मेरे देश की सरकार ने VPN कनेक्शन ब्लॉक कर दिए हैं। मुझे क्या इस्तेमाल करना चाहिए?

• इंडोनेशिया इस समय अराजक स्थिति में है, और आज सुबह सरकार ने Twitter और Discord की पहुंच ब्लॉक कर दी
• क्योंकि उसे पता था कि खबरें मुख्य रूप से इन्हीं चैनलों के ज़रिए फैलती हैं
• आमतौर पर Cloudflare का WARP इस्तेमाल करने पर इस तरह की रोक से बचा जा सकता है, लेकिन आज उस तक पहुंच भी ब्लॉक हो गई। मुझे कौन-सा विकल्प इस्तेमाल करना चाहिए?

[bju2000]

VPN तक को ब्लॉक करने वाले देश को क्या सच में स्वतंत्र देश कहा जा सकता है..

[roxie]

चीन, इंडोनेशिया, ब्रिटेन, ऑस्ट्रेलिया, ... यह मुद्दा उम्मीद से ज़्यादा जगहों पर है

[GN⁺]

Hacker News राय

• मैंने 2020 के शुरुआती वर्षों में एक बड़े VPN प्रदाता में censorship bypass पर काम किया था

  • पहला कदम असली VPN software और config files हासिल करना है। जो प्रदाता censorship को गंभीरता से लेते हैं, वे S3 जैसे मुश्किल-से-ब्लॉक होने वाले channels और obfuscated packages के ज़रिए program वितरित करते हैं, और कभी-कभी स्थानीय समूहों के साथ मिलकर उसे सुरक्षित रूप से बाँटते हैं
  • अगर software मिल जाए, तो उसके ऊपर एक obfuscation layer जोड़कर इस्तेमाल करने की सलाह दूँगा
  • Obfs4proxy बहुत इस्तेमाल होता है, और pre-shared key का उपयोग करके traffic को सामान्य-सा दिखाता है तथा VPN handshake को भी छिपाता है। यह पूरी तरह सुरक्षित नहीं है, लेकिन ज़्यादातर DPI (deep packet inspection) को पार कर लेता है
  • Shapeshifter (Operator Foundation द्वारा बनाया गया) या दूसरे pluggable transports भी आज़माने लायक हैं। लेकिन प्रदाता को इन protocols का समर्थन करना होगा
  • लंबे समय में सबसे मुश्किल हिस्सा VPN इस्तेमाल करते हुए पकड़े बिना बने रहना है। लंबे समय के statistical analysis में obfuscation होने पर भी VPN connections का पता लगाया जा सकता है, और अगर कोई राज्य इस पर नज़र रख रहा हो तो इसे अपेक्षाकृत कम लागत पर लागू किया जा सकता है। इंडोनेशिया की स्थिति मुझे ठीक से नहीं पता, इसलिए कोई ठोस सलाह नहीं दे सकता
  • मुझे Mullvad एक भरोसेमंद और तकनीकी रूप से सक्षम VPN प्रदाता लगता है। (मैं कभी Mullvad से जुड़ा नहीं रहा, बल्कि वास्तव में competitor के साथ था। फिर भी उनके approach का हमेशा सम्मान किया है)

  • कभी-कभी लगता है कि बड़े shortwave broadcasters में से कोई VPN packages को सार्वजनिक सेवा की तरह data broadcast के रूप में दुनिया भर में प्रसारित करे तो अच्छा होगा

  • आपने कहा कि Obfs4proxy traffic को सामान्य-सा दिखाता है, लेकिन वास्तव में DPI इसे random byte stream मानकर unknown protocol के रूप में classify करके block कर सकता है। बेहतर यह हो सकता है कि DPI को यह यक़ीन दिलाया जाए कि यह HTTPS है। बेशक, अगर HTTPS भी block कर दिया जाए तो उससे भी फ़ायदा नहीं होगा

  • Mullvad के DAITA जैसी उन systems के बारे में आपका क्या विचार है जो traffic analysis रोकने के लिए एक समान bandwidth pattern में data भेजती हैं?

  • TLS fragmentation या packet order उलटने जैसी तरकीबें भी असरदार हैं, और सिर्फ़ basic HTTPS transport का उपयोग भी अधिकांश जगहों पर शुरुआत के लिए ठीक है। URnetwork नाम का open source distributed system ये सारी सुविधाएँ देता है। इसे major stores और F-Droid से भी लिया जा सकता है

  • Obfs4proxy और Shapeshifter install करना सच में झंझट भरा और समय लेने वाला है

    • खुद एक VPS ले लें (यूरोप/अमेरिका में लगभग $10/वर्ष में 2GB RAM, 40GB disk, और प्रति माह TB-स्तर traffic मिल सकता है), मैं यूरोप region की सलाह दूँगा
    • उस पर wireguard+obfuscation tools या tailscale+अपना DERP server install करें
    • और सरल तरीका यह है कि ssh -D port को SOCKS server की तरह इस्तेमाल करें। इसे ज़्यादातर block नहीं किया जाता, लेकिन traffic characteristics के कारण यह आसानी से ध्यान खींच सकता है

• मैं कुछ समय चीन में रहा हूँ और कई बार VPN blocking waves देख चुका हूँ। अब ज़्यादातर VPN कंपनियों ने block करने वाले देशों को support करना लगभग छोड़ दिया है। commercial VPN आख़िरकार कभी न कभी ज़रूर block हो जाता है

  • मैं overseas region के free EC2 पर SOCKS5 server चलाकर अपने devices से उससे connect करता था। Cloudflare VM भी इस काम के लिए उपयुक्त लगती है
  • क्योंकि सिर्फ़ आपका personal traffic वहाँ से गुजरता है, आपका profile low रहता है, और उस region में मौजूद असंख्य servers के बीच राज्य के लिए उसे अलग पहचानना आसान नहीं होता
  • गैर-स्वतंत्र internet environment में survival tip: GitHub block नहीं होता (कम-से-कम चीन में), इसलिए स्थानीय engineers वहाँ संबंधित material और downloads अपलोड कर देते थे
  • अगर static IP की वजह से पहचान की चिंता हो, तो VM भी आख़िर एक computer ही है, इसलिए उसके ऊपर एक अतिरिक्त VPN जोड़कर anonymity बढ़ा सकते हैं

  • मैंने सुना है कि VPS के public IP blocks व्यापक रूप से जाने-पहचाने होते हैं, इसलिए चीन में यह तरीका असरदार नहीं रहता। चीनी firewall के सामने इसे अच्छा समाधान नहीं माना जाता

  • VPN tunnel के लिए VM instance इस्तेमाल करना अच्छा है, लेकिन चीन के अंदर-बाहर असली internet bandwidth इतनी सीमित है कि traffic handling की सीमा आ जाती है। बेहतर setup यह है कि firewall के दोनों ओर VM रखे जाएँ, और उसी hosting service में internal और external VMs के बीच peering का उपयोग किया जाए (जैसे Alibaba Cloud)। internal VM को socat या netfilter जैसे tools से सरलता से बनाया जा सकता है

    • obfuscation tools का उपयोग भी ज़रूर करना चाहिए
    • block लगने पर सिर्फ़ बाहरी VPN IP बदलना होगा और config update करनी होगी। internal VM IP को शायद ही बदलने की ज़रूरत पड़े

  • मैं भी पहले चीन में काम करते समय (लंबे समय तक नहीं रहा, लेकिन अक्सर जाता था) अपने स्वामित्व वाले server पर OpenVPN को port 443 या port 22 पर खोलकर रखता था, और उससे ज़्यादातर बिना समस्या के connect कर लेता था

  • दो साल पहले इंडोनेशिया में GitHub भी थोड़े समय के लिए block हुआ था, और बड़े telecom providers में से एक ने अस्थायी रूप से SSH भी block किया था

• इंडोनेशिया के स्थानीय निवासी के रूप में, मुझे हाल में X (Twitter)/Discord के block होने की कोई खबर याद नहीं है। 2024 में adult content के मुद्दे पर X को block करने की बात ज़रूर हुई थी

  • आप सीधे इस साइट पर real-time block status देख सकते हैं
  • आपने कहा कि VPN connection नहीं हो रहा, लेकिन कुछ providers ने बहुत पहले ऐसा block किया था; पिछले 5 सालों में ऐसा नहीं हुआ
  • इसलिए internet provider (ISP) बदलकर भी देखना एक तरीका हो सकता है

• मुझे नहीं लगता कि censorship bypass से जुड़े सवाल के लिए यह जगह (Hacker News) सबसे उपयुक्त है

  • यहाँ Tor, Tailscale, Wireguard-आधारित VPN, Mullvad वगैरह जैसे self-hosted setups की सलाह देने की प्रवृत्ति है, लेकिन इसमें वास्तविक अनुभव कम दिखता है
  • बस चीन/रूस/ईरान को target करने वाले VPN ढूँढ लीजिए। वे privacy में Mullvad जितने अच्छे न हों, लेकिन काम ज़रूर करेंगे

  • अगर मैं चीन, रूस या ईरान की intelligence agency में होता, तो ऐसे high-risk-country-only VPN providers का रूप धरकर dissidents की जानकारी इकट्ठा करने के लिए honey pot की तरह उनका इस्तेमाल करता

  • मेरे हिसाब से, तकनीकी रूप से सक्षम व्यक्ति के लिए सबसे सुरक्षित तरीका यह है कि overseas cloud पर एक छोटा instance server चलाया जाए और ssh forwarding+proxy से जानकारी तक पहुँचा जाए

    • उदाहरण के लिए Squid Proxy setup guide देखें
    • चूँकि सरकार आम तौर पर ssh traffic block नहीं करती, यह तरीका high privacy और blocking bypass दोनों दे सकता है

  • मैं इस बात से सहमत नहीं हूँ कि किसी जाने-पहचाने तरीके या provider की सिफारिश करने का मतलब है कि किसी को censorship bypass का अनुभव नहीं है

    • गुमनाम providers और अस्थायी तरीके आख़िरकार watering hole attacks के सामने असुरक्षित हो सकते हैं

  • अगर बाहर की किसी चीज़ पर भरोसा नहीं है, तो उसके ऊपर एक और VPN layer चढ़ाकर इस्तेमाल किया जा सकता है

  • विज्ञापन करने वाले VPN ज़्यादातर commercial motives से चलते हैं, इसलिए उनमें से कई में state spy agencies की संलिप्तता की संभावना रहती है

    • कम-से-कम ऊपर-ऊपर से वे काम करते दिखते हैं (block की गई sites तक पहुँच मिल जाती है)।
    • कौन-सी agency चला रही है, इस पर निर्भर करता है कि आपको सच में privacy मिलेगी या फिर किसी विशेष user के रूप में पहचान कर traffic logs रखे जाएँगे
    • मुझे लगता है कि company के नियंत्रण से बाहर free (open source) software बेहतर विकल्प है

• मुझे लगता है कि ऑस्ट्रेलिया और ब्रिटेन भी जल्द ही इसी रास्ते पर जा सकते हैं

  • कड़वी बात यह है कि हम (HN users) भले workaround ढूँढ लें, लेकिन आम नागरिकों के पास न बजट होता है न तकनीकी क्षमता, इसलिए सरकार/बड़ा media नागरिक पत्रकारिता को प्रभावी ढंग से रोक सकता है

  • 6 महीने पहले तक मैं शायद इस तरह की बातों पर हँसता, लेकिन अब यह बहुत वास्तविक लग रहा है और चिंता पैदा कर रहा है (UK)

  • ऑस्ट्रेलिया में मैं काफ़ी समय से चेतावनी दे रहा था कि यह राजनीतिक कारणों से होगा

    • यह तकनीकी बहस नहीं, राजनीति है, और राजनीति को तकनीक की परवाह नहीं होती
    • सबको समझना चाहिए कि हम धीरे-धीरे इसी दिशा में बढ़ रहे हैं
    • 2017 में प्रधानमंत्री Malcolm Turnbull ने कहा था: "गणित के नियम नहीं, सिर्फ़ ऑस्ट्रेलियाई क़ानून मायने रखते हैं"

  • मुझे नहीं लगता कि समाज की क्षमता को कम करके आँकना चाहिए

    • UK के ग़रीब इलाक़े में बड़ा होते हुए, आसपास हमेशा ऐसे लोग होते थे जो चोरी के computer/TV, बिजली की अवैध लाइन, copied CDs, या video का इंतज़ाम करा देते थे
    • आख़िरकार Raspberry Pi जैसे सस्ते hardware पर proxy install करके देने वाला "हर दूसरे घर में एक आदमी" मिल ही जाएगा
    • सच कहूँ तो, अगर मैं IT उद्योग में बेरोज़गार हो जाऊँ, तो शायद मैं भी वही काम करूँ

  • अमेरिका के कुछ conservative states में भी यह जल्दी शुरू हो सकता है। porn sites के लिए ID verification laws असरदार नहीं हैं, तो वे अगला कदम उठाएँगे

  • "citizen journalism" का 90% असली journalism नहीं है, ठीक वैसे ही जैसे vaccine research करने वाले citizen scientists

• Tor: user-friendly, install करना आसान, anonymity अच्छी, और free। लेकिन यह censorship का आसान target बनता है, धीमा है, और exit nodes पर लगभग सभी sites अविश्वास करती हैं

  • Tailscale+Mullvad exit: install और setup के बाद काफ़ी आसान, Tor से तेज़, और उपयोग के कई तरीके हैं। कमी यह है कि DPI Mullvad traffic पहचान सकता है और इसकी कीमत भी है
  • सीधे VPS पर Wireguard या Tailscale: लगभग हर चीज़ पर आपका control, speed चुन सकते हैं, और दोस्तों के साथ share भी कर सकते हैं। कमी यह है कि थोड़ा operations know-how चाहिए, और hosting cost लगभग $20–30 प्रति माह या उससे अधिक हो सकती है

  • Tailscale की ज़रूरत OP (प्रश्नकर्ता) को सिर्फ़ तब है जब वह Mullvad.net तक पहुँचकर sign up नहीं कर सकता

    • अगर इंडोनेशियाई सरकार Mullvad nodes block कर दे, तो कोई भी जुगाड़ काम नहीं आएगा
    • VPS approach में बाहरी websites के लिए fixed IP के कारण पहचानना बहुत आसान हो जाता है
    • मेरी सलाह है कि overseas VPS पर Mullvad या Tor install करें और traffic को उस VPS के ज़रिए route करें। अगर कई devices से एक साथ करना हो, तो VPS को Tailscale exit node बनाना सबसे आसान है

  • Wireguard समर्थित VPS सालाना $20–30 में भी मिल जाते हैं, इसलिए $20–30/माह शायद typo लगता है। vpspricetracker.com पर सस्ते VPS देखे जा सकते हैं

  • NordVPN और ProtonVPN भी काफ़ी हद तक Mullvad जैसी ही श्रेणी में आते हैं। अगर service free है तो आप ही product हैं, और paid होने पर भी आपका traffic सार्वजनिक रूप से ज्ञात VPN servers तक जाता है, इसलिए कुछ देशों में सिर्फ़ यही metadata भी जोखिमपूर्ण हो सकता है

    • इसका उपयोग बहुत सावधानी से करना चाहिए

  • VPS IP आपके residential IP जैसा नहीं होता, इसलिए कुछ sites/services VPS से आने वाले access को block कर सकती हैं या अतिरिक्त verification माँग सकती हैं

    • इससे बेहतर समाधान नहीं है, लेकिन ध्यान रखने लायक बात है

  • Tor के पास snowflake जैसी anti-censorship technologies भी हैं। अगर blocking काफ़ी सख़्त हो, तो Tor सबसे असरदार हो सकता है

• मैं अक्सर चीन में काम करता हूँ, और मेरा WireGuard VPN (जो मैंने अपने घर पर install किया है) अभी तक block नहीं हुआ

  • VPN server domain पर HTTPS service भी host की गई है, जो मददगार हो सकती है
  • पहले मैं DO droplet पर shadowsocks (open source proxy) और obfs (obfuscation) इस्तेमाल करता था, लेकिन आजकल v2ray+vmess/vless+reality ज़्यादा प्रचलित है
  • यह VPN नहीं बल्कि proxy है, इसलिए इसकी प्रकृति छिपाना आसान है और bypass effectiveness बेहतर है
  • अगर इसे public VPS पर host करें, तो AWS या DO तक block करना उनके लिए भारी पड़ सकता है, इसलिए इसमें stealthiness है, लेकिन दूसरी तरफ़ यह स्पष्ट VPN endpoint होने के कारण traffic pattern से ध्यान भी खींच सकता है
  • reddit r/dumbclub पर इस समय कुछ मौजूदा जानकारी मिल सकती है
  • ध्यान रखें कि इस तरह का setup बनाना आसान नहीं है। मुझे तो अभी भी लगता है कि WireGuard का लगातार चलना किसी चमत्कार से कम नहीं
  • एक खास विकल्प roaming SIM है। roaming में traffic मूल telecom operator के home network तक tunnel होता है, इसलिए चीन में भी block नहीं होता। server access या proxy setup जैसी आपात स्थितियों में यह उपयोगी है

• मैं इस समय उज्बेकिस्तान में यात्रा कर रहा हूँ, और यह देखकर हैरान हूँ कि wireguard protocol खुद ही block है

  • अपने server पर wireguard से connect करना आमतौर पर ठीक रहता था, लेकिन इस बार पूरा protocol block होने का यह मेरा पहला अनुभव है
  • VPN provider चुनने से पहले यह समझना ज़रूरी है कि क्या block है और कैसे block किया गया है

  • जहाँ wireguard block हो, वहाँ मैंने wireguard को wstunnel के ऊपर चलाकर bypass किया है

  • wireguard का network pattern अपने-आप में स्पष्ट होता है, और इसे obfuscation के लिए डिज़ाइन भी नहीं किया गया

    • कुछ tools traffic को 443/TCP पर छिपाकर चलाते हैं

  • यह अजीब है कि सरकार सिर्फ़ दो computers के बीच सुरक्षित tunnel बनाने वाले एक protocol को ही block कर देती है

  • मुझे लगता है कि wireguard protocol blocking जल्द ही UK में भी वास्तविकता बन सकती है

    • आगे चलकर hackers की भूमिका कहीं अधिक महत्वपूर्ण होगी

• XRay/XTLS-Reality/VLESS भी काफ़ी अच्छी तरह काम करते हैं। कहा जाता है कि चीन में भी इन्हें detect करना मुश्किल है

  • आप यह tutorial फ़ॉलो कर सकते हैं, और अतिरिक्त config examples यहाँ से देख सकते हैं

  • चीनी firewall की वजह से censorship bypass technology काफ़ी आगे बढ़ी है। XRay का ज़िक्र देखकर अच्छा लगा!

    • V2Ray official site और V2Ray और caddy के साथ चीन में internet access भी देखने लायक हैं
    • V2Ray-आधारित proxies VPN alternatives की तरह काम कर सकते हैं

  • sing-box नाम का project भी उपयोगी है(project link).

    • मैं इसका उपयोग app/service-आधारित routing के लिए करता हूँ; जैसे banking app को 5G modem से, US banking को US residential proxy से, और बाकी सबको VPN से route करता हूँ (Android root की ज़रूरत नहीं)
    • ऐसी advanced features भी काफी हद तक चीनी firewall की वजह से आई हैं

  • अगर सारा traffic एक ही website की ओर जाए, तो क्या वही चीज़ अपने-आप में संदेहास्पद नहीं लगेगी?

• Mastodon को किसी शासन के लिए पूरी तरह block करना कठिन है, और ज़्यादातर instances Tor usage को block नहीं करते

  • वास्तव में, जब ब्राज़ील में X block हुआ था, तब Mastodon पर बड़े पैमाने पर user influx हुआ था
  • अधिक जानकारी के लिए joinmastodon.org देखें

  • क्या individual servers (जैसे mastodon.social) को अलग-अलग block करना आसान नहीं होगा, यही चिंता है

  • protocol-level blocking भी सोचे से कहीं आसान हो सकता है। जो देश VPN block करते हैं, वे अक्सर साधारण IP block से बहुत जल्दी protocol block की ओर बढ़ जाते हैं