ПРЯЧЕМ OPENVPN ТРАФИК ОТ ПРОВАЙДЕРА С ПОМОЩЬЮ STUNNEL

[@sjnensndnenjwjsjs1528]

Бро, продолжай заниматься этим, ты даришь людям тот интернет без ограничений, каким он был на этапе своего зарождения!

[@ОлегТопчий-у2у]

Это тот случай, когда говорят: Ничего не понятно. Но очень интересно!

[@ckoque1]

Скоро видимо придется понимать, если захочешь нормального тырнета каким он был.

[@Slesar_MSR]

Однозначный респект! Грамотноя подача, все понятно разьяснено. Больше бы таких каналов.

[@IT_Software_Backup]

Добрый день. Этот гайд просто уникален! Очень благодарен за информацию. Буду пробовать! 🙂🙂🙂👍👍👍👍👍🤝🤝🤝

[@Dmitry_S_prgr]

XRay (современная версия) гораздо лучше. Не только потому что там нет двойного шифрования (которое вроде бы уже умеют детектировать), но и потому что он устойчив к китайским проверкам когда фаервол проверяет имеется ли на ip адресе vps реальный сайт с действующим сертификатом. XRay полностью маскируется под один из реальных сайтов. И маршрутизация трафика на клиенте лучше - можно настроить любые правила через PAC скрипты и это легко. И на android работает лучше всех (можно настроить так что будет не нужно переподключать при переподключении к интернету). И настроить XRay не сложнее чем ПО из видео, просто мало туториалов по нему.

[@zerodaily_channel]

До Xray я тоже доберусь, изучаю его как раз.

[@ducemollari]

Насколько имеет смысл без Cloudflare? Странно, если по левому ip сидит fbi.gov или кто-то ещё.

[@IT_Software_Backup]

@@zerodaily_channel Ждём с нетерпением:)

[@АлексейМакаренко-б4в]

Скинь ссылку как настроить XRay

[@IT_Software_Backup]

@@АлексейМакаренко-б4в + :)))

[@tetraehdr]

Чувак это просто золото! Именно то что я искал. Спасибо за гайд

[@TheAtomstrike]

Мне кажется более продуктивно навестить злобного админа и угостить его молотком.

[@rediffusion7996]

Мамкиным?

[@Alferov_Igor]

Маскируем трафик, Open Vpn с помощью Stunel, от провайдера. А потом новое видео: маскируем Stunel с помощью xxxxx (другой программы).

[@ImpersonalEntity]

Я: изучаю базовую концепцию интернета Как это ощущается:

[@madcalm2024]

Автор молодец, что про SoftEther не рассказал, это было бы слишком ))

[@БожидарГеоргиев-с3г]

Спасибо за видео

[@Созерцаятишину]

Тоже год назад настроил stunnel + openvpn на CentOS 7, работало в течении года на виндовых клиентах без проблем, но вот в конце июля у всех кто на сидит на билайне, были проблемы с подключением, помогало только отключение модема на некоторое время, но и то не всегда.

[@Ayleen_Hazar]

Хорошая подача и эксперименты полезные! Спасибо❤

[@dark_horror]

Молодец. Хоть мне тема видео и не слишком актуальна - впн почти не нужен, линуксом вообще не пользуюсь, но спасибо за противодействие гнилой путлерской системе.

[@ВладиславГришин-ш7ш]

давно был проект, который поверх не шифрованного http гонял шифрованный трафик. встраивал его в картинки в текст, во все то что поверх http протокола передается.

[@litromobil51]

Если у тебя есть впс и ссш доступ к нему, то всё, больше ничего не нужно. Обратный туннель соксом поднимается прямо в ссш одной командой... man ssh!

[@zerodaily_channel]

Согласен, это база. Просто ssh-туннельный трафик вроде как меньше похож на HTTPS чем траф stunnel.

[@litromobil51]

@@zerodaily_channel конечно он совсем не похож на https. Зато он похож на ssh. Точнее, это он и есть, а ни один пров в здравом уме не будет лочить менеджментовый траффик. Помнится, когда ещё не вышла нокия н900, на их сайте был доступ по записи к тестовым образцам. Я заходил по графику через веб морду, ставил ssh, с него заходил к себе домой, а с дома по обратному туннелю назад на нокию и игрался целый день без графика. Что то там заподозрили и забанили меня через довольно продолжительное время))) Ну я баловался не аккуратно и окирпичивал н900 раз 5...

[@zerodaily_channel]

@@litromobil51 на счет людей в своем уме, я так же думал что ну openvpn-то не будут вслепую мочить, это же в первую очередь распределенная инфраструктура, а использование VPN как средства маскировки IP и обхода гео блокировок это так, побочка... Я не знаком с внутрянкой работы DPI-систем, но понимаю немношк в антифроде и знаю что самая главная засада это четкие маркеры недопустимого поведения/трафика, где начинается абьюз системы. Вот я и подумал, что если где-то сидит сисадмин который решил бежать впереди паровоза и блочить openvpn по принципу "потому что пошел ты", какие он мог бы закономерности трафика записать в алгортим системы которая блокирует? Постоянные большие объемы трафа по ssh-туннелю похожи на попытку обхода, поэтому он же может просто понизить такому трафику скорость до 100 кбит/сек. Для команд тебе хватит, а вот для полноценного интернета уже нет. А если траф похож на HTTPS ну и пофиг что он на один IP идет, если я на стриминге смотрю видео там та же картина, ну разве что прото будет UDP обычно. Но велик риск ради блокировки одного умника сломать интернет куче обычных юзеров и такое в автоматику не зашьют, во всяком случае быстро.

[@litromobil51]

@@zerodaily_channel Ты прав, надо исходить из логики админа. У него задача лочить абьюз, но при этом, упаси бог, не задеть правильный траффик. Которого навалом. Если бы я например был бы такой админ сижу и вижу, https по одному адресу для меня не менее подозрительный, чем ssh с большим объёмом. Да и вот лично я активно пользуюсь впн, но большие объёмы мне не требуются. Стандартный пример. Прям живой пример был на днях. Сайт Цитрикс закрыт, пускает только через впн. Начинаю качать образ, ползёт еле еле, постоянно прерывается. Явно душат. Отключил впн - закачка полетела. Блокировки очень часто вешают на сайт, а на файл нет. То же самое было с сайтом Microsoft. На странице файлов пишет вам нельзя, через впн генерится ссылка, которая качается без впн, и гораздо быстрее. Второе. Упомянутый легальный впн. В продакшене openvpn используется очень редко. Он нестабильный, ресурсоемкий, в общем непригоден, лет 10 назад мы от него отказались, замучились посылать гонцов ребутить железки. Другое дело какой нибудь ipsec по есп, ну или исакмп на худой конец. Ну какой школьник будет покупать циску чтобы ходить через неё на порнхаб))) А админ когда видит по одному адресу большой поток через есп сразу думает, ага, это наверное на 5000 банкоматов заливают картинки с новыми % по кредиту, не дай бог его тронуть))) В конце концов, все живые люди. Всегда админ может ошибиться, заблочить легальный траффик, звонок в ТП прова, я админ, работаю дома с удаленки, меня ваш роутер не пускает залить обновление на 100500гб на сайт кремлин.ру, почините немедленно. Обычно работает))) Справедливости ради, должен сказать, сам использую опенвпн дома, чтобы заходить домой отовсюду с телефона. Сервер на линукс машинке. И ещё между своими местами (дом, дача, гараж и даже автомобиль) мосты тоже через openvpn на микротиках, операторы рт, мтс, билайн, пока никто ничего ни сразу не блочил, траффик постоянно очень большой, видеонаблюдение. но время летит, скорости растут, а опенвпн как оказалось, очень проседает по производительности по сравнению с другими средствами. Прикупил пару новых микротик в с поддержкой аппаратного ускорения шифрование, к сожалению, опенвпн опять мимо. Ускоряется только ipsec. В общем, тестовое пока параллельно поднял один туннель на ip-ip туннель, шифрованный ипсеком. Траффик на него не переводил, тестирую, пока тариф не переключал, но локальные тесты отличные, весь гигабит в наличии. А с телефона доступ пробую через wireguard. Он тоже по принципу ssh работает, очень легко настраивается, причём прям на роутере, не нужен отдельный сервер. соединяется мгновенно. Каких либо блокировок операторов так же не заметил. Очень спасло, когда на днях на сервере помр бп, я на неделю остался без опенвпн, а вайргард продолжал работать.

[@litromobil51]

@@zerodaily_channel Ещё немного про логику админов. Ну так сложилось, у меня это профессиональное. По работе есть в обслуживании несколько сотен устройств, подключенные через сеть организаций, которые по договору обязаны давать инет. Плюс наш GSM как резерв. При установке нового устройства, в 90% случаев недели 2 бьюсь с дебилом на той стороне, который возомнил себя гуру безопасности и выпускает в мир наши, а для него чужие железки через жёсткие фильтры, которые сам тупо не умеет. И на нас он только учится. Остальные 10% проходят легко, так как админов там тупо нет, как и фильтров. Чисто инж прова пришёл, бросил свое хозяйство, наш инж приехал в него воткнулся, профит. Дальше все впны нашими силами. Так включение это полбеды. Из этого количества в неделю стабильно 3-5-7 шт регулярно отваливаются. Благо есть резерв на симках я захожу и вижу, либо тупо нет линка, либо линк есть но нет шлюза, либо шлюз есть но нет инета, звоню админу клиента, он говорит неделю как уволился, пришёл новый, начинает в сраче от предыдущего разбираться, по принципу всё непонятное - нахер, кому надо сами придут. А я прихожу сразу к директору их шаражки и требую этого недоадмина дрюкнуть как следует. Потому что это он виновник проблемы, а вы нам звоните и жалуетесь почему услуга не фунциклирует))) Поэтому если вдруг где то что то режется или отваливается - у меня рефлекторное желание нагнуть какого нибудь рукожопа - недоадмина

[@uladzislaudukhamenka7542]

@zerodaily Подскажи, пожалуйста, а что с dns делать?

[@redfox7193]

Хорошо что OpenVPN не блокируется пока что. НО как только будет попробую такой способ.

[@vladimirt7878]

Давно блочат

[@bibajebana]

спасибо за подробный НЕ тутор). такой вопрос. что делать, если жить в такой стране где почти нет пингующихся айпи адресов?) спрашиваю строго в ознакомительных целях и точно, 100% НЕ для обхода блокировок VPN а так, для информации

[@zerodaily_channel]

Звучит как та еще задачка. Я бы начал с вопроса "почему не пингуются IP". Вайт-листинг на уровне провайдера?

[@garrysonallright]

Он вряд ли дорос до понимания этого

[@RustyleSuper]

так что в итоге надо использовать ov+st или в другом видео говорил про XRAY

[@KonstantinKovalenko-d3b]

красавчик! за попугая - отдельно красавчик!

[@emichael32]

Вот все бы тоже самое, но под wireguard udp замаскированный под что то например (rtsp / webrtc или sip)

[@ramilyakupov]

Amnesia

[@ducemollari]

Под что вы собрались маскироваться в sip? Посмотреть содержимое rtsp провайдер не догадается?

[@kormannn1]

Обожаю присказку в начале)

[@MrQuazar]

что делать если провайдер вырезал 30м кусок кабеля на крыше, есть какой нибудь скрипт чтобы заставить вернуть кабель на место ?

[@zerodaily_channel]

Не знаю, но думаю это должен быть какой-то ebash-скрипт, с инжектом в тело того кто вырезает кабель.

[@vlache6983]

А не проще ли было открыть обычный ssl теннель до твоего сервера и там уже запускать опен впн ? зачем станнел и прочяя хрень ? Открываеш подключение с открытым портом, и заходиш по порту на свой свервер и оттуда запускаеш опенвпн..... странно! Столько телодвижений...

[@Jillcorporation]

Траффик Openvpn действительно надо маскировать, потому, что продвинутыми сервисами прекрасно всё палится, что стоит анонимайзер Openvpn.

[@MorfeusSpn]

Элементарно, Ватсон!

[@planure4388]

У меня вопрос простого человека: а в чем смысл заморачиваться если есть готовое решение outline VPN которое работает на wire guard и так же шифруется под https? Работает даже на роутере через теневой носок. Может быть ваш вариант более оптимизированный и даёт ниже пинг/выше скорость? Потому что с оутлайн скорость на роутере около 40 мбит/с а с телефона/ПК где то 65...

[@sergeyn5504]

При чём тут гудбайдипиай? Каким боком оно относится к випиен? И для линуха есть аналог гудбаядипиая, если что.

[@zerodaily_channel]

Видео родилось из за кейса где провайдер блеклистил ip ВПН сервера из за опенвпн, возможно вычисляя его по dpi. То, что показано в видео нацелено на решение той же конечной задачи, что и goodbyedpi. То что есть аналог интересно, гляну на него, спасибо за инфу.

[@GexPlayerMD]

1:27 А кто удалит? Вроде как ютубу аще пофик на нарушение законодательства в РФ (именно в РФ, на остальные страны не пофик).

[@MaxaSamAtman]

Есть VPS с поднятым на нем OpenVPN, есть роутер на OpenWrt, на нем поднято OpenVPN и RuAntiblok. Возможно ли реализовать описанное в видео на такой конфигурации?

[@ИльяТитов-д2х]

Всё это хорошо, но теперь надо всё то-же самое только сервером vpn и ssh будет микротик, а клиентами, что попало: и виндовые машины, и линукс машины, и такой-же микротик, и OpenVRT, и даже смартфоны как андройд, так и яблоко... Как всё это реализовать?

[@zerodaily_channel]

Это скорее всего уже требует нового протокола. Я сейчас изучаю Xray/V2Ray ВПН как раз чтобы было универсальное решение, потому что не на каждой OS можно stunnel настроить. Для V2Ray есть клиентские приложения и на настольные ОС, и на мобильные. Документация там частично на китайском, поэтому эксперименты. Как разберусь обязательно сделаю видео по этой теме, потому что пока как я вижу V2Ray это решение на ближайшие годы. Как всегда, когда пытаются душить свободу доступа к информации, появляется решение которое опережает технологии цензуры на 1-2 цикла развития. Но все технологии на старте сложны, я вижу у себя компетенции сделать их доступнее и делаю это.

[@Linuxnoob-kd2mr]

А зачем вообще слушать 0.0.0.0:1194, разве не лучше будет 127.0.0.1:1194 ? да и правила роутинга сомнительные. зачем юзать 0.0.0.0/1 и 128.0.0.0/1, вместо 0.0.0.0/0 ? нет, я видел что такое обычно пишут что бы до 0.0.0.0/0 не дошли, но это обычно вредительские цели. Так зачем? Заранее спасибо за развернутые и подробные ответы.

[@zerodaily_channel]

Можно и так, я поставил 0.0.0.0 на случай если этот же ВПН сервер будет использоваться с другой платформы по обычному конфигу. С телефона например.

[@rexby]

Как правило маршрут 0.0.0.0/0 у клиента уже есть. И чтобы его не менять, а старый куда-то запоминать, просто ставят два маршрута с более высоким приоритетом (т.к. там больше значение маски /1). После отключения ВПН эти маршруты удаляются и продолжает работать старый.

[@veliashev]

Всё супер, но как это заставить работать на Android?

[@Jamcoc0s]

У меня уникальная проблема, я завернул корпоративный впн сиско в опенвпн тунель на роутере. И теперь ответы на запросы ходят от 5 минут до бесконечности. Это уже полный треш, так работать не возможно. Но если, еще и опенвпн трафик анонимизировать от провайдера - то можно признавать полное техническое поражение корпораций над своими рабами

[@s78ap]

н..уя не понял, следит за моим циферками, ща я все настрою, а что настрою, что пишу, я циферки и буковки, схем тоже нихера не понятно

[@Борода-ф9ъ]

Провайдер видит этот трафик (если захочет то тоже прибьет, как в Китае как бы ты не выкручивался а на внешние IP доступа не будет)

[@zerodaily_channel]

безусловно, это волшебный способ который навсегда решит все проблемы, такого нет в природе

[@Борода-ф9ъ]

@@zerodaily_channel Да все идет к тому что бы использовать сертификаты (нет официального дальше страны не выйдешь) А официальные дают только проверенным :)

[@newlife1036]

А если я простой смертный, мне хватит DNSCrypt (адрес ДНС 127.0.0.1) и бесплатного ВПН, например, Vee? Надо чтобы трафик не мониторили. Самое главное это автоматический килл-свитч, но чтобы именно автоматически срабатывал, без прописывания VPN вручную, а подхватывал IP из расширения браузера, тут я бессилен...

[@zerodaily_channel]

Завязывать килл-свич на браузер как по мне не лучшая практика. Как и бесплатный VPN. Я бы рекомендовал раскошелиться на $5, купить VPS и поднять VLESS или Reality с помощью 3x-ui. Если надо вчера - погуглите 3x-ui. А так через пару дней выложу ролик про то как поднять себе неотслеживаемый VPN на XTLS/Realiti.

[@Александр-л7б2й]

Если у меня есть прямой доступ через ssh на мой сервер, то нельзя ли просто через него весь трафик гнать?

[@combucho]

Можно. Поизучайте вопросы туннели ssh и прокси socks5.

[@Александр-л7б2й]

@@combucho тогда зачем все эти мучения с 443 портом?

[@Tosha.V]

можно, но только tcp, к примеру discord для голоса использует udp так что не прокатит)

[@dbahmatov]

а почему не настроить в том же openvpn tls-crypt-v2? stunnel навешивает tls-сессию поверх для софта который сам тлс не умеет ) openvpn умеет

[@zerodaily_channel]

Я же исследую разные штуки, получилось вот так сделать, я видео про это записал) Про tls-crypt-v2 почитаю, спасибо. Согласен с тем что если софт может сам, незачем делать лишний оверхед.

[@Ramaario]

привет. а вот на счёт VPS . Можно ли на нём установить оюс и запустить трансляцию ютуб? если да, если мануал? спс за инфо.

[@zerodaily_channel]

Если на сервере есть рабочий стол и к нему подключиться удаленно, то думаю что можно. Ну и надо чтобы на VPS хватило мощности чтобы потянуть графическую оболочку и потоковый энкодинг видео.

[@boris9189]

зачем огород городить со скриптами на клиенте, если можно просто один раз на клиенте добавить один маршрут на конкретный ип адрес сервера?

[@zerodaily_channel]

Я пробовал и route push, и локально в клиентском конфиге делать - либо не работало, либо network manager в линухе ругался что в конфиге непонятные ему директивы. Т.к. цель была сделать не изящно, а быстро и из подручных материалов, получилось то что в видео. Лишний раз доказывает что горизонты исследования технологий широки и неохватны, и всегда в чем-то можно стать лучше :)

[@boris9189]

@@zerodaily_channel ip route add x.x.x.x/32 via y.y.y.y где x - адрес сервера, y - адрес шлюза (гетвея)

[@maxfox1719]

А как реализовать это, но чтобы клиентом выступал iPhone или Android?

[@АнтонПупкин-з8к]

А почему VPN на wireguard не работает на мобильном интернете на билайне ? Как провайдер опоеделяет, фильтрует трафик и видит VPN ?

[@zerodaily_channel]

@@АнтонПупкин-з8к да, ТСПУ анализирует трафик и дропает его. Wireguard очень легко определяется анализаторами.

[@АнтонПупкин-з8к]

@@zerodaily_channel а маскировать трафик можно как-то? Или использовать только OPENVPN ?

[@zerodaily_channel]

@@АнтонПупкин-з8к лучшая маскировка на других протоколах. Посмотрите видео у меня, про VPN VLESS / REALITY. Самое последнее. Там мануал есть как поднять себе такой.

[@7-rs8gb]

Кодированный трафик разве не вызовет еще больше подозрений?

[@zerodaily_channel]

Тут вопрос не в том, что вызовет подозрения у человека, а в том, на какие маркеры "неправильного" трафика настроены системы блокировки у провайдера.

[@teachitkh]

wow .great job bro.I have a problem when add route to window it can not connect to remote LAN .how could we do?

[@ВладиславГришин-ш7ш]

разберись как гудбайдипиай работает!!!

[@newlife1036]

А можно вообще спрятать трафик? Как будто компьютер выключен

[@zerodaily_channel]

@@newlife1036 только выдернув провод) передача данных на физическом уровне невозможна без носителя информации, то есть импульсов тока (медные провода) или света (оптоволокно). Поэтому передача данных не может быть скрыта. Но можно замаскировать трафик до степени неотличимости от обычного браузинга. Сегодня на канале выйдет про это видео.

[@Эмиграция-п6й]

Очень сильное колдунство. 🙄

[@GoldoEb]

Чел, вот скажи, зачем тебе заниматься всеми этими плясками с маскировкой VPN, если существует туннелирование по ssh?

[@redfox7193]

Его тоже могут заблокировать в теории.

[@zerodaily_channel]

Ssh-туннель настраивается плюс-минус так же просто как и stunnel4, но меньше похож на HTTPS. Я уже кому-то отвечал, что видео родилось из конкретного кейса, который мне показалось интересным превратить в конент на ютубчике. И да, я понимаю что в гипотетической ситуации когда провайдеру трава не расти как надо заблочить все и оставить только то, что можно, этот метод скорее всего не поможет. Там уже пойдут такие тяжелые фреймворки как V2Ray/V2Fly или Xray на с VLESS или Reality.

[@DocNight]

@@redfox7193 Это немного тупо, ведь я через SSH работаю с серверами

[@BARSconfectioneryfactory]

как в виндовс делать?

[@zerodaily_channel]

@@BARSconfectioneryfactory используйте PowerShell (есть в винде) или установите программу putty для подключения к серверу. В PowerShell команда для подключения такая же, ssh username@server_ip

[@specttre5896]

Кто знает как сделать впн на кенетик? Короче есть основной кенетик ОС и старенький тп линк под управление опен ВРТ. Короче можно сделать из тп линка впн сервер? И как... Или с малины можно? Есть первая версия лежит без дела.

[@andreymartynov6974]

можно конечно. Гугли (или спроси chatgpt) "openwrt openvpn"

[@russianbutcher608]

Них... не понял но всё равно СПС

[@mass-any_key-lite]

По факту блогер сказал теорию и не знает что выйдет на практике.

[@zerodaily_channel]

Отчасти это так. Я могу гарантировать что конфиг работает в плане того что он а) позволяет установить соединение и б) изменяет как трафик выглядит для провайдера при packet inspection. Что будет при использовании этой конкретной схемы с конкретным провайдером в конкретной стране я могу сказать только в очень узких рамках моей личной географии. Возможно кто-то попробует эту схему и расскажет. Возможно кто-то узнал для себя что-то новое. Если я хоть одному зрителю принес пользу - я свою задачу выполнил.

[@qwerty-ld2oe]

Нас и в нашем чебурнете неплохо кормять

[@alexeiweb6971]

Не для средних умов )

[@МиколаІванович-д9ж]

я баню таких умников пачками. но как, не скажу. но сразу скажу что метод который этот чайник предлагает липовый.

[@zerodaily_channel]

о великий гуру, снизойдите до нас дураков с сияющих высот эвереста познания и одарите крупицами мудрости

[@Professor_TV_3]

@@zerodaily_channel Он говорит что ты чайник покажи всю мощь своего skilla

[@zerodaily_channel]

@@Professor_TV_3 если я чайник, то у меня должен быть скилл свистеть и кипеть. Я даже не знаю, не оч вписывается в тематику канала)

[@garrysonallright]

@@zerodaily_channel ну ты и свистишь

[@zerodaily_channel]

@@garrysonallright многообразие точек зрения, идей, технологий, опыта, даже сексуальных ориентаций и предпочтений порождает уникальный зрительский опыт, где каждый слышит и видит через призму своей личности. Я ценю почти любые формы отзывов на мой контент ;)

[@russianbutcher608]

Псифон стоит

[@nikolaev51]

ГудбайДипиай полное говнище. Это не готовый продукт, а как говорится ведро с гайками. А нам нужен готовый продукт и такой продукт сейчас есть это ЮБуст. А над такими как этот ролик надо вешать плашку Для Программистов.