Принцип работы Amnezia
Что такое Amnezia?
AmneziaVPN — бесплатный open-source мультипротокольный VPN клиент с функцией настройки собственного VPN сервера, или другими словами self-hosted VPN.
Как Amnezia создает VPN на базе VPS?
При первом подключении, приложение автоматически генерирует новую пару ключей для протокола и формирует запрос на сертификат (Certificate Signing Request, CSR). Запрос на сертификат, включающий открытый ключ, затем передаётся на сервер для подписи и выдачи соответствующего X.509 сертификата, обеспечивающего аутентификацию и безопасность соединения.
Каким образом Amnezia подключается к созданному VPN?
После внесения пользователем IP логина и пароля от VPS приложение подключается к серверу по SSH, устанавливает Docker и запускает серверные контейнеры Amnezia. Для каждого протокола подключения запускается отдельный контейнер, генерируются ключи и корневой сертификат. После того как сервер настроен, можно подключаться с помощью VPN к этому серверу.
Как работает маскировка трафика?
Маскировка трафика есть у протоколов Shadowsocks, OpenVPN over Cloak и XRay Reality. AmneziaWG также имеет защиту от обнаружения, но работает по-другому принципу.
Shadowsocks
Shadowsocks основан на прокси-протоколе SOCKS5, который защищает соединение с помощью шифра AEAD — примерно по тем же принципам, что и туннель SSH. Соединение ShadowSocks сложно идентифицировать потому что оно практически идентично обычному соединению HTTPS. Однако некоторые системы анализа трафика всё-таки умеют распознавать соединение ShadowSocks, поэтому в странах с высоким уровнем цензуры мы рекомендуем использовать AmneziaWG.
OpenVPN over Cloak
В связке OpenVPN over Cloak за маскировку трафика отвечает плагин Cloak. Он может изменять метаданные пакетов таким образом, что он полностью маскирует VPN-трафик под обычный Web-трафик, а также защищает VPN от обнаружения методом Active Probing. Это делает его очень устойчивым для обнаружения и блокировки. Сразу после получения первого пакета данных Cloak аутентифицирует входящее соединение. В случае сбоя аутентификации плагин маскирует сервер под фейковый веб-сайт, а ваш VPN становится незаметным для систем анализа.
XRay Reality
Работа XTLS-Reality основывается на тех же принципах, что и работа Cloak - VPN маскируется под web трафик, с применением защиты от active probing. Основой работы является то, что на этапе TLS-хендшейка в момент чтения ClientHello протокол может отличить клиента от цензора. Если опознан клиент (“свой”), сервер работает как прокси, а если цензор (“чужой”), то TLS подключение передается на какой-нибудь другой абсолютно реальный хост с TLS, на который не распространяются блокировки. Таким образом, клиент или цензор, желающий методом active probing проверить, а что же прячется на том конце, получит настоящий TLS-сертификат от этого сайта и настоящие данные с этого сервера.
AmneziaWG
AmneziaWG работает в рамках обратной совместимости. То есть реализация AmneziaWG позволяет изменить некоторые статичные параметры в WireGuard, по которым этот протокол обычно и распознают системы DPI. А если оставить эти параметры по умолчанию (равными 0), то протокол работает как обычный WireGuard.
В AmneziaWG изменены заголовки всех пакетов: пакета рукопожатия (Initiator to Responder), и ответного пакета (Responder to Initiator), пакета данных, а также специального пакета “Under Load” — это рандомные значения, но их можно самостоятельно поменять в настройках.
Так как заголовки у каждого пользователя разные, то написать универсальное правило на основе заголовков для систем отслеживания, чтобы вычислить протокол и заблокировать, просто невозможно.
Еще одно слабое место WireGuard - это размеры пакетов авторизации. В AmneziaWG к каждому auth-пакету дописываются рандомные байты, чтобы изменить их размер. Так “init и response пакеты” рукопожатия дополнительно имеют “мусор” в начале данных, размер которого определяются значениями S1 и S2. По умолчанию инициирующий пакет рукопожатия имеет фиксированный размер (148 байт), а после добавления мусора, его размер будет равен 148 байтам +S1.
В реализации AmneziaWG предусмотрен и еще один трюк для более надежной маскировки. Перед началом сессии Amnezia отправляет некоторое количество “мусорных” пакетов, чтобы в край запутать системы DPI. Количество таких пакетов и их минимальный и максимальный размер в байтах тоже задается в настройках, параметрами Jc, Jmin и Jmax.
При высоком уровне интернет-цензуры в вашем регионе, советуем использовать с первого подключения только AmneziaWG.