Vượt tường lửa & ngụy trang

Đây là tính năng mà SecurQbit được xây dựng xoay quanh: duy trì kết nối trên những mạng chủ động chặn VPN. Trang này giải thích ở mức tổng quan cách kỹ thuật kiểm tra gói sâu (DPI) hoạt động, cách SecurQbit đánh bại nó, và những đánh đổi liên quan.

Lưu ý: Ngụy trang là một công cụ vượt kiểm duyệt hợp pháp và mang tính phòng thủ. Hãy dùng nó để bảo vệ kết nối của chính bạn và truy cập thông tin. Hãy luôn tuân thủ các luật và chính sách áp dụng cho bạn.

Cách DPI chặn VPN

Chặn một VPN bằng địa chỉ IP là cách thô sơ và dễ né tránh. Thay vào đó, các tường lửa hiện đại và hệ thống kiểm duyệt quốc gia kiểm tra đặc điểm của lưu lượng theo thời gian thực:

• Nhận dạng giao thức — nhận ra các byte bắt tay đặc trưng của những giao thức VPN phổ biến.
• Phân tích thống kê — kích thước gói, thời điểm và mẫu luồng trông không giống việc duyệt web bình thường.
• Dò chủ động — kết nối tới một máy chủ đáng ngờ để xem nó có "nói" VPN hay không.
• Phương pháp suy đoán dựa trên SNI và điểm cuối — gắn cờ các kết nối tới hạ tầng VPN đã biết.

Khi bất kỳ điều nào trong số này bị kích hoạt, hệ thống sẽ bóp băng thông hoặc âm thầm cắt đứt kết nối. Đó là lý do một VPN bình thường hoạt động ở nhà nhưng "chết" trên mạng khuôn viên trường, mạng LAN doanh nghiệp, khách sạn hoặc mạng quốc gia bị lọc.

Cách SecurQbit né tránh nó

SecurQbit bọc đường hầm đã mã hóa trong một lớp ngụy trang được thiết kế để không cho DPI bất cứ gì để bám víu. Phiên được định hình để không thể phân biệt về mặt thống kê với lưu lượng web HTTPS tiêu chuẩn:

1. Mô phỏng HTTPS — quá trình bắt tay và tải trọng giống một phiên web TLS-trên-cổng-443 thông thường, loại lưu lượng phổ biến nhất trên bất kỳ mạng nào.
2. Không có chữ ký cố định — không có quá trình bắt tay VPN tĩnh nào để nhận dạng; mẫu trên đường truyền thay đổi.
3. Định hình lại thích ứng — SecurQbit quan sát mạng và điều chỉnh kích thước gói cùng thời điểm ngay lập tức. Nếu một đường dẫn bị bóp băng thông hoặc bị dò, nó thay đổi hình dạng để giữ phiên tồn tại.
4. Chống dò — máy chủ không tự để lộ mình là hạ tầng VPN trước các lần dò chủ động.

Kết quả: với tường lửa, lưu lượng của bạn trông như ai đó đang duyệt web qua HTTPS.

What DPI sees:   TLS 1.3 / HTTPS over port 443  →  allowed
What's inside:   Forward-secret, AEAD-encrypted SecurQbit tunnel

Khi nào nên dùng

Ngụy trang luôn được bật ở mức tối đa — không có chế độ nào để chọn và không có gì để bật lên. Nó chạy tự động và thích ứng với mạng, và nó quan trọng nhất khi bạn:

• Ở sau một tường lửa doanh nghiệp hoặc tổ chức khắt khe.
• Trên một mạng mà các VPN khác kết nối được nhưng sau đó bị treo hoặc bị bóp băng thông.
• Bên trong một mạng internet bị lọc ở cấp quốc gia.

Vì nó hoàn toàn tự động nên không có gì để cấu hình. Xem Khắc phục sự cố nếu một kết nối không thiết lập được.

Đánh đổi về hiệu năng

Ngụy trang lưu lượng không phải là miễn phí. Việc mô phỏng HTTPS và định hình lại các luồng làm tăng một số chi phí vận hành, nhưng SecurQbit luôn chạy ngụy trang ở mức tối đa và dựa vào tối ưu hóa nhận biết mạng của nó để giữ chi phí thấp nhất mà điều kiện cho phép:

• Trên một mạng không bị hạn chế, chi phí vận hành thấp và gần như không thể đo lường được.
• Trên một mạng thù địch đang chủ động dò hoặc bóp băng thông, cần định hình lại nhiều hơn, nên chi phí vận hành ở mức vừa phải — cái giá để duy trì kết nối được.

Liên hệ với mã hóa như thế nào

Ngụy trang ẩn việc bạn đang dùng VPN; mã hóa bảo vệ những gì bạn gửi. Hai lớp này độc lập với nhau — xem Mã hóa & giao thức và Kiến trúc bảo mật để có bức tranh toàn cảnh.