مشاهدات جدید در مورد فیلترینگ + یک سوال

[lostsoul6]

درود وقت بخیر @radkesvat

مهندس جان چیزی که اخیرا توی سرورهای مختلفی که دارم دیدم ، این هست که فیلترینگ داره دقیقا سرورهای v2ray رو شناسایی میکنه . حتی تقریبا مطمئن هستم با همکاری ایرانسل و همراه اول این مورد داره انجام میشه . قبلا تصورم این بود که مشکل از تانل ها هست ولی همه مدل تانلی رو دارن میزنن . به نظر میرسه سیستمشون به این صورت هست که ابتدا میان آی پی هایی که ترافیک بالا داره رو شناسایی میکنن و سپس اون آی پی ها رو با ابزارهایی که دارن بررسی میکنن ، اگر روی اونا ویتوری رو شناسایی کنن ، سرور ایران اکسس میشه .

ما سرورهای غیر ویتوری داریم با ترافیک های بیشتر که به مشکل نخوردن . دارن سرورهای ویتوری رو شناسایی میکنن .

حالا سوالم این هست که چطور دارن این کار رو انجام میدن و چی کار کنیم که سرور detect نشه ؟

من الان مثلا تانل reality شما رو استفاده کردم و ایران اکسس شدم . روی سرور ایران فقط waterwall بود و پنل x-ui روی سرور خارج بود . کانفیگم هم vless + tcp + header بود .

به نظر شما چی کار باید کرد که شناسایی نشه ویتوری یا دیر تر بشه ؟ روی سرور ایران مثلا سایت فیک بالا بیاریم تاثیر داره ؟ روی سرور خارج nginx و فالبک بزنیم موثر هست؟ کانفیگ هایی که به کاربر میدیم چی باشه ؟ آیا اگر vless + tls + tcp + header باشه اوکیه ؟ کلا پیشنهاد میکنید چه ترکیب کانفیگی و چه پورتی به کاربر بدیم ؟ روی سرورهای ایران و خارجمون چی کار کنیم که ویتوری شناسایی نشه ؟ یادم هست شما فرمودید سرورهایی که کانفیگ خودتون هست ایران اکسس نشدن . اگر راه ارتباطی بدید حاضریم هزینه بدیم و سرورهای ما هم شما کانفیگ کنید . اگرم مقدور نیست ارتباط با شما ، لطفا راهنمایی کنید که چه کارهایی انجام بدیم ویتوری ما لو نره .

تشکر از شما

[Edizam]

آقای رادکسوت حتما جواب دقیق تری میدن. ولی به نظرم تو فایروال سرور خارج فقط آیپی سرور ایران باز بزار تا بقیه درخواست ها دراپ بشه تا اسکنر فیلترچی از سرور خارجت نتونه اطلاعات زیادی به دست بیاره.

[lostsoul6]

@Edizam

اینکه ببینه ترافیک زیادی داره بهش میره ولی خود ربات فیلترینگ نتونه بهش وصل بشه ، مشکوک نیست؟

[Edizam]

به نظرم به احتمال خیلی زیاد پروسه ایران اکسس و بلاک کردن آیپی، اتوماتیک انجام میشه و سناریوهای پیش فرض رو دنبال می کنه و اون تنظیم توی فایروال توی سناریوهاشون نیست. من چون شخصی استفاده می کنم، تجربه ترافیک زیاد رو ندارم.

البته همونطور که گفتی به نظر من هم اگه بشه یه جوری ترافیک واتروال رو از nginx رد کرد و برای کانکشن های دیگه یه سایت نشون داد تو ناشناس موندن سرور خیلی کمک می کنه. یه کانفیگی شبیه این مثلا:

http {
    server {
        listen 443;
        server_name example.com;

        location /Waterwall {
            grpc_pass grpc://backend:50051;
        }
    }
}

یا خود واتروال ترافیک هایی که با معیارهای خودش نامعتبر هست رو بده به یه سرویس دیگه(مثلا nginx) و جواب اون سرویس رو برگردونه.

---

ویرایش 2024/16/7 با توجه به اطلاعات این صفحه مثل اینکه یه سری کانفیگ ها رو میشه با fallback به nginx انجام داد. البته من خودم داکیومنت نخوندم و تست نکردم HTTPS:443 Trojan-TCP-TLS Trojan-WS-TLS Trojan-gRPC-TLS Trojan-H2-TLS Vless-TCP-XTLS(flow: xtls-rprx-vision) Vless-TCP-TLS Vless-WS-TLS Vless-gRPC-TLS Vless-H2-TLS VMESS-TCP-TLS VMESS-WS-TLS VMESS-gRPC-TLS VMESS-H2-TLS ShadowSocks-TCP-TLS ShadowSocks-WS-TLS ShadowSocks-gRPC ShadowSocks-H2-TLS

[lostsoul6]

باید ببینیم نظر مهندس @radkesvat چی هست .

به نظر من اینا دقیقا سروری که کانفیگ ویتوری داره رو دارن شناسایی و مسدود میکنن چون پروتکل سیسکو و openvpn با ترافیک های دو سه برابر هم نمیخورن . فقط دیتکشن روی ویتوری هست .

نمیدونم پیچیده ترین کانفیگی که میشه داد به کاربر چی هست . میگن vless + tls + tcp اوکیه رو پورت 443 باشه .

خود سرور هم به نظرم باید تغییراتی بدیم که ربات فیلترینگ نفهمه این سرویس ویتوری روشه . باید ویتوری رو مخفی کنیم . حالا x-ui که روی خارج هست میشه میشه nginx هم اوکی کرد براش اما خود سرور ایران هیچی جز واتروال نداره . ایرانو نمیدونم چطوری باید ایمن کرد .