Прозрачный прокси-шлюз на роутере, часть 2: шаблонный конфиг, LuCI-страница и обход DPI для UDP-голоса

Три недели назад я опубликовал статью про настройку прозрачного прокси-шлюза на OpenWrt-роутере: VLESS+Reality, TPROXY, AdGuard Home, сплит-роутинг. Статья собрала около сотни содержательных комментариев — и значительная их часть оказалась справедливой критикой. По следам этой критики у меня за три недели переписалась примерно половина системы. Во второй части разбираю, что изменилось: — Перевёрнута логика маршрутизации: с proxy-by-default на direct-by-default + явный whitelist через balancer. Защищает от утечки внешнего IP перед российскими антифрод-системами. — Добавлена поддержка UDP с sniffing QUIC и обработкой голосового трафика. — Монолитный config.json стал шаблоном с плейсхолдерами для подписки и пользовательских доменов. — Появилась своя LuCI-страница для управления proxy-доменами, написанная под JS-only стек OpenWrt 25.x. — Второй слой обработки UDP-голоса через NFQUEUE и nfqws — там, где Xray не справляется. В статье полный разбор: конфиги, init-скрипты, nftables, JS-only LuCI с кодом. Всё проверено по живому конфигу. Отдельным блоком — честное сравнение с Podkop и PassWall2. Первая часть: https://habr.com/ru/articles/1020866/

https://habr.com/ru/articles/1028954/

#OpenWrt #Xray #VLESS #Reality #TPROXY #nftables #LuCI #AdGuard_Home #DPI #NFQUEUE

Когда пет-проект выходит из-под контроля: пишем свой tun2socks и закрываем дыры в Android VPN / Хабр

https://habr.com/ru/articles/1030930/

> Всё начиналось по приколу.

Недавно в сети поднялась шумиха вокруг уязвимости VLESS-клиентов: оказалось, что даже при использовании сплит-туннелирования (когда VPN включен только для избранных приложений), любое "шпионское" приложение на телефоне может узнать IP-адрес вашего VPN-сервера.
Уязвимость была тривиальной - ядро клиента открывает локальный SOCKS-прокси, который никак не защищен. Любая софтина на устройстве может постучаться в этот локальный порт и отправить пакет наружу. Ради академического интереса я написал Android-приложение TeapodStream, под капотом которого связал xray-core и tun2socks. Локальный прокси я посадил на случайный порт и закрыл динамическим паролем.

#proxy #vpn #vless #tun2socks

Когда пет-проект выходит из-под контроля: пишем свой tun2socks и закрываем дыры в Android VPN

Всё началось чисто по приколу. Недавно в сети поднялась шумиха вокруг уязвимости VLESS-клиентов: оказалось, что даже при использовании сплит-туннелирования (когда VPN включен только для избранных приложений), любое «шпионское» приложение на телефоне может узнать IP-адрес вашего VPN-сервера. Уязвимость была тривиальной — ядро клиента открывает локальный SOCKS-прокси, который никак не защищен. Любая софтина на устройстве может постучаться в этот локальный порт и отправить пакет наружу. Ради академического интереса я написал Android-приложение TeapodStream, под капотом которого связал xray-core и tun2socks . Локальный прокси я посадил на случайный порт и закрыл динамическим паролем (подробнее об этом писал в прошлой статье ). Пост получил огромный отклик у комьюнити, породил живое обсуждение и разлетелся по закладкам. Я думал, что на этом мой эксперимент закончен. Но... я сам не заметил, как меня затянуло.

https://habr.com/ru/articles/1030930/?utm_source=habrahabr&utm_medium=rss&utm_campaign=1030930

#android #xray #vless #tun2socks #информационная_безопасность #vpn #котики

Когда пет-проект выходит из-под контроля: пишем свой tun2socks и закрываем дыры в Android VPN

Всё началось чисто по приколу. Недавно в сети поднялась шумиха вокруг уязвимости VLESS-клиентов: оказалось, что даже при использовании сплит-туннелирования (когда VPN включен только для избранных приложений), любое «шпионское» приложение на телефоне может узнать IP-адрес вашего VPN-сервера. Уязвимость была тривиальной — ядро клиента открывает локальный SOCKS-прокси, который никак не защищен. Любая софтина на устройстве может постучаться в этот локальный порт и отправить пакет наружу. Ради академического интереса я написал Android-приложение TeapodStream, под капотом которого связал xray-core и tun2socks . Локальный прокси я посадил на случайный порт и закрыл динамическим паролем (подробнее об этом писал в прошлой статье ). Пост получил огромный отклик у комьюнити, породил живое обсуждение и разлетелся по закладкам. Я думал, что на этом мой эксперимент закончен. Но... я сам не заметил, как меня затянуло.

https://habr.com/ru/articles/1030930/

#android #xray #vless #tun2socks #информационная_безопасность #vpn #котики

Gemini перестал работать с VPN. Что делать?

Gemini перестал работать через vpn. Оказалось, что Google начал воспринимать некоторые ip-адреса за Российские. Я решил разобраться с этой проблемой и поделился, что сделал, чтобы диагностировать проблему и решить её

https://habr.com/ru/articles/1027994/

#vpn #geminie #vless #3xui #gemini

Это — все что вам надо знать о белых списках: ресерч, сканы, обход

Думаю, вы уже в курсе, что происходит в РФ с белыми списками: работают белые списки, ТСПУ в режиме drop-all пропускает только одобренные IP + SNI, рунет медленно, но верно становится интранетом Мы просканировали 46 млн российских IP-адресов, нашли 63 тысячи выживших, разобрали работу ТСПУ. И главное - актуальные методы пробива (от Serverless-функций и покупки VPS с белым IP до туннелей через WebRTC).

https://habr.com/ru/articles/1027276/?utm_source=habrahabr&utm_medium=rss&utm_campaign=1027276

#ТСПУ #DPI #белые_списки #обход_блокировок #VPN #VLESS #Reality #Yandex_Cloud #чебурнет #анализ_трафика

Это — все что вам надо знать о белых списках ( и методах их обхода )

Думаю, вы уже в курсе, что происходит в РФ с белыми списками: работают белые списки, ТСПУ в режиме drop-all пропускает только одобренные IP + SNI, рунет медленно, но верно становится интранетом Мы просканировали 46 млн российских IP-адресов, нашли 63 тысячи выживших, разобрали работу ТСПУ. И главное - актуальные методы пробива (от Serverless-функций и покупки VPS с белым IP до туннелей через WebRTC).

https://habr.com/ru/articles/1027276/

#ТСПУ #DPI #белые_списки #обход_блокировок #VPN #VLESS #Reality #Yandex_Cloud #чебурнет #анализ_трафика

LxBox: переносим опыт singbox-launcher в Android

Привет. Полгода назад я выложил singbox-launcher — десктопный GUI для управления ядром sing-box . По фидбеку стало понятно: идея зашла, людям удобно собирать и отлаживать конфиги на ноутбуке, а потом переносить их на роутеры и другие сетевые устройства. Подробнее о десктопной версии я писал на Хабре . Пару слов для тех, кто не в контексте. Есть небольшой класс кроссплатформенных сетевых ядер, которые умеют гибкую маршрутизацию трафика и поддерживают современный набор протоколов: WireGuard, VLESS, SOCKS5, Shadowsocks, Hysteria2, TUIC и так далее. Sing-box в этом списке — не самый раскрученный, но для меня он оказался наиболее интересным: быстрая эволюция, внимание к деталям, чистый код, живое общение мейнтейнеров с пользователями, классно организованный по логике конфиг. Довольно быстро стали приходить запросы на Android-порт. Первое время казалось, что это будет прямое переиспользование десктопного кода. На практике сценарии потребления на мобильных оказались сильно другими: другой UX, другой lifecycle, Doze и background-лимиты, OEM-специфика, ограниченный экран, другие ожидания от автозапуска и обновлений. В итоге пришлось переписать практически всё с нуля. Результат этой работы — LxBox , и сегодня я хочу рассказать, чем он отличается от существующих Android-клиентов и как устроен изнутри.

https://habr.com/ru/articles/1027734/

#singbox #LxBox #Flutter #Android #Dart #WireGuard #маршрутизация_трафика #open_source #VLESS #specdriven

Как запустить VLESS + Reality на старом Intel iMac с macOS Catalina 10.15.8

На старых Intel Mac установка proxy-клиента часто превращается в странный квест: если приложение ставится, подписка импортируется, серверы вроде бы появляются, но рабочего подключения всё равно нет. На macOS Catalina 10.15.8 эта проблема ощущается особенно остро: часть современных клиентов уже не поддерживает систему, часть формально запускается, но ломается на встроенном core, а автоматический импорт VLESS/Reality-конфигов может создавать пустую заглушку вместо рабочего профиля. Эта инструкция написана не экспертом по сетям, а обычным пользователем для таких же обычных пользователей. Я собрал в одном месте весь путь, который реально сработал у меня на старом Intel iMac: как понять, какая версия клиента вообще подходит для Catalina, где брать старые релизы, как распознать сломанный импорт, как вручную собрать рабочий config и почему Telegram Desktop может не заработать, даже когда браузер уже работает.

https://habr.com/ru/articles/1027620/

#macOS_Catalina #Intel_iMac #V2RayXS #VLESS #Reality #Xray #proxy #Telegram_Desktop #SOCKS5 #JSON

YouTube для мамы: VLESS + Reality без боли, консолей и конфигов

Без лишних прелюдий: сегодня расскажу, как я вернул себе нормальный YouTube, а главное - поделился этой возможностью со своими родителями, которые в маршрутизации, протоколах и “этих ваших VPN-ах” не понимают вообще ничего. Ниже скрин из моей панели, которая работает чуть больше месяца, и по трафику видим, что вполне себе неплохо работает, по крайне мере мама ютубчик смотрит регулярно.

https://habr.com/ru/articles/1025588/

#vless #vless+reality #vless_reality