Пацаны-пацанчики, есть один анон в поднебесной, сидел какое-то время на диджитал океановском vpn (на vps-е), но внезапно перестал подрубаться (с телефона, ноута), причем пробовались разные провайдеры якобы. Пробовали уже менять порт, tcp вместо udp, убирал tls-auth но результат - хуй, не подрубается. Чому тут ругань идёт на TLS? Что за хуйня,может ли как-то вообще провайдер благодаря dpi распознавать и убивать нахуй соединение? Есть какие-то мысли? Есть какие подобные стори на счёт Кетая, что в итоге блочили впн спустя промежуток времени? Причем понятно что не на уровне одного мелкого админа из провайдера, который сидит, чекает подозрительный трафик и что-то там прописывает. Я к тому, что по вероятно имеется какой-то автоматизированный алгоритм, который порой блочит кого нужно.На всякий случай сервак_________________________________________________________________port 5674proto udpdev tunca /etc/openvpn/ca.crtcert /etc/openvpn/server.crtkey /etc/openvpn/server.keydh /etc/openvpn/dh2048.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txtpush "redirect-gateway def1 bypass-dhcp"push "dhcp-option DNS 8.8.8.8"push "dhcp-option DNS 8.8.4.4"client-to-clientkeepalive 10 120comp-lzopersist-keypersist-tunstatus openvpn-status.loglog-append /var/log/openvpn.logverb 3mute 100tls-servertls-auth /etc/openvpn/ta.key 0client-config-dir ccdmanagement localhost 3330_________________________________________________________________клиент remote ip 5674block-outside-dnsclientdev tunping 10comp-lzoproto udptls-clientremote-cert-tls serververb 3pullkey-direction 1<ca>-----BEGIN CERTIFICATE----------END CERTIFICATE-----</ca><cert>-----BEGIN CERTIFICATE----------END CERTIFICATE-----</cert><key>-----BEGIN PRIVATE KEY----------END PRIVATE KEY-----</key><tls-auth>-----BEGIN OpenVPN Static key V1----------END OpenVPN Static key V1-----</tls-auth>
>>2232928 (OP) С разморозкой. Закапывай свой ovpn и ставь shadowsocks.
>>2232929ну а теперь подробнее, друже? Какие минсы в целом у openvpn? Или ты говоришь приминительно кетая и блокировок? ТАк всё же блокируюбт как-то или что?
>>2232930 GFW блокирует ovpn уже очень давно и крайне успешно.
>>2232932я слышал и читал, но вот сам этот кун грит что китаёзы юзают по КД впны и никто не блочит. Другое дело что может это не openvpn. Алсо соксы твои и прокси это селюковые нулевые, прописывать еще, цирк. Куда проще чистый опенвпн без писек накатить и радоваться жизни
>>2232936 Юзают, вот только все далеко не так просто. Особенно если ты деревенщина, а не житель гонконга.Впны/прокси работают только обфусцированные obfs3/4, ss, lantern, патченный ovpn. Исключение составляет разве что openconnect, хотя и он работает через раз.>Куда проще чистый опенвпн без писек накатитьSS куда проще в использовании особенно для домохозяек на мобильных устройствах. Если же тебе нужен туннель 2/3 уровня то тебе ничто не мешает использовать ovpn поверх ss или obfs4.Самому же ovpn'у давно пора на свалку истории. Wireguard уже достаточно стабилен.
>>2232948Поясни за ss,либо это я деревенщина,либо это маргинальщина какая-то. Прост курвит то, что раньше все работало без проблем,а щя внезапно не подрубается. Интересует можно ли как-то наебать систему? Как видите всякие смены портов не помогают. Какие там флаги/метки кетаефаер выставляет?
>>2232928 (OP)Меняй tls-auth на tls-crypt, только удостоверься, что используешь последние версии openvpn на сервере и на клиенте. Эта опция шифрует заголовки и делает невозможным идентификацию openvpn трафика. Введена в последних версиях специально для борьбы с цензурой и блокировками vpn.
>>2233043то есть так должно быть на серваке?tls-servertls-crypt /etc/openvpn/ta.key 0
>>2233052Да, только 0 и 1 убирай после ta.key, эти параметры больше не нужны.
>>2233054вроде получилось, братушка, но раньше как-то клиенты (под гейосью) ругались на опцию tls-auth 1 и приходилось юзать key-direction 1.Что сейчас?
>>2233057С tls-crypt эти опции не нужны, обновляй клиенты до последних версий и пробуй, все должно завестись.
>>2233059# openvpnOpenVPN 2.4.4 x86_64-redhat-linux-gnu [Fedora EPEL patched] [SSL (OpenSSL)] [LZO ] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Sep 26 2017На серваке так:tls-servertls-crypt /etc/openvpn/ta.keyА на клиенте убрал #tls-auth 1либо#key-direction 1поменял на <tls-crypt>-----BEGIN OpenVPN Static key V1----------END OpenVPN Static key V1-----</tls-crypt>и вроде брат жив. ТАк и должно быть?Спасибо, братушка. Завтра попробую завести из китая и покурить про эту фичу. Краем уха кстати слышал недавно про нее
>>2233066Да, так. Я правда на клиенте, как на сервере указывал, на ключ в отдельном файле, но это не суть, я думаю.Эту киллерфичу только недавно завезли, как раз на волне массовых блокировок, запретов и цензуры.
>>2233070То есть сейчас подобные кетаеволлы соснут? Алсо открыл wireshark и немношк лольнул, он распознаёт трафик не как тсп или юдп, а OpenVPN, скорее сего из-за того, что открывается на клиентской машине порт 1194,на серваке то кастомный конечно. Вот и чёт и подумал, а не было бы логичнее шифруясь не открывать именно тот же палевный 1194...Хотя, эти анализаторы, конечно, далеко не по таким поверхностным параметрам палят тип трафика, чего уж тут
>>2233073>открывается на клиентской машине порт 1194,на серваке то кастомный конечноЭто как так? На клиенте и на сервере должны быть выставлены одинаковые порты. И конечно же лучше, чтобы это был не стандартный 1194.
>>2232928 (OP)>кетай>сидеть на опенвпн>кококок ничаво ниработает
>>2232936> Алсо соксы твои и прокси это селюковые нулевые, прописывать еще, цирк
>>2233073ntopng давно уже детектит необфусцированный опенвпн.для этого ленивого пидора-ОПа-хуя запилили целую ветку https://2ch.hk/s/res/2214478.html а этот давн опенвпн в китае настроить пытается, и какие-то местные долбоебы ему даже пытаются помочь.хотите пилить гайд по опенвпн через обфспрокси - добро пожаловать в свободы тред, но кто-то для вас по запросу этого делать не станет.
>>2233079окай жпг, столько работало и у всех и не было проблем. Ну щя почему-то заблочили, да>>2233078и как это ты заставишь клиентскую тачку открывать соединение не на стандартном/прописанным программно порту а на своём?>>2233081так, оздбленный илитарий итт
>>2233081за тредик спасибо конечно, НЕ БРОСИЛСЯ В ГЛАЗА, НЕ НАШЁЛ, ПОЙМИ
>>2233087>и как это ты заставишь клиентскую тачку открывать соединение не на стандартном/прописанным программно порту а на своём?В конфигурационном файле же порт прописывается, ты же сам выше конфигурации вкидывалВот эта строчка: remote ip 5674. Как ты с разными портами то на сервере и на клиенте подключаться собрался, лол.Алсо, не определяет wireshark openvpn с этой опцией, вот пруф, только что проверил.>и какие-то местные долбоебы ему даже пытаются помочь.Но ты то умный и такой ерундой не заморачиваешься, верно?
>>2233081>опенвпн через обфспроксиС tls-crypt это больше без надобности, т.к. с ней и так зашифровано все от первого до последнего байта.
>>2233097Кароче,прописывается порт сервера,затем этот же порт указывается и в клиенте. Все просто,а вот локальный порт при подключении к удаленному серваку программы обычно выбирают рандомно,ну или по какому-то принципу. У меня вот опенвпн клиент решаел локал порт выбирать стандартный для опенвпн 1194.
>>2233099А, вон ты про что. Добавь опцио nobind в конфигурационный файл клиента, тогда локальный порт будет выбираться рандомно.
>>2233100а, ну да, лол, давно уж позабыл эту фичу "из первой встречной маны"
>>2233097>Но ты то умный и такой ерундой не заморачиваешься, верно? Конечно нет. Нахуй ебаться с настройкой опенвпн с обфускацией, если он при любом раскладе будет в разы медленнее шадоусоксов.
>>2233106>он при любом раскладе будет в разы медленнее шадоусоксовТы еще и не особо умный, похоже. У shadowsocks оверхед больше, плюс работает он по tcp. Он не может быть быстрее openvpn.
>>2233107>Ты еще и не особо умный, похоже. У shadowsocks оверхед больше, плюс работает он по tcp. Он не может быть быстрее openvpn. проиграл с подливой с твоей экспертизы
>>2233122/b двумя досками вниз, клоун.
>>2233098 Разработчики ovpn давно копротивлялсь обфускации, много лет отказывая в добавлении даже примитивного xor патча. А теперь вдруг tls-crypt должен решить все проблемы. А вот хуй.Обфускации размеров пакетов и тайминга нет, защиты от conprobe тоже нет.Даже сами разрабы позиционируют эту фичу как "чуть более скрытную" а не как полноценную обфускацию.>Encrypting control channel packets has three main advantages:>It provides more privacy by hiding the certificate used for the TLS connection.>It is harder to identify OpenVPN traffic as such.>It provides "poor-man's" post-quantum security, against attackers who will never know the pre-shared key (i.e. no forward secrecy).
СТАВИШЬ КАСТОМНОЕ ЯДРО@ПОДКЛЮЧАЕЬ TUN TAP МОДУЛИ@КОННЕКТИШЬСЯ К НИДЕРЛАНДСКОМУ ВПН ЧЕРЕЗ КОНСОЛЬ@ОЩУЩАЕШЬ СЕБЯ ДОХУЯ АНОНИМНЫМ ХАКИРОМ, ГОТОВЫМ ВЗЛАМЫВАТЬ МЕЙНФРЕЙМЫ ЦРУ @В ИТОГЕ ФАПАЕШЬ НА РУССКИХ ШЛЮХ НА ЧАТУРБЕЙТЕ, КОТОРЫЕ БАНЯТ РЕГИОНЫ СНГ
>>2233186Но клоун это ты, потому что пиздишь не имея представления о том, о чем говоришь. SSH>=shadowsocks>udp-openvpn без обфускации>softether>моча>говно>обфусцированный openvpn
>>2233193> TAP> VPN
>>2233216Долбоеб, сука. SSH > openvpn, охлол, или ты толстишь так жирно?
>>2233216>udp-openvpn без обфускацииНе был бы ты таким глупым, знал бы, что трафик в openvpn всегда обфусцирован, алгоритмы шифрования могут применяться разные, некроговно может не вытягивать шифрование на лету с помощью aes. А шифрование заголовков вообще на скорость не влияет.
Ну вот кстати помогло кетай-куну тема с заменой на crypto.Алсо ты,баивой сокс-кун,еще не учитываешь что тот же опенвпн попутно применим для гибкой маршрутизации ВНУТРИ БЛЯДЬ СВОЕЙ ВИРТУАЛЬНОЙ ЛОКАЛОЧКИ, ресурсы там,,связь между друг другом и вот это всё,а не просто обход блокировок и прочая АНАНИМНОСТЬ
>>2233247ssh быстрее openvpn. но ты же ебаный даун, который только кудахчет о том, чего не понимает.https://serverfault.com/questions/653211/ssh-tunneling-is-faster-than-openvpn-could-it-be#653748вам это поясняют разные аноны уже год в анонимности тредах, а вы как были давнами, так и остались.>>2233248>трафик в openvpn всегда обфусцированТы даже не понимаешь что значит "обфусцирован", нахуй с тобой вообще говорить?
>>2233253>тот же опенвпн попутно применим для гибкой маршрутизации ВНУТРИ БЛЯДЬ СВОЕЙ ВИРТУАЛЬНОЙ ЛОКАЛОЧКИ, ресурсы там,,связь между друг другом и вот это всёНИЧОСИ, ТЫ СОБРАЛСЯ ИСПОЛЬЗОВАТЬ ВПН ДЛЯ ТОГО, ДЛЯ ЧЕГО ОНИ СОЗДАВАЛИСЬ ИЗНАЧАЛЬНО, ПОЗДРАВЛЯЮ.Но я вангую что ты не собирался, ты просто решил сделать вид что дохуя умный.
>>2233484>ssh быстрее openvpn>вам это поясняют разные аноныИ тут ты какой приносишь результаты замеров скорости по speedtest через ssh, а потом через openvpn.Ах, да, ты же только пиздеть умеешь и делать выводы из постов каких-то нонеймов, не сумевших грамотно настроить openvpn.
>>2233534>>2233484Хотя знаешь, не утруждай себя, я сделал замеры скорости за тебя, вот они.Не для тебя, дурака, я уже слышу вскукареки про то, что твои пруфы не пруфы, а для анонов в треде, чтобы ты их в заблуждение не вводил.Это моя vps с поднятым на ней openvpn сервером.Первый замер - скорость через openvpn, она близка к скорости, которую предоставляет мне мой провайдер.Второй замер - то же самое, но через ssh туннель, поднятый до этой же самой vps.Делайте выводы, думайте головой и не стоит вестить на всякий беспруфный бред, типа как от агрессивного анона выше.
>>2233537тебя еблом в статью ткнули, твоя впс с твоими замерами ебаная хуйня, потому что 1 твой провайдер троттлит ссш2 ты долбоеб3 линк на сравнение нормальными людьми с нормальными провайдерами, а так же техническое пояснение что в ссш нет тсп-овер-тсп выше"кококо возьми сам потести" - тестили уже десять раз, просто ты ньюфажина ебаная все пропустилчтобы ты тут не пиздел про троттлили - у секьюршелла скорость околонативная, если его не троттлит провайдер, проблема в том, что отличить ссш трафик от прочего можно без серьезного dpi
>>2233563>Твои пруфы не пруфы, кококо.1. Мой провайдер ничего не троттлит.2. Не пиши мне больше.
>>2232928 (OP)>может ли как-то вообще провайдер благодаря dpi распознавать и убивать нахуй соединение?Да, китайский может.
>>2233484>ssh быстрее openvpnА если клиент за NATом сидит, это не помеха? ssh же по UDP работает, а нат udp обрежет.
>>2233583>ssh же по UDP работаетНет, по tcp.>а нат udp обрежетЧто еще за глупость.
>>2233582бесплатный ntopng, который есть например в pfsense и еще много где, умеет в детект необфусцированного openvpn>>2233583без разницы где клиент сидит, соединение исходит от клиента к серверу, так что нат не помешает. другое дело что ssh детектится любой хуйней и вполне себе троттлится, потому что ssh как правило внизу приоритетовреально лучший выбор для РФ сейчас это шэдоусоксы - можно срать в пакет яровой без задней мысли, скорость быстрее чем у любых впнов, а если тебе не нужен L3\L2 то и впн тебе нахуй нинужон
>>2233487Мань, не вангуй если хуёавя ванга. Своё познание openvpn-а в своё время я начал именно с того, что объединял подсетки, давал доступы людям к ресурсам именно благодаря ВНУТРЕННЕЙ ПРИВАТНОЙ МАТЬ ЕЁ СЕТИ, роутил всякие там отдельные провайдерские впны-3г-объекты и прочее. А уж потом обзаводился, конечно, всякими там впнами на впс и ОГОРАЖИВАЛСЯ от гэбни
алсо, конечно же, петушиную маршрутизацию с одной подсетки до другой я начинал на ШИНДОШС СЕРВЕР 2003лол, а уж потом убунты...сентОСи и прочее
Использовать openvpn бесперспективно.Раскуривай тему с sni прокси. (коротко это ssl прокси прикидывающийся популярным ресурсом, типо download.microsoft.com)уёбок с компании лидере в этой области
>>2233935Чеэто бесперспективно. Для бана по сигнатурам, как в Китае, у Росии все равно нет и не будет ни средств, ни оборудования. А все эти варианты с прокси туннелями годятся разве что для браузинга.
>>2233936Ты ошибаешься. У российских законодателей всегда есть возможность выпустить закон, по которому провайдер все это сам и организует, а ты оплатишь. СОРМ уже организовали, запись трафика от яровой уже на подходе. Нечему удивляться.В целом конечно согласен, tcp поверх tcp ужасно работает. Но можно открывать много сеансов, нивелирующих это двойное управление окном tcp.уёбок с компании лидере в этой области
>>2233954Можно сколько угодно законов напридумывать, но выше головы не прыгнешь. Хранить весь трафик это одно, обрабатывать его в реальном времени и искать в нем сигнатуры, это совсем другое? для этого понадобятся датацентры размером с город. В Китае так оно и есть, примерно, и строилось там это все с самого момента появления там сети. Максимум для росии на данный момент это блокировки по ip и url.Чем твоя компания пидорская занимается то?
>>2233957Если есть возможность регулирования законов можно по всякому выкручиваться. Например ограничить количество полуоткрытых сеансов для юзера и анализировать только установку соединения. Тогда не так накладно.VPNами с МОКРЫМИ МОКРЫМИ ПИСЕЧКАМИ, СМС, РЕГИСТРАЦИЕЙ и ОНАЛЬНОЙ РЕКЛАМОЙ.уёбок с компании лидере в этой области
>>2233968>Например ограничить количество полуоткрытых сеансов для юзера и анализировать только установку соединенияЭто будет уже не интернет.Вы предоставляете доступ к vpn серверам?
>>2233974Необходимость записи трафика - тоже так себе интернет (сильно ограниченный).Да. Сервис.
>tcp вместо udp
>>2233982Ну пускай записывают терабайты шифроговна, дегенераты.>>2233983Агрессивный анон выше вон твердо стоит на своем, и пруфы ему не пруфы.
>>2233984Он хоть пингуется? может он не работает, а ты нам мозг трахаешь. ping ip жделай
>>2233988Пинг какого ip, о чем ты говоришь?
>>2233990Твой openvpn, на запросы отвечает?
>>2233993Глупые вопросы какие-то задаешь.
>>2233995Ладно, если ты такой умный. У тебя ключ шифрования не принимает, часть кода openssh, а они залочели старые ключи шифрования
>>2233997Кто они, что значит не принимает часть, что ты несешь? Это моя vpsка, ssh и vpn настраивал лично, ключи тоже сам генерировал.
>>2234001Ты совсем уже поехал со своей Windows, тебе русским языком написали, ключи шифрования обновились, старые ключи не принимает. Насканировал модемов с открытым 22 портом, но подключиться не можу, там штарый ключ, в конфигах нужно прописать, что бы принимал.
>>2234018А при чем тут, собственно, я? Зачем ты мне это написал? Я такой ерундой не занимаюсь и пользуюсь своим законным сервером, а не насканированным левым.
>>2234021Тебе Пыня разрешил пользоваться vpn, нет ня, так что это не законно. Поня сдавайся, выходи с поднятыми, на одной должен быть логин, на другой пароль.
>>2234026Что ты, блядь, несешь... Наркоман что ли?
>>2234029Я несу свет и разум тебе, что бы ты стал умным и образованным у ехал в США, и уже от туда посылал нахуй. Праильна ведь?
>>2233988>>2233990>>2233993>>2233995лол, я так понимаю это он мне вопрос задал на ОП-пост, ОПКонечно пингуется, лол, из некитая все ок подрубается и ссш работал, но забей, выяснили уже, помогли
