VPN, который переживает DPI
Личный контур доступа для семьи: работает там, где провайдер пропускает только белый список.
- Домашние подключаются через бота — без разговоров про конфиги и QR-коды
- «Почему не работает» отвечает агент-диагност, а не чтение логов руками
- Ключи выдаются и отзываются из чата, статистика подключений — там же
Задача
Домашний провайдер с фильтрацией по белому списку убивал не только доступ, но и публичный адрес самой панели управления. Обычный VPN не спасал: вместе с трафиком ложился и канал, по которому его чинят.
Как устроено
sing-box с несколькими профилями подключения — маскировка под обычный TLS-трафик как основной путь и запасные варианты рядом, плюс отдельный протокол для мессенджера. Конфигурация не правится руками, а генерируется из источников: иначе части настроек неминуемо разъезжаются. Административный доступ уведён в приватную сеть поверх интернета, где фильтрации попросту нечего смотреть.
Что было трудно
Выбор сайта-прикрытия для маскировки оказался чистой эмпирикой: теория предсказывает плохо, спасли замеры. Победил вариант, который меньше всего выделяется на фоне обычного трафика этого региона. Вторая половина работы — не сеть, а люди: интерфейс должен быть таким, чтобы родственник подключился без единого вопроса.
Чем подтверждено
- Отдельный контур для семьи с собственным ботом и своими лимитами
- Агент-диагност выкачен и отвечает командами прямо в чате
- Прогонный сценарий регулярно проверяет живость канала целиком, а не отдельных сервисов