Đưa VPN vượt qua kiểm tra gói tin sâu

“DPI” nghe như một bài toán tình báo. Nhưng phần lớn thời gian, đó chỉ là một phép so khớp chuỗi. Một bộ lọc đặt trên một tuyến kết nối quốc gia không có khả năng suy nghĩ kỹ về từng luồng dữ liệu, nên nó dựa vào những tín hiệu rẻ nhất mà vẫn hiệu quả, theo thứ tự đại khái sau:

• Một dấu hiệu nhận dạng giao thức ở một vị trí cố định. Gói tin đầu tiên của một phiên WireGuard là một thông điệp khởi tạo bắt tay: đúng 148 byte, byte đầu tiên là 0x01, ba byte tiếp theo bằng không. OpenVPN tự giới thiệu mình bằng một opcode ở byte đầu tiên và một session id không bao giờ đổi vị trí. So khớp một trong hai thứ này chỉ tốn vài lệnh máy cho mỗi gói tin, không cần lưu trạng thái, đó là lý do nó luôn là thứ được triển khai đầu tiên.
• Entropy, khi không có dấu hiệu nhận dạng nào để tìm. Nếu các byte đầu tiên của một luồng dữ liệu ngẫu nhiên đồng đều — không có ký tự ASCII in được, không có header nhận ra được — thì bản thân điều đó đã là một tín hiệu, bởi vì gần như không có lưu lượng hợp lệ nào trông như vậy ngay từ byte số 0. Các bộ lọc từng chặn nguyên cả một nhóm lưu lượng “mã hóa hoàn toàn” chỉ dựa trên cơ sở này, và đó chính xác là cái bẫy mà các giao thức ngẫu nhiên hóa rơi vào.
• Dò quét chủ động. Bộ lọc ghi lại địa chỉ máy chủ của bạn, sau đó tự mình kết nối tới nó, từ một nơi khác, và quan sát nó phản hồi ra sao. Một proxy trả lời, báo lỗi theo một kiểu đặc trưng, hoặc đơn giản là giữ kết nối mở, đều xác nhận nghi ngờ đó. Đây là cách một địa chỉ chuyển từ “có thể” sang danh sách chặn.
• Hành vi theo thời gian. Một luồng dữ liệu duy nhất, tồn tại lâu dài, tới một địa chỉ nước ngoài, mang theo vài trăm megabyte với đường cong ngày/đêm trông giống hộ gia đình, là một thứ có đặc điểm rất riêng. Không có mức độ ngụy trang payload nào thay đổi được điều đó.
• Bản thân địa chỉ. Các dải địa chỉ VPS đã biết, các địa chỉ xuất hiện trong danh sách subscription công khai, bất cứ thứ gì một nhà cung cấp thương mại quảng cáo. Điều này chẳng tốn của bên kiểm duyệt một xu nào, và đó là lý do một địa chỉ proxy dùng chung chết nhanh hơn nhiều so với một giao thức.

Kết luận hữu ích ở đây là ba điều đầu tiên là những thứ bạn có thể làm gì đó để đối phó, và đó cũng chính là những gì hướng dẫn này sẽ giải quyết. Hai điều cuối cùng là lý do phần nói về bảo vệ địa chỉ của bạn không phải là một suy nghĩ muộn màng.

Đây là lời khuyên được lặp lại nhiều nhất về chủ đề này, và nó gần như chẳng có tác dụng gì, vì một lý do đáng nói thẳng ra: dấu hiệu nhận dạng nằm trong payload, không nằm trong số hiệu cổng. Một bộ lọc so khớp 0x01 ở offset 0 của một datagram UDP dài 148 byte sẽ tìm thấy nó trên cổng 443 dễ dàng y hệt như trên cổng 51820.

Tệ hơn, việc chuyển cổng còn có thể khiến bạn nổi bật hơn. Cổng 443 mang HTTPS, vốn chạy trên TCP, và mang QUIC cùng HTTP/3, vốn chạy trên UDP nhưng bắt đầu bằng một QUIC long header nhận ra được và một TLS ClientHello bên trong nó. Một luồng UDP trên cổng 443 mà không phải là cái nào trong hai thứ đó là một điểm bất thường nhỏ, trên một tuyến kết nối mà mọi thứ khác trên cổng đó đều là một trong hai dạng ấy.

Phần còn lại của những lời truyền miệng cũng vậy. Đổi MTU chỉ thay đổi cách phân mảnh, không thay đổi các byte bắt tay. Thêm một pre-shared key vào WireGuard giúp mật mã mạnh hơn nhưng để nguyên định dạng trên đường truyền. Đặt đường hầm lên một cổng cao không chuẩn chẳng mang lại ích lợi gì trước việc so khớp payload, dù nó có cắt giảm phần nhiễu nền từ các trình quét cơ hội.

Điều thực sự thay đổi câu trả lời là thay đổi những gì nằm trên đường truyền: hoặc làm cho các byte trông không giống bất cứ thứ gì nhận ra được, hoặc làm cho chúng trông giống một thứ mà bên kiểm duyệt đã quyết định không chặn. Mọi thứ bên dưới đây đều là một trong hai cách đó.

Có bốn cách tiếp cận khả thi trong thực tế. Chúng không chỉ được xếp hạng theo độ mạnh, bởi vì lựa chọn đúng đắn phụ thuộc vào việc lưu lượng của bạn đang bị xử lý ra sao.

• Lưu lượng ngẫu nhiên hóa, không có header — Shadowsocks-2022. Các cipher AEAD năm 2022 (2022-blake3-aes-128-gcm và các cipher cùng họ) không đặt bất kỳ header dạng rõ nào lên đường truyền cả: ngay từ byte đầu tiên, một phiên đã không thể phân biệt được với dữ liệu ngẫu nhiên, và một khóa sai sẽ không tạo ra phản hồi nào cho bên dò quét. Rẻ, nhanh, mười phút để triển khai, xuất sắc ở gần như mọi nơi. Điểm yếu duy nhất của nó là tín hiệu entropy đã nói ở trên — trước một bộ lọc chặn theo nguyên tắc mọi luồng ngẫu nhiên không thể phân loại được, trông giống như không có gì không đồng nghĩa với trông có vẻ vô hại.
• TLS mượn danh — VLESS với Reality. Lựa chọn mạnh nhất đang được dùng phổ biến hiện nay. Máy chủ của bạn thực hiện một cú bắt tay TLS 1.3 thật sự, và bất kỳ client nào không xác thực được sẽ được chuyển tiếp một cách trong suốt sang một trang web thật của bên thứ ba, và nhận đúng chứng chỉ thật của trang đó. Một bên dò quét sẽ thấy một khách truy cập bình thường đang kết nối tới một trang web bình thường, bởi vì đó chính xác là điều đã xảy ra. Bạn không cần domain, không cần chứng chỉ, và không để lại dấu vết nào trong nhật ký certificate transparency — không có gì được đăng ký ở bất cứ đâu trỏ về bạn.
• TLS của riêng bạn — Trojan, hoặc VLESS qua WebSocket đặt sau một web server. Đường hầm ẩn bên trong chính trang HTTPS của bạn, trên domain và chứng chỉ của riêng bạn. Về khái niệm thì đơn giản hơn, và nó cùng tồn tại với một trang web thật trên cùng một địa chỉ. Cái giá phải trả là domain giờ đây trở thành một định danh dễ bị đốt, chứng chỉ là một bản ghi công khai trong nhật ký CT, và việc chặn một hostname là một động tác rẻ tiền đối với bên kiểm duyệt.
• Mang dáng dấp QUIC — Hysteria2 và TUIC. Hai giao thức này giả dạng HTTP/3 và có thể phục vụ một trang web thật cho bất cứ thứ gì không xác thực được. Lý do để chọn chúng thường không phải vì kiểm duyệt, mà vì mất gói tin: trên một tuyến kết nối làm rơi năm đến mười phần trăm gói tin, chúng vẫn giữ được thông lượng ở nơi mọi thứ dựa trên TCP đều sụp đổ. Sự đánh đổi là có thật — một số mạng giới hạn hoặc chặn hoàn toàn UDP, và cơ chế kiểm soát tắc nghẽn hung hãn của Hysteria sẽ là một người hàng xóm khó chịu nếu bạn khai báo sai lệch các con số băng thông.

Nếu bạn muốn một lựa chọn mặc định: triển khai Reality làm phương án chính, giữ Shadowsocks-2022 trên một cổng thứ hai làm phương án dự phòng, và chỉ thêm Hysteria2 nếu vấn đề của bạn hóa ra là một tuyến kết nối hay mất gói tin chứ không phải một tuyến bị lọc. Cả ba đều chạy từ một daemon duy nhất, và các bước bên dưới sẽ lần lượt cấu hình từng cái.

Ít hơn bạn tưởng. Đây là một khối lượng công việc nhẹ nhàng; giới hạn nằm ở băng thông và độ trễ, không phải ở máy chủ.

• Một gói nhỏ. Mã hóa và kết thúc TLS đều rẻ trên bất kỳ vCPU hiện đại nào có AES-NI. Pup (1 vCPU / 1 GB / 25 GB NVMe, $3.50/mo) gánh vác thoải mái một đường hầm cá nhân; Cub (1 vCPU / 2 GB / 40 GB, $5.00/mo) là kích cỡ hợp lý nếu vài người cùng dùng chung; Scout (2 vCPU / 4 GB / 70 GB, $9.00/mo) nếu đó là cả một hộ gia đình hay một nhóm nhỏ và bạn muốn có dư địa. Lưu lượng không giới hạn ở tốc độ 1 Gbps trên mọi gói, đó mới là thông số thực sự quan trọng đối với một đường hầm.
• Vị trí phù hợp, chọn theo tuyến kết nối. Đây là quyết định mà người ta hay chọn sai. Hãy chọn khu vực pháp lý gần nhất mà tuyến đường từ chỗ bạn không bị lọc, thay vì khu vực kỳ lạ nhất: với hầu hết độc giả thì đó là Amsterdam, Paris, Bucharest hoặc Sofia, còn với ai ở châu Á thì là Kuala Lumpur. Reykjavik và Zurich mua cho bạn khoảng cách pháp lý, không phải tốc độ — hữu ích cho những gì bạn lưu trữ, kém hữu ích hơn cho những gì bạn truyền qua đường hầm.
• Debian 13 hoặc Ubuntu LTS từ thư viện template. Ảo hóa KVM đầy đủ nghĩa là một kernel thật và stack mạng của riêng bạn, đó là thứ cho phép bạn gán các cổng thấp và định hình UDP mà không cần xin phép ai.
• Một IPv4 riêng, không có lịch sử xấu. Mọi gói đều đi kèm một địa chỉ như vậy, cộng thêm một dải IPv6 /64. Một địa chỉ chưa từng nằm trong một pool proxy dùng chung là thứ giá trị nhất ở đây, và đó là lý do các địa chỉ tái chế từ các cloud giá rẻ thường hỏng chỉ trong vài ngày.
• Mười phút tăng cường bảo mật trước đã. Chỉ dùng SSH key, không đăng nhập bằng mật khẩu, tường lửa mặc định chặn tất cả. Danh sách kiểm tra tăng cường bảo mật Debian đã bao quát việc này; một đường hầm ngụy trang trên một máy chủ có mật khẩu root dễ đoán chẳng khác nào một ổ khóa cầu kỳ gắn trên một cánh cửa đang mở.
• Một domain — chỉ khi bạn chọn hướng đi TLS của riêng bạn. Reality và Shadowsocks không cần domain nào cả, đó là một phần lớn sức hút của chúng.

Việc nhận dạng dấu hiệu tìm ra các ứng viên; dò quét thì xác nhận chúng. Một khi bộ lọc nghi ngờ một địa chỉ, nó sẽ tự mở một kết nối riêng từ một mạng không liên quan và xem điều gì trả về. Mọi thứ đều phụ thuộc vào câu trả lời đó.

Một máy chủ trả về một lỗi đặc trưng, đóng kết nối vào một thời điểm đặc trưng, hoặc chấp nhận một kết nối mà nó không thể nào xác thực được, đều đã xác nhận phỏng đoán đó. Đây không phải là chuyện lý thuyết: đó là cơ chế đã được ghi nhận, qua đó các bộ lọc quy mô lớn đã loại bỏ hàng loạt các giao thức ngụy trang đời trước, và đó cũng là lý do các plugin kiểu obfs chỉ đơn giản xáo trộn một header đã không sống sót khi va chạm với nó.

Các thiết kế hiện đại trả lời việc dò quét theo một trong hai cách đúng đắn:

• Không nói gì cả. Shadowsocks-2022 không thể tạo ra một phản hồi hợp lệ nếu không có khóa, nên nó không tạo ra phản hồi nào hết. Với bên dò quét, cổng đó là một lỗ đen, giống hệt như những gì một cổng bị tường lửa chặn trông như vậy. Nó cũng mang theo khả năng chống phát lại với một cửa sổ thời gian giới hạn, nên một phiên bị bắt lại không thể được gửi lại sau đó để khơi ra hành vi.
• Nói điều gì đó đúng, nhưng về một ai khác. Reality chuyển tiếp cú bắt tay chưa xác thực tới một host thật của bên thứ ba và chuyển tiếp lại chứng chỉ thật của host đó. Bên dò quét nhận được một chuỗi chứng chỉ hợp lệ cho một trang web rõ ràng không phải là bạn. Hãy chọn một đích bắt tay phổ biến, có thể tiếp cận được một cách hợp lý từ quốc gia đặt máy chủ của bạn, và bản thân nó khó có khả năng bị chặn — và giữ đồng hồ máy chủ luôn đồng bộ, bởi vì Reality từ chối các cú bắt tay nằm ngoài một cửa sổ thời gian hẹp.

Hãy tự mình kiểm tra điều này trước khi tin tưởng nó. Từ một máy không liên quan, chạy curl -v https://YOUR_IP nhắm vào một cổng Reality: bạn sẽ phải thấy một chứng chỉ thuộc về đích bắt tay, và không có gì gợi ý về một proxy cả. Nhắm vào một cổng Shadowsocks, nc sẽ phải treo rồi hết thời gian chờ mà không trả về byte nào. Bất cứ điều gì khác đều là một phát hiện đáng lưu ý.

Giao thức có thể thay thế được trong mười phút. Địa chỉ thì không. Một khi một địa chỉ IPv4 bị chặn bên trong một quốc gia, nó thường vẫn bị chặn rất lâu sau khi bất cứ điều gì gây ra chuyện đó đã không còn nữa, bởi vì chẳng có ai ở phía bên kia được trả tiền để rà soát lại danh sách. Hãy coi địa chỉ là tài sản và giao thức là thứ tiêu hao.

Ba thói quen sau đây bắt nguồn từ điều đó. Đừng công khai nó. Một địa chỉ được đăng trong một danh sách subscription công khai, một kênh, hay một cấu hình dùng chung, đều có thể bị liệt kê ra, và việc liệt kê là kiểu tấn công rẻ nhất tồn tại — đây là lý do các đường hầm riêng tư tồn tại lâu hơn rất nhiều so với các đường hầm công khai miễn phí. Đừng gắn cho nó một cái tên dễ bị đốt. Nếu bạn chạy theo hướng TLS của riêng bạn, một domain còn phục vụ bất cứ thứ gì gây chú ý sẽ kéo địa chỉ đó chìm theo nó. Đừng trộn lẫn vai trò. Một máy chủ chỉ có một mục đích duy nhất, chỉ chạy đường hầm của bạn và không gì khác, sẽ không thừa hưởng một danh sách chặn mà thứ khác bạn từng chạy đã gây ra.

Nửa còn lại là địa chỉ đó đến từ đâu. Các cloud giá rẻ có tỷ lệ luân chuyển cao tái chế IPv4 qua hàng nghìn khách hàng tồn tại trong thời gian ngắn, nên một địa chỉ “mới” có thể đã mang sẵn danh tiếng của ai đó khác trước cả gói tin đầu tiên của bạn. Mọi gói ở đây đều đi kèm một IPv4 riêng, đã được sàng lọc, thay vì một phần của một pool dùng chung — xem ý nghĩa thực sự của một IP sạch để biết định nghĩa và cách tự mình kiểm chứng. Nếu địa chỉ của bạn từng bị gắn cờ, hoặc bị chặn ở đâu đó quan trọng, hãy yêu cầu đổi địa chỉ qua panel; bạn không nên phải đặt một đơn hàng mới chỉ để có một địa chỉ hoạt động được. Và khi bạn muốn biết một vấn đề là do bên kiểm duyệt hay do danh sách uy tín, hướng dẫn kiểm tra xem một IP có bị đưa vào danh sách đen hay không của chúng tôi sẽ phân biệt rõ hai điều đó.

Bảng tổng kết trung thực, bởi vì phần còn lại của hướng dẫn này chỉ đáng đọc nếu có cả phần này trong đó.

• Nó không che giấu việc bạn đang gửi lưu lượng đã mã hóa tới đâu đó. Nhà vận hành mạng vẫn nhìn thấy một luồng dữ liệu tới một địa chỉ nước ngoài, khối lượng của nó, thời điểm của nó và nó kéo dài bao lâu. Reality khiến luồng đó trông như một lượt truy cập bình thường tới một trang web bình thường; nó không khiến luồng đó biến mất.
• Nó không đánh bại được phân tích lưu lượng. Các luồng dữ liệu khối lượng lớn kéo dài liên tục với một kiểu mẫu ngày/đêm đặc trưng vẫn cứ đặc trưng như vậy. Trước một đối thủ sẵn sàng bỏ ra nguồn lực thật để làm tương quan dữ liệu thay vì chỉ so khớp mẫu, ngụy trang payload là công cụ sai, và Tor cùng một pluggable transport là câu trả lời đã được nghiên cứu kỹ hơn.
• Nó không bảo vệ các đầu cuối. Một thiết bị bị xâm phạm, một tài khoản đã đăng nhập, việc nhận dạng dấu hiệu trình duyệt, và mọi thứ bạn gõ ở phía bên kia đều không hề được động chạm tới bởi bất cứ điều gì trong số này.
• Nó không khiến máy chủ trở nên ẩn danh. Nhà cung cấp biết địa chỉ nào là của bạn, và việc đăng ký không cần KYC chỉ giới hạn những gì có thể biết được chứ không loại bỏ hoàn toàn nó. Chúng tôi đã trình bày chính xác điều gì có thể nhìn thấy được và điều gì không trong bài một VPS trả bằng crypto có thực sự ẩn danh hay không, và điều đó đáng để bạn dành mười phút trước khi dựa vào các giả định.
• Nó không phải là vĩnh viễn. Đây là một cuộc chạy đua vũ trang có chu kỳ phát hành riêng. Một cấu hình hoạt động tốt hôm nay có thể cần được thay thế trong vòng một năm, đó chính là lý do thực sự để có một thiết lập bạn tự kiểm soát và có thể thay đổi trong mười phút, thay vì một gói thuê bao mà bạn chỉ có thể hủy.

Điều mà nó thực sự làm được, một cách đáng tin cậy, là nâng cái giá của việc chặn bạn từ mức “một phép so khớp byte ở tốc độ đường truyền” lên thành “một quyết định phải phá vỡ rất nhiều lưu lượng bình thường khác”. Trong thực tế, đó thường là toàn bộ cuộc chơi.

Giao thức quyết định gói tin có lọt qua được hay không. Mọi thứ khác quyết định đường hầm có tiếp tục tồn tại hay không đều được quyết định ngoài đường truyền.

Pháp lý quyết định ai có thể ép buộc điều gì. Dấu chân của chúng tôi trải khắp tám địa điểm: Hà Lan, Pháp, Romania, Bulgaria, Thụy Điển, Iceland, Thụy Sĩ và Malaysia; một yêu cầu có sức nặng ở nơi này có thể vô nghĩa ở nơi khác, và không một thông báo gỡ bỏ nội dung kiểu Mỹ nào có hiệu lực ở bất kỳ nơi nào trong số đó. Đó là chính sách vận hành được nói ra một cách trung thực, không phải là sự miễn trừ pháp lý — lệnh tòa án địa phương vẫn có hiệu lực, và có một giới hạn cứng về lạm dụng mà chúng tôi không hề dịch chuyển. Hosting offshore giải thích rõ sự khác biệt này.

Tài khoản là phần mà người ta hay đánh giá thấp. Một đường hầm chỉ riêng tư đúng bằng mức riêng tư của hồ sơ về việc ai đã thuê nó. Đăng ký ở đây chỉ cần một địa chỉ email để gửi thông tin đăng nhập và không gì khác — không giấy tờ tùy thân, không thẻ, không địa chỉ, không số điện thoại. Không có tệp xác minh nào phải nộp, bởi vì chúng tôi chưa từng thu thập tệp nào như vậy.

Khoản thanh toán là nửa còn lại của câu chuyện đó. Một chiếc thẻ gắn kết một máy chủ với một hồ sơ ngân hàng và một tên pháp lý trong một cơ sở dữ liệu mà không ai trong hai chúng ta kiểm soát. Thanh toán ở đây được xử lý on-chain, và Monero được đối xử như công dân hạng nhất chứ không phải một ý nghĩ thêm vào sau cùng: hướng dẫn thanh toán VPS bằng XMR của chúng tôi đi qua toàn bộ quy trình, còn mua mà không cần thẻ tín dụng nói về cách bắt đầu từ con số 0 crypto. Triển khai mất khoảng sáu mươi giây sau khi xác nhận, nên một địa chỉ thay thế chỉ cách bạn vài phút, nếu bạn từng cần đến nó.

Gộp lại, đó là hình hài của một đường hầm có thể tồn tại lâu dài: một giao thức mà bộ lọc không thể so khớp một cách rẻ tiền, một địa chỉ chưa ai từng đốt, một khu vực pháp lý nằm ngoài tầm với của bộ lọc, và một tài khoản chưa từng nắm giữ bất cứ thứ gì đáng để đòi hỏi. Nếu bạn muốn bắt đầu với phiên bản trần trụi của cùng một đường hầm này trước, hướng dẫn thiết lập WireGuard chỉ mất mười phút và là một nơi tốt để bắt đầu — hãy quay lại đây khi có gì đó ngừng kết nối.