Shadowsocks: как всё начиналось и почему протокол устарел

Shadowsocks был первым массовым инструментом обхода, созданным практиком для практиков. Его история хорошо показывает, как развивается противостояние с фильтрацией.

Как появился

В 2012 году китайский разработчик под ником clowwindy выложил небольшую программу. Идея была в простоте: обычный SOCKS5-прокси, но весь трафик шифруется, чтобы не выдавать себя заголовками.

Протокол оказался настолько удачным, что разошёлся мгновенно — лёгкий, быстрый, работает на любом железе вплоть до роутеров.

Принцип работы

Клиент принимает соединения локально, шифрует данные выбранным алгоритмом и отправляет на сервер. Тот расшифровывает и передаёт дальше в интернет. Никакого рукопожатия, никаких служебных заголовков — просто поток зашифрованных байтов.

В этом была и сила, и слабость.

Почему его научились находить

Поток «случайных» байтов сам по себе выглядит необычно. У любого нормального протокола есть структура: заголовки, известные константы, предсказуемые размеры. У Shadowsocks — чистая энтропия с первого байта.

Системы фильтрации научились это замечать: соединение, в котором нет ни одного узнаваемого паттерна, подозрительно именно своей безликостью. Добавьте активное зондирование — отправить на подозрительный порт мусор и посмотреть на реакцию — и протокол вычисляется.

Попытки спасти

Появились плагины обфускации: simple-obfs маскировал трафик под HTTP или TLS, позже v2ray-plugin заворачивал его в WebSocket. Это продлило жизнь протоколу на несколько лет.

Но архитектурно это были надстройки над протоколом, не рассчитанным на сопротивление анализу. Настраивать приходилось вручную, совместимость хромала.

Что пришло на смену

VLESS и Trojan изначально проектировались с мыслью о фильтрации: маскировка не плагин, а часть архитектуры. Вместо «спрятать случайные байты» — «выглядеть как обычный HTTPS».

Стоит ли использовать сегодня

В сети без серьёзной фильтрации Shadowsocks отлично работает: он простой, быстрый и нетребовательный. Если у вас свой сервер и задача просто сменить географию — вполне рабочий вариант.

Для обхода современных систем — нет. Там нужен протокол, который не надо прятать отдельными плагинами.

Читайте также