⚡ Автономный способ обхода DPI и эффективный способ обхода блокировок сайтов по IP-адресу. GoodbyeDPI и ReQrypt + Blockcheck (ОБНОВЛЕНО 01 Ноября 2019)

ValdikSS 31 Окт 2019 писал(а):

GoodbyeDPI v0.1.6
Новая функция: отправка фейковых HTTP/HTTPS-запросов (опции --set-ttl и --wrong-chksum). На удивление эффективный метод, работает с теми DPI, на которых GoodbyeDPI раньше не работал: ТТК, мобильный Теле2, новый суверенный DPI Ростелекома-Урал, Turk Telekom.
https://github.com/ValdikSS/GoodbyeDPI/releases

ValdikSS 31 Окт 2019 писал(а):

Всё ещё ищу человека, который может предоставить канал МГТС для тестирования.

Провайдеры Российской Федерации, в большинстве своем, применяют системы глубокого анализа трафика (DPI, Deep Packet Inspection) для блокировки сайтов, внесенных в реестр запрещенных.

Не существует единого стандарта на DPI, есть большое количество реализации от разных поставщиков DPI-решений, отличающихся по типу подключения и типу работы.

Существует два распространенных типа подключения DPI: пассивный и активный.

Пассивный DPI — DPI, подключенный в провайдерскую сеть параллельно (не в разрез) либо через пассивный оптический сплиттер, либо с использованием зеркалирования исходящего от пользователей трафика. Такое подключение не замедляет скорость работы сети провайдера в случае недостаточной производительности DPI, из-за чего применяется у крупных провайдеров. DPI с таким типом подключения технически может только выявлять попытку запроса запрещенного контента, но не пресекать ее. Чтобы обойти это ограничение и заблокировать доступ на запрещенный сайт, DPI отправляет пользователю, запрашивающему заблокированный URL, специально сформированный HTTP-пакет с перенаправлением на страницу-заглушку провайдера, словно такой ответ прислал сам запрашиваемый ресурс (подделывается IP-адрес отправителя и TCP sequence). Из-за того, что DPI физически расположен ближе к пользователю, чем запрашиваемый сайт, подделанный ответ доходит до устройства пользователя быстрее, чем настоящий ответ от сайта.

Выявляем и блокируем пакеты пассивного DPI
Поддельные пакеты, формируемые DPI, легко обнаружить анализатором трафика, например, Wireshark.
Пробуем зайти на заблокированный сайт:

Мы видим, что сначала приходит пакет от DPI, с HTTP-перенаправлением кодом 302, а затем настоящий ответ от сайта. Ответ от сайта расценивается как ретрансмиссия и отбрасывается операционной системой. Браузер переходит по ссылке, указанной в ответе DPI, и мы видим страницу блокировки.

Рассмотрим пакет от DPI подробнее:

Код: выделить все

HTTP/1.1 302 Found
Connection: close
Location: http://warning.rt.ru/?id=17&st=0&dt=195.82.146.214&rs=http%3A%2F% .org%2F

В ответе DPI не устанавливается флаг «Don't Fragment», и в поле Identification указано 1. Серверы в интернете обычно устанавливают бит «Don't Fragment», и пакеты без этого бита встречаются нечасто. Мы можем использовать это в качестве отличительной особенности пакетов от DPI, вместе с тем фактом, что такие пакеты всегда содержат HTTP-перенаправление кодом 302, и написать правило iptables, блокирующее их:

Код: выделить все

# iptables -A FORWARD -p tcp --sport 80 -m u32 --u32 "0x4=0x10000 && 0x60=0x7761726e && 0x64=0x696e672e && 0x68=0x72742e72" -m comment --comment "Rostelecom HTTP" -j DROP

Что это такое? Модуль u32 iptables позволяет выполнять битовые операции и операции сравнения над 4-байтовыми данными в пакете. По смещению 0x4 хранится 2-байтное поле Indentification, сразу за ним идут 1-байтные поля Flags и Fragment Offset.
Начиная со смещения 0x60 расположен домен перенаправления (HTTP-заголовок Location).
Если Identification = 1, Flags = 0, Fragment Offset = 0, 0x60 = «warn», 0x64 = «ing.», 0x68 = «rt.ru», то отбрасываем пакет, и получаем настоящий ответ от сайта.

В случае с HTTPS-сайтами, DPI присылает TCP Reset-пакет, тоже с Identification = 1 и Flags = 0.

Активный DPI — DPI, подключенный в сеть провайдера привычным образом, как и любое другое сетевое устройство. Провайдер настраивает маршрутизацию так, чтобы DPI получал трафик от пользователей к заблокированным IP-адресам или доменам, а DPI уже принимает решение о пропуске или блокировке трафика. Активный DPI может проверять как исходящий, так и входящий трафик, однако, если провайдер применяет DPI только для блокирования сайтов из реестра, чаще всего его настраивают на проверку только исходящего трафика.

Системы DPI разработаны таким образом, чтобы обрабатывать трафик с максимально возможной скоростью, исследуя только самые популярные и игнорируя нетипичные запросы, даже если они полностью соответствуют стандарту.

Изучаем стандарт HTTP
Типичные HTTP-запросы в упрощенном виде выглядят следующим образом:

Код: выделить все

GET / HTTP/1.1
Host: habrahabr.ru
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:49.0) Gecko/20100101 Firefox/50.0
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

Запрос начинается с HTTP-метода, затем следует один пробел, после него указывается путь, затем еще один пробел, и заканчивается строка протоколом и переносом строки CRLF.
Заголовки начинаются с большой буквы, после двоеточия ставится символ пробела.

Давайте заглянем в последнюю версию стандарта HTTP/1.1 от 2014 года. Согласно RFC 7230, HTTP-заголовки не зависят от регистра символов, а после двоеточия может стоять произвольное количество пробелов (или не быть их вовсе).

Код: выделить все

Each header field consists of a case-insensitive field name followed
   by a colon (":"), optional leading whitespace, the field value, and
   optional trailing whitespace.

     header-field   = field-name ":" OWS field-value OWS

     field-name     = token
     field-value    = *( field-content / obs-fold )
     field-content  = field-vchar [ 1*( SP / HTAB ) field-vchar ]
     field-vchar    = VCHAR / obs-text

     obs-fold       = CRLF 1*( SP / HTAB )
                    ; obsolete line folding

OWS — опциональный один или несколько символов пробела или табуляции, SP — одинарный символ пробела, HTAB — табуляция, CRLF — перенос строки и возврат каретки (\r\n).

Это значит, что запрос ниже полностью соответствует стандарту, его должны принять многие веб-серверы, придерживающиеся стандарта:

Код: выделить все

GET / HTTP/1.1
hoSt:habrahabr.ru
user-agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:49.0) Gecko/20100101 Firefox/50.0
Accept-Encoding:           gzip, deflate, br
coNNecTion:  keep-alive      ‡здесь символ табуляции между двоеточием и значением

На деле же, многие веб-серверы не любят символ табуляции в качестве разделителя, хотя подавляющее большинство серверов нормально обрабатывает и отсутствие пробелов между двоеточием в заголовках, и множество пробелов.

Старый стандарт, RFC 2616, рекомендует снисходительно парсить запросы и ответы сломанных веб-северов и клиентов, и корректно обрабатывать произвольное количество пробелов в самой первой строке HTTP-запросов и ответов в тех местах, где требуется только один:
Clients SHOULD be tolerant in parsing the Status-Line and servers tolerant when parsing the Request-Line. In particular, they SHOULD accept any amount of SP or HT characters between fields, even though only a single SP is required.
Этой рекомендации придерживаются далеко не все веб-серверы. Из-за двух пробелов между методом и путем ломаются некоторые сайты.

Спускаемся на уровень TCP
Соединение TCP начинается с SYN-запроса и SYN/ACK-ответа. В запросе клиент, среди прочей информации, указывает размер TCP-окна (TCP Window Size) — количество байт, которые он готов принимать без подтверждения передачи. Сервер тоже указывает это значение. В интернете используется значение MTU 1500, что позволяет отправить до 1460 байтов данных в одном TCP-пакете.
Если сервер указывает размер TCP-окна менее 1460, клиент отправит в первом пакете данных столько, сколько указано в этом параметре.

Если сервер пришлет TCP Window Size = 2 в SYN/ACK-пакете (или мы его изменим на это значение на стороне клиента), то браузер отправит HTTP-запрос двумя пакетами:

Пакет 1:

Код: выделить все

GE

Пакет 2:

Код: выделить все

T / HTTP/1.1
Host: habrahabr.ru
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:49.0) Gecko/20100101 Firefox/50.0
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

Используем особенности HTTP и TCP для обхода активного DPI
Многие решения DPI ожидают заголовки только в стандартном виде.
Для блокировки сайтов по домену или URI, они ищут строку "Host: " в теле запроса. Стоит заменить заголовок «Host» на «hoSt» или убрать пробел после двоеточия, и перед вами открывается запрошенный сайт.
Не все DPI можно обмануть таким простым трюком. DPI некоторых провайдеров корректно анализируют HTTP-заголовки в соответствии со стандартом, но не умеют собирать TCP-поток из нескольких пакетов. Для таких DPI подойдет «фрагментирование» пакета, путем искусственного уменьшения TCP Window Size.

В настоящий момент, в РФ DPI устанавливают и у конечных провайдеров, и на каналах транзитного трафика. Бывают случаи, когда одним способом можно обойти DPI вашего провайдера, но вы видите заглушку транзитного провайдера. В таких случаях нужно комбинировать все доступные способы.

Программа для обхода DPI
Я написал программу для обхода DPI под Windows: GoodbyeDPI (скачать) (см. описание, параметры запуска).
Она умеет блокировать пакеты с перенаправлением от пассивного DPI, заменять Host на hoSt, удалять пробел между двоеточием и значением хоста в заголовке Host, «фрагментировать» HTTP и HTTPS-пакеты (устанавливать TCP Window Size), и добавлять дополнительный пробел между HTTP-методом и путем.
Преимущество этого метода обхода в том, что он полностью автономный: нет внешних серверов, которые могут заблокировать.

См. также добавку к нему с графическим интерфейсом Launcher for GoodbyeDPI

По умолчанию активированы опции, нацеленные на максимальную совместимость с провайдерами, но не на скорость работы. Запустите программу следующим образом:

Код: выделить все

goodbyedpi.exe -1 -a

Если заблокированные сайты стали открываться, DPI вашего провайдера можно обойти.
Попробуйте запустить программу с параметром -2 и зайти на заблокированный HTTPS-сайт. Если все продолжает работать, попробуйте режим -3 и -4 (наиболее быстрый).
Некоторые провайдеры, например, Мегафон и Yota, не пропускают фрагментированные пакеты по HTTP, и сайты перестают открываться вообще. С такими провайдерами используйте опцию -3 -a

!

Актуальную версию GoodbyeDPI можно скачать также и здесь:

ValdikSS 14.04.2019 в 12:11 писал(а):

https://bitbucket.org/ValdikSS/goodbyedpi/
https://bitbucket.org/ValdikSS/goodbyedpi/downloads/

!

ValdikSS писал(а):

Нужны дампы pcap провайдеров, предоставляющих доступ в IPv6, и блокирующих по этому протоколу!

ValdikSS писал(а):

Если ваш провайдер предоставляет доступ к IPv6, и сайты блокируются и по IPv6 тоже, то нужно сделать следующее:

ValdikSS 23 Фев 2018 писал(а):

У кого перестали открываться HTTPS-сайты за последнюю неделю, пожалуйста, предоставьте мне доступ к вашему интернет-каналу. Можно сделать это через VPN, можно через SSH на виртуальную машину — не принципиально.

ValdikSS 26 декабря 2018 писал(а):

Если ваш провайдер использует DPI, но GoodbyeDPI не разблокирует сайты или разблокирует только частично, либо если сайты перестают открываться вовсе, предлагаю предоставить мне свой интернет-канал, для тестирования разных новых способов обхода DPI и улучшения программы.

ValdikSS 22 Сен 2019 писал(а):

Сделал специальную версию Blockcheck, для проведения эксперимента с обходом DPI для HTTPS-запросов.
Просьба скачать и запустить эту версию, прежде всего тем, у кого GoodbyeDPI не работает с HTTPS-сайтами (особенно на проводном МТС и подобных провайдерах, где включение GoodbyeDPI приводит к недоступности ВСЕХ HTTPS-сайтов).

https://github.com/ValdikSS/blockcheck/releases/tag/tls_experiment_v1 (сборка только под Windows)

Эффективное проксирование для обхода блокировок по IP
В случае блокировок по IP-адресу, провайдеры фильтруют только исходящие запросы на IP-адреса из реестра, но не входящие пакеты с этих адресов.
Программа ReQrypt работает как эффективный прокси-сервер: исходящие от клиента пакеты отправляются на сервер ReQrypt в зашифрованном виде, сервер ReQrypt пересылает их серверу назначения с подменой исходящего IP-адреса на клиентский, сервер назначения отвечает клиенту напрямую, минуя ReQrypt.

Если наш компьютер находится за NAT, мы не можем просто отправить запрос на сервер ReQrypt и ожидать ответа от сайта. Ответ не дойдет, т.к. в таблице NAT не создана запись для этого IP-адреса.
Для «пробива» NAT, ReQrypt отправляет первый пакет в TCP-соединении напрямую сайту, но с TTL = 3. Он добавляет запись в NAT-таблицу роутера, но не доходит до сайта назначения.

Долгое время разработка была заморожена из-за того, что автор не мог найти сервер с возможностью спуфинга. Спуфинг IP-адресов часто используется для амплификации атак через DNS, NNTP и другие протоколы, из-за чего он запрещен у подавляющего большинства провайдеров. Но сервер все-таки был найден, хоть и не самый удачный. Разработка продолжается.

ValdikSS писал(а):

32-битную версию ReQrypt можно скачать здесь: https://reqrypt.org/download/
Ее не тестировали.

Заключение и TL;DR
GoodbyeDPI — программа под Windows, позволяющая обходить пассивные и активные DPI. Просто скачайте и запустите ее, и заблокированные сайты станут снова доступны.
Для Linux есть аналогичная программа — zapret.

Определить тип блокировки сайтов можно программой Blockcheck.
Если в тестах DPI вы видите, что сайты открываются, или видите строку «обнаружен пассивный DPI», то GoodbyeDPI вам поможет.
Если нет, используйте кроссплатформенную программу ReQrypt, если ваш провайдер блокирует сайты по IP-адресу.

Автор: ValdikSS
Источник: Habr

!

Пожалуйста, не пишите в этом топике о надстройках к браузерам и прочих методах обхода блокировок, не связанных с вопросами по GoodbyeDPI и ReQrypt.
Пожалуйста, не пишите в этом топике багрепорты и просьбы по изменению функционала ReQrypt, обращайтесь к его разработчику basil00 на GitHub'е.
Пожалуйста, не захлямляйте топик, не добавляйте работы модераторам, и тем самым не мешайте людям найти полезную информацию по теме.

⚡ Поддержка АнтиЗапрета

lemuriec писал(а):

Народ - не пойму известный трекер и ннм разблокировали? у меня сегодня зашло на сайт без впна. что за чудеса?

Это у вас провайдер так блокирует. У меня на ТТК ничего не открывается.

Код: выделить все

iptables --append INPUT --protocol tcp --sport 80 --match string --algo bm --string "http://warning.rt.ru/" --jump DROP

Код: выделить все

iptables --append INPUT --protocol tcp --sport 443 --tcp-flags RST RST --jump DROP

Ростелеком, Новосибирская область, все прекрасно работает

У меня сегодня перестал логиниться профиль Open VPN, что-то поменялось?

ayaks73 писал(а):

У меня сегодня перестал логиниться профиль Open VPN, что-то поменялось?

Судя по всему Вы ошиблись темой. Скорее всего Вы имели ввиду VPN ДЛЯ ПОЛЬЗОВАТЕЛЕЙ КЛУБА? Если да то тогда Вам нужно было написать там а не здесь. Здесь обсуждается другой способ обхода блокировки.

провайдер МГТС - на работает последняя версия GoodbyeDPI v0.1.6. Скачана с релиза на гитхабе.

http. https не открываются сайты. если без программы, то идет 302 и плдмена https сертификата

У кого-нибудь работает программа для DPI МГТС?

BlockCheck v0.0.9.8

BlockCheck v0.0.9.8
Для получения корректных результатов используйте DNS-сервер провайдера и отключите средства обхода блокировок.

Проверка работоспособности IPv6: IPv6 доступен!
IP: 109.252.31.xxx, IPv6: 2a00:1370:813d:e06b:xxxx::, провайдер: OJS Moscow city telephone network/ МГТС ОАО

[O] Тестируем IPv4 DNS
Через системный DNS: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Через Google DNS: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Через Google API: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Несуществующий DNS не вернул адресов (это не ошибка)
[✓] DNS-записи не подменяются
[✓] DNS не перенаправляется

[O] Тестируем IPv6 DNS
Через системный DNS: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Через Google DNS: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Через Google API: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Несуществующий DNS не вернул адресов (это не ошибка)
[✓] DNS-записи не подменяются
[✓] DNS не перенаправляется

[O] Тестируем HTTP
Открываем http://a.putinhuylo.com/
[✓] Сайт открывается
Открываем http://furry.booru.org/
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси
Открываем http://furry.booru.org/index.php?page=post&s=view&id=111173
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси
Открываем http://pbooru.com/
[!] Сайт открывается только по IPv4
[☠] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Пробуем через прокси.
[✓] Сайт открывается через прокси
Открываем http://pbooru.com/index.php?page=post&s=view&id=303026
[☠] Сайт не открывается, пробуем через прокси
[☠] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Считаем заблокированным.
Проверяем доступность через isup.me
[⁇] Неожиданный ответ от isup.me, код 403
Открываем http:// .org/forum/index.php
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси

[O] Тестируем HTTPS
Открываем https://e621.net/
[☠] Сертификат подменяется
Открываем https://lolibooru.moe/
[☠] Сертификат подменяется
Открываем https:// .org/forum/index.php
[☠] Сертификат подменяется
Открываем https://www.dailymotion.com/
[☠] Сертификат подменяется

[O] Тестируем обход DPI (только IPv4)
Пробуем способ «дополнительный пробел после GET» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «заголовок hOSt вместо Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «заголовок hoSt вместо Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «необычный порядок заголовков» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «перенос строки в заголовках в UNIX-стиле» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «перенос строки перед GET» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «табуляция в конце домена» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «точка в конце домена» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «фрагментирование заголовка» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «дополнительный пробел после GET» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «заголовок hOSt вместо Host» на .org
[✓] Сайт открывается
Пробуем способ «заголовок hoSt вместо Host» на .org
[✓] Сайт открывается
Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на .org
[✓] Сайт открывается
Пробуем способ «необычный порядок заголовков» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на .org
[✓] Сайт открывается
Пробуем способ «перенос строки в заголовках в UNIX-стиле» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «перенос строки перед GET» на .org
[✓] Сайт открывается
Пробуем способ «табуляция в конце домена» на .org
[☠] Сайт не открывается
Пробуем способ «точка в конце домена» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «фрагментирование заголовка» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на .org
[✓] Сайт открывается

[!] Результат:
[⚠] Ваш провайдер подменяет HTTPS-сертификат на свой для сайтов из реестра.
[⚠] isup.me даёт неожиданные ответы или недоступен. Рекомендуем повторить тест, когда он начнёт работать. Возможно, эта версия программы устарела. Возможно (но маловероятно), что сам isup.me уже занесён в чёрный список.
[⚠] Если проигнорировать isup.me, то у вашего провайдера "обычный" DPI для IPv4. Вам поможет HTTPS/Socks прокси, VPN или Tor.

BlockCheck v0.0.9.8-tls_experiment_v1

BlockCheck v0.0.9.8-tls_experiment_v1
Для получения корректных результатов используйте DNS-сервер провайдера и отключите средства обхода блокировок.

Проверка работоспособности IPv6: IPv6 доступен!
IP: 109.252.31.xxx, IPv6: 2a00:1370:813d:e06b:xxxx::, провайдер: OJS Moscow city telephone network/ МГТС ОАО

[O] Тестируем IPv4 DNS
Через системный DNS: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Через Google DNS: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Через Google API: ['104.18.182.1', '104.18.183.1', '104.26.10.39', '104.26.11.39', '104.26.4.231', '104.26.5.231', '195.8.215.136', '195.82.146.214', '208.100.28.56', '67.202.114.141']
Несуществующий DNS не вернул адресов (это не ошибка)
[✓] DNS-записи не подменяются
[✓] DNS не перенаправляется

[O] Тестируем IPv6 DNS
Через системный DNS: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Через Google DNS: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Через Google API: ['2606:4700:20::681a:4e7', '2606:4700:20::681a:5e7', '2606:4700:20::681a:a27', '2606:4700:20::681a:b27', '2606:4700::6812:b601', '2606:4700::6812:b701', '2607:f128:53::44', '2a03:42e0::214']
Несуществующий DNS не вернул адресов (это не ошибка)
[✓] DNS-записи не подменяются
[✓] DNS не перенаправляется

[O] Тестируем HTTP
Открываем http://a.putinhuylo.com/
[✓] Сайт открывается
Открываем http://furry.booru.org/
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси
Открываем http://furry.booru.org/index.php?page=post&s=view&id=111173
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси
Открываем http://pbooru.com/
[!] Сайт открывается только по IPv4
[☠] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Пробуем через прокси.
[✓] Сайт открывается через прокси
Открываем http://pbooru.com/index.php?page=post&s=view&id=303026
[☠] Сайт не открывается, пробуем через прокси
[☠] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Считаем заблокированным.
Проверяем доступность через isup.me
[⁇] Неожиданный ответ от isup.me, код 403
Открываем http:// .org/forum/index.php
[☠] Сайт не открывается, пробуем через прокси
[✓] Сайт открывается через прокси

[O] Тестируем HTTPS
Открываем https://e621.net/
[☠] Сайт не открывается
Открываем https://lolibooru.moe/
[☠] Сайт не открывается
Открываем https:// .org/forum/index.php
[☠] Сайт не открывается
Открываем https://www.dailymotion.com/
[☠] Сайт не открывается

[O] Тестируем обход DPI (только IPv4)
Пробуем способ «дополнительный пробел после GET» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «заголовок hOSt вместо Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «заголовок hoSt вместо Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «необычный порядок заголовков» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «перенос строки в заголовках в UNIX-стиле» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «перенос строки перед GET» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «табуляция в конце домена» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «точка в конце домена» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «фрагментирование заголовка» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на pbooru.com
[☠] Сайт не открывается
Пробуем способ «дополнительный пробел после GET» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «заголовок hOSt вместо Host» на .org
[✓] Сайт открывается
Пробуем способ «заголовок hoSt вместо Host» на .org
[✓] Сайт открывается
Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на .org
[✓] Сайт открывается
Пробуем способ «необычный порядок заголовков» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на .org
[✓] Сайт открывается
Пробуем способ «перенос строки в заголовках в UNIX-стиле» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «перенос строки перед GET» на .org
[✓] Сайт открывается
Пробуем способ «табуляция в конце домена» на .org
[☠] Сайт не открывается
Пробуем способ «точка в конце домена» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «фрагментирование заголовка» на .org
[☠] Ошибка: ConnectionResetError(10054, 'An existing connection was forcibly closed by the remote host', None, 10054, None)
Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на .org
[✓] Сайт открывается

[O] Тестируем обход DPI (HTTPS)
Пробуем Обычный запрос на dailymotion.com
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на dailymotion.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding на dailymotion.com
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на dailymotion.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на dailymotion.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на dailymotion.com
[✓] Сайт открывается
Пробуем Обычный запрос на danbooru.donmai.us
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на danbooru.donmai.us
[☠] Ошибка (TLS): SSLError(1, '[SSL: SSLV3_ALERT_HANDSHAKE_FAILURE] sslv3 alert handshake failure (_ssl.c:1076)')
Пробуем ClientHello с большим padding на danbooru.donmai.us
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на danbooru.donmai.us
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на danbooru.donmai.us
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на danbooru.donmai.us
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем Обычный запрос на e621.net
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на e621.net
[☠] Ошибка (TLS): SSLError(1, '[SSL: SSLV3_ALERT_HANDSHAKE_FAILURE] sslv3 alert handshake failure (_ssl.c:1076)')
Пробуем ClientHello с большим padding на e621.net
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на e621.net
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на e621.net
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на e621.net
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем Обычный запрос на gelbooru.com
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на gelbooru.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding на gelbooru.com
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на gelbooru.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на gelbooru.com
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на gelbooru.com
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем Обычный запрос на .org
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на .org
[✓] Сайт открывается
Пробуем ClientHello с большим padding на .org
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на .org
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на .org
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на .org
[✓] Сайт открывается
Пробуем Обычный запрос на zello.com
[☠] Ошибка (TLS): SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate (_ssl.c:1076)')
Пробуем ClientHello без SNI на zello.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding на zello.com
[☠] Ошибка (TLS): timeout('_ssl.c:1059: The handshake operation timed out')
Пробуем ClientHello с большим padding и SNI только в конце padding на zello.com
[✓] Сайт открывается
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным до padding на zello.com
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')
Пробуем ClientHello с большим padding, поддельным SNI в начале и правильным после padding на zello.com
[☠] Ошибка (TLS): SSLError(1, '[SSL: TLSV1_ALERT_DECODE_ERROR] tlsv1 alert decode error (_ssl.c:1076)')

[!] Результат:
[⚠] Ваш провайдер полностью блокирует доступ к HTTPS-сайтам из реестра.
[⚠] isup.me даёт неожиданные ответы или недоступен. Рекомендуем повторить тест, когда он начнёт работать. Возможно, эта версия программы устарела. Возможно (но маловероятно), что сам isup.me уже занесён в чёрный список.
[⚠] Если проигнорировать isup.me, то у вашего провайдера "обычный" DPI для IPv4. Вам поможет HTTPS/Socks прокси, VPN или Tor.

22 регион, Провайдер РТК, работает идеально

Спасибо.
Работает с -4 -a (ростелеком, владивосток)

Поставил новую версию GoodbyeDPI v0.1.6. Поначалу все работало, потом стало через раз, сегодня перестали открываться. Ситуация такая же как у Unlimited01. Оператор МТС. Спасает Opera-VPN.

Все это здорово но ,кроме платформы Windows NT на которой сидит 70-80% пользователей есть ещё Linux ,OXs и пр. нельзя никак эту разработку портировать на другие платформы ??? :незнает:

Или для Linux одна тропинка VPN ?? :огорчение:

PS Думаю не стоило сырцы и пр. в открытый доступ на https://github.com/ заливать прям готовое пособие сист адм . провайдера как бороться с обходом блокировок

Обновили оборудование для блокировок похоже. У меня даже VPN не стабильно работает. Переодически кидаеет на сайт блокировки. Я даже не знаю за чем так круто подходить все равно жопа ужее.

F-Secure Freedom не дает загрузить торрент, гружу магнит.
OpenVPN GUI перестал работать - блокируются конфигурации, даже конфигурация NNMCLUB.
Вангую: идут перемены, появятся новые проблемы с доступом.

Unlimited01
Michail_M
Этажа та самая история что и у меня. Московская область, провайдер ТЕЛЕСЕТЬ+, подмена сертификатов. Но самое забавное, что это происходит только на Win10, проверил на 8.1 и 7 - там проблема не воспроизводиться.

На моем провайдере проблема решилась только после того как я зашифровал все ДНС запросы.

Sergmangos писал(а):

Unlimited01
Michail_M
Этажа та самая история что и у меня. Московская область, провайдер ТЕЛЕСЕТЬ+, подмена сертификатов. Но самое забавное, что это происходит только на Win10, проверил на 8.1 и 7 - там проблема не воспроизводиться.

Я не гуру, но похоже нужно ttl изменить

Домру в СПб не хочет пускать меня на любимый nnmclub...