Как это работает
История о том, как ваш трафик проходит
В некоторых сетях на дороге к интернету стоит контрольный пункт. Он вскрывает каждую посылку, читает ярлыки и тихо выбрасывает всё, что похоже на VPN. Инженеры называют это глубокой инспекцией пакетов — DPI.
ForestVPN отвечает адаптивной лестницей контрприёмов — и всегда использует самый лёгкий из работающих. Эта страница рассказывает всю историю: просто, как для пятилетнего, и точно, как для инженера.
Игра в маскировку
Вашему трафику нужно пройти мимо контрольного пункта. ForestVPN даёт ему всё лучшую маскировку — но ровно настолько, насколько требует пункт.
Ваше сообщение отправляется в путь. В простых сетях оно проходит без препятствий.
Региональные уровни задают стартовую ступень: free / monitored / censored.
Первый трюк: у путника нет бейджа с именем. Ничто в нём не выдаёт, что он такое.
T0 — keyed discovery и обфускация заголовков: никакого отпечатка протокола в открытом виде. Всегда включено, на любом тарифе.
Охранник начинает всех измерять. Тогда путник меняет размер — и каждый раз входит в другую дверь.
T1 — паддинг и мульти-порт: исчезают характерные размеры и единственный известный порт.
Теперь охранник прислушивается к акценту. Путник отвечает на совершенно другом языке.
T2 — инкапсуляция Shadowsocks-2022.
Лучшая маскировка: выглядеть в точности как все остальные.
T3 — мимикрия под QUIC: форма самого оживлённого трафика в интернете.
Отправьте трёх путников по трём дорогам сразу. Кто первым пройдёт — тот и выиграл.
T4 — гонка всех транспортов: сессию несёт первая пробившаяся дорога.
Для самых строгих пунктов путник меняет даже походку.
T5 — шейпинг трафика maybenot/DAITA. Опционально — включаете вы сами.
ForestVPN поднимается ровно настолько, насколько требует ваша сеть, — и спускается обратно, когда можно.
Уровни перенастраиваются по регионам на стороне сервера — без обновления приложения.
Пакет, который исчез
Посмотрите, как одна помеченная посылка становится неотличимой от остальных.
Каждое сообщение — маленькая посылка. Инспектор может прочитать ярлыки.
Классические VPN-протоколы объявляют о себе открытым текстом.
Сначала мы снимаем ярлык.
Keyed discovery и обфускация заголовков — читать больше нечего.
Потом делаем посылку такого же размера, как у всех.
Паддинг выравнивает характерные длины.
Новая обёртка — та же, что у всех остальных.
Реинкапсуляция (Shadowsocks-2022) или мимикрия под QUIC: сама обёртка — самая обычная.
Теперь даже внимательный инспектор видит пять обычных посылок. Только вы знаете, которая ваша.
В этом весь фокус: не театр скрытности — просто не за что зацепиться.
Вот что значит «нечего найти».
Как ForestVPN работает в сетях с цензурой
Дорога и ретранслятор
Когда прямая дорога закрывается, загорается другая.
Обычно ваш трафик идёт по прямой дороге.
Прямые соединения используют UDP с пробиванием NAT.
Иногда дорога закрыта.
Некоторые сети блокируют UDP полностью.
Тогда ForestVPN отправляет его поверху — через ретранслятор.
Сеть ретрансляторов DERP, управляемая ForestVPN.
Ретранслятор говорит так же, как обычные сайты, — поэтому дорога остаётся открытой.
Когда UDP заблокирован, ретрансляторы переходят на TLS; QUIC-DERP сохраняет скорость там, где QUIC разрешён.
Вы можете сказать, какие дороги предпочитаете.
Режим маршрутизации: Automatic / Direct-preferred / Relay-only.
Как только прямая дорога снова открыта, ForestVPN выбирает её — это скоростная полоса.
Ретрансляторы остаются наготове; прямое соединение возвращается, как только заработает.
Устройства находят друг друга по имени
MagicDNS даёт каждому устройству вашей приватной mesh-сети настоящее имя — например, nas.mesh.fvpn.net, — и ваши устройства достучатся друг до друга по имени из любой сети.
Имена — автоматически
Каждое устройство получает имя в *.mesh.fvpn.net в момент подключения — ничего настраивать не нужно, IP-адреса помнить не нужно.
Split-DNS
Через mesh-сеть резолвятся только ваши mesh-имена; все остальные запросы идут ровно туда, куда шли бы обычно.
Переименование на лету
Переименуйте устройство — новое имя подхватится мгновенно, туннель не перезапускается.
Без утечек DNS
Когда трафик идёт через exit-узел, DNS-запросы остаются внутри туннеля и не утекают в локальную сеть.
Post-Quantum Cipher Suite
В тарифах Premium и Enterprise обмен ключами работает в гибридном режиме: классическое рукопожатие и Kyber — постквантовый алгоритм — согласуют ключи вместе.
Почему это важно: зашифрованный трафик можно записать сегодня и расшифровать через годы, когда квантовые компьютеры дорастут, — если только ключи не были согласованы способом, рассчитанным выдержать их. В гибридном обмене атакующему пришлось бы взломать обе половины — классический обмен и Kyber; если одна когда-нибудь падёт, вторая продолжит держать.
Входит в тарифы Premium и Enterprise.
Готовы к VPN, который адаптируется?
Одно приложение. Нужная маскировка — только когда она нужна.