Trobar un lloc d'emmascarament: l'escàner de subxarxa

A la lliçó sobre els inbounds vam triar un lloc web per emmascarar-se — el lloc HTTPS popular que el teu trànsit de VPN fingeix ser. Aquesta tria importa més del que sembla, i el tauler té una eina que la fa per tu: l'escàner de subxarxa. Aquesta lliçó explica què és un bon lloc d'emmascarament, per què un veí del teu propi servidor sol ser el millor, i com l'escàner troba aquests veïns automàticament.

Per què importa el lloc d'emmascarament

Cada inbound funciona sobre VLESS + Reality. Reality fa que el teu trànsit sembli una visita HTTPS ordinària a algun lloc web real i popular — i ho aconsegueix completant realment la primera part d'un veritable protocol d'enllaç TLS amb aquest lloc. Al tauler, aquest lloc apareix com el camp «Lloc web per emmascarar-se»; en mode avançat es divideix en els paràmetres tècnics DEST (l'amfitrió real del qual es «manlleva» el protocol d'enllaç) i SERVER_NAMES (el nom que anuncien les aplicacions dels teus usuaris, és a dir, el SNI).

Perquè el disfressa aguanti, el lloc ha de complir diverses condicions alhora:

• Parla TLS 1.3 i HTTP/2 moderns (els llocs més antics delaten el protocol d'enllaç).
• És gran i poc destacable — el trànsit cap a ell no crida l'atenció.
• No està bloquejat al país del teu servidor (una «tapadora» bloquejada arruïna tot el sentit).
• És ràpidament accessible des del servidor (el protocol d'enllaç és trànsit de xarxa real).

Per què un veí és la millor tapadora

L'últim punt és l'interessant. El teu servidor es troba en un centre de dades, envoltat d'altres màquines a la mateixa subxarxa — sovint altres clients del mateix proveïdor d'allotjament, que executen llocs web del tot corrents. Emmascarar-se com un d'aquests veïns té dos avantatges:

• La latència és gairebé zero. El protocol d'enllaç DEST no surt mai del centre de dades, de manera que les connexions s'estableixen més ràpid.
• Es fon amb l'entorn. El trànsit del teu servidor cap a una màquina a un armari de distància és exactament el que un centre de dades veu tot el dia.

El truc: no coneixes els teus veïns de memòria. Per això existeix precisament l'escàner.

Què fa l'escàner de subxarxa

L'escàner demana al teu servidor que sondegi discretament el seu propi veïnat i informi de quins veïns serien bones tapadores de Reality.

L'exploració s'executa automàticament el primer cop que es configura un servidor, de manera que quan obres el formulari d'inbound els suggeriments solen ser-hi ja. També la pots executar a mà en qualsevol moment.

On trobar-lo

El mateix resultat d'exploració es comparteix a tot arreu on es tria el lloc d'emmascarament, de manera que els suggeriments i el progrés en directe es mantenen sincronitzats:

• Al formulari d'inbound, sota el camp «Lloc web per emmascarar-se» — el botó «Cerca llocs a la subxarxa» i, un cop feta una exploració, xips ràpids amb els dominis trobats. Fes clic en un xip per emplenar el camp.
• A la finestra del servidor (obre un servidor del teu clúster), a la secció «Llocs d'emmascarament (SNI)» — la mateixa exploració amb un resum de quants llocs s'han trobat.
• A la targeta «en curs» de la pàgina d'inici — mentre un servidor acabat d'afegir encara s'està configurant, el progrés de l'exploració es mostra allà mateix.

Llegir els resultats

Els xips ràpids mostren els llocs trobats a la teva subxarxa, menys els que els teus inbounds ja fan servir. Així, a mesura que gastes candidats en inbounds, desapareixen de la llista, i un lloc que alliberes torna. Si tots els llocs trobats ja s'estan fent servir, el tauler ho diu i t'convida a introduir un domini a mà o a tornar a explorar.

Iniciar, aturar i tornar a explorar

• Iniciar — prem «Cerca llocs a la subxarxa» (o «Torna a explorar» després d'una execució anterior). Una exploració àmplia triga aproximadament un minut; els resultats apareixen gradualment a mesura que es comprova cada /24, així que no cal esperar tota l'exploració per triar un lloc.
• Aturar — n'has trobat prou? Prem «Atura». El botó canvia a «Aturant…» mentre el servidor acaba el tros en què està; tot el que s'ha trobat fins ara es conserva. Quan s'estabilitza, l'exploració es marca com a feta i apareix «Torna a explorar».
• Tornar a explorar — executa una exploració nova i actualitza la llista de candidats. Fes-la servir si has traslladat el servidor, o si el veïnat pot haver canviat.

Idees clau

• El lloc d'emmascarament (Reality DEST/SNI) ha de ser un lloc gran, no bloquejat, amb TLS 1.3 + HTTP/2 — i un veí del teu servidor sol ser el millor: ràpid i poc destacable.
• L'escàner de subxarxa troba aquests veïns per tu: sondeja el /24–/20 del servidor, conserva els llocs que qualifiquen i els ofereix com a suggeriments d'un sol clic.
• S'executa automàticament en la configuració i es pot tornar a executar en qualsevol moment, des del formulari d'inbound, la finestra del servidor o la targeta en curs.
• Xips ràpids = llocs trobats menys els ja utilitzats; allibera'n un i torna.
• Inicia, atura (un clic → «Aturant…») i torna a explorar segons calgui — tot el que s'ha trobat sempre es conserva.

A continuació

Un inbound pot ser més que una sola porta — pot ser una cadena de servidors, on el trànsit entra en un país i surt per un altre. Cada salt tria el seu propi lloc d'emmascarament, així que l'escàner també s'hi guanya el sou.