AmneziaWG 2.0: мимикрия под легитимные протоколы для обхода DPI

Что такое AmneziaWG и зачем он нужен

AmneziaWG (AWG) — это форк протокола WireGuard, разработанный командой Amnezia VPN. Он сохраняет простоту, скорость и безопасность оригинального WireGuard, но добавляет механизмы обфускации, которые скрывают характерные признаки VPN-трафика от систем глубокого анализа пакетов (DPI).

WireGuard — это современный VPN-протокол, известный своей производительностью и минималистичным кодом. Однако его пакеты имеют фиксированные заголовки и предсказуемые размеры, что делает их легко узнаваемыми для DPI. В странах с интернет-цензурой такие соединения быстро блокируются. AmneziaWG решает эту проблему, изменяя заголовки, добавляя случайные данные и имитируя другие протоколы.

Первая версия AmneziaWG появилась в 2023 году и позволяла отправлять «мусорные» пакеты перед handshake, изменять размеры handshake-пакетов и заменять стандартные заголовки WireGuard на фиксированные значения. Этого хватало против простых сигнатурных DPI, но с развитием технологий блокировок потребовались более совершенные методы.

Эволюция: от маскировки к мимикрии

Версия 1.5 добавила маскировку под популярные UDP-протоколы, такие как QUIC и DNS. Однако системы DPI научились обнаруживать обфусцированные протоколы по статистическим паттернам: размерам пакетов, временным интервалам и поведению соединения.

AmneziaWG 2.0 — это ответ на эти вызовы. Вместо простой маскировки заголовков протокол теперь имитирует легитимные UDP-сессии. Трафик может выглядеть как DNS-запросы, QUIC-соединения или SIP-звонки. Это достигается за счет нескольких ключевых нововведений:

• Сигнатурные пакеты (i1-i5): перед каждым handshake отправляются до пяти специальных пакетов, которые выглядят как начало реального протокола.
• Расширенный padding (S3, S4): случайные байты добавляются не только к handshake-пакетам, но и ко всем транспортным пакетам.
• Динамические заголовки (H1-H4): вместо фиксированных значений используются диапазоны, из которых для каждого пакета выбирается случайное число.

Эти изменения делают трафик AmneziaWG 2.0 практически неотличимым от обычного интернет-трафика, что значительно снижает вероятность блокировки.

Сигнатурные пакеты: как это работает

Сигнатурные пакеты — это главное нововведение AmneziaWG 2.0. Перед каждым handshake (который происходит раз в 2 минуты) клиент отправляет серверу до пяти пакетов, которые имитируют начало легитимного протокола. DPI видит эти пакеты и думает, что это обычный DNS-запрос или QUIC-соединение, и пропускает трафик.

Каждый сигнатурный пакет описывается в формате CPS (Custom Protocol Signature). Это специальный язык, который позволяет создавать «поддельные» пакеты из комбинации тегов:

• ** — вставляет точные байты (например, магические байты протокола).
• `` — добавляет временную метку (Unix time).
• `` — добавляет N случайных байт.
• `` — добавляет N случайных букв/цифр.
• `` — добавляет N случайных цифр.

Например, сигнатура для имитации QUIC может выглядеть так: i1 = **. Здесь ** — начало QUIC Initial packet, ` — случайный Connection ID, — временная метка, ` — случайные данные. DPI видит первые байты, характерные для QUIC, и пропускает трафик.

Padding: скрываем размеры пакетов

В WireGuard размеры пакетов фиксированы: handshake Init — 148 байт, Response — 92 байта, Cookie — 64 байта. Эти размеры являются отличным индикатором для DPI. AmneziaWG 2.0 добавляет случайные префиксы к каждому пакету, изменяя его размер.

Параметры S1-S4 определяют длину префикса для каждого типа пакета:

• S1 — для Handshake Initiation.
• S2 — для Handshake Response.
• S3 — для Cookie Reply (отправляется только при нагрузке на сервер).
• S4 — для Transport Data (основной трафик).

S4 — самый важный параметр, так как он применяется к каждому data-пакету. Это делает размеры пакетов непредсказуемыми, что затрудняет статистический анализ. Например, если S4 = 16, то к каждому транспортному пакету добавляется 16 случайных байт, и его размер становится переменным.

Важно понимать компромисс: увеличение padding повышает маскировку, но снижает скорость передачи данных, так как часть полезной нагрузки заменяется случайными байтами.

Динамические заголовки: диапазоны вместо констант

В WireGuard каждый пакет начинается с 4-байтового идентификатора типа: 1 — Handshake Initiation, 2 — Handshake Response, 3 — Cookie Reply, 4 — Transport Data. AmneziaWG 1.0 позволял заменять эти значения на фиксированные, но DPI быстро запоминал их.

AmneziaWG 2.0 использует диапазоны значений. Например, H1 = 471800590-471800690 означает, что для каждого Handshake Initiation пакета будет случайно выбрано число из этого диапазона. При приеме допускается любое значение из диапазона. Это делает заголовки непредсказуемыми даже для одного типа пакета.

Важное ограничение: диапазоны H1-H4 не должны пересекаться, иначе невозможно будет определить тип пакета. Например, если H1 = 1000-2000, а H2 = 1500-2500, то пакет с заголовком 1700 может быть интерпретирован и как Init, и как Response.

Динамические заголовки значительно усложняют создание универсальных DPI-правил, так как у разных клиентов заголовки не совпадают.

CPS: язык мимикрии

CPS (Custom Protocol Signature) — это формат для описания сигнатурных пакетов. Он позволяет создавать «сценарии» для имитации легитимных протоколов. CPS использует теги, которые комбинируются для создания пакетов, неотличимых от настоящих.

Основные теги CPS:

• ** — вставляет точные байты, например, магические байты протокола.
• `` — добавляет Unix timestamp.
• `` — добавляет N криптостойких случайных байт.
• `` — добавляет N случайных букв/цифр (для текстовых протоколов).
• `` — добавляет N случайных цифр (для числовых полей).

Пример сигнатуры для DNS: i1 = **. Здесь ** — начало DNS-запроса, ` — временная метка, ` — случайные данные.

CPS позволяет точно имитировать протоколы, такие как QUIC, DNS, SIP. Это делает трафик AmneziaWG 2.0 практически неотличимым от легитимного, что снижает риск блокировки.

Как настроить AmneziaWG 2.0 на своем сервере

Для использования AmneziaWG 2.0 на собственном сервере необходимо:

1. Обновить приложение AmneziaVPN до версии 4.8.12.9 или выше. Скачать его можно с официальной страницы загрузки или зеркала.
2. В приложении выбрать подключение к серверу и нажать на иконку с шестеренкой.
3. В списке протоколов найти AmneziaWG и нажать на иконку загрузки, затем «Установить».
4. После установки протокол появится в списке доступных, и можно будет подключаться.

Важно: AmneziaWG 2.0 несовместим с предыдущими версиями. Если вы обновляете протокол, потребуется сгенерировать новые конфигурации для гостевых подключений. Новые серверы по умолчанию используют AWG 2.0, и установить на них AmneziaWG Legacy уже не получится.

Для пользователей Amnezia Free и Premium поддержка AWG 2.0 будет добавлена позже, пока они используют версию 1.5.

Сравнение с предыдущими версиями

AmneziaWG 2.0 значительно отличается от версий 1.0 и 1.5. Вот основные различия:

• Сигнатурные пакеты: в 1.0 были только junk-пакеты, в 2.0 добавлены i1-i5, которые имитируют реальные протоколы.
• Padding: в 1.0 изменялись только размеры handshake-пакетов (S1, S2), в 2.0 добавлены S3 и S4 для всех типов пакетов.
• Заголовки: в 1.0 использовались фиксированные значения H1-H4, в 2.0 — динамические диапазоны.
• CPS: в 2.0 появился язык CPS для создания сигнатурных пакетов.

Эти изменения делают AmneziaWG 2.0 значительно более устойчивым к DPI, чем предыдущие версии. Однако важно помнить, что ни один протокол не дает 100% гарантии обхода блокировок, и в условиях активного противодействия могут потребоваться дополнительные меры.

Ограничения и соображения безопасности

Несмотря на все преимущества, AmneziaWG 2.0 имеет некоторые ограничения:

• Совместимость: AWG 2.0 несовместим с предыдущими версиями, поэтому при обновлении нужно пересоздавать конфигурации.
• Производительность: добавление padding увеличивает объем передаваемых данных, что может снизить скорость.
• Настройка: для точной имитации протоколов требуется понимание CPS и параметров, хотя при установке через AmneziaVPN большинство настроек заполняется автоматически.

Также важно помнить, что использование VPN для обхода блокировок может нарушать местные законы. Пользователи должны самостоятельно оценивать риски и соблюдать законодательство своей страны.

AmneziaWG 2.0 — это мощный инструмент для защиты приватности и доступа к информации, но он не является панацеей. В условиях постоянно развивающихся методов блокировок важно следить за обновлениями и использовать комплексные подходы к обеспечению безопасности.

Вопросы и ответы