При использовании стандартных параметров не работает подключение через мобильную сеть #38
Replies: 28 comments 29 replies
-
|
Привет! Скорее всего MTU. Мобильные сети жрут часть MTU своим overhead-ом, и наш дефолтный 1280 может быть великоват. Попробуй в клиентском конфиге: [Interface]
MTU = 1200Если заработает — можно поднимать по 20 и искать максимум. Если 1200 не поможет — тогда дело скорее в DPI оператора. В этом случае скинь:
Разберёмся. По изменению параметров — AWG-параметры (Jc, S1-S4, H1-H4, I1) лежат в серверном конфиге sudo systemctl restart awg-quick@awg0
sudo bash /root/awg/manage_amneziawg.sh regen имя_клиента
По обфускатору — скрипт уже генерирует I1 (CPS), это основная обфускация AWG 2.0. Инструмент по ссылке подставляет другие значения тех же параметров. Проблема скорее в конкретных значениях, которые не ладят с оператором, а не в обфускации как таковой. |
Beta Was this translation helpful? Give feedback.
-
|
тоже с домашнего работает, а через мобильный интернет нет, смена mtu не помогает |
Beta Was this translation helpful? Give feedback.
-
|
помогло изменение значений (Jc, S1-S4, H1-H4, I1) |
Beta Was this translation helpful? Give feedback.
-
|
@elvaleto, @Klavishnik — спасибо, без вас я бы эти баги долго ловил. Полез в код, нашёл сразу два. Первый — про дефолты. У меня в То есть у всех моих установок эти четыре диапазона совпадают. Для DPI это сигнатура — четыре фиксированных hash-диапазона видны в каждой handshake-сессии. Поэтому ТСПУ их и научился палить. elvaleto, твоё "забили в свой алгоритм ваши дефолтные значения" — ровно так и есть. В v5.7.13 H1-H4 теперь генерятся из 8 случайных uint32 (через Второй баг — это который про Фикс: добавил парсер Сейчас прогоню v5.7.13 на чистом Debian и залью. Здесь отпишусь, как только будет на GitHub. Ещё раз спасибо обоим. |
Beta Was this translation helpful? Give feedback.
-
|
@elvaleto, @Klavishnik — выкатил v5.8.0: https://github.com/bivlked/amneziawg-installer/releases/tag/v5.8.0 H1-H4 теперь рандомизируются при каждой установке (8 случайных uint32, sort, 4 непересекающиеся пары) — статической сигнатуры по дефолтам больше нет. Также по дороге пофиксил ещё несколько багов которых вы не просили: split-brain между сервером и клиентами при повреждённом Чтобы апгрейднуться с 5.7.x — нужно Live-тестирование прошло на чистых Debian 13 и Ubuntu 24.04 LTS — обе версии полностью verified. Если что-то у вас всё же не заработает — пишите сюда же, разберёмся. Ещё раз спасибо обоим за находку. |
Beta Was this translation helpful? Give feedback.
-
|
переустановил все, на домашнем инете как обычно без проблем |
Beta Was this translation helpful? Give feedback.
-
|
в общем понизил Jc = 3 и I1 = <r 64> |
Beta Was this translation helpful? Give feedback.
-
|
@elvaleto — а, значит после фикса H1-H4 стало лучше, но мобильному ещё и Jc с I1 мешали. Логично — на мобильном канале лишние junk-пакеты заметнее. Jc = 3, I1 = <r 64> добавлю в доку как рекомендацию для мобильных сетей. Подумаю ещё, может дефолтный Jc стоит снизить с 4-8 до 3-5. Спасибо что дотестировал до конца. |
Beta Was this translation helpful? Give feedback.
-
|
Подтверждаю наличие проблемы. На проводном (домашнем) работает, на мобильной сети - не работает. Config: |
Beta Was this translation helpful? Give feedback.
-
|
@raw-mate — спасибо за конкретику. С v5.8.3 уже третий отчёт про мобильный в крупном городе (Yota/Tele2 Москва в #42, теперь Megafon Москва у тебя). Получается для московских операторов дефолтов v5.8.3 всё равно мало. У тебя Jc=3 это нижний край, но Jmax=268 и I1=<r 156> — верхняя половина. Попробуй узкие значения — в /etc/amnezia/amneziawg/awg0.conf поменяй: потом рестарт сервиса и regen клиента: sudo systemctl restart awg-quick@awg0
sudo bash /root/awg/manage_amneziawg.sh regen имя_клиентаЕсли заработает — значит Москве нужен более мягкий preset чем общий дефолт, учту в следующем релизе (думаю добавить |
Beta Was this translation helpful? Give feedback.
-
|
@elvaleto @raw-mate @Klavishnik — выкатил v5.10.0, ваш preset на месте: https://github.com/bivlked/amneziawg-installer/releases/tag/v5.10.0 Новый флаг
Для свежей установки: wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.10.0/install_amneziawg.sh
sudo bash install_amneziawg.sh --preset=mobile --yes --route-amneziaАпгрейд — Что preset НЕ трогает: Плюс новые флаги Дотестируйте пожалуйста |
Beta Was this translation helpful? Give feedback.
-
|
Здравствуйте! Билайн сотовый, Москва, ios, AmneziaWG 2.0.0 (11) [Interface] |
Beta Was this translation helpful? Give feedback.
-
|
Здравствуйте! МТС сотовый, Москва, Android, AmneziaVPN 4.8.15.5 Менял сначала I1 = <r 64>, потом добавил: В обоих случаях начинает подключаться, но подключений нет. Из странного, у меня еще есть старый vps у того же провайдера с ip, но из другой финской подсети и он на удивление пока прекрасно работает, что на домашнем, что на мобильном МТС с такими параметрами по дефолту: [Interface] Пробовал ставить такие же параметры на не рабочий конфиг - не работает. Может разные ТСПУ работают по разным подсетям с разными настройками, не знаю как это объяснить по другому. |
Beta Was this translation helpful? Give feedback.
-
|
Приветствую, у меня в Красноярске позавчера мобильные операторы перестали подключаться, видимо нужно подбирать какие-то новые рабочие параметры.. |
Beta Was this translation helpful? Give feedback.
-
|
Просто нет больше подключения нет рукопожатия у мобильных ( Jc=3, Jmin+20..Jmax+80 л1=0 ) . Но на вайфае пока еще работает с л1=<r 114>. С нулевым даже через вайфай теперь не работает. Не совсем понял как писать команду вот что выдает : root@185179:~# sudo tcpdump -ni any -c 20 udp port 39876 |
Beta Was this translation helpful? Give feedback.
-
|
Первое подключение к серверу в США по AWG 2.0 по вайфаю, с домашнего интернета все работает. [Interface] MTU 1280 Менял убирал полностью J1 Не хочу делать --preset mobile, вроде все уже сделал, да и не понимаю на каком этапе после установки. Плюс А. ну ещё по ssh до vps не подключается. |
Beta Was this translation helpful? Give feedback.
-
|
@alkorrnd @black1linkin собираю в один ответ, потому что у вас обоих, похоже, один корень. Главная улика - у @alkorrnd. Подтверждающий маркер у @black1linkin: с мобильного не идёт даже ssh до VPS. Если по этому IP не проходит вообще ничего (ни VPN, ни ssh), значит блокируется сам адрес, а не протокол обфускации. Плюс сервер на Oracle free tier - их подсети мобильные операторы РФ режут особенно охотно, как и Hetzner и часть финских блоков. У @Glebis2018 в этом же треде ровно так и разрешилось: сменил VPS на другого провайдера - заработало сразу с дефолтным профилем, без подбора параметров. Картина за 20-23 may сходится: волна, где блокировка сместилась с DPI-по-параметрам на блокировку по IP и подсети. То, что помогало в апреле (снять I1, узкий Jmax), теперь не спасает, если режут сам адрес. Диагностический водораздел простой, через
@alkorrnd - чтобы убедиться, что 0 пакетов это именно блокировка, а не ошибка замера: запусти @black1linkin - сначала проверь IP: с домашнего интернета зайди по ssh на сервер, запусти там Про «после Wi-Fi на мобильном уже подключается»: это может быть обманка. Amnezia показывает интерфейс поднятым, но это часто старое состояние - Если соберёте короткий лог ( |
Beta Was this translation helpful? Give feedback.
-
|
При запуске команды, и попытке подключения к серверу через мобильную сеть (( Jc=3, Jmin+20..Jmax+80 л1=<r 114>)) картина получается такая: (заменил IP на xxxxxx). tcpdump: data link type LINUX_SLL2 При попытке подключиться со старым профилем (( Jc=3, Jmin+20..Jmax+80 л1=0 )) - пустота. |
Beta Was this translation helpful? Give feedback.
-
|
МТС, Приморский край: DNS = 1.1.1.1 поменял I1 на <r 48> устанавливал с --preset=mobile. дефолтные настройки не заработали. |
Beta Was this translation helpful? Give feedback.
-
|
@etotent Сделал как у тебя "поменял I1 на <r 48> " у меня в Красноярске тоже заработало. |
Beta Was this translation helpful? Give feedback.
-
|
@alkorrnd @etotent отлично, спасибо что отписались. Значит, дело было не в блокировке IP, а в параметрах. С @etotent спасибо за полный конфиг. Добавлю это в ADVANCED.md в таблицу операторов: Tele2 Красноярск и МТС Приморье -> |
Beta Was this translation helpful? Give feedback.
-
|
Доброго дня, тоже проблемы через мобильную сеть.
Устанавливал с Конфиг: Что было замечено:
Что не помогло:
|
Beta Was this translation helpful? Give feedback.
-
|
@ProstoLive, у тебя похоже на стейтфул-фильтрацию: handshake проходит, секунд через 10 поток опознают и режут именно клиент -> сервер. То, что удаление I1 не помогло - как раз в пользу этой версии, дело не в первом байте. Что попробовать по нарастанию гемора:
И главное - сними |
Beta Was this translation helpful? Give feedback.
-
|
В дополнение к настройкам конфигурации под мобильных операторов, на дефолтных настройках и с пресетом mobile никак на мобильном инете не подключалось, даже хендшейка не было. МТС Сибирь |
Beta Was this translation helpful? Give feedback.
-
|
Привет! Уже достаточно давно плохо работает подключение через мобильную сеть в МСК. Хендшейк проходит, awg show показывает недавний хендшейк, list клиентов так же показывает активное соединение, tcpdump показывает, что пакеты доходят до сервера (in и out), но через какое то время (несколько секунд) перестает работать вообще весь интернет, и tcpdump показывает только пакеты на out. |
Beta Was this translation helpful? Give feedback.
-
|
Привет! Спасибо за подробный разбор с tcpdump, по нему всё понятно. Главное у тебя - дома по Wi-Fi работает, рвётся только на мобиле и сразу на трёх операторах. Был бы бан подсети хостинга - скорее всего легло бы и дома (блок IP сервера на тип сети не смотрит). Значит это, похоже, поведенческий DPI у мобильных: ТСПУ даёт потоку подняться, секунд за 5-10 смотрит на его поведение и душит уже по флоу - режет аплинк клиент -> сервер, поэтому на сервере и остаётся только out. Поэтому Jc/Jmin/Jmax и случайные I1 (включая твой Из реально непробованного остаётся одно - спрятать в I1 настоящий ClientHello с белым (разрешённым) доменом вместо случайных байт. Руками такой пакет не собрать, есть генератор: https://sageptr.github.io/mini_quic_generator/ , весь механизм я расписал в ADVANCED: https://github.com/bivlked/amneziawg-installer/blob/v5.15.5/ADVANCED.md#as-blocking-adv Белый SNI оператор-специфичен: где-то проходит 4pda.to, где-то max.ru, где-то 7-zip.org - а у тебя три оператора, так что готовься перебрать несколько и сверять по каждому. Меняется на сервере, сразу для всех: правишь I1 в Сразу честно: на части московских операторов поведенческий DPI очень злой, и даже белый SNI берёт не всегда - на одном я так и не пробил. Но из непробованного это самый рабочий вариант, начни с него. И если есть под рукой Android, проверь с него на той же симке: если картина другая, значит часть проблемы в iOS-клиенте. |
Beta Was this translation helpful? Give feedback.
-
|
Добрый день! Конфиг: Соединение проходит, пакеты при обращении идут, но ресурсы не работают, телега не едет) tcpdump
14:09:18.181631 net0 In IP mo.bi.le.ip.6127 > se.rv.er.ip.39743: UDP, length 94 Что еще можно подергать, все что в теме уже перепробовал( |
Beta Was this translation helpful? Give feedback.
-
|
СберМобайл, МТС. |
Beta Was this translation helpful? Give feedback.
Uh oh!
There was an error while loading. Please reload this page.
-
При использовании стандартных параметров конфигурации клиента не работает подключение через мобильную сеть. Через проводную никаких проблем нет.
Если развернуть стандартный контейнер амнезии, то таких проблем нет, все работает.
Есть некоторые различия по параметрам конфигурации, отсюда Вопрос 1 :- можно ли самостоятельно изменить конфиг анмензии на сервере и перегенерировать конфигурации пользователей? Если да, то как?
Если использовать обфсукатор на пользовательские конфигурации, то подключение работает. https://architect.vai-rice.space/mergekeys/?tab=merge
Вопрос 2: может подкинуть алгоритмы обфускации к генерации ключей? (Как идея)
Beta Was this translation helpful? Give feedback.
All reactions