SNI
Server Name Indication — «нишондиҳии номи сервер»
Номи сомонае, ки муштарӣ дар оғози пайвастшавии муҳофизатшуда кушода ном мебарад — ҳанӯз пеш аз рамзгузорӣ.
Ин чист
SNI — васеъшавии протоколи TLS. Дар паёми аввалин (ClientHello) муштарӣ номи сомонаеро, ки ба он пайваст мешавад, ном мебарад. Ин барои он лозим аст, ки як суроғаи IP ба бисёр сомонаҳои HTTPS хидмат расонад ва сервер фавран донад, кадом шаҳодатномаро нишон диҳад. Васеъшавӣ дар RFC 6066 тавсиф шудааст; нашри аввали он соли 2003 баромад.
Чаро ин барои филтркунӣ муҳим аст
ClientHello пеш аз фаъол шудани рамзгузорӣ мефиристад, ва дар нақшаи аслӣ номи сомона бо матни кушода интиқол дода мешавад. Бинобар ин нозир дар роҳ — оператор ё таҷҳизоти DPI — мебинад, ки пайвастшавӣ ба кадом домейн меравад, ҳарчанд мундариҷаро намебинад. Масдудкунӣ «аз рӯи ном» маҳз бар ҳамин асос сохта шудааст.
Васеъшавиҳои Encrypted SNI ва Encrypted Client Hello майдонро мепӯшонанд, аммо танҳо бо TLS 1.3 кор мекунанд ва дастгирии ҳар ду тарафро талаб мекунанд. Тибқи маълумоти Википедия, провайдерҳои русӣ дар октябри соли 2020 масдуд кардани ESNI-ро оғоз карданд.
SNI дар махфии прокси
Дар режими FakeTLS муштарии прокси дар ClientHello домейнро ном мебарад — ҳамонро, ки дар махфӣ фавран баъд аз калид ҷойгир шудааст. Барои филтр ин мисли ворид шудан ба ҳамон сомона менамояд. Домейн дар махфӣ бо рақамҳои шонздаҳӣ навишта шудааст:
ee473ce5d4958eb5f968c87680a23854a0676f6f676c652e636f6d
Домейнро чӣ тавр хондан
Қисми зердорӣ — байтҳои сатри google.com дар hex. Онҳоро бо як фармон кушодан мумкин аст:
echo 676f6f676c652e636f6d | xxd -r -p
SNI-ро худатон чӣ тавр санҷидан мумкин аст
Дидан, ки сервер ба номи мушаххас дар SNI чӣ ҷавоб медиҳад, бо барномаи OpenSSL имконпазир аст: параметри -servername ҳамон номеро муайян мекунад, ки муштарӣ дар ClientHello ном мебарад.
openssl s_client -connect IP-СУРОҒА:443 -servername домейн
Агар домейн кушода нашавад
Домейни ниқоб бояд эътимодбахш бимонад: агар сомона нопадид шуда бошад, назди оператор масдуд бошад ё шаҳодатномааш мӯҳлаташро гузаронда бошад, пайвастшавӣ ба он табиӣ намуд карданро бас мекунад. Он гоҳ домейни дигарро интихоб мекунанд, махфии нав месозанд ва истинодҳоро аз нав медиҳанд.
Кадом домейн мувофиқ аст
Домейн бояд сомонаи оддӣ бошад, ки дар шабакаи шумо масдуд намешавад. Дар README-и mtg алоҳида огоҳ мекунанд: провайдерҳо метавонанд номувофиқиро пай баранд, масалан google.com дар суроғаи IP-е, ки ба Google тааллуқ надорад, бинобар ин домейнро беҳтар аст ба суроғаи сервер алоқаманд кунед. Иваз кардани домейн дар telemt ҳамаи истинодҳои додашударо корношоям мекунад, онҳоро аз нав додан лозим мешавад.