VPN через CDN: как работает обход блокировок через Cloudflare и другие сети

Что такое VPN через CDN и зачем это нужно

VPN через CDN — это способ доставки зашифрованного трафика, при котором подключение к прокси-серверу происходит не напрямую по его IP-адресу, а через инфраструктуру сети доставки контента (Content Delivery Network). CDN — это распределённая сеть серверов, которая используется для ускорения загрузки сайтов и защиты от DDoS-атак. Когда VPN-трафик проходит через CDN, для провайдера или государственной системы фильтрации он выглядит как обычное обращение к популярному облачному сервису, а не как подключение к VPN.

Основная причина использования CDN — обход блокировок по IP-адресам. Если VPN-сервер был заблокирован, его IP попадает в чёрные списки, и прямое подключение становится невозможным. CDN решает эту проблему: точка входа скрыта за адресами сети, которые обслуживают миллионы легитимных сайтов. Заблокировать весь диапазон IP-адресов CDN невозможно, так как это приведёт к падению значительной части интернета. Таким образом, VPN через CDN обеспечивает доступ к заблокированным ресурсам, сохраняя при этом высокую степень незаметности.

Как CDN помогает обходить блокировки: принципы работы

Системы блокировки, такие как ТСПУ в России, работают по двум основным принципам: блокировка по IP-адресу и глубокий анализ пакетов (DPI). Блокировка по IP — это простейший метод: оборудование держит список «плохих» адресов и отбрасывает пакеты, идущие к ним. DPI — более сложный механизм, который анализирует содержимое трафика и его характерные признаки, чтобы обнаружить VPN по «отпечатку».

CDN-обход эффективен против блокировки по IP. Когда трафик идёт через CDN, провайдер видит IP-адрес из диапазона CDN, а не IP вашего VPN-сервера. Эти адреса обслуживают огромное количество легальных ресурсов, поэтому их блокировка привела бы к отключению значительной части интернета. Цензор вынужден пропускать такой трафик.

Против DPI работает сам транспорт. Внутри CDN-обхода используется протокол VLESS+XHTTP поверх TLS. Такое соединение неотличимо от обычного HTTPS-обращения к облачному сервису. DPI не видит узнаваемой сигнатуры VPN, так как трафик замаскирован под легитимный веб-трафик. Таким образом, CDN-обход обеспечивает двойную защиту: от блокировки по IP и от DPI.

Протоколы для работы через CDN: Websocket, gRPC и XHTTP

Для передачи VPN-трафика через CDN используются специальные протоколы, которые маскируют данные под обычный веб-трафик. Наиболее распространённые из них — Websocket, gRPC и XHTTP.

Websocket — это самый старый и простой протокол. Клиент отправляет серверу HTTP-запрос с просьбой переключить соединение в режим веб-сокетов. Если сервер соглашается, HTTP-подключение становится «трубой», по которой можно передавать любые данные. CDN не вмешивается в содержимое, просто пересылая данные между клиентом и сервером. Недостаток Websocket — более долгое время установления соединения из-за дополнительного хендшейка, а также возможность детектирования по объёмам данных в начале соединения. Для решения этой проблемы используется технология «early data», которая позволяет отправлять часть данных уже в первом запросе, сокращая время установки и рандомизируя размеры пакетов.

gRPC — это протокол от Google для межсервисного взаимодействия, также использующий HTTP в качестве транспорта. Он поддерживается не всеми CDN, но его сложнее детектировать, и он позволяет мультиплексировать несколько сессий через одно TCP-соединение. Некоторые пользователи отмечают, что gRPC может быть менее производительным, чем Websocket, но на практике разница часто незаметна.

XHTTP — это более современный протокол, который используется в связке с VLESS. Он упаковывает данные в обычные HTTP-запросы и ответы, что делает трафик неотличимым от обычного веб-трафика. XHTTP работает поверх TLS и обеспечивает высокую степень маскировки, что особенно важно для обхода DPI.

Выбор CDN: Cloudflare, Gcore и другие

Для работы VPN через CDN подходят не все сети доставки контента. Необходимо, чтобы CDN поддерживала проксирование Websocket и/или gRPC. Среди популярных CDN, которые предоставляют такие возможности на бесплатных тарифах, выделяются Cloudflare и Gcore.

Cloudflare — крупнейшая CDN в мире. На бесплатном тарифе поддерживает как Websocket, так и gRPC. Важная особенность Cloudflare — возможность проксировать IPv4-запросы на IPv6-адреса. Это позволяет использовать дешёвые IPv6-only серверы, которые можно арендовать менее чем за доллар в месяц. Для работы с Cloudflare необходимо иметь домен и делегировать его на нейм-серверы Cloudflare. Также нужно настроить DNS-записи и включить проксирование. Cloudflare предоставляет возможность использовать самоподписанные сертификаты или «внутренние» сертификаты для связи между своими серверами и вашим хостом.

Gcore — менее масштабная CDN, но с важным преимуществом: для работы через неё не нужно делегировать домен, достаточно CNAME-записи. Это позволяет использовать бесплатные DynDNS-сервисы. Однако Gcore поддерживает только Websocket, gRPC не поддерживается, и нет возможности проксирования IPv4 на IPv6. Настройка Gcore включает создание CDN-ресурса, указание origin-сервера и включение поддержки Websocket.

Другие CDN могут также поддерживать необходимые протоколы, но Cloudflare и Gcore являются наиболее проверенными и документированными вариантами.

Настройка сервера для работы через CDN

Для организации VPN через CDN необходимо настроить сервер, который будет принимать трафик от CDN и передавать его дальше. Обычно для этого используется Nginx в качестве веб-сервера и прокси, а также XRay или Sing-box в качестве прокси-сервера.

Первым шагом является установка Nginx. На Debian или Ubuntu рекомендуется устанавливать пакет nginx-full, так как он включает необходимые модули. Также потребуется TLS-сертификат. При работе через CDN можно использовать самоподписанный сертификат, так как он используется только для связи между CDN и вашим сервером, и клиент его не видит. Альтернативно можно сгенерировать «внутренний» сертификат Cloudflare, который подписан другой цепочкой и не будет работать в браузере, но идеально подходит для связи с Cloudflare.

Далее необходимо настроить Nginx для проксирования Websocket или gRPC-запросов на XRay. В конфигурации Nginx нужно указать location, который будет перенаправлять запросы на нужный порт XRay. Для Websocket используется заголовок Upgrade и Connection, для gRPC — специальные настройки. Также важно настроить SNI-прокси, если вы хотите использовать одновременно XTLS-Reality и CDN на одном сервере.

После настройки Nginx нужно настроить XRay. В конфигурации XRay необходимо указать транспорт (Websocket или gRPC) и путь, который будет совпадать с location в Nginx. Для Websocket можно использовать параметр early data, добавив «?ed=XXX» в конец пути, где XXX — максимальный размер данных в первом запросе. Для gRPC нужно указать serviceName, который также должен совпадать с настройками Nginx.

Настройка клиента: как подключиться через CDN

Настройка клиента для подключения через CDN зависит от используемого приложения. Популярные клиенты, такие как v2rayNG, Nekobox, Happ и другие, поддерживают настройку транспорта Websocket и gRPC.

Для подключения через Websocket необходимо указать адрес CDN (например, ваш домен), порт 443, путь (path), который совпадает с настройками сервера, и включить TLS. Если используется early data, нужно указать параметр ed в настройках. Для gRPC необходимо указать serviceName, который также должен совпадать с серверными настройками.

Некоторые сервисы, такие как VPN Reality, предлагают упрощённую настройку через Telegram-бота или Mini App. Достаточно включить переключатель «CDN-обход» в настройках, и бот автоматически пересоберёт подписку с нужными параметрами. После этого нужно обновить подписку в приложении, и трафик пойдёт через CDN. Это удобно для пользователей, которые не хотят разбираться в технических деталях.

Важно помнить, что при использовании CDN скорость может быть немного ниже, чем при прямом подключении, из-за дополнительного звена в виде сети CDN. Однако для большинства повседневных задач разница незаметна.

Преимущества и недостатки VPN через CDN

VPN через CDN имеет ряд преимуществ и недостатков, которые важно учитывать при выборе способа подключения.

Преимущества:

• Высокая устойчивость к блокировкам по IP. Точка входа скрыта за адресами CDN, которые обслуживают множество легальных сайтов.
• Маскировка трафика под обычный HTTPS. DPI не может обнаружить VPN по характерным признакам.
• Возможность использовать дешёвые IPv6-only серверы при работе с Cloudflare.
• Простота переключения: во многих сервисах CDN-обход включается одним переключателем.

Недостатки:

• Небольшая прибавка к задержке из-за дополнительного звена в виде CDN. Это может быть заметно в онлайн-играх или при загрузке больших файлов.
• Не все CDN поддерживают необходимые протоколы. Например, Gcore не поддерживает gRPC.
• Некоторые CDN могут ограничивать объём трафика на бесплатных тарифах. Например, Cloudflare может попросить перейти на платный тариф при очень большом объёме данных через Websocket.
• Необходимость иметь домен и настраивать DNS для работы с Cloudflare.

В целом, VPN через CDN — это надёжный способ обхода блокировок, но он не является заменой прямому подключению, когда оно работает. Рекомендуется использовать CDN-обход как запасной вариант.

Когда использовать CDN-обход: практические сценарии

CDN-обход — это «аварийный» режим, который следует включать, когда прямое подключение к VPN-серверу перестало работать. Вот типичные признаки того, что пора переключиться на CDN:

• Приложение пишет, что не может соединиться с сервером.
• Соединение устанавливается, но мгновенно рвётся.
• Интернет работает, а VPN-сервер «не отвечает» — это типичный признак блокировки по IP.
• Вы находитесь в сети с особо жёсткой фильтрацией, например, в корпоративной сети или у некоторых мобильных операторов.

В таких ситуациях CDN-обход позволяет восстановить доступ к заблокированным ресурсам. Однако не стоит держать его включённым постоянно, если прямое подключение работает, так как скорость будет немного ниже. Когда канал снова станет чистым, лучше вернуться на прямое подключение для максимальной производительности.

Также важно понимать, что CDN-обход несовместим с протоколами, использующими UDP, такими как Hysteria2. Cloudflare в режиме проксирования пропускает только TCP и HTTP/HTTPS, поэтому UDP/QUIC через CDN не проходит. Если вы используете Hysteria2, при включении CDN-обхода транспорт автоматически заменится на VLESS+XHTTP поверх TLS.

Безопасность и анонимность при использовании CDN

Важно понимать, что VPN через CDN не гарантирует полную анонимность. Хотя трафик зашифрован и маскируется под обычный HTTPS, существуют другие способы деанонимизации. Например, при оплате VPS российской картой платёж может быть связан с вашей личностью. Поэтому, если вам важна анонимность, стоит использовать зарубежные платёжные методы, такие как криптовалюта.

Также следует избегать компрометации сервера. Не рекомендуется устанавливать на VPS протоколы, которые могут быть обнаружены, такие как WireGuard, OpenVPN или Shadowsocks, если вы планируете использовать его для обхода блокировок. Некоторые провайдеры блокируют серверы, на которых были замечены подобные протоколы.

Ещё одна рекомендация — не ходить в рунет через VPS. Российский трафик лучше направлять напрямую, минуя прокси, чтобы не вызывать подозрений. Если необходимо, можно использовать цепочку VPS->WARP для доступа к российским сайтам, но это увеличивает нагрузку и может привлечь внимание.

Наконец, не стоит раздавать доступ к прокси большому количеству людей. В Китае уже вычисляют аномальный трафик к серверу от большого числа пользователей и блокируют такие серверы. В России подобная практика может быть перенята в любой момент.

Сравнение CDN-обхода с другими методами обхода блокировок

CDN-обход — не единственный способ обхода блокировок. Существуют и другие методы, такие как прямое подключение с использованием протоколов VLESS+Reality или Hysteria2. У каждого метода есть свои особенности.

Прямое подключение (VLESS+Reality) — это самый быстрый способ, так как трафик идёт напрямую к серверу без промежуточных звеньев. Однако он уязвим к блокировке по IP: если IP сервера попадает в чёрный список, подключение становится невозможным. Протокол Reality маскирует трафик под обращение к популярному сайту, что затрудняет DPI, но не защищает от блокировки по IP.

Прямое подключение (Hysteria2) — использует протокол QUIC поверх UDP, что обеспечивает высокую скорость и устойчивость к потере пакетов. Однако UDP-трафик может быть заблокирован провайдером, и Hysteria2 также уязвим к блокировке по IP.

CDN-обход — обеспечивает высокую защиту от блокировки по IP, но скорость немного ниже из-за дополнительного звена. Он идеально подходит для ситуаций, когда прямое подключение не работает.

Выбор метода зависит от конкретной ситуации. Если прямое подключение работает, лучше использовать его для максимальной скорости. Если оно заблокировано, CDN-обход станет надёжным запасным вариантом.

Вопросы и ответы