Ein VPN an der Deep Packet Inspection vorbeischleusen

„DPI“ klingt nach einem Geheimdienstproblem. Meistens ist es ein simpler String-Abgleich. Ein Filter, der auf einer landesweiten Leitung sitzt, kann es sich nicht leisten, bei jedem Flow lange nachzudenken, also verlässt er sich auf die billigsten Signale, die funktionieren, ungefähr in dieser Reihenfolge:

• Ein Protokoll-Fingerabdruck an einem festen Offset. Das erste Paket einer WireGuard-Sitzung ist eine Handshake-Initiierung: exakt 148 Byte, das erste Byte 0x01, die nächsten drei Byte null. OpenVPN verrät sich mit einem Opcode im ersten Byte und einer Sitzungs-ID, deren Position sich nie ändert. Beides zu erkennen sind pro Paket nur wenige Instruktionen, ohne dass ein Zustand gespeichert werden muss — deshalb wird es immer als Erstes eingesetzt.
• Entropie, wenn es keinen Fingerabdruck zu finden gibt. Sind die ersten Bytes eines Flows gleichverteilt zufällig — kein druckbares ASCII, kein erkennbarer Header —, ist das selbst schon ein Signal, weil praktisch nichts Legitimes ab Byte null so aussieht. Filter haben allein auf dieser Grundlage ganze Kategorien von „vollständig verschlüsseltem“ Traffic blockiert — genau die Falle, in die die randomisierenden Protokolle tappen.
• Aktives Probing. Der Filter merkt sich die Adresse Ihres Servers, verbindet sich dann selbst mit ihr, von anderswo, und beobachtet, wie sie antwortet. Ein Proxy, der antwortet, auf charakteristische Weise einen Fehler wirft oder die Verbindung einfach offenhält, bestätigt den Verdacht. So wird aus einer Adresse, die „vielleicht“ ist, eine auf der Sperrliste.
• Verhalten über die Zeit. Ein einzelner langlebiger Flow zu einer einzigen ausländischen Adresse, der ein paar Hundert Megabyte transportiert mit einer Tag/Nacht-Kurve, die wie ein Privatanschluss aussieht, ist etwas Auffälliges. Keine noch so große Payload-Verschleierung ändert daran etwas.
• Die Adresse selbst. Bekannte VPS-Bereiche, Adressen aus öffentlichen Abo-Listen, alles, was ein kommerzieller Anbieter bewirbt. Das kostet den Zensor nichts und ist der Grund, warum eine geteilte Proxy-Adresse schneller stirbt als ein Protokoll.

Der brauchbare Schluss daraus: An den ersten drei können Sie etwas ändern, und genau die behandelt diese Anleitung. Die letzten beiden sind der Grund, warum der Abschnitt zum Schutz Ihrer Adresse kein Nachgedanke ist.

Das ist der meistwiederholte Ratschlag zu diesem Thema, und er hat fast keine Wirkung, aus einem Grund, den man klar aussprechen sollte: die Signatur steckt in der Payload, nicht in der Portnummer. Ein Filter, der 0x01 an Offset null eines 148-Byte-UDP-Datagramms erkennt, findet das auf Port 443 genauso leicht wie auf 51820.

Schlimmer noch, der Wechsel kann Sie erst recht auffallen lassen. Port 443 trägt HTTPS, das ist TCP, sowie QUIC und HTTP/3, das ist UDP, beginnt aber mit einem erkennbaren QUIC-Long-Header und darin einem TLS-ClientHello. Ein UDP-Flow auf 443, der keines von beidem ist, ist eine kleine Anomalie auf einer Leitung, auf der auf diesem Port sonst alles das eine oder das andere ist.

Dasselbe gilt für den Rest der Folklore. Eine geänderte MTU verändert die Fragmentierung, nicht die Handshake-Bytes. Ein Pre-Shared Key für WireGuard stärkt die Kryptografie und lässt das Wire-Format unangetastet. Den Tunnel auf einen unüblichen hohen Port zu legen, bringt gegen Payload-Matching nichts, senkt aber das Hintergrundrauschen durch opportunistische Scanner.

Was die Antwort ändert, ist, zu ändern, was auf der Leitung liegt: entweder die Bytes wie nichts Erkennbares aussehen lassen, oder sie wie etwas aussehen lassen, das der Zensor beschlossen hat, nicht zu blockieren. Alles, was folgt, ist eine dieser beiden Varianten.

Es gibt vier praktische Ansätze. Sie sind nicht allein nach Stärke geordnet, weil der richtige davon abhängt, was mit Ihrem Traffic geschieht.

• Randomisierter, header-freier Traffic — Shadowsocks-2022. Die AEAD-Chiffren aus 2022 (2022-blake3-aes-128-gcm und Verwandte) legen überhaupt keinen Klartext-Header auf die Leitung: Ab dem ersten Byte ist eine Sitzung nicht von Zufallsdaten zu unterscheiden, und ein falscher Schlüssel erzeugt keine Antwort auf eine Sondierung. Billig, schnell, in zehn Minuten eingerichtet, fast überall ausgezeichnet. Seine einzige Schwäche ist das oben beschriebene Entropie-Signal — gegen einen Filter, der unklassifizierbare Zufalls-Flows grundsätzlich blockiert, ist Aussehen wie nichts nicht dasselbe wie Aussehen wie harmlos.
• Geliehenes TLS — VLESS mit Reality. Die stärkste heute gebräuchliche Option. Ihr Server führt einen echten TLS 1.3-Handshake aus, und jeder Client, der sich nicht authentifizieren kann, wird transparent an eine echte Seite eines Dritten weitergereicht, deren echtes Zertifikat er ordnungsgemäß erhält. Wer sondiert, sieht einen gewöhnlichen Besucher, der sich mit einer gewöhnlichen Website verbindet, weil genau das passiert ist. Sie brauchen keine Domain, kein Zertifikat und keine Spur in der Certificate Transparency — nirgendwo ist etwas registriert, das auf Sie zeigt.
• Eigenes TLS — Trojan, oder VLESS über WebSocket hinter einem Webserver. Der Tunnel versteckt sich in Ihrer eigenen HTTPS-Site, auf Ihrer eigenen Domain und Ihrem eigenen Zertifikat. Konzeptionell einfacher, und er existiert zusammen mit einer echten Website auf derselben Adresse. Der Preis dafür ist, dass die Domain nun ein verbrennbarer Identifikator ist, das Zertifikat ein öffentlicher Eintrag in CT-Logs, und das Blockieren eines einzelnen Hostnamens ist für einen Zensor ein billiger Schritt.
• QUIC-Form — Hysteria2 und TUIC. Diese geben sich als HTTP/3 aus und können eine echte Website an alles ausliefern, was die Authentifizierung nicht besteht. Der Grund, sie zu wählen, ist meist gar nicht Zensur, sondern Verlust: Auf einer Strecke, die fünf oder zehn Prozent der Pakete verliert, halten sie den Durchsatz, wo alles TCP-Basierte zusammenbricht. Die Kompromisse sind real — manche Netze drosseln oder verwerfen UDP pauschal, und Hysterias aggressive Staukontrolle ist ein schlechter Nachbar, wenn Sie die Bandbreitenwerte unehrlich angeben.

Falls Sie eine Standardwahl wollen: Setzen Sie Reality als primäres Protokoll ein, halten Sie Shadowsocks-2022 auf einem zweiten Port als Fallback bereit, und fügen Sie Hysteria2 nur hinzu, wenn sich Ihr Problem als verlustbehaftete Strecke statt als gefilterte herausstellt. Alle drei laufen über einen einzigen Daemon, und die folgenden Schritte konfigurieren jedes davon der Reihe nach.

Weniger, als Sie erwarten würden. Das ist eine leichte Last; die Grenze ist Bandbreite und Latenz, nicht der Server.

• Ein kleiner Plan. Verschlüsselung und TLS-Terminierung sind auf jeder modernen vCPU mit AES-NI günstig. Pup (1 vCPU / 1 GB / 25 GB NVMe, $3.50/mo) trägt einen persönlichen Tunnel bequem; Cub (1 vCPU / 2 GB / 40 GB, $5.00/mo) ist die sinnvolle Größe, wenn mehrere Personen ihn teilen; Scout (2 vCPU / 4 GB / 70 GB, $9.00/mo), wenn es ein Haushalt oder ein kleines Team ist und Sie Spielraum wollen. Traffic ist bei jeder Stufe unbegrenzt bei 1 Gbps, und das ist die Spezifikation, auf die es bei einem Tunnel wirklich ankommt.
• Der richtige Standort, gewählt nach der Strecke. Das ist die Entscheidung, bei der die meisten Leute danebenliegen. Wählen Sie die nächstgelegene Jurisdiktion, deren Route von Ihnen aus nicht gefiltert wird, statt der exotischsten: für die meisten Leser sind das Amsterdam, Paris, Bukarest oder Sofia, und für alle in Asien Kuala Lumpur. Reykjavik und Zürich kaufen rechtliche Distanz, keine Geschwindigkeit — nützlich für das, was Sie hosten, weniger nützlich für das, wodurch Sie tunneln.
• Debian 13 oder Ubuntu LTS aus der Template-Bibliothek. Vollständige KVM-Virtualisierung bedeutet einen echten Kernel und einen eigenen Netzwerk-Stack, und genau das erlaubt es Ihnen, niedrige Ports zu binden und UDP zu formen, ohne jemanden zu fragen.
• Eine dedizierte IPv4-Adresse ohne Vorgeschichte. Jeder Plan liefert eine, dazu ein IPv6-/64-Netz. Eine Adresse, die nie in einem geteilten Proxy-Pool war, ist hier das mit Abstand wertvollste Gut, und das ist der Grund, warum recycelte Adressen von Billig-Cloud-Anbietern innerhalb weniger Tage versagen.
• Zuerst zehn Minuten Härtung. Nur SSH-Keys, keine Passwort-Logins, Default-Deny-Firewall. Die Debian-Härtungscheckliste deckt das ab; ein verschleierter Tunnel auf einer Maschine mit erratbarem Root-Passwort ist ein aufwendiges Schloss an einer offenen Tür.
• Eine Domain — nur, wenn Sie den Weg mit eigenem TLS wählen. Reality und Shadowsocks brauchen keine, was einen großen Teil ihres Reizes ausmacht.

Fingerprinting findet Kandidaten; Probing bestätigt sie. Sobald ein Filter eine Adresse verdächtigt, öffnet er eine eigene Verbindung aus einem unabhängigen Netz und sieht, was zurückkommt. Alles hängt von der Antwort ab.

Ein Server, der einen unverwechselbaren Fehler zurückgibt, in einem charakteristischen Moment schließt, oder eine Verbindung annimmt, die er unmöglich authentifizieren kann, hat den Verdacht bestätigt. Das ist nicht theoretisch: Es ist der dokumentierte Mechanismus, mit dem großflächige Filter frühere Verschleierungsprotokolle massenhaft aus dem Verkehr gezogen haben, und es ist der Grund, warum obfs-artige Plugins, die lediglich einen Header verwürfelten, den Kontakt damit nicht überlebt haben.

Die modernen Designs beantworten die Sondierung auf eine von zwei richtigen Arten:

• Nichts sagen. Shadowsocks-2022 kann ohne den Schlüssel keine gültige Antwort erzeugen, also erzeugt es keine. Für eine Sondierung ist der Port ein schwarzes Loch — genau das, wonach auch ein von der Firewall blockierter Port aussieht. Es trägt außerdem einen Replay-Schutz mit einem begrenzten Zeitfenster, sodass eine mitgeschnittene Sitzung nicht später erneut gesendet werden kann, um ein Verhalten zu provozieren.
• Etwas Wahres sagen, über jemand anderen. Reality leitet den nicht authentifizierten Handshake an einen echten Drittanbieter-Host weiter und reicht dessen echtes Zertifikat zurück. Die Sondierung erhält eine gültige Kette für eine Seite, die eindeutig nicht Sie sind. Wählen Sie ein Handshake-Ziel, das populär ist, von Ihrem Serverstandort aus plausibel erreichbar und selbst kaum zu blockieren — und halten Sie die Uhr des Servers synchron, denn Reality lehnt Handshakes außerhalb eines engen Zeitfensters ab.

Testen Sie das selbst, bevor Sie sich darauf verlassen. Führen Sie von einer unbeteiligten Maschine aus curl -v https://YOUR_IP gegen einen Reality-Port aus: Sie sollten ein Zertifikat sehen, das zum Handshake-Ziel gehört, und nichts, was auf einen Proxy hindeutet. Gegen einen Shadowsocks-Port sollte nc hängen und dann ohne zurückgegebene Bytes in ein Timeout laufen. Alles andere ist ein Befund.

Protokolle sind in zehn Minuten ersetzbar. Adressen nicht. Ist eine IPv4-Adresse erst einmal innerhalb eines Landes blockiert, bleibt sie es meist noch lange, nachdem das, was es ausgelöst hat, verschwunden ist, weil niemand auf der anderen Seite dafür bezahlt wird, die Liste zu überprüfen. Behandeln Sie die Adresse als das Kapital und das Protokoll als Verbrauchsgut.

Daraus folgen drei Gewohnheiten. Veröffentlichen Sie sie nicht. Eine Adresse, die in einer öffentlichen Abo-Liste, einem Kanal oder einer geteilten Konfiguration steht, lässt sich enumerieren, und Enumeration ist der billigste Angriff, den es gibt — deshalb überleben private Tunnel kostenlose öffentliche um Längen. Geben Sie ihr keinen verbrennbaren Namen. Wenn Sie den Weg mit eigenem TLS fahren, zieht eine Domain, die auch irgendetwas Aufmerksamkeitsstarkes bedient, die Adresse mit sich runter. Vermischen Sie keine Rollen. Eine Maschine mit nur einem Zweck, mit Ihrem Tunnel und sonst nichts, erbt keinen Eintrag, den sich etwas anderes eingehandelt hat, das Sie darauf betrieben haben.

Die andere Hälfte ist, woher die Adresse kam. Billig-Cloud-Anbieter mit hoher Fluktuation recyceln IPv4-Adressen durch Tausende kurzlebiger Kunden, sodass eine „neue“ Adresse schon vor Ihrem ersten Paket den Ruf eines anderen tragen kann. Jeder Plan hier liefert eine dedizierte, geprüfte IPv4-Adresse statt eines Ausschnitts aus einem geteilten Pool — siehe was eine saubere IP eigentlich bedeutet für die Definition und wie Sie das selbst überprüfen. Wird Ihre je markiert oder irgendwo blockiert, wo es zählt, fordern Sie einen Austausch über das Panel an; Sie sollten für eine funktionierende Adresse keine neue Bestellung aufgeben müssen. Und wenn Sie wissen wollen, ob ein Problem ein Zensor oder eine Reputationsliste ist, trennt unsere Anleitung zum Prüfen, ob eine IP auf einer Blacklist steht, die beiden auseinander.

Die ehrliche Bilanz, denn der Rest dieser Anleitung lohnt sich nur zu lesen, wenn dieser Teil dazugehört.

• Es verbirgt nicht, dass Sie verschlüsselten Traffic irgendwohin senden. Ein Netzbetreiber sieht weiterhin einen Flow zu einer ausländischen Adresse, dessen Volumen, dessen Timing und wie lange er dauert. Reality lässt diesen Flow wie einen gewöhnlichen Besuch einer gewöhnlichen Website aussehen; es lässt ihn nicht verschwinden.
• Es schlägt keine Traffic-Analyse. Anhaltende Flows mit hohem Volumen und einem unverwechselbaren Tag/Nacht-Muster bleiben unverwechselbar. Gegen einen Gegner, der bereit ist, echte Ressourcen in Korrelation statt in Mustererkennung zu stecken, ist Payload-Verschleierung das falsche Werkzeug, und Tor mit einem Pluggable Transport ist die besser erforschte Antwort.
• Es schützt nicht die Endpunkte. Ein kompromittiertes Gerät, ein angemeldetes Konto, Browser-Fingerprinting und alles, was Sie auf der anderen Seite eintippen, bleiben von all dem unberührt.
• Es macht den Server nicht anonym. Der Host weiß, welche Adresse Ihnen gehört, und eine No-KYC-Anmeldung begrenzt, was es zu wissen gibt, statt es zu beseitigen. Wir legen in ist ein mit Krypto bezahlter VPS wirklich anonym genau dar, was sichtbar ist und was nicht, und das ist zehn Minuten wert, bevor Sie sich auf Annahmen verlassen.
• Es ist nicht dauerhaft. Das ist ein Wettrüsten mit eigenem Release-Zyklus. Eine Konfiguration, die heute funktioniert, muss vielleicht in einem Jahr ersetzt werden, was das eigentliche Argument für ein Setup ist, das Sie selbst kontrollieren und in zehn Minuten ändern können, statt für ein Abo, das Sie nur kündigen können.

Was sie zuverlässig leistet, ist, die Kosten, Sie zu blockieren, von „einem Byte-Abgleich mit Line-Rate“ auf „eine Entscheidung, eine Menge gewöhnlichen Traffics zu zerstören“ anzuheben. In der Praxis ist das meist schon das ganze Spiel.

Das Protokoll entscheidet, ob Pakete durchkommen. Alles andere darüber, ob der Tunnel weiterbesteht, wird abseits der Leitung entschieden.

Die Jurisdiktion bestimmt, wer was erzwingen kann. Unser Standortnetz umfasst acht Länder: Niederlande, Frankreich, Rumänien, Bulgarien, Schweden, Island, die Schweiz und Malaysia; eine Anfrage, die in einem davon Gewicht hat, hat in einem anderen keines, und keine Takedown-Notice nach US-Vorbild entfaltet in einem von ihnen Wirkung. Das ist ehrlich formulierte Betriebspolitik, keine rechtliche Immunität — lokale Gerichtsanordnungen gelten weiterhin, und es gibt eine harte Grenze beim Missbrauch, die wir nicht verschieben. Offshore-Hosting erklärt den Unterschied im Detail.

Das Konto ist der Teil, den die Leute unterschätzen. Ein Tunnel ist nur so privat wie der Datensatz darüber, wer ihn gemietet hat. Die Anmeldung hier verlangt eine E-Mail-Adresse für die Zugangsdaten und sonst nichts — keinen Ausweis, keine Karte, keine Adresse, kein Telefon. Es gibt keine Verifizierungsdatei zu übergeben, weil wir nie eine erhoben haben.

Die Zahlung ist die andere Hälfte davon. Eine Karte verknüpft einen Server mit einem Bankdatensatz und einem echten Namen in einer Datenbank, die keiner von uns beiden kontrolliert. Die Bezahlung hier läuft on-chain, und Monero ist erstklassig unterstützt statt nachträglich angeflanscht: Unsere Anleitung zum Bezahlen eines VPS mit XMR führt durch den ganzen Ablauf, und Kaufen ohne Kreditkarte deckt ab, wie Sie dort ganz ohne Krypto hinkommen. Das Deployment dauert etwa sechzig Sekunden nach der Bestätigung, sodass eine Ersatzadresse nur Minuten entfernt ist, falls Sie je eine brauchen.

Zusammengenommen ergibt das die Form eines Tunnels, der überlebt: ein Protokoll, das ein Filter nicht billig erkennen kann, eine Adresse, die niemand sonst verbrannt hat, eine Jurisdiktion außerhalb der Reichweite des Filters, und ein Konto, das nie etwas Forderbares enthielt. Wenn Sie zuerst die einfache Version desselben Tunnels wollen: die WireGuard-Setup-Anleitung dauert zehn Minuten und ist ein guter Startpunkt — kommen Sie hierher zurück, wenn etwas aufhört, sich zu verbinden.