Feature Request: Добавление локального прокси-сервера (SOCKS5/HTTP/UDP) для маршрутизации стороннего трафика через VK TURN

[DIMFLIX]

Огромное спасибо за этот проект.
Хотел бы предложить идею для расширения функционала, которая очень нужна этому проекту. Не все пользуются wireguard.
Нужно добавить возможность запуска локального прокси-сервера внутри приложения/Network Extension (например, слушающего 127.0.0.1:9000), как это реализовано уже в https://github.com/amurcanov/proxy-turn-vk-android

Сейчас проект отлично работает в связке с wg, однако многие пользователи хотят использовать более современные или устойчивые к блокикам протоколы, такие как Hysteria2 или vless, которые отлично работают в приложениях типа V2Box, HApp и прочих.

Примерный юзкейс:

1. Пользователь поднимает свой собственный VPN-сервер (например, Hysteria2) в другой стране.
2. В клиенте (V2Box) он настраивает подключение не напрямую к своему серверу, а к локальному прокси 127.0.0.1:9000, который предоставляет это приложение.
3. Приложение принимает трафик от V2Box, оборачивает его в DTLS/SRTP (используя уже существующую логику proxy.Proxy) и отправляет на VK TURN.
4. VK TURN ретранслирует трафик на конечный VPN-сервер пользователя

Думаю эта фича сделает ваше приложение максимально универсальным.

[anton48]

тут несколько моментов:

1. в приложении у @amurcanov 127.0.0.1:9000 - это не прокси, а такой хак для общения разных частей программы между собой через локальный сокет на клиентском устройстве. wireguard часть приложения думает, что это ее peer, отправляет туда пакеты, а другая часть приложения упаковывает их и отдает TURN серверу. наверное, эту схему теоретически можно использовать и для внешних программ, но вообще в его в серверной части wireguard прямо интегрирован внутрь, так что мне не очень очевидно, как на этот порт может идти какое-то другое приложение.

2. в случае ios это будет два VPN. я не понимаю, как это можно реализовать на практике. может и можно, но наскидку я не понимаю.

3. wireguard в vk-turn-proxy выполняет не функцию обхода блокировок/шифрования/маскирования (над ним еще слой шифрования или даже несколько, в зависимости от типа подключения), а функцию транспорта, позволяющую работать со множественными "каналами" в виде аллокаций над credentials VK (то, что в настройках называется connections и что дает в результате куммулятивную скорость). поэтому "многие пользователи хотят использовать более современные или устойчивые к блокикам протоколы" здесь неприменимо, этот wireguard никому не видно, его не блокируют. задачу, которую решает wireguard, можно решать и по-другому, например, @amurcanov в каком-то из релизов отказывался от него и переходил на kcp+smux, но потом вернулся.

4. наконец, глобально у нас два сценария:

• серверная часть (vk-turn-proxy) работает в другой стране, как в вашем примере. эта схема не очень правильная с точки зрения маскировки, но в этом случае, пакет, который вышел из wireguard - уже в "свободном" интернете. зачем ему там vpn сервер?

• серверная часть (vk-turn-proxy) работает на хостинге в РФ. в этом случае пакет, который вышел из wireguard, скорее всего, надо засунуть еще в какой-то туннель/vpn, который уже идет за пределы РФ. это может быть в том числе hysteria или vless, вопрос только в том как смаршрутизировать пакет. вот пример, как это работает вместе с wdtt в туннельном режиме: Свой WG в 3x-ui amurcanov/proxy-turn-vk-android#92 (comment) (там, правда для warp сделано, но это не суть). другой вариант - когда xray или hysteria на сервере работают как прокси. тогда на клиентском устройстве нужно будет указать локальный адрес/порт на сервере, на котором они слушают socks5 или http.

с точки зрения пользователя, конечно, проще выглядит привычный v2box/happ, но здесь мы опять возвращаемся к пункту 2 (про vpn over vpn). идеальным вариантом было бы добавление функциональности vk-turn-proxy в эти приложения в качестве транспорта. но это задача уже другого масштаба :)

[amurcanov]

тут несколько моментов:

1. в приложении у @amurcanov 127.0.0.1:9000 - это не прокси, а такой хак для общения разных частей программы между собой через локальный сокет на клиентском устройстве. wireguard часть приложения думает, что это ее peer, отправляет туда пакеты, а другая часть приложения упаковывает их и отдает TURN серверу. наверное, эту схему теоретически можно использовать и для внешних программ, но вообще в его в серверной части wireguard прямо интегрирован внутрь, так что мне не очень очевидно, как на этот порт может идти какое-то другое приложение.

2. в случае ios это будет два VPN. я не понимаю, как это можно реализовать на практике. может и можно, но наскидку я не понимаю.

3. wireguard в vk-turn-proxy выполняет не функцию обхода блокировок/шифрования/маскирования (над ним еще слой шифрования или даже несколько, в зависимости от типа подключения), а функцию транспорта, позволяющую работать со множественными "каналами" в виде аллокаций над credentials VK (то, что в настройках называется connections и что дает в результате куммулятивную скорость). поэтому "многие пользователи хотят использовать более современные или устойчивые к блокикам протоколы" здесь неприменимо, этот wireguard никому не видно, его не блокируют. задачу, которую решает wireguard, можно решать и по-другому, например, @amurcanov в каком-то из релизов отказывался от него и переходил на kcp+smux, но потом вернулся.

4. наконец, глобально у нас два сценария:

• серверная часть (vk-turn-proxy) работает в другой стране, как в вашем примере. эта схема не очень правильная с точки зрения маскировки, но в этом случае, пакет, который вышел из wireguard - уже в "свободном" интернете. зачем ему там vpn сервер?

• серверная часть (vk-turn-proxy) работает на хостинге в РФ. в этом случае пакет, который вышел из wireguard, скорее всего, надо засунуть еще в какой-то туннель/vpn, который уже идет за пределы РФ. это может быть в том числе hysteria или vless, вопрос только в том как смаршрутизировать пакет. вот пример, как это работает вместе с wdtt в туннельном режиме: Свой WG в 3x-ui amurcanov/proxy-turn-vk-android#92 (comment) (там, правда для warp сделано, но это не суть). другой вариант - когда xray или hysteria на сервере работают как прокси. тогда на клиентском устройстве нужно будет указать локальный адрес/порт на сервере, на котором они слушают socks5 или http.

с точки зрения пользователя, конечно, проще выглядит привычный v2box/happ, но здесь мы опять возвращаемся к пункту 2 (про vpn over vpn). идеальным вариантом было бы добавление функциональности vk-turn-proxy в эти приложения в качестве транспорта. но это задача уже другого масштаба :)

Как вы точно и сладко всё рассказали, ну мёд по телу

[DIMFLIX]

@anton48 Спасибо за развёрнутый ответ. Теперь мне понятна архитектура.
Но хотел пояснить, почему возникла эта идея. Дело в том, что wireguard сейчас для большинства пользователей не самый удобный вариант.

Большинство людей используют панель 3x-ui для управления VPN. И там к клиентам нельзя привязать wg - только vless, vmess, trojan, hysteria2 и подобные протоколы. Все конфиги приходится делать прямо в инбаунде. Помечать их тоже никак нельзя..
Я понимаю что это не ваша проблема, а проблема разработчиков 3xui и их пользователей. Я уже отправил повторный issue с просьбой наконец туда добавить нормальное добавление конфигов для клиентов.

Понимаю, что это требует серьёзной переработки архитектуры (и, возможно, интеграции с V2Box/HApp, как вы упомянули). И скорее всего, это задача другого масштаба.
Но если вдруг появится мысль, как это можно реализовать хотя бы в каком-то виде - было бы супер. Например просто добавить помимо подключения wireguard - подключение к hysteria2.

Ещё раз спасибо за проект и пояснения!

[anton48]

Но если вдруг появится мысль, как это можно реализовать хотя бы в каком-то виде - было бы супер.

вам может подойти вот это решение:

https://github.com/samosvalishe/turn-proxy-android (андроид клиент)
https://github.com/samosvalishe/free-turn-proxy (новое приложение от того же автора, android в termux, iOS в iSH)

там выбран другой подход: приложение не является vpn, а только реализует захват пакетов из локального сокета, которые туда присылает тот или иной клиентский vpn (которому этот локальный сокет подсовывают в качестве адреса vpn сервера), обертку в SRTP и отправку на TURN сервер. на стороне сервера серверная часть принимает пакеты от TURN сервера, снимает обертку и отправляет серверной части VPN.

с этим подходом могут работать и hysteria, и vless/vmess.

[DIMFLIX]

@anton48 Хотел бы вернуться к этой проблеме с новыми новостями.

Про решение от samosvalishe: да, оно идеально, но только для андроид. Его я и использовал на постоянной основе.
Однако из-за чего всё таки я возраждаю данную проблему: хоть вы и говорите, что wireguard никому не виден, - по моим наблюдениям он работает заметно хуже или вообще не работает. У меня на сервере развёрнут https://github.com/samosvalishe/free-turn-proxy через докер (два контейнера под hysteria и под wireguard). Конфигурация одинаковая, только порты отличаются. Обфускация rtpopus включена. В случае с хистерией (работает через локальный сокет 127.0.0.1:9000 и запускается из любого клиента по типу Happ/Incy/V2RayN) - всё работает как нельзя лучше. Wireguard иногда работает, а иногда нет. При чём почему-то при соединении через wireguard могут работать не все сервисы. Telegram воркает, а ютуб например нет. Так-же была замечена проблема в speedtest - он не определял сервера и не мог замерить скорость.
Таких проблем при подключении через хистерию замечено не было.
Так-что различия определенно есть, правда не понятно в чем. Тестировал на самых разных параметрах. Менял и DNS-резолвер, и транспорт, и обфускацию - ничего не помогло.

Думаю вам стоило бы рассмотреть возможность добавления работы через локальный сокет, как это делает FreeTurn от samosvalishe. Недавно я увидел проект, который вроде как реализует это: https://github.com/tremendous-stimulus/free-turn-proxy-ios
Однако метод установки только через sidestore. Не знаю, есть ли у автора проблемы с дропом приложения в TestFlight как у вас, или нет. Написал туда issue, ответа пока не вижу.

[anton48]

В случае с хистерией (работает через локальный сокет 127.0.0.1:9000 и запускается из любого клиента по типу Happ/Incy/V2RayN) - всё работает как нельзя лучше. Wireguard иногда работает, а иногда нет. При чём почему-то при соединении через wireguard могут работать не все сервисы. Telegram воркает, а ютуб например нет. Так-же была замечена проблема в speedtest - он не определял сервера и не мог замерить скорость.
Таких проблем при подключении через хистерию замечено не было.

ну, я тут ничего особо сказать не могу, почему там wireguard плохо работает. у меня работает хорошо :)

Недавно я увидел проект, который вроде как реализует это: https://github.com/tremendous-stimulus/free-turn-proxy-ios

там у них забавный хак, чтобы решить проблему vpn over vpn: это приложение vpn не является, а работу в фоне обеспечивает через постоянное проигрывание аудиофайла. подход интересный, но не знаю насколько надежный. будет время, может потестирую как это работает.