NaiveProxy на своём сервере: обход DPI на движке Chromium

Для развертывания NaiveProxy на своём сервере и обхода DPI, анализирующего TLS-отпечатки, вам понадобится VPS с ОС Ubuntu 22.04 LTS или аналогичной, а также установка веб-сервера Caddy с модулем forwardproxy, который обрабатывает запросы протокола.

В мире, где системы глубокой инспекции пакетов (DPI) становятся всё изощрённее, стандартные методы обхода блокировок часто оказываются неэффективными. Протоколы, которые маскируют только содержимое трафика, но оставляют заметные "отпечатки" на уровне TLS-рукопожатия, легко обнаруживаются и блокируются. Именно здесь на сцену выходит NaiveProxy – инновационное решение, разработанное для борьбы с самыми продвинутыми системами DPI.

Что такое NaiveProxy и как он обходит DPI?

NaiveProxy — это прокси-протокол, который использует уникальный подход к обходу блокировок: он имитирует сетевой отпечаток обычного браузера Google Chrome. В отличие от большинства других протоколов, которые фокусируются на шифровании и обфускации данных, NaiveProxy идёт дальше. Он не просто маскирует содержимое трафика, а копирует весь сетевой стек Chromium, включая специфические параметры TLS-рукопожатия, заголовки HTTP/2 и даже временные задержки, характерные для реального браузера.

Имитация сетевого стека Chromium: ключ к незаметности

Основная идея NaiveProxy заключается в том, что для DPI он выглядит как обычный браузер, запрашивающий легитимный веб-ресурс. Системы DPI, которые анализируют TLS-отпечатки (например, с помощью библиотеки JA3 или подобных методов), видят в трафике NaiveProxy нечто, неотличимое от обычного веб-сёрфинга через Chrome. Это достигается за счёт нескольких ключевых особенностей:

• TLS-отпечаток: NaiveProxy точно воспроизводит TLS-клиентский Hello, который отправляет браузер Chrome. Это включает в себя порядок шифров, расширения TLS и их параметры, а также другие детали, которые формируют уникальный "отпечаток".
• HTTP/2 заголовки: Протокол использует HTTP/2 и формирует заголовки таким образом, чтобы они полностью соответствовали тем, что генерирует Chrome.
• Реалистичное поведение: NaiveProxy имитирует поведение браузера при установлении соединения, включая задержки и обработку ошибок, что делает его ещё более убедительным для систем анализа трафика.

Это принципиальное отличие от протоколов, которые, хотя и шифруют данные, могут иметь уникальные TLS-отпечатки, выдающие их как прокси-соединения. Для продвинутых DPI-систем такие "странные" отпечатки являются красным флагом, ведущим к блокировке. NaiveProxy же сливается с массой обычного веб-трафика, становясь практически невидимым.

Почему NaiveProxy лучше других протоколов для жёсткого DPI?

Выбор протокола для обхода DPI зависит от конкретных условий блокировки. В то время как многие современные решения предлагают высокую производительность и защиту, NaiveProxy выделяется своей специализацией на обходе систем, анализирующих метаданные соединения, а не только его содержимое.

NaiveProxy vs Trojan, Shadowsocks и другие протоколы

Рассмотрим, чем NaiveProxy отличается от популярных протоколов, таких как Trojan, Shadowsocks или даже Hysteria2, в контексте жёсткого DPI:

• Shadowsocks: Изначально разработан для простого шифрования и обфускации. Хотя существуют плагины (например, v2ray-plugin), которые пытаются имитировать TLS, базовый Shadowsocks имеет свой узнаваемый отпечаток и может быть легко обнаружен системами, активно анализирующими TLS-рукопожатия.
• Trojan: Протокол, который маскируется под обычный HTTPS-трафик, используя стандартный TLS. Это делает его устойчивым к базовой DPI. Однако, если система DPI проводит глубокий анализ TLS-отпечатков (например, JA3, JA4), она всё равно может идентифицировать Trojan как небраузерный TLS-клиент, поскольку его TLS-отпечаток не идентичен отпечатку реального браузера.
• Hysteria2: Высокопроизводительный протокол, основанный на QUIC, предназначенный для обхода шейпинга UDP и обеспечения стабильной работы в условиях высоких потерь. Он также использует TLS, но его основное преимущество — скорость и устойчивость к нестабильной сети, а не имитация браузерного отпечатка. Для DPI, анализирующего TLS-отпечатки, Hysteria2, как и Trojan, может быть распознан как небраузерный клиент.
• NaiveProxy: Целенаправленно имитирует не только TLS, но и весь сетевой стек Chromium. Это означает, что для DPI, который ищет аномалии в TLS-отпечатках, NaiveProxy выглядит точно так же, как обычный Google Chrome. Это его главное и уникальное преимущество в борьбе с самыми продвинутыми системами DPI, которые активно используют такие методы анализа. Если вы хотите узнать больше о том, как понять, что DPI блокирует ваш VPS, ознакомьтесь с нашей статьей.

Таким образом, если вы сталкиваетесь с блокировками, которые, по всей видимости, основаны на анализе TLS-отпечатков и метаданных соединения, а не только на содержимом или IP-адресе, NaiveProxy может оказаться наиболее эффективным решением. Он не просто скрывает вашу активность, а делает её неотличимой от самой распространённой и легитимной — веб-сёрфинга через Chrome.

Подготовка VPS для NaiveProxy

Для успешной настройки NaiveProxy вам потребуется надёжный VPS. Выбор правильной конфигурации сервера и его начальная подготовка — ключевой этап.

Выбор оптимального Naive Proxy VPS

При выборе VPS для NaiveProxy важно учитывать несколько факторов:

• Расположение: Выбирайте VPS в странах с минимальными ограничениями на интернет-трафик и хорошей связностью с вашей локацией. Это обеспечит низкую задержку и высокую скорость.
• Операционная система: Рекомендуется использовать дистрибутивы Linux, такие как Ubuntu Server (20.04 LTS или 22.04 LTS), Debian (11 или 12) или CentOS Stream 9. Эти системы хорошо документированы, стабильны и имеют обширную поддержку пакетов.
• Ресурсы: NaiveProxy не является ресурсоёмким протоколом сам по себе, но веб-сервер Caddy, который будет использоваться, требует определённых ресурсов.

Для 5-10 одновременных пользователей достаточно 2 vCPU, 2 GB RAM и NVMe-диска на 40 GB.

Начальная настройка сервера и домена

Перед установкой NaiveProxy и Caddy необходимо выполнить базовую настройку VPS:

1. Обновление системы: Всегда начинайте с обновления пакетной базы и установленных пакетов.

   sudo apt update && sudo apt upgrade -y

2. Установка домена: Для работы NaiveProxy с Caddy вам потребуется доменное имя. Зарегистрируйте домен (например, yourdomain.com) и настройте A-запись, указывающую на IP-адрес вашего VPS. Это критически важно, так как Caddy автоматически выдаёт TLS-сертификаты с помощью Let's Encrypt, а для этого нужен действующий домен.
3. Настройка файрвола (UFW): Рекомендуется настроить файрвол для повышения безопасности. Разрешите SSH (порт 22), HTTP (порт 80) и HTTPS (порт 443).

   sudo ufw allow ssh
   sudo ufw allow http
   sudo ufw allow https
   sudo ufw enable

Быстрый выбор

Ищете сервер, который просто работает?

Valebyte VPS — NVMe, поддержка 24/7, запуск за 60 секунд.

Тарифы VPS

Установка Caddy с forwardproxy для NaiveProxy

Caddy — это мощный веб-сервер с автоматической настройкой HTTPS, который идеально подходит для NaiveProxy настройки благодаря своей простоте и модульной архитектуре. Нам потребуется установить Caddy вместе с модулем forwardproxy.

Установка Caddy на Ubuntu/Debian

Caddy можно установить из официального репозитория. Выполните следующие команды:

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

После установки Caddy будет запущен как системная служба.

Компиляция Caddy с модулем forwardproxy (если стандартный пакет не содержит)

В некоторых случаях стандартный пакет Caddy может не включать модуль forwardproxy. В этом случае его нужно скомпилировать вручную. Это более сложный процесс, но он даёт полный контроль над модулями. Для большинства пользователей, однако, достаточно будет установить Caddy из репозитория и проверить наличие модуля.

Чтобы проверить, есть ли модуль forwardproxy в вашей установке Caddy, выполните:

caddy list-modules | grep forwardproxy

Если команда ничего не выведет, вам потребуется скомпилировать Caddy. Проще всего это сделать с помощью xcaddy:

sudo apt install -y build-essential libnss3-dev
go install github.com/caddyserver/xcaddy/cmd/xcaddy@latest
~/go/bin/xcaddy build --with github.com/caddyserver/forwardproxy@caddy_v2

Затем замените стандартный бинарник Caddy скомпилированным:

sudo systemctl stop caddy
sudo cp caddy /usr/bin/caddy
sudo systemctl start caddy

Теперь Caddy готов к работе с NaiveProxy.

Настройка NaiveProxy на сервере: создание пользователей

Основная конфигурация NaiveProxy выполняется через Caddyfile. Здесь мы определим домен, порт, а также учётные данные для пользователей.

Конфигурация Caddyfile для NaiveProxy

Откройте файл конфигурации Caddy: sudo nano /etc/caddy/Caddyfile и замените его содержимое следующим:

yourdomain.com {
    tls [email protected]
    route {
        forward_proxy {
            basic_auth {
                user1 your_password1
                user2 your_password2
                # Добавьте больше пользователей по мере необходимости
            }
            hide_ip
            hide_via
            probe_resistance
        }
        reverse_proxy https://www.google.com {
            header_up Host {upstream_host}
            header_up X-Forwarded-Host {host}
        }
    }
}

Пояснения к Caddyfile:

• yourdomain.com: Замените на ваше доменное имя.
• tls [email protected]: Caddy автоматически получит SSL/TLS сертификат от Let's Encrypt для вашего домена. Укажите реальный email для уведомлений.
• basic_auth: Здесь вы определяете пары логин пароль для ваших пользователей. Каждый пользователь должен быть на отдельной строке.
• hide_ip: Скрывает IP-адрес клиента от конечного сервера.
• hide_via: Удаляет заголовок Via, который может выдавать прокси.
• probe_resistance: Добавляет устойчивость к зондированию (probe) со стороны DPI. Если кто-то попытается подключиться к вашему домену без правильных учётных данных NaiveProxy, Caddy будет выглядеть как обычный веб-сервер, обслуживающий www.google.com.
• reverse_proxy https://www.google.com: Это "отвлекающий манёвр". Если запрос не соответствует NaiveProxy, Caddy перенаправит его на Google, чтобы выглядеть как обычный веб-сервер. Вы можете заменить https://www.google.com на любой другой легитимный сайт.

Применение изменений и проверка статуса

После сохранения Caddyfile необходимо проверить его синтаксис и перезагрузить Caddy:

sudo caddy validate --config /etc/caddy/Caddyfile
sudo systemctl reload caddy
sudo systemctl status caddy

Убедитесь, что служба Caddy запущена и работает без ошибок. Если возникли проблемы, проверьте логи: sudo journalctl -u caddy --no-pager.

Ваш NaiveProxy сервер теперь настроен и готов принимать подключения.

Клиент NaiveProxy: установка и подключение на десктопе и мобильных устройствах

После настройки сервера NaiveProxy следующим шагом является конфигурация клиентских устройств. NaiveProxy работает как обычный HTTP/2 прокси с TLS, поэтому для его использования можно применять как специализированные клиенты, так и стандартные системные настройки прокси.

Настройка клиента на десктопе (Windows, macOS, Linux)

Для десктопных операционных систем существует несколько способов подключения к NaiveProxy.

Через браузер Chromium (наиболее простой способ)

Наиболее естественный способ использования NaiveProxy — через браузеры на движке Chromium (Google Chrome, Microsoft Edge, Brave и т.д.). Вам понадобится расширение для управления прокси, например, "SwitchyOmega" или "Proxy Helper".

1. Установите расширение: Найдите "SwitchyOmega" или аналогичное в магазине расширений вашего браузера и установите его.
2. Настройте новый профиль прокси:
   • В настройках расширения создайте новый профиль (например, "NaiveProxy").
   • Тип протокола: HTTPS (или HTTP, некоторые клиенты NaiveProxy используют HTTP, но Caddy всегда обрабатывает его как HTTPS благодаря tls директиве).
   • Сервер: Укажите ваш домен (например, yourdomain.com).
   • Порт: Обычно 443 (стандартный HTTPS порт).
   • Включите опцию "Do not prompt for authentication" или "Always authenticate" и введите логин и пароль, которые вы задали в Caddyfile (например, user1 и your_password1).
3. Активируйте профиль: Выберите созданный профиль "NaiveProxy" в расширении, чтобы начать использовать прокси.

Специализированные клиенты

Существуют также специализированные клиенты NaiveProxy, которые могут обеспечить системное проксирование или более тонкую настройку. Например, для Windows можно использовать клиент, поставляемый в составе V2RayN или Clash for Windows, где NaiveProxy поддерживается как один из протоколов. В этих случаях вы указываете тип протокола naive, адрес сервера, порт, логин и пароль.

Настройка клиента на мобильных устройствах (Android, iOS)

На мобильных платформах использование NaiveProxy также возможно, хотя может потребовать установки сторонних приложений.

Android

Для Android рекомендуется использовать приложения-клиенты, поддерживающие NaiveProxy, такие как V2RayNG, Clash for Android или NekoBox. Эти приложения позволяют гибко настраивать прокси-соединения.

1. Установите приложение: Например, V2RayNG из Google Play Store.
2. Добавьте конфигурацию NaiveProxy:
   • В приложении нажмите на "плюс" для добавления нового профиля.
   • Выберите тип протокола "NaiveProxy".
   • Введите ваш домен сервера, порт (443), логин и пароль.
   • Сохраните конфигурацию.
3. Активируйте соединение: Выберите созданный профиль и активируйте VPN-соединение в приложении.

Приложения типа V2RayNG создают локальное VPN-соединение, которое направляет весь трафик через NaiveProxy. Если вы ищете другие решения, Hysteria2 на VPS также является отличным вариантом для обхода DPI.

iOS

На iOS также доступны клиенты, поддерживающие NaiveProxy, например, Shadowrocket, Quantumult X или Stash. Принцип настройки аналогичен Android:

1. Установите приложение: Например, Shadowrocket из App Store.
2. Добавьте конфигурацию NaiveProxy:
   • В приложении перейдите в раздел "Configuration" или "Servers".
   • Добавьте новый сервер, выберите тип "NaiveProxy".
   • Укажите домен сервера, порт (443), логин и пароль.
   • Сохраните.
3. Активируйте соединение: Выберите созданный сервер и включите прокси.

Важно убедиться, что используемый клиент NaiveProxy на мобильном устройстве также имитирует сетевой стек Chromium для максимальной эффективности против DPI.

Быстрый выбор

Ищете сервер, который просто работает?

Valebyte VPS — NVMe, поддержка 24/7, запуск за 60 секунд.

Тарифы VPS

Когда NaiveProxy — ваш лучший выбор?

NaiveProxy не является универсальным решением для всех сценариев обхода блокировок, но в определённых условиях он проявляет себя наилучшим образом, превосходя многие другие протоколы.

Сценарии с жёстким DPI и анализом TLS-отпечатков

Основное преимущество NaiveProxy проявляется там, где системы DPI активно анализируют не только содержимое трафика, но и его метаданные, в частности, TLS-отпечатки. Если вы сталкиваетесь со следующими признаками, NaiveProxy может быть вашим спасением:

• Блокировка популярных VPN/прокси-протоколов: Если WireGuard, OpenVPN, Shadowsocks, Trojan, V2Ray или Hysteria2 блокируются быстро, даже при использовании обфускации. Это может указывать на то, что DPI идентифицирует их по уникальным TLS-отпечаткам или другим поведенческим паттернам, отличающимся от обычного браузерного трафика. Наша статья о Zapret на VPS и роутере также рассматривает схожие проблемы.
• Блокировка по истечении времени: Если ваш сервер работает какое-то время, а затем блокируется, это может быть результатом поведенческого анализа, когда DPI накапливает данные и определяет, что трафик не является браузерным.
• Невозможность установить TLS-соединение: Если клиенты не могут установить TLS-рукопожатие с вашим сервером, даже если порты открыты, это может быть признаком активного вмешательства DPI в процесс TLS-сертификации.
• DPI, использующий машинное обучение: Современные DPI-системы могут использовать машинное обучение для выявления аномалий в трафике. Имитация сетевого стека Chromium делает трафик NaiveProxy "нормальным" для таких систем.

В таких условиях, когда DPI "умён" и способен различать различные типы TLS-трафика, NaiveProxy становится одним из немногих протоколов, способных эффективно обходить такие блокировки, поскольку он буквально "притворяется" обычным браузером. Это особенно актуально для регионов с наиболее жёсткими интернет-ограничениями, где используются государственные системы DPI, например, "Золотой щит" или его аналоги.

Недостатки NaiveProxy: честный взгляд

Несмотря на свои уникальные преимущества в обходе продвинутых DPI, NaiveProxy имеет и свои ограничения, которые важно учитывать при выборе протокола.

Ограничения и потенциальные проблемы

1. Меньше клиентов и экосистема: По сравнению с такими протоколами, как Shadowsocks, V2Ray или WireGuard, экосистема NaiveProxy значительно меньше. Это означает, что выбор клиентских приложений может быть ограничен, и поддержка может быть менее широкой. Найти готовые, удобные клиенты для всех платформ может быть сложнее.
2. Сложнее обновление и поддержка: Поскольку NaiveProxy часто требует компиляции Caddy с определённым модулем, процесс обновления сервера может быть более сложным, чем простое apt upgrade. Это требует больше технических знаний и времени для поддержания сервера в актуальном состоянии.
3. Потенциально ниже скорость на потерях: NaiveProxy основан на HTTP/2 поверх TCP. В условиях нестабильной сети с высоким уровнем потерь пакетов, производительность TCP может значительно снижаться. Протоколы, основанные на QUIC (например, Hysteria2), которые работают поверх UDP и имеют собственные механизмы восстановления потерь, часто показывают лучшую производительность в таких условиях. Для максимальной производительности при нестабильной сети стоит рассмотреть Hysteria2 с портхоппингом.
4. Зависимость от Caddy: NaiveProxy тесно интегрирован с Caddy. Это означает, что вы зависите от обновлений и стабильности Caddy и его модуля forwardproxy. Любые изменения в Caddy могут потребовать корректировки вашей конфигурации NaiveProxy.
5. Более высокие требования к ресурсам: Хотя сам NaiveProxy не очень ресурсоёмкий, Caddy, особенно с TLS-шифрованием и обработкой HTTP/2, может потреблять немного больше оперативной памяти и CPU по сравнению с минималистичными прокси-серверами. Для небольших VPS с 512 MB RAM это может быть заметно.
6. Потенциальные риски идентификации в будущем: Хотя NaiveProxy сейчас очень эффективен, системы DPI постоянно развиваются. Если DPI начнёт анализировать другие поведенческие паттерны, помимо TLS-отпечатков (например, специфические последовательности запросов или их частоту), которые даже NaiveProxy не может полностью имитировать, его эффективность может снизиться.

Таким образом, NaiveProxy — это мощный инструмент для специфических задач, но его внедрение требует осознанного подхода к управлению и понимания его компромиссов.

Часто задаваемые вопросы

Можно ли использовать NaiveProxy без домена?

Нет, NaiveProxy требует действующего доменного имени. Это связано с тем, что протокол использует HTTPS и Caddy автоматически получает TLS-сертификаты от Let's Encrypt, для чего необходимо наличие домена, указывающего на IP-адрес вашего VPS. Без домена Caddy не сможет получить сертификат, и NaiveProxy не будет работать корректно.

Насколько NaiveProxy безопасен?

NaiveProxy использует стандартное TLS-шифрование, что делает его безопасным с точки зрения конфиденциальности данных. Основная "безопасность" NaiveProxy заключается в его способности маскироваться под обычный браузерный трафик, обходя DPI. Однако, как и любой прокси, он не обеспечивает полной анонимности, и ваш IP-адрес по-прежнему известен провайдеру VPS.

Влияет ли NaiveProxy на скорость интернета?

Как и любой прокси-протокол, NaiveProxy может влиять на скорость интернета. Производительность зависит от пропускной способности вашего VPS, расстояния до сервера и качества сетевого соединения. В условиях стабильной сети NaiveProxy обеспечивает хорошую скорость, но при высоких потерях пакетов (более 5-10%) его TCP-основа может привести к заметному снижению скорости по сравнению с QUIC-протоколами, такими как Hysteria2.

Могу ли я использовать NaiveProxy на домашнем роутере?

Теоретически да, но это сложнее, чем на VPS. Для работы на роутере (например, с OpenWrt) вам потребуется установить Caddy с модулем forwardproxy, что часто требует компиляции под архитектуру роутера и наличия достаточных ресурсов (RAM, CPU, хранилище). Проще настроить NaiveProxy на VPS, а затем использовать его для всей сети через клиент на роутере, который поддерживает прокси-соединения. Для обхода DPI на роутере можно рассмотреть Zapret на роутере Keenetic и OpenWrt.

Быстрый выбор

Ищете сервер, который просто работает?

Valebyte VPS — NVMe, поддержка 24/7, запуск за 60 секунд.

Тарифы VPS

Выводы

NaiveProxy представляет собой мощное и эффективное решение для обхода самых продвинутых систем DPI, особенно тех, которые активно анализируют TLS-отпечатки и метаданные трафика. Его уникальная способность имитировать сетевой стек Chromium делает его практически неотличимым от обычного браузерного трафика, обеспечивая надёжный доступ к заблокированным ресурсам. Хотя NaiveProxy имеет свои недостатки, такие как меньшее количество клиентов и потенциально более низкая скорость в условиях потерь, его преимущества в борьбе с жёсткими блокировками делают его незаменимым инструментом для технически подкованных пользователей, готовых к самостоятельной настройке на своём VPS.

SSD NVMe

Готовы запустить свой VPS?

NVMe VPS с активацией за 60 секунд: полный root-доступ, 20+ локаций, оплата картой или криптой.

Выбрать тариф