Обход межсетевого экрана и обфускация

Это та самая функция, вокруг которой построен SecurQbit: оставаться на связи в сетях, активно блокирующих VPN. На этой странице на высоком уровне объясняется, как работает глубокая инспекция пакетов (DPI), как SecurQbit её преодолевает и какие при этом возникают компромиссы.

Примечание: Обфускация — это легитимный защитный инструмент обхода цензуры. Используйте её для защиты собственного соединения и доступа к информации. Всегда соблюдайте применимые к вам законы и правила.

Как DPI блокирует VPN

Блокировка VPN по IP-адресу — приём грубый и легко обходимый. Современные межсетевые экраны и системы национальной цензуры вместо этого инспектируют характеристики трафика в реальном времени:

• Фингерпринтинг протоколов — распознавание характерных байтов рукопожатия распространённых VPN-протоколов.
• Статистический анализ — размеры пакетов, тайминги и схемы потоков, не похожие на обычный сёрфинг.
• Активное зондирование — подключение к подозрительному серверу, чтобы проверить, «говорит» ли он на языке VPN.
• Эвристики SNI и конечных точек — пометка соединений с известной VPN-инфраструктурой.

При срабатывании любого из этих признаков система замедляет или незаметно сбрасывает соединение. Именно поэтому обычный VPN работает дома, но не работает в кампусе, корпоративной локальной сети, отеле или фильтруемой национальной сети.

Как SecurQbit обходит это

SecurQbit оборачивает зашифрованный туннель в слой обфускации, спроектированный так, чтобы DPI не за что было ухватиться. Сессия формируется так, чтобы быть статистически неотличимой от стандартного веб-трафика HTTPS:

1. Имитация HTTPS — рукопожатие и полезная нагрузка напоминают обычную веб-сессию TLS поверх порта 443 — самый распространённый тип трафика в любой сети.
2. Отсутствие фиксированной сигнатуры — нет статичного VPN-рукопожатия, по которому можно было бы определить сигнатуру; передаваемый по сети паттерн варьируется.
3. Адаптивная перестройка формы — SecurQbit наблюдает за сетью и на лету корректирует размеры пакетов и тайминги. Если канал замедляется или зондируется, он меняет форму, чтобы сохранить сессию.
4. Устойчивость к зондированию — сервер не выдаёт себя как VPN-инфраструктуру в ответ на активные зонды.

В результате для межсетевого экрана ваш трафик выглядит так, будто кто-то просматривает веб-страницы через HTTPS.

What DPI sees:   TLS 1.3 / HTTPS over port 443  →  allowed
What's inside:   Forward-secret, AEAD-encrypted SecurQbit tunnel

Когда её использовать

Обфускация всегда включена на полную мощность — нет режима, который нужно выбирать, и нечего включать. Она работает автоматически и подстраивается под сеть, и важнее всего это, когда вы:

• За строгим корпоративным или институциональным межсетевым экраном.
• В сети, где другие VPN подключаются, но затем зависают или замедляются.
• Внутри фильтруемого на национальном уровне интернета.

Поскольку всё происходит полностью автоматически, настраивать ничего не нужно. Если соединение не устанавливается, см. Устранение неполадок.

Компромиссы в производительности

Маскировка трафика не бесплатна. Имитация HTTPS и перестройка потоков добавляют некоторые накладные расходы, но SecurQbit постоянно применяет обфускацию на полную мощность и опирается на оптимизацию с учётом сети, чтобы удерживать эти издержки на минимально возможном для текущих условий уровне:

• В сети без ограничений накладные расходы низкие и практически незаметные.
• Во враждебной сети, которая активно зондирует или ограничивает трафик, требуется больше перестройки, поэтому накладные расходы умеренные — это цена за то, чтобы вообще оставаться на связи.

Как это связано с шифрованием

Обфускация скрывает то, что вы используете VPN; шифрование защищает то, что вы отправляете. Эти два слоя независимы — полную картину см. в разделах Шифрование и протоколы и Архитектура безопасности.