только на мобильном, но и на проводном интернете не внезапно. По словам инсайдеров, служба делает это по заранее утверждённому графику, который расписан до конца лета.
Собеседники в телеком-отрасли подтверждают, что пилот белых списков уже постепенно вводится на юге России, а планировался заблаговременно. В Ростове-на-Дону один из провайдеров ограничил доступ к домашнему интернету по модели «разрешено только то, что одобрено» — пользователям открываются лишь сервисы из специального перечня.
Источники утверждают, что это не разовая история, а часть плановых испытаний. У РКН сформирован график тестов по регионам: сначала точечно проверяют устойчивость системы, затем будут масштабировать на другие субъекты.
Внутри отрасли отмечают, что речь идёт о принципиально новом уровне контроля. Если раньше ограничения касались отдельных сайтов, то теперь тестируется модель, при которой весь интернет по умолчанию закрыт — и работает только «белый список».
Собеседники говорят, что операторам уже спущены рекомендации по подготовке инфраструктуры. Пока это подаётся как технический эксперимент, но в перспективе именно такая модель может стать базовой для фиксированного интернета.
Собеседники в телеком-отрасли подтверждают, что пилот белых списков уже постепенно вводится на юге России, а планировался заблаговременно. В Ростове-на-Дону один из провайдеров ограничил доступ к домашнему интернету по модели «разрешено только то, что одобрено» — пользователям открываются лишь сервисы из специального перечня.
Источники утверждают, что это не разовая история, а часть плановых испытаний. У РКН сформирован график тестов по регионам: сначала точечно проверяют устойчивость системы, затем будут масштабировать на другие субъекты.
Внутри отрасли отмечают, что речь идёт о принципиально новом уровне контроля. Если раньше ограничения касались отдельных сайтов, то теперь тестируется модель, при которой весь интернет по умолчанию закрыт — и работает только «белый список».
Собеседники говорят, что операторам уже спущены рекомендации по подготовке инфраструктуры. Пока это подаётся как технический эксперимент, но в перспективе именно такая модель может стать базовой для фиксированного интернета.
🤬9👎1
Forwarded from Топор+
Война с VPN начнётся 15 апреля — Минцифры РФ попросило все крупные отечественные площадки банить пользователей с включённым VPN, пишут СМИ.
Всем крупным сервисам дали чёткий приказ — с 15 апреля блокировать доступ на их платформы пользователям с включённым VPN. Также раздали методичку, как это делать. При чём в неё уже заложены способы борьбы с новыми способами обхода, которые будут созданы в будущем, а вся информация о них должна поступать в РКН.
Предполагается, что если какой-то сервис забьёт на правила и пропустит юзера с VPN, то компания лишится IT-аккредитации, вылетит из белых списков и потеряет право на обязательную предустановку в гаджетах.
Не тронут только «белые» корпоративные приложения для шифрования данных.
👉 Топор +18. Подписаться
Всем крупным сервисам дали чёткий приказ — с 15 апреля блокировать доступ на их платформы пользователям с включённым VPN. Также раздали методичку, как это делать. При чём в неё уже заложены способы борьбы с новыми способами обхода, которые будут созданы в будущем, а вся информация о них должна поступать в РКН.
Предполагается, что если какой-то сервис забьёт на правила и пропустит юзера с VPN, то компания лишится IT-аккредитации, вылетит из белых списков и потеряет право на обязательную предустановку в гаджетах.
Не тронут только «белые» корпоративные приложения для шифрования данных.
👉 Топор +18. Подписаться
👎1
Я пытаюсь догнать, ребята, каким образом они будут палить VPN? Ну как они его определять будут? Есть идеи?
👎1
Не включайте панику и никак не реагируйте на очередной vless-ВСЁ. Все в порядке.
👍2👎1
Только не юзайте клиенты типа happ, npv tunnel. Доказано, что они сливают конфигурации.
👌4👎1
Был у меня какой то пыл, стремление, желание развивать тему... В итоге я не развиваю группу просто потому, что нет желания. Какая то деформация и хочется уйти на другую платформу. Не в смысле, что телега- мусор, а в смысле делать контент на тот же YouTube. Я не знаю. Пишите ваше мнение, оно поможет мне разобраться с собой.
🤷♂7⚡1👍1👎1😢1
В последних версиях ядра xray, allowinsecure был полностью исключен как компонент, по этому вы должны будете предоставить отпечаток сертификата своего домена, либо IP адреса. Это якобы должно защитить вас.
От чего только непонятно.
От чего только непонятно.
👎1
К слову, allowinsecure помогает использовать CDN, который выебывается на сертификаты. Allowinsecure тупо игнорил все сертификаты и ходил напрямую.
👎1
А у вас бывает такое, что человек, которому вы ничего не должны, ТРЕБУЕТ с вас действий?
😭6
Вижу, что бывает. Это очень обидно, когда ты делаешь что то для человека, а человек не просто неблагодарен, а ещё и требует чего то.
😭1
Волнения вокруг ИИ вовсе не безосновательны. Для ИИ выделяют огромные вычислительные мощности. Тратятся миллиарды долларов на поддержание и поддержку дата центров, их питание и охлаждение. Никто и никогда не узнает, когда ИИ проникнет в интернет не с целью "поприкалываться" как ребенок, а тихо и спокойно проникнет в интернет и станет децентрализованным. Это главная и самая опасная угроза.
👍1🤪1