24
2019
11

【转】各种翻墙工具的个人浅见



推荐点击下面图片,通过本站淘宝优惠价购买:

image.png

前言


以前曾有一段日子旅居深圳,对GFW的理解和使用各种工具翻墙算是有点经验,

虽然多年前已回到墙外,但偶尔也须要进入匪区,故此还是保持了解各种工具,

就曾经搭建过或使用过的说说



目前还有效的工具


1) shadowsocks


  这个还是现在最热门的工具,暂时来说没听到大面积阵亡

  优点


  多平台,服务器可部署到由路由器到任何系统,版本众多,轻盈的shadowsocks-libev

  可在64M/0 vswap的Linux VPS运行,而不会跑不动。客户端也是多平台,路由器,

  计算机到移动装置,几乎涵盖所有系统,可以说是install once, Fuck GFW everywhere

  

   缺点


   因为只使用预定密钥作为客户端和服务器的唯一辨别身份方式,有可能会遇上中间人

   攻击,客户端连上是伪造的目标服务器,在服务器方面的缺点更明显,因为只用预定

   密钥,于是错误的密码或加密方式服务器照样响应客户端的请求,只是不连接到目标

   网站,有无聊者用字典穷举密码,而不是拒绝联机,日志上就出现很多ERROR,我的最

   高万多个错误,共二百多个来自CN的IP试着联机,shadowsocks-libev可以开启一次性

   认证,但很多客户端不支持,例如iOS的Surge,A.Big.T都没有,变成无法使用这一方式

   ,如果写个脚本纪录日志的错误次数,达到某一数目调动iptables封锁,又会误伤填错

  密码的用户,或者是分配到被封的IP而连不上服务器。


   多用户无法简易控制用户访问的端口,一个人或三数好友使用时问题不大,但用户有

   一定数目时,如果有不良用户通过代理hack其他服务器的sshd,或者滥发邮件,端口扫

  描等等行为,有可能是收到VPS供货商投诉或封权才知道,要防止可能要设置复杂的

  iptables规则作限制,另外限制连接数也要用上iptables,例如要限制14701端口的连

  接数,你得输入,例如32个

  

  iptables -A INPUT -p tcp –syn –dport 14701 \

  -m connlimit –connlimit-above 32 -j REJECT –reject-with tcp-reset


  这是shadowsocks-libev官网的举例,由于shadowsocks一端口一用户方式,

  如果有20个端口要输入20次或写脚本自动化,相当麻烦,也不是一般用

  户处理得了。


  结论


  还是推荐为首选搭建的工具,原因还是那个,轻盈,有效,多平台,不论低端VPS到

  高端VPS都可部署,应对无聊人士穷举密码方式是设置16位以上字符长度的密码,不

  要理会就成,用命令随机产生比较难以破解的密码,例如:


   head -c 512 /dev/urandom | md5sum | base64 | cut -c3-18


  每一端口配上不同密码


2) HTTPS/SSL 代理


  这个方式存在很久,暂时仍然有效


  优点


  通常以stunnel作为加密隧道,后端可自由配搭不同的代理,只要支持CONNECT方式

  的都行,我就搭建过配合squid3,3proxy和tinyproxy,这些后端已很成熟,能控制用户访

  问的端口,或是服务器接受的连接数,也可设置用户认证方式,计算机上无须使用客户

  端,现在大多数browser支持HTTPS代理,在一些限制严格的公司内,如不能下载安装

  软件,控制用户访问的网站,端口,可以购买商业用的SSL证书,设置用户认证,把

  代理设置在443端口,公司不能封这端口,只须在browser设置代理就能突破公司封锁,

  而且网管不知你去了那里。


  这个方式也是多平台,路由器刷了第三方韧体,例如Asuswrt-Merlin,又能扩展entware

  环境,就可搭建服务器在路由器,使用的资源也不多,也可以设置stunnel为客户端连

  接服务器。移动设备也有支持,ios的Surge和A.Big.T都有支援http with tls ,安卓也有

  tls-tunnel等app,只是不太好用。


 缺点


 部署麻烦,如果使用IP + 自签名证书,须要自己gen,同时要把证书导入browser或系统

 ,非常麻烦,而且据说GFW能分辨证书,会按照类型封杀服务器,据说现在还包括免费

  的有效证书,例如Letsencrypt ,通常商业不会用这些,不能混迹其中,危险性便

  增加了。

  另外有说SSL握手特征明显,GFW容易察觉,shadowsocks的作者clowwindy

  就不建议使用SSL翻墙, 按我看原文 。

  个人浅见以数据安全和防止中间人攻击就高于shadowsocks,对于穷举密码的无聊人仕

  直接拒绝连接,有效得多,而且有网友使用还没见到大量被封。


  搭建成本高昂,为了比较难被封锁,除了VPS的费用,还要购买域名和证书,这无疑比

  较其他方式使费较多,使用域名连接一旦遇到DNS污染,还得修改hosts文件把域名指向

  IP抵御,如果封的是服务器IP,全部投资报销。


 结论


 我还是推荐搭建作为辅助工具,原因是少数用户使用我搭建的SSL代理至今还没有连接

 不上的报告,这些有用Letsencrypt证书或自签名证书,如果条件许可,请购买商业用的

 SSL证书配合域名搭建,可以混迹其中使GFW不会乱封,openvpn之所以失效就是特征

 明显,公司不会以这个协议的VPN作为数据安全信道,于是便大面积失效。使用这类

 SSL代理最好是三两好友算了,我经常怀疑GFW会根据加密连接数目主动检测是否翻墙

 ,为了长久翻墙,不要超过三个用户,最好自己私用。


 另外前端可改为较新的nghttp2 点我 点我 据说速度惊人,但我未搭建过。


3) Cisco IPSec VPN


   目前算是很流行的VPN,暂时有效


   优点


   以StrongSwan搭建服务器,多平台,由路由器到各种*nix系统都可搭建,客户端也是

   涵括各种系统,移动系统2大主流还原生支持,使用共享密钥配合用户认证,连客户

   端都不用安装,而且稳定性高,兼容性好,使用方便加设置容易,数据安全性高。这

   个VPN协议为商业公司使用的方案之一,混迹其中可使GFW不敢乱封,当然在开

   大会时会有严重干扰。


   缺点


   全局代理,不能分流,访问匪区网站时等如绕了地球一圈,多用户的时候难以防范不

   良用户,例如作为BT代理,hack其他服务器等等,如要限制有可能要设置复杂的规则

   ,限制用户访问的端口和下载的文件。


  搭建麻烦,单是那一堆iptables规则足够麻烦,使用固定端口,点我看官方论坛讨论

  这被封锁机会大增,现在是GFW无法检测关键词,而且是商业上公司常用VPN,才

  得以不死,据说GFW的IT狗已着手研究检测IPSec VPN协议,以求检测到流量特征和

  关键词。


  小弟第一次搭建时看了多篇中英文教学,搞了两天才搭好,后来发现有人写了一键

  安装脚本,第二个服务器干脆用人家的脚本好了,免头痛 点我取得脚本


  结论


  一般我会在服务器搭建2种工具,shadowsocks-libev是主力,如果是用穷鬼级NAT VPS

  ,就配上自签名证书+IP的SSL代理,因为搭建不了IPSec,端口不能改,独立IP的正常

  VPS,则选择IPSec VPN 作为第二工具,以ss-libev和IPSec配搭,使用资源不多,一枚

  openvz 128M/128 vswap 的vps已经足够有余,在iOS下会随时遇到奇怪的shadowsocks

  客户端问题,这时较稳定的IPSec便会派上用场,对于使用iPhone的朋友,分享给他们

  使用,客户端不须要付款,不必下载,对于女性朋友,0技术更是恩物,只要截一张

  设置的图,她们就会使用。故此我是推荐搭建的选择方案之一。


4) Cisco AnyConnect VPN


   在iOS装置上,未有shadowsocks客户端出现前,几乎是ifans的标配工具,目前还是有

   效,未闻有大面积阵亡案例。


   优点


   以ocserv搭建,非常稳定,无论客户端还是服务器,可以分流,在iDevice下载了 Cisco

   Anyconnect 客户端,可以使用证书连接,也可以用户认证连接,或是两者相加,不同

   于IPSec,端口可以自定,可用域名+有效SSL证书搭建,商业上公司常用VPN协议,据

   说是Cisco力推的VPN协议,混迹其中,GFW不敢乱封,我自己搭建了一枚,用域名加

   Letsencrypt证书,以用户认证登录连接,端口设在443,客户端也是多平台,由路由器

   的vpnc客户端到任何主流系统都能使用


   缺点


   搭建困难,须有一定技术,这也是花了我不少时间搭建的货色(技术不好的原因),幸

   好有好人写好了一键安装脚本,如果不想头痛 点我免头痛 ,第一次搭建时我自己手动

   搭建,重灌系统后使用上面脚本搭建,并自行配上letsencrypt免费证书取代自签名

   证书。速度不是特别出众,感觉上部署在同一服务器上的shadowsocks比它还快速。


   结论


   这也是推荐的辅助工具,在一个服务器上除shadowsocks外可考虑部署,可因应不同情

   况使用,在一枚openvz vps 128M/128M vswap 运行它与shadowsocks,

   在debian 7 x86下绰绰有余,耗用资源不多


5) gfw.press大杀器


   最新出品的工具,号称除白名单外,再也不能破解的协议,开发者是推特赵国劣绅石

   斑鱼大爷 @chinashiyu ,其官网是http://gfw.press ,这是他的github代码仓库


   优点


   确实非常稳定,我搭建了一枚在cloudatcost,顺便测试自己的脚本,有5位推友帮忙

   测试,多天正常使用,直到服务器挂了前都没有受到任何干扰,有测试用户连续

   使用10小时没有断线一次。

   附上推友@FWT_T_O_O的源码分析,后端自由配搭,相当灵活。


   缺点


   以Java编写的程序,对VPS有一定要求,少于512M/512M vswap的openvz vps最好

   不要尝试,跑不动的机会极高。文档不足不利第三方开发和搭建,

   除计算机系统客户端外,移动系统只有安卓客户端,iOS用户暂时无缘。

   部署并不十分困难,由于它只是一条类似stunnel的加密隧道,搭建的麻烦在于

   后端代理,如果是debian base 用户,或者可以试试小弟编写的简陋脚本安装


   结论


   如果shadowsocks失效的话,小弟首选转战这个,再配搭HTTPS/SSL代理或

   IPSec VPN在计算机上和iDevice使用,有较强劲VPS的朋友,

   甚么虚拟方式的VPS也可以试试搭建,如果有高手志愿者以Python/C/C++等等

   较少资源改写,相信会火起来。


6) V2Ray


   这也是较新的工具,也是新一代配上混淆流量,躲避GFW流量特征检测,并且兼容

   shadowsocks协议的工具,部署它可除可使用V2Ray外,也可使用shadowsocks而无须

   另外安装 手册在这里 v2ray project官方github代码仓库


   优点


   这个我部署了一个在低阶VPS上,后来因使用不常使用,且低阶VPS跑起来吃力,就

   把它删除了,搭建非常简单,在Linux VPS上以root执行以下命令就完事了


   bash <(curl -L -s https://raw.githubusercontent.com/v2ray/v2ray-core/master/release/install-release.sh)


   配置文件类似shadowsocks,如果有搭建ss服务器的朋友,很容易就会配置服务器文件,

   算是无痛转移,这个在搭建后测试期间相当稳定,也没有受到任何干扰或失灵。


   缺点


   和gfw.press一样,对于VPS要求较高,由于以golang编写,官方建议一人使用VPS最少

   128M RAM,更多用户如此类推,2 vcore的VPS较能发挥速度优势,客户端暂时只有电

   脑系统,在移动装置只能使用兼容的shadowsocks


   结论


   同样,如果shadowsocks失效,这也是我会转战的目标,配搭其他的工具,在计算机和移

   动装置使用,计算机上主力使用,移动装置使用IPSec,AnyConnect或HTTPS/SSL代理,如

   果网友的VPS够强劲,建议搭建一枚,即可使用v2ray和shadowsocks两件工具,

   计算机和移动装置都可使用


7) lightsword


   以nodejs编写的代理,客户端支持计算机和iOS,iOS客户端售8元港币,

   官方github代码仓库


   优点

  

   小弟在一枚256/512 vswap openvz vps搭建过,并购买了iOS客户端测试,抱歉,完全

   没有发现有任何优势,大概是shadowsock的nodejs改写版本,客户端并不兼容SS


   缺点


   以nodejs编写的程序,和Java一样,RAM Eater ,低阶VPS相当不利,功能上没有

   出彩的特点,用于混淆流量的加密只支持aes-128/192/256-cfb , 而没有较轻量的

   chacha20和rc4-md5, 安卓没有客户端,iOS客户端售价便宜,

   本来是针对当时ios的ss客户端Surge,后者达到天价的$99美元,但随着

   shadowrocket,A.Big.T只售8元港币,这个优势也没有了,ios客户端到我删除之前,

   就只支持全局代理。

   服务器方面,以python shadowsock连系统70个连接只用3X RAM左右,但lightsword在

   同一VPS相同条件下,已经使用80M以上内存,而且还不断增加,其实以前也是有

   shadowsocks nodejs版本,后来clowwindy停止开发,原因 ,nodejs官方解释

   服务器没有UDP转发,没有一次性认证,没有轻巧的加密方式,官方文文件不全,配置

   描述文件在我删除服务器前没看见,我是把命令行参数写到脚本使用,唯一是搭建不

   难,官方有一键安装脚本,自行搭建只要安装了nodejs,以npm即可安装。

     结论


   在没有大改变之前,不建议搭建或使用。

8) shadowsocks-R   号称根据shadowsocks弱点加以「改良」的版本,支持计算机客户端和部份移动装置,   这是官方github代码仓库   优点   没有使用或搭建,说不出来   缺点   移动装置客户端支持不多,其他同上   结论   本人不会作出推荐或者不推荐的个人建议,作为用家未来也不会部署服务器或使用,   如果网友有兴趣,自行往官网看手册文档,这里给出shadowsocks和shadowsocks-R的   网络事件和安装脚本   关于ShadowsocksR和Shadowsocks的安全性   ShadowSocks协议的弱点分析和改进 #38   对GPL协议的违反 #28   ShadowsocksR一键安装脚本最后,这里并没涵盖所有工具,这些意见非常主观,而小弟也非IT人,只是普通用家的个人体会,错误和偏见是绝对的,不须要用来参考,当作是笑话阅读最好,然后给出「哦」一个字就可以了。


本文链接:https://hqyman.cn/post/1054.html 非本站原创文章欢迎转载,原创文章需保留本站地址!

分享到:





休息一下,本站随机推荐观看栏目:


« 上一篇 下一篇 »

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

您的IP地址是: