Обход блокировки OpenVPN в Египте

Во время поездки в отпуск в Египет я приобрел сим карту местного оператора и решил посмотреть как быстро будет (по сравнению с традиционно медленным wifi отеля) работать интернет включая подключение к нашей внутренней инфраструктуре.

Поскольку власти Египта используют DPI для блокирования VPN стандартный OpenVPN не работает, так как блокируются авторизационные пакеты как по tcp, так и по UDP.

Для подключения к VPN мы используем OpenVPN работающий поверх UDP и в некоторых случаях TCP. Конфигурация практически одинаковая, за исключением диапазонов IP адресов.

Поскольку OpenVPN является основным транспортом для меня я не смотрел на другие VPN решения.

Настройки для тестирования

Для тестирования скорости был использован iperf со стандартными настройками. Под debian и ubuntu он устанавливается пакетом iperf

#Установка sudo apt install iperf  #Запуск iperf -s 

Модификации конфигурации openvpn конфига для клиента

Для соединений без SOCKS5 были изменены следующие параметры:

;3444 - порт на котором находится выход туннеля remote 127.0.0.1 3443 tcp ; VPN_SERVER - адрес VPN сервера, так что трафик на него будет идти напрямую route VPN_SERVER_IP 255.255.255.255 net_gateway

Для соединений с SOCKS5 были изменены следующие строки:

socks-proxy-retry ; 10194 - порт на котором socks сервер слушает соединения socks-proxy 127.0.0.1 10194 ; VPN_SERVER - адрес VPN сервера, так что трафик на него будет идти напрямую route VPN_SERVER_IP 255.255.255.255 net_gateway 

Софт для обхода блокировок

Были рассмотрены следующие пакеты сокрытия openvpn:

• ssh tunnel

• obfsproxy

• stunnel

• shadowsocks

SSH Tunnel

Является самым простым методом и работает по принципу заворачивания траффика в через SSH

ssh -L 1443:127.0.0.1:1443 VPN_SERVER

obfsproxy

Является частью TOR project, работает как SOCKS5 прокси и обфусцирует все пакеты внутри.

Установка требует python 2.X ветки, так как пакет не обновлен еще.

pip install obfsproxy

На сервере необходимо запустить серверную часть:

obfsproxy --log-file=obfsproxy.log --log-min-severity=info obfs2 --dest=127.0.0.1:1443 --shared-secret=SOMESHAREDSECRET123 server 0.0.0.0:21194

А на клиенте часть к которой будет подключаться OpenVPN

obfsproxy --log-file=obfsproxy.log --log-min-severity=info obfs2 --shared-secret= SOMESHAREDSECRET123 socks 127.0.0.1:10194

stunnel

Инструмент общего назначения предназначенный для заворота любого вида траффика в SSL туннель, поддерживает множественные эндпоинты.

Для установки под debian и ubuntu надо установить пакет stunnel:

sudo apt install stunnel4

На сервере необходимо создать файл конфигурации stunnel.conf в директории /etc/stunnel4/ cсо следующим содержимым:

pid = /var/run/stunnel4/stunnel.pid output = /var/log/stunnel4/stunnel.log setuid = stunnel4 setgid = stunnel4  socket = l:TCP_NODELAY=1 socket = r:TCP_NODELAY=1 options = NO_SSLv2 options = SINGLE_ECDH_USE options = SINGLE_DH_USE  [openvpn] cert=/etc/letsencrypt/live/vpn.example.com/fullchain.pem key=/etc/letsencrypt/live/vpn.example.com/privkey.pem accept = 0.0.0.0:3443  connect = 127.0.0.1:1443

Сертификаты могут быть как самоподписанные так и от letsencrypt

На клиенте надо создать файл клиента со следующим содержимым:

socket = l:TCP_NODELAY=1 socket = r:TCP_NODELAY=1 options = NO_SSLv2 options = SINGLE_ECDH_USE options = SINGLE_DH_USE  [openvpn] sni = nothing.interesting.here.example.com client = yes accept = 127.0.0.1:3443 connect = VPN_SERVER_IP:3443 

shadowsocks

Для установки необходимо поставить пакет shadowsocks-libev

sudo apt install shadowsocks-libev

Конфигурационный файл /etc/shadowsocks-libev/config.json для сервера надо привести к следующему виду:

{     "server":["0.0.0.0"],     "mode":"tcp_only",     "server_port":7433,     "local_port":8043,     "password":"SOME_BIG_RANDOM_PASSWORD",     "timeout":60,     "method":"chacha20-ietf-poly1305" }

Для клиента я на MacOS использовал ShadowsocksX-NG

Результаты тестирования

Для тестирования iperf был размещен на том-же сервере что и OpenVPN.

Наилучшие результаты показали stunnel и shadowsocks.

Выбор метода зависит от ситуации и, возможно, в других условиях могут отличаться результаты.

Данное исследование было проведено исключительно из-за необходимости иметь доступ к инфраструктуре.