Я оптимист. Мне кажется, тут правило Парето работает. Начали с низко висящих ягодок, типа заблокировать самые популярные VPNы, которые проще всего блокировать - и это успешно и дешево удалось. А чем дальше в лес - тем сложнее будет блокировать это все. Представьте, каждый пакет придется анализировать (не только начало сессии). Даже если для таких сложностей на рабочей машинке придется целое ядро процессора выделять на VPN - на DPI машине тоже придется целое ядро выделять... То есть, ТСПУ (при таких немного искусственных условиях) должны будут иметь мощности как совокупная мощность всех устройств в городе. Это нереально.
Причем подход, который GoodbyeDPI использует - он в принципе заведомо выигрышный в перспективе. Эта проблема известна еще с первых IDS систем - многие протоколы (в частности, TCP) допускают неоднозначности. Например, два TCP пакета могут иметь перекрывающиеся sequence number + payload. Например, первый пакет начинается с 0 и имеет 1000 байт. А второй - начинается с 900 и имеет длину тоже в 1000 байт (до 1900го). ТСПУ будет брать данные 900-1000 из первого пакета или из второго? Может и так и так. Но если она четко следует одному пути, то VPN может использовать второй путь. На каждый один конкретный трюк GoodbyeDPI может быть эффективная мера противодействия на ТСПУ. Но нет способа сразу на все трюки сразу. А преимущество второго хода на стороне тех, кто обходит.
У VPNа в этом отношении есть козырь - он-то твердо знает, кто он, как он работает, в какой конфигурации. А DPI - не знает этого заранее и либо должна предполагать это (тогда легко обхитрить, действуя не так, как она предполагает), либо должна учитывать все возможные варианты (а это - офигенные требования к ресурсам. Причем тратить их надо на весь непонятный трафик, не только на VPNы).
Про masque - это интересно. Я даже не знал, что warp это умеет. Вы пробовали? Можете померить пинги с wireguard и с masque на несколько популярных хостов?
Комментарий недоступен
Я оптимист. Мне кажется, тут правило Парето работает. Начали с низко висящих ягодок, типа заблокировать самые популярные VPNы, которые проще всего блокировать - и это успешно и дешево удалось. А чем дальше в лес - тем сложнее будет блокировать это все. Представьте, каждый пакет придется анализировать (не только начало сессии). Даже если для таких сложностей на рабочей машинке придется целое ядро процессора выделять на VPN - на DPI машине тоже придется целое ядро выделять... То есть, ТСПУ (при таких немного искусственных условиях) должны будут иметь мощности как совокупная мощность всех устройств в городе. Это нереально.
Причем подход, который GoodbyeDPI использует - он в принципе заведомо выигрышный в перспективе. Эта проблема известна еще с первых IDS систем - многие протоколы (в частности, TCP) допускают неоднозначности. Например, два TCP пакета могут иметь перекрывающиеся sequence number + payload. Например, первый пакет начинается с 0 и имеет 1000 байт. А второй - начинается с 900 и имеет длину тоже в 1000 байт (до 1900го). ТСПУ будет брать данные 900-1000 из первого пакета или из второго? Может и так и так. Но если она четко следует одному пути, то VPN может использовать второй путь. На каждый один конкретный трюк GoodbyeDPI может быть эффективная мера противодействия на ТСПУ. Но нет способа сразу на все трюки сразу. А преимущество второго хода на стороне тех, кто обходит.
У VPNа в этом отношении есть козырь - он-то твердо знает, кто он, как он работает, в какой конфигурации. А DPI - не знает этого заранее и либо должна предполагать это (тогда легко обхитрить, действуя не так, как она предполагает), либо должна учитывать все возможные варианты (а это - офигенные требования к ресурсам. Причем тратить их надо на весь непонятный трафик, не только на VPNы).
Про masque - это интересно. Я даже не знал, что warp это умеет. Вы пробовали? Можете померить пинги с wireguard и с masque на несколько популярных хостов?
VLESS + XTLS-Reality - наше все 😂
Хотя, хорошо, что и наши комрады что-то придумали