NaiveProxy en tu VPS: Evita DPI con Chromium

Para desplegar NaiveProxy en tu servidor y evadir el DPI que analiza las huellas TLS, necesitas un VPS con Ubuntu 22.04 LTS o similar, y el servidor web Caddy con el módulo forwardproxy.

En un mundo donde los sistemas de inspección profunda de paquetes (DPI) son cada vez más sofisticados, los métodos estándar para eludir bloqueos a menudo resultan ineficaces. Los protocolos que solo enmascaran el contenido del tráfico, pero dejan "huellas" notables a nivel del handshake TLS, son fácilmente detectados y bloqueados. Es aquí donde NaiveProxy entra en escena: una solución innovadora diseñada para combatir los sistemas DPI más avanzados.

¿Qué es NaiveProxy y cómo evade el DPI?

NaiveProxy es un protocolo proxy que utiliza un enfoque único para evadir bloqueos: imita la huella de red de un navegador Google Chrome común. A diferencia de la mayoría de los otros protocolos que se centran en el cifrado y la ofuscación de datos, NaiveProxy va más allá. No solo enmascara el contenido del tráfico, sino que copia todo el stack de red de Chromium, incluyendo parámetros específicos del handshake TLS, encabezados HTTP/2 e incluso los retrasos temporales característicos de un navegador real.

Imitación del stack de red de Chromium: la clave para pasar desapercibido

La idea principal de NaiveProxy es que, para el DPI, se ve como un navegador común solicitando un recurso web legítimo. Los sistemas DPI que analizan las huellas TLS (por ejemplo, utilizando la biblioteca JA3 o métodos similares) ven en el tráfico de NaiveProxy algo indistinguible de la navegación web normal a través de Chrome. Esto se logra mediante varias características clave:

• Huella TLS: NaiveProxy reproduce con precisión el TLS Client Hello que envía el navegador Chrome. Esto incluye el orden de los cifrados, las extensiones TLS y sus parámetros, así como otros detalles que forman una "huella" única.
• Encabezados HTTP/2: El protocolo utiliza HTTP/2 y forma los encabezados de tal manera que coinciden completamente con los generados por Chrome.
• Comportamiento realista: NaiveProxy imita el comportamiento del navegador al establecer una conexión, incluyendo retrasos y manejo de errores, lo que lo hace aún más convincente para los sistemas de análisis de tráfico.

Esta es una diferencia fundamental con respecto a los protocolos que, aunque cifran datos, pueden tener huellas TLS únicas que los delatan como conexiones proxy. Para los sistemas DPI avanzados, estas huellas "extrañas" son una señal de alerta que lleva al bloqueo. NaiveProxy, en cambio, se mezcla con la masa del tráfico web normal, volviéndose prácticamente invisible.

¿Por qué NaiveProxy es mejor que otros protocolos para DPI estricto?

La elección del protocolo para evadir el DPI depende de las condiciones específicas del bloqueo. Si bien muchas soluciones modernas ofrecen alto rendimiento y protección, NaiveProxy se destaca por su especialización en eludir sistemas que analizan los metadatos de la conexión, y no solo su contenido.

NaiveProxy vs. Trojan, Shadowsocks y otros protocolos

Consideremos cómo NaiveProxy se diferencia de protocolos populares como Trojan, Shadowsocks o incluso Hysteria2, en el contexto de un DPI estricto:

• Shadowsocks: Desarrollado inicialmente para un cifrado y ofuscación simples. Aunque existen plugins (por ejemplo, v2ray-plugin) que intentan imitar TLS, el Shadowsocks básico tiene su propia huella reconocible y puede ser detectado fácilmente por sistemas que analizan activamente los handshakes TLS.
• Trojan: Un protocolo que se disfraza como tráfico HTTPS normal, utilizando TLS estándar. Esto lo hace resistente a un DPI básico. Sin embargo, si el sistema DPI realiza un análisis profundo de las huellas TLS (por ejemplo, JA3, JA4), aún puede identificar a Trojan como un cliente TLS no-navegador, ya que su huella TLS no es idéntica a la de un navegador real.
• Hysteria2: Un protocolo de alto rendimiento basado en QUIC, diseñado para evadir el shaping de UDP y asegurar un funcionamiento estable en condiciones de alta pérdida. También utiliza TLS, pero su principal ventaja es la velocidad y la resistencia a redes inestables, no la imitación de una huella de navegador. Para un DPI que analiza huellas TLS, Hysteria2, al igual que Trojan, puede ser reconocido como un cliente no-navegador.
• NaiveProxy: Imita deliberadamente no solo TLS, sino todo el stack de red de Chromium. Esto significa que para un DPI que busca anomalías en las huellas TLS, NaiveProxy se ve exactamente igual que un Google Chrome común. Esta es su principal y única ventaja en la lucha contra los sistemas DPI más avanzados que utilizan tales métodos de análisis. Si deseas saber más sobre cómo saber si el DPI está bloqueando tu VPS, consulta nuestro artículo.

Por lo tanto, si te enfrentas a bloqueos que, aparentemente, se basan en el análisis de huellas TLS y metadatos de conexión, y no solo en el contenido o la dirección IP, NaiveProxy puede ser la solución más efectiva. No solo oculta tu actividad, sino que la hace indistinguible de la más común y legítima: la navegación web a través de Chrome.

Preparación del VPS para NaiveProxy

Para una configuración exitosa de NaiveProxy, necesitarás un VPS fiable. La elección de la configuración correcta del servidor y su preparación inicial es una etapa clave.

Elección del VPS óptimo para NaiveProxy

Al elegir un VPS para NaiveProxy, es importante considerar varios factores:

• Ubicación: Elige un VPS en países con mínimas restricciones de tráfico de internet y buena conectividad con tu ubicación. Esto asegurará baja latencia y alta velocidad.
• Sistema operativo: Se recomienda utilizar distribuciones de Linux, como Ubuntu Server (20.04 LTS o 22.04 LTS), Debian (11 o 12) o CentOS Stream 9. Estos sistemas están bien documentados, son estables y tienen un amplio soporte de paquetes.
• Recursos: NaiveProxy no es un protocolo que consuma muchos recursos por sí mismo, pero el servidor web Caddy, que se utilizará, requiere ciertos recursos.

Para 5-10 usuarios simultáneos, son suficientes 2 vCPU, 2 GB de RAM y un disco NVMe de 40 GB.

Configuración inicial del servidor y el dominio

Antes de instalar NaiveProxy y Caddy, es necesario realizar la configuración básica del VPS:

1. Actualización del sistema: Siempre comienza actualizando la base de paquetes y los paquetes instalados.

   sudo apt update && sudo apt upgrade -y

2. Configuración del dominio: Para que NaiveProxy funcione con Caddy, necesitarás un nombre de dominio. Registra un dominio (por ejemplo, yourdomain.com) y configura un registro A que apunte a la dirección IP de tu VPS. Esto es crucial, ya que Caddy emite automáticamente certificados TLS con Let's Encrypt, y para ello se necesita un dominio activo.
3. Configuración del firewall (UFW): Se recomienda configurar el firewall para mejorar la seguridad. Permite SSH (puerto 22), HTTP (puerto 80) y HTTPS (puerto 443).

   sudo ufw allow ssh
   sudo ufw allow http
   sudo ufw allow https
   sudo ufw enable

Elección rápida

¿Buscas un servidor que simplemente funcione?

Valebyte VPS: NVMe, soporte 24/7, despliegue en 60 segundos.

Ver planes VPS

Instalación de Caddy con forwardproxy para NaiveProxy

Caddy es un potente servidor web con configuración HTTPS automática, ideal para la configuración de NaiveProxy gracias a su simplicidad y arquitectura modular. Necesitaremos instalar Caddy junto con el módulo forwardproxy.

Instalación de Caddy en Ubuntu/Debian

Caddy se puede instalar desde el repositorio oficial. Ejecuta los siguientes comandos:

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

Después de la instalación, Caddy se iniciará como un servicio del sistema.

Compilación de Caddy con el módulo forwardproxy (si el paquete estándar no lo incluye)

En algunos casos, el paquete estándar de Caddy puede no incluir el módulo forwardproxy. En este caso, deberá compilarse manualmente. Este es un proceso más complejo, pero ofrece un control total sobre los módulos. Para la mayoría de los usuarios, sin embargo, bastará con instalar Caddy desde el repositorio y verificar la presencia del módulo.

Para verificar si el módulo forwardproxy está en tu instalación de Caddy, ejecuta:

caddy list-modules | grep forwardproxy

Si el comando no devuelve nada, necesitarás compilar Caddy. La forma más sencilla de hacerlo es con xcaddy:

sudo apt install -y build-essential libnss3-dev
go install github.com/caddyserver/xcaddy/cmd/xcaddy@latest
~/go/bin/xcaddy build --with github.com/caddyserver/forwardproxy@caddy_v2

Luego, reemplaza el binario estándar de Caddy con el compilado:

sudo systemctl stop caddy
sudo cp caddy /usr/bin/caddy
sudo systemctl start caddy

Ahora Caddy está listo para funcionar con NaiveProxy.

Configuración de NaiveProxy en el servidor: creación de usuarios

La configuración principal de NaiveProxy se realiza a través del Caddyfile. Aquí definiremos el dominio, el puerto y las credenciales de usuario.

Configuración del Caddyfile para NaiveProxy

Abre el archivo de configuración de Caddy: sudo nano /etc/caddy/Caddyfile y reemplaza su contenido con lo siguiente:

yourdomain.com {
    tls [email protected]
    route {
        forward_proxy {
            basic_auth {
                user1 your_password1
                user2 your_password2
                # Agrega más usuarios según sea necesario
            }
            hide_ip
            hide_via
            probe_resistance
        }
        reverse_proxy https://www.google.com {
            header_up Host {upstream_host}
            header_up X-Forwarded-Host {host}
        }
    }
}

Explicación del Caddyfile:

• yourdomain.com: Reemplaza con tu nombre de dominio.
• tls [email protected]: Caddy obtendrá automáticamente un certificado SSL/TLS de Let's Encrypt para tu dominio. Especifica un correo electrónico real para las notificaciones.
• basic_auth: Aquí defines pares usuario contraseña para tus usuarios. Cada usuario debe estar en una línea separada.
• hide_ip: Oculta la dirección IP del cliente al servidor final.
• hide_via: Elimina el encabezado Via, que puede delatar al proxy.
• probe_resistance: Agrega resistencia al sondeo (probe) por parte del DPI. Si alguien intenta conectarse a tu dominio sin las credenciales correctas de NaiveProxy, Caddy se verá como un servidor web normal que sirve www.google.com.
• reverse_proxy https://www.google.com: Esto es una "maniobra de distracción". Si la solicitud no coincide con NaiveProxy, Caddy la redirigirá a Google para que parezca un servidor web normal. Puedes reemplazar https://www.google.com por cualquier otro sitio legítimo.

Aplicación de cambios y verificación del estado

Después de guardar el Caddyfile, es necesario verificar su sintaxis y reiniciar Caddy:

sudo caddy validate --config /etc/caddy/Caddyfile
sudo systemctl reload caddy
sudo systemctl status caddy

Asegúrate de que el servicio Caddy esté iniciado y funcionando sin errores. Si surgen problemas, revisa los logs: sudo journalctl -u caddy --no-pager.

Tu servidor NaiveProxy ahora está configurado y listo para aceptar conexiones.

Cliente NaiveProxy: instalación y conexión en escritorio y dispositivos móviles

Después de configurar el servidor NaiveProxy, el siguiente paso es la configuración de los dispositivos cliente. NaiveProxy funciona como un proxy HTTP/2 normal con TLS, por lo que para su uso se pueden emplear tanto clientes especializados como la configuración de proxy estándar del sistema.

Configuración del cliente en escritorio (Windows, macOS, Linux)

Para sistemas operativos de escritorio, existen varias formas de conectarse a NaiveProxy.

A través del navegador Chromium (el método más sencillo)

La forma más natural de usar NaiveProxy es a través de navegadores basados en el motor Chromium (Google Chrome, Microsoft Edge, Brave, etc.). Necesitarás una extensión para gestionar el proxy, por ejemplo, "SwitchyOmega" o "Proxy Helper".

1. Instala la extensión: Busca "SwitchyOmega" o una similar en la tienda de extensiones de tu navegador e instálala.
2. Configura un nuevo perfil de proxy:
   • En la configuración de la extensión, crea un nuevo perfil (por ejemplo, "NaiveProxy").
   • Tipo de protocolo: HTTPS (o HTTP, algunos clientes NaiveProxy usan HTTP, pero Caddy siempre lo procesa como HTTPS gracias a la directiva tls).
   • Servidor: Especifica tu dominio (por ejemplo, yourdomain.com).
   • Puerto: Normalmente 443 (puerto HTTPS estándar).
   • Habilita la opción "Do not prompt for authentication" o "Always authenticate" e introduce el usuario y la contraseña que configuraste en el Caddyfile (por ejemplo, user1 y your_password1).
3. Activa el perfil: Selecciona el perfil "NaiveProxy" creado en la extensión para empezar a usar el proxy.

Clientes especializados

También existen clientes especializados de NaiveProxy que pueden proporcionar proxy a nivel de sistema o una configuración más detallada. Por ejemplo, para Windows se puede usar el cliente incluido en V2RayN o Clash for Windows, donde NaiveProxy es compatible como uno de los protocolos. En estos casos, se especifica el tipo de protocolo naive, la dirección del servidor, el puerto, el usuario y la contraseña.

Configuración del cliente en dispositivos móviles (Android, iOS)

En plataformas móviles, el uso de NaiveProxy también es posible, aunque puede requerir la instalación de aplicaciones de terceros.

Android

Para Android, se recomienda usar aplicaciones cliente que soporten NaiveProxy, como V2RayNG, Clash for Android o NekoBox. Estas aplicaciones permiten una configuración flexible de las conexiones proxy.

1. Instala la aplicación: Por ejemplo, V2RayNG desde Google Play Store.
2. Agrega la configuración de NaiveProxy:
   • En la aplicación, pulsa el "más" para añadir un nuevo perfil.
   • Selecciona el tipo de protocolo "NaiveProxy".
   • Introduce el dominio de tu servidor, el puerto (443), el usuario y la contraseña.
   • Guarda la configuración.
3. Activa la conexión: Selecciona el perfil creado y activa la conexión VPN en la aplicación.

Las aplicaciones tipo V2RayNG crean una conexión VPN local que dirige todo el tráfico a través de NaiveProxy. Si buscas otras soluciones, Hysteria2 en un VPS también es una excelente opción para evadir el DPI.

iOS

En iOS también están disponibles clientes que soportan NaiveProxy, como Shadowrocket, Quantumult X o Stash. El principio de configuración es similar al de Android:

1. Instala la aplicación: Por ejemplo, Shadowrocket desde la App Store.
2. Agrega la configuración de NaiveProxy:
   • En la aplicación, ve a la sección "Configuration" o "Servers".
   • Agrega un nuevo servidor, selecciona el tipo "NaiveProxy".
   • Especifica el dominio del servidor, el puerto (443), el usuario y la contraseña.
   • Guarda.
3. Activa la conexión: Selecciona el servidor creado y activa el proxy.

Es importante asegurarse de que el cliente NaiveProxy utilizado en el dispositivo móvil también imite el stack de red de Chromium para una máxima eficacia contra el DPI.

Elección rápida

¿Buscas un servidor que simplemente funcione?

Valebyte VPS: NVMe, soporte 24/7, despliegue en 60 segundos.

Ver planes VPS

¿Cuándo es NaiveProxy tu mejor opción?

NaiveProxy no es una solución universal para todos los escenarios de evasión de bloqueos, pero en ciertas condiciones se desempeña de la mejor manera, superando a muchos otros protocolos.

Escenarios con DPI estricto y análisis de huellas TLS

La principal ventaja de NaiveProxy se manifiesta donde los sistemas DPI analizan activamente no solo el contenido del tráfico, sino también sus metadatos, en particular, las huellas TLS. Si te encuentras con los siguientes signos, NaiveProxy puede ser tu salvación:

• Bloqueo de protocolos VPN/proxy populares: Si WireGuard, OpenVPN, Shadowsocks, Trojan, V2Ray o Hysteria2 se bloquean rápidamente, incluso usando ofuscación. Esto puede indicar que el DPI los identifica por sus huellas TLS únicas u otros patrones de comportamiento que difieren del tráfico de navegador normal. Nuestro artículo sobre Zapret en VPS y router también aborda problemas similares.
• Bloqueo después de un tiempo: Si tu servidor funciona durante un tiempo y luego se bloquea, esto puede ser el resultado de un análisis de comportamiento, donde el DPI acumula datos y determina que el tráfico no es de navegador.
• Imposibilidad de establecer una conexión TLS: Si los clientes no pueden establecer un handshake TLS con tu servidor, incluso si los puertos están abiertos, esto puede ser un signo de interferencia activa del DPI en el proceso de certificación TLS.
• DPI que utiliza aprendizaje automático: Los sistemas DPI modernos pueden usar aprendizaje automático para detectar anomalías en el tráfico. La imitación del stack de red de Chromium hace que el tráfico de NaiveProxy sea "normal" para estos sistemas.

En tales condiciones, cuando el DPI es "inteligente" y capaz de distinguir diferentes tipos de tráfico TLS, NaiveProxy se convierte en uno de los pocos protocolos capaces de evadir eficazmente dichos bloqueos, ya que literalmente "se hace pasar" por un navegador común. Esto es especialmente relevante para regiones con las restricciones de internet más estrictas, donde se utilizan sistemas DPI gubernamentales, como el "Escudo Dorado" o sus análogos.

Desventajas de NaiveProxy: una mirada honesta

A pesar de sus ventajas únicas para evadir el DPI avanzado, NaiveProxy también tiene sus limitaciones, las cuales son importantes considerar al elegir un protocolo.

Limitaciones y problemas potenciales

1. Menos clientes y ecosistema: En comparación con protocolos como Shadowsocks, V2Ray o WireGuard, el ecosistema de NaiveProxy es significativamente menor. Esto significa que la selección de aplicaciones cliente puede ser limitada y el soporte puede ser menos amplio. Encontrar clientes listos y convenientes para todas las plataformas puede ser más difícil.
2. Actualización y soporte más complejos: Dado que NaiveProxy a menudo requiere la compilación de Caddy con un módulo específico, el proceso de actualización del servidor puede ser más complejo que un simple apt upgrade. Esto requiere más conocimientos técnicos y tiempo para mantener el servidor actualizado.
3. Potencialmente menor velocidad con pérdidas: NaiveProxy se basa en HTTP/2 sobre TCP. En condiciones de red inestable con un alto nivel de pérdida de paquetes, el rendimiento de TCP puede disminuir significativamente. Los protocolos basados en QUIC (por ejemplo, Hysteria2), que funcionan sobre UDP y tienen sus propios mecanismos de recuperación de pérdidas, a menudo muestran un mejor rendimiento en tales condiciones. Para un rendimiento máximo en redes inestables, considera Hysteria2 con port hopping.
4. Dependencia de Caddy: NaiveProxy está estrechamente integrado con Caddy. Esto significa que dependes de las actualizaciones y la estabilidad de Caddy y su módulo forwardproxy. Cualquier cambio en Caddy puede requerir ajustes en tu configuración de NaiveProxy.
5. Mayores requisitos de recursos: Aunque NaiveProxy en sí no consume muchos recursos, Caddy, especialmente con cifrado TLS y procesamiento HTTP/2, puede consumir un poco más de RAM y CPU en comparación con los servidores proxy minimalistas. Para VPS pequeños con 512 MB de RAM, esto puede ser notable.
6. Riesgos potenciales de identificación en el futuro: Aunque NaiveProxy es muy eficaz ahora, los sistemas DPI están en constante evolución. Si el DPI comienza a analizar otros patrones de comportamiento, además de las huellas TLS (por ejemplo, secuencias específicas de solicitudes o su frecuencia), que incluso NaiveProxy no puede imitar completamente, su eficacia podría disminuir.

Así, NaiveProxy es una herramienta potente para tareas específicas, pero su implementación requiere un enfoque consciente en la gestión y la comprensión de sus compromisos.

Preguntas frecuentes

¿Se puede usar NaiveProxy sin un dominio?

No, NaiveProxy requiere un nombre de dominio válido. Esto se debe a que el protocolo utiliza HTTPS y Caddy obtiene automáticamente certificados TLS de Let's Encrypt, para lo cual es necesario un dominio que apunte a la dirección IP de tu VPS. Sin un dominio, Caddy no podrá obtener el certificado y NaiveProxy no funcionará correctamente.

¿Qué tan seguro es NaiveProxy?

NaiveProxy utiliza cifrado TLS estándar, lo que lo hace seguro desde el punto de vista de la confidencialidad de los datos. La principal "seguridad" de NaiveProxy radica en su capacidad para disfrazarse como tráfico de navegador normal, evadiendo el DPI. Sin embargo, como cualquier proxy, no proporciona anonimato total, y tu dirección IP sigue siendo conocida por el proveedor del VPS.

¿Afecta NaiveProxy la velocidad de internet?

Como cualquier protocolo proxy, NaiveProxy puede afectar la velocidad de internet. El rendimiento depende del ancho de banda de tu VPS, la distancia al servidor y la calidad de la conexión de red. En condiciones de red estable, NaiveProxy proporciona buena velocidad, pero con altas pérdidas de paquetes (más del 5-10%), su base TCP puede llevar a una disminución notable de la velocidad en comparación con los protocolos QUIC, como Hysteria2.

¿Puedo usar NaiveProxy en un router doméstico?

Teóricamente sí, pero es más complejo que en un VPS. Para funcionar en un router (por ejemplo, con OpenWrt) necesitarás instalar Caddy con el módulo forwardproxy, lo que a menudo requiere compilarlo para la arquitectura del router y tener suficientes recursos (RAM, CPU, almacenamiento). Es más sencillo configurar NaiveProxy en un VPS y luego usarlo para toda la red a través de un cliente en el router que admita conexiones proxy. Para evadir el DPI en el router, puedes considerar Zapret en routers Keenetic y OpenWrt.

Elección rápida

¿Buscas un servidor que simplemente funcione?

Valebyte VPS: NVMe, soporte 24/7, despliegue en 60 segundos.

Ver planes VPS

Conclusiones

NaiveProxy representa una solución potente y eficaz para evadir los sistemas DPI más avanzados, especialmente aquellos que analizan activamente las huellas TLS y los metadatos del tráfico. Su capacidad única para imitar el stack de red de Chromium lo hace prácticamente indistinguible del tráfico de navegador normal, asegurando un acceso fiable a recursos bloqueados. Aunque NaiveProxy tiene sus desventajas, como un menor número de clientes y una velocidad potencialmente más baja en condiciones de pérdida, sus ventajas en la lucha contra bloqueos estrictos lo convierten en una herramienta indispensable para usuarios técnicamente avanzados, dispuestos a configurarlo por sí mismos en su VPS.

SSD NVMe

¿Listo para lanzar tu VPS?

VPS NVMe con activación en 60 segundos: acceso root completo, más de 20 ubicaciones, pago con tarjeta o cripto.

Elegir plan