Passar uma VPN pela inspeção profunda de pacotes

“DPI” parece um problema de inteligência. Na maior parte do tempo é uma simples correspondência de string. Um filtro instalado em um link nacional não pode se dar ao luxo de pensar muito sobre cada fluxo, então ele se apoia nos sinais mais baratos que funcionam, mais ou menos nesta ordem:

• Uma impressão digital de protocolo em um deslocamento fixo. O primeiro pacote de uma sessão WireGuard é uma iniciação de handshake: exatamente 148 bytes, primeiro byte 0x01, os três bytes seguintes zerados. O OpenVPN se anuncia com um opcode no primeiro byte e um ID de sessão que nunca muda de posição. Identificar qualquer um dos dois é questão de poucas instruções por pacote, sem estado algum para manter, e é por isso que é sempre a primeira coisa implantada.
• Entropia, quando não há impressão digital para encontrar. Se os primeiros bytes de um fluxo são uniformemente aleatórios — sem ASCII imprimível, sem cabeçalho reconhecível — isso por si só já é um sinal, porque quase nada legítimo se parece com isso desde o byte zero. Filtros já bloquearam categorias inteiras de tráfego “totalmente criptografado” só com base nisso, que é exatamente a armadilha em que os protocolos de aleatorização caem.
• Sondagem ativa. O filtro anota o endereço do seu servidor, depois se conecta a ele por conta própria, a partir de outro lugar, e observa como ele responde. Um proxy que responde, que gera erro de um jeito característico, ou que simplesmente mantém a conexão aberta, confirma a suspeita. É assim que um endereço passa de “talvez” para uma lista de bloqueio.
• Comportamento ao longo do tempo. Um único fluxo de longa duração para um único endereço estrangeiro, carregando algumas centenas de megabytes com uma curva de dia/noite que parece residencial, é algo bastante distintivo. Nenhuma quantidade de ofuscação de payload muda isso.
• O endereço em si. Faixas conhecidas de VPS, endereços vistos em listas públicas de assinatura, qualquer coisa que um provedor comercial anuncie. Esse sinal não custa nada ao censor, e é o motivo pelo qual um endereço de proxy compartilhado morre mais rápido do que um protocolo.

A conclusão útil é que os três primeiros são aqueles sobre os quais você pode fazer alguma coisa, e são esses que este guia aborda. Os dois últimos são o motivo pelo qual a seção sobre proteger o seu endereço não é um detalhe secundário.

É o conselho mais repetido sobre o assunto, e tem quase nenhum efeito, por um motivo que vale a pena declarar sem rodeios: a assinatura está no payload, não no número da porta. Um filtro que identifica 0x01 no deslocamento zero de um datagrama UDP de 148 bytes o encontra na porta 443 com a mesma facilidade que na 51820.

Pior, a mudança pode fazer você se destacar. A porta 443 carrega HTTPS, que é TCP, e QUIC e HTTP/3, que é UDP mas começa com um cabeçalho longo do QUIC reconhecível e um ClientHello de TLS dentro dele. Um fluxo UDP na 443 que não é nenhum dos dois é uma pequena anomalia em um link onde tudo mais nessa porta é um ou outro.

O mesmo vale para o resto do folclore. Mudar o MTU altera a fragmentação, não os bytes do handshake. Adicionar uma chave pré-compartilhada ao WireGuard fortalece a criptografia e deixa o formato no fio intocado. Colocar o túnel em uma porta alta fora do padrão não rende nada contra a correspondência de payload, embora reduza o ruído de fundo de scanners oportunistas.

O que muda a resposta é mudar o que está no fio: ou fazer os bytes parecerem algo irreconhecível, ou fazer com que pareçam algo que o censor já decidiu não bloquear. Tudo o que vem abaixo é um desses dois movimentos.

Existem quatro abordagens práticas. Elas não são ordenadas apenas pela força, porque a certa depende do que está sendo feito com o seu tráfego.

• Tráfego aleatorizado, sem cabeçalho — Shadowsocks-2022. As cifras AEAD de 2022 (2022-blake3-aes-128-gcm e afins) não colocam absolutamente nenhum cabeçalho em texto plano no fio: desde o primeiro byte, uma sessão é indistinguível de dados aleatórios, e uma chave errada não produz nenhuma resposta a uma sondagem. Barato, rápido, dez minutos para implantar, excelente em quase todo lugar. Sua única fraqueza é o sinal de entropia mencionado acima — contra um filtro que bloqueia por princípio fluxos aleatórios não classificáveis, parecer nada não é o mesmo que parecer inofensivo.
• TLS emprestado — VLESS com Reality. A opção mais forte em uso geral hoje em dia. Seu servidor realiza um handshake TLS 1.3 genuíno, e qualquer cliente que não consiga se autenticar é repassado de forma transparente para um site real de terceiros, cujo certificado real ele recebe normalmente. Um sondador vê um visitante comum se conectando a um site comum, porque foi exatamente isso que aconteceu. Você não precisa de domínio, nem de certificado, nem de rastro em CT — não há nada registrado em lugar nenhum que aponte para você.
• TLS que é seu — Trojan, ou VLESS sobre WebSocket atrás de um servidor web. O túnel se esconde dentro do seu próprio site HTTPS, no seu próprio domínio e certificado. Conceitualmente mais simples, e coexiste com um site real no mesmo endereço. O custo é que o domínio agora é um identificador queimável, o certificado é um registro público em logs de CT, e bloquear um único hostname é um movimento barato para um censor.
• Com forma de QUIC — Hysteria2 e TUIC. Esses protocolos se passam por HTTP/3 e podem servir um site real para qualquer coisa que falhe na autenticação. O motivo para escolhê-los geralmente não é a censura, e sim a perda de pacotes: em um caminho que descarta cinco ou dez por cento dos pacotes, eles mantêm a vazão onde qualquer coisa baseada em TCP entra em colapso. Os trade-offs são reais — algumas redes limitam ou descartam UDP por completo, e o controle de congestionamento agressivo do Hysteria2 é um vizinho ruim se você configurar os números de banda de forma desonesta.

Se você quiser um padrão: implante o Reality como principal, mantenha o Shadowsocks-2022 em uma segunda porta como fallback, e adicione o Hysteria2 somente se o seu problema se revelar um caminho com perda de pacotes, e não um caminho filtrado. Os três rodam a partir de um único daemon, e os passos abaixo configuram cada um deles, em sequência.

Menos do que você imagina. Esta é uma carga de trabalho leve; a restrição é banda e latência, não o servidor.

• Um plano pequeno. Criptografia e terminação de TLS são baratas em qualquer vCPU moderna com AES-NI. O Pup (1 vCPU / 1 GB / 25 GB NVMe, $3.50/mo) carrega um túnel pessoal com folga; o Cub (1 vCPU / 2 GB / 40 GB, $5.00/mo) é o tamanho sensato se várias pessoas o compartilharem; o Scout (2 vCPU / 4 GB / 70 GB, $9.00/mo) se for para uma casa ou uma equipe pequena e você quiser folga extra. O tráfego é ilimitado a 1 Gbps em todos os planos, que é a especificação que realmente importa para um túnel.
• O local certo, escolhido pelo caminho. Esta é a decisão em que as pessoas erram. Escolha a jurisdição mais próxima cuja rota a partir de você não é filtrada, em vez da mais exótica: para a maioria dos leitores isso é Amsterdam, Paris, Bucharest ou Sofia, e para quem está na Ásia, Kuala Lumpur. Reykjavik e Zurich compram distância legal, não velocidade — útil para o que você hospeda, menos útil para o que você tuneliza.
• Debian 13 ou Ubuntu LTS da biblioteca de templates. A virtualização KVM completa significa um kernel de verdade e sua própria pilha de rede, que é o que permite vincular portas baixas e moldar UDP sem pedir permissão a ninguém.
• Um IPv4 dedicado sem histórico. Todo plano já vem com um, mais um /64 de IPv6. Um endereço que nunca esteve em um pool de proxy compartilhado é a coisa mais valiosa aqui, e é o motivo pelo qual endereços reciclados de nuvens baratas falham em poucos dias.
• Dez minutos de hardening primeiro. Apenas chaves SSH, sem login por senha, firewall com negação por padrão. O checklist de hardening do Debian cobre isso; um túnel ofuscado em uma máquina com senha de root adivinhável é uma fechadura elaborada em uma porta aberta.
• Um domínio — só se você escolher a rota do TLS que é seu. Reality e Shadowsocks não precisam de nenhum, o que é boa parte do apelo deles.

A identificação por impressão digital encontra candidatos; a sondagem os confirma. Assim que um filtro suspeita de um endereço, ele abre sua própria conexão a partir de uma rede não relacionada e observa o que volta. Tudo depende da resposta.

Um servidor que devolve um erro característico, que fecha em um momento característico, ou que aceita uma conexão que não tem como autenticar, confirmou a suspeita. Isso não é teórico: é o mecanismo documentado pelo qual filtros em grande escala já aposentaram em massa protocolos de ofuscação mais antigos, e é por isso que plugins no estilo obfs, que simplesmente embaralhavam um cabeçalho, não sobreviveram ao contato com ele.

Os designs modernos respondem à sondagem de uma de duas formas corretas:

• Não dizer nada. O Shadowsocks-2022 não consegue produzir uma resposta válida sem a chave, então não produz nenhuma. Para um sondador, a porta é um buraco negro, exatamente como se fosse uma porta bloqueada por firewall. Ele também carrega proteção contra replay com uma janela de tempo limitada, então uma sessão capturada não pode ser reenviada depois para provocar algum comportamento.
• Dizer algo verdadeiro, sobre outra pessoa. O Reality repassa o handshake não autenticado para um host real de terceiros, e devolve o certificado real desse host. O sondador recebe uma cadeia válida para um site que claramente não é você. Escolha um alvo de handshake que seja popular, plausivelmente alcançável a partir do país do seu servidor, e improvável de ser bloqueado ele mesmo — e mantenha o relógio do servidor sincronizado, porque o Reality rejeita handshakes fora de uma janela de tempo estreita.

Teste isso você mesmo antes de confiar nisso. A partir de uma máquina não relacionada, rode curl -v https://YOUR_IP contra uma porta Reality: você deve ver um certificado pertencente ao alvo do handshake, e nada que sugira um proxy. Contra uma porta Shadowsocks, o nc deve travar e então dar timeout sem retornar nenhum byte. Qualquer outra coisa é um achado.

Protocolos são substituíveis em dez minutos. Endereços não são. Uma vez que um IPv4 é bloqueado dentro de um país, ele costuma continuar bloqueado muito depois de o que quer que tenha disparado isso já ter desaparecido, porque não há ninguém do outro lado pago para revisar a lista. Trate o endereço como o ativo, e o protocolo como um consumível.

Três hábitos decorrem disso. Não o publique. Um endereço postado em uma lista pública de assinatura, em um canal, ou em uma configuração compartilhada é enumerável, e a enumeração é o ataque mais barato que existe — é por isso que túneis privados sobrevivem por muito mais tempo do que os públicos e gratuitos. Não coloque nele um nome queimável. Se você seguir a rota do TLS que é seu, um domínio que também serve qualquer coisa chamativa arrasta o endereço junto para baixo. Não misture papéis. Uma máquina de propósito único, só com o seu túnel e mais nada, não herda uma listagem conquistada por outra coisa que você estivesse rodando.

A outra metade é de onde o endereço veio. Nuvens baratas de alta rotatividade reciclam IPv4 entre milhares de clientes de vida curta, então um endereço “novo” já pode carregar a reputação de outra pessoa antes mesmo do seu primeiro pacote. Todo plano aqui vem com um IPv4 dedicado e triado, em vez de uma fatia de um pool compartilhado — veja o que um IP limpo realmente significa para a definição e como verificar isso você mesmo. Se o seu for sinalizado algum dia, ou bloqueado em algum lugar que importe, peça uma troca pelo painel; você não deveria precisar fazer um novo pedido para conseguir um endereço funcional. E quando você quiser saber se um problema é um censor ou uma lista de reputação, nosso guia sobre como verificar se um IP está na lista negra separa uma coisa da outra.

O balanço honesto, porque o resto deste guia só vale a pena ler se esta parte também estiver nele.

• Ela não esconde que você está enviando tráfego criptografado para algum lugar. Um operador de rede ainda vê um fluxo para um endereço estrangeiro, seu volume, seu timing e por quanto tempo ele dura. O Reality faz esse fluxo parecer uma visita comum a um site comum; ele não o faz desaparecer.
• Ela não derrota a análise de tráfego. Fluxos sustentados de alto volume com um padrão distintivo de dia/noite continuam distintivos. Contra um adversário disposto a gastar recursos reais em correlação, em vez de correspondência de padrões, a ofuscação de payload é a ferramenta errada, e o Tor com um transporte plugável é a resposta mais bem estudada.
• Ela não protege os endpoints. Um dispositivo comprometido, uma conta já logada, a impressão digital do navegador e tudo o que você digita do outro lado ficam intocados por qualquer coisa disso.
• Ela não torna o servidor anônimo. O host sabe qual endereço é seu, e um cadastro sem KYC limita o que há para saber, em vez de eliminar isso. Explicamos exatamente o que é e o que não é visível em um VPS pago em cripto é realmente anônimo, e vale a pena dedicar dez minutos a isso antes de confiar em suposições.
• Ela não é permanente. Isto é uma corrida armamentista com ciclo de lançamentos. Uma configuração que funciona hoje pode precisar ser substituída daqui a um ano, o que é o verdadeiro argumento a favor de uma configuração que você controla e pode mudar em dez minutos, em vez de uma assinatura que você só pode cancelar.

O que ela faz, de forma confiável, é elevar o custo de bloquear você de “uma correspondência de bytes na velocidade da linha” para “uma decisão de quebrar um monte de tráfego comum”. Na prática, isso costuma ser o jogo inteiro.

O protocolo decide se os pacotes passam. Tudo o mais sobre se o túnel continua existindo é decidido fora do fio.

A jurisdição determina quem pode exigir o quê. Nossa presença abrange oito localidades pela Holanda, França, Romênia, Bulgária, Suécia, Islândia, Suíça e Malásia; um pedido que tem peso em uma delas não tem nenhum em outra, e nenhum aviso de remoção ao estilo americano tem força em qualquer uma delas. Isso é política operacional declarada com honestidade, não imunidade legal — ordens judiciais locais ainda se aplicam, e existe um piso inegociável de abuso que não movemos. A hospedagem offshore explica essa distinção com propriedade.

A conta é a parte que as pessoas subestimam. Um túnel é tão privado quanto o registro de quem o alugou. O cadastro aqui pede um endereço de e-mail para a entrega das credenciais, e mais nada — sem identificação, sem cartão, sem endereço, sem telefone. Não há arquivo de verificação nenhum para entregar, porque nunca coletamos um.

O pagamento é a outra metade disso. Um cartão liga um servidor a um registro bancário e a um nome legal em um banco de dados que nenhum de nós dois controla. O checkout aqui é liquidado on chain, e o Monero é tratado como cidadão de primeira classe, não como um acréscimo tardio: nosso guia sobre como pagar um VPS com XMR percorre o fluxo inteiro, e como comprar sem cartão de crédito cobre como chegar lá partindo de zero cripto. O deploy leva cerca de sessenta segundos após a confirmação, então um endereço de reposição fica a minutos de distância, se você algum dia precisar de um.

Juntando tudo, essa é a forma de um túnel que sobrevive: um protocolo que um filtro não consegue identificar de forma barata, um endereço que ninguém mais queimou, uma jurisdição fora do alcance do filtro, e uma conta que nunca guardou nada que valesse a pena exigir. Se você quiser primeiro a versão simples do mesmo túnel, o guia de configuração do WireGuard leva dez minutos e é um bom lugar para começar — volte aqui quando algo parar de conectar.