Обсуждение — Shadowsocks и XRay на VPS: маскируем трафик под обычный HTTPS

По серверной части вопросов нет, поднимал то же самое на своём UK месяц назад, конфиги сошлись почти один в один. А вот шаг с клиентом под винду у меня иначе.

В статье: скачать v2rayN, вставить ссылку, готово. По факту v2rayN из коробки включает только системный прокси. Браузер ходит через туннель, а всё, что на системный прокси плевало — rdp, офисный софт, толстые клиенты — идёт напрямую. Раздал конфиги трём людям, два дня слушал «vpn включён, а 1С к офису не подключается». Конечно не подключается, она про ваш прокси вообще не знает.

Лечится TUN-режимом в том же v2rayN: настройки, Tun, согласиться на wintun, запуск от администратора. Тогда интерфейс поднимается на уровне системы и ловит весь трафик, а не только браузерный. Один нюанс: если на ноуте уже стоит корпоративный anyconnect или openvpn, они подерутся за маршруты. Оставляйте что-то одно, два туннеля одновременно — это не вдвое надёжнее, это вдвое непонятнее.

И мелочь по reality: домен-маску из статьи не копируйте как есть. dest должен быть свой, живой, с TLS1.3. Когда тысячи серверов отвечают как один и тот же сайт — это уже не маскировка, это подпись.

с TUN-режимом познакомился через собственную тупость, как со всем лучшим в жизни. поднял xray на UK, поставил v2rayN, браузер ходит — сижу довольный. потом запускаю с ноута своего бота потестить, а он в телегу стучится напрямую, мимо туннеля. я минут сорок перечитывал логи, думал reality посыпался. а requests просто не знает про системный прокси, ему env-переменные подавай. я ж питонист, должен был догадаться раньше, чем за сорок минут 🤦 включил TUN — и всё, бот пошёл куда надо.

lexa92 писал:
два туннеля одновременно — это не вдвое надёжнее, это вдвое непонятнее

плюсую. у меня был openvpn до сервера одного клиента + v2rayN в TUN, они переписали друг другу маршруты так, что не работало вообще ничего, даже локалка отвалилась. вылечилось только выкорчёвыванием одного из двух.

по dest тоже согласен. у меня там свой домен, на котором лендинг для бота крутится — живой, tls1.3, не стыдно показать. копировать домен из гайда — это как оставить дефолтный пароль: работает, но об этом уже все знают.

tema_py, а дальше ещё веселее: даже с env-переменными не все библиотеки согласны. requests их подхватывает, а aiohttp по умолчанию плюёт — ему trust_env=True подавай. я так сидела ночью с тестовым скриптом, который половину запросов слал через туннель, а половину мимо, и не могла понять, куда смотрит reality. так что TUN реально проще, чем выяснять, кто из зависимостей сегодня в настроении слушаться)

маша, у тебя даже библиотеки по настроению в туннель ходят. я в два ночи сам как aiohttp без trust_env — половиной тут, половиной уже сплю)