【图说天朝】默安科技 “翻墙行为态势监测”

默安科技网站:https://www.moresec.cn/

3月13日,网传一张来源不详的图片,该图显示国内某部门正在进行"翻墙行为态势监测"的有关工作(疑似默安科技所在地),图片放大后左下角有"幻阵"字样,经检索为"默安科技"所开发的"网络攻击欺骗与威胁检测系统"。图片右下角"加密通道态势感知"一栏下列有"VPN"图标以及疑似的自由门logo。

图片来自网络 来源不详

该图右方被马赛克屏蔽(但"伙伴"两字露出),经中国数字时代编辑搜索发现,被屏蔽内容有较大可能为默安科技公司logo:

在""的"幻阵——攻击欺骗与威胁检测系统"产品介绍部分,其宣称该产品可部署于运营商的业务环境,具备对目标"网络身份和指纹信息识别、取证和溯源"的功能。

2018年1月2日,中国移动对"默安科技"团队于"第十九次全国代表大会和第四届世界互联网大会乌镇峰会期间提供的网络安全保障服务",给予肯定和感谢。

2018年4月3日,"默安科技"圆满完成"两会"信息安全保障工作

2018年11月20日,"默安科技"获得"国家信息安全服务资质证书"。

翻墙?隐私?今天聊聊VPN的那些事儿



三年前斯诺登泄密事件揭露的东西,从安全的角度看对互联网服务提供商来讲并没有太多的帮助,甚至可以说做的有些过火。同时也模糊了反恐政策的概念。

而当新闻爆出像NSA的Vulcan数据库或者它的Diffie-Hellman策略时,任何一个网络隐私主义者看过了都会心中发颤。突然间似乎每个人都需要重新评估下某些网上用于保持隐私的工具——VPN。

传统VPN简介

VPN(虚拟专用网络),这款工具通常用于混淆用户的IP地址,或在用户进行WEB浏览时增加一层安全保护。它会把你的流量转到加密且安全的VPN服务器上。

不同的人使用VPN的目的也不同,有些人可能是用它来改变自身的IP地址,这样就可以获取一些其他地域的媒体内容,或者能匿名下载一些东西。还有的人希望以此规避广告商的网络追踪,或者防止盗用WIFI后的负面影响,甚至只是为了在他们访问特定网站时隐藏真实的IP地址。

然而VPN的质量也是参差不齐的。事实上某些存在问题的VPN会让用户的安全更加脆弱。某些VPN是禁用了torrent下载的,还有些会记录下信息,跟踪上网行为,或者按照当地的法律对数据进行保留。

去年我开始尝试整理一份好的VPN列表,虽然网上已有不少类似的VPN清单,但是通常都充斥着附加内容链接,很难确认其准确性。

这份VPN比较图表,里面概述了VPN业务流程、日志记录、服务配置和其他特性。但它存在矛盾策略,并误导读者,声明各类的服务是100%有效的。但其实大部分内容是从真实的VPN网站导入的,这就意味着可能会混入一些错误信息。

几个月的研究后,笔者的尝试都失败了。所以现在笔者仍然不能推荐一组安全的VPN列表给大家。相反的是,研究结果刷新了笔者对目前VPN的三观。当涉及到日志记录的时候,评估可行性和验证准确性也不是件容易的事,所以,我觉得与其给大家一个简单的列表,还是提供一些指导方针更加靠谱,让大家自己了解在本年度哪些VPN是有效可用的。

VPN不是用来匿名的

关于VPN的一个常见的误读是:它们会给大家提供匿名功能,即使是针对民族主义者。但是,安全研究员Kenneth White表示:

"如果政府对目标进行专门的监测追踪,VPN是不足以做到这一点的。"

事实上,VPN声称的会给提供用户匿名性,是"不可行的,不负责的,或者两者兼备的"。DNSleaktest.com的站长Jeremy Campbell在邮件里告诉记者:

"为了实现匿名去使用公共VPN是非常愚蠢而危险的,无论服务配置的有多么安全,匿名技术本身并没有在这里实现。VPN服务要求你信任他们,但匿名系统本身是没有这个属性的。"

White没有坚持完全放弃VPN,但是他警告说它应该作为一个辅助工具,而不是一个隐私的解决方案,他表示:

"相反,像专门的隐私工具如Tor浏览器之类的(里面可能包含了信用良好的VPN),那就是可以使用的。它们不仅实现了匿名化属性,而且浏览器已经进行了大量定制,以实现网络隐私的最大化(比如弱化了cookie、Flash、Java插件等特征)。"

Tor分布式网络,会尝试在多个中继传输流量来实现匿名。但其实它也很难进行核实,没有人知道Tor这样是否能够获得百分百成功。Tor浏览器最近受到了美国国防部的瞩目,这只会强化这种担心。某些批评者认为,Tor会让人们更容易依赖过时版本的Firefox,但这些东西都不能保证是万无一失的。

Johns Hopkins大学的密码学教授Matthew Green表示:

"某些在俄罗斯出口节点的恶意Tor,实际上会偷偷修改二进制文件。所以,如果你不幸在Tor下载文件时碰巧遇到了这些节点,它们可能会将它转换成恶意软件。"

尽管Green并没有听说过VPN发生过这样的事,但他指出这样的攻击是存在可能的。与多数VPN不同,Tor和Tor浏览器通常用于高风险的情况,工程师需要迅速修复安全漏洞,这样的方式可能不适用于所有的VPN。

用VPN来BT下载安全吗?

某些VPN提供商会禁用p2p,如果有必要还会把用户的名字给版权所有者。代表版权所有者的利益的,可能会取消惯犯的账户。希望使用VPN进行torrent下载和流媒体观看的亲们,可以寻找那些特殊的服务提供商(或者不保留日志),但是问题又来了,Campbell表示:

"然而,我们并没有办法验证VPN提供商所说的话。大家必须依靠新闻报道和网上论坛的讨论等等,来判断服务提供商的声誉。"

看来,必须时刻保持警惕才行。

VPN可以"防御"广告追踪?

尽管VPN能掩饰你的IP地址,但它不一定能保证你免受间谍广告和追踪的困扰。

Campbell表示:

"VPN提供的防广告追踪的技术可以忽略不计,因为IP掩盖是一个弱标志。网络广告更倾向于cookies、supercookies和浏览器指纹技术,这些东西VPN是无法进行保护的。"

为了防止无处不在的广告跟踪,广告阻断器uBlock、uBlock origin,以及追踪阻断器PrivacyBadger或Disconnect会提供一定程度的保护。

禁用JS代码,或者使用Firefox下的NoScript可以消除一些指纹。更高级的用户可以使用虚拟机或者沙箱浏览器。当然,Tor浏览器也能防止产生特定浏览器指纹。

VPN让你更危险?

用户使用VPN的是为了保护自身网络安全,特别是在处于公共WIFI之下的时候。GoGo被爆出使用了Youtube的伪造证书,这可能会泄露用户的流量,包括用户的Youtube密码。

因为VPN建立了用户和VPN商服务器之间的通道,所以用户对于VPN提供商的信任非常重要。毕竟提供商能看到和记录你所有的流量,甚至可以更改你的流量内容。一个VPN的配置不当,黑客就可能直接访问你的本地局域网,这比别人在咖啡店网络下,嗅探你的流量更加可怕。

"如果VPN服务供应商不老实的话,你只能自己做祈祷了。你得时刻担心是否会在本地局域网被人黑掉,若是使用了一个粗制滥造的VPN服务,很可能就会把自己推入虎口。"

预共享密钥

White提供了一个VPN的列表,在网上已有共享密钥发布。

"如果我知道了你正在使用的VPN预共享密钥,并且我控制了你所在WIFI的热点,那么就可以进行中间人攻击并且解密你的上网行为。也就是说,当黑客拥有这预共享密钥时,您的网络安全系数就降低了。"

PPTP的代替品

一些VPN还使用了老掉牙的的PPTP VPN协议,这在根本上就是不安全的。更好的选择包括IPSec(有人积极维护)、L2TP/IPSec、IKEv2以及OpenVPN等等。

在上述的几个选项中,IPSec可以设置为不需要安装额外的软件,但有人认为这是故意破坏和削弱NSA(美国国家安全局)的力量。OpenVPN比它还要安全,但是搭建手法更加复杂,需要第三方软件的帮助,以及用户进行正确且复杂的配置。

根据High-Tech Bridge最近的研究发现,SSL VPN中,有90%会使用不安全的或者过时的加密。而有77%使用了不安全的SSLv3(甚至SSLv2)协议,76%用了不可信的SSL证书(黑客可以更轻易的进行中间人攻击,拦截VPN连接中的流量),更有一大部分用的不安全的RSA密钥长度的签名,以及不安全的SHA-1签名。不管你信不信,其中还有10%存在心脏出血漏洞。

数据保留和日志记录

一些VPN会根据本国或当地的法律,进行日志信息保存。而且许多VPN服务提供商会记录大量信息,比如在特定的用户来连接时,是从哪里、从什么时候连上的,甚至还有他们做了哪些连接。

甚至有些VPN服务提供商,日志量少时会记录下重要日志,比如连接的IP地址和用户名,以及内部路由使用的内部负载均衡和服务器维护。某些VPN服务提供商的日志记录可能会很快销毁,而其他的由于本地的相关法律,处理方式会有所不同。不管怎样日志里保存的信息都是足以破除用户匿名性的。

仔细阅读服务条款会帮助你确定服务商日志维护保留的情况,并可以了解他们会如何使用收集到的信息。

但是其中的真伪也很难验证。有人认为进行犯罪活动时VPN也会保护用户的身份,但人家美国政府已经与世界上数十个国家签署了司法互助条约了。

泄露用户隐私

即使用户已经连上了VPN服务器,但某些发出的包可能没有经过VPN通道进行通信,这就泄露了用户的隐私。

Campbell表示:

"从技术角度来讲,我认为最被低估的漏洞就是VPN软件客户端的网络信息泄露。 严重的时候,它可能会危及用户的生命,许多网络安全和隐私社区已经对此漏洞进行了重点关注。"

一些VPN服务提供商设置了规则,在用户出篓子之前,能阻止不安全的连接。比如你首次登入某个WIFI热点,或者从一个热点转入另一个的时候。其他服务商还会允许用户自己设置防火墙规则。

2015年6月,罗马Sapienza大学和伦敦玛丽女王大学的研究人员测试了14款热门的商业VPN服务,他们发现了其中10个会泄露IP的数据,且都会遭受IPV6 DNS劫持攻击。虽然后期研究人员并没有全面复查他们是否修复了,但是也做了一些特别的测试,并发现情况有所改善。但是可能修复了问题后,还存在其他漏洞。

伦敦玛丽女王大学的研究员GarethTyson博士表示:

"我给大家的建议是,如果你担心被政府监控,你应该全方面使用Tor。"

同样,这可能也是一个不完美的解决方案。虽然Tor浏览器提供匿名、规避审查和反监控追踪,但是它并不像VPN一样迅速。更糟糕的是,某些互联网服务提供商会拒绝Tor。

营销宣传

许多声称安全的VPN服务提供商,其实缺乏可信度。某些VPN服务提供商声明不会记录日志,接受比特币,浮夸地表示他们是军用、政府、NSA级别的加密。

而且,VPN不仅仅会存在安全漏洞的问题,还可能是民族主义者的蜜罐,相反,那些事先声明他们的威胁模型,讲清楚能保护的和不能提供保护VPN服务提供商,可能更值得信任。

阅读服务条款有时能给用户一个清晰的认识。比如2015年,免费的以色列VPN Hola被发现将用户带宽出售给Luminati VPN。那些想要隐藏IP地址的用户不知不觉就变成了VPN的出口节点和终点(暴露了自己的IP地址,混入了别人的流量)。

直到8chan留言板运营商 Fredrick Brennan说,直到Hola用户在不知不觉中被利用来攻击他的网站后,才更新了自己的FAQ。

如何寻找可信的VPN

看到上面所有的预防措施和VPN说明了吧,靠它们去找可信的VPN靠谱么?VPN服务提供商表示购者自慎。

某家VPN服务提供商是否使用了最新的协议,该公司的背景和声誉如何,服务条款是否容易理解,这些VPN 到底能防护什么和未能照顾到什么,它对于信息披露的细节表达了足够诚实吗?

抛开这些因素,Campbell建议大家看看公司的行为,他说这可能会显示出一个服务商是否关心客户的隐私。这三年来,他自己也在寻找一个清晰明确的隐私政策,而不是只有样板政策的公司。

Campbell警告道:

"在斯诺登泄密事件后,过去几年已有了很多廉价的VPN服务提供商。这些新入行的VPN服务提供商在安全方面做的不是很好。许多情况,他们想把部分服务器的主机业务转为带宽业务,但是他们完全没有安全方面的经验。"

作为最后一个预防措施,Campbell也在寻找不通过第三方系统捕获用户敏感数据的VPN,他表示:

"任何尊重客户隐私的VPN服务提供商,都不会去触碰与客户交互的系统,比如第三方聊天脚本、支持票务系统、博客评论等等。用户通常会在请求包里提交非常敏感的数据,但是他们并不一定清楚他们的VPN服务提供商是否单独监控了流量系统。"

自己动手,丰衣足食

根据你的隐私需求,一个满意的预解决方案可能并不存在。如果是这样的话,懂技术的用户可以自己搭建VPN。如果你的方案里更在意速度,你可以在DigitalOcean、Amazon主机、Vultur,、OVH或者其他可靠的主机商的VPS运行Streisand。

Streisand是在土耳其推特全面被封杀后推出的,它的目的是为了帮助用户绕过互联网封锁。Streisand的Github页面称:

"Streisand可以在服务器上搭建L2TP/IPsec、OpenConnect、OpenSSH、OpenVPN、Shadowsocks、sslh、Stunnel,以及Tor桥,它还会为这些服务生成自定义配置指令。"

其缔造者Joshua Lund告诉记者,Streisand的目标之一就是使得安装过程尽可能简单。他设想这个开源服务能够成长为一个"集中式知识存储库",成为一个自动化升级最佳实践的社区。

Lund 在邮件中告诉记者:

"Streisand将几个最困难的步骤实现了自动化,大大提升了安全性。比如Streisand配置OpenVPN时会启用TLS认证(又名HMAC防火墙)",生成了一个自定义组的Diffie-Hellman参数,启用了一个更强大的多密钥校验机制(AES-256/SHA-256替代了原来默认的Blowfish/SHA1)。 许多用户在手动配置时,其实会跳过这些选择性的耗时步奏。事实上,大多数商业VPN服务商并不启用这些OpenVPN配置。

Streisand还有个好处在于,当自动安全更新和安装过程后,约十分钟就能让用户得到一个全新的服务。相比商业VPN服务商,Streisand也不太可能成为审查、DDoS或者流媒体封锁的目标。

像大多数VPN一样,Streisand会不同。在2016年考察这些产品后,我们只得到一条准则:寻找VPN决定于你使用它的第一目的。

寻求对自身网络安全进行保护的用户,与那些想隐藏自己真实地址的用户目的是不同的。意识到VPN的局限性和具体的弱点缺陷,至少可以帮助你做出一个更明智的复杂决定。

*参考来源:ARS,FB小编dawner编译,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)


This Feed Will Stop Updating on March 1st 2019! Please contact the owner to avoid disruption.

According to our new plans, Inoreader Pro is required to export RSS feeds.

If you are the owner of the feed, please consider upgrading to Pro.



via https://blog.inoreader.com/2019/02/official-announcement-inoreader-new-plans-and-pricing-updates-in-february-2019.html
RSS Feed


Unsubscribe from these notifications or sign in to manage your Email Applets.

IFTTT

您已經準備好迎接 DNS flag day 嗎?

来源:https://news.gandi.net/zh-hant/2019/01/dns-flag-day/

網域名稱系統 (DNS) 最早源自於 1980 年代,當時的網路與今日有非常大的差異,尤其是當時可以在兩台電腦之間交換的可靠訊息量比今日少的多。隨著網路及科技的成長與進步,更加確定的是 DNS 將需要擴增,例如,提供新的安全功能以解決 35 年前不存在的威脅 (如 DNS 詐騙)。

回朔到 1999 年,第一個 DNS 延生協定規格發佈 (又稱為 EDNS),從那時後開始,軟體開發人員開始實作支援 EDNS 協定。同時,部份主機仍使用著不符合 EDNS 協定的軟體,因此,DNS 供應商必須實施其他變通辦法來支援不相容的軟體 。然而,這卻降低了 DNS 的性能,並且使新的 DNS 延生協議難以實施。

2 月 1 日起為我們所說的 "DNS Flag Day",DNS 軟體供應商和服務提供商將不再支援這些變通辦法。

 

什麼是 DNS flag day 呢?

2019 年 2 月 1 日起, 主要的 DNS 軟體和服務將推出 DNS 系統的新版本,該版本將會符合 EDNS 協定。

也就是說 2 月 1 日以後,主要 DNS 軟體供應商將停止支援這些尚未更新的防火牆或尚未支援標準 EDNS 協定的 DNS 服務。

 

DNS Flag Day 對您來說又有什麼樣的意義呢?

2019 年 2 月 1 日以後,不支援 EDNS 的軟體或是設備將可能會無法使用。

也就是說,這些設備 (若是伺服器) 上的所有網站或是域名都可以會出現問題。

(**** 請注意,GANDI 的名稱伺服器將不會被影響。****)

如果您的域名使用我們的名稱伺服器 a/b/c.dns.gandi.net 或是我們的 LiveDNS 名稱伺服器,您將不需要閱讀以下內容,因為我們已支援 EDNS 協議。

 

您應該怎麼做?

第一步驟是確認您目前的 DNS 伺服器是否符合 EDNS 協定。您可以透過連結中 DNS Flag Day 的工具測試您的伺服器。這個工具非常簡易使用,您只需要輸入您的網域名稱並且點擊 "Test!" (測試) 即可。

如果您看到下列訊息,表示您的網域名稱符合協定,您將不須採取其他動作。

如果您的域名受到影響,您將會看見以下警告:

上方訊息表示您或是您的技術供應商尚未更新您域名的 DNS 軟體,您的域名將會停止運作。

 

如果您的域名已經被影響了,那您該怎麼做呢?

您需要聯繫負責您域名註冊商或是 DNS 代管技術供應商,以確保其符合 EDNS 協定並且防火牆設備也支援 EDNS 的問題。
他們或許需要將 DNS 軟體更新至其最新最穩固的版本以解決其不符協定之相關問題。

如果您無法聯繫到您的技術團隊或是技術供應商,又或者他們無法在 2 月 1 日前更新軟體,我們建議您將名稱伺服器移轉至 Gandi

然而,如果您想要移轉到 Gandi,請務必確將域名中的所有 DNS 紀錄都遷移過來,否則您的網站、電子郵件或者其他域名的附加服務會失效。

 

您現在有連結至您域名的困難嗎?

這可能是由於 2019 年 2 月 1 日將發佈的新網域名稱系統(DNS)軟體版本所致。您可以從這裡確認您的域名是否因而被影響。我們將會在往後的文章中告訴您,如果您的域名在 DNS Flag Day 中受到影響要如何處理。

腾讯《无限法则》被质疑收集用户代理信息 腾讯回应:反外挂

来源:https://www.williamlong.info/archives/5588.html

  今天凌晨,微博用户Hackl0us质疑腾讯《无限法则》游戏,认为其隐私策略中包含"可能会收集用户的shadowsocks服务配置信息"的行为涉嫌过度搜集用户隐私信息,超出了一款游戏理应搜集的隐私范围。

  Shadowsocks软件主要用于代理服务器翻墙,用户如果使用被查出来可能会遭到行政处罚,腾讯在隐私政策里表示收集代理服务信息,用户担心这些信息会泄露给有关部门用于封禁和处罚,今年年初,广东省南雄市公安局网监大队开出1张行政处罚决定书,30岁的朱云枫因自2018年8月至12月在手机上安装翻墙软件上网而被罚款1000元,处罚事由是"擅自建立、使用非法定信道进行国际联网"。

网民

  对此,腾讯游戏官方微博发文,针对这一质疑进行了回应,称收集shadowsocks服务配置信息的做法主要是为了根据在同类游戏中流行的手机雷达挂在PC上的使用的shadowsocks代理特征做检测,检测是否是外挂服务器IP进行封停处罚,这是一项预埋方案,由于该手机雷达外挂暂未指染ROE,所以相关功能并未开启(即未扫描和收集用户使用shadowsocks的任何数据)。腾讯会高度尊重广大玩家的意愿,接下来,腾讯将会移除该预埋方案,并改以其它安全策略应对手机雷达外挂,以更好的保障所有腾讯游戏产品的公平竞技体验。

腾讯《无限法则》被质疑侵犯隐私 官方:为了反外挂

  以下为腾讯回应全文:

  关于 ROE shadowsocks 检测功能的说明

腾讯《无限法则》被质疑侵犯隐私 官方:为了反外挂

  腾讯游戏安全中心

  关于今天凌晨微博用户@Hackl0us 对《无限法则》游戏(以下简称ROE)收集shadowsocks服务配置信息的疑问,感谢广大玩家的关注,腾讯游戏安全中心做如下说明:

  一、检测技术原理:

  随着"吃鸡类游戏"的火热,相关外挂能获得丰厚的收益,外挂作者也层出不穷;特别在FPS 传统透视功能上新出现手机雷达外挂,本机上只做游戏数据的拦截转发,在外挂服务器进行解析,再通过手机app或者网页显示游戏对战实时位置信息(包括玩家、载具、武器、补给等),实现透视功能;例如其中某款知名手机雷达挂:通过shadowsocks来实现代理,代理服务器IP为外挂提供的专有服务器地址;在作弊者的电脑上,只存在shadowsocks代理,使用shadowsocks代理并且连接外挂代理服务器的行为是检测类似原理外挂最直接的手段。

腾讯《无限法则》被质疑侵犯隐私 官方:为了反外挂

腾讯《无限法则》被质疑侵犯隐私 官方:为了反外挂

  所以TP安全系统会根据手机雷达挂在PC上的使用的shadowsocks代理特征做检测,检测是否是外挂服务器IP进行封停处罚,这是一项预埋方案,由于该手机雷达外挂暂未指染ROE,所以相关功能并未开启(即未扫描和收集用户使用shadowsocks的任何数据)。

  二、GDPR隐私条款为何会有shadowsocks 检测说明?

  为了尊重用户知情权,并遵守GDPR的隐私披露要求,我们在隐私条款中如实披露了这个处理方式。但没有进行更详细的技术原理介绍,导致广大玩家的误解,在此向大家致歉。

  三、后续优化策略

  TP安全系统在致力于外挂对抗的同时,也会高度尊重广大玩家的意愿,接下来,我们将会移除该预埋方案,并改以其它安全策略应对手机雷达外挂,以更好的保障所有腾讯游戏产品的公平竞技体验。

微信大數據報告揭用家細節 網民質疑被監控




微信公布用家生活細節,被網民質疑監控。網圖

微信近日發布一份大數據報告,內容包括網民們常用的表情符號、睡眠時間和視像通話習慣。惟不少網民質疑報告侵犯用家私隱,聊天紀錄等資料被微信監控。

報告內容非常詳細,各年齡層的用戶特徵鉅細無遺。有內地網民質疑,微信如何得知55歲以上用家,習慣於晚餐後與子女進行視像通話等細節;也有網民聲稱,在微信聊天時提到某品牌後,隔幾天便會看到相關品牌的廣告,質疑微信擅取用戶聊天紀錄。

報告又詳列了以下資訊:例如00後的睡眠習慣為晚睡早起,睡眠時間最短;90後出行習慣為每個月約25次,並大多乘搭公共交通工具。

微信回應網民質疑指,是通過用家年齡在特定時間的通話,發現是年長用家致電話年輕用家,故推測是親子關係。微信同時強調,報告嚴格遵守相關法律法規要求,所有數據均已匿名及去敏感化處理。又指公司不會留存任何用戶的聊天記錄。

Windows Server/桌面系统 安装Shadowsocks(R)服务



(Last Updated On: 2018-11-07)

基于一些用户希望使用的window server或者window桌面系统(win7/win10)安装shadowcocks(R)服务,收集整理一下这方面的教程,也做一下更新。VPS自带的windows server价格是比较贵的,如Vultr的就要多$16,原因基本是需支付微软授权费,装机量少之类的,所以也有用户会通过镜像安装盗版系统,被查出来就有被封号的风险。并且VPS便宜的配置不高,带界面的Windows会更吃内存和硬盘。如劝退失败,实在有这方面的需要,可以继续往下看。

1.搭建环境

本人测试使用的是虚拟机,镜像安装的Windows Server 2012 R2,除了自带Power Shell命令行工具、服务器环境和安全级别默认设置最高之外,操作起来未发现有太大的区别。所以使用Windows7/Windows10也差不多。

Chocolatey

安装环境可以自己下载安装,然后配置路径到环境变量。然而习惯了包管理工具,如Mac的HomeBrew,Debian的apt,Windows的话随便搜索到了chocolatey 就用了。包管理工具的好处就是方便安装和卸载,还能自动配置环境变量。安装区分cmd.exe和PowerShell.exe两种。分别根据这2种工具进行选择。如失效,优先参考官网步骤:https://chocolatey.org/install 

#cmd 很长,但是其实是一句  @"%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe" -NoProfile -InputFormat None -ExecutionPolicy Bypass -Command "iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))" && SET "PATH=%PATH%;%ALLUSERSPROFILE%\chocolatey\bin"    #powershell 很长,也是一句  Set-ExecutionPolicy Bypass -Scope Process -Force; iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))

安装Python

默认安装3.7.0版本。Windows版本的
choco install python    #检测是否安装并添加到环境  python --version  Python 3.7.0

安装OpenSSL

OpenSSL实现安全套接字层和传输层安全性协议的项目,ss和ssr需要这个工具包。
choco install openssl.light    #检测是否安装并添加到环境  openssl version  OpenSSL 1.1.1 11 Sep 2018

安装git

用于拉取仓库文件、利用mingW来运行shell,根据需要安装,建议也装了。
choco install git --params "/GitAndUnixToolsOnPath /NoAutoCrlf"    #检测是否安装并添加到环境  git --version  git version 2.19.0.windows.1

2. 安装shadowsocks

根据社区主页的加以改动,也可以参考社区的步骤。

下载

chocolatey仓库也有shadowsocks,不过是Windows版本的客户端。我们使用Python自带的包管理工具PyPI(pip)来安装,既然Python有包管理工具,为什么还要chocolatey?。可能会提示pypi的版本过低,可以按提示升级。
#以下方式会安装2.8.2,会因为新版本的OpenSSL报错:AttributeError: function 'EVP_CIPHER_CTX_cleanup' not found  pip install shadowsocks    #建议使用这种方式,可以安装3.0.0  pip install -U   git+https://github.com/shadowsocks/shadowsocks.git@master

成功后会下载到python的lib\site-packages文件夹,如C:\Python37\lib\site-packages\shadowsocks。

添加配置文件

配置文件不是必须的,可以通过命令行来运行,配置文件比较方便。创建一个config.json文件,放在上面的shadowsocks目录,运行的话会自动加载这个配置文件。

{  "server":"0.0.0.0",     ##填写服务器外网ip地址  "server_port":8000,  ##代理端口  "local_address":"127.0.0.1",  "local_port":1080, ##本地监听端口  "password":"123456",   ##连接密码  "timeout":300,  "method":"aes-256-cfb", ##加密方式  "dast_open":false  }

运行

运行方式有几种,运行后,退出关闭命令行或者control+c。
#直接默认运行,加载目录下的config.json  ssserver     #指定配置文件路径  ssserver -c xxx\config.json  

3.安装ShadowsockR

下载

镜像地址下载,解压到无中文路径目录下。如C:\shadowsocksr-manyuesr。

配置

目录下复制config.json为user-config.json,并且修改里面的参数。

{   "server": "0.0.0.0",   "server_ipv6": "::",   "server_port": 8388,   "local_address": "127.0.0.1",   "local_port": 1080,      "password": "m",   "method": "aes-128-ctr",   "protocol": "auth_aes128_md5",   "protocol_param": "",   "obfs": "tls1.2_ticket_auth_compatible",   "obfs_param": "",   "speed_limit_per_con": 0,   "speed_limit_per_user": 0,      "additional_ports" : {}, // only works under multi-user mode   "timeout": 120,   "udp_timeout": 60,   "dns_ipv6": false,   "connect_verbose_info": 0,   "redirect": "",   "fast_open": true  }

运行

和ss很类似

#1.普通运行,  #先cd进入到shadowsocksr-manyuser目录  python server.py    #2.后台运行 (参照的是linux的方式)  #cd进入到shadowsocksr-manyuser\shadowsocks  .\logrun.sh  #运行成功任务管理器查看会发现驻留python进程。前提需要安装git(默认携带mingW来运行shell)。    #2.1尝试用.\stop.sh 并不能停止,手动到任务管理器去停止。    #2.2查看日志使用下面的命令,弹窗输出和普通运行一样的命令。  .\tail.sh     #2.3 其实到文件夹中直接双击这些脚本文件也可以执行脚本

4.其他

由于是在虚拟机部署,所以server填的127.0.0.1,还要区分server的本地监听端口和客户端的本地监听端口(如果是在VPS上,这些不用理会)。测试时在虚拟机内安装ssr客户端,关闭了防火墙(VPS也可以关闭或者到防火墙中添加开放端口),使用全局模式,成功连接,并且看到了日志。

包管理器安装在虚拟机内,install时并不顺畅,VPS上未尝试,实在不行,可以手动下载包来安装,但是要配置环境变量。PowerShell需要管理员模式运行。

SSR参考的是doubi和破娃的最后版本fork,如需新版本就得参考后续的维护者的了。

欢迎指教。

利用 WIFI 热点分享 VPN 连接


前言

  • 之前介绍过局域网共享HTTP代理,配置简单但至少需要三设备参与,而且无法用来通过谷歌开机引导了。这次介绍的是利用创建WIFI热点的方式来分享VPN连接,配置起来同样简单方便;
  • 本文主要讲述的是利用SSTap等软件将ss/ssr/v2等代理转换为类VPN的真·全局效果,再通过WiFi热点分享VPN连接,若有VPN的话就不用转换直接使用就可以了;
  • 以下分别介绍Windows和Android平台创建热点分享VPN连接的方式。

WINDOWS平台

准备工作

  1. 下载SSTap并安装,自备ss/ssr服务器;(也可用Outline,但仅支持部分ss)
  2. 下载Connetify Hotspot并安装,安装后需重启;

配置过程

  1. 使用SSTap添加ss/ssr服务器(支持订阅)并点击连接(全局模式即可),该过程很简单,若不会可以参考SSTap使用教程
  2. 打开Connectify,点击Wi-Fi热点,要共享的Internet选择SSTap创建的适配器(若列表中没有可以点击右上角的刷新按钮刷新再进行选择),密码可以自定义,完成后点击启动热点
    Connectify-Hotspot.png
  3. 热点创建成功后,其他设备链接该热点即可实现科学上网。

ANDROID平台

准备工作

  1. 自备科学上网方式;
  2. 一台有root权限的Android机,下载VPN Hotspot并安装。

配置过程

  1. 开启爱国上网;
  2. 进入VPN Hotspot,然后按下图所示操作;(记得同意该软件的root权限请求)
    vpn-hotspot.png
  3. 创建成功后,其他设备链接该热点即可实现科学上网。

科学上网

作者:左耳朵 http://coolshell.cn 更新时间:2018-11-29

来源:https://haoel.github.io/

这篇文章可以写的更好,欢迎到 https://github.com/haoel/haoel.github.io 更新


0. 序

首先,我们先明确一下,我科学上网的目的主要是为了学习、工作、交友、查资料、和丰富自己的眼界,不是为了看黄片,或是干一些非法、政治或是见不得人的事。

对我来说,科学上网很重要,下面罗列一下需要科学上网,我才能真正学习工作和生活的网站:

  • Youtube 和 Vimeo 上的各种大会和教学视频,除了我自己要学,我的孩子也要学。
  • Wikipedia 维基百科是我目前唯一信得过的百科全书,我在上面可以比较系统地翻阅各种词条。
  • Slideshare 上有很多的技术文档和资料的PPT,是我的知识学习的地方。
  • Quora 问答网站,在上面有很多有趣的问答。
  • 博客和论文,很多博客和论文站点都被墙了,比如:Blogspot 和 Medium。
  • Google 的各种服务,比如:Gmail, Map, Docs,Driver,照片,图片搜索,Voices,论文搜索……包括Google官方的各种技术文档……
  • 一些云服务,比如:Dropbox,IFTTT,Imgur,archive.org……
  • Twitter 上 Follow 一些牛人和一些官方账号,比如:AWS、Docker……
  • 社交 Facebook, Telegram, Whatsapp,Slack…… 有一些我在国外的亲戚和朋友……
  • Reddit 是一个聚合网站,一个新闻和文章的集散地,你可以认为是各种频道的今日头条……
  • Pintrest 和 Instagram 上面有很多不错的图片和视频新闻,是我减压力的地方……
  • 新闻,如BBC。 BBC是全球比较出众的媒体,有太多的有价值资源和内容了,比如纪录片、学英文……
  • 编程,有很多编程的场景需要翻墙,比如,Go语言编程时的 go get 中的很多库是放在 Google的服务器上, 然而Google是全部被墙,包括 Android 和其它一些文档和资源也是一样。包括 SourceForge 的某些项目也需要科学上网,Docker Registry也有部分被墙,还有偶尔抽疯的Github,以及不能访问的gist……
  • ……等等

是的,我的互联网不是——全是骗子的百度、充满广告的微信朋友圈、质量低下的公众号、娱乐至死的新浪微博、只有抖机灵和"怎么看XX"的知乎、毫无营养的今日头条…… 在这样的网络空间里,我真的无法生存…… 这根本不是互联网,不是为我服务的互联网,而是在消费我的互联网,是让我变傻变笨的互联网…… 我不能忍,因为它影响到了我的生存……

1. 英文能力

首先,你应该对英文读写没什么问题!

为什么这么说?逻辑是这样的,如果你上了Google还是在用中文关键词,那么你科学上网有什么意义呢?换言之,科学上网的目的是为了进入广阔的世界范围与全世界的人交流,所以,英文是必备的,如果你英文有问题,VPN过去的用处也不大。

所以,我把这个前提条件放在第一的位置,就是说—— 真正的墙不是GFW,而是人的大脑!

2. 购买VPS

然后,你需要一个VPS。

(注:当然,你也可以直接购买一些科学上网的服务,但我这里不推荐了,一方面是广告,另一方面可能会害了对方

现在你买一台VPS也不贵了,也就是一个月10美金左右(70元),我个人一个月你花70元钱不算奢侈的事,而且会让你的生活质量得得改善

2.1 常规VPS

对于VPS,下面是一些常规选项。

  • AWS日本或韩国申请个免费试用一年的EC2 VPS (需要国际信用卡)
  • Google Cloud Platform提供免费试用,赠送300刀赠金(需要国际信用卡)
  • Linode买个一月USD10刀的VPS
  • Vultr上买一个日本的VPS,一个月5刀 (可以支付宝)
  • Conoha上买一个日本的VPS,一个月900日元 (可以支付宝)

注意

  • 日本区的网络质量并不是很好,有时候会有很大的丢包率(不同的网络不一样),有时候会很慢。上述的这几个VPS服务商中,AWS韩国和日本会好点,然后是Linode,最后是Conoha和Vultr(如果你有更好的,请推荐)

  • Google Cloud Platform - GCP 的香港和台湾结点也是很快的。但是你要能买GCP的主机,你还得先翻墙,所以,感觉有点死锁了。所以,你可能先用Vultr(按时付费)翻墙,然后再到GCP上购买。

2.2 CN2 线路

如果你需要更好更高速的网络服务(比如你要看Youtube的1080P),那么,你需要下面的这些服务器资源了(价格也会高一些)

CN2 和 GIA 是两个关键词。CN2 GIA 全称 China telecom Next Carrier Network- Global Internet Access 电信国际精品网络,特征是路由线路上骨干节点均为59.43开头的IP。如果想要寻找接入CN2线路的国外VPS提供商,建议使用 Next Carrier Network 或者 CN2 这个关键词搜索即可。

多说一句, CN2本身又分为两种类型:

  • CN2 GT: CN2 里属于Global Transit的产品(又名GIS-Global Internet Service),在CN2里等级低,省级/出国节点为 202.97 开头,国际骨干节点有2~4个 59.43 开头的CN2节点。在出国线路上拥堵程度一般,相对于163骨干网的稍强,相比CN2 GIA,性价比也较高。

  • CN2 GIA: CN2 里属于Global Internet Access的产品,等级最高,省级/出国/国际骨干节点都以59.43开头,全程没有202.97开头的节点。在出国线路上表现最好,很少拥堵,理论上速度最快最稳定,当然,价格也相对 CN2 GT 偏高。

关于 CN2 线路的主机提供商,下面罗列几个

  • 搬瓦工 这应该是美区最好的一个用来科学上网的VPS提供商了,实测飞快。购买时你需要注意VPS规格上的 CN2 和 GIA 的描述。(注:点击主页右上角的 regisiter 以后,你可以看到页面上方有两个导航条,在下面的导航条上点 Services -> Order New Services 就可以看到所有的列表了。买完后,你可能需要重装一下操作系统,装成64位带BBR的 )
  • Gigsgigscloud CN2 GIA 在香港的结点是很不错的,当然,价格也很不错(建议几个人一起平摊费用)
  • Kvmla 香港地区的CN2 GIA提供商 每月80元
  • Hostdare 的CN2 GIA产品也是三网直连,KVM和OpenVZ两种架构,KVM产品长期缺货

更多的可以参考这篇文章《CN2 GIA VPS主机收集整理汇总-电信,联通,移动三网CN2 GIA线路VPS主机

重点说一下,CN2 GIA + 香港机房,你会得到巨快无比的上网速度,然而,香港地区的VPS的确是有点贵了。在Youtube.com上看1080p的视频毫无压力。虽然阿里云和腾讯的也有,但是被查到的风险基本上是100%,不建议使用,被抓了别怪我没警告过你。

2.3 NCP 线路

NCP 全称 New Cross Pacific(新跨太平洋海底光缆系统)。 2018年11月底,中国到美国之间的海底光缆新开通了NCP线路,并且容量更大(系统设计容量超过80Tbps),路由更少(中国上海到美国中间路由节点只有11个,ping值110ms)。

NCP线路全长13,000公里,连接美国俄勒冈州希尔斯伯勒,连接崇明(中国大陆),南汇(中国大陆),临港(中国大陆),釜山(韩国),头城(台湾),和丸山(日本)。

相对于第二条中美直达海底光缆系统(跨太平洋快线,TPE),现阶段NCP线路的网络流量更少更稳定。特征是华东/中地区流量会经过NCP直达路由节点,IP地址为202.97.95.201/202

关于 NCP 线路的主机提供商,下面罗列两个

  • 50KVM VPS 截止2018年12月2日KVM 产品最低价格¥81.60/月。
  • OLVPS 截止2018年12月2日KVM 产品最低价格¥22/月。

3. 搭建 Shadowsocks 和 VPN 服务

3.1 设置Docker服务

首先,你要安装一个Docker CE 服务,这里你要去看一下docker官方的安装文档:

然后开始设置你的VPN/SS服务

3.2 开启 TCP BBR 拥塞控制算法

TCP BBR(Bottleneck Bandwidth and Round-trip propagation time)是由Google设计,于2016年发布的拥塞算法。以往大部分拥塞算法是基于丢包来作为降低传输速率的信号,而BBR则基于模型主动探测。该算法使用网络最近出站数据分组当时的最大带宽和往返时间来创建网络的显式模型。数据包传输的每个累积或选择性确认用于生成记录在数据包传输过程和确认返回期间的时间内所传送数据量的采样率。该算法认为随着网络接口控制器逐渐进入千兆速度时,分组丢失不应该被认为是识别拥塞的主要决定因素,所以基于模型的拥塞控制算法能有更高的吞吐量和更低的延迟,可以用BBR来替代其他流行的拥塞算法,例如CUBIC。Google在YouTube上应用该算法,将全球平均的YouTube网络吞吐量提高了4%,在一些国家超过了14%。

BBR之后移植入Linux内核4.9版本,并且对于QUIC可用。

如果开启,请参看 《开启TCP BBR拥塞控制算法 》

3.3 设置Shadowsocks服务

Shadowsocks 的 Docker 启动脚本 (其中的 SS_PORT 和 SS_PASSWD 需要重新定义一下)

#!/bin/bash    SS_PORT=1984  SS_PASSWD=MyPasswd    sudo docker run -dt --name ss \     -p ${SS_PORT}:${SS_PORT} mritd/shadowsocks \     -s "-s 0.0.0.0 -p ${SS_PORT} -m aes-256-cfb -k ${SS_PASSWD} --fast-open"  

3.4 设置L2TP/IPSec服务

L2TP/IPSec 的启动脚本,其中的三个环境变量 USER, PASS 和 PSK 需要替换一下。

#!/bin/bash    USER=someone  PASS=password  PSK=psk_key    sudo docker run -d  --privileged \      -e PSK=${PSK} \      -e USERNAME=${USER} -e PASSWORD=${PASS} \      -p 500:500/udp \      -p 4500:4500/udp \      -p 1701:1701/tcp \      -p 1194:1194/udp  \      siomiz/softethervpn  

3.5 设置PPTP服务

PPTP不安全,请慎重使用

sudo docker run -d --privileged --net=host                   -v {/path_to_file/chap-secrets}:/etc/ppp/chap-secrets \                  mobtitude/vpn-pptp  

PPTP 使用 /etc/ppp/chap-secrets 文件设置用户名和密码,所以你需要给docker容器提供这个文件,下面是这个文件的示例:

# Secrets for authentication using PAP  # client    server      secret           acceptable local IP addresses    fuckgfw   *           whosyourdaddy    *  

4. 客户端设置

4.1 Shadowsocks 客户端

对于 Shadowsocks 客户端,可以到这里查看 Shadowsocks Clients

  • MacOS 上你可以下载 ShadowsocksX-NG
  • Windows上你可以下载 Shadowsocks-Windows,需要先安装 .NET Framework
  • Android的客户端,你可以用手机访问并下载 Shadowsocks-Android
  • iPhone 端就比较麻烦了。因为国内全都被下架了。
    1. 你需要注册一个美国的苹果ID.
    2. 然后 iTunes/App Store 用这个美区的ID登录(不是退出iCloud ,而是退出App Store)
    3. 然后搜索 Wingy ,你会搜到 OpenWingySuperWingy 等

注意

4.2 VPN 客户端

对于L2TP/IPSec,几乎所有的客户端操作系统(无论是Windows/Mac/Linux的电脑,还是iPhone/Android)都支持,你可以自行Google。

5. 流量伪装和其它方式

我们知道,你翻墙的行为,其实都是在被探测中的,因为无论你的手机还是宽带都是有需要到运营商那里开通上网账户的,所以,各大电信运营商有你的所有的上网的记录。

在Youtube上有个视频,你可以看一下 《哪种翻墙软件更隐蔽?》,这个播主实测过,SS也好,SSR也好,无论你怎么混淆,都是没用的,都是可以被抓出来的。只有V2Ray 和 Brook 可以伪装得很好。

注: 说句老实话,我其时并不想害怕别人知道自己的上什么样的网站,因为我觉得我访问的都是合法的网站,但是就今天这个局势我也没办法——为什么要让像我这样的光明正大的良民搞得跟偷鸡摸狗之徒一样……

5.1 V2Ray

V2Ray 是一个与 Shadowsocks 类似的代理软件,可以用来科学上网(翻墙)学习国外先进科学技术。

V2Ray 配合一些模块目前来说可以伪装成正常的流量。但是配置想当复杂。大家可以自己Google自己玩吧。

5.2 Brook

Brook是一个由 Go语言编写的跨平台代理软件,支持 Linux/MacOS/Windows/Android/iOS 各个平台。

服务器一行命令安装:

wget -N --no-check-certificate https://raw.githubusercontent.com/ToyoDAdoubi/doubi/master/brook.sh && chmod +x brook.sh && bash brook.sh  

运行 brook.sh 会出菜单项,你可以按菜单项来,主要就是设置端口号,密码。很简单的,我这里就不截图了,因为这个脚本运行起来中文菜单式的。

然后你可以在 Brook 项目的 Github 首页上下载不同平台的客户端。设置起来也很简单!

(全文完)