v2rcВеликий китайский файрвол — самая изученная система цензуры, и это помогает: часть его работы описана в рецензируемых статьях, а не только в постах на форумах. В статье эти результаты отделены от множества непроверенных утверждений и показано, что из них следует для выбора протокола.
Что показывают исследования
- Активное зондирование Shadowsocks. По словам авторов статьи 2023 года, о которой ниже, Китай применял пассивный анализ трафика и активное зондирование против Shadowsocks с мая 2019 года. Исследование IMC 2020 описывает, как система сама посылает зонды на подозрительный сервер и блокирует его, если он отвечает как сервер Shadowsocks.
- Блокировка полностью зашифрованного трафика. В ноябре 2021 года файрвол начал в реальном времени, без зондирования, блокировать соединения, у которых первый пакет похож на полностью зашифрованные данные. Wu и соавторы (USENIX Security 2023) показывают, что детектор не пытается определить протокол. Сначала он пропускает первые пакеты, которые не похожи на случайные данные, например начинающиеся с узнаваемого заголовка протокола или состоящие в основном из печатных символов, а блокирует то, что осталось.
- TLS внутри TLS. Xue и соавторы (USENIX Security 2024) показали, что TLS-рукопожатие внутри обфусцированного соединения выдаёт прокси, даже при случайном заполнении. Они построили классификатор и проверили его у интернет-провайдера среднего размера. Это демонстрация того, что обнаружимо. Насколько широко это применяет тот или иной цензор — отдельный вопрос, который публичные измерения не решают.
Что это значит для выбора протокола
| Конфигурация | Как выглядит первый пакет | Уязвимость к детектору 2021 года |
|---|---|---|
| Shadowsocks без плагина | Случайные байты | В целевой группе |
| VMess поверх чистого TCP | Случайные байты | В целевой группе |
| Trojan, а также VLESS или VMess поверх TLS | TLS-рукопожатие | Не в этой группе; остаются проверки адреса, имени сервера и сертификата |
| VLESS с REALITY | TLS-рукопожатие с настоящим сайтом | Не в этой группе; важны адрес и узоры TLS-in-TLS |
Практическое правило, которое следует из статей: избегайте конфигураций, у которых первый пакет похож на случайный, и предпочитайте те, что начинаются с настоящего TLS-рукопожатия. Варианты разобраны в руководстве по протоколам.
На что нельзя полагаться
Вы найдёте публикации с точными процентами обнаружения REALITY или конкретного шифра в 2026 году или с описанием эскалации по датам. Проверить их по независимым измерениям мы не смогли, а большинство написаны компаниями, которые продают VPN-сервисы. Файрвол меняется, и безопасно считать, что любая отдельная конфигурация может перестать работать.
Что помогает
- Держите запас с разных хостингов и обновляйте подписку. Блокировка по адресу — обычное дело.
- Не публикуйте конфиги. Общий адрес блокируют скорее.
- За CDN (VLESS или Trojan поверх TLS и WebSocket) собственный адрес сервера скрыт, но адреса самой CDN могут замедляться. Сообщения об этом расходятся, мы этого не измеряли.
- Проверяйте в каждой сети, которой пользуетесь. Фиксированные и мобильные сети могут вести себя по-разному.
- Читайте утверждения критически. «Необнаружимый» — не свойство протокола. Это утверждение о конкретном файрволе в конкретный момент.
Источники
- Wu и соавторы: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023
- Alice и соавторы: How China Detects and Blocks Shadowsocks, IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
- GFW Report: текущие измерения Великого китайского файрвола