Inboundok és osztott alagút

Az »inbound« a panel legtechnikaibb szava, de a mögötte álló elgondolás egyszerű: egy beállított belépési pont a VPN-edbe egy adott szerveren. A terminológiáról szóló leckében az inboundokat egy épület ajtóihoz hasonlítottuk — most nézzük meg, miből áll egy ilyen ajtó, és milyen beállításai vannak.

Mi az inbound

Amikor a felhasználó alkalmazása csatlakozik a szerveredhez, nem »a szerveren általában« kopogtat — egy konkrét inboundon kopogtat, és pontosan azokat a szabályokat kapja, amelyeket abban az inboundban beállítottál: melyik weboldalnak álcázza magát, blokkolja-e a torrenteket és a reklámot, melyik forgalmat vezesse a VPN mellett el.

Egy worker node több, különböző beállítású inboundot is futtathat. Például:

• »🇩🇪 Németország« — egy szokásos inbound mindenkinek;
• »🇩🇪 Németország · torrentmentes« — ugyanaz, de BitTorrent-blokkolással;
• »🇩🇪 Németország · reklámmentes« — a reklám- és követődomainek blokkolásával;
• »🇩🇪 Németország · csak blokkolt oldalak« — csak azok az oldalak mennek át rajta, amelyek VPN nélkül nem érhetők el.

Minden inbound a VLESS + Reality protokollon fut — pont azon, amely a VPN-forgalmat egy népszerű weboldal szokásos HTTPS-látogatásának álcázza.

Inbound létrehozása

A klaszter oldalán kattints az »Új inbound« gombra. Az űrlapon:

1. Protokoll — VLESS + Reality (az egyetlen, és az ajánlott is).
2. Szerver — melyik worker node-on hozza létre a belépési pontot. Az inboundok csak csatlakoztatott node-okon élnek — »tiszta« masteren nem hozható létre inbound.
3. Név — pontosan az a név, amelyet a felhasználóid látnak, zászlóval együtt.
4. Álcázandó webhely — melyik oldalnak álcázza magát a forgalom. Válassz egy nagy HTTPS-oldalt, amely hibátlanul működik a szerver országában: Google/Microsoft/Apple Európa és az USA esetén, Yandex vagy VK Oroszország esetén. Nem tudod, melyiket válaszd? A panel képes letapogatni a szervered alhálózatát, és fedésként használható valódi szomszédos webhelyeket javasol — lásd Álcázó webhely keresése: az alhálózati szkenner. A panel haladó módjában kézzel is finomhangolhatod a paramétereket (DEST, SERVER_NAMES, FINGERPRINT) — de a legtöbb embernek erre soha nincs szüksége.
5. Osztott alagút, Torrentek blokkolása és Reklámok blokkolása — lentebb részletezve.
6. Útvonal — melyik útvonalhoz csatold az új belépési pontot (választhatod a »Nincs útvonal« lehetőséget is, és később csatolhatod — de ne feledd a 4. leckéből: az útvonal nélküli inbound láthatatlan a felhasználók számára).

Torrentblokkolás

A »Torrentek blokkolása« kapcsoló közvetlenül a szerveren vágja el a BitTorrent-forgalmat. Ez fontos: a blokkolás akkor is működik, ha a felhasználó kikapcsol minden szabályt az alkalmazásában — a konfiguráció szerkesztésével nem kerülhető meg. Új inboundoknál alapértelmezetten be van kapcsolva: a torrentezés a VPS-en gyakori forrása a tárhelyszolgáltatói panaszoknak.

Reklámblokkolás

A torrentek mellett a második szerveroldali kapcsoló: a »Reklámok blokkolása«. Ez eldobja az ismert reklám- és követődomainekhez intézett kéréseket (kész, ~170 ezer domaint tartalmazó lista): a telefonon lévő alkalmazás egy bannerért nyúlna — a szerver némán »elnyeli« ezt a kérést. Az oldalak tisztábbá és könnyebbé válnak, és mellékesen leválik a felhasználóról statisztikát gyűjtő követők egy része is.

A torrentekhez hasonlóan ez a szabály is a szerveren él, nem az alkalmazásban: a konfiguráció szerkesztésével nem kerülhető meg, és akkor is működik, ha az osztott alagút ki van kapcsolva.

A torrentekkel ellentétben a reklámblokkolás alapértelmezetten ki van kapcsolva — tudatosan kapcsold be, ismerve két őszinte korlátot:

• Csak a reklámdomainek kerülnek levágásra. Azt a reklámot, amelyet a szolgáltatás ugyanarról a domainről ad, mint magát a tartalmat (például a YouTube-on belüli videók), a doménalapú blokkolás nem fogja meg.
• Elvétve olyan oldalak törnek el, amelyek nem hajlandók a saját reklámszkriptjeik nélkül működni. Ha a felhasználó egy ilyen oldalra panaszkodik — kapcsold ki a blokkolást ezen az inboundon, vagy hozz létre mellé egy külön inboundot nélküle.

Osztott alagút

Az osztott alagút arra a kérdésre válaszol: melyik forgalom megy a VPN-en át, és melyik közvetlenül? A szabályokat egyszer állítod be az inboundban, és azok automatikusan eljutnak a felhasználók alkalmazásaiba — a felhasználóknak semmit sem kell beállítaniuk.

A klasszikus forgatókönyvek:

• Minden a helyi kivételével. A bank, az állami szolgáltatások és a helyi oldalak közvetlenül nyílnak meg (nem szeretik a külföldi címeket); minden más a VPN-en át megy.
• Csak a lista. Csak a blokkolt oldalak mennek a VPN-en át; minden más közvetlenül, sebességveszteség nélkül.

Három szabálylista

Az »Osztott alagút« rész három független blokkot tartalmaz:

Minden blokkhoz tartozik egy mód:

• »Minden a VPN-en át« — a blokk ki van kapcsolva;
• »Minden a lista kivételével« — a listán szereplő elemek közvetlenül nyílnak meg, megkerülve a VPN-t; minden más a VPN-en át megy;
• »Csak a lista« — csak a listán szereplő elemek mennek a VPN-en át; minden más közvetlenül nyílik meg.

A listákat »chipekkel« töltöd fel: illessz be vesszővel vagy új sorral elválasztott domaineket; a GeoSite-hoz és a GeoIP-hoz egykattintásos előbeállítások tartoznak.

Hogyan jutnak el a szabályok a felhasználóhoz

A szabályok bekerülnek az előfizetésbe, és a felhasználó alkalmazása kényszeríti ki őket. Az összes ajánlott alkalmazás (Happ, v2rayN/v2rayNG, Streisand, V2Box) automatikusan megkapja őket; routerek is támogatottak — OpenWRT és Keenetic. Ha pedig a felhasználó egy egzotikus alkalmazásba importálja az előfizetést, amely nem érti a szabályokat, a VPN akkor is működik — a teljes forgalom egyszerűen az alagúton megy át.

Egy apró finomságról gondoskodtunk helyetted: a különböző inboundok különböző szabályokat hordozhatnak, és a felhasználó alkalmazásában minden »szerver« a sajátját hozza magával — válts másik szerverre, és az ő szabályait kapod.

A lényeg dióhéjban

• Egy inbound = belépési pont egy node-on: álcázás + forgalmi szabályok + a felhasználó által látott név.
• Egy szerver több inboundot is futtathat, különböző célokra.
• A torrent- és reklámblokkolás a szerveren működik, és az ügyfél nem kerüli meg: a torrentek alapértelmezetten levágásra kerülnek, a reklám igény szerint.
• Osztott alagút: három lista (oldalak, kategóriák, országok), »minden kivéve« / »csak a lista« módok, automatikus eljuttatás az alkalmazásokhoz.
• Az útvonal nélküli inbound láthatatlan — ne felejtsd el csatolni.

Következik

Egy inbound több lehet, mint egy egyszerű ajtó — lehet több szerver egymás utáni sorozata is, ahol a forgalom az egyik országban lép be, és egy másikban lép ki.