На что смотреть при выборе инструмента обхода блокировок

Тот, кто выбирает инструмент обхода блокировок, обычно теряется в двух местах: в груде названий протоколов, похожих на пароли, и в груде обзоров, которые противоречат друг другу. Первая проблема решается одним предложением на протокол. Вторая — тем, чтобы не верить ни одному обзору, включая этот сайт, а смотреть на данные. Поэтому по порядку: сначала протоколы, потом свой сервер против платной подписки, потом цена «бесплатного» и, наконец, как выжать максимум из рейтинга.

Распространенные протоколы, по одной строке на каждый

• Shadowsocks: легкий шифрованный прокси. Клиент и сервер знают общий пароль и заворачивают трафик в AEAD-шифр. Просто, быстро, реализаций множество, но поток с первого же пакета выглядит как случайные байты, и поэтому протокол уже много лет является предметом исследований по активному зондированию.
• VMess: родной протокол проекта V2Ray. По сути Shadowsocks плюс идентификатор пользователя и проверка времени, так что часы клиента и сервера должны примерно совпадать.
• VLESS: VMess без встроенного шифрования. Сам по себе он ничего не шифрует и перекладывает безопасность на нижележащий слой TLS, поэтому почти всегда используется в связке с TLS или Reality.
• Trojan: притворяется обычным HTTPS-сайтом. На сервере действительно стоит сайт с настоящим сертификатом; соединения, знающие пароль, проксируются, все остальные получают обычную веб-страницу.
• Hysteria: работает поверх QUIC (UDP) с собственным агрессивным управлением перегрузкой. На трансграничных каналах с потерями он часто заметно быстрее схем на TCP; цена — UDP операторам проще ограничить или отбросить.
• Reality: TLS-маскировка поверх VLESS. Серверу не нужны собственный домен и сертификат — он «одалживает» TLS-рукопожатие настоящего сайта, и зонд, который подключается к серверу, видит этот настоящий сайт.

Почему классическим VPN-протоколам — WireGuard, OpenVPN, IPsec — так тяжело в материковом Китае? Потому что их никогда не проектировали для маскировки. У рукопожатия WireGuard фиксированная форма, у OpenVPN узнаваемые заголовки, и DPI-оборудование распознает их мгновенно. Отлично для приватности, удобная мишень для цензуры.

Протокол — не вся история. Один и тот же протокол с другой конфигурацией сервера, другим расположением узла или другой реализацией клиента ощущается по-разному. Именно поэтому рейтинг группирует записи по названию инструмента: пользователь может сказать, каким провайдером или приложением пользуется, но часто не знает, какой протокол работает под капотом.

Свой сервер или подписка

Свой сервер означает арендовать машину за рубежом и самостоятельно поставить Shadowsocks, sing-box или что-то похожее. Плюсы: никто не делит с вами IP, никто не ведет логи от вашего имени, а скорость зависит только от выбранного дата-центра. Минус вытекает из того же факта: как только этот IP заблокируют, вы остаетесь без связи, пока не смените адрес и не перенастроите все заново, а блокировки, как правило, приходят именно в те дни, когда соединение нужнее всего. Обслуживание — тоже реальная статья расходов: серверное ПО нужно обновлять, сертификаты истекают.

Провайдеры — в китайскоязычных сообществах их называют «аэропортами» — продают подписки: одна ссылка, десятки узлов, клиент, который переключается между ними автоматически. Их главная ценность — избыточность: один узел умер, остальные работают. Риски другого рода: провайдер может исчезнуть, может логировать ваш трафик, может резать скорость в часы пик. Переключатель «только сервисы» в рейтинге выделяет именно эту категорию; у таких инструментов обычно больше тестов просто потому, что у них больше пользователей.

Универсального ответа нет. Те, кому нравится копаться в настройках и кто ценит приватность, склоняются к своему серверу; те, кому нужно, чтобы видео просто играло, покупают подписку. Многие держат и то и другое, одно как резерв.

Чего стоят бесплатные инструменты

Бесплатные инструменты бывают двух видов. Коммерческие бесплатные VPN должны на что-то жить: лимиты трафика, реклама, продажа данных о вашем трафике, а в худших случаях — внедрение контента в страницы или сбор учетных данных. Они обычно медленные, узлов у них мало, и проверить, что они делают на самом деле, невозможно.

Второй вид — некоммерческие проекты. Tor и его мосты Snowflake, Psiphon и подобные им поддерживаются фондами или исследовательскими группами, чья цель — дать людям под цензурой выход в сеть. Быстрыми они, как правило, не бывают: Tor делает три прыжка, Snowflake ретранслирует трафик через браузеры добровольцев, но по прозрачности и мотивации они намного лучше коммерческой «бесплатности». В рейтинге видно, что такие инструменты редко показывают высокие медианы скорости, зато их стабильность часто вполне хороша.

Перепроверка по данным этого сайта

Где бы вы ни услышали об инструменте, зайдите в рейтинг и сделайте несколько вещей:

1. Смотрите на медиану и на число тестов рядом с ней. Инструмент на первом месте по 6 тестам заслуживает меньше доверия, чем инструмент на пятом месте по 200. Порог для попадания в рейтинг — минимум 5 тестов на отрезке в 48 часов; те, кто только что его перешагнул, сильно колеблются.
2. Проверяйте временной охват. На странице инструмента есть дневная шкала; по ней видно, стабильна ли скорость или число держится на нескольких удачных днях.
3. Сравнивайте два источника. Тесты, запущенные на этом сайте, и тесты, импортированные из GreatFire, помечены отдельно. Если их медианы резко расходятся, выборка мала или две группы тестирующих различаются.
4. Пользуйтесь разбивками на странице инструмента. Разделяйте по региону, операционной системе и версии. Некоторые инструменты заметно ускоряются или замедляются от версии к версии, а общая медиана это скрывает.
5. Смотрите, равна ли стабильность 100%. Стабильность проверяет, что изображения загружаются с ожидаемыми размерами; все, что ниже 100%, часто означает подмену, внедрение или обрыв соединений на полпути. Быстрым, но нестабильным инструментом пользоваться утомительно.

Подробности всего этого — в статьях Как читать рейтинг и Как мы измеряем.

Запустите тест сами

Данные приходят от пользователей, и вы можете их пополнить. Откройте страницу теста, выберите регион, укажите, пользуетесь ли вы инструментом обхода блокировок, и введите его название. Одно соглашение об именовании: если вы пользуетесь подписочным сервисом, вводите название провайдера, а не клиента. «Clash» или «v2rayN» никому ничего не говорят, потому что один и тот же клиент подключается к любому провайдеру. Тест занимает минуту-две; результат попадает в рейтинг анонимно, записывается только страна внешнего IP и никогда — ваш реальный адрес.

Вопросы и ответы

Новый протокол всегда лучше? Не обязательно. Новые протоколы обычно появляются в ответ на новые методы блокировки, но в них больше ошибок реализации и меньше вариантов клиентов. Многие инструменты, месяцами держащиеся у вершины рейтинга, используют протоколы многолетней давности — просто у них хорошие узлы и хорошая конфигурация.

Просто купить то, что на первом месте? Первое место означает лучшее среднее по рангам скорости, задержки и стабильности при текущих фильтрах, и ничего больше. Сначала выставьте регион и операционную систему под свою ситуацию, затем сравните число тестов и временной охват у нескольких лидеров и попробуйте тот, у кого есть пробный период или короткая подписка.

У инструмента вместо ранга стоит «—». Он плохой? Ему просто не хватает данных: меньше 5 тестов или охват короче 48 часов. Вы можете запустить несколько тестов сами и помочь ему пройти порог.