VLESS Reality چیست و چگونه کار می‌کند
VLESS همراه با Reality چگونه طوری طراحی شده که شبیه یک اتصال معمولی TLS به یک وب‌سایت واقعی باشد و چرا هدفش شبیه HTTPS بودن است.
VLESS یک پروتکل پروکسی سبک از پروژهٔ Xray است. به‌تنهایی کار بسیار کمی انجام می‌دهد: شناسهٔ کاربر و آدرس مقصد را حمل می‌کند و رمزگذاری را به لایهٔ انتقال می‌سپارد. Reality لایهٔ انتقالی است که تیم XTLS مخصوص شبکه‌هایی ساخته که از بازرسی عمیق بسته‌ها (DPI) استفاده می‌کنند.
مشکلی که Reality حل می‌کند
روش کلاسیک پنهان کردن یک پروکسی، پیچیدن آن در TLS با دامنه و گواهی اختصاصی است. این روش نقاط ضعفی دارد:
- دامنه و گواهی باید جایی ثبت شوند و می‌توانند بر اساس نام مسدود شوند؛
- اگر اپراتور شبکه یا فیلتر شبکه خودش به سرور وصل شود (پویش فعال)، سرور ممکن است با یک پاسخ غیرعادی خودش را لو بدهد؛
- اثر انگشت TLS کلاینت پروکسی (مجموعه رمزها، افزونه‌ها) اغلب با اثر انگشت یک مرورگر فرق دارد.
Reality چگونه کار می‌کند
- سایت دیگران به‌عنوان نقاب. پیکربندی سرور یک وب‌سایت واقعی و پرطرفدار را نام می‌برد. کلاینت یک دست‌دهی TLS 1.3 را طوری شروع می‌کند که گویی به آن سایت وصل می‌شود: فیلد SNI نام آن سایت را حمل می‌کند.
- اثر انگشت مرورگر. کلاینت از کتابخانهٔ uTLS استفاده می‌کند و اثر انگشت TLS مرورگر Chrome یا Firefox را بازتولید می‌کند.
- احراز هویت مخفی. مقداری که از یک تبادل کلید X25519 با کلید عمومی سرور مشتق می‌شود، به‌علاوهٔ یک شناسهٔ کوتاه، در دست‌دهی جاسازی می‌شود. فقط کلاینت دارای کلید درست می‌تواند آن را تولید کند.
- غریبه‌ها به سایت واقعی می‌روند. اگر کسی بدون کلید وصل شود، مثلاً اسکنر یک فیلتر شبکه، سرور او را به‌سادگی به وب‌سایت واقعی پروکسی می‌کند. پویشگر یک گواهی واقعی و یک صفحهٔ واقعی می‌بیند.
در نتیجه سرور گواهی اختصاصی‌ای ندارد که بتوان مسدودش کرد و از بیرون، اتصال طوری طراحی شده که شبیه یک اتصال معمولی HTTPS باشد؛ اما غیرقابل‌تشخیص نیست.
XTLS Vision
درون یک اتصال VPN، بیشتر ترافیک شما نیز TLS است (سایت‌های HTTPS). «TLS درون TLS» الگوی آشکاری از اندازهٔ بسته‌ها به جا می‌گذارد. حالت Vision TLS درونی را تشخیص می‌دهد و داده‌های آن را بدون رمزگذاری دوباره عبور می‌دهد و اندازهٔ بسته‌ها را یکنواخت می‌کند. این کار هم قابل‌مشاهده بودن و هم بار CPU را کاهش می‌دهد.
محدودیت‌ها
- Reality روی TCP اجرا می‌شود، بنابراین در شبکه‌های دارای افت بسته از پروتکل‌های مبتنی بر QUIC مانند Hysteria2 کندتر است.
- انتخاب سایت نقاب اهمیت دارد: باید از TLS 1.3 پشتیبانی کند و از شبکهٔ سرور قابل دسترسی باشد.
- تضمینی نیست که هیچ پروتکلی برای همیشه کار کند: سامانه‌های فیلترینگ هم تکامل می‌یابند و به همین دلیل مسیرهای پشتیبان اهمیت دارند.
Colitu چگونه آن را راه‌اندازی می‌کند
روی هر سرور Colitu، VLESS Reality روی یک پورت TCP اجرا می‌شود و یک گونهٔ VLESS XHTTP روی همان لایهٔ Reality برای شبکه‌هایی که اتصالات طولانی TCP را قطع می‌کنند اجرا می‌شود. برنامه در شبکه‌های دارای DPI Reality را انتخاب می‌کند و اگر Reality نتواند وصل شود به‌طور خودکار به Hysteria2، Trojan یا Shadowsocks 2022 می‌رود. آدرس‌ها و کلیدهای سرور هرگز منتشر نمی‌شوند: برنامه پس از ورود شما آن‌ها را از طریق یک کانال رمزگذاری‌شده دریافت می‌کند.
اطلاعات بیشتر در صفحهٔ امنیت.